每周升级通告-2022-07-23

宣布时间 2022-07-23

新增事务


事务名称：

HTTP_Mida_Solutions_eFramework_2.8.9_操作系统下令注入误差[CVE-2020-15922][CNNVD-202007-1515]

清静类型：

清静误差

事务形貌:

检测到源IP主机正在使用CVE-2020-15922误差对目的主机举行攻击 。 。MidaSolutionseFramework是意大利MidaSolutions公司的一套统一通讯和协作效劳套件 。 。MidaSolutionseFramework2.9.0版本中保存操作系统下令注入误差 。 。远程攻击者可使用该误差以root权限执行代码 。 。

更新时间：

20220723


事务名称：

TCP_挖矿木马_CoinMiner_门罗币JSON-RPC协议_挖矿控制下令通讯_疑似挪用挖矿API函数1(XMR)

清静类型：

蠕虫病毒

事务形貌:

该事务批注检测到使用JSON-RPC协议疑似挪用了门罗币挖矿API函数 。 。JSON-RPC是一种基于JSON的跨语言远程挪用协议 。 。有文本传输数据小，，， ，，，便于调试扩展的特点 。 。它规范界说了数据结构及响应的处置惩罚规则,规范使用JSON（RFC4627）数据名堂，，， ，，，规范自己是传输无关的，，， ，，，可以用于历程内通讯、socket套接字、HTTP或种种新闻通讯情形 。 。门罗币应用开发接口接纳JSON-PRC标准，，， ，，，由于它是传输无关的，，， ，，，可以使用它通过套接字或HTTP与挖矿节点交互 。 。挖矿程序会占用CPU资源，，， ，，，可能导致受害主机变慢 。 。占用用户资源举行挖矿 。 。

更新时间：

20220723


事务名称：

TCP_挖矿木马_CoinMiner_门罗币JSON-RPC协议_挖矿控制下令通讯_疑似挪用挖矿API函数2(XMR)

清静类型：

蠕虫病毒

事务形貌:

该事务批注检测到使用JSON-RPC协议疑似挪用了门罗币挖矿API函数 。 。JSON-RPC是一种基于JSON的跨语言远程挪用协议 。 。有文本传输数据小，，， ，，，便于调试扩展的特点 。 。它规范界说了数据结构及响应的处置惩罚规则,规范使用JSON（RFC4627）数据名堂，，， ，，，规范自己是传输无关的，，， ，，，可以用于历程内通讯、socket套接字、HTTP或种种新闻通讯情形 。 。门罗币应用开发接口接纳JSON-PRC标准，，， ，，，由于它是传输无关的，，， ，，，可以使用它通过套接字或HTTP与挖矿节点交互 。 。挖矿程序会占用CPU资源，，， ，，，可能导致受害主机变慢 。 。占用用户资源举行挖矿 。 。

更新时间：

20220723


事务名称：

TCP_挖矿木马_CoinMiner_以太坊JSON-RPC协议_挖矿控制下令通讯_疑似挪用挖矿API函数1(ETH)

清静类型：

蠕虫病毒

事务形貌:

该事务批注检测到使用JSON-RPC协议疑似挪用了以太坊挖矿API函数 。 。JSON-RPC是一种基于JSON的跨语言远程挪用协议 。 。有文本传输数据小，，， ，，，便于调试扩展的特点 。 。JSON-RPC是一种无状态轻量级远程历程挪用（RPC）协议，，， ，，，规范界说了数据结构及响应的处置惩罚规则,规范使用JSON（RFC4627）数据名堂，，， ，，，规范自己是传输无关的，，， ，，，可以用于历程内通讯、socket套接字、HTTP或种种新闻通讯情形 。 。以太坊应用开发接口接纳JSON-PRC标准，，， ，，，由于它是传输无关的，，， ，，，可以使用它通过套接字或HTTP与ETH节点交互 。 。挖矿程序会占用CPU资源，，， ，，，可能导致受害主机变慢 。 。占用用户资源举行挖矿 。 。

更新时间：

20220723


事务名称：

TCP_挖矿木马_CoinMiner_以太坊JSON-RPC协议_挖矿控制下令通讯_疑似挪用挖矿API函数2(ETH)

清静类型：

蠕虫病毒

事务形貌:

该事务批注检测到使用JSON-RPC协议疑似挪用了以太坊挖矿API函数 。 。JSON-RPC是一种基于JSON的跨语言远程挪用协议 。 。有文本传输数据小，，， ，，，便于调试扩展的特点 。 。JSON-RPC是一种无状态轻量级远程历程挪用（RPC）协议，，， ，，，规范界说了数据结构及响应的处置惩罚规则,规范使用JSON（RFC4627）数据名堂，，， ，，，规范自己是传输无关的，，， ，，，可以用于历程内通讯、socket套接字、HTTP或种种新闻通讯情形 。 。以太坊应用开发接口接纳JSON-PRC标准，，， ，，，由于它是传输无关的，，， ，，，可以使用它通过套接字或HTTP与ETH节点交互 。 。挖矿程序会占用CPU资源，，， ，，，可能导致受害主机变慢 。 。占用用户资源举行挖矿 。 。

更新时间：

20220723


事务名称：

HTTP_木马_Webmine家族_网页挖矿木马_执行浏览器挖矿

清静类型：

蠕虫病毒

事务形貌:

检测到网页中包括挖矿剧本代码 。 。Webmine也是一个与Coinhive类似的JS挖矿引擎，，， ，，，在有会见量的网站中嵌入一段网页挖矿代码，，， ，，，使用访客的盘算机CPU资源来挖掘数字钱币举行牟利 。 。挖矿剧本执行会占用CPU资源，，， ，，，可能导致受害主机变慢 。 。

更新时间：

20220723


事务名称：

HTTP_提权攻击_Jenkins-Git-client插件_代码执行[CVE-2019-10392][CNNVD-201909-632]

清静类型：

清静误差

事务形貌:

目今主机正在遭受Jenkins-Git-client插件_远程代码执行误差攻击影响规模GitclientPlugin<=2.8.4

更新时间：

20220723



事务名称：

HTTP_提权攻击_Zabbix-API-JSON-RPC_下令执行

清静类型：

清静误差

事务形貌:

Zabbix是一个基于WEB界面的漫衍式系统监视以及网络监视的企业级开源解决计划 。 。Zabbix能监视种种网络参数，，， ，，，包管效劳器系统的清静运营，，， ，，，并提供无邪的通知机制以便系统治理员快速定位息争决保存的种种问题 。 。它由两部分组成，，， ，，，ZabbixServer与可选组件ZabbixAgent 。 。Zabbixserver可以通过SNMP，，， ，，，ZabbixAgent，，， ，，，ping，，， ，，，端口监视等要领提供对远程效劳器/网络状态的监视，，， ，，，数据网络等功效，，， ，，，它可以运行在Linux，，， ，，，Solaris，，， ，，，HP-UX，，， ，，，AIX，，， ，，，FreeBSD，，， ，，，OpenBSD，，， ，，，OSX等平台上 。 。在其jsonrpc2.0版本保存远程下令执行误差，，， ，，，攻击者可通过此误差获取效劳器权限，，， ，，，危害系统清静 。 。

更新时间：

20220723


事务名称：

TCP_提权攻击_可疑反弹shell下令注入_攻击失败

清静类型：

清静误差

事务形貌:

检测到源IP主机正在向目的主机举行BASH_反弹shell下令注入攻击 。 。反弹毗连，，， ，，，是指攻击者指定效劳端，，， ，，，受害者主机自动毗连攻击者的效劳端程序 。 。反弹shell通常用于被控端因防火墙受限、权限缺乏、端口被占用等情形 。 。攻击者攻击乐成后可以远程执行系统下令 。 。当执行bash反弹shell下令有误时，，， ，，，会返回bash:nojobcontrolinthisshell

更新时间：

20220723


事务名称：

HTTP_提权攻击_Tp-Link_代码执行[CVE-2022-30075][CNNVD-202206-881]

清静类型：

清静误差

事务形貌:

在Tp-Link路由器中举行身份验证的远程代码执行，，， ，，，通过身份验证后可使用备份文件包括举行恣意代码执行

更新时间：

20220723


事务名称：

HTTP_提权攻击_PHP_imap_下令执行[CVE-2018-19518][CNNVD-201811-666]

清静类型：

清静误差

事务形貌:

在PHP和其他产品的imap_open（）中使用的UNIX上的华盛顿大学IMAP工具包2007f启动rsh下令（借助于c-client/imap4r1.c中的imap_rimap函数和osdep/unix/tcp_unix中的tcp_aopen函数.c），，， ，，，而不会阻止参数注入，，， ，，，若是IMAP效劳器名称是不受信任的输入（例如，，， ，，，由Web应用程序的用户输入），，， ，，，并且rsh已被具有差别参数的程序替换，，， ，，，则远程攻击者可能会执行恣意OS下令语义 。 。例如，，， ，，，若是rsh是ssh的链接（如在Debian和Ubuntu系统上看到的），，， ，，，则攻击可以使用包括“-oProxyCommand”参数的IMAP效劳器名称 。 。

更新时间：

20220723


事务名称：

HTTP_其它可疑行为_XML-dtd外连_其他注入

清静类型：

注入攻击

事务形貌:

XXE(XMLExternalEntityInjection)XML外部实体注入，，， ，，，XML是一种类似于HTML（超文本标记语言）的可扩展标记语言，，， ，，，是用于标记电子文件使其具有结构性的标记语言，，， ，，，可以用来标记数据、界说数据类型，，， ，，，是一种允许用户对自己的标记语言举行界说的源语言 。 。XML文档结构包括XML声明、DTD文档类型界说（可� 。 。⑽牡翟� 。 。当应用是通过用户上传的XML文件或POST请求举行数据的传输，，， ，，，并且应用没有榨取XML引用外部实体，，， ，，，也没有过滤用户提交的XML数据，，， ，，，那么就会爆发XML外部实体注入误差，，， ，，，即XXE误差 。 。

更新时间：

20220723


事务名称：

HTTP_木马后门_PhpSpy2013-Mysql数据库治理_Webshell会见

清静类型：

木马后门

事务形貌:

流量中检测到phpspy2013治理mysql数据库的操作，，， ，，，可能Webshell已被植入正在举行毗连行为 。 。webshell是web入侵的剧本攻击工具 。 。简朴说，，， ，，，webshell就是一个用asp或php等编写的木马后门，，， ，，，攻击者在入侵了一个网站后，，， ，，，经常将这些asp或php等木马后门文件安排在网站效劳器的web目录中，，， ，，，与正常的网页文件混在一起 。 。然后攻击者就可以用web的方法，，， ，，，通过该木马后门控制网站效劳器，，， ，，，包括上传下载文件、审查数据库、执行恣意程序下令等 。 。webshell可以穿越防火墙，，， ，，，由于与被控制的效劳器或远程主机交流的数据都是通过80端口转达的，，， ，，，因此不会被防火墙阻挡 。 。并且使用webshell一样平常不会在系统日志中留下纪录，，， ，，，只会在网站的web日志中留下一些数据提交纪录，，， ，，，治理员较难看收支侵痕迹 。 。

更新时间：

20220723


事务名称：

TCP_提权攻击_微信默认自带浏览器-代码执行

清静类型：

清静误差

事务形貌:

微信windows版<3.1.2.141版本受chromev8引擎误差影响，，， ，，，攻击者可以将恶意的垂纶邮件发送给目的职员，，， ，，，目的职员用微信自带浏览器翻开后则会触发误差，，， ，，，使攻击者控制目的职员盘算机权限

更新时间：

20220723


事务名称：

HTTP_提权攻击_Iris-ID-IrisAccess-ICU-7000-2_代码执行

清静类型：

清静误差

事务形貌:

IrisID的IrisAccess7000-2是LG生产的虹膜识别系统 。 。由于该系统保存误差，，， ，，，攻击者可通过结构恶意payload使系统执行恶意下令，，， ，，，以获取主机权限 。 。

更新时间：

20220723



事务名称：

TCP_文件操作攻击_IncomCMS-2.0_文件上传[CVE-2020-29597][CNNVD-202012-431]

清静类型：

清静误差

事务形貌:

IncomCMS2.0以及之前的版本保存文件上传误差，，， ，，，攻击者可以上传webshell获取目的系统权限

更新时间：

20220723


事务名称：

HTTP_木马后门_Xise-Webshell治理工具毗连_Webshell会见

清静类型：

木马后门

事务形貌:

流量中检测到XiseWebshell治理工具毗连webshell的操作，，， ，，，可能Webshell已被植入正在举行毗连行为 。 。webshell是web入侵的剧本攻击工具 。 。简朴说，，， ，，，webshell就是一个用asp或php等编写的木马后门，，， ，，，攻击者在入侵了一个网站后，，， ，，，经常将这些asp或php等木马后门文件安排在网站效劳器的web目录中，，， ，，，与正常的网页文件混在一起 。 。然后攻击者就可以用web的方法，，， ，，，通过该木马后门控制网站效劳器，，， ，，，包括上传下载文件、审查数据库、执行恣意程序下令等 。 。webshell可以穿越防火墙，，， ，，，由于与被控制的效劳器或远程主机交流的数据都是通过80端口转达的，，， ，，，因此不会被防火墙阻挡 。 。并且使用webshell一样平常不会在系统日志中留下纪录，，， ，，，只会在网站的web日志中留下一些数据提交纪录，，， ，，，治理员较难看收支侵痕迹 。 。

更新时间：

20220723


事务名称：

HTTP_其它注入_Jellyfin_SSRF_效劳端请求伪造[CVE-2021-29490]

清静类型：

注入攻击

事务形貌:

Jellyfin是一个免费的软件媒系一切，，， ，，，10.7.3之前的版本保存SSRF误差，，， ，，，攻击者可以结构恶意请求该误差探测内网信息 。 。

更新时间：

20220723


事务名称：

TCP_提权攻击_锐捷NBR-1300G路由器_CLI下令执行

清静类型：

清静误差

事务形貌:

检测到源IP装备正在使用锐捷NBR-1300G路由器远程CLI下令执行误差攻击目的IP装备 。 。在_锐捷NBR-1300G路由器上发明了一个问题，，， ，，，攻击者可以使用guest账户执行CLI下令 。 。这允许获取所有用户和密码 。 。

更新时间：

20220723


事务名称：

TCP_提权攻击_ASP.NET_ClaimsIdentity-BinaryFormatter使用链_ysoserial工具使用_下令执行

清静类型：

清静误差

事务形貌:

ysoserial.net是在常见.NET库中发明的适用程序和面向属性的编程“小工具链”的荟萃，，， ，，，可以在适当的条件下使用.NET应用程序执行不清静的工具反序列化 。 。主驱动程序接受用户指定的下令并将其包装在用户指定的小工具链中，，， ，，，然后将这些工具序列化到标准输出 。 。当类路径上具有所需小工具的应用程序不清静地反序列化此数据时，，， ，，，将自动挪用链并导致下令在应用程序主机上执行 。 。

更新时间：

20220723


事务名称：

TCP_提权攻击_ASP.NET_ObjectDataProvider-JavaScriptSerializer使用链_ysoserial工具使用_下令执行

清静类型：

清静误差

事务形貌:

ysoserial.net是在常见.NET库中发明的适用程序和面向属性的编程“小工具链”的荟萃，，， ，，，可以在适当的条件下使用.NET应用程序执行不清静的工具反序列化 。 。主驱动程序接受用户指定的下令并将其包装在用户指定的小工具链中，，， ，，，然后将这些工具序列化到标准输出 。 。当类路径上具有所需小工具的应用程序不清静地反序列化此数据时，，， ，，，将自动挪用链并导致下令在应用程序主机上执行 。 。

更新时间：

20220723


事务名称：

TCP_提权攻击_ASP.NET_ObjectDataProvider-SharpSerializerBinary使用链_ysoserial工具使用_下令执行

清静类型：

清静误差

事务形貌:

ysoserial.net是在常见.NET库中发明的适用程序和面向属性的编程“小工具链”的荟萃，，， ，，，可以在适当的条件下使用.NET应用程序执行不清静的工具反序列化 。 。主驱动程序接受用户指定的下令并将其包装在用户指定的小工具链中，，， ，，，然后将这些工具序列化到标准输出 。 。当类路径上具有所需小工具的应用程序不清静地反序列化此数据时，，， ，，，将自动挪用链并导致下令在应用程序主机上执行 。 。

更新时间：

20220723


事务名称：

TCP_提权攻击_ASP.NET_ObjectDataProvider-Xaml使用链_ysoserial工具使用_下令执行

清静类型：

清静误差

事务形貌:

ysoserial.net是在常见.NET库中发明的适用程序和面向属性的编程“小工具链”的荟萃，，， ，，，可以在适当的条件下使用.NET应用程序执行不清静的工具反序列化 。 。主驱动程序接受用户指定的下令并将其包装在用户指定的小工具链中，，， ，，，然后将这些工具序列化到标准输出 。 。当类路径上具有所需小工具的应用程序不清静地反序列化此数据时，，， ，，，将自动挪用链并导致下令在应用程序主机上执行 。 。

更新时间：

20220723


事务名称：

TCP_提权攻击_ASP.NET_ObjectDataProvider-YamlDotNet使用链_ysoserial工具使用_下令执行

清静类型：

清静误差

事务形貌:

ysoserial.net是在常见.NET库中发明的适用程序和面向属性的编程“小工具链”的荟萃，，， ，，，可以在适当的条件下使用.NET应用程序执行不清静的工具反序列化 。 。主驱动程序接受用户指定的下令并将其包装在用户指定的小工具链中，，， ，，，然后将这些工具序列化到标准输出 。 。当类路径上具有所需小工具的应用程序不清静地反序列化此数据时，，， ，，，将自动挪用链并导致下令在应用程序主机上执行 。 。

更新时间：

20220723


事务名称：

TCP_提权攻击_ASP.NET_TextFormattingRunProperties-LosFormatter使用链_ysoserial工具使用_下令执行

清静类型：

清静误差

事务形貌:

ysoserial.net是在常见.NET库中发明的适用程序和面向属性的编程“小工具链”的荟萃，，， ，，，可以在适当的条件下使用.NET应用程序执行不清静的工具反序列化 。 。主驱动程序接受用户指定的下令并将其包装在用户指定的小工具链中，，， ，，，然后将这些工具序列化到标准输出 。 。当类路径上具有所需小工具的应用程序不清静地反序列化此数据时，，， ，，，将自动挪用链并导致下令在应用程序主机上执行 。 。

更新时间：

20220723


事务名称：

TCP_提权攻击_ASP.NET_TextFormattingRunProperties-NetDataContractSerializer使用链_ysoserial工具使用_下令执行

清静类型：

清静误差

事务形貌:

ysoserial.net是在常见.NET库中发明的适用程序和面向属性的编程“小工具链”的荟萃，，， ，，，可以在适当的条件下使用.NET应用程序执行不清静的工具反序列化 。 。主驱动程序接受用户指定的下令并将其包装在用户指定的小工具链中，，， ，，，然后将这些工具序列化到标准输出 。 。当类路径上具有所需小工具的应用程序不清静地反序列化此数据时，，， ，，，将自动挪用链并导致下令在应用程序主机上执行 。 。

更新时间：

20220723


事务名称：

TCP_提权攻击_ASP.NET_AxHostState-BinaryFormatter使用链_ysoserial工具使用_下令执行

清静类型：

清静误差

事务形貌:

ysoserial.net是在常见.NET库中发明的适用程序和面向属性的编程“小工具链”的荟萃，，， ，，，可以在适当的条件下使用.NET应用程序执行不清静的工具反序列化 。 。主驱动程序接受用户指定的下令并将其包装在用户指定的小工具链中，，， ，，，然后将这些工具序列化到标准输出 。 。当类路径上具有所需小工具的应用程序不清静地反序列化此数据时，，， ，，，将自动挪用链并导致下令在应用程序主机上执行 。 。

更新时间：

20220723


事务名称：

TCP_提权攻击_ASP.NET_ObjectDataProvider-FastJson使用链_ysoserial工具使用_下令执行

清静类型：

清静误差

事务形貌:

ysoserial.net是在常见.NET库中发明的适用程序和面向属性的编程“小工具链”的荟萃，，， ，，，可以在适当的条件下使用.NET应用程序执行不清静的工具反序列化 。 。主驱动程序接受用户指定的下令并将其包装在用户指定的小工具链中，，， ，，，然后将这些工具序列化到标准输出 。 。当类路径上具有所需小工具的应用程序不清静地反序列化此数据时，，， ，，，将自动挪用链并导致下令在应用程序主机上执行 。 。

更新时间：

20220723


事务名称：

TCP_提权攻击_ASP.NET_ObjectDataProvider-Json.Net使用链_ysoserial工具使用_下令执行

清静类型：

清静误差

事务形貌:

ysoserial.net是在常见.NET库中发明的适用程序和面向属性的编程“小工具链”的荟萃，，， ，，，可以在适当的条件下使用.NET应用程序执行不清静的工具反序列化 。 。主驱动程序接受用户指定的下令并将其包装在用户指定的小工具链中，，， ，，，然后将这些工具序列化到标准输出 。 。当类路径上具有所需小工具的应用程序不清静地反序列化此数据时，，， ，，，将自动挪用链并导致下令在应用程序主机上执行 。 。

更新时间：

20220723


事务名称：

HTTP_其它可疑行为_Shiro_Cookie长度异常

清静类型：

可疑行为

事务形貌:

ApacheShiro默认使用了CookieRememberMeManager 。 。其处置惩罚cookie的流程是：获得rememberMe的cookie值；； ；Base64解码；； ；AES解密；； ；反序列化 。 。然而AES的密钥是硬编码的，，， ，，，即AES加解密的密钥是写死在代码中的，，， ，，，攻击者可以结构恶意数据造成反序列化误差，，， ，，，cookie长度异常提醒可能为攻击者结构的恶意payload 。 。

更新时间：

20220723


事务名称：

HTTP_信息泄露_快排CMS-1.2_敏感信息泄露

清静类型：

CGI攻击

事务形貌:

快排CMS是开源免费的PHP企业网站制作、建设、开发、优化SEO治理系统 。 。浚�？？炫�CMS<=1.2版本会默认开启日志纪录，，， ，，，日志名文件为时间，，， ，，，日志纪录中包括治理员cookie等敏感信息，，， ，，，因此攻击者可以通过会见日志纪录，，， ，，，找到治理员cookie等信息 。 。

更新时间：

20220723


事务名称：

HTTP_清静审计_上传war包

清静类型：

清静审计

事务形貌:

检测到源IP主机正在向目的IP主机上传war包 。 。war包是JavaWeb程序打的包，，， ，，，一个war包可以明确为是一个web项目，，， ，，，内里是项目的所有工具 。 。以Tomcat为例，，， ，，，将War包安排在其\webapps\目录下，，， ，，，然后启动Tomcat，，， ，，，这个包就会自动解压，，， ，，，安排、宣布到web效劳中 。 。

更新时间：

20220723


事务名称：

HTTP_提权攻击_蓝凌OA_treexml.tmpl_远程代码执行

清静类型：

清静误差

事务形貌:

检测到源IP主机正在使用蓝凌OA远程代码执行误差攻击目的IP主机的行为 。 。深圳市蓝凌软件股份有限公司数字OA(EKP)保存远程代码执行误差 。 。攻击者可通过treexml.tmpl，，， ，，，在目的效劳器上执行恣意代码 。 。

更新时间：

20220723


事务名称：

HTTP_文件操作攻击_Blueimp-jQuery-File-Upload_文件上传[CVE-2018-9206][CNNVD-201810-561]

清静类型：

清静误差

事务形貌:

Blueimp-jQuery-File-Upload是一个文件上传小工具，，， ，，，包括多个文件选择，，， ，，，拖放支持，，， ，，，进度条，，， ，，，验证和预览图像，，， ，，，jQuery的音频和视频 。 。支持跨域、分块和可恢复文件上传以及客户端图像巨细调解 。 。适用于任何效劳器端平台，，， ，，，支持标准HTML表单文件上传（PHP，，， ，，，Python，，， ，，，RubyonRails，，， ，，，Java，，， ，，，Node.js，，， ，，，Go等） 。 。由于其php版本保存误差，，， ，，，可导致恣意文件上传 。 。

更新时间：

20220723


事务名称：

HTTP_文件操作攻击_WordPress-Simple-Ads-Manager_文件上传[CVE-2015-2825][CNNVD-201504-410]

清静类型：

清静误差

事务形貌:

WordPress是WordPress软件基金会的一套使用PHP语言开发的博客平台，，， ，，，该平台支持在PHP和MySQL的效劳器上架设小我私家博客网站 。 。WordPressSimpleAdsManager是一个workpress的广告治理插件 。 。WordPressSimpleAdsManager的sam-ajax-admin.php文件中保存恣意文件上传误差，，， ，，，允许远程攻击者使用误差提交特殊的文件，，， ，，，并以WEB权限执行 。 。

更新时间：

20220723


事务名称：

TCP_提权攻击_Net.Fliter内存马注入_代码执行

清静类型：

清静误差

事务形貌:

检测到源ip正在使用NetFramework上的Filter过滤器，，， ，，，上传Fliter内存马，，， ，，，进而举行更深入的攻击 。 。

更新时间：

20220723


事务名称：

TCP_木马后门_IcedID.BCModule_毗连

清静类型：

木马后门

事务形貌:

检测到IcedID的BC模浚�？？槭酝寂冻绦Ю推� 。 。源IP所在的主机可能被植入了木马IcedID 。 。IcedID是最早在2017年被披露的模浚�？？榛心韭�，，， ，，，也是近年来最盛行的恶意软件家族之一 。 。IcedID主要针对金融行业提倡攻击，，， ，，，还会充当其他恶意软件家族（如Vatet、Egregor、REvil）的Dropper 。 。IcedID包括一个BC模浚�？？�，，， ，，，可以执行攻击者的指令，，， ，，，如运行VNC和SOCKS模浚�？？� 。 。

更新时间：

20220723


事务名称：

HTTPS_木马后门_Covenant_毗连C2效劳器

清静类型：

木马后门

事务形貌:

Covenant是一个.NET开发的C2(commandandcontrol)框架，，， ，，，使用.NETCore的开发情形，，， ，，，不但支持Linux，，， ，，，MacOS和Windows，，， ，，，还支持docker容器 。 。Covenant支持动态编译，，， ，，，能够将输入的C#代码上传至C2Server，，， ，，，获得编译后的文件并使用Assembly.Load()从内存举行加载 。 。该事务批注，，， ，，，Covenant的天生物Grunts正在使用HTTPS协议与C2效劳器建设毗连 。 。

更新时间：

20220723


事务名称：

HTTP_提权攻击_SAP_NETWEAVER_代码执行

清静类型：

清静误差

事务形貌:

SAPNetWeaver是基于专业标准的集成化应用平台，，， ，，，能够大幅度降低系统整合的重大性 。 。其组件包括门户、应用效劳器、商务智能解决计划以及系统整合和数据整合手艺，，， ，，，SAPNetWeaver组件保存远程下令执行误差 。 。

更新时间：

20220723


事务名称：

HTTP_提权攻击_Spring_Shell_代码执行[CVE-2022-22965][CNNVD-202203-2642]

清静类型：

清静误差

事务形貌:

Spring是现在全球最受接待的Java轻量级开源框架 。 。关于CVE-2022-22965误差，，， ，，，攻击者可连系JDK9及以上版本一个新的属性，，， ，，，乐成绕过历史误差CVE-2010-1622修复补丁，，， ，，，同时连系Tomcat容器的一些操作属性，，， ，，，可实现恶意代码执行 。 。

更新时间：

20220723


事务名称：

HTTP_文件操作攻击_WordPress_wpDiscuz_7.0.4_恣意文件上传[CVE-2020-24186][CNNVD-202008-1145]

清静类型：

清静误差

事务形貌:

WordPress的gVectorswpDiscuz插件7.0至7.0.4版本中保存远程代码执行误差，，， ，，，攻击者可使用未履历证的用户通过wmuUploadFilesAjax操作上传任何类型的文件，，， ，，，包括PHP文件,从而实现远程代码执行

更新时间：

20220723



事务名称：

HTTP_设置缺陷_Confluence_server_硬编码绕过[CVE-2022-26138]

清静类型：

清静误差

事务形貌:

AtlassianConfluenceServer是澳大利亚Atlassian公司的一套具有企业知识治理功效，，， ，，，并支持用于构建企业WiKi的协同软件的效劳器版本.ConfluenceServer的扩展程序QuestionsforConfluence在某些版本保存一个默认的硬编码用户，，， ，，，攻击者可使用该误差在未授权的情形下登录confluence并会见confluence-users组中的用户可以会见的所有内容 。 。

更新时间：

20220723


事务名称：

HTTP_文件操作攻击_Zoomla_逐浪CMS系统_恣意文件下载

清静类型：

清静误差

事务形貌:

Zoomla逐浪CMS软件由上海逐一软件科技有限公司、江西逐浪软件科技有限公司联合开发的网站治理系统 。 。因系统中保存误差，，， ，，，攻击者可使用该误差下载恣意文件 。 。

更新时间：

20220723


事务名称：

TCP_提权攻击_Net.HttpListener内存马注入_代码执行

清静类型：

清静误差

事务形貌:

检测到源ip正在使用NetFramework上的HttpListener监听器，，， ，，，上传HttpListener内存马，，， ，，，进而举行更深入的攻击 。 。

更新时间：

20220723



事务名称：

HTTP_文件操作攻击_Wordpress_WP_Property_文件上传

清静类型：

清静误差

事务形貌:

WordPress是WordPress软件基金会的一套使用PHP语言开发的博客平台 。 。该平台支持在PHP和MySQL的效劳器上架设小我私家博客网站 。 。WordPress的WP-Property插件（1.35.0版本）中保存恣意文件上传误差，，， ，，，该误差源于应用程序对用户提供的输入未经充分过滤 。 。攻击者可使用该误差在web效劳器历程上下文中上传并运行恣意PHP代码，，， ，，，这可能有利于未授权会见或权限提升，，， ，，，也可能执行其他的攻击 。 。

更新时间：

20220723


事务名称：

HTTP_提权攻击_MessageSolution_非授权会见/权限绕过[CNVD-2021-10543]

清静类型：

清静误差

事务形貌:

MessageSolution企业邮件归档治理系统EEA是北京易讯思达科技开发有限公司开发的一款邮件归档系统，，， ，，，该系统保存通用WEB信息走漏，，， ，，，泄露Windows效劳器administratorhash与web账号密码 。 。

更新时间：

20220723


事务名称：

HTTP_木马_C3Pool_Xmrig_SetupScript_下载

清静类型：

蠕虫病毒

事务形貌:

检测到下载C3Pool挖矿剧本的行为 。 。源IP可能被植入了恶意木马后门，，， ，，，或者源IP存某个误差，，， ，，，被攻击触发误差乐成，，， ，，，去下载C3Pool挖矿剧本 。 。

更新时间：

20220723


事务名称：

HTTP_提权攻击_思福迪堡垒机_非授权会见/权限绕过

清静类型：

清静误差

事务形貌:

思福迪堡垒机装备是用于对运维职员举行集中治理、对运维操作举行集中审计的清静审计装备 。 。思福迪堡垒机（受影响版本：LogBase-B798、bh-x64-v7.0.13、bh-x64-v7.0.15）保存恣意用户登录误差，，， ，，，恶意攻击者可以绕过堡垒机的密码登录验证机制，，， ，，，以恣意用户身份随意登录堡垒机Web治理界面，，， ，，，并可以正常的使用账户权限去操作 。 。

更新时间：

20220723


事务名称：

TCP_提权攻击_Net.Route内存马注入_代码执行

清静类型：

清静误差

事务形貌:

检测到源ip正在使用NetFramework上的Route路由治理器，，， ，，，上传Route内存马，，， ，，，进而举行更深入的攻击 。 。

更新时间：

20220723


事务名称：

TCP_注入攻击_WebLogic_WsrmPayloadContext_XXE注入[CVE-2019-2649][CNNVD-201904-726]

清静类型：

注入攻击

事务形貌:

检测到源IP主机正在使用HTTP_WebLogic_WsrmPayloadContext_XXE注入误差对目的主机举行攻击的行为 。 。HTTP_WebLogic_WsrmPayloadContext_XXE注入误差，，， ，，，攻击者可以在未授权的情形下将payload封装在T3协议中，，， ，，，通过对T3协议中的payload举行反序列化，，， ，，，从而实现对保存误差的WebLogic组件举行远程BlindXXE攻击 。 。

更新时间：

20220723



事务名称：

HTTP_提权攻击_Apache-Spark-doAS_下令注入[CVE-2022-33891]

清静类型：

清静误差

事务形貌:

ApacheSparkUI通过设置选项spark.acls.enable身份验证过滤器，，， ，，，检查用户是否具有审查或修改应用 。 。若是启用了ACL，，， ，，，则HttpSecurityFilter中的代码允许某人通过提供恣意用户名来执行模拟 。 。恶意用户可能绕过权限检查功效，，， ，，，输入构建一个Unixshell下令，，， ，，，并且执行它 。 。将导致执行恣意shell下令 。 。

更新时间：

20220723


修改事务

 

事务名称：

TCP_后门_Linux.DDoS.Gafgyt_控制下令

清静类型：

其他事务

事务形貌:

检测到Gafgyt效劳器试图发送下令给Gafgyt，，， ，，，目的IP主机被植入了Gafgyt 。 。DDoS.Gafgyt是一个类Linux平台下的僵尸网络，，， ，，，主要功效是对指定目的机械提倡DDoS攻击 。 。对指定目的主机提倡DDoS攻击 。 。

更新时间：

20220723


事务名称：

HTTP_木马后门_WebShell上传_Godzilla哥斯拉_php_base64

清静类型：

清静误差

事务形貌:

检测到源IP主机正在向目的IP主机上传哥斯拉webshell木马 。 。哥斯拉和冰蝎一样，，， ，，，是一种强盛的webshell治理工具，，， ，，，接纳加密流量举行通讯 。 。常被黑客用来维持权限，，， ，，，并举行下一步的提权或移动 。 。

更新时间：

20220723


0


事务名称：

HTTP_木马后门_WebShell上传_Godzilla哥斯拉_php_raw

清静类型：

清静误差

事务形貌:

检测到源IP主机正在向目的IP主机上传哥斯拉webshell木马 。 。哥斯拉和冰蝎一样，，， ，，，是一种强盛的webshell治理工具，，， ，，，接纳加密流量举行通讯 。 。常被黑客用来维持权限，，， ，，，并举行下一步的提权或移动 。 。

更新时间：

20220723


人生就是博-尊龙凯时中国官网


事务名称：

HTTP_木马后门_WebShell上传_Godzilla哥斯拉_asp_base64

清静类型：

清静误差

事务形貌:

检测到源IP主机正在向目的IP主机上传哥斯拉webshell木马 。 。哥斯拉和冰蝎一样，，， ，，，是一种强盛的webshell治理工具，，， ，，，接纳加密流量举行通讯 。 。常被黑客用来维持权限，，， ，，，并举行下一步的提权或移动 。 。

更新时间：

20220723

 

事务名称：

HTTP_木马后门_冰蝎3.0毗连_基础事务2

清静类型：

木马后门

事务形貌:

冰蝎3.0是一款强盛的webshell治理工具 。 。检测到源IP主机正在使用冰蝎3.0毗连目的IP主机的行为

更新时间：

20220723

 

事务名称：

HTTP_文件操作攻击_可疑可执行文件上传

清静类型：

清静误差

事务形貌:

检测到源ip主机保存上传可疑webshell到目的ip主机的行为

更新时间：

20220723