2021-03-17

《信息安全等级保护定级指南》规定，只要符合以下三个特征，就必须进行等级保护备案。如果符合以下三个特征，并且安全保护等级是二级及以上，还必须通过等级保护测评，网站也不例外。等级保护定级对象的三大基本特征：①具有确定的主要安全责任主体；②承载相对独立的业务应用；③包含相互关联的多个资源。如果企业不给网站做等保，会面临严重的后果。举个例子，四川宜宾市翠屏区教师培训与教育究中心网站自上线运行以来，始终未进行网络安全等级保护的定级备案、等级测评等工作，未落实网络安全等级保护制度，未履行网络安全保护义务，导

 

 

2020-06-05

基础信息漏洞等级：高危CVE：CVE-2020-4450CNNVD：暂无披露来源：斗象能力中心披露时间：2020-06-05 20:21:01CVSS：暂无CNVD：暂无其他编号：暂无披露链接：暂无最近更新时间：2020-06-05 20:14:04详细信息事件背景WebSphere Application Server 是一款由IBM 公司开发的高性能的Java 中间件服务器，可用于构建、运行、集成、保护和管理部署的动态云和Web 应用。它不仅能够确保高性能和灵活性，还提供多种开放标准编程模型选项，旨在最大程度提高开发人员的生产力。漏洞信息根据 IBM 官方通告,WebSphere Application Server 存在一处IIOP反

 1

 1

 20

2019-10-25

一前言2019年10月22日，在github上公开了一个关于PHP的远程代码执行漏洞。二漏洞简介此漏洞由于不正确的Nginx+php-fpm配置导致服务端存在在处理%0a时存在不正确解析方式，可能导致任意代码执行。三漏洞危害经分析，攻击者可以通过精心构造的请求包在错误配置的PHP服务器上进行远程代码执行。四影响范围产品PHP版本5.6-7.x组件PHP五漏洞复现经确认，漏洞确实存在，5.6以上版本Crash, 7.X版本RCE通过请求包写入日志查看phpinfo可以发现查看/tmp/a通过访问2.php可以实现远程代码执行六修复方案1、请结合实际业务场景，在不影响正常业务的情况

 1

 1

 10

2019-10-19

2019年10月18日，阿里云应急响应中心捕获泛微e-cology OA系统前台SQL注入漏洞攻击方式。攻击者通过构造特定的HTTP请求，成功利用漏洞可在目标服务器上执行SQL语句，可导致脱库，风险较大。漏洞描述泛微e-cology OA系统的validate.jsp文件中，由于对参数capitalid过滤不严，可导致SQL注入漏洞。攻击者利用该漏洞，可在未授权的情况下，远程发送精心构造的SQL语句，从而获取数据库敏感信息。阿里云应急响应中心提醒泛微e-cology OA用户尽快采取安全措施阻止漏洞攻击。影响版本泛微e-cology OA系统 V8 V9版本安全建议泛微e-cology OA系统为商

 1

 1

 60

2019-10-18

TAG：Kibana、Timelion、远程代码执行、CVE-2019-7609漏洞危害：高，攻击者利用此漏洞，可造成远程代码执行。版本：1.01漏洞概述2019年2月官方发布公告称Kibana存在远程代码执行漏洞，5.6.15 和 6.6.1之前的 Kibana 版本在 Timelion 可视化工具中存在功能缺陷，导致攻击者可在服务器上利用Kibana执行任意代码，目前PoC已公布，请相关用户及时进行自查和防护。Kibana 是 Elasticsearch 的开源数据可视化插件。它为Elasticsearch提供可视化功能，可以用来搜索和查看存储在Elasticsearch索引中的数据，并可以将数据以各种图表、表格和地图的形

