360网络安全周报第289期

安全资讯

2021年04月02日,360CERT监测发现VMware发布了VMSA-2021-0005的风险通告,漏洞编号为CVE-2021-21982,漏洞等级:高危,漏洞评分:9.1。
Matrix加入“双重勒索”;针对性伪装攻击,终端信息安全的间谍--海莲花 APT;Chrome发布安全更新,修复了8个高危漏洞。
Google报告称有新的针对网安人员的攻击;CISA下令彻查服务器Exchange漏洞;DDoS攻击势头强劲创造新记录。
2021年03月31日,360CERT监测发现VMWare发布了VMSA-2021-0004的风险通告,漏洞编号为CVE-2021-21975,CVE-2021-21983,漏洞等级:高危,漏洞评分:8.6。
印度Mobikwik否认网上出售的8T数据是从公司泄露的;国税局称近期有大量以国税为饵的钓鱼攻击;美国政府警告称购买伪造新冠卡涉嫌犯罪。
近期,360安全大脑主防威胁监控平台,监测到一起邮件钓鱼攻击事件。此次攻击使用了一款名为Poulight的窃密木马,Poulight木马从去年开始投入使用,功能齐全强大,此次攻击事件,证明其已开始在国内传播使用。
自两年前发布《 2019年黑客报告》以来,HackerOne 社区的规模翻了一番,拥有超过了100万注册的黑客。尽管社区中的很多人还在探索学习中,但2020年2020年提交报告的黑客数量增长了63% 。
白帽变“黑帽”?上报数据泄露惹官司;金盆洗手散千金,勒索软件竟靠“中间商”赚差价;勒索软件攻击后,FatFace公司竟要求用户保密。
本周收录安全热点12项,话题集中在勒索软件、数据安全方面,涉及的组织有:壳牌、MangaDex、FBS、Sierra Wireless等。钓鱼攻击袭击加州政府, 员工安全意识培训不可忽视。
Docker Hub部分容器被用于挖矿下载高达千万次;哈里斯联合区遭勒索软件攻击影响数十所学校;REvil勒索软件报告。
本周黑产作恶IP存活周期多为1~2天,秒拨/代理网站在持续的更新其IP代理池。
npm库Bug致数十万应用出现问题;德国议会再遭俄罗斯黑客攻击;Ziggy勒索软件宣布关闭后决定退还赎金。

