每周升级通告-2022-04-26

宣布时间 2022-04-26
新增事务

 

事务名称：

HTTP_Linux下令注入攻击

清静类型：

注入攻击

事务形貌：

下令注入攻击，是指这样一种攻击手段，黑客通过把系统下令加入到web请求页面头部信息中，一个恶意黑客以使用这种攻击要领来不法获取数据或者网络、系统资源

更新时间：

20220426

 

事务名称：

TCP_可疑行为_ping下令_远程下令执行回显

清静类型：

可疑行为

事务形貌：

发明有执行ping系统下令的回显页面，应用程序的某些功效需要挪用可以执行系统下令的函数，若是这些函数或者函数的参数被用户控制，就有可能通过下令毗连符将恶意下令拼接到正常的函数中，从而执行系统下令。属于高危误差，若是web使用的root权限，则攻击者可以执行恣意下令。

更新时间：

20220426

 

事务名称：

TCP_可疑行为_dir下令_远程下令执行

清静类型：

CGI攻击

事务形貌：

发明有执行dir系统下令的回显页面

更新时间：

20220426

 

事务名称：

TCP_可疑行为_netstat_远程下令执行

清静类型：

CGI攻击

事务形貌：

流量中检测到执行了敏感系统下令的回显信息，说明主机有可能已经被入侵，且攻击者具有执行系统下令的权限。

更新时间：

20220426

 

事务名称：

TCP_可疑行为_ps下令_远程下令执行

清静类型：

清静误差

事务形貌：

流量中检测到执行了敏感系统下令的回显信息，说明主机有可能已经被入侵，且攻击者具有执行系统下令的权限。

更新时间：

20220426

 

事务名称：

TCP_可疑行为_NPS代理工具_内网穿透使用

清静类型：

可疑行为

事务形貌：

检测到NPS代理工具毗连服务器，源地址主机正在使用NPS代理工具。nps是一款轻量级、高性能、功效强盛的内网穿透代理服务器。现在支持tcp、udp流量转发，可支持任何tcp、udp上层协议（会见内网网站、外地支付接口调试、ssh会见、远程桌面，内网dns剖析等等……），别的还支持内网http代理、内网socks5代理、p2p等，并带有功效强盛的web管理端。因此，攻击者常使用该工具举行内网渗透。

更新时间：

20220426

 

事务名称：

TCP_可疑行为_arp下令_远程下令执行

清静类型：

CGI攻击

事务形貌：

发明保存windows情形下执行arp-a系统下令的回显信息。

更新时间：

20220426

 

事务名称：

木马后门

清静类型：

诱骗挟制

事务形貌：

检测到僵尸网络Enemybot试图毗连C&C服务器。源IP所在的主机可能被植入了Enemybot。Enemybot是团结并修改Mirai和Gafgyt源代码的产品，疑似出自名为Keksec(又名KekSecurity、Necro或者FreakOut)的攻击团伙之手。Enemybot主要攻击SeowonIntech、D-Link和iRZ路由器

更新时间：

20220426

 

事务名称：

HTTP_木马后门_Webshell_AntSword-2.1.x_木马毗连

清静类型：

木马后门

事务形貌：

AntSword是一款集编码绕过，分块传输等众多绕过方法为一体的网站后门管理器。AntSwordv2.1.14（最新版）新增CMDLINUXShell类型基于下令执行的一句话类型,仅支持Linux情形.

更新时间：

20220426

 

事务名称：

HTTP_代码执行_phpMoAdmin_远程代码执行误差

清静类型：

木马后门

事务形貌：

检测到源IP主机正向目的主机上的phpMoAdmin执行恶意代码。使用system,exec,shell_exec,passthru,pcntl_exec,popen,proc_open函数对传入的“find”参数举行执行，抵达控制服务器的目的。phpMoAdmin是一个用PHP开发的在线MongoDB管理工具，可用于建设、删除和修改数据库和索引，提供视图和数据搜索工具，提供数据库启动时间和内存的统计，支持JSON名堂数据的导入导出。

更新时间：

20220426

 

事务名称：

HTTP_清静误差_TendaM3_远程下令注入误差[CVE-2022-26290][CNNVD-202203-2102]

清静类型：

清静误差

事务形貌：

TendaM3是中国腾达（Tenda）公司的一款门禁控制器。TendaM31.101.0.0.12(4856)版本保存清静误差，该误差源于通过组件/goform/WriteFacMac的下令注入误差。

更新时间：

20220426

 

事务名称：

HTTP_清静误差_Adobe-ColdFusion_反序列化_代码执行[CVE-2017-3066][CNNVD-201704-1418]

清静类型：

清静误差

事务形貌：

AdobeColdFusion是美国Adobe公司的一款动态Web服务器产品，其运行的CFML（ColdFusionMarkupLanguage）是针对Web应用的一种程序设计语言。AdobeColdFusion中保存java反序列化误差。攻击者可使用该误差在受影响应用程序的上下文中执行恣意代码或造成拒绝服务。以下版本受到影响：AdobeColdFusion(2016release)Update3及之前的版本，ColdFusion11Update11及之前的版本，ColdFusion10Update22及之前的版本。