 1

 1

 10

2019-10-17

一、背景信息2019年10月16日，海青实验室监测到Oracle官方发布了2019年10月安全更新公告，内含CVE-2019-2890漏洞预警，漏洞等级严重。WebLogic 是 Oracle 公司出品的基于 JavaEE 架构的中间件，用于开发、集成、部署和管理大型分布式 Web 应用、网络应用和数据库应用的的Java应用服务器。Weblogic在利用T3协议进行远程资源加载调用时，默认会进行黑名单过滤以保证反序列化安全。本漏洞绕过了Weblogic的反序列化黑名单，使攻击者可以通过T3协议对存在漏洞的Weblogic组件实施远程攻击。由于T3协议在Weblogic控制台开启的情况下默认开启，而W

 1

 48

 10

2019-10-11

一前言泛微专注于协同管理OA软件领域，并致力于以协同OA为核心，帮助企业构建全新的移动办公平台。作为协同管理软件行业的实力企业，泛微有业界优秀的协同管理软件产品。二漏洞简介泛微e-cology OA系统的WorkflowCenterTreeData接口，且后端使用Oracle数据库时，由于内置SQL语句拼接不严，导致泛微e-cology OA系统存在SQL注入漏洞。攻击者利用该漏洞，可在未授权的情况下，远程发送精心构造的SQL语句，从而获取数据库敏感信息。三漏洞危害经斗象安全应急响应团队分析，攻击者可以通过精心构造的请求包在受影响版本的泛微OA上进行SQL注入，

 1

 

 80

2019-09-07

一前言北京时间5月15日，微软发布了针对远程桌面服务的远程执行代码漏洞CVE-2019-0708的修复程序, 漏洞触发无需用户交互。这也就意味着，攻击者可以利用该漏洞制作类似于2017年席卷全球的WannaCry类的蠕虫病毒，进行大规模传播和破坏。斗象智能安全ARS/PRS产品已全面支持该漏洞的检测与验证，用户可直接登陆www.riskivy.com 进行验证。二漏洞简介远程桌面服务（以前称为终端服务）中存在远程执行代码漏洞，当未经身份验证的攻击者使用RDP连接到目标系统并发送特制请求时。成功利用此漏洞的攻击者可以在目标系统上执行任意代码。然后攻击者

 1

 

 80

2019-09-05

一前言Fastjson是阿里巴巴的开源JSON解析库，它可以解析JSON格式的字符串，支持将Java Bean序列化为JSON字符串，也可以从JSON字符串反序列化到JavaBean。二漏洞简介Fastjson 1.2.60版本以下存在字符串解析异常。三漏洞危害经斗象安全应急响应团队分析Fastjson多个版本存在远程拒绝服务漏洞，Fastjson 1.2.60版本以下存在字符串解析异常，可导致远程拒绝服务攻击。攻击者即可通过精心构造的请求包对使用Fastjson的服务器造成远程拒绝服务攻击，可导致服务器宕机。四影响范围产品Fastjson版本1.2.60以下版本组件Fastjson五漏洞复现经本地测试

 1

 

 

2019-08-15

一前言北京时间8月14日，微软发布了一套针对远程桌面服务的修复程序，其中包括两个关键的远程执行代码（RCE）漏洞CVE-2019-1181和CVE-2019-1182。与之前修复的“BlueKeep”漏洞（CVE-2019-0708）一样。这也就意味着，攻击者可以利用该漏洞制作类似于2017年席卷全球的WannaCry类的蠕虫病毒，进行大规模传播和破坏。二漏洞简介远程桌面服务（以前称为终端服务）中存在远程执行代码漏洞，当未经身份验证的攻击者使用RDP连接到目标系统并发送特制请求时，成功利用此漏洞的攻击者可以在目标系统上执行任意代码，然后攻击者可以安装程序、查看、

 1

 

