360网络安全周报第287期

安全资讯

FBI称2020因网安问题经济损失超42亿美元;美国安全人员称延长纳税申报期会增加钓鱼攻击风险;CISA发布新的Solarwinds检测工具。
狩猎者变成猎物:WeLeakIofo的故事续集惊现反转;《侠盗猎车手》用户手把手教学,鞭策官方发布补丁;智能老人机,“智能”发送诈骗短信。
2021年03月18日,360CERT监测发现GitLab官方发布了GitLab 代码执行的风险通告,漏洞等级:严重,漏洞评分:9.9。
智利银行监管机构遭Exchange漏洞攻击目前已分享IOC;安全人员发现在Twitter图像文件中隐藏ZIP、MP3文件方法;安全人员发现可以将测试包加入Azure SDK进行钓鱼攻击。
WeLeakInfo确认出现数据泄露;Mimecast证实Solarwinds事件中部分源代码泄露;少年黑客因Twitter钓鱼事件获刑三年。
比特币飙升显卡陪跑,限速被破或再临涨价潮;加密聊天成犯罪工具,上演破解逮捕起诉连环事件;OVH数据中心失火,APT组织喜提宕机潮。
据悉 ,这是美DOJ第二次对加密电话公司提起诉讼。就在几天前,Sky Global在回应欧洲针对该公司的执法行动时强烈否认自己是犯罪分子的首选。
遭攻击后Blender网站处于维护中;OVH火灾或影响部分黑客组织;微软发布一键式Exchange修复工具。
2021年03月15日,360CERT监测发现Xstream官方发布了Xstream 安全更新,漏洞等级:高危,漏洞评分:8.8。
本周收录安全热点10项,话题集中在漏洞、恶意软件方面,涉及的组织有:Microsoft、OVH、施耐德、Powerhouse等。
美国起诉Sky Global CEO;安全人员通过git泄露攻破印度政府网站;OVH负责人称UPS电源故障可能是起火原因;Twitter推广被利用传播钓鱼内容。

