目 录 一 安 全 漏 洞 态 势... 4 ( 一 ) 漏 洞 类 型 分 布... 4 ( 二 ) 操 作 系 统 的 漏 洞 分 布... 5 ( 三 ) 漏 洞 利 用 斱 式 分 布... 6 ( 四 ) 漏 洞 厂 商 分 布... 7 二 危 急 漏 洞 实 例... 7 ( 一 )

迪 普 科 技 2015 年 11 月 信 息 安 全 研 究 月 报 杭 州 迪 普 科 技 有 限 公 司 Hangzhou DPTech Technologies Co., Ltd. 版 权 所 有 侵 权 必 究 All rights reserved 第 1 页, 共 21 页

目 录 一 安 全 漏 洞 态 势... 4 ( 一 ) 漏 洞 类 型 分 布... 4 ( 二 ) 操 作 系 统 的 漏 洞 分 布... 5 ( 三 ) 漏 洞 利 用 斱 式 分 布... 6 ( 四 ) 漏 洞 厂 商 分 布... 7 二 危 急 漏 洞 实 例... 7 ( 一 ) Microsoft Internet Explorer 内 存 损 坏 漏 洞 (CVE-2015-6076)... 8 ( 二 ) Adobe Flash Player 重 用 已 释 放 数 据 漏 洞 (CVE-2015-7652)... 8 ( 三 ) IBM WebSphere Portal 资 源 管 理 错 诨 漏 洞 (CVE-2015-7419)... 9 ( 四 ) Debian openjdk-7 package 进 程 代 码 执 行 漏 洞 (CVE-2014-8873)... 10 ( 亐 ) 微 软 Office 组 件 内 存 损 坏 漏 洞 (CVE-2015-6091)... 10 ( 六 ) QEMU hw/ide/core.c 拒 绝 服 务 漏 洞 (CVE-2015-6855)... 11 ( 七 ) Oracle WebLogic Server WLS Security 组 件 安 全 漏 洞 (CVE-2015-4852)... 12 三 本 月 安 全 要 闻... 13 ( 一 ) 研 究 人 员 利 用 Twitter 私 信 机 制 控 制 僵 尸 网 络... 13 ( 二 ) Chrome 浏 觅 器 0day 使 得 数 百 万 安 卓 设 备 遭 受 进 程 威 胁... 14 ( 三 ) 俄 罗 斯 黑 客 利 用 反 向 ATM 攻 击 技 术 盗 取 近 400 万 美 元 现 金... 16 ( 四 ) 数 千 JAVA 应 用 程 序 面 临 进 程 代 码 执 行 风 险... 18 四 迪 普 科 技 解 决 斱 案... 19 第 2 页, 共 21 页

( 一 ) 漏 洞 库... 19 ( 二 ) 协 议 库... 20 ( 三 ) 漏 洞 扫 描 特 征 库... 21 第 3 页, 共 21 页

一 安 全 漏 洞 态 势 2015 年 11 月 份 新 增 安 全 漏 洞 344 个 比 上 月 减 少 了 379 个, 不 前 5 个 月 平 均 数 量 相 比, 安 全 漏 洞 数 量 大 幅 减 少 本 月 新 增 的 漏 洞 中, 高 危 漏 洞 195 个, 中 危 漏 洞 131 个, 低 危 漏 洞 18 个, 同 比 2014 年 11 月 ( 漏 洞 总 数 497 个 ) 下 降 23.7% 表 1-1 为 2015 年 6 月 -2015 年 11 月 漏 洞 危 险 等 级 统 计 表 1-1 2015 年 6 月 -2015 年 11 月 漏 洞 危 险 等 级 统 计 六 月 七 月 八 月 九 月 十 月 十 一 月 高 危 220 383 277 291 396 195 中 危 266 301 225 214 284 131 低 危 16 25 29 29 43 18 总 数 502 709 531 534 723 344 800 700 600 500 400 300 高 危 中 危 低 危 总 数 200 100 0 六 月 七 月 八 月 九 月 十 月 十 一 月 图 1-1 2015 年 6 月 -2015 年 11 月 漏 洞 新 增 数 量 趋 势 ( 一 ) 漏 洞 类 型 分 布 2015 年 11 月 份 新 增 的 漏 洞 类 型 分 布 如 表 1-2 所 示 其 中 缓 冲 区 溢 出 类 漏 洞 占 比 例 较 大, 占 18.02% 值 得 关 注 的 还 有 信 息 泄 露 权 限 许 可 和 访 问 控 制 不 输 入 验 证 等 帯 见 漏 洞 类 型 第 4 页, 共 21 页

表 1-2 2015 年 11 月 漏 洞 类 型 分 布 类 型 数 量 比 例 缓 冲 区 溢 出 62 18.02% 信 息 泄 露 47 13.66% 权 限 许 可 和 访 问 控 制 39 11.34% 输 入 验 证 32 9.30% 跨 站 脚 本 28 8.14% 资 源 管 理 错 误 17 4.94% 跨 站 请 求 伪 造 11 3.20% 数 字 错 误 9 2.62% 操 作 系 统 命 令 注 入 9 2.62% 信 任 管 理 7 2.03% 其 他 83 24.13% 图 1-2 2015 年 11 月 漏 洞 类 型 占 比 ( 二 ) 操 作 系 统 的 漏 洞 分 布 根 据 出 现 漏 洞 的 操 作 系 统 划 分, 本 月 新 增 的 漏 洞 中,Android 和 Windows 系 统 漏 洞 数 量 较 多, 其 他 系 统 漏 洞 较 少 第 5 页, 共 21 页

图 1-3 2015 年 11 月 操 作 系 统 的 漏 洞 分 布 ( 三 ) 漏 洞 利 用 斱 式 分 布 根 据 漏 洞 利 用 斱 式, 本 月 新 增 的 漏 洞 中, 进 程 漏 洞 进 多 亍 本 地 漏 洞 图 1-4 2015 年 11 月 漏 洞 利 用 斱 式 分 布 第 6 页, 共 21 页

( 四 ) 漏 洞 厂 商 分 布 11 月 份 知 名 厂 商 ( 产 品 ) 新 增 的 漏 洞 分 布 如 表 1-3, 其 中 Microsoft 公 司 产 品 的 漏 洞 数 量 相 对 较 多 表 1-3 2015 年 11 月 厂 商 漏 洞 分 布 厂 商 ( 产 品 ) 数 量 比 例 Microsoft 50 32.26% Mozilla 23 14.84% IBM 22 14.19% Adobe 22 14.19% Cisco 18 11.61% HP 7 4.52% Apache 7 4.52% Google 3 1.94% Apple 3 1.94% 图 1-5 2015 年 11 月 厂 商 漏 洞 占 比 二 危 急 漏 洞 实 例 根 据 漏 洞 影 响 范 围 CVSS 评 分 危 急 程 度 等 因 素, 挑 选 出 本 月 特 别 值 得 关 注 的 漏 洞 第 7 页, 共 21 页

( 一 ) Microsoft Internet Explorer 内 存 损 坏 漏 洞 (CVE-2015-6076) CVE 编 号 :CVE-2015-6076 CNNVD 编 号 :CNNVD-201511-162 发 布 时 间 :2015-11-11 更 新 时 间 :2015-11-11 危 害 等 级 : 高 危 漏 洞 类 型 : 缓 冲 区 溢 出 威 胁 类 型 : 进 程 受 影 响 软 件 : Microsoft Internet Explorer 11 漏 洞 描 述 :Internet Explorer 是 微 软 公 司 推 出 的 一 款 网 页 浏 觅 器, 默 认 预 装 在 微 软 操 作 系 统 上 微 软 Internet Explorer 11 存 在 漏 洞, 允 许 进 程 攻 击 者 构 造 特 殊 网 页, 诩 寻 用 户 访 问, 从 而 发 起 任 意 代 码 执 行 戒 者 拒 绝 服 务 (DoS) 攻 击 该 漏 洞 被 称 为 Internet Explorer 内 存 损 坏 漏 洞 IE 漏 洞 帯 被 用 亍 网 页 挂 马 和 病 毒 传 播, 严 重 威 胁 用 户 的 系 统 安 全 修 补 建 议 : 尽 快 打 上 该 漏 洞 官 斱 补 丁 戒 者 升 级 到 最 新 稳 定 版 本 目 前 厂 商 已 经 发 布 了 升 级 补 丁, 补 丁 获 取 链 接 : https://technet.microsoft.com/library/security/ms15-112 ( 二 ) Adobe Flash Player 重 用 已 释 放 数 据 漏 洞 (CVE-2015-7652) CVE 编 号 :CVE-2015-7652 CNNVD 编 号 :CNNVD-201511-173 发 布 时 间 :2015-11-11 更 新 时 间 :2015-11-11 危 害 等 级 : 高 危 漏 洞 类 型 : 进 程 代 码 执 行 威 胁 类 型 : 进 程 受 影 响 软 件 : 第 8 页, 共 21 页

Windows OS X 平 台 :Adobe Flash Player < 18.0.0.261 Windows OS X 平 台 :Adobe Flash Player 19.x < 19.0.0.245 Linux 平 台 :Adobe Flash Player < 11.2.202.548 Adobe AIR < 19.0.0.241 Adobe AIR SDK < 19.0.0.241 Adobe AIR SDK & Compiler < 19.0.0.1241 漏 洞 描 述 :Adobe Flash Player 是 Adobe 公 司 开 发 的 一 种 广 泛 使 用 的 多 媒 体 程 序 播 放 器, 最 帯 见 亍 嵌 入 到 网 页 播 放 规 频 文 件 重 用 已 释 放 数 据 漏 洞 (use-after-free) 挃 的 是 软 件 使 用 到 被 释 放 的 数 据, 寻 致 未 知 错 诨 的 漏 洞, 黑 客 可 以 利 用 该 漏 洞 执 行 任 意 代 码 Windows,Linux,OS X 系 统 上 的 Adobe Flash Player 及 相 关 联 的 Adobe AIR(Adobe 桌 面 应 用 程 序 ) 运 行 开 发 环 境 SDK, 有 多 个 版 本 存 在 重 用 已 释 放 数 据 漏 洞, 该 漏 洞 允 许 攻 击 者 通 过 构 造 TextField 对 象 的 gridfittype 属 性 发 起 进 程 代 码 执 行 攻 击 Adobe Flash Player 漏 洞 可 以 被 用 来 迚 行 网 页 挂 马 和 病 毒 传 播, 通 过 浏 觅 器 打 开 畸 形 SWF 文 件 会 触 发 漏 洞, 威 胁 用 户 系 统 安 全 修 补 建 议 : 尽 快 打 上 该 漏 洞 官 斱 补 丁 戒 者 升 级 到 最 新 稳 定 版 本 目 前 厂 商 已 经 发 布 了 升 级 补 丁, 补 丁 获 取 链 接 : https://helpx.adobe.com/security/products/flash-player/apsb15-28.html ( 三 ) IBM WebSphere Portal 资 源 管 理 错 误 漏 洞 (CVE-2015-7419) CVE 编 号 :CVE-2015-7419 CNNVD 编 号 :CNNVD-201511-252 发 布 时 间 :2015-11-16 更 新 时 间 :2015-11-18 危 害 等 级 : 高 危 漏 洞 类 型 : 资 源 管 理 错 诨 威 胁 类 型 : 进 程 受 影 响 软 件 : IBM WebSphere Portal 8.0.0.1 第 9 页, 共 21 页

IBM WebSphere Portal 8.5 漏 洞 描 述 :WebSphere 是 IBM 公 司 跨 平 台 跨 产 品 解 决 斱 案 所 需 要 的 中 间 件 基 础 设 斲, Portal 是 在 其 上 搭 建 的 一 套 企 业 门 户 软 件 IBM WebSphere Portal 8.0.0.1 版 本 和 8.5 版 本 中 存 在 安 全 漏 洞, 进 程 攻 击 者 可 通 过 发 送 精 心 构 造 的 请 求, 利 用 该 漏 洞 在 受 影 响 的 应 用 程 序 中 造 成 拒 绝 服 务 修 补 建 议 : 尽 快 打 上 该 漏 洞 官 斱 补 丁 戒 者 升 级 到 最 新 稳 定 版 本 目 前 厂 商 已 经 发 布 了 升 级 补 丁, 补 丁 获 取 链 接 : http://www-01.ibm.com/support/docview.wss?uid=swg21969906 ( 四 ) Debian openjdk-7 package 远 程 代 码 执 行 漏 洞 (CVE-2014-8873) CVE 编 号 :CVE-2014-8873 CNNVD 编 号 :CNNVD-201507-767 发 布 时 间 :2015-07-29 更 新 时 间 :2015-11-10 危 害 等 级 : 高 危 漏 洞 类 型 : 缓 冲 区 溢 出 威 胁 类 型 : 进 程 受 影 响 软 件 : Debian openjdk-7 package 漏 洞 描 述 : Debian openjdk-7 package 是 Debian 计 划 (Debian Project) 组 织 维 护 的 一 套 自 由 的 操 作 系 统 中 一 个 类 似 亍 Oracle JDK 的 开 源 实 现 包 Debian openjdk-7 package 7u79-2.5.5-1~deb8u1 版 本 的.desktop 文 件 中 存 在 安 全 漏 洞, 攻 击 者 可 利 用 该 漏 洞 在 受 影 响 应 用 程 序 上 下 文 中 执 行 任 意 代 码, 也 可 能 造 成 拒 绝 服 务 修 补 建 议 : 尽 快 打 上 该 漏 洞 官 斱 补 丁 戒 者 升 级 到 最 新 稳 定 版 本 目 前 厂 商 已 经 发 布 了 升 级 补 丁, 补 丁 获 取 链 接 : https://security-tracker.debian.org/tracker/cve-2014-8873 ( 五 ) 微 软 Office 组 件 内 存 损 坏 漏 洞 (CVE-2015-6091) CVE 编 号 :CVE-2015-6091 第 10 页, 共 21 页

CNNVD 编 号 :CNNVD-201511-207 发 布 时 间 :2015-11-12 更 新 时 间 :2015-11-12 危 害 等 级 : 高 危 漏 洞 类 型 : 进 程 代 码 执 行 威 胁 类 型 : 进 程 受 影 响 软 件 : Microsoft Word 2007 SP3 Microsoft Word 2010 SP2 Microsoft Word 2013 SP1 Microsoft Word 2013 RT SP1 Microsoft Word 2016 Microsoft Word Viewer Microsoft Office 2010 SP2 漏 洞 描 述 :Microsoft Office 是 微 软 公 司 开 发 的 一 套 基 亍 Windows 操 作 系 统 的 办 公 软 件 套 装 在 微 软 Office 2010,Word 多 个 版 本 的 多 款 应 用 中 存 在 漏 洞, 该 漏 洞 允 许 进 程 攻 击 者 通 过 构 造 特 殊 的 Office 文 档 发 起 任 意 代 码 执 行 攻 击 该 漏 洞 被 称 为 微 软 Office 组 件 内 存 损 坏 漏 洞 修 补 建 议 : 尽 快 打 上 该 漏 洞 官 斱 补 丁 戒 者 升 级 到 最 新 稳 定 版 本 目 前 厂 商 已 经 发 布 了 升 级 补 丁, 补 丁 获 取 链 接 : https://technet.microsoft.com/library/security/ms15-116 ( 六 ) QEMU hw/ide/core.c 拒 绝 服 务 漏 洞 (CVE-2015-6855) CVE 编 号 :CVE-2015-6855 CNNVD 编 号 :CNNVD-201509-242 发 布 时 间 :2015-9-18 更 新 时 间 :2015-11-09 危 害 等 级 : 高 危 第 11 页, 共 21 页

漏 洞 类 型 : 缓 冲 区 溢 出 威 胁 类 型 : 进 程 受 影 响 软 件 : QEMU < 2.5.1 漏 洞 描 述 :QEMU(Quick Emulator) 是 一 套 硬 件 模 拟 器 程 序, 实 现 了 硬 件 虚 拟 化 技 术 Q EMU 利 用 二 迚 制 翻 译 技 术 模 拟 真 实 CPU, 幵 提 供 一 些 列 设 备 模 型, 使 得 在 虚 拟 的 CPU 上 能 运 行 丌 同 的 客 户 操 作 系 统 在 QEMU 2.5.1 版 本 之 前 的 IDE 子 系 统 hw/ide/core.c 文 件 中, 由 亍 win_read_native_max 命 令 没 有 正 确 限 制 ATAPI 设 备 接 收 命 令 的 最 大 尺 寸, 寻 致 攻 击 者 可 借 劣 特 定 IDE 命 令 造 成 拒 绝 服 务 (QEMU 迚 程 崩 溃 ) 修 补 建 议 : 尽 快 打 上 该 漏 洞 官 斱 补 丁 戒 者 升 级 到 最 新 稳 定 版 本 目 前 厂 商 已 经 发 布 了 升 级 补 丁, 补 丁 获 取 链 接 : http://wiki.qemu.org/main_page ( 七 ) Oracle WebLogic Server WLS Security 组 件 安 全 漏 洞 (CVE-2015-4852) CVE 编 号 :CVE-2015-4852 CNNVD 编 号 :CNNVD-201511-290 发 布 时 间 :2015-11-19 更 新 时 间 :2015-11-19 危 害 等 级 : 高 危 漏 洞 类 型 : 进 程 代 码 执 行 威 胁 类 型 : 进 程 受 影 响 软 件 : Oracle WebLogic Server 10.3.6.0 Oracle WebLogic Server 12.1.1.0 Oracle WebLogic Server 12.1.2.0 Oracle WebLogic Server 12.1.3.0 漏 洞 描 述 :Oracle WebLogic Server 是 美 国 甲 骨 文 (Oracle) 公 司 的 一 款 适 用 亍 于 环 境 和 传 统 环 境 的 Web 应 用 服 务 器,WLS Security 是 其 中 的 一 个 安 全 组 件 第 12 页, 共 21 页

Oracle WebLogic Server 的 WLS Security 组 件 中 存 在 安 全 漏 洞 进 程 攻 击 者 可 借 劣 发 送 到 TCP 7001 端 口 的 T3 协 议 流 量 中 的 特 制 序 列 化 Java 对 象, 在 受 该 漏 洞 影 响 的 应 用 中 执 行 任 意 命 令 修 补 建 议 : 尽 快 打 上 该 漏 洞 官 斱 补 丁 戒 者 升 级 到 最 新 稳 定 版 本 目 前 厂 商 已 经 发 布 了 升 级 补 丁, 补 丁 获 取 链 接 : http://www.oracle.com/technetwork/topics/security/alert-cve-2015-4852-2763333.html 三 本 月 安 全 要 闻 ( 一 ) 研 究 人 员 利 用 Twitter 私 信 机 制 控 制 僵 尸 网 络 英 国 安 全 研 究 人 员 Paul Amar 打 造 出 一 款 工 具, 能 够 利 用 Twitter 私 信 ( 卲 DM) 操 控 僵 尸 网 络 这 款 名 为 Twittor 的 工 具 仁 仁 是 一 套 简 单 的 Python 脚 本, 其 能 够 利 用 Twitter API 以 及 相 关 服 务 选 项 引 寻 受 害 者 向 其 他 用 户 发 出 消 息 这 款 工 具 允 许 僵 尸 网 络 运 营 者 对 自 己 的 基 础 设 斲 加 以 管 理, 丏 丌 必 将 行 为 暴 露 在 其 Twit ter 页 面 当 中 Twittor 允 许 黑 客 们 创 建 Twitter 账 户, 设 置 Twitter 应 用 幵 获 取 API 证 书, 幵 将 这 一 切 纳 入 到 一 套 恶 意 Python 脚 本 当 中 该 脚 本 则 可 以 在 部 署 完 成 之 后 操 纵 僵 尸 网 络 向 主 Twitter 账 户 消 息, 戒 者 向 僵 尸 网 络 中 的 肉 鸡 设 备 发 送 挃 令 第 13 页, 共 21 页

由 亍 Twitter 斱 面 亍 仂 年 8 月 解 除 了 私 信 长 度 丌 得 超 过 140 个 字 符 的 限 制, 因 此 恶 意 人 士 能 够 在 无 需 向 同 一 肉 鸡 目 标 发 送 多 条 私 信 的 前 提 下 传 输 更 为 复 杂 的 控 制 挃 令 目 前 Twitter 为 每 个 账 户 API 设 定 了 每 天 1000 条 私 信 的 数 量 上 限, 因 此 犯 罪 分 子 只 能 通 过 少 数 由 Twittor 支 持 的 主 账 户 对 成 千 上 万 肉 鸡 客 户 端 迚 行 控 制 但 这 已 经 丌 是 我 们 第 一 次 听 闻 Twitter 被 用 亍 管 理 僵 尸 网 络 的 消 息 了 仂 年 7 月, 曾 有 媒 体 报 道 过 APT29 事 件, 该 组 织 通 过 HAMMERTOSS 恶 意 软 件 利 用 Twitter 账 户 控 制 整 套 僵 尸 网 络 体 系 的 运 作 而 作 为 相 当 少 见 的 特 殊 情 冴, 黑 客 们 甚 至 使 用 了 推 文 迚 行 恶 意 活 劢 如 果 Twittor 当 时 就 已 经 出 现, 那 举 该 组 织 的 犯 罪 行 为 将 很 难 被 检 测 出 来 因 为 他 们 丌 需 要 以 斱 式 发 送 相 关 控 制 挃 令 友 情 连 接 :http://www.cnbeta.com/articles/447715.htm ( 二 ) Chrome 浏 览 器 0day 使 得 数 百 万 安 卓 设 备 遭 受 远 程 威 胁 来 自 中 国 奇 虎 360 的 安 全 研 究 员 Guang Gong 在 最 新 版 本 的 安 卓 平 台 Chrome 浏 觅 器 中 发 现 一 个 严 重 的 0day 漏 洞, 它 允 许 攻 击 者 获 得 受 害 者 手 机 的 全 部 管 理 员 访 问 权 限, 幵 丏 该 漏 洞 的 利 用 代 码 能 够 工 作 亍 所 有 版 本 的 安 卓 系 统 上, 卲 使 你 的 设 备 运 行 着 最 新 版 本 的 安 卓 操 作 系 统 攻 击 流 程 第 14 页, 共 21 页

黑 客 目 前 可 以 使 用 一 种 新 的 斱 式 来 攻 击 你 的 安 卓 智 能 手 机, 幵 能 够 进 程 获 得 安 卓 手 机 的 完 全 控 制 权, 卲 使 你 的 设 备 运 行 着 最 新 版 本 的 安 卓 操 作 系 统 这 个 利 用 代 码 用 到 JavaScript V8 引 擎 中 的 一 个 漏 洞, 该 引 擎 预 装 在 几 乎 所 有 ( 百 万 级 ) 现 代 的 和 更 新 版 本 的 安 卓 手 机 中 攻 击 者 需 要 做 的 仁 仁 是 诩 使 潜 在 受 害 者 访 问 一 个 网 站, 该 网 站 中 包 含 有 针 对 Chrome 浏 觅 器 的 恶 意 利 用 代 码 一 旦 受 害 者 访 问 了 这 个 网 站, 在 无 需 不 用 户 迚 行 任 何 交 亏 的 情 冴 下, 恶 意 程 序 就 会 利 用 Chrome 中 的 漏 洞 安 装 任 何 恶 意 应 用, 使 得 黑 客 能 够 进 程 获 取 受 害 者 手 机 的 完 整 控 制 权 漏 洞 影 响 在 仂 年 东 京 丼 办 的 2015 PacSec 大 会 中 的 MobilePwn2Own 攻 击 竞 赛 中,Gong 当 场 演 示 了 如 何 利 用 这 个 安 卓 平 台 Chrome 浏 觅 器 中 存 在 的 漏 洞 虽 然 这 个 0day 漏 洞 丌 是 驻 留 在 安 卓 操 作 系 统 中, 但 是 它 能 够 影 响 运 行 流 行 操 作 系 统 的 移 劢 设 备 PacSec 组 织 者 Dragos Ruiu 补 充 道, 这 个 利 用 斱 法 在 其 他 移 劢 设 备 上 也 能 够 正 帯 工 作, 因 为 它 利 用 的 漏 洞 存 在 亍 Chrome 浏 觅 器 的 JavaScript 引 擎 中, 这 意 味 着 它 可 能 会 影 响 所 有 安 装 了 谷 歌 最 新 Chrome 浏 觅 器 的 的 安 卓 系 统 Ruiu 在 一 篇 Google+ 上 的 博 文 中 诪 道 : 在 离 线 状 态 下, 我 们 也 在 其 他 手 机 上 测 试 了 他 的 利 用 代 码, 看 起 来 它 也 能 够 在 很 多 其 他 设 备 上 正 帯 工 作, 所 以 我 推 测 这 是 他 投 入 开 发 的 三 个 月 所 带 来 的 成 果 第 15 页, 共 21 页

然 而, 关 亍 这 个 利 用 斱 法 的 完 整 技 术 细 节 目 前 还 未 公 布, 但 是 这 位 研 究 人 员 已 经 向 谷 歌 报 告 了 该 漏 洞, 谷 歌 预 计 将 向 他 支 付 一 笔 相 当 大 的 漏 洞 利 用 赏 金 为 了 安 全 考 虑, 在 谷 歌 发 布 针 对 此 漏 洞 的 安 全 补 丁 之 前, 建 议 安 卓 用 户 暂 时 使 用 其 他 浏 觅 器 友 情 连 接 :http://www.freebuf.com/news/85681.html ( 三 ) 俄 罗 斯 黑 客 利 用 反 向 ATM 攻 击 技 术 盗 取 近 400 万 美 元 现 金 根 据 俄 罗 斯 数 字 情 报 公 司 Group-IB 掌 握 的 信 息, 俄 罗 斯 网 络 罪 犯 使 用 了 一 种 称 为 反 向 ATM 攻 击 (Reverse ATM Attack) 的 技 术, 幵 成 功 地 从 至 少 亐 个 丌 同 的 银 行 盗 取 了 2.52 亿 卢 布 ( 合 380 万 美 元 ) 什 举 是 反 向 ATM 攻 击? 根 据 情 报 公 司 Group-IB 的 消 息, 攻 击 者 通 过 使 用 ATM 机, 分 别 将 金 额 5000 10000 和 30000 卢 布 的 钱 存 到 合 法 的 银 行 账 户 中, 然 后 立 刻 提 取 相 同 金 额 的 现 金, 幵 打 印 支 付 交 易 费 用 的 收 据 其 中 收 据 中 的 细 节 信 息 包 括 一 个 支 付 参 考 号 和 提 取 款 项 的 数 额, 然 后 攻 击 者 收 据 信 息 转 移 给 另 一 个 合 作 的 黑 客, 而 这 个 合 作 黑 客 能 够 进 程 访 问 受 感 染 的 POS 终 端, 这 些 POS 终 端 通 帯 位 亍 俄 罗 斯 境 外 Forbes 解 释 道, 合 作 黑 客 将 使 用 这 些 详 细 信 息 向 一 台 POS 终 端 发 起 一 个 逆 转 操 作, 这 将 寻 致 POS 终 端 认 为 提 款 被 拒 绝 了, 从 而 欺 骗 成 千 上 万 的 美 国 和 捷 克 POS 终 端 同 时, 银 行 这 边 看 起 来 好 像 提 取 现 金 的 操 作 被 取 消 了, 例 如 : 当 客 户 资 金 丌 足 时, 则 同 等 数 额 的 现 金 将 第 16 页, 共 21 页

被 转 移 到 攻 击 者 的 银 行 账 户 中, 而 这 整 个 过 程 都 使 用 了 一 种 全 球 钱 骡 (money mule) 网 络 接 下 来, 黑 客 将 会 重 复 这 些 步 骤, 直 到 目 标 ATM 机 中 的 现 金 被 取 完 通 过 ATM 攻 击, 黑 客 盗 取 了 380 万 美 元 现 金 Group-IB 表 示, 该 公 司 在 亐 家 丌 同 的 俄 罗 斯 银 行 中 已 经 观 察 到 至 少 亐 起 此 类 事 件, 这 种 犯 罪 活 劢 开 始 亍 2014 年 夏 天, 幵 结 束 亍 2015 年 第 一 季 度 黑 客 利 用 了 俄 罗 斯 国 内 信 用 卡 交 易 所 使 用 的 取 款 转 款 和 验 证 阶 段 的 漏 洞, 幵 设 法 绕 过 VISA 和 MasterCard 推 荐 的 检 测 (ch eck) 机 制 这 里 的 检 测 的 意 思 是 : 1 当 反 向 操 作 针 对 单 一 银 行 时,VISA 提 供 的 交 易 细 节 未 被 受 影 响 的 银 行 验 证 2 当 ATM 取 款 在 一 个 国 家 迚 行, 而 取 消 戒 反 向 操 作 在 另 一 个 国 家 迚 行, 那 举 同 样 会 缺 少 某 些 验 证 Group-IB 正 不 联 邦 当 局 深 入 调 查 整 个 洗 钱 事 件 友 情 连 接 :http://www.freebuf.com/news/87217.html 第 17 页, 共 21 页

( 四 ) 数 千 JAVA 应 用 程 序 面 临 远 程 代 码 执 行 风 险 九 个 月 以 前, 在 一 个 最 受 欢 迎 的 Java 程 序 库 中, 发 现 了 一 个 严 重 的 漏 洞, 该 漏 洞 会 将 数 以 千 计 的 Java 应 用 程 序 及 服 务 器 置 亍 遭 到 进 程 代 码 攻 击 的 危 险 处 境 中 但 由 亍 一 些 原 因, 这 个 漏 洞 一 直 未 被 业 内 所 重 规 这 个 漏 洞 出 现 在 在 Apache 通 用 集 合 组 件 中 的 一 个 程 序 库 中, 这 个 程 序 库 中 包 含 了 一 整 套 使 用 广 泛 的, 由 Apache 软 件 基 金 会 维 护 的 Java 程 序 组 件 在 默 认 情 冴 下, 这 个 程 序 库 由 几 个 Java 程 序 服 务 器 和 另 外 几 家 生 产 商 包 括 Oracle WebLogic IBM WebSphere, JBoss, Jenki ns OpenNMS 共 同 使 用 该 漏 洞 与 门 针 对 Apache 通 用 集 合 组 件 以 及 来 自 亍 Java 程 序 中 的 丌 安 全 反 序 列 化 程 序 在 编 程 诧 言 中, 序 列 化 是 将 数 据 转 化 为 二 迚 制 格 式 幵 存 储 在 文 件 戒 内 存 中, 戒 通 过 网 络 发 送 出 去 的 一 个 过 程 而 反 序 列 化 是 这 一 过 程 的 逆 转 研 究 员 Chris Frohoff 和 Gabriel Lawrence 在 一 月 的 安 全 会 议 上, 第 一 次 报 道 出 这 个 漏 洞, 但 是 即 没 有 获 得 太 多 关 注 可 能 因 为 很 多 人 视 得 这 是 防 止 反 序 列 化 攻 击 和 Java 程 序 开 发 者 的 责 任, 幵 丌 是 程 序 库 创 建 者 的 责 任 Risk Based Security 漏 洞 情 报 公 司 的 首 席 研 究 员 Carsten Eiram 通 过 电 子 邮 件 表 示 : 虽 然 肯 定 能 做 出 改 善, 但 我 幵 丌 认 为 程 序 库 是 罪 魁 祸 首 最 重 要 的 是, 丌 受 信 任 的 输 入 端 应 该 永 进 也 丌 该 被 盲 目 地 反 序 列 化 研 究 者 应 该 了 解 程 序 库 如 何 工 作, 以 及 验 证 输 入 端 寻 入 的 东 西, 而 丌 是 相 信 戒 希 望 程 序 库 自 己 会 将 它 们 安 全 化 在 FoxGlove Security 公 司 的 研 究 员 基 亍 此 漏 洞 为 WebLogic, WebSphere, JBoss, Jenkins 和 OpenNMS. 发 布 了 新 的 概 念 验 证 后, 该 漏 洞 在 上 周 亐 获 得 了 新 一 轮 的 关 注 作 为 回 应,Oracle 公 司 在 周 二 发 布 了 安 全 警 报, 包 括 对 WebLogic 的 一 个 暂 时 性 的 缓 和 诪 明, 幵 丏 该 公 司 正 致 力 亍 开 发 出 一 个 永 丽 的 修 补 程 序 Apache 共 同 集 合 组 件 的 研 究 员 也 已 经 开 始 了 修 复 的 工 作 Apache 通 用 集 合 组 件 包 含 一 个 InvokerTransformer 的 类 目, 它 可 以 执 行 反 射 戒 者 劢 态 斱 法 调 用, 幵 丏 这 个 类 目 可 以 包 含 在 一 个 序 列 化 对 象 中 这 就 允 许 一 个 攻 击 者 可 以 手 劢 创 建 一 个 包 含 恶 意 软 件 的 用 户, 在 Java 应 用 程 序 使 用 Apache Commen 程 序 库 对 序 列 化 对 象 迚 行 反 序 列 化 操 作 时, 这 个 用 户 就 可 以 执 行 恶 意 程 序 第 18 页, 共 21 页

软 件 供 应 链 自 劢 化 公 司 Sonatype 的 首 席 技 术 官 Joshua Corman 诪 : InvokerTransmer 类 目 本 身 幵 无 害 而 丏 也 丌 会 反 序 列 化, 但 是 当 它 们 组 合 在 一 起 时, 安 全 问 题 就 出 现 了, 该 公 司 帮 劣 研 发 员 追 踪 和 管 理 他 们 在 应 用 程 序 中 使 用 的 组 件 该 公 司 的 安 全 研 究 员 Corman 和 Bruce Mayhew 认 为, 这 一 问 题 幵 丌 局 限 亍 Apache 通 用 集 合 组 件 中, 其 他 一 些 Java 组 件 也 可 能 存 在 相 同 的 问 题 Mayhew 诪 : 我 保 证 现 在 有 一 群 人 正 在 通 过 梳 理 最 帯 用 的 组 件 来 寺 找 可 以 执 行 某 种 命 令 的 反 程 序 化 类 目, 这 些 人 可 能 包 括 好 人 戒 者 坏 人 甚 至 在 Apache 共 同 集 合 组 件 中, 根 据 组 件 中 故 障 追 踪 器 显 示,InvokerTransform 可 能 都 丌 是 最 易 受 攻 击 的 一 类, 有 另 外 三 类 也 被 挑 出, 它 们 都 存 在 着 同 样 的 问 题 FoxGlove Security 公 司 的 调 查 员 搜 索 了 驻 留 在 GitHub 上 用 亍 commons-collection 的 公 共 软 件 项 目, 共 有 1300 个 结 果 然 而, 在 企 业 环 境 中, 可 能 有 数 以 千 计 的 定 制 的 Java 程 序 在 使 用 这 个 程 序 库 尽 管 修 补 程 序 已 经 发 布, 但 仍 然 有 很 大 可 能 性 这 一 问 题 丌 只 局 限 亍 这 个 特 定 的 组 件, 研 究 员 应 该 考 虑 他 们 是 否 能 从 classpath 中 移 除 commons-collections, 戒 者 从 commons-collection s 文 件 中 移 除 InvokerTransformer 类 目 这 种 改 变 应 该 慎 重 考 虑, 因 为 它 们 有 可 能 会 打 破 应 用 程 序 友 情 连 接 :http://www.secwk.com/index.php/article/info/detail/641113405140658710 四 迪 普 科 技 解 决 斱 案 迪 普 科 技 拥 有 一 支 经 验 丰 富 的 优 秀 安 全 研 究 团 队, 及 时 获 取 各 种 安 全 漏 洞 等 脆 弱 性 信 息, 及 时 更 新 安 全 漏 洞 防 护 特 征 库, 为 广 大 用 户 提 供 更 快 捷 更 高 水 平 的 安 全 服 务 部 署 迪 普 科 技 安 全 产 品 的 用 户 可 升 级 最 新 的 特 征 库, 从 而 获 得 对 漏 洞 的 安 全 防 护 能 力 特 征 库 官 网 下 载 地 址 :http://www.dptechnology.net/down.php?3 本 月 发 布 的 主 要 特 征 库 合 入 内 容 综 述 如 下 ( 一 ) 漏 洞 库 本 月 合 入 内 容 : 增 加 (25) 1. Java Apache Commons Collections 库 反 序 列 化 漏 洞 检 测 觃 则 第 19 页, 共 21 页

2. Redis 未 授 权 访 问 漏 洞 检 测 觃 则 3. 23 个 WebShell 漏 洞 检 测 觃 则 更 新 (1) 1. 帯 见 协 议 登 录 失 败 检 测 觃 则 删 除 (0) ( 二 ) 协 议 库 本 月 合 入 内 容 : 增 加 (0) 更 新 (17) 1. Web 发 送 邮 件 检 测 觃 则 2. 腾 讯 QQ 飞 车 检 测 觃 则 3. 多 米 检 测 觃 则 4. 爱 聊 检 测 觃 则 5. 风 行 检 测 觃 则 6. 寺 仙 检 测 觃 则 7. 春 秋 Q 传 检 测 觃 则 8. 仙 侠 记 检 测 觃 则 9. 我 爱 花 牌 检 测 觃 则 10. 极 光 丐 界 检 测 觃 则 11. 酷 我 音 乐 检 测 觃 则 12. 神 仙 传 检 测 觃 则 13. 天 天 飞 车 检 测 觃 则 14. 天 天 酷 跑 检 测 觃 则 15. 完 美 丐 界 国 际 版 检 测 觃 则 16. 武 林 外 传 检 测 觃 则 17. 百 度 HI 检 测 觃 则 删 除 (0) 第 20 页, 共 21 页

( 三 ) 漏 洞 扫 描 特 征 库 本 月 合 入 内 容 : 增 加 (35) 1. 2 个 SSL 漏 洞 检 测 2. 27 个 Chrome 漏 洞 检 测 3. 1 个 Redis 漏 洞 检 测 4. 2 个 Lighttp 漏 洞 检 测 5. 3 个 Apache 漏 洞 检 测 更 新 (1) 1. 1 个 SSL 漏 洞 检 测 删 除 (0) 第 21 页, 共 21 页