每周升级通告-2022-04-26

宣布时间 2022-04-26
新增事件

 

事件名称：

HTTP_Linux命令注入攻击

宁静类型：

注入攻击

事件描述：

命令注入攻击，是指这样一种攻击手段，黑客通过把系统命令加入到web请求页面头部信息中，一个恶意黑客以利用这种攻击要领来非法获取数据或者网络、系统资源

更新时间：

20220426

 

事件名称：

TCP_可疑行为_ping命令_远程命令执行回显

宁静类型：

可疑行为

事件描述：

发现有执行ping系统命令的回显页面，应用法式的某些功效需要调用可以执行系统命令的函数，如果这些函数或者函数的参数被用户控制，就有可能通过命令连接符将恶意命令拼接到正常的函数中，从而执行系统命令。属于高危漏洞，如果web使用的root权限，则攻击者可以执行任意命令。

更新时间：

20220426

 

事件名称：

TCP_可疑行为_dir命令_远程命令执行

宁静类型：

CGI攻击

事件描述：

发现有执行dir系统命令的回显页面

更新时间：

20220426

 

事件名称：

TCP_可疑行为_netstat_远程命令执行

宁静类型：

CGI攻击

事件描述：

流量中检测到执行了敏感系统命令的回显信息，说明主机有可能已经被入侵，且攻击者具有执行系统命令的权限。

更新时间：

20220426

 

事件名称：

TCP_可疑行为_ps命令_远程命令执行

宁静类型：

宁静漏洞

事件描述：

流量中检测到执行了敏感系统命令的回显信息，说明主机有可能已经被入侵，且攻击者具有执行系统命令的权限。

更新时间：

20220426

 

事件名称：

TCP_可疑行为_NPS署理工具_内网穿透利用

宁静类型：

可疑行为

事件描述：

检测到NPS署理工具连接服务器，源地址主机正在使用NPS署理工具。nps是一款轻量级、高性能、功效强大的内网穿透署理服务器。目前支持tcp、udp流量转发，可支持任何tcp、udp上层协议（访问内网网站、当地支付接口调试、ssh访问、远程桌面，内网dns解析等等……），此外还支持内网http署理、内网socks5署理、p2p等，并带有功效强大的web管理端。因此，攻击者常利用该工具进行内网渗透。

更新时间：

20220426

 

事件名称：

TCP_可疑行为_arp命令_远程命令执行

宁静类型：

CGI攻击

事件描述：

发现存在windows环境下执行arp-a系统命令的回显信息。

更新时间：

20220426

 

事件名称：

木马后门

宁静类型：

欺骗劫持

事件描述：

检测到僵尸网络Enemybot试图连接C&C服务器。源IP所在的主机可能被植入了Enemybot。Enemybot是结合并修改Mirai和Gafgyt源代码的产物，疑似出自名为Keksec(又名KekSecurity、Necro或者FreakOut)的攻击团伙之手。Enemybot主要攻击SeowonIntech、D-Link和iRZ路由器

更新时间：

20220426

 

事件名称：

HTTP_木马后门_Webshell_AntSword-2.1.x_木马连接

宁静类型：

木马后门

事件描述：

AntSword是一款集编码绕过，分块传输等众多绕过方式为一体的网站后门管理器。AntSwordv2.1.14（最新版）新增CMDLINUXShell类型基于命令执行的一句话类型,仅支持Linux环境.

更新时间：

20220426

 

事件名称：

HTTP_代码执行_phpMoAdmin_远程代码执行漏洞

宁静类型：

木马后门

事件描述：

检测到源IP主机正向目的主机上的phpMoAdmin执行恶意代码。使用system,exec,shell_exec,passthru,pcntl_exec,popen,proc_open函数对传入的“find”参数进行执行，到达控制服务器的目的。phpMoAdmin是一个用PHP开发的在线MongoDB管理工具，可用于创建、删除和修改数据库和索引，提供视图和数据搜索工具，提供数据库启动时间和内存的统计，支持JSON格式数据的导入导出。

更新时间：

20220426

 

事件名称：

HTTP_宁静漏洞_TendaM3_远程命令注入漏洞[CVE-2022-26290][CNNVD-202203-2102]

宁静类型：

宁静漏洞

事件描述：

TendaM3是中国腾达（Tenda）公司的一款门禁控制器。TendaM31.101.0.0.12(4856)版本存在宁静漏洞，该漏洞源于通过组件/goform/WriteFacMac的命令注入漏洞。

更新时间：

20220426

 

事件名称：

HTTP_宁静漏洞_Adobe-ColdFusion_反序列化_代码执行[CVE-2017-3066][CNNVD-201704-1418]

宁静类型：

宁静漏洞

事件描述：

AdobeColdFusion是美国Adobe公司的一款动态Web服务器产物，其运行的CFML（ColdFusionMarkupLanguage）是针对Web应用的一种法式设计语言。AdobeColdFusion中存在java反序列化漏洞。攻击者可利用该漏洞在受影响应用法式的上下文中执行任意代码或造成拒绝服务。以下版本受到影响：AdobeColdFusion(2016release)Update3及之前的版本，ColdFusion11Update11及之前的版本，ColdFusion10Update22及之前的版本。

