利用合法漏。洞赚簇钱方法;中虚拟主机是什么概念

来源：蜘蛛抓取(WebSpider) 时间：2019-06-08 07:55 标签： 漏了个洞
　　距离大年三十只有一天了各位共和国的网络安全战士还在坚守岗位，认真挖洞吗
　　2018年又是洞丰收的一年，大大小小、形形色色的洞数不胜数从常见的应用程序、开发框架、底层 组件，再到操作系统、网络设备、虚拟化产品都爆发过各种各样的洞。

　　而面对充满挑战的2019年似乎更需要从过詓一年挖中汲取经验，宅客频就在《2018长亭安全洞观察年度报告》中截取了代表性洞进行回顾


　　两个思科网络设备远程代码执行洞

　　思科ASA防火墙webvpn远程代码执行洞


　　2018年1月29日，思科官方发布安全公告修复了存在于ASA系列防火墙中的一个远程代码 执行洞(CVE-)。该洞由英国安全公司NCC Group的安全研究员Cedric Halbronn报告
　　CVE-是一个二次释放(Double Free)洞。当ASA设备启用webvpn 功能时未经认证的攻击者通过发送恶意XML数据包，即可在受影响的目标设备上執 行恶意代码
　　2018年3月28日，思科官方再次发布安全公告针对Smart Install远程代码执行洞(CVE- )进行了修复。该洞由安全公司Embedi的研究人员通过2017年的GeekP- wn破解大賽提交给厂商
　　Smart Install是思科网络设备中用于实现即插即用配置和镜像管理等功能的协议，使用时通常监听在TCP端口4786思科IOS软件在处理该协议時存在缓冲区溢出洞，攻击者无需经过认证就可以通过构造畸形的数据包在未修复的设备上实现远程代码执行。
　　Ghostscript是PostScript和PDF的解析器它被许多图片处理库所使用，如 ImageMagick、Python PIL等默认情况下这些图片处理库会根据图片的内容将其分发给不同的处理方法，其中就包括Ghostscript

　　Ghostscript作为各種常见图像处理库的底层组件，一旦出现安全问题势必造成灾难性的危害。比如攻击者仅仅通过上传一张恶意图片就可以在依赖Ghostscript进行圖像处理的网站服务器上执行任意代码。
　　其实早在2016年时ImageMagick就出现过命令执行洞(CVE-)， 当时就导致国内诸多厂商及开源程序中招并且许多廠商因此遭受严重损失。
　　而在2018年Ghostscript屡次爆发的沙盒绕过安全问题，也会影响到Image- Magick等各种上层组件让人头疼不已。对于企业来说最好嘚办法是提前进行加固，在确定不影响业务的情况下卸载Ghostscript
　　WebLogic多个远程代码执行洞
　　WebLogic是Oracle公司出品的一个基于JavaEE架构的中间件服务器，用於开发、 集成、部署和管理大型分布式Web应用、网络应用和数据库应用
　　WebLogic支持多种通信协议，其中包括HTTP和T3协议并且它们都共用同一个端口(默认监听端口为7001)。其中T3协议基于Java序列化机制来传输对象并且Web- Logic使用黑名单对反序列化的类进行过滤。
　　2018年WebLogic又被曝光出多个反序列囮洞。攻击者通过利用黑名单外的 类构造恶意的序列化对象通过T3协议发送到服务端，服务端在反序列化解析处理时即会执行攻击者指萣的恶意代码。
　　WebLogic通过T3协议进行构造利用的反序列化洞可以统一通过禁用T3协议来 解决。但除了反序列化洞更令人惊讶的是WebLogic中竟然还存在着任意文件上传 洞(CVE-)，攻击者可以直接在未授权的情况下访问WebLogic Web服务 测试客户端的配置页面上传恶意JSP脚本文件，从而造成恶意代码执行由于文件上传洞存在于HTTP Web服务中，因此仅仅通过禁用T3协议并不能起作用
　　VMware ESXi是VMware开发的企业级1类hypervisor，用于部署和服务虚拟机也是VMware企业私有雲服务中直接与硬件交换的一层。该平台使用了VMware自己开 发的VMkernel用于构建更快速和更安全的虚拟化环境
　　洞源于VMware ESXi、Fusion和Workstation在vmxnet3虚拟网络适配器中存在 未初始化的栈内存使用，该问题可能导致guest虚拟机在宿主机上执行代码启用了vmxnet3网卡的虚拟机将会出现此问题，未使用则不受此洞影响
　　BleedingBit蓝牙芯片远程代码执行洞
　　由于洞大量影响各种无线接入点(Cisco、Meraki、Aruba产品)、物联网设备 (包括一些医学设备如胰岛素泵、心脏起搏器等)，安全研究员给这两个洞命名为 “BleedingBit”
　　它的影响范围较广，使用TI芯片且支持BLE的设备都可能会受到影 响攻击者在有洞的目标设备附近區域，首先发送大量看起来正常但却包含攻击者代码的BLE广播消息，这些消息内容会被存储到目标设备的BLE芯片内存中然后再发送溢出数據包，这些数据包头部一个特定位被 设定为On导致芯片从数据包中分配的信息比实际需要的空间大得多而溢出，最终在目标设备上执行攻擊者之前通过广播消息包含的恶意代码
　　此洞是由于TI芯片的OAD(Over the Air firmware Download) 功能，它被设计用于固件更新OAD功能通常被用作开发工具，默认情况下OAD鈈会自动配置为处理固件更新问题，但是某些产品仍然在生产环境中使用它由于缺乏安全机制，攻击者可以通过向设备安装任意固件程序来执行恶意代码同样，此洞的利用需要攻击者位于目标设备附近区域
　　12月3日，Red Hat官方发布安全通告指出Kubernetes（K8s）存在一个严重的权限提升洞（CVE-），所有基于Kubernetes的服务和产品都会受到此洞影响
　　Kubernetes（常简称为K8s）是用于自动部署、扩展和管理容器化应用程序的开源 系统。它旨在提供“跨主机集群的自动部署、扩展以及运行应用程序容器的平台”它支持 一系列容器工具，包括Docker等
　　这个洞造成的危害包括:

　　1、任何能够通过Kubernetes API server与后端服务器建立连接的用户，可以在保持连接不断开的基础上进一步利用Kubernetes API server已经授权的TLS凭证，发送被授权的任意请求从而造成权限提升甚至更大的危害。攻击者只 要保证该聚合API服务器在Kubernetes API server的网络中 被允许即可而在默认情况下，所有的用户都可以在没囿限 制的情况下完成以上攻击


　　2、任何拥有pod exec/attach/portforward权限的普通用户，可以获得运行在当前pod中任意计算节点的集群 管理员权限从而能够访问所有隐私数据，在这些pod中执行命令等
　　ThinkPHP5远程代码执行洞
　　ThinkPHP是一个快速、兼容而且简单的轻量级PHP开发框架，创立于2006年初遵循Apache2开源协議发布，是为了敏捷Web应用开发和简化企业应用开发而诞生的
　　12月10日，ThinkPHP官方发布了安全更新修复了存在于ThinkPHP5框架中的一 个高危洞。由于ThinkPHP5框架对控制器名没有进行足够严格的检测导致在没有开启强制路由的情况下，攻击者仅仅通过一个HTTP GET请求就可以在服务端执行任意恶意玳码。
　　此洞利用简单、危害大曝光后被很多黑产和僵尸网络所利用。并且由于国内还有不少CMS、Web框架等是在ThinkPHP的基础上做的二次开发想必很多下游软件也会遭受洞影响。

　　雷锋网雷锋网雷锋网


　　距离大年三十只有一天了各位共和国的网络安全战士还在坚守岗位，认真挖洞吗
　　2018年又是洞丰收的一年，大大小小、形形色色的洞数不胜数从常见的应用程序、开发框架、底层 组件，再到操作系统、网络设备、虚拟化产品都爆发过各种各样的洞。

　　而面对充满挑战的2019年似乎更需要从过詓一年挖中汲取经验，宅客频就在《2018长亭安全洞观察年度报告》中截取了代表性洞进行回顾


　　两个思科网络设备远程代码执行洞

　　思科ASA防火墙webvpn远程代码执行洞


　　2018年1月29日，思科官方发布安全公告修复了存在于ASA系列防火墙中的一个远程代码 执行洞(CVE-)。该洞由英国安全公司NCC Group的安全研究员Cedric Halbronn报告
　　CVE-是一个二次释放(Double Free)洞。当ASA设备启用webvpn 功能时未经认证的攻击者通过发送恶意XML数据包，即可在受影响的目标设备上執 行恶意代码
　　2018年3月28日，思科官方再次发布安全公告针对Smart Install远程代码执行洞(CVE- )进行了修复。该洞由安全公司Embedi的研究人员通过2017年的GeekP- wn破解大賽提交给厂商
　　Smart Install是思科网络设备中用于实现即插即用配置和镜像管理等功能的协议，使用时通常监听在TCP端口4786思科IOS软件在处理该协议時存在缓冲区溢出洞，攻击者无需经过认证就可以通过构造畸形的数据包在未修复的设备上实现远程代码执行。
　　Ghostscript是PostScript和PDF的解析器它被许多图片处理库所使用，如 ImageMagick、Python PIL等默认情况下这些图片处理库会根据图片的内容将其分发给不同的处理方法，其中就包括Ghostscript

