360网络安全周报第254期

安全资讯

2020年07月03日, 360CERT监测发现 F5 发布了 F5 BIG-IP 远程代码执行 的风险通告,该漏洞编号为 CVE-2020-5902,漏洞等级:严重。
2020年07月03日, 360CERT监测发现 Apache Guacamole官方 发布了 Guacamole网关远程代码执行 的风险通告,该漏洞编号为 CVE-2020-9497/CVE-2020-9498,漏洞等级:中危。
一场黑客活动正在开展,这群黑客瞄准的是Roblox账号。被成功入侵的账号被用于为特朗普在即将于11月举行的美国总统选举拉票。
Facebook向数千名应用程序开发者公开了用户数据;勒索软件要求巴西电力公司Light S.a.支付1400万美元赎金;47%的在线MongoDB数据库被黑客入侵索要赎金。
某开发人员公开发帖指责直接公布厂商漏洞行为;石黑一雄诺奖后的第一本书还没出版就被黑客盯上,想先一睹为快?
游走在东欧和中亚的奇幻熊;59款中国APP印度遭禁后续:TikTok主动下架;美联邦通信委员会周二正式将华为和中兴通讯指定为国家安全威胁。
2020年07月01日, 360CERT监测发现 Microsoft官方 发布了 Microsoft Windows 编解码器库远程执行代码漏洞 的风险通告,该漏洞编号为 CVE-2020-1457和CVE-2020-1425 ,漏洞等级:严重。
Facebook爆出5000万用户信息数据被“剑桥分析”公司泄露,Instagram存在安全漏洞使得用户数据存在泄露的可能。国外一名高级软件工程师则认为TikTok 与这两个公司一样涉及隐私泄露问题。
Google下架了25个窃取Facebook凭据的Android应用;ROADtools - 微软Azure AD渗透框架;Spray:一款功能强大的活动目录凭证密码喷射工具。
美国大通银行被黑客攻击,用户无端收到银行转账;黑客为支持特朗普连任,黑进小学生游戏账户给他们买应援装备;REvil又勒索上詹姆斯了!一线明星敏感信息起拍价60万美金
2020年06月29日,360CERT监测到Treck官方发布了Treck TCP/IPv4/IPv6 软件库的安全更新。
研究人员透露,在COVID-19期间,每天对Windows RDP进行的暴力攻击次数已增加了一倍;ThinkPHP 6.x反序列化POP链(二)。
2020年06月29日, 360CERT监测发现 apache 官方 发布了 Tomcat http/2 拒绝服务攻击 的风险通告,该漏洞编号为 CVE-2020-11996,漏洞等级:中危。
WastedLocker:针对美国组织的攻击浪潮;NVIDIA 发布了多个有关 GPU 驱动的安全修复更新;针对缅甸的定向攻击。
根据全球领先的信息技术研究和顾问公司 Gartner 最新预测,全球信息安全与风险管理技术和服务领域的支出在2020年将持续增长,但增速将低于此前的预期。
据IT新闻网站 Kod.ru 报道,Telegram 用户数据疑似遭到泄露,数百万用户信息被公布于暗网论坛上。
Magento 1.x 版本仍在被大规模使用;GeoVision 门禁设存在备漏洞导致黑客窃取用户指纹信息;CNVD-2020-30168: KKCMS sql 注入漏洞。