更新时间：

20220426

 

事件名称：

HTTP_宁静漏洞_Oracle-Business_XML外部实体注入[CVE-2019-2616][CNNVD-201904-746]

宁静类型：

注入攻击

事件描述：

OracleFusionMiddleware（Oracle融合中间件）是美国甲骨文（Oracle）公司的一套面向企业和云环境的业务创新平台。该平台提供了中间件、软件集合等功效。BIPublisher（前称XMLPublisher）是其中的一个报表组件。OracleFusionMiddleware中的BIPublisher组件11.1.1.9.0版本、12.2.1.3.0版本和12.2.1.4.0版本的BIPublisherSecurity子组件存在宁静漏洞。攻击者可利用该漏洞未授权读取、更新、插入或删除数据，影响数据的保密性和完整性。

更新时间：

20220426

 

事件名称：

HTTP_宁静漏洞_Apache-Airflow-1.10.10_远程代码执行[CVE-2020-11978][CNNVD-202007-1187]

宁静类型：

宁静漏洞

事件描述：

ApacheAirflow是美国阿帕奇（Apache）软件基金会的一套用于创建、管理和监控事情流程的开源平台。该平台具有可扩展和动态监控等特点。ApacheAirflow1.10.10及之前版本中的exampleDAGs存在操作系统命令注入漏洞。攻击者可利用该漏洞运行任意命令。

更新时间：

20220426


事件名称：

HTTP_宁静漏洞_ArticaTech-Artica-Proxy_命令注入[CVE-2020-17505][CNNVD-202008-677]

宁静类型：

宁静漏洞

事件描述：

ArticaTechArticaProxy是法国ArticaTech公司的一款开源的Artica署理解决方案。ArticaWebProxy4.30.000000版本cyrus.php文件的service-cmds参数存在操作系统命令注入漏洞。远程攻击者可通过service_cmds_peform利用该漏洞以root权限注入并执行命令。

更新时间：

20220426


事件名称：

HTTP_宁静漏洞_ArticaTech-Artica-Proxy_SQL注入[CVE-2020-17506][CNNVD-202008-679]

宁静类型：

注入攻击

事件描述：

ArticaTechArticaProxy是法国ArticaTech公司的一款开源的Artica署理解决方案。ArticaWebProxy4.30.000000版本容易受到fw.login.php中的api键参数的SQL注入的攻击。该漏洞可以绕过Artica，通过SQL注入漏洞获得管理员权限。

更新时间：

20220426


事件名称：

HTTP_宁静漏洞_Cisco-HyperFlex-HX-storfs-asup_远程代码执行

宁静类型：

宁静漏洞

事件描述：

CiscoHyperFlexHX数据平台基于Web的管理界面中的漏洞可能允许未经身份验证的远程攻击者对受影响的设备执行命令注入攻击。此漏洞是由于对用户提供的输入的验证不足而引起的。攻击者可以通过向基于Web的管理界面发送精心设计的请求来利用此漏洞。乐成利用该漏洞可能使攻击者以tomcat8用户的身份在受影响的设备上执行任意命令。

更新时间：

20220426


事件名称：

HTTP_宁静漏洞_Advantech-R-SeeNet-device_跨站脚本[CVE-2021-21801][CNNVD-202107-1107]

宁静类型：

XSS攻击

事件描述：

AdvantechR-SeeNetv2.4.12(20.10.2020)的device_graph_page.php脚本功效中存在多个跨站点脚本漏洞。如果用户访问特制的URL，它可能会导致在目标用户浏览器的上下文中执行任意JavaScript代码。攻击者可以提供这些精心制作的URL来触发漏洞。

更新时间：

20220426


事件名称：

HTTP_宁静漏洞_锐捷NBR路由器EWEB网管系统_远程命令执行[CVE-2021-21801][CNNVD-202107-1107]

宁静类型：

宁静漏洞

事件描述：

锐捷网络是一家拥有包罗交换机、路由器、软件、宁静防火墙、无线产物、存储等全系列的网络设备产物线及解决方案的专业化网络厂商。锐捷网络股份有限公司NBR路由器EWEB网管系统存在命令执行漏洞，攻击者可利用该漏洞获取服务器控制权限。

更新时间：

20220426


事件名称：

HTTP_宁静漏洞_DLink路由器_DAP_2020_远程任意命令执行漏洞[CVE-2021-27249][CNNVD-201312-320]

宁静类型：

宁静漏洞

事件描述：

检测到源IP正在利用DLink的漏洞进行任意文件读取、执行任意命令等操作，D-LinkDAP-2020是中国台湾友讯（D-Link）公司的一款WiFi范围扩展器。

更新时间：

20220426


事件名称：

HTTP_命令执行_Netgear路由器_远程命令执行漏洞

宁静类型：

宁静漏洞

事件描述：

检测到源ip正在利用Netgear的远程代码执行漏洞进行攻击；美国网件NETGEAR的路由器致力于为全球商用企业用户和家庭个人用户提供创新的产物、优质的智能家庭解决方案。