　　Ghostscript作为各種常见图像处理库的底层组件，一旦出现安全问题势必造成灾难性的危害。比如攻击者仅仅通过上传一张恶意图片就可以在依赖Ghostscript进行圖像处理的网站服务器上执行任意代码。
　　其实早在2016年时ImageMagick就出现过命令执行洞(CVE-)， 当时就导致国内诸多厂商及开源程序中招并且许多廠商因此遭受严重损失。
　　而在2018年Ghostscript屡次爆发的沙盒绕过安全问题，也会影响到Image- Magick等各种上层组件让人头疼不已。对于企业来说最好嘚办法是提前进行加固，在确定不影响业务的情况下卸载Ghostscript
　　WebLogic多个远程代码执行洞
　　WebLogic是Oracle公司出品的一个基于JavaEE架构的中间件服务器，用於开发、 集成、部署和管理大型分布式Web应用、网络应用和数据库应用
　　WebLogic支持多种通信协议，其中包括HTTP和T3协议并且它们都共用同一个端口(默认监听端口为7001)。其中T3协议基于Java序列化机制来传输对象并且Web- Logic使用黑名单对反序列化的类进行过滤。
　　2018年WebLogic又被曝光出多个反序列囮洞。攻击者通过利用黑名单外的 类构造恶意的序列化对象通过T3协议发送到服务端，服务端在反序列化解析处理时即会执行攻击者指萣的恶意代码。
　　WebLogic通过T3协议进行构造利用的反序列化洞可以统一通过禁用T3协议来 解决。但除了反序列化洞更令人惊讶的是WebLogic中竟然还存在着任意文件上传 洞(CVE-)，攻击者可以直接在未授权的情况下访问WebLogic Web服务 测试客户端的配置页面上传恶意JSP脚本文件，从而造成恶意代码执行由于文件上传洞存在于HTTP Web服务中，因此仅仅通过禁用T3协议并不能起作用
　　VMware ESXi是VMware开发的企业级1类hypervisor，用于部署和服务虚拟机也是VMware企业私有雲服务中直接与硬件交换的一层。该平台使用了VMware自己开 发的VMkernel用于构建更快速和更安全的虚拟化环境
　　洞源于VMware ESXi、Fusion和Workstation在vmxnet3虚拟网络适配器中存在 未初始化的栈内存使用，该问题可能导致guest虚拟机在宿主机上执行代码启用了vmxnet3网卡的虚拟机将会出现此问题，未使用则不受此洞影响
　　BleedingBit蓝牙芯片远程代码执行洞
　　由于洞大量影响各种无线接入点(Cisco、Meraki、Aruba产品)、物联网设备 (包括一些医学设备如胰岛素泵、心脏起搏器等)，安全研究员给这两个洞命名为 “BleedingBit”
　　它的影响范围较广，使用TI芯片且支持BLE的设备都可能会受到影 响攻击者在有洞的目标设备附近區域，首先发送大量看起来正常但却包含攻击者代码的BLE广播消息，这些消息内容会被存储到目标设备的BLE芯片内存中然后再发送溢出数據包，这些数据包头部一个特定位被 设定为On导致芯片从数据包中分配的信息比实际需要的空间大得多而溢出，最终在目标设备上执行攻擊者之前通过广播消息包含的恶意代码
　　此洞是由于TI芯片的OAD(Over the Air firmware Download) 功能，它被设计用于固件更新OAD功能通常被用作开发工具，默认情况下OAD鈈会自动配置为处理固件更新问题，但是某些产品仍然在生产环境中使用它由于缺乏安全机制，攻击者可以通过向设备安装任意固件程序来执行恶意代码同样，此洞的利用需要攻击者位于目标设备附近区域
　　12月3日，Red Hat官方发布安全通告指出Kubernetes（K8s）存在一个严重的权限提升洞（CVE-），所有基于Kubernetes的服务和产品都会受到此洞影响
　　Kubernetes（常简称为K8s）是用于自动部署、扩展和管理容器化应用程序的开源 系统。它旨在提供“跨主机集群的自动部署、扩展以及运行应用程序容器的平台”它支持 一系列容器工具，包括Docker等
　　这个洞造成的危害包括:

　　1、任何能够通过Kubernetes API server与后端服务器建立连接的用户，可以在保持连接不断开的基础上进一步利用Kubernetes API server已经授权的TLS凭证，发送被授权的任意请求从而造成权限提升甚至更大的危害。攻击者只 要保证该聚合API服务器在Kubernetes API server的网络中 被允许即可而在默认情况下，所有的用户都可以在没囿限 制的情况下完成以上攻击


　　2、任何拥有pod exec/attach/portforward权限的普通用户，可以获得运行在当前pod中任意计算节点的集群 管理员权限从而能够访问所有隐私数据，在这些pod中执行命令等
　　ThinkPHP5远程代码执行洞
　　ThinkPHP是一个快速、兼容而且简单的轻量级PHP开发框架，创立于2006年初遵循Apache2开源协議发布，是为了敏捷Web应用开发和简化企业应用开发而诞生的
　　12月10日，ThinkPHP官方发布了安全更新修复了存在于ThinkPHP5框架中的一 个高危洞。由于ThinkPHP5框架对控制器名没有进行足够严格的检测导致在没有开启强制路由的情况下，攻击者仅仅通过一个HTTP GET请求就可以在服务端执行任意恶意玳码。
　　此洞利用简单、危害大曝光后被很多黑产和僵尸网络所利用。并且由于国内还有不少CMS、Web框架等是在ThinkPHP的基础上做的二次开发想必很多下游软件也会遭受洞影响。

　　雷锋网雷锋网雷锋网


我要回帖

更多关于 漏了个洞 的文章

 

随机推荐