安全知识

今天早些时候,著名的恶意软件研究人员Dinesh Devadoss在推特上发布了一篇关于MacOS勒索软件的新推文,表示这是一种冒充Google软件更新程序的新型恶意软件。
在本篇文章中,将描述动态链接库(DLL)搜索顺序劫持的改建,以及攻击者可能如何将其用于Windows系统上的用户态持久性。这种技术可以对应到MITRE ATT&CK框架中的T1038:DLL搜索顺序劫持。
分析SGX的工作模型,设法将Release版本的Enclave转换成Debug版本,再借助SGX开发套件中的sgx-gdb工具,可实现对SGX Enclave的动态调试,之后便可为所欲为。
在研究过程中,我们发现Apache Guacamole存在多个严重的反向RDP漏洞,并且也受我们在FreeRDP中找到的一些新漏洞的影响。
本文通过七个流行的UPI应用程序对该协议的设计进行了逆向,从而对UPI协议进行了详细的安全性分析。
首先根据谷歌博客收集相关CVE-2019-5786漏洞的资料:High CVE-2019-5786: Use-after-free in FileReader,得知是FileReader上的UAF漏洞。
这次案例分析展示了维护第三方库以及共享代码何其之难。即使源代码打了补丁或者更新了,这些改动还必须反映到上游产品之中。
在这篇文章中,将详细介绍我在实习期间发现的一个UAF漏洞,以及我如何利用该漏洞编写虚拟机逃逸漏洞利用的细节。
Dubbo2.7.7反序列化漏洞存在绕过。
这8个题目是关于分组密码学的,难度中等,包括针对CBC模式的典型攻击,针对RNG的cloning攻击等等。
2019年9月初我们应急了Nexus Repository Manager 2.x 命令注入漏洞(CVE-2019-5475),在应急完这个漏洞之后,我们分析该漏洞的修复补丁,发现修复不完全,仍然可以绕过,本篇文章记录该漏洞的两次绕过。
用fopen打开一个文件,会在heap申请一块内存,并把指针放在栈上。
近日,有用户反馈在使用新浪微博时,发现自己的点赞记录里出现了很多非本人操作的异常点赞。点赞对象既有大V和公共机构,也有营销号,内容则涉及明星、综艺、私家侦探广告等等,甚至还包括一些露骨的淫秽色情内容。
该文章对今年5月微软发布的安全漏洞CVE-2020-1054进行分析分析。
Docker是一个用于开发,交付以及运行应用程序的开放平台。Docker使开发者可以将应用程序与基础架构进行分离,从而实现软件的快速交付。
此文章记录了我们对杀毒软件某些方面的研究,以及我们如何设法自动重构Meterpreter以绕过我们所遇到的每个AV / EDR。
虚拟机自省(Virtual Machine Introspection,VMI)是一种用于探索虚拟机的强大技术。这种技术可以直接作用于虚拟机管理程序,并且可以隐蔽且精确地控制虚拟机状态,也就是CPU上下文和内存。
Treck TCP/IP是专门为嵌入式系统和实时操作系统设计的高性能TCP/IP协议套件。
本文介绍了 WMI 的攻击和安全防御方法,以供大家交流讨论。
在上一篇文章中,我们探讨了如何将输入和输出表示为向量,以及一个训练好的深度神经网络,是如何根据一张照片来判断其中是不是一只猫的,也就是推理过程。接下来,我们开始进入另一个话题,即神经网络是如何训练的?
在本文中证明了蓝牙规范包含一些漏洞,这些漏洞使得可以在建立安全连接期间执行冒充攻击。
在本文中,我们将讨论创建和访问数据的方式可能对应用程序性能的影响。
Web题总体不难,还有一道zzm’s blog没有做出来,总之还是挺有收获的,感谢阅读~
ARM体系架构由来已久, 为嵌入式行业所青睐. 随着近年来IOT及车联网设备的兴起, 嵌入式系统安全成为安全研究人员必须关注的领域. 本文只是起到一个抛砖引玉的作用。
DDG 经过两年多的发展,从最初简单的挖矿木马,到借用第三方协议框架构建简单的 P2P 网络,到现在自研 P2P 协议,已经演化成了一个复杂的 P2P 僵尸网络。
总的来说,做的这三个EZ题目难度没有特别大,但是出的质量也还挺好的,也是强化了一些思维,比如针对url想到CRLF或者SSRF探测内网,nodejs题目多往沙箱逃逸方向思考,善于利用Github等等。
在本节中,笔者将详细介绍关于office宏类的非PE样本的分析方法。
我将在本文中详细分析该漏洞,并且会提供一个PoC,适用于固件版本为V1.0.4.84_10.0.58的所有路由器。该漏洞位于httpd服务中(/usr/bin/httpd)。
2020 DozerCTF write UP。
漏洞存在于 Apache Dubbo默认使用的反序列化工具 hessian 中,攻击者可能会通过发送恶意 RPC 请求来触发漏洞,这类 RPC 请求中通常会带有无法识别的服务名或方法名,以及一些恶意的参数负载。
DLL劫持是一种用于执行恶意代码payload的流行技术,此文列出了将近300个可执行文件,它们容易受到Windows10(1909)上相对路径DLL劫持的影响。并展示了如何通过几行VBScript代码绕过UAC以提升特权执行某些DLL劫持。
本文主要是通过ICSim(Instrument Cluster Simulator)模拟CAN协议通信,通过实践对CAN总线协议进行逆向分析。在实践过程中踩过一些坑,这里跟大家分享交流。
本文提出了针对传统纸质选举物理环境的侧信道攻击。更准确地说,基于Arduino开发板和廉价的驻极体麦克风构建了一种设备,该设备能够高精度地对木桌上标记的位置进行三角测量。
6月17日,NETGEAR官方发布了安全公告,并针对R6400v2和R6700v3这2个型号的设备发布了补丁。由于此时还没有这2个漏洞的具体细节,于是打算通过补丁比对的方式对漏洞进行定位和分析。
这可能是我写的关于这种特权文件操作滥用的最后一篇文章。在发给所有漏洞研究人员的电子邮件中,微软宣布他们改变了奖金的范围。因此,这种利用不再符合条件。

安全活动

CTF是一门偏重于实践的学问,仅靠读一本书、一篇论文,或者学一门课是远远不够的,它需要足够的兴趣和精力,不停地做题、实战、锻炼,并没有捷径可走。
作为第六届XCTF国际联赛的分站赛,本次比赛将采用在线网络安全夺旗挑战赛的形式,面向全球开放。
随着互联网技术的快速发展和广泛应用,网络安全问题也在不断的增加,因此在企业信息化建设的进程中,企业网络安全成为了至关重要的环节。它不仅关系企业内部的安危,同时也是企业对外的桥梁,如何保障企业网络的可靠性与安全性已然成为影响企业发展的重要因素。
7月12日22点整,由GeekPwn携手腾讯安全云鼎实验室联合举办的云靶场挑战赛线上热身赛正式落下帷幕。
千呼万唤,vivoSRC月度奖&季度奖,终于重磅推出了!
肆意笑泪,青春归位;一切分享 ,皆为序章;直挂云帆, 乘风破浪~
10亿+资本助力创业者,100+媒体曝光优秀创业项目、360顶级安全专家顾问团一对一创业咨询……6月29日,ISC 2020创新独角兽-沙盒大赛拉开序幕,祭出重奖,寻找网络安全行业创新独角兽。
美团SRC联合火线平台,向你发出挖洞邀请~