安全知识

本文章是关于内网方面渗透技巧的一个文章,用的环境是VulnStack1,VulnStack是红日安全团队出的一个内网渗透的靶机环境,感谢红日团队,主要以该环境讲解内网渗透的技术。
近年来各地政府持续大力推进政务信息共享交换的建设,政府与政府之间数据交换,政府与企业之间的数据开放正在成为各组织机关开展高效行动的一项日益重要的能力,新冠疫情暴发期间,各地健康宝数据共享就是这项能力的有效证明。
一年一度的HW又将到来。作为参加的单位都开始蓄势待发,做充足的准备。这么大的“阵仗”是因为攻防演练具有重大意义,不仅能通过演练检验单位网络和信息基础设施安全防护水平,还能提高应急处置和指挥调度能力,最终提高信息系统的综合防御能力。
FMS attack是针对广泛使用的RC4流密码和WEP的攻击,本人将简单介绍一下该攻击。
最近复盘了一下justCTF[*]2020,分享一下我的收获。
漏洞是堆溢出,而堆溢出的说明其实在官方文档里做了详细的源码解释,我这边简单概括一下。
该攻击事件中,主要利用DODO合约中可重新初始化漏洞,盗取了13万枚wCRES和113万枚USDT的巨额资产。这类问题主要是智能合约开发人员对函数调用没有进行严格校验,导致init()函数可重新调用。在零时科技安全团队审计过程中也曾出现过此类重复调用问题,并及时和项目方人员对接,规避了此类问题的发生。
Issue 941743是2019年的一个v8方面的历史漏洞,其漏洞发生在对Array.prototype.map函数的Reduce过程,之前介绍过Array.prototype.map的一个回调漏洞,本文将介绍其在JIT层的一个优化漏洞。
这里提到的“你家”就是指企业,为什么会存在那么多的漏洞呢?目前的安全趋势下解决漏洞问题看似是一件小事,其实往大了说是一件大事,俗话说,“千里之堤毁于蚁穴”。
党的十九届四中全会《决定》把推进全国一体化政务服务平台建设作为完善国家行政体制、创新行政管理和服务方式的关键举措,是推进国家治理体系和治理能力现代化改革的基础要素。
这道题比赛的时候,只有三支队伍做出来,其实只要把程序逻辑分析透彻,这道题并不是很难。所以现在放一下这道题题解。
我们知道,要想对flutter应用程序的发布版本进行逆向分析是一件非常困难的事情,原因主要有两个,一是缺乏相应的工具,二是flutter引擎本身也经常发生变化。幸运的是,如果待逆向的flutter应用是用特定版本的Flutter SDK构建的,则可以借助于darter或Doldrums来转储该应用程序的类名和方法名。
分享一下比赛中除了Deterministic Heap之外的五道题。
本文从外挂分类讲起,给大家一个初步感性认知,之后对占比高达90%以上的内存修改挂的快速分析技巧进行详细介绍。
本篇文章是CVE-2014-6332漏洞的分析入手,详细的阐述漏洞的成因以及如何去利用该漏洞。
目前我个人也在找一个合适的方法来高效挖掘利用链,本文将主要介绍我自己的一些挖掘心得,辅以XStream反序列化利用链CVE-2021-21346为例。
JNDI (Java Naming and Directory Interface) 是一组应用程序接口,它为开发人员查找和访问各种资源提供了统一的通用接口,可以用来定位用户、网络、机器、对象和服务等各种资源。
抖音点赞与全自动刷单应用一样,均为自导自演的骗局,此类平台宣传其主要是通过付佣金的方式邀请刷手,通过盗链的方式把抖音视频链接发给用户,产生的浏览量、点赞量一定程度也会提升视频的权重和热度。
数字化进程中,现代组织每天产生和处理的数据量在以惊人的速度增长着,各行各业如交通、财政、医疗、社交媒体等业务应用的多样化,造成了数据的庞杂和无序,为组织的数据资产安全带来了隐患。
一个月hgame结束了,做完了逆向题,收获很大,misc的签到题做来玩了一下。
此次挑战题目来自大佬分享,同时很巧也看到了出题方的推特。动手分析Excel4.0宏,下载后续的payload并分析,进行答题。
Issue 659475的漏洞利用过程非常巧妙,结合了String(null)对象完成漏洞利用。本文将介绍这个巧妙的过程。
一道内核题目的学习,虽然之前做过一些内核题目,但是本题还是有一些新的点要学习。
本文介绍了屏幕嗅探(Screen Gleaning),这是一种TEMPEST(Transient Electromagnetic Pulse Emanation Surveillance Technology)攻击,在这种攻击下,移动设备的屏幕在视线看不到的的情况下被读取,从而揭示了手机屏幕上显示的敏感信息。
这 8 道题目的非常有意思地总结了现有 DeFi 项目在开发过程中可能或已经遇到的问题,以及生态中的一些薄弱点,并将这些知识通过题目的方式展现给了大家。在做完这些题目后,对智能合约的安全,特别是整个 DeFi 生态安全有了更清醒的认识。
ysoserial 工具的CC3和CC4链是CC1和CC2 链的扩展链,触发过程与前两个链大致相同,主要是命令执行部分有所变化。借着这两个链的学习,巩固下前面两个链的构造和利用思路。
Weblogic 的反序列化RCE漏洞 CVE-2020-14645,是对 CVE-2020-2883的补丁进行绕过。
本次捕获的木马可以看出来在不断的改进,从单纯的明文编码到base64编码隐藏主要地址,再到通过中间服务器获取主控地址,应用虽然针对的是印度,但是安全无国界,恶意应用需要我们时刻警惕,恒安暗影实验室也会不断监测,为网络安全、移动安全出一份力。
在撰写 CVE-2021-3129 Laravel Debug mode RCE 漏洞分析的文章时,漏洞原作者在文章最后提出了利用 ftp 与 php-fpm 对话 RCE 的思路,同时给出了参考例题 hxp 2020 resonator ,趁着还余有印象,我便写下了这篇文章。
这个故事要从我们之前的一个老项目开始说起,当时我们的任务是验证业务应用程序如何处理事务的数字签名,以判断应用是否遵守相关的安全原则。
AntCTF x D^3 CTF 官方 Writeup。
2月26号,那是一个风和日丽的夜晚,我看着电脑,电脑看着我。群里的大佬突然就甩了一个saltstack 未授权任意文件写入的poc,告诉我后面还有个RCE。我看着大佬,大佬看着我,我看了看自己日渐下降的技术,狠狠心跟了一波这个漏洞。
做CTF题时经常会遇到各种php弱类型和一些函数的绕过方法,由于知识比较零碎,就总结一下我所遇到的,也方便自己以后观看。
Windows Exchange Server是国内外应用都非常广泛的邮件服务器,2021年03月3日,微软官方发布了Microsoft Exchange安全更新,并被黑客组织进行未授权RCE远程入侵利用。
2021年2月19日,蜜罐系统捕捉到针对MVPower model TV-7104HE(EDB_41471)设备的远程投递样本,经跟踪发现脚本回连下载地址:http://45.145.185.83/jaws.sh。
在本文中,我们将为读者介绍另外一种不同的漏洞利用方法。由于该漏洞本身非常简单,因此,我们将重点放在如何获得AAR/AAW,以及如何绕过Samsung Galaxy的缓解措施(如SELinux和KNOX)方面。

安全活动

梨子带你刷burpsuite官方网络安全学院靶场(练兵场)系列之服务器端漏洞篇 - 身份验证专题;sqlmap源码解读(1);与骗子约会:欺诈性约会APP的生态。
网络安全威胁信息共享计划是TSRC协助腾讯安全(以下简称“主办方”)开展的安全行业应急响应信息共享活动(以下也将“网络安全威胁信息共享计划”简称为“活动”),以期实现安全防御共建共享,快速响应重大安全威胁。
第三期“安全范儿”线上沙龙初步确定为“应急响应和业务赋能”方向,让我们一起聊聊应急响应中那些惊心动魄和分秒必争,聊聊“安全”和“业务”的爱恨情仇、相爱相杀。
永安在线【业务安全攻防实践系列沙龙】将在3月正式启动,陆续在北京、上海、深圳各地携手安全界大咖,诚邀安全同仁共探黑灰产攻防之道。
即日起至3月31日,提交并确认核心应用高危/严重漏洞,就有机会获得GoPro、Apple Watch、无人机等大礼!
3月26日14:00,哔哩哔哩安全应急响应中心、中通安全应急响应中心、华住安全响应中心将围绕“安全管理运营、安全隐私保护、零信任安全建设”等话题共同探索企业安全建设之路。
看两会聊白帽,作为安全客忠实爱好者兼技术圈资深人士,你对于白帽黑客等网络安全人才的认知、培养乃至社会价值上判定,又有哪些想法和建议呢?评论区留言参与活动吧!
美团SRC喊你来交洞啦!凡符合要求的漏洞,单个漏洞奖励3w起,最高奖励可达5w/个~~