 30

2019-08-02

一前言Django是一个开放源代码的Web应用框架，由Python写成。采用了MTV的框架模式，即模型M，视图V和模版T。它最初是被开发来用于管理劳伦斯出版集团旗下的一些以新闻内容为主的网站的，即是CMS（内容管理系统）软件，并于2005年7月在BSD许可证下发布。二漏洞简介Django 在2019年8月2日进行了安全补丁更新, 修复了4个CVE, 其中包含一个SQL注入漏洞。三漏洞危害经斗象安全应急响应团队分析，攻击者可以通过精心构造的请求包攻击使用了脆弱版本Django框架的服务器，攻击成功将会导致SQL注入漏洞，泄露网站数据信息。四影响范围产品Django版本

 1

 

 10

2019-07-30

近日，共青团中央召开2019年办理全国人大代表建议、全国政协委员提案座谈会。据相关媒体报道，今年拟提请全国人大常委会会议审议的未成年人保护法修订草案，将增设网络保护的章节。与此同时，酝酿多年的《未成年人网络保护条例》，今年有望出台。这无疑向广大公众释放出一个重要信号：未成年人网络保护将有法可依。 沉迷网络引发问题多 未成年人网络保护向来是家长、政府及社会密切关注的问题。随着互联网渗透人们生活的方方面面，互联网的普及率也大大增加。第43次《中国互联网络发展状况统计报告》显示，截至2018年12月，中国网民规模为

 1

 

 10

2019-07-08

近年来，我国互联网发展迅猛，网络规模不断扩大，网络应用水平也显著提高，成为推动经济发展和社会进步的一股不可或缺的力量。与此同时，网络和业务发展过程中也出现了诸多安全问题，尤其是用户数据泄露、黑客攻击、安全观念淡薄等网络安全问题日益突出。然而，企业因安全责任实施不到位，最后被行政处罚的案例并不在少数。来感受下最近安全圈再度刷屏的一张图↓↓↓是的，你没有看错！河南洛阳北控水务集团因违反《网络安全法》第 59 条第 1 款之规定，受到了行政处罚，其中洛阳市北控水务集团被罚款 80000 元，三个部门相关责任人李某、

 1

 

 20

2019-06-28

一前言致远 OA 系统由北京致远互联软件股份有限公司开发，是一款基于互联网的高效协同工作平台的协同管理软件，在各企业机构中被广泛使用。近期致远 OA 系统被爆出存在任意文件写入漏洞，已经被发现在野外利用。网藤CRS/ARS产品已全面支持该漏洞的检测与验证，网藤用户可直接登陆www.riskivy.com进行验证。二漏洞简介致远 OA 系统的一些版本存在任意文件写入漏洞，远程攻击者在无需登录的情况下可通过向 URL /seeyon/htmlofficeservlet POST 精心构造的数据即可向目标服务器写入任意文件，写入成功后可执行任意系统命令进而控制目标服务器

 1

 

 70

2019-06-28

近日，Adobe Coldfusion官方修复了Coldfusion软件中存在的一个远程代码执行漏洞，漏洞编号：CVE-2019-7839，该漏洞评分10分，漏洞等级严重，该漏洞影响范围较广，危害性较大，攻击者可以通过JNBridge技术不受限制地访问远程Java运行时环境，从而允许执行任意代码和系统命令。漏洞名称：Coldfusion 远程代码执行漏洞（CVE-2019-7839）威胁等级：高危影响范围：ColdFusion 2018update 3以及之前版本ColdFusion 2016 update 10以及之前版本ColdFusion 11 update 18以及之前版本漏洞类型：远程代码执行利用难度：简单Coldfusion组件介绍Adobe

 1

 

2019-06-28

6月21日，在工业和信息化部的指导下，国家工业信息安全发展研究中心在北京国际会议中心举行了国家工业信息安全漏洞库（China Industrial Control System Vulnerability Database，CICSVD）揭牌仪式。在揭牌仪式上，国家工业信息安全发展研究中心主任尹丽波首先介绍了国家工业信息安全漏洞库的建设背景。据尹丽波主任介绍，近年来国家工业信息安全发展研究中心在工业和信息化部的指导下，积极推进工控安全应急资源库建设，并在工业信息安全产业发展联盟框架下，联合十家单位共同发起建立国家工业信息安全漏洞库。随后，工业和信息化部网络安

