HVV-某田相关经历

一、背景

本次项目为期两周，由集团主导招募攻击队员对集团下属及其子公司进行的攻防演练。本次项目主导研判分析+应急排查+内部Nday发掘。

二、研判分析

2.1、帆软V10

漏洞概述

帆软 V10 及 V11 版本报表软件存在反序列化漏洞，攻击者可利用该漏洞使用POST 方法向帆软报表软件路径/webroot/decision/remote/design/channel 发送恶意数据包，将二进制数据流或文件加载到服务器内存中触发反序列化操作，从而实现任意代码执行，获取服务器控制权限。

漏洞发现

当时是在告警平台出现命令执行报警，经过项目前期熟悉客户网络结构，应用，内部办公网，生产网网段和环境，判定该告警是外部攻击ip，查看详情发现请求包是进行加密的，查看响应包发现ipconfig响应内容随判定为攻击事件。

处置措施

（1）通知运维人员对该应用网站进行封堵使得外部无法访问；

（2）通过日志分析平台对该ip进行项目日期中的所有攻击日志检索发现只有两条记录分析第一条为执行了命令ipconfig；分析第二条发现相应包中返回了目标主机退出执行命令”whoami“

（3）通知内部应用负责人进行零时处置以免影响业务

1. 联系帆软系统官方咨询漏洞修复方案。
2. 在服务器端禁用以下目录的访问：
   ①   /webroot/decision/remote/design/channel
   ②   /webroot/ReportServer/

（4）更改后进行帆软V10版本漏洞扫描无漏洞后重写上线。

2.2、spring漏洞heapdump文件泄露

漏洞描述

spring框架存在信息泄露漏洞通过actuator/​​查看泄露的端点信息