每周升级通告-2022-03-15

宣布时间 2022-03-15

新增事务

 

事务名称：

HTTP_可疑行为_日志文件信息泄露

清静类型：

CGI攻击

事务形貌：

检测到源IP主机正在使用信息泄露误差攻击目的IP主机的行为， ，，，，可读取目的IP主机上的敏感信息文件。。。。 。

更新时间：

20220315

 

事务名称：

HTTP_误差使用_ShiroAttack2工具使用-暴力破解使用链_远程代码执行

清静类型：

清静误差

事务形貌：

检测到现在主机正受到ApachShiroRememberme参数下令注入代码执行攻击ApacheShiro是一个强盛且易用的Java清静框架， ，，，，被用来执行身份验证、授权、密码和会话治理。。。。 。克日， ，，，，发明针对该误差的使用方法已被小规模撒播（误差版本<=1.2.4）， ，，，，请相关用户尽快接纳步伐对此误差举行防护。。。。 。

更新时间：

20220315

 

事务名称：

HTTP_误差使用_ShiroAttack2工具使用-内存马注入_远程代码执行

清静类型：

清静误差

事务形貌：

检测到现在主机正受到ApachShiroRememberme参数下令注入代码执行攻击ApacheShiro是一个强盛且易用的Java清静框架， ，，，，被用来执行身份验证、授权、密码和会话治理。。。。 。克日， ，，，，发明针对该误差的使用方法已被小规模撒播（误差版本<=1.2.4）， ，，，，请相关用户尽快接纳步伐对此误差举行防护。。。。 。

更新时间：

20220315

 

事务名称：

TCP_后门_Win32.Torchwood_毗连

清静类型：

木马后门

事务形貌：

检测到后门试图毗连远程效劳器。。。。 。源IP所在的主机可能被植入了后门Torchwood。。。。 。Torchwood是一个功效很是强盛的后门， ，，，，运行后可以完全控制被植入机械。。。。 。主要通过CHM文件撒播。。。。 。允许攻击者完全控制被植入机械。。。。 。

更新时间：

20220315

 

事务名称：

TCP_可疑行为_Linux下令执行回显

清静类型：

清静误差

事务形貌：

检测到源IP主机泛起了某些Linux下令（如w、top、uptime等）执行的回显流量， ，，，，包括目今系统时刻、运行时间、用户总毗连数、平均负载等信息

更新时间：

20220315

 

事务名称：

HTTP_ElasticSearch_目录穿越误差[CVE-2015-5531]

清静类型：

CGI攻击

事务形貌：

检测到试图通过使用ElasticSearch目录穿越误差举行攻击的行为， ，，，，攻击者可以使用该误差读取到操作系统上的恣意文件。。。。 。ElasticSearch是一个基于Lucene的搜索效劳器， ，，，，基于Java开发。。。。 。ElasticSearch保存目录穿越误差， ，，，，攻击者使用该误差可读取操作系统上的恣意文件。。。。 。实验远程执行恣意代码。。。。 。

更新时间：

20220315

 

事务名称：

HTTP_elasticsearch-head_目录穿越误差[CVE-2015-3337]

清静类型：

清静误差

事务形貌：

检测到试图通过使用ElasticSearchhead插件目录穿越误差举行攻击的行为， ，，，，攻击者可以使用该误差读取到操作系统上的恣意文件。。。。 。ElasticSearch是一个基于Lucene的搜索效劳器， ，，，，基于Java开发。。。。 。ElasticSearchhead插件保存目录穿越误差， ，，，，攻击者使用该误差可读取操作系统上的恣意文件。。。。 。实验远程执行恣意代码。。。。 。

更新时间：

20220315

 

事务名称：

HTTP_Apache_Solr_SSRF误差[CVE-2021-27905]

清静类型：

注入攻击

事务形貌：

ApacheSolr是一个开源的搜索效劳， ，，，，使用Java编写、运行在Servlet容器的一个自力的全文搜索效劳器， ，，，，是ApacheLucene项目的开源企业搜索平台。。。。 。该误差是由于没有对输入的内容举行校验， ，，，，攻击者可使用该误差在未授权的情形下， ，，，，结构恶意数据执行SSRF攻击， ，，，，最终造成恣意读取效劳器上的文件。。。。 。

更新时间：

20220315

 

事务名称：

HTTP_可疑行为_java反序列化_远程下令执行

清静类型：

可疑行为

事务形貌：

检测到源IP主机正在向目的IP发送可能保存远程下令执行挪用的java反序列化请求。。。。 。

更新时间：

20220315

 

事务名称：

HTTP_清静误差_POSCMS_恣意下令执行

清静类型：

清静误差

事务形貌：

POSCMS3.2.0版本前台界面保存远程代码执行误差。。。。 。特定路径传入恶意参数， ，，，，会导致代码执行， ，，，，导致恶意攻击者可以通过此误差写入恶意代码， ，，，，并可以通过此误差举行getshell

更新时间：

20220315

 

事务名称：

HTTP_清静误差_POSCMS_文件包括

清静类型：

清静误差

事务形貌：

POSCMS3.2.0版本后台治理界面的附件上传功效只是对文件后缀举行了验证， ，，，，但并没有对文件内容举行验证， ，，，，导致恶意攻击者可以通过此误差上传恶意文件， ，，，，并可以通过使用此文件举行getshell。。。。 。要执行攻击， ，，，，需要能够登录到后台治理界面， ，，，，且有上传文件的权限。。。。 。

更新时间：

20220315

 