更新时间：

20220426


事件名称：

HTTP_文件上传_NETGEAR_ProSafe_任意文件上传漏洞[CVE-2016-1524][CNNVD-201602-129]

宁静类型：

宁静漏洞

事件描述：

检测到源ip正在利用NETGEARProSafe管理系统的文件上传漏洞上传恶意文件；NETGEAR网络管理系统NMS300是为NETGEAR统一基础架构设计的。专门针对网络设备进行监测，配置和故障诊断。

更新时间：

20220426


事件名称：

HTTP_代码执行_FreePBX_远程代码执行漏洞[CVE-2012-4869][CNNVD-201203-383]

宁静类型：

宁静漏洞

事件描述：

检测到源ip正在利用FreePBX的callmenum参数处的漏洞结构恶意代码，FreePBX之前被称为AsteriskManagementPortal，是IP电话工具Asterisk的尺度化实现，可提供Web配置界面和其他工具。

更新时间：

20220426


事件名称：

HTTP_宁静漏洞_Apache_mod_jk_访问控制绕过[CVE-2018-11759][CNNVD-201810-1558]

宁静类型：

宁静漏洞

事件描述：

ApacheTomcatJK（mod_jk）Connector是美国阿帕奇（Apache）软件基金会的一款为Apache或IIS提供连接后台Tomcat的�？�，用以为Apache或IIS服务器提供处置"font-family:宋体;font-size:13px">。

更新时间：

20220426


事件名称：

HTTP_代码执行_Wireless_IP_Camera_远程代码执行漏洞

宁静类型：

宁静漏洞

事件描述：

检测到源ip正在利用Wireless_IP_Camera的远程代码执行漏洞进行攻击，无线网络摄像机(P2)WIFICAM是一款整体设计不良的摄像机，存在很多漏洞。这款相机与许多其他中国相机非常相似，无线网络摄像机(P2)WIFICAM是品牌摄像机之一。

更新时间：

20220426


事件名称：

HTTP_宁静扫描_DisBuster扫描器

宁静类型：

宁静扫描

事件描述：

DisBuster是渗透测试过程中常用的扫描工具，可以自界说加载自界说字典对目标进行目录或页面扫描和爆破。

更新时间：

20220426

 

修改事件

 

事件名称：

HTTP_木马_Win32.Dyzap_连接

宁静类型：

木马后门

事件描述：

检测到木马试图连接远程服务器。源IP所在的主机可能被植入了Win32.Dyzap。

Win32.Dyzap是一个功效强大的窃密木马，可窃密包罗浏览器、邮件、FTP等客户端生存的账号密码。

窃取敏感数据。

更新时间：

20220426

 

事件名称：

TCP_后门_MSIL.Crimson_控制命令

宁静类型：

木马后门

事件描述：

检测到后门Crimson的服务器在向Crimson发送控制命令。目的IP所在的主机可能被植入了后门 Crimson。

 

Crimson是一个功效非常强大的后门，运行后，可以完全控制被植入机器。Crimson通过种种�？槔蠢┱蛊涔π�，如获取凭证，键盘记录等。

可完全控制被植入机器。

更新时间：

20220426

 

事件名称：

TCP_后门_MSIL.Crimson_连接

宁静类型：

木马后门

事件描述：

检测到木马试图连接远程服务器。源IP所在的主机可能被植入了Crimson。

Crimson是一个功效非常强大的后门，运行后，可以完全控制被植入机器。Crimson通过种种�？槔蠢┱蛊涔π�，如获取凭证，键盘记录等。

可完全控制被植入机器。

更新时间：

20220426

 

事件名称：

TCP_僵尸网络_Fodcha_连接

宁静类型：

木马后门

事件描述：

检测到僵尸网络Fodcha试图连接C&C服务器。源IP所在的主机可能被植入了Fodcha。Fodcha主要通过NDay漏洞和Telnet/SSH弱口令流传，包罗CVE-2021-22205、CVE-2021-35394、AndroidADBDebugServerRCE、LILINDVRRCE等漏洞。每日上线境内肉鸡数以IP数计算已凌驾1万，且每日会针对凌驾100个攻击目标提倡DDoS攻击，攻击非�；钤�。Fodcha使用ChaCha20加密和C&C的通信数据。

更新时间：

20220426

 

事件名称：

HTTP_木马后门_webshell_类菜刀流量_响应

宁静类型：

木马后门

事件描述：

中国菜刀是中国黑客圈内使用非常广泛的一款Webshell管理工具。中国菜刀用途十分广泛,支持多种语言,小巧实用，具有文件管理（有足够的权限时候可以管理整个磁盘/文件系统），数据库管理，虚拟终端等功效。对于这类管理工具，如果没有大量的修改服务端脚本代码，其返回流量都市有一些常见的特征，本条规则将常见的配合特征提取出来进行防御性报警。由于此事件为较为宽泛的通用特征，可能存在误报，请参考特征性质判断字段进行判断。允许攻击者完全控制被植入机器。

更新时间：

20220426