2020-05-12

宣布时间 2020-05-12

新增事件


事件名称：

TCP_SaltStack_远程命令执行漏洞[CVE-2020-11651/CVE-2020-11652]

宁静类型：

宁静漏洞

事件描述：

检测到源IP主机正在使用SaltStack的远程命令执行漏洞(CVE-2020-11651)对目的IP主机的SaltStack应用进行攻击的行为 。

saltstack是基于python开发的一套C/S自动化运维工具 。由于应用中处置未认证请求的ClearFuncs类中存在两个危险的要领，并袒露在外，使得攻击者可以结构恶意请求以管理员权限远程执行任意命令，获取服务器控制权，危害严重 。

更新时间：

20200512











事件名称：

TCP_木马后门_Win32.Mpsvc_连接

宁静类型：

木马后门

事件描述：

检测到木马试图连接远程服务器 。

Mpsvc是一个木马，是中国APT组织海盗熊猫所使用的一款木马后门 。

Mpsvc使用DLL侧加载技术，获取受害主机的硬件UUID并上传到C&C，可以下载并执行其他文件 。

更新时间：

20200512










修改事件


事件名称：

HTTP_木马后门_webshell_中国菜刀aspSpy_上传后门法式

宁静类型：

木马后门

事件描述：

检测到源IP地址主机正在向目的IP地址主机传送可疑的webshell文件 。

webshell是web入侵的脚本攻击工具 。简单说，webshell就是一个用asp或php等编写的木马后门，攻击者在入侵了一个网站后，经常将这些asp或php等木马后门文件放置在网站服务器的web目录中，与正常的网页文件混在一起 。然后攻击者就可以用web的方式，通过该木马后门控制网站服务器，包罗上传下载文件、检察数据库、执行任意法式命令等 。webshell可以穿越防火墙，由于与被控制的服务器或远程主机交换的数据都是通过80端口通报的，因此不会被防火墙拦截 。而且使用webshell一般不会在系统日志中留下记录，只会在网站的web日志中留下一些数据提交记录，管理员较难看收支侵痕迹 。

更新时间：

20200512















事件名称：

HTTP_木马后门_vbs_webshell一句话木马上传

宁静类型：

木马后门

事件描述：

检测到源IP主机正向目的主机上传VBS一句话木马的行为

攻击者实验向服务器上传VBS一句话木马文件，如果上传乐成将通过一句话木马连接工具对服务器进行控制 。

更新时间：

20200512









事件名称：

HTTP_木马后门_webshell_中国菜刀phpSpy2014_上传后门法式

宁静类型：

木马后门

事件描述：

检测到源IP地址主机正在向目的IP地址主机传送可疑的webshell文件 。

webshell是web入侵的脚本攻击工具 。简单说，webshell就是一个用asp或php等编写的木马后门，攻击者在入侵了一个网站后，经常将这些asp或php等木马后门文件放置在网站服务器的web目录中，与正常的网页文件混在一起 。然后攻击者就可以用web的方式，通过该木马后门控制网站服务器，包罗上传下载文件、检察数据库、执行任意法式命令等 。webshell可以穿越防火墙，由于与被控制的服务器或远程主机交换的数据都是通过80端口通报的，因此不会被防火墙拦截 。而且使用webshell一般不会在系统日志中留下记录，只会在网站的web日志中留下一些数据提交记录，管理员较难看收支侵痕迹 。

更新时间：

20200512















事件名称：

UDP_NFS_共享文件服务敏感信息泄露漏洞实验

宁静类型：

宁静漏洞

事件描述：

检测到源IP主机对目的IP进行NFS 共享文件服务敏感信息泄露漏洞实验的行为

NFS全称Network File System，即网络文件系统，属于网络层，主要用于网络间文件的共享，最早由sun公司开发

可以对目标主机进行"showmount -e"操作，此操作将泄露目标主机的敏感信息，好比目录结构 。更糟糕的是，如果访问控制不严的话，攻击者有可能直接访问到目标主机上的数据 。

更新时间：

20200512













删除事件


HTTP_目录遍历[..\..][CVE-1999-0229]

HTTP_目录遍历[../]

HTTP_目录遍历[..\]