 1

 

 30

2019-06-25

法律就是秩序，有好的法律才有好的秩序——亚里士多德在《中华人民共和国网络安全法》（以下简称《网络安全法》）出台前，我国专门用于规范互联网安全的法律仅有三部：《电子签名法》《全国人民代表大会常务委员会关于网络信息保护的决定》及《全国人民代表大会常务委员会关于维护互联网安全的决定》，而与网络安全相关的法律更多地散见于其他法律、行政法规、部门规章、司法解释、规范性文件或政策性文件之中。不难看出，整体上我国关于互联网安全的立法存在法律位阶低、缺乏系统完善的法律规范两大问题。乌尔比安曾说过，“法是权威的，

 1

 

 

2019-06-20

Mozilla 发布了 Firefox 67.0.3 和 Firefox ESR 60.7.1 版本，用于紧急修复最新发现的 0day 漏洞。安全公告中的完整描述如下： 由于 Array.pop 中的问题，操作 JavaScript 对象时可能会出现类型混淆漏洞。这可能导致可利用的崩溃。我们意识到已经有针对性的攻击滥用这个漏洞。也就是说，该漏洞能够让黑客操纵 JavaScript 代码诱骗用户访问，并将恶意代码部署到他们的 PC 上。该漏洞由 Google Project Zero 安全研究团队的 Samuel Groß 发现并报告，编号 CVE-2019-11707，安全等级为“严重”。甚至美国网络安全和基础设施安全局也已经

 

 

 20

2019-06-19

勒索病毒席卷全球，给全球各大小政企业都带来了巨大的损失，勒索病毒重点在于防，可是黑客无孔不入，再强大的系统都有可能存在漏洞，万一企业被攻击，已经中了勒索病毒，那该怎么办呢？我处理过很多勒索病毒应急响应事件，问的最多的一个问题就是：该怎么办？可以解密吗？大多数企业在中了勒索病毒之后都会非常恐慌，不知怎么办，最直接的办法就是把中毒的机器进行隔离，断网处理，然后等待专业的安全服务人员上门进行处理，针对一般的勒索病毒应急处理方法，如下：1.断网处理，防止勒索病毒内网传播感染，造成更大的损失2.查找样本和勒索

 

 

 10

2019-06-17

日前，某威胁情报公司发布消息称三家安全公司遭到一个名为 “Fxmsp” 的俄罗斯黑客组织的渗透。据悉，Fxmsp是一个破坏私人企业和政府信息的俄罗斯组织，该组织自2017年开始活跃，过去两年中Fxmsp已经通过黑客企业网络赚取了大约100万美元。而从2019年4月开始，该组织就在网络犯罪论坛上声称他们已经渗透了三家反病毒公司，并从这些公司的反病毒软件、人工智能和安全插件中提取了源代码。三大网络安全公司30TB数据被提取近日，Fxmsp黑客组织在俄罗斯暗网论坛中以30万美元的价格出售其从三家安全公司处提取的源代码和网络访问权。根据Fxmsp提

 

 

 30

2019-06-13

过去几个月，微软一直深受“沙箱逃逸”（SandboxEscaper）零日漏洞的困扰。因为黑客那边不按常理出牌，不仅没有给出 90 天的预备披露时间，还接二连三地抛出了针对 Windows 操作系统的特权提升漏洞。万幸的是，尽管准备工作有点仓促，该公司还是设法修复了已流出概念验证代码的五个漏洞中的四个，且目前尚无被人在野外利用的报道。（SandboxEscaper 概念验证，via MSPU）据悉，已修补的这四个 SandboxEscaper 漏洞分别为：●CVE-2019-1069| 任务计划程序的特权提升漏洞●CVE-2019-1053| Windows Shell 的特权提升漏洞●CVE-2019-1064| Win

 1

 

 

