每周升级通告-2022-03-15

宣布时间 2022-03-15

新增事务

 

事务名称：

HTTP_可疑行为_日志文件信息泄露

清静类型：

CGI攻击

事务形貌：

检测到源IP主机正在使用信息泄露误差攻击目的IP主机的行为 ，可读取目的IP主机上的敏感信息文件。

更新时间：

20220315

 

事务名称：

HTTP_误差使用_ShiroAttack2工具使用-暴力破解使用链_远程代码执行

清静类型：

清静误差

事务形貌：

检测到现在主机正受到ApachShiroRememberme参数下令注入代码执行攻击ApacheShiro是一个强盛且易用的Java清静框架 ，被用来执行身份验证、授权、密码和会话管理。克日 ，发明针对该误差的使用方法已被小规模撒播（误差版本<=1.2.4） ，请相关用户尽快接纳步伐对此误差举行防护。

更新时间：

20220315

 

事务名称：

HTTP_误差使用_ShiroAttack2工具使用-内存马注入_远程代码执行

清静类型：

清静误差

事务形貌：

检测到现在主机正受到ApachShiroRememberme参数下令注入代码执行攻击ApacheShiro是一个强盛且易用的Java清静框架 ，被用来执行身份验证、授权、密码和会话管理。克日 ，发明针对该误差的使用方法已被小规模撒播（误差版本<=1.2.4） ，请相关用户尽快接纳步伐对此误差举行防护。

更新时间：

20220315

 

事务名称：

TCP_后门_Win32.Torchwood_毗连

清静类型：

木马后门

事务形貌：

检测到后门试图毗连远程服务器。源IP所在的主机可能被植入了后门Torchwood。Torchwood是一个功效很是强盛的后门 ，运行后可以完全控制被植入机械。主要通过CHM文件撒播。允许攻击者完全控制被植入机械。

更新时间：

20220315

 

事务名称：

TCP_可疑行为_Linux下令执行回显

清静类型：

清静误差

事务形貌：

检测到源IP主机泛起了某些Linux下令（如w、top、uptime等）执行的回显流量 ，包括目今系统时刻、运行时间、用户总毗连数、平均负载等信息

更新时间：

20220315

 

事务名称：

HTTP_ElasticSearch_目录穿越误差[CVE-2015-5531]

清静类型：

CGI攻击

事务形貌：

检测到试图通过使用ElasticSearch目录穿越误差举行攻击的行为 ，攻击者可以使用该误差读取到操作系统上的恣意文件。ElasticSearch是一个基于Lucene的搜索服务器 ，基于Java开发。ElasticSearch保存目录穿越误差 ，攻击者使用该误差可读取操作系统上的恣意文件。实验远程执行恣意代码。

更新时间：

20220315

 

事务名称：

HTTP_elasticsearch-head_目录穿越误差[CVE-2015-3337]

清静类型：

清静误差

事务形貌：

检测到试图通过使用ElasticSearchhead插件目录穿越误差举行攻击的行为 ，攻击者可以使用该误差读取到操作系统上的恣意文件。ElasticSearch是一个基于Lucene的搜索服务器 ，基于Java开发。ElasticSearchhead插件保存目录穿越误差 ，攻击者使用该误差可读取操作系统上的恣意文件。实验远程执行恣意代码。

更新时间：

20220315

 

事务名称：

HTTP_Apache_Solr_SSRF误差[CVE-2021-27905]

清静类型：

注入攻击

事务形貌：

ApacheSolr是一个开源的搜索服务 ，使用Java编写、运行在Servlet容器的一个自力的全文搜索服务器 ，是ApacheLucene项目的开源企业搜索平台。该误差是由于没有对输入的内容举行校验 ，攻击者可使用该误差在未授权的情形下 ，结构恶意数据执行SSRF攻击 ，最终造成恣意读取服务器上的文件。

更新时间：

20220315

 

事务名称：

HTTP_可疑行为_java反序列化_远程下令执行

清静类型：

可疑行为

事务形貌：

检测到源IP主机正在向目的IP发送可能保存远程下令执行挪用的java反序列化请求。

更新时间：

20220315

 

事务名称：

HTTP_清静误差_POSCMS_恣意下令执行

清静类型：

清静误差

事务形貌：

POSCMS3.2.0版本前台界面保存远程代码执行误差。特定路径传入恶意参数 ，会导致代码执行 ，导致恶意攻击者可以通过此误差写入恶意代码 ，并可以通过此误差举行getshell

更新时间：

20220315

 

事务名称：

HTTP_清静误差_POSCMS_文件包括

清静类型：

清静误差

事务形貌：

POSCMS3.2.0版本后台管理界面的附件上传功效只是对文件后缀举行了验证 ，但并没有对文件内容举行验证 ，导致恶意攻击者可以通过此误差上传恶意文件 ，并可以通过使用此文件举行getshell。要执行攻击 ，需要能够登录到后台管理界面 ，且有上传文件的权限。

