Linux内核本地提权漏洞预警分析(CVE-2019-8912) 渗透测试

Linux内核本地提权漏洞预警分析(CVE-2019-8912)

一、漏洞背景 近日,Linux git中发布一个commit补丁,该补丁对应的漏洞是一个本地提权漏洞CVE-2019-8912,漏洞影响范围较广。根据git中的commit信息可知,该漏洞出现在内核’crypto/af_alg.c’中的af_alg_release函数中,可以通过sockfs_setattr函数触发,漏洞类型是use after free,可以导致本地代码执行进行权限提升。 二、漏洞影响版本 Linux 2 .6 ~ linux 4.20.11 Red Hat Enterprise Linux 7,Package: kernel-alt...
最新
阅读全文
Window应急响应(一):FTP暴力破解 渗透测试

Window应急响应(一):FTP暴力破解

0x00 前言 FTP是一个文件传输协议,用户通过FTP可从客户机程序向远程主机上传或下载文件,常用于网站代码维护、日常源码备份等。如果攻击者通过FTP匿名访问或者弱口令获取FTP权限,可直接上传webshell,进一步渗透提权,直至控制整个网站服务器。 0x01 应急场景 从昨天开始,网站响应速度变得缓慢,网站服务器登录上去非常卡,重启服务器就能保证一段时间的正常访问,网站响应状态时而飞快时而缓慢,多数时间是缓慢的。针对网站服务器异常,系统日志和网站日志,是我们排查处理的重点。查看Window安全日志,发现大量的登录失败记录: 0...
阅读全文
Linux内核CVE-2017-11176漏洞分析与复现 代码审计

Linux内核CVE-2017-11176漏洞分析与复现

一、漏洞背景 Linux内核中的POSIX 消息队列实现中存在一个UAF漏洞CVE-2017-11176。攻击者可以利用该漏洞导致拒绝服务或执行任意代码。本文将从漏洞成因、补丁分析以及漏洞复现等多个角度对该漏洞进行详细分析。 二、漏洞分析 Posix消息队列允许异步事件通知,当往一个空队列放置一个消息时,Posix消息队列允许产生一个信号或启动一个线程。这种异步事件通知调用mq_notify函数实现,mq_notify为指定队列建立或删除异步通知。由于mq_notify函数在进入retry流程时没有将sock指针设置为NULL,可能导致UAF漏洞。 ...
阅读全文
WordPress插件WooCommerce任意文件删除漏洞分析 渗透测试

WordPress插件WooCommerce任意文件删除漏洞分析

前言 近期,研究人员在WordPress的权限处理机制中发现了一个安全漏洞,而这个漏洞将允许WordPress插件实现提权。其中一个典型例子就是WooCommerce,该插件是目前最热门的一款电子商务插件,并且拥有400万+的安装量。简而言之,这个漏洞将允许商铺管理员删除目标服务器上的特定文件,并接管管理员帐号。 漏洞影响 我们检测并上报了WooCommerce中存在的一个文件删除漏洞,这个漏洞已经在WooCommerce的v3.4.6版本中成功修复。任意文件删除漏洞在大多数情况下并不会被认为是一种高危漏洞,因为攻击者能做的只有通过删除网站的index.ph...
阅读全文
Cynet:全方位一体化安全防护工具 神兵利器

Cynet:全方位一体化安全防护工具

1999年,布鲁斯·施奈尔曾说过:“复杂性是安全最大的敌人。”彼时还是19年前,而现在,网络安全已然变得更加繁杂。 近日我在网上冲浪过程中发现了这么一个平台性质的软件,看似具有相当强的防护能力。 根据Cynet的描述,该平台具备多种安全功能,将网络和端点汇聚在了一起,统一管理,同时将防御者的工作尽可能的自动化、简单化。Cynet旨在通过该平台汇集当前主流的技术和功能,实现预防、检测和响应等多种需求,并且使其简单直观,能够让不具备专业知识的人也顺畅使用。 部署方式 Cynet使用了多种部署方式,包括内部部署,IAAS(基础设施即服务),SAAS(软件即服务)以及...
阅读全文
勒索软件最喜欢的接入点:远程桌面协议 渗透测试

勒索软件最喜欢的接入点:远程桌面协议

写在前面的话 从2018年开始,大家几乎每天都能听到关于勒索软件的消息。除此之外,勒索软件的更新和升级也从未停止过,比如说Dharma和SamSam这种杀伤力巨大的勒索软件,变种版本层出不穷。实际上,在攻击者入侵了一个企业网络的远程桌面协议(RDP)端口后,他们将能够直接在目标网络的主机上安装勒索软件。 这种攻击切入点是由于缺乏安全保护所导致的,一旦存在这样的安全问题,攻击者可以利用暴力破解攻击轻而易举地渗透进目标网络,并向特定位置上传勒索软件。由于通过入侵RDP来实现勒索软件攻击的比例越来越大,因此我们需要让整个社区认识到这个漏洞的重要性。 根据Covew...
阅读全文
一则邮件攻击样本分析分享 渗透测试

