2019-06-22

颁布功夫 2019-06-22

新增事务


事务名称：

TCP_NSA_EternalChampion_(永恒冠军)_SMB远程代码执行缝隙Sync_Response[MS17-010]

事务级别：

高级事务

安全类型：

安全缝隙

事务描述：

检测到源IP主机在利用Microsoft Windows SMB远程代码执行缝隙进行攻击的行为 。。。。。

Microsoft Windows是微软颁布的极度盛行的操作系统 。。。。。

若是攻击者向 Microsoft 服务器发送经精心机关的畸形要求包，，， ，，能够获取指标服务器的系统权限，，， ，，并且齐全节造指标系统 。。。。。

更新功夫：

20190622

默认作为：

抛弃

 

事务名称：

TTCP_NSA_EternalChampion_(永恒冠军)_SMB远程代码执行缝隙Sync_Request[MS17-010]

事务级别：

高级事务

安全类型：

安全缝隙

事务描述：

检测到源IP主机在利用Microsoft Windows SMB远程代码执行缝隙进行攻击的行为 。。。。。

Microsoft Windows是微软颁布的极度盛行的操作系统 。。。。。

若是攻击者向 Microsoft 服务器发送经精心机关的畸形要求包，，， ，，能够获取指标服务器的系统权限，，， ，，并且齐全节造指标系统 。。。。。

更新功夫：

20190622

默认作为：

抛弃

 

事务名称：

TCP_NSA_EternalRomance_(永恒浪漫)_SMB远程代码执行缝隙3[MS17-010]

事务级别：

高级事务

安全类型：

安全缝隙

事务描述：

检测到源IP主机在利用Microsoft Windows SMB远程代码执行缝隙进行攻击的行为 。。。。。

Microsoft Windows是微软颁布的极度盛行的操作系统 。。。。。

若是攻击者向 Microsoft 服务器发送经精心机关的畸形要求包，，， ，，能够获取指标服务器的系统权限，，， ，，并且齐全节造指标系统 。。。。。

更新功夫：

20190622

默认作为：

抛弃

 

事务名称：

TCP_NSA_EternalRomance_(永恒浪漫)_SMB远程代码执行缝隙2[MS17-010]

事务级别：

高级事务

安全类型：

安全缝隙

事务描述：

检测到缝隙利用工具包Rig试图下载恶意软件，，， ，，源IP主机在浏览的网页很可能被植入了恶意的剧本代码，，， ，，被定向到缝隙利用工具包Rig的页面，，， ，，导致下载恶意软件 。。。。。

Exploit Kit是缝隙利用工具包，，， ，，预打包了装置法式、节造面板、恶意代码以及相当数量的攻击工具 。。。。。通常来说，，， ，，Exploit Kit会蕴含一系列分歧的缝隙利用代码 。。。。。攻击者会向合法的网站注入恶意的剧本或代码，，， ，，以沉定向到Exploit Kit页面 。。。。。受害者浏览网页时即加载Exploit Kit的各类缝隙利用代码，，， ，，最终下载其它恶意软件 。。。。。

Rig是2014年出现的一款Exploit Kit即缝隙利用工具包，，， ，，重要以Java，，， ，，Flash和Silverlight缝隙为指标 。。。。。

更新功夫：

20190622

默认作为：

抛弃

 

事务名称：

TCP_NSA_EternalRomance_(永恒浪漫)_SMB远程代码执行缝隙1[MS17-010]

事务级别：

高级事务

安全类型：

安全缝隙

事务描述：

检测到源IP主机正向主张主机上传或下载jsp木马

更新功夫：

20190622

默认作为：

抛弃

 

事务名称：

HTTP_木马后门_ASP_webshell一句话木马下载

事务级别：

高级事务

安全类型：

木马后门

事务描述：

检测到远程执行号令中蕴含下载watchbog挖矿木马行为

更新功夫：

20190622

默认作为：

抛弃

 

事务名称：

HTTP_Nexus_Repository_Manager_3远程代码执行缝隙[CVE-2019-7238]

事务级别：

高级事务

安全类型：

安全缝隙

事务描述：

Nexus Repository Manager用于搭建Maven私服，，， ，，用于治理汇报和文档的项目治理软件

更新功夫：

20190622

默认作为：

抛弃

 


批改事务


事务名称：

TCP_后门_Gh0st.DHLAR_衔接

事务级别：

中级事务

安全类型：

木马后门

事务描述：

检测到后门试图衔接远程服务器 。。。。。源IP地点的主机可能被植入了后门DHLAR 。。。。。

Gh0st.DHLAR是利用一个凭据Gh0st远控的源码批改而来的后门，，， ，，运行后能够齐全节造被植入机械 。。。。。

更新功夫：

20190622

默认作为：

抛弃

 

事务名称：

HTTP_僵尸网络_MiraiXMiner_衔接

事务级别：

中级事务

安全类型：

木马后门

事务描述：

检测到僵尸网络MiraiXMiner试图衔接远程服务器 。。。。。源IP地点的主机可能被植入了MiraiXMiner 。。。。。

MiraiXMiner是一个依然活跃着的僵尸网络，，， ，，融合了多种已知病毒家族，，， ，，蕴含Mirai、MyKings、远控、挖矿等 。。。。。利用永恒之蓝缝隙、关路电视物联网设备缝隙、MSSQL缝隙、RDP爆破和Telnet爆破等方式传布自身 。。。。。

更新功夫：

20190622

默认作为：

抛弃

 

事务名称：

TCP_NSA_Windows_SMB_DoublePulsar植入成功2

事务级别：

高级事务

安全类型：

木马后门

事务描述：

检测到通过MS17-010的缝隙植入DoublePulsar后门的行为 。。。。。

Microsoft Windows是美国微软（Microsoft）公司颁布的一系列操作系统 。。。。。SMBv1 server是其中的一个服务器和谈组件 。。。。。DoublePulsar是一个后门法式，，， ，，用于在已习染的系统上注入和运行恶意代码 。。。。。

Microsoft Windows中的SMBv1服务器存在远程代码执行缝隙 。。。。。远程攻击者可借助特造的数据包利用该缝隙植入DoublePulsar后门 。。。。。

更新功夫：

20190622

默认作为：

抛弃

 

事务名称：

HTTP_木马后门_webshell_china_chopper_customize节造号令

事务级别：

中级事务

安全类型：

木马后门

事务描述：

该事务批注源IP地址主机上的中国菜刀客户端正在向主张IP地址主机上的webshell服务器端发出节造号令 。。。。。

webshell是web入侵的剧本攻击工具 。。。。。单一说，，， ，，webshell就是一个用asp或php等编写的木马后门，，， ，，攻击者在入侵了一个网站后，，， ，，时时将这些asp或php等木马后门文件搁置在网站服务器的web目录中，，， ，，与正常的网页文件混在一路 。。。。。而后攻击者就能够用web的方式，，， ，，通过该木马后门节造网站服务器，，， ，，蕴含上传下载文件、查看数据库、执行肆意法式号令等 。。。。。webshell能够穿越防火墙，，， ，，由于与被节造的服务器或远程主机互换的数据都是通过80端口传递的，，， ，，因而不会被防火墙拦截 。。。。。并且使用webshell通常不会在系统日志中留下纪录，，， ，，只会在网站的web日志中留下一些数据提交纪录，，， ，，治理员较难看出入侵痕迹 。。。。。

更新功夫：

20190622

默认作为：

抛弃

 

事务名称：

HTTP_木马后门_webshell_jsp_Runtime-reflect

事务级别：

中级事务

安全类型：

木马后门

事务描述：

检测到源IP主机正向主张主机上传或下载jsp木马

更新功夫：

20190622

默认作为：

抛弃

 

事务名称：

HTTP_fastjson_JSON反序列化_远程代码执行缝隙[CVE-2017-18349]

事务级别：

中级事务

安全类型：

安全缝隙

事务描述：

检测到源IP主机在利用fastjsonJSON反序列化远程代码执行缝隙对主张主机进行攻击的行为，，， ，，试图通过传入精心机关的恶意代码或号令来入侵主张IP主机 。。。。。

fastjson在1.2.24以及之前版本存在远程代码执行高危安全缝隙 。。。。�？？？？？？？ ？⒄咴谑褂�fastjson时，，， ，，若是编写不当，，， ，，可能导致JSON反序列化远程代码执行缝隙 。。。。。攻击者通过发送一个精心机关的JSON序列化恶意代码，，， ，，当法式执行JSON反序列化的过程中执行恶意代码，，， ，，从而导致远程代码执行 。。。。。

更新功夫：

20190622

默认作为：

抛弃

 

事务名称：

TCP_Oracle_WebLogic_反序列化缝隙[CVE-2015-4852/2018-2628]

事务级别：

中级事务

安全类型：

木马后门

事务描述：

检测到源IP利用weblogic反序列化缝隙进行攻击的行为

Oracle Weblogic Server是利用法式服务器 。。。。。

Oracle WebLogic Server 10.3.6.0, 12.1.2.0, 12.1.3.0, 12.2.1.0版本中，，， ，，WLS Security组件允许远程攻击者执行肆意号令 。。。。。攻击者通过向TCP端口7001发送T3和谈流量，，， ，，其中蕴含

精心机关的序列化Java对象利用此缝隙 。。。。。此缝隙影响到WLS Security Handler的文件

oracle_common/modules/com.bea.core.apache.commons.collections.jar内一个未知的函数 。。。。。

更新功夫：

20190622

默认作为：

抛弃

  

事务名称：

HTTP_木马后门_ASP_webshell一句话木顿时传

事务级别：

中级事务

安全类型：

木马后门

事务描述：

检测到源IP主机正向主张主机上传ASP一句话木马的行为

攻击者尝试向服务器上传ASP一句话木马文件，，， ，，若是上传成功将通过一句话木马衔接工具对服务器进行节造 。。。。。

更新功夫：

20190622

默认作为：

抛弃

 


删除事务 


1. IMAP_find_缓冲区溢出攻击尝试[CVE-2000-0284] 
2. IMAP_list_缓冲区溢出攻击尝试1[CVE-2000-0284]
3. TCP_Microsoft_UPnP_NOTIFY_缓冲区溢出攻击[CVE-2001-0876]