安全知识

[Microsoft Windows]是美国微软公司研发的一套操作系统,它问世于1985年,起初仅仅是DOS模拟环境,后续的系统版本由于微软不断的更新升级,不但易用,也慢慢的成为家家户户人们最喜爱的操作系统。
D-Link DIR-816 A2是中国台湾友讯(D-Link)公司的一款无线路由器。攻击者可借助‘datetime’参数中的shell元字符利用该漏洞在系统上执行任意命令。
2021 MAR DASCTF题解,包括一道套路pwn题和一道2.32 uaf的pwn题,两个reverse 和 四道密码学。题目考察知识点比较新,也能够从中学习到一些新知识。
今天无意之间翻找出自己之前学习做的笔记,决定重新整理、学习、分享,若其中有什么错误,还希望您们能够及时提出来。(本文主要以MySQL,后期还要学习MSSQL、Oracle)
分组密码又称为分块加密或块加密,是一种对称加密算法,这类算法将明文分成多个等长的组,使用确定的算法和对称秘钥对每组分别加密或解密,常见的算法有DES、3DES、AES。
在高版本的glibc中安全机制也比较完善,就算我们找到漏洞,构造出堆块重叠,也常常难以得到任意读写的方法。在VNCTF2021的比赛中LittleReadFlower这道题目引入了一种全新的漏洞利用方式,通过修改tcache数量限制,使得tcache结构溢出到后部可控区域,来达到任意读写的目的。
“内存马”也被称为“无文件马”,顾名思义是一种仅存在于内存中的无文件恶意代码。
F5 BIG-IP在今年3月补丁日中修复了 CVE-2021-22986 ,未经身份验证的攻击者可以向 iControl REST 发送精心构造的恶意请求,最终在目标服务器上执行任意命令。
本次捕获的木马可以看出来此类木马进行了加固并对代码大量的加密混淆,企图加大病毒分析人员的分析难度。
SQL注入是因为后台SQL语句拼接了用户的输入,而且Web应用程序对用户输入数据的合法性没有判断和过滤,前端传入后端的参数是攻击者可控的,攻击者可以通过构造不同的SQL语句来实现对数据库的任意操作。
比赛最后拿到了第二名(密码👴带我飞),作为队伍中的PWN & RE选手,赛后复现了一下全部RE题目和两题PWN。
Fastjson 是一个 Java 库,可以将 Java 对象转换为 JSON 格式,当然它也可以将 JSON 字符串转换为 Java 对象。
这次实验的目标是通过梯形图的编程,对外反弹一个PLC底层OS的shell连接外部Kali机器(也可以是VPS上Kali),而这次采用外部面包板上按钮来做触发。这次PLC仍然采用树莓派上运行OpenPLC来制作。
企业日常安全运营工作中,每天会处置各类安全告警。红蓝对抗也已被广泛应用于检验防守方安全水位。告警处置和红蓝对抗之后,收尾工作是复盘。通过复盘,仔细检视我们安全工作短板,提出改进加强点。
第一次独立办比赛,多有不周,请大家多多海涵,我们一定会继续努力,诚心实意地为大家带来更高质量的比赛。感谢所有参赛选手的支持,向大家表示由衷的感谢。最后感谢我们的运维师傅yunen。评论区,抽3位赠送零组文库邀请码。
在我们深入讨论 VLAN(虚拟局域网)标记的概念之前,首先要理解 VLAN 的需求是什么。每当我们建立好一个网络时,这个网络中会充斥着大量相互通信的主机。
近期在对黑灰产的研究过程中,发现了一条贩卖钓鱼源码的产业链。该钓鱼源码号称,其包含盗取通讯录APP、冒充闲鱼、转转、交易猫、京东、QQ空间、卡框等多个功能,简称“鱼转转鲨鱼台子最新十三合一”。
前段时间F5的BIGIP爆出了一些漏洞,其中CVE-2021-22986是一个pre-auth的RCE漏洞,存在于其iControl REST接口。
主要是相对于之前的两种方法而言,运用要简单需要,平常喜欢IO的一些知识,偶然发现的,侵删。
Windows图形组件DWrite库是用于高质量文本呈现的用户模式动态库,DWrite库存在远程代码执行漏洞。目前已有POC,POC可以实现任意地址写任意内容。
NepCTF2021个人赛Pwn题解。
本着学习的心态来看一看这个漏洞利用链。
在这篇文章中,我们将跟大家分享我们在知名论坛软件MyBB中发现的几个安全漏洞。跟所有的网络安全爱好者一样,我们喜欢通过浏览各种应用程序来增长知识,并参加一些比赛,比如CTF夺旗赛等等。近期,我们决定研究论坛软件来创建一个CTF挑战,并在MyBB中发现了一系列严重的漏洞。
在本文中,我们将研究防御方如何利用.NET Usage Log进行恶意行为检测及安全取证响应,也会分析规避日志监控探测的方法,讨论捕捉Usage Log篡改行为的潜在方式。
环境搭建: composer create-project --prefer-dist laravel/laravel laravel822 "8.2.*" , 如果用到了未默认带的组件会在文中说明!
不安全的反序列化漏洞已成为针对Java Web应用程序的研究者的普遍目标。这些漏洞通常会导致RCE,并且通常不容易完全修补。CVE-2020-14825就属于这一类。
上一部分我们进入内核启动进程的最后阶段,但是跳过了一些重要的部分。

安全活动

2021年3月20日,BCTF 2020赛季总决赛在DEF CON CHINA Party极客竞技馆激烈开战。
抓捕小安行动中奖名单公布,第二波抽奖又来啦💡神秘的红色按钮,你想不想拥有?
本届议题征集将面向全球网络安全决策者、专家学者、技术从业者等,征集具有前瞻性、建设性的网络安全真知灼见,倾听不同声音,共同把脉网络攻防、感知安全边界、洞悉安全变局。
3月29日 - 4月2日,来美团SRC挖洞准没错,专属范围内三倍安全币奖励!