更新时间：

20220426

 

事务名称：

HTTP_清静误差_Oracle-Business_XML外部实体注入[CVE-2019-2616][CNNVD-201904-746]

清静类型：

注入攻击

事务形貌：

OracleFusionMiddleware（Oracle融合中心件）是美国甲骨文（Oracle）公司的一套面向企业和云情形的营业立异平台。该平台提供了中心件、软件荟萃等功效。BIPublisher（前称XMLPublisher）是其中的一个报表组件。OracleFusionMiddleware中的BIPublisher组件11.1.1.9.0版本、12.2.1.3.0版本和12.2.1.4.0版本的BIPublisherSecurity子组件保存清静误差。攻击者可使用该误差未授权读取、更新、插入或删除数据，影响数据的保密性和完整性。

更新时间：

20220426

 

事务名称：

HTTP_清静误差_Apache-Airflow-1.10.10_远程代码执行[CVE-2020-11978][CNNVD-202007-1187]

清静类型：

清静误差

事务形貌：

ApacheAirflow是美国阿帕奇（Apache）软件基金会的一套用于建设、管理和监控事情流程的开源平台。该平台具有可扩展和动态监控等特点。ApacheAirflow1.10.10及之前版本中的exampleDAGs保存操作系统下令注入误差。攻击者可使用该误差运行恣意下令。

更新时间：

20220426


事务名称：

HTTP_清静误差_ArticaTech-Artica-Proxy_下令注入[CVE-2020-17505][CNNVD-202008-677]

清静类型：

清静误差

事务形貌：

ArticaTechArticaProxy是法国ArticaTech公司的一款开源的Artica代明确决计划。ArticaWebProxy4.30.000000版本cyrus.php文件的service-cmds参数保存操作系统下令注入误差。远程攻击者可通过service_cmds_peform使用该误差以root权限注入并执行下令。

更新时间：

20220426


事务名称：

HTTP_清静误差_ArticaTech-Artica-Proxy_SQL注入[CVE-2020-17506][CNNVD-202008-679]

清静类型：

注入攻击

事务形貌：

ArticaTechArticaProxy是法国ArticaTech公司的一款开源的Artica代明确决计划。ArticaWebProxy4.30.000000版本容易受到fw.login.php中的api键参数的SQL注入的攻击。该误差可以绕过Artica，通过SQL注入误差获得管理员权限。

更新时间：

20220426


事务名称：

HTTP_清静误差_Cisco-HyperFlex-HX-storfs-asup_远程代码执行

清静类型：

清静误差

事务形貌：

CiscoHyperFlexHX数据平台基于Web的管理界面中的误差可能允许未经身份验证的远程攻击者对受影响的装备执行下令注入攻击。此误差是由于对用户提供的输入的验证缺乏而引起的。攻击者可以通过向基于Web的管理界面发送全心设计的请求来使用此误差。乐成使用该误差可能使攻击者以tomcat8用户的身份在受影响的装备上执行恣意下令。

更新时间：

20220426


事务名称：

HTTP_清静误差_Advantech-R-SeeNet-device_跨站剧本[CVE-2021-21801][CNNVD-202107-1107]

清静类型：

XSS攻击

事务形貌：

AdvantechR-SeeNetv2.4.12(20.10.2020)的device_graph_page.php剧本功效中保存多个跨站点剧本误差。若是用户会见特制的URL，它可能会导致在目的用户浏览器的上下文中执行恣意JavaScript代码。攻击者可以提供这些全心制作的URL来触发误差。

更新时间：

20220426


事务名称：

HTTP_清静误差_锐捷NBR路由器EWEB网管系统_远程下令执行[CVE-2021-21801][CNNVD-202107-1107]

清静类型：

清静误差

事务形貌：

锐捷网络是一家拥有包括交流机、路由器、软件、清静防火墙、无线产品、存储等全系列的网络装备产品线及解决计划的专业化网络厂商。锐捷网络股份有限公司NBR路由器EWEB网管系统保存下令执行误差，攻击者可使用该误差获取服务器控制权限。

更新时间：

20220426


事务名称：

HTTP_清静误差_DLink路由器_DAP_2020_远程恣意下令执行误差[CVE-2021-27249][CNNVD-201312-320]

清静类型：

清静误差

事务形貌：

检测到源IP正在使用DLink的误差举行恣意文件读取、执行恣意下令等操作，D-LinkDAP-2020是中国台湾友讯（D-Link）公司的一款WiFi规模扩展器。

更新时间：

20220426


事务名称：

HTTP_下令执行_Netgear路由器_远程下令执行误差

清静类型：

清静误差

事务形貌：

检测到源ip正在使用Netgear的远程代码执行误差举行攻击；美国网件NETGEAR的路由器致力于为全球商用企业用户和家庭小我私家用户提供立异的产品、优质的智能家庭解决计划。

