2020-05-12

宣布时间 2020-05-12

新增事务


事务名称：

TCP_SaltStack_远程下令执行误差[CVE-2020-11651/CVE-2020-11652]

清静类型：

清静误差

事务形貌：

检测到源IP主机正在使用SaltStack的远程下令执行误差(CVE-2020-11651)对目的IP主机的SaltStack应用举行攻击的行为。。。。。 。

saltstack是基于python开发的一套C/S自动化运维工具。。。。。 。由于应用中处置惩罚未认证请求的ClearFuncs类中保存两个危险的要领，，，，，，，，并袒露在外，，，，，，，，使得攻击者可以结构恶意请求以治理员权限远程执行恣意下令，，，，，，，，获取效劳器控制权，，，，，，，，危害严重。。。。。 。

更新时间：

20200512











事务名称：

TCP_木马后门_Win32.Mpsvc_毗连

清静类型：

木马后门

事务形貌：

检测到木马试图毗连远程效劳器。。。。。 。

Mpsvc是一个木马，，，，，，，，是中国APT组织海盗熊猫所使用的一款木马后门。。。。。 。

Mpsvc使用DLL侧加载手艺，，，，，，，，获取受害主机的硬件UUID并上传到C&C，，，，，，，，可以下载并执行其他文件。。。。。 。

更新时间：

20200512










修改事务


事务名称：

HTTP_木马后门_webshell_中国菜刀aspSpy_上传后门程序

清静类型：

木马后门

事务形貌：

检测到源IP地点主机正在向目的IP地点主机传送可疑的webshell文件。。。。。 。

webshell是web入侵的剧本攻击工具。。。。。 。简朴说，，，，，，，，webshell就是一个用asp或php等编写的木马后门，，，，，，，，攻击者在入侵了一个网站后，，，，，，，，经常将这些asp或php等木马后门文件安排在网站效劳器的web目录中，，，，，，，，与正常的网页文件混在一起。。。。。 。然后攻击者就可以用web的方法，，，，，，，，通过该木马后门控制网站效劳器，，，，，，，，包括上传下载文件、审查数据库、执行恣意程序下令等。。。。。 。webshell可以穿越防火墙，，，，，，，，由于与被控制的效劳器或远程主机交流的数据都是通过80端口转达的，，，，，，，，因此不会被防火墙阻挡。。。。。 。并且使用webshell一样平常不会在系统日志中留下纪录，，，，，，，，只会在网站的web日志中留下一些数据提交纪录，，，，，，，，治理员较难看收支侵痕迹。。。。。 。

更新时间：

20200512















事务名称：

HTTP_木马后门_vbs_webshell一句话木马上传

清静类型：

木马后门

事务形貌：

检测到源IP主机正向目的主机上传VBS一句话木马的行为

攻击者实验向效劳器上传VBS一句话木马文件，，，，，，，，若是上传乐成将通过一句话木马毗连工具对效劳器举行控制。。。。。 。

更新时间：

20200512









事务名称：

HTTP_木马后门_webshell_中国菜刀phpSpy2014_上传后门程序

清静类型：

木马后门

事务形貌：

检测到源IP地点主机正在向目的IP地点主机传送可疑的webshell文件。。。。。 。

webshell是web入侵的剧本攻击工具。。。。。 。简朴说，，，，，，，，webshell就是一个用asp或php等编写的木马后门，，，，，，，，攻击者在入侵了一个网站后，，，，，，，，经常将这些asp或php等木马后门文件安排在网站效劳器的web目录中，，，，，，，，与正常的网页文件混在一起。。。。。 。然后攻击者就可以用web的方法，，，，，，，，通过该木马后门控制网站效劳器，，，，，，，，包括上传下载文件、审查数据库、执行恣意程序下令等。。。。。 。webshell可以穿越防火墙，，，，，，，，由于与被控制的效劳器或远程主机交流的数据都是通过80端口转达的，，，，，，，，因此不会被防火墙阻挡。。。。。 。并且使用webshell一样平常不会在系统日志中留下纪录，，，，，，，，只会在网站的web日志中留下一些数据提交纪录，，，，，，，，治理员较难看收支侵痕迹。。。。。 。

更新时间：

20200512















事务名称：

UDP_NFS_共享文件效劳敏感信息泄露误差实验

清静类型：

清静误差

事务形貌：

检测到源IP主机对目的IP举行NFS 共享文件效劳敏感信息泄露误差实验的行为

NFS全称Network File System，，，，，，，，即网络文件系统，，，，，，，，属于网络层，，，，，，，，主要用于网络间文件的共享，，，，，，，，最早由sun公司开发

可以对目的主机举行"showmount -e"操作，，，，，，，，此操作将泄露目的主机的敏感信息，，，，，，，，好比目录结构。。。。。 。更糟糕的是，，，，，，，，若是会见控制不严的话，，，，，，，，攻击者有可能直接会见到目的主机上的数据。。。。。 。

更新时间：

20200512













删除事务


HTTP_目录遍历[..\..][CVE-1999-0229]

HTTP_目录遍历[../]

HTTP_目录遍历[..\]