2021-04-15

宣布时间 2021-04-15
新增事件


事件名称：

TCP_远程代码_Citrix远程代码执行[CVE-2019-19781]

宁静类型：

宁静漏洞

事件描述：

CitrixADC是一款应用交付Controller，用于分析特定于应用的流量，以便智能地为Web应用法式分配、优化和�；�4层7(L4-L7)网络流量。CitrixGateway整合了远程访问基础结构，以便跨所有应用法式提供单点登录，无论是在数据中心、云中还是作为SaaS传输。在CitrixADC和CitrixGateway中存在目录遍历漏洞，允许未授权的攻击者可以进行远程命令攻击。

更新时间：

20210415


事件名称：

HTTP_宁静漏洞_Chromium_V8_JavaScript引擎_远程命令执行

宁静类型：

宁静漏洞

事件描述：

基于Chromium的浏览器的V8JavaScript引擎中,存在一个远程命令执行漏洞。攻击者可通过控制html加载恶意JavaScript文件，到达在被攻击者主机上执行任意命令的效果。但此漏洞无法突破Chrome沙箱这一宁静机制，所以影响有限。Chrome沙箱是浏览器的宁静界限，可防止远程代码执行漏洞在主机上启动法式，该漏洞单独利用时目前无法逃逸浏览器的沙箱，因此该漏洞需要与另外的漏洞（Chrome沙箱逃逸）链接在一起来利用，最终可以实现远程代码执行。

更新时间：

20210415


事件名称：

HTTP_宁静漏洞_TongWeb_文件上传权限隐藏账户登录实验

宁静类型：

宁静漏洞

事件描述：

检测到攻击者利用TongWeb预留的，具有文件上传权限的隐藏账户进行登录实验的行为。TongWeb是国内政企业务广泛应用的WEB应用服务器。此应用存在一个隐藏的用户，且有牢固的、无法更改的默认密码，具有调用文件上传接口的权限。攻击者可利用此用户，进行上传任意文件的危险操作。

更新时间：

20210415


事件名称：

HTTP_可疑行为_Fastjson_dnslog探测

宁静类型：

宁静审计

事件描述：

检测到源ip正在利用dnslog探测主机后端是否是fastjson；

更新时间：

20210415


新增事件


事件名称：

TCP_木马后门_Win32/Linux_ircBot_连接

宁静类型：

木马后门

事件描述：

检测到ircBot试图连接远程服务器。源IP所在的主机可能被植入了ircBot。ircBot是基于irc协议的僵尸网络，主要功效是对指定目标主机提倡DDoS攻击�；箍梢韵略仄渌《镜奖恢踩牖�。对指定目标主机提倡DDoS攻击。

更新时间：

20210415


事件名称：

HTTP_木马后门_webshell_管理工具_asp控制命令

宁静类型：

木马后门

事件描述：

检测到源IP地址主机上的webshell管理工具客户端正在向目的IP地址主机上的webshell服务器端发出控制命令。webshell是web入侵的脚本攻击工具。简单来说，webshell就是一个用asp或php等编写的木马后门，攻击者在入侵了一个网站后，经常将这些asp或php等木马后门文件放置在网站服务器的web目录中，与正常的网页文件混在一起。然后攻击者就可以用web的方式，通过该木马后门控制网站服务器，包罗上传下载文件、检察数据库、执行任意法式命令等。webshell可以穿越防火墙，由于与被控制的服务器或远程主机交换的数据都是通过80端口通报的，因此不会被防火墙拦截。而且使用webshell一般不会在系统日志中留下记录，只会在网站的web日志中留下一些数据提交记录，管理员较难看收支侵痕迹。攻击者可远程控制被上传webshell主机执行任意操作。

更新时间：

20210415


事件名称：

HTTP_可疑行为_wget_curl下载可疑文件并执行

宁静类型：

可疑行为

事件描述：

检测到源IP主机正在向目的IP主机发送可疑命令，实验控制目的IP主机下载可疑文件并执行。

更新时间：

20210415


事件名称：

HTTP_木马后门_冰蝎3.0连接

宁静类型：

木马后门

事件描述：

检测到源IP主机正在利用冰蝎3.0连接目的IP主机的行为。

更新时间：

20210415


删除事件


1. TCP_后门_Win32.Avzhan.DDoS.Bot_连接_1