更新时间：

20220426


事务名称：

HTTP_文件上传_NETGEAR_ProSafe_恣意文件上传误差[CVE-2016-1524][CNNVD-201602-129]

清静类型：

清静误差

事务形貌：

检测到源ip正在使用NETGEARProSafe管理系统的文件上传误差上传恶意文件；NETGEAR网络管理系统NMS300是为NETGEAR统一基础架构设计的。专门针对网络装备举行监测，设置和故障诊断。

更新时间：

20220426


事务名称：

HTTP_代码执行_FreePBX_远程代码执行误差[CVE-2012-4869][CNNVD-201203-383]

清静类型：

清静误差

事务形貌：

检测到源ip正在使用FreePBX的callmenum参数处的误差结构恶意代码，FreePBX之前被称为AsteriskManagementPortal，是IP电话工具Asterisk的标准化实现，可提供Web设置界面和其他工具。

更新时间：

20220426


事务名称：

HTTP_清静误差_Apache_mod_jk_会见控制绕过[CVE-2018-11759][CNNVD-201810-1558]

清静类型：

清静误差

事务形貌：

ApacheTomcatJK（mod_jk）Connector是美国阿帕奇（Apache）软件基金会的一款为Apache或IIS提供毗连后台Tomcat的�？�，用以为Apache或IIS服务器提供处置惩罚"font-family:宋体;font-size:13px">。

更新时间：

20220426


事务名称：

HTTP_代码执行_Wireless_IP_Camera_远程代码执行误差

清静类型：

清静误差

事务形貌：

检测到源ip正在使用Wireless_IP_Camera的远程代码执行误差举行攻击，无线网络摄像机(P2)WIFICAM是一款整体设计不良的摄像机，保存许多误差。这款相机与许多其他中国相机很是相似，无线网络摄像机(P2)WIFICAM是品牌摄像机之一。

更新时间：

20220426


事务名称：

HTTP_清静扫描_DisBuster扫描器

清静类型：

清静扫描

事务形貌：

DisBuster是渗透测试历程中常用的扫描工具，可以自界说加载自界说字典对目的举行目录或页面扫描和爆破。

更新时间：

20220426

 

修改事务

 

事务名称：

HTTP_木马_Win32.Dyzap_毗连

清静类型：

木马后门

事务形貌：

检测到木马试图毗连远程服务器。源IP所在的主机可能被植入了Win32.Dyzap。

Win32.Dyzap是一个功效强盛的窃密木马，可窃密包括浏览器、邮件、FTP等客户端生涯的账号密码。

窃取敏感数据。

更新时间：

20220426

 

事务名称：

TCP_后门_MSIL.Crimson_控制下令

清静类型：

木马后门

事务形貌：

检测到后门Crimson的服务器在向Crimson发送控制下令。目的IP所在的主机可能被植入了后门 Crimson。

 

Crimson是一个功效很是强盛的后门，运行后，可以完全控制被植入机械。Crimson通过种种�？槔蠢┱蛊涔π�，如获取凭证，键盘纪录等。

可完全控制被植入机械。

更新时间：

20220426

 

事务名称：

TCP_后门_MSIL.Crimson_毗连

清静类型：

木马后门

事务形貌：

检测到木马试图毗连远程服务器。源IP所在的主机可能被植入了Crimson。

Crimson是一个功效很是强盛的后门，运行后，可以完全控制被植入机械。Crimson通过种种�？槔蠢┱蛊涔π�，如获取凭证，键盘纪录等。

可完全控制被植入机械。

更新时间：

20220426

 

事务名称：

TCP_僵尸网络_Fodcha_毗连

清静类型：

木马后门

事务形貌：

检测到僵尸网络Fodcha试图毗连C&C服务器。源IP所在的主机可能被植入了Fodcha。Fodcha主要通过NDay误差和Telnet/SSH弱口令撒播，包括CVE-2021-22205、CVE-2021-35394、AndroidADBDebugServerRCE、LILINDVRRCE等误差。逐日上线境内肉鸡数以IP数盘算已凌驾1万，且逐日会针对凌驾100个攻击目的提倡DDoS攻击，攻击非�；钤�。Fodcha使用ChaCha20加密和C&C的通讯数据。

更新时间：

20220426

 

事务名称：

HTTP_木马后门_webshell_类菜刀流量_响应

清静类型：

木马后门

事务形貌：

中国菜刀是中国黑客圈内使用很是普遍的一款Webshell管理工具。中国菜刀用途十分普遍,支持多种语言,小巧适用，具有文件管理（有足够的权限时间可以管理整个磁盘/文件系统），数据库管理，虚拟终端等功效。关于这类管理工具，若是没有大宗的修改服务端剧本代码，其返回流量都会有一些常见的特征，本条规则将常见的配合特征提取出来举行防御性报警。由于此事务为较为宽泛的通用特征，可能保存误报，请参考特征性子判断字段举行判断。允许攻击者完全控制被植入机械。

更新时间：

20220426