更新时间：

20220315

 

事务名称：

HTTP_清静误差_mini_httpd_恣意文件读取误差[CVE-2018-18778][CNNVD-201810-1382]

清静类型：

清静误差

事务形貌：

Mini_httpd是一个微型的Http服务器 ，在占用系统资源较小的情形下可以坚持一定水平的性能（约为Apache的90%） ，因此普遍被种种IOT（路由器 ，交流器 ，摄像头等）作为嵌入式服务器。而包括华为 ，zyxel ，�？低� ，树莓派等在内的厂商的旗下装备都曾接纳Mini_httpd组件。ACMEmini_httpd<1.30版本保存一个恣意文件读取误差 ，该误差源于在mini_httpd开启虚拟主机模式的情形下 ，用户请求http://HOST/FILE将会会见到目今目录下的HOST/FILE文件 ，而当HOST为空、FILE=etc/passwd的时间 ，上述语句效果为/etc/passwd�？勺魑月肪� ，读取到了/etc/passwd ，造成恣意文件读取误差。

更新时间：

20220315

 

事务名称：

HTTP_清静误差_ToTolink_Technology路由器_未授权下令注入[CVE-2022-25134][CNNVD-202202-1645]

清静类型：

清静误差

事务形貌：

检测到源IP主机正试图通过CVE-2022-25134误差攻击目的IP主机。TOTOLINKTechnology路由器固件里保存下令注入误差 ，攻击者可借此远程执行系统下令。受影响路由器型号及其固件版本为：A830R(V5.9c.4729_B20191112)、3100R(V4.1.2cu.5050_B20200504)、A950RG(V4.1.2cu.5161_B20200903)、A800R(V4.1.2cu.5137_B20200730)、A3000RU(V5.9c.5185_B20201128)、A810R(V4.1.2cu.5182_B20201026)。

更新时间：

20220315

 

事务名称：

HTTP_误差使用_ShiroAttack工具使用_远程代码执行

清静类型：

清静误差

事务形貌：

检测到现在主机正受到ApachShiroRememberme参数下令注入代码执行攻击ApacheShiro是一个强盛且易用的Java清静框架 ，被用来执行身份验证、授权、密码和会话管理。克日 ，发明针对该误差的使用方法已被小规模撒播（误差版本<=1.2.4） ，请相关用户尽快接纳步伐对此误差举行防护。

更新时间：

20220315

 

事务名称：

HTTP_清静误差_ToTolink_EX200无线中继器_未授权下令注入[CVE-2021-43711][CNNVD-202201-147]

清静类型：

清静误差

事务形貌：

ToTolinkEx200是中国ToTolink公司的一款2.4G无线中继器 ，旨在扩大现有Wi-Fi网络的笼罩规模。ToTolinkEx200对httpGET参数处置惩罚不当 ，保存下令注入误差 ，导致未授权远程执行下令。攻击者可使用此误差注入执行恶意下令。

更新时间：

20220315

 

修改事务

 

事务名称：

HTTP_可疑行为_Apache_Log4j_嵌套使用内置lookup名堂字符串

清静类型：

清静误差

事务形貌：

ApacheLog4j是一个用于Java的日志纪录库 ，其支持启动远程日志服务器。此事务代表发明了源IP主机发送了知足内置lookup名堂的字符串 ，当目的IP主机后端吸收到此名堂的字符串时 ，会自动挪用lookup功效。此事务检测的是“嵌套”使用lookup记号的行为 ，此行为具有一定危害 ，可能会被攻击者滥用 ，如绕过WAF检测 ，并举行非预期的jndi挪用。

更新时间：

20220315

 

事务名称：

TCP_可疑行为_Apache_Log4j_嵌套使用内置lookup名堂字符串

清静类型：

清静误差

事务形貌：

ApacheLog4j是一个用于Java的日志纪录库 ，其支持启动远程日志服务器。此事务代表发明了源IP主机发送了知足内置lookup名堂的字符串 ，当目的IP主机后端吸收到此名堂的字符串时 ，会自动挪用lookup功效。此事务检测的是“嵌套”使用lookup记号的行为 ，此行为具有一定危害 ，可能会被攻击者滥用 ，如绕过WAF检测 ，并举行非预期的jndi挪用。

更新时间：

20220315

 

事务名称：

HTTP_通用_目录穿越误差[CVE-2019-11510/CVE-2020-5410/CVE-2019-19781/CVE-2020-5902]

清静类型：

清静误差

事务形貌：

检测到源IP主机正在实验对目的IP主机举行目录穿越误差攻击实验的行为。目录穿越误差能使攻击者绕过Web服务器的会见限制 ，对web根目录以外的文件夹 ，恣意地读取甚至写入文件数据。此规则是一条通用规则 ，其他误差（甚至一些0day误差）攻击的payload也有可能触发此事务报警。由于正常营业中一样平常不会爆发此事务特征的流量 ，以是需要重点关注。允许远程攻击者会见敏感文件。

更新时间：

20220315