2019-10-22

宣布时间 2019-10-22

新增事务


事务名称：

HTTP_木马后门_webshell_Jscript上传后门程序

事务级别：

中级事务

清静类型：

木马后门

事务形貌：

检测到源IP地点主机正在向目的IP地点主机传送可疑的webshell文件。。。

webshell是web入侵的剧本攻击工具。。。简朴说，，，webshell就是一个用asp或php等编写的木马后门，，，攻击者在入侵了一个网站后，，，经常将这些asp或php等木马后门文件安排在网站效劳器的web目录中，，，与正常的网页文件混在一起。。。然后攻击者就可以用web的方法，，，通过该木马后门控制网站效劳器，，，包括上传下载文件、审查数据库、执行恣意程序下令等。。。webshell可以穿越防火墙，，，由于与被控制的效劳器或远程主机交流的数据都是通过80端口转达的，，，因此不会被防火墙阻挡。。。并且使用webshell一样平常不会在系统日志中留下纪录，，，只会在网站的web日志中留下一些数据提交纪录，，，治理员较难看收支侵痕迹。。。

更新时间：

20191022

默认行动：

丢会话

















事务名称：

HTTP_后门_Win32.SaefkoAgentRAT _毗连

事务级别：

中级事务

清静类型：

木马后门

事务形貌：

检测到木马试图毗连远程效劳器。。。

SaefkoAgent 是一个远控程序，，，使用C#语言编写，，，运行后可以完全控制被熏染机械,包括上传窃密信息,屏幕截图，，，下载文件执行等功效。。。

更新时间：

20191022

默认行动：

丢会话











事务名称：

TCP_mysql_authbypass

事务级别：

中级事务

清静类型：

网络数据库攻击

事务形貌：

当毗连MariaDB/MySQL时，，，输入的密码会与期望的准确密码较量，，，由于不准确的处置惩罚，，，会导致即即是memcmp()返回一个非零值，，，也会使MySQL以为两个密码是相同的。。。 也就是说只要知道用户名，，，一直实验就能够直接登入SQL数据库。。。凭证通告说法约莫256次就能够蒙对一次。。。并且误差使用工具已经泛起。。。

更新时间：

20191022

默认行动：

丢会话












事务名称：

HTTP_Tunna隧道毗连

事务级别：

中级事务

清静类型：

木马后门

事务形貌：

Tunna:一款神奇的工具，，，它可以通过HTTP封装隧道通讯任何TCP，，，以及用于绕过防火墙情形中的网络限制。。。

更新时间：

20191022

默认行动：

丢会话












修改事务


事务名称：

UDP_Microsoft_Windows_DNS剖析远程代码执行误差[MS11-030][CVE-2011-0657]

事务级别：

中级事务

清静类型：

清静误差

事务形貌：

检测到源IP主机试图通过MS11-030误差攻击目的IP主机。。。一旦攻击乐成，，，攻击者可以用NetworkService运行恣意代码。。。

Microsoft Windows在实现上保存DNS剖析远程代码执行误差。。。

DNS客户端效劳处置惩罚特制的LLMNR请求时保存一个远程代码执行误差，，，乐成使用此误差的攻击者可以用NetworkService运行恣意代码。。。攻击者可以装置程序；；；；审查、更改或删除数据；；；；或以完全用户权限建设新账户。。。

更新时间：

20191022

默认行动：

丢会话
















删除事务


1、HTTP_fastjson-blacklist1

2、HTTP_fastjson-blacklist2