预警 | 勒索病毒来势汹汹的卷入.NET技术栈

admin 2022年8月31日14:12:26安全新闻评论8 views1538字阅读5分7秒阅读模式

0x01 背景

近年来,勒索病毒对互联网信息安全影响持续加大。在2017年,黑客借由美国国家安全局泄露出的漏洞攻击工具,利用高危漏洞Eternal Blue (永恒之蓝)在世界范围内传播Wanna Cry勒索病毒此病毒短时间内“感染”了中国、美国、英国、日本、德国等近百个国家,超过1600家美国组织,11200 家俄罗斯组织受到了攻击。彼时,勒索病毒要求受害者支付价值300到600美元不等的比特币才能解锁,且赎金随着时间逐步提升,若不能按时支付赎金的系统、数据等就会被销毁。

0x02 近况

2022年08月28日起,各大安全公司监测到很多主机被.locked后缀的勒索病毒加密,溯源发现由某企业管理软件存在0day漏洞导致的。

2.1 默认权限System

软件技术栈是基于 .NET FrameWork4.0、WebForm架构,上传DLL扩展名文件即可控制该服务器,因为这款软件运行时以System账户启动,权限远大于IIS默认给.NET账户的进程权限,所以该漏洞危害极大。而且漏洞触发的成本很低,因此各大安全厂商给的评分很高。如下图

预警 | 勒索病毒来势汹汹的卷入.NET技术栈

2.2 漏洞触发原理

该系统某个接口存在图片上传,但此接口的上传逻辑判断不严谨可被绕过,而且该接口又存在未授权访问,这样导致可以上传任意文件到服务器,虽然系统采用了.NET预编译模式大大的提高了安全性,可惜这个上传漏洞可以跨目录将文件传入任意位置,攻击者整合这几条利用链将编译后的恶意DLL、compiled文件传入bin目录下,编译后的占位符aspx文件传入根目录下,请求根目录下 的aspx即可触发RCE漏洞。

2.3 漏洞先决条件

该系统上传功能首先判断了文件体积 PostedFile.ContentLength < 204800,不满足条件终止执行,再对文件头判断是否为图片PostedFile.ContentType,这两个条件形同虚设非常容易绕过

必须满足文件头类型
jpeg、bmp、gif、pjpeg
必须满足文件体积大小
204800

预编译有关的文章的请看这《干货 | .NET 文件上传多个场景绕过预编译限制获取Shell

2.4 漏洞修复

官方已于8月30日发布安全更新补丁,请尽快下载更新修复。

0x03 学习

为了更好地应对基于.NET技术栈的风险识别和未知威胁,dotNet安全矩阵星球从创建以来一直聚焦于.NET领域的安全攻防技术,定位于高质量安全攻防星球社区,得到了许多师傅们的支持和信任,通过星球深度连接入圈的师傅们,一起推动.NET安全高质量的向前发展。

星球汇聚了各行业安全攻防技术大咖,并且每日分享.NET安全技术干货以及交流解答各类技术等问题,社区中发布很多高质量的.NET安全资源,可以说市面上很少见,都是干货。其中主题包括.NET Tricks、漏洞分析、内存马、代码审计、预编译、反序列化、webshell免杀、命令执行、C#工具库及0day等等,后续还会倾力打造专刊、视频等配套学习资源,循序渐进的方式引导加深安全攻防技术提高以及岗位内推等等服务。

预警 | 勒索病毒来势汹汹的卷入.NET技术栈

预警 | 勒索病毒来势汹汹的卷入.NET技术栈

预警 | 勒索病毒来势汹汹的卷入.NET技术栈

我们的运营团队将一如既往地继续为大家做好服务,如果感兴趣的话欢迎参加下方的优惠劵活动加入我们,机不可失噢原价¥129当前只需¥99, 以后星球价格只会越来越高,对.NET安全关注的师傅们动动手加入我们吧!

预警 | 勒索病毒来势汹汹的卷入.NET技术栈


dotNet安全矩阵知识星球 — 聚焦于微软.NET安全技术,关注基于.NET衍生出的各种红蓝攻防对抗技术、分享内容不限于 .NET代码审计、 最新的.NET漏洞分析、反序列化漏洞研究、有趣的.NET安全Trick、.NET开源软件分享、. NET生态等热点话题、还可以获得阿里、蚂蚁、字节等大厂内推的机会

原文始发于微信公众号(dotNet安全矩阵):预警 | 勒索病毒来势汹汹的卷入.NET技术栈

特别标注: 本站(CN-SEC.COM)所有文章仅供技术研究,若将其信息做其他用途,由用户承担全部法律及连带责任,本站不承担任何法律及连带责任,请遵守中华人民共和国安全法.
  • 我的微信
  • 微信扫一扫
  • weinxin
  • 我的微信公众号
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2022年8月31日14:12:26
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                  预警 | 勒索病毒来势汹汹的卷入.NET技术栈 http://cn-sec.com/archives/1266100.html

发表评论

匿名网友 填写信息

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: