每周升级通告-2022-03-15

宣布时间 2022-03-15

新增事务

 

事务名称：

HTTP_可疑行为_日志文件信息泄露

清静类型：

CGI攻击

事务形貌：

检测到源IP主机正在使用信息泄露误差攻击目的IP主机的行为，，，，，可读取目的IP主机上的敏感信息文件。。 。。。 。 。。

更新时间：

20220315

 

事务名称：

HTTP_误差使用_ShiroAttack2工具使用-暴力破解使用链_远程代码执行

清静类型：

清静误差

事务形貌：

检测到现在主机正受到ApachShiroRememberme参数下令注入代码执行攻击ApacheShiro是一个强盛且易用的Java清静框架，，，，，被用来执行身份验证、授权、密码和会话治理。。 。。。 。 。。克日，，，，，发明针对该误差的使用方法已被小规模撒播（误差版本<=1.2.4），，，，，请相关用户尽快接纳步伐对此误差举行防护。。 。。。 。 。。

更新时间：

20220315

 

事务名称：

HTTP_误差使用_ShiroAttack2工具使用-内存马注入_远程代码执行

清静类型：

清静误差

事务形貌：

检测到现在主机正受到ApachShiroRememberme参数下令注入代码执行攻击ApacheShiro是一个强盛且易用的Java清静框架，，，，，被用来执行身份验证、授权、密码和会话治理。。 。。。 。 。。克日，，，，，发明针对该误差的使用方法已被小规模撒播（误差版本<=1.2.4），，，，，请相关用户尽快接纳步伐对此误差举行防护。。 。。。 。 。。

更新时间：

20220315

 

事务名称：

TCP_后门_Win32.Torchwood_毗连

清静类型：

木马后门

事务形貌：

检测到后门试图毗连远程效劳器。。 。。。 。 。。源IP所在的主机可能被植入了后门Torchwood。。 。。。 。 。。Torchwood是一个功效很是强盛的后门，，，，，运行后可以完全控制被植入机械。。 。。。 。 。。主要通过CHM文件撒播。。 。。。 。 。。允许攻击者完全控制被植入机械。。 。。。 。 。。

更新时间：

20220315

 

事务名称：

TCP_可疑行为_Linux下令执行回显

清静类型：

清静误差

事务形貌：

检测到源IP主机泛起了某些Linux下令（如w、top、uptime等）执行的回显流量，，，，，包括目今系统时刻、运行时间、用户总毗连数、平均负载等信息

更新时间：

20220315

 

事务名称：

HTTP_ElasticSearch_目录穿越误差[CVE-2015-5531]

清静类型：

CGI攻击

事务形貌：

检测到试图通过使用ElasticSearch目录穿越误差举行攻击的行为，，，，，攻击者可以使用该误差读取到操作系统上的恣意文件。。 。。。 。 。。ElasticSearch是一个基于Lucene的搜索效劳器，，，，，基于Java开发。。 。。。 。 。。ElasticSearch保存目录穿越误差，，，，，攻击者使用该误差可读取操作系统上的恣意文件。。 。。。 。 。。实验远程执行恣意代码。。 。。。 。 。。

更新时间：

20220315

 

事务名称：

HTTP_elasticsearch-head_目录穿越误差[CVE-2015-3337]

清静类型：

清静误差

事务形貌：

检测到试图通过使用ElasticSearchhead插件目录穿越误差举行攻击的行为，，，，，攻击者可以使用该误差读取到操作系统上的恣意文件。。 。。。 。 。。ElasticSearch是一个基于Lucene的搜索效劳器，，，，，基于Java开发。。 。。。 。 。。ElasticSearchhead插件保存目录穿越误差，，，，，攻击者使用该误差可读取操作系统上的恣意文件。。 。。。 。 。。实验远程执行恣意代码。。 。。。 。 。。

更新时间：

20220315

 

事务名称：

HTTP_Apache_Solr_SSRF误差[CVE-2021-27905]

清静类型：

注入攻击

事务形貌：

ApacheSolr是一个开源的搜索效劳，，，，，使用Java编写、运行在Servlet容器的一个自力的全文搜索效劳器，，，，，是ApacheLucene项目的开源企业搜索平台。。 。。。 。 。。该误差是由于没有对输入的内容举行校验，，，，，攻击者可使用该误差在未授权的情形下，，，，，结构恶意数据执行SSRF攻击，，，，，最终造成恣意读取效劳器上的文件。。 。。。 。 。。

更新时间：

20220315

 

事务名称：

HTTP_可疑行为_java反序列化_远程下令执行

清静类型：

可疑行为

事务形貌：

检测到源IP主机正在向目的IP发送可能保存远程下令执行挪用的java反序列化请求。。 。。。 。 。。

更新时间：

20220315

 

事务名称：

HTTP_清静误差_POSCMS_恣意下令执行

清静类型：

清静误差

事务形貌：

POSCMS3.2.0版本前台界面保存远程代码执行误差。。 。。。 。 。。特定路径传入恶意参数，，，，，会导致代码执行，，，，，导致恶意攻击者可以通过此误差写入恶意代码，，，，，并可以通过此误差举行getshell

更新时间：

20220315

 

事务名称：

HTTP_清静误差_POSCMS_文件包括

清静类型：

清静误差

事务形貌：

POSCMS3.2.0版本后台治理界面的附件上传功效只是对文件后缀举行了验证，，，，，但并没有对文件内容举行验证，，，，，导致恶意攻击者可以通过此误差上传恶意文件，，，，，并可以通过使用此文件举行getshell。。 。。。 。 。。要执行攻击，，，，，需要能够登录到后台治理界面，，，，，且有上传文件的权限。。 。。。 。 。。

更新时间：

20220315

 