一则邮件攻击样本分析分享

一、前言 通过邮件投递病毒文件是网络攻击常用的一种方式,因此防御邮件攻击是每个安全团队都需要重点考虑的内容。中兴通讯每天都会收到数万封外部邮件,为了及时检测每封邮件是否含有恶意文件,中兴ZInsight团队部署了自研的高级邮件防御系统,针对每个邮件附件,通过动态行为分析的方式检测是否存在威胁。本文介绍近期捕获的一起攻击事件,分析其攻击过程。 二、攻击邮件的捕获与分析 近日,中兴高级邮件防御系统捕获了一批使用高危word附件进行定向攻击的钓鱼邮件,攻击对象均为同一项目团队成员,引起了安全人员的重视。下面是邮件附件的分析报告: 从分析报告中可以清晰的...
阅读全文
MacOS再次出现漏洞,号称牢不可破的系统也有弱点 界内新闻

MacOS再次出现漏洞,号称牢不可破的系统也有弱点

本文讲述了我在苹果的macOS系统内核中发现的几个堆栈和缓冲区溢出漏洞,苹果官方将这几个漏洞归类为内核中的远程代码执行漏洞,因此这些漏洞的威胁级别非常高。攻击者可以通过这些漏洞远程入侵Mac,也可以在通过物理的方式访问计算机时,仅需要以访客身份登录(无需密码),就可以通过这些漏洞从而获取权限并控制计算机。 这些漏洞基本都存在于NFS协议中,就是用来将网络驱动安装至Mac的文件系统时使用的,类似于NAS。 漏洞相关内容 苹果公司在2018年7月9日发布的MacOS 10.13.6版本更新中修复了这些漏洞。但是当时他们要求我们先不要公布这些漏洞,因为他们需要再做一些调查,看看...
阅读全文
X.Org Server软件包存在提权漏洞,影响主流Linux发行版 界内新闻

X.Org Server软件包存在提权漏洞,影响主流Linux发行版

前言 印度安全研究员Narendra Shinde在X.Org Server软件包中发现了一个非常关键的提权漏洞(CVE-2018-14665),主流Linux发行版均受到影响,包括OpenBSD、Debian、Ubuntu、CentOS、Red Hat和Fedora。 X.Org Server软件包提供了X窗口系统(X Window System,也常称为X11或X)的开源实现。 X Window System是一种以位图方式显示的软件窗口系统。最初是1984年麻省理工学院的研究,之后变成UNIX、类UNIX、以及OpenVMS等操作系统所一致适用...
阅读全文
如何使用serviceFu这款功能强大的远程收集服务帐户凭据工具 神兵利器

如何使用serviceFu这款功能强大的远程收集服务帐户凭据工具

serviceFu 在近期所进行的安全审计活动中,我们的团队设计出了一种新的安全工具,并希望能跟整个社区一起分享。 当时在进行安全审计开始前,我们首先需要尝试获取到客户网络系统的初始访问权。这位特殊的客户之前曾投入过大量的人力和物力资源来提升企业网络系统的安全性。在客户域名系统中的大多数客户都需要进行智能卡认证,并且禁用了凭证缓存(Mimikatz的sekurlsa::logonPasswords无效),而且还设置了基于主机的日志记录系统(Powershell, Sysmon, HIPS)。 在进行了仔细分析之后,我们把注意力放在了一台更有“价值”的服务器上。这台服务器之...
阅读全文
使用DDL注入绕过Windows 10受控文件夹访问保护 界内新闻

使用DDL注入绕过Windows 10受控文件夹访问保护

在Windows 10中,微软新增了一项名为“受控文件夹访问”的功能,该功能可用于防止未知程序修改受保护文件夹中的文件。 而在上周举行的DerbyCon安全会议上,一位安全研究人员则向大家展示了一种利用DLL注入来绕过受控文件夹访问保护的方法。 使用DLL注入绕过受控文件夹访问保护 受控文件夹访问功能启用后,将会监视应用程序对受保护的某些文件夹中的文件所做的任何更改行为,并且只允许被列入白名单的应用程序修改这些文件。白名单应用程序可以是你指定的应用程序,也可以是微软默认列入白名单的应用程序。 在得知explorer.exe默认为受控文件夹访问白名单程序后,富士...
阅读全文
WebExec漏洞原理与分析浅谈 代码审计

WebExec漏洞原理与分析浅谈

本文是WebExec漏洞发现和工作原理的技术writeup。 研究人员在渗透测试过程中发现WebEx的WebexUpdateService存在漏洞——WebExec,攻击者利用该漏洞可以允许任何人登陆用户远程执行SYSTEM级代码。不同于一般远程代码执行漏洞的是,没有监听任何端口的客户端应用也可能存在远程代码执行漏洞。可以通过WebEx客户端的一个组件在WebEx没有监听远程连接的情况下远程执行代码。   简介 研究人员是在最近的一次渗透测试过程中发现的该漏洞,最初的测试目标是提升本地标准用户账户的权限,但发现了该远程代码执行漏洞,研究人员将其命名为...
阅读全文