这漏洞可真大,阿里牛人的log4j2漏洞检测跑了一下,直接调起了计算器。
漏洞流程我是这样分析理解的:
(1)我们使用log4j2在info、debug、warn、error过程中会传入打印参数。
(2)若这些参数来自于外部,例如:web提交,数据采集等,我们对外部请求的一些数据作为日志用log4j2打印或者输出成日志文件。
(3)在外部数据中若恶意加入一个jndi的ldap U地址变量进行,这个URL指向的是恶意ldap服务。
(4)当log4j2开始打印这段包含恶意URL变量,会识别出这段URL,然后进行jndi的ldap调用进行对象lookup。
(5)接受log4j2请求的恶意ldap服务会给log4j2传回一个恶意的class。
(6)log4j2获取此class仅仅是对象根,然后会根据这个根的信息再次远程请求恶意RPC服务器,获取此class根对应的恶意实现对象,并在jvm上反序列化。
(7)此对象会在反序列化成功后,会在log4j2所在的jvm运行环境执行各种内置恶意执行调用。
总之一句话,兄弟们赶紧打补丁吧,这漏洞把雨水都漏到裤衩里啦!
注意补充一下:
这是全平台漏洞,以Linux云计算的应用部署量,问题更严重,Windows只是本机测试,只要产品涉及有log4j2,一定要升级jog4j2最新版的jar包,还要自查产品的依赖包有没有把log4j2打进依赖jar内部。
用友软件没有基本的担当!有漏洞被勒索病毒攻击,遇到问题就会推卸责任!
黑客勒索病毒icon就是针对用友T+财务软件,找到用友畅捷通T+的Web服务漏洞(360安全官方下的定义是0day漏洞大规模勒索事件),通过这个漏洞拥有了administrator权限,因为国内软件安装部署几乎都要用这个权限才能正常安装完成,就完全绕过了防火墙和杀毒软件,把安装目录Chanjet及下面全部配置文件和数据库文件加密了,甚至备份文件都不放过。 黑客利用用友漏洞进入应用程序,自然就获得了自动备份的目标路径,因为T+的备份程序对目标路径有写的权限,所以很轻松就将用户的备份数据库文件也一起加密了。同时勒索0.2个BTC获利解密。
用友畅捷通口口声声宣传服务中小微企业,可是购买畅捷通的用户大多数真的都是小企业,几乎都养不起IT,甚至连基本的备份概念都没有,完全都依赖信任用友公司。这次事件完全是用友软件自身原因,现在用友公司一再推卸责任!用友服务商也没有任何服务,出问题就是推卸,根本不给解决问题,重新安装软件还要收取高昂服务费!
从一开始用友(畅捷通)就发布信息推卸责任,称“无差别攻击”,只有少量用户被攻击!淡化事件的严重性!发现大规模被攻击时,仍然开始各种攻关操作!客服电话更是打不通,说明有大量客户受到攻击,服务商也不一再推卸自己的责任,用友公司各处删帖,出了事件就会甩锅.....
不就是为了种个挖矿么。web大漏洞配置用默认,管理员肯定是弱鸡,八成用root启的服务,想干啥不行?想研究攻防的,不如去看看CTF的web部分,都是大神操作。
区块软件开发
利用 PHP-FPM 做内存马方法
Balancer收到白帽黑客披露的Synthetix生态代币等相关漏洞报告,目前用户资金安全
5月14日消息,Balancer Labs发推表示,今日某白帽黑客通过Web3漏洞赏金平台Immunefi披露Balancer相关漏洞,Balancer官方收到一个潜在可利用场景的通知,没有用户资金处于危险之中。
其中漏洞场景涉及double entry-point ERC20代币,包括但不限于Synthetix生态代币(SNX和 sBTC 等)以及Balancer闪电贷。Synthetix团队正考虑在下周升级合约,以成功移除doubleentry-point,并允许代币返回金库,而无需 LP 的任何干预。此中等严重性错误报告将导致资金因从V2 Vault 转出而被暂时冻结,没有看到这种漏洞导致实际盗窃的途径。
如果觉得《常见网站漏洞 网站漏洞查找》对你有帮助,请点赞、收藏,并留下你的观点哦!