每周升级通告-2023-01-17

宣布时间 2023-01-17
新增事件

 

事件名称：

HTTP_提权攻击_Hashicorp_Consul_Service_API_远程命令执行

宁静类型：

宁静漏洞

事件描述：

检测到源ip主机正在利用Consul中存在的远程命令执行漏洞进行攻击。Consul是HashiCorp公司推出的一款开源工具，用于实现漫衍式系统的服务发现与配置。在启用了脚本检查参数（-enable-script-checks）的Consul所有版本中，恶意攻击者可以通过发送精心结构的HTTP请求在未经授权的情况下在Consul服务端远程执行命令。

更新时间：

20230117

 

事件名称：

DNS_僵尸网络_Fodcha_连接

宁静类型：

其他事件

事件描述：

检测到僵尸网络Fodcha试图向dns服务器请求解析其C&C服务器。源IP所在的主机可能被植入了Fodcha。Fodcha主要通过NDay漏洞和Telnet/SSH弱口令流传，包罗CVE-2021-22205、CVE-2021-35394、AndroidADBDebugServerRCE、LILINDVRRCE等漏洞。每日上线境内肉鸡数以IP数计算已凌驾1万，且每日会针对凌驾100个攻击目标提倡DDoS攻击，攻击非�；钤�。Fodcha使用ChaCha20加密和C&C的通信数据。

更新时间：

20230117

 

修改事件

 

事件名称：

HTTP_其它可疑行为_PHP伪协议

宁静类型：

可疑行为

事件描述：

检测到源ip主机正在使用PHP的一些封装协议，如php://input,php://filter等提交一句话木马，或远程执行命令来攻击受害者服务器，从而获取目标系统权限。

更新时间：

20230117

 

事件名称：

HTTP_宁静漏洞_ToTolink_N600R路由器_Exportovpn_未授权命令注入

宁静类型：

宁静漏洞

事件描述：

检测到源IP主机正试图通过ToTolinkN600R路由器Exportovpn命令注入漏洞攻击目的IP主机。在ToTolinkN600R路由器的cstecgi.cgi文件中，exportovpn接口存在命令注入，攻击者可借此未验证远程执行恶意命令。

更新时间：

20230117

 

事件名称：

HTTP_宁静漏洞_若依CMS_远程命令执行漏洞

宁静类型：

宁静漏洞

事件描述：

若依后台管理系统使用了snakeyaml的jar包，snakeyaml是用来解析yaml的格式，可用于Java工具的序列化、反序列化。由于若依后台计划任务处，对于传入的"调用目标字符串"没有任何校验，导致攻击者可以结构payload远程调用jar包，从而执行任意命令。

更新时间：

20230117