事务名称：

HTTP_清静误差_mini_httpd_恣意文件读取误差[CVE-2018-18778][CNNVD-201810-1382]

清静类型：

清静误差

事务形貌：

Mini_httpd是一个微型的Http效劳器，，，，，在占用系统资源较小的情形下可以坚持一定水平的性能（约为Apache的90%），，，，，因此普遍被种种IOT（路由器，，，，，交流器，，，，，摄像头等）作为嵌入式效劳器。。 。。。 。 。。而包括华为，，，，，zyxel，，，，，海�？？？？低�，，，，，树莓派等在内的厂商的旗下装备都曾接纳Mini_httpd组件。。 。。。 。 。。ACMEmini_httpd<1.30版本保存一个恣意文件读取误差，，，，，该误差源于在mini_httpd开启虚拟主机模式的情形下，，，，，用户请求http://HOST/FILE将会会见到目今目录下的HOST/FILE文件，，，，，而当HOST为空、FILE=etc/passwd的时间，，，，，上述语句效果为/etc/passwd。。 。。。 。 。。�？？？？勺魑月肪�，，，，，读取到了/etc/passwd，，，，，造成恣意文件读取误差。。 。。。 。 。。

更新时间：

20220315

 

事务名称：

HTTP_清静误差_ToTolink_Technology路由器_未授权下令注入[CVE-2022-25134][CNNVD-202202-1645]

清静类型：

清静误差

事务形貌：

检测到源IP主机正试图通过CVE-2022-25134误差攻击目的IP主机。。 。。。 。 。。TOTOLINKTechnology路由器固件里保存下令注入误差，，，，，攻击者可借此远程执行系统下令。。 。。。 。 。。受影响路由器型号及其固件版本为：A830R(V5.9c.4729_B20191112)、3100R(V4.1.2cu.5050_B20200504)、A950RG(V4.1.2cu.5161_B20200903)、A800R(V4.1.2cu.5137_B20200730)、A3000RU(V5.9c.5185_B20201128)、A810R(V4.1.2cu.5182_B20201026)。。 。。。 。 。。

更新时间：

20220315

 

事务名称：

HTTP_误差使用_ShiroAttack工具使用_远程代码执行

清静类型：

清静误差

事务形貌：

检测到现在主机正受到ApachShiroRememberme参数下令注入代码执行攻击ApacheShiro是一个强盛且易用的Java清静框架，，，，，被用来执行身份验证、授权、密码和会话治理。。 。。。 。 。。克日，，，，，发明针对该误差的使用方法已被小规模撒播（误差版本<=1.2.4），，，，，请相关用户尽快接纳步伐对此误差举行防护。。 。。。 。 。。

更新时间：

20220315

 

事务名称：

HTTP_清静误差_ToTolink_EX200无线中继器_未授权下令注入[CVE-2021-43711][CNNVD-202201-147]

清静类型：

清静误差

事务形貌：

ToTolinkEx200是中国ToTolink公司的一款2.4G无线中继器，，，，，旨在扩大现有Wi-Fi网络的笼罩规模。。 。。。 。 。。ToTolinkEx200对httpGET参数处置惩罚不当，，，，，保存下令注入误差，，，，，导致未授权远程执行下令。。 。。。 。 。。攻击者可使用此误差注入执行恶意下令。。 。。。 。 。。

更新时间：

20220315

 

修改事务

 

事务名称：

HTTP_可疑行为_Apache_Log4j_嵌套使用内置lookup名堂字符串

清静类型：

清静误差

事务形貌：

ApacheLog4j是一个用于Java的日志纪录库，，，，，其支持启动远程日志效劳器。。 。。。 。 。。此事务代表发明了源IP主机发送了知足内置lookup名堂的字符串，，，，，当目的IP主机后端吸收到此名堂的字符串时，，，，，会自动挪用lookup功效。。 。。。 。 。。此事务检测的是“嵌套”使用lookup记号的行为，，，，，此行为具有一定危害，，，，，可能会被攻击者滥用，，，，，如绕过WAF检测，，，，，并举行非预期的jndi挪用。。 。。。 。 。。

更新时间：

20220315

 

事务名称：

TCP_可疑行为_Apache_Log4j_嵌套使用内置lookup名堂字符串

清静类型：

清静误差

事务形貌：

ApacheLog4j是一个用于Java的日志纪录库，，，，，其支持启动远程日志效劳器。。 。。。 。 。。此事务代表发明了源IP主机发送了知足内置lookup名堂的字符串，，，，，当目的IP主机后端吸收到此名堂的字符串时，，，，，会自动挪用lookup功效。。 。。。 。 。。此事务检测的是“嵌套”使用lookup记号的行为，，，，，此行为具有一定危害，，，，，可能会被攻击者滥用，，，，，如绕过WAF检测，，，，，并举行非预期的jndi挪用。。 。。。 。 。。

更新时间：

20220315

 

事务名称：

HTTP_通用_目录穿越误差[CVE-2019-11510/CVE-2020-5410/CVE-2019-19781/CVE-2020-5902]

清静类型：

清静误差

事务形貌：

检测到源IP主机正在实验对目的IP主机举行目录穿越误差攻击实验的行为。。 。。。 。 。。目录穿越误差能使攻击者绕过Web效劳器的会见限制，，，，，对web根目录以外的文件夹，，，，，恣意地读取甚至写入文件数据。。 。。。 。 。。此规则是一条通用规则，，，，，其他误差（甚至一些0day误差）攻击的payload也有可能触发此事务报警。。 。。。 。 。。由于正常营业中一样平常不会爆发此事务特征的流量，，，，，以是需要重点关注。。 。。。 。 。。允许远程攻击者会见敏感文件。。 。。。 。 。。

更新时间：

20220315