2020-12-29

宣布时间 2020-12-29

新增事件



事件名称：

HTTP_宁静漏洞_ColdFusion未授权上传漏洞[CVE-2018-15961][CNNVD-201809-485]

宁静类型：

宁静漏洞

事件描述：

ColdFusion未授权上传漏洞可以通过一个简单的HTTPPOST请求到upload.cfm文件进行利用，upload.cfm是没有限制的，也不需要任何的认证。

更新时间：

20201229


事件名称：

HTTP_TeaLaTex1_0_远程代码执行漏洞

宁静类型：

宁静漏洞

事件描述：

检测检测到源IP主机正在利用TeaLaTex1_0的漏洞进行远程代码执行；LaTeX是一种编辑工具，通常用于准备科学文件，特别是在数学，统计，计算机科学和工程领域。

更新时间：

20201229


事件名称：

HTTP_Moobot_拒绝服务攻击

宁静类型：

漫衍式拒绝服务

事件描述：

检测到源IP主机试图对目的IP主机进行Moobot_拒绝服务攻击。

更新时间：

20201229


修改事件


事件名称

HTTP_ThinkPHP5远程代码执行漏洞

宁静类型：

宁静漏洞

事件描述：

检测到源IP主机正在利用ThinkPHP框架远程代码执行漏洞攻击目的IP主机的行为，试图远程注入PHP代码，在目标服务器上执行任意代码或命令。ThinkPHP是一个流行的轻量级国产PHP开发框架。当Web网站是基于ThinkPHP框架开发时，可能存在该漏洞时。攻击者发送精心结构的PHP代码在目标主机上执行，企图进一步控制服务器。攻击乐成，可远程执行任意代码。

更新时间：

20201229


事件名称：

HTTP_通用_目录穿越漏洞[CVE-2019-11510/CVE-2020-5410/CVE-2019-19781/CVE-2020-5902]

宁静类型：

宁静漏洞

事件描述：

检测到源IP主机正在实验对目的IP主机进行目录穿越漏洞攻击实验的行为。目录穿越漏洞能使攻击者绕过Web服务器的访问限制，对web根目录以外的文件夹，任意地读取甚至写入文件数据。此规则是一条通用规则，其他漏洞（甚至一些0day漏洞）攻击的payload也有可能触发此事件报警。由于正常业务中一般不会发生此事件特征的流量，所以需要重点关注。允许远程攻击者访问敏感文件。

更新时间：

20201229


事件名称：

TCP_DrayTek_预身份验证命令注入漏洞[CVE-2020-8515]

宁静类型：

宁静漏洞

事件描述：

检测到攻击者利用DrayTek预身份验证处的两处命令注入漏洞进行攻击的行为。DrayTek是一家在中国生产防火墙，VPN设备，路由器，WLAN设备等的制造商。该漏洞源于/cgi-bin/mainfunction.cgi法式未正确过滤keyPath字段和rtick字段其中的特殊字符，攻击者可利用该漏洞不经过身份验证以root权限执行代码。攻击乐成，可以root权限执行代码。

更新时间：

20201229


事件名称：

HTTP_后门_Win32.wingames(蔓灵花)_连接

宁静类型：

木马后门

事件描述：

检测到木马试图连接远程服务器。源IP所在的主机可能被植入了后门wingames。wingames是一个功效非常强大的后门，运行后，可以完全控制被植入机器。执行攻击者发来的种种命令。

更新时间：

20201229


事件名称：

TCP_后门_MSAServices.Bitter.Rat(蔓灵花)_连接

宁静类型：

木马后门

事件描述：

检测到Bitter木马试图连接远程服务器。源IP所在的主机可能被植入了Bitter木马。Bitter木马是一个功效非常强大的后门，运行后，可以完全控制被植入机器。允许攻击者完全控制被植入机器。

更新时间：

20201229


事件名称：

TCP_后门_PC_Access_连接

宁静类型：

木马后门

事件描述：

该事件源IP所在的主机可能被植入了PC_Access木马，木马的控制者可以通过该木马对被植入木马的主机实施完全的控制。该木马会保留攻击者在目标主机上的管理员权限。

更新时间：

20201229


事件名称：

DNS_后门_Win32.KcnaBot_连接

宁静类型：

木马后门

事件描述：

检测到后门试图连接远程服务器。源IP所在的主机可能被植入了后门KcnaBot。KcnaBot是一个功效非常强大的后门，利用DNS协议与C&C服务器通信�？刂票恢踩牖�，窃密敏感信息。

更新时间：

20201229


删除事件


1. HTTP_木马后门_Marap.Downloader_连接

2. TCP_NSA_EternalBlue_(永恒之蓝)_SMB漏洞扫描[MS17-010]_1

3. TCP_NSA_EternalBlue_(永恒之蓝)_SMB漏洞扫描[MS17-010]_2