事务名称：

HTTP_清静误差_mini_httpd_恣意文件读取误差[CVE-2018-18778][CNNVD-201810-1382]

清静类型：

清静误差

事务形貌：

Mini_httpd是一个微型的Http效劳器， ，，，，在占用系统资源较小的情形下可以坚持一定水平的性能（约为Apache的90%）， ，，，，因此普遍被种种IOT（路由器， ，，，，交流器， ，，，，摄像头等）作为嵌入式效劳器。。。。 。而包括华为， ，，，，zyxel， ，，，，海�？？？？？？低�， ，，，，树莓派等在内的厂商的旗下装备都曾接纳Mini_httpd组件。。。。 。ACMEmini_httpd<1.30版本保存一个恣意文件读取误差， ，，，，该误差源于在mini_httpd开启虚拟主机模式的情形下， ，，，，用户请求http://HOST/FILE将会会见到目今目录下的HOST/FILE文件， ，，，，而当HOST为空、FILE=etc/passwd的时间， ，，，，上述语句效果为/etc/passwd。。。。 。�？？？？？？勺魑月肪�， ，，，，读取到了/etc/passwd， ，，，，造成恣意文件读取误差。。。。 。

更新时间：

20220315

 

事务名称：

HTTP_清静误差_ToTolink_Technology路由器_未授权下令注入[CVE-2022-25134][CNNVD-202202-1645]

清静类型：

清静误差

事务形貌：

检测到源IP主机正试图通过CVE-2022-25134误差攻击目的IP主机。。。。 。TOTOLINKTechnology路由器固件里保存下令注入误差， ，，，，攻击者可借此远程执行系统下令。。。。 。受影响路由器型号及其固件版本为：A830R(V5.9c.4729_B20191112)、3100R(V4.1.2cu.5050_B20200504)、A950RG(V4.1.2cu.5161_B20200903)、A800R(V4.1.2cu.5137_B20200730)、A3000RU(V5.9c.5185_B20201128)、A810R(V4.1.2cu.5182_B20201026)。。。。 。

更新时间：

20220315

 

事务名称：

HTTP_误差使用_ShiroAttack工具使用_远程代码执行

清静类型：

清静误差

事务形貌：

检测到现在主机正受到ApachShiroRememberme参数下令注入代码执行攻击ApacheShiro是一个强盛且易用的Java清静框架， ，，，，被用来执行身份验证、授权、密码和会话治理。。。。 。克日， ，，，，发明针对该误差的使用方法已被小规模撒播（误差版本<=1.2.4）， ，，，，请相关用户尽快接纳步伐对此误差举行防护。。。。 。

更新时间：

20220315

 

事务名称：

HTTP_清静误差_ToTolink_EX200无线中继器_未授权下令注入[CVE-2021-43711][CNNVD-202201-147]

清静类型：

清静误差

事务形貌：

ToTolinkEx200是中国ToTolink公司的一款2.4G无线中继器， ，，，，旨在扩大现有Wi-Fi网络的笼罩规模。。。。 。ToTolinkEx200对httpGET参数处置惩罚不当， ，，，，保存下令注入误差， ，，，，导致未授权远程执行下令。。。。 。攻击者可使用此误差注入执行恶意下令。。。。 。

更新时间：

20220315

 

修改事务

 

事务名称：

HTTP_可疑行为_Apache_Log4j_嵌套使用内置lookup名堂字符串

清静类型：

清静误差

事务形貌：

ApacheLog4j是一个用于Java的日志纪录库， ，，，，其支持启动远程日志效劳器。。。。 。此事务代表发明了源IP主机发送了知足内置lookup名堂的字符串， ，，，，当目的IP主机后端吸收到此名堂的字符串时， ，，，，会自动挪用lookup功效。。。。 。此事务检测的是“嵌套”使用lookup记号的行为， ，，，，此行为具有一定危害， ，，，，可能会被攻击者滥用， ，，，，如绕过WAF检测， ，，，，并举行非预期的jndi挪用。。。。 。

更新时间：

20220315

 

事务名称：

TCP_可疑行为_Apache_Log4j_嵌套使用内置lookup名堂字符串

清静类型：

清静误差

事务形貌：

ApacheLog4j是一个用于Java的日志纪录库， ，，，，其支持启动远程日志效劳器。。。。 。此事务代表发明了源IP主机发送了知足内置lookup名堂的字符串， ，，，，当目的IP主机后端吸收到此名堂的字符串时， ，，，，会自动挪用lookup功效。。。。 。此事务检测的是“嵌套”使用lookup记号的行为， ，，，，此行为具有一定危害， ，，，，可能会被攻击者滥用， ，，，，如绕过WAF检测， ，，，，并举行非预期的jndi挪用。。。。 。

更新时间：

20220315

 

事务名称：

HTTP_通用_目录穿越误差[CVE-2019-11510/CVE-2020-5410/CVE-2019-19781/CVE-2020-5902]

清静类型：

清静误差

事务形貌：

检测到源IP主机正在实验对目的IP主机举行目录穿越误差攻击实验的行为。。。。 。目录穿越误差能使攻击者绕过Web效劳器的会见限制， ，，，，对web根目录以外的文件夹， ，，，，恣意地读取甚至写入文件数据。。。。 。此规则是一条通用规则， ，，，，其他误差（甚至一些0day误差）攻击的payload也有可能触发此事务报警。。。。 。由于正常营业中一样平常不会爆发此事务特征的流量， ，，，，以是需要重点关注。。。。 。允许远程攻击者会见敏感文件。。。。 。

更新时间：

20220315