2019-06-12

中央网信办、工业和信息化部、公安部、市场监管总局四部委联合开展互联网网站安全专项整治将处罚并曝光违法违规网站　　近日，记者从有关部门了解到，中央网信办、工业和信息化部、公安部、市场监管总局四部门于2019年5月至2019年12月，联合开展全国范围的互联网网站安全专项整治工作，对未备案或备案信息不准确的网站进行清理，对攻击网站的违法犯罪行为进行严厉打击，对违法违规网站进行处罚和公开曝光。　　此次专项整治的一大特点是加大对未履行网络安全义务，发生事件的网站开办者的处罚力度，督促其切实落实安全防护责任，加强网站安

 1

 

 

2019-06-09

SandboxEscaper重新推出了新的0day权限提升代码，这名对微软充满了仇恨的女黑客再次击败了微软4月份发布的针对CVE-2019-0841的补丁，并像往常一样，发布了附带概念验证漏洞利用代码的漏洞，这意味着其它黑客可以快速参考其攻击方法制作恶意软件入侵Windows系统。不过值得庆幸的是，该漏洞需要在本地计算机上运行代码，无法实现远程攻击，比较有害的地方在于，它允许具有有限权限的黑客获得对受保护文件的完全控制，例如她的演示漏洞中的win.ini。CERT / CC已确认此漏洞利用适用于运行微软最新安全更新的Windows 10版本1809和1903。自2018年

 

 

 

2019-06-05

　本站讯 5月29日，水利部副部长叶建春就2019年水利部网络安全攻防演练中发现问题较多的长江水利委员会、黄河水利委员会、淮河水利委员会、海河水利委员会、太湖流域管理局、汉江集团等6家单位网络安全分管领导进行集体约谈，要求各单位从这次演练中吸取教训，提高政治站位，落实主体责任，健全管理制度，积极排查整改，采取有效措施，消除安全隐患，提高防范能力，防止类似问题再次发生。　　4月初，水利部组织8家直属单位进行网络安全攻防演练。通过采取“不事先通知”方式，模拟实战攻防。8家参演单位均存在不同程度的安全问题，暴露出

 

 

 

2019-06-03

近年来，使用手机处理公务的情形越来越普遍，很多公职人员将微信应用于日常工作，不少机关单位建立了微信工作群。微信办公确实可以为工作带来一些便利，一定程度上提高了工作效率。与此同时，使用微信办公导致的泄密案件逐年递增。80后研究生泄露国家秘密被判刑一年近日，裁判文书网上公布了一则《李某故意泄露国家秘密一审刑事判决书》。判决书显示，2017年2月，80后女研究生李某，借调到银监会工作，通过微信将当时央行制定的、尚处于内部征求意见阶段的《关于规范金融机构资产管理业务的指导意见》及起草说明拍了下来拍照发给前同事，由

 1

 

 30

2019-06-02

任何一个行业的人才缺口过大，都不是一个好的现象。现在来说，网络安全行业就是这么个情况。大量报告显示，整个世界范围内都对网络安全相关人才的需求量非常之大。其中，以美国为例，（ISC）2预计到2020年，网络安全将出现180万的人才缺口。对整个行业来说，由于网络安全相关技术、人才的缺乏，一直以来也被认为是最大的网络安全风险之一。填补这一空缺势在必行，但这无法仅靠某个部门或组织独立完成，需要多方面的协作。安全压力日益增加对于缺人的压力，各类安全团队的感受一定是最直观的。他们往往工作过度且人员不足，这很容易导致不良

 1

 

 10

2019-05-30

伴随着《网络安全法》出台，等级保护制度上升到法律层面。在此背景下孕育出来等保2.0相比之前的等保要求，在等级保护的对象、保护的内容、保护的体系都大不相同。当然，云等保不是新鲜的事物，而是在原等保框架下的扩展要求。云等保的各环节与传统等保相同，包括定级、备案、建设整改、测评、监督检查等，因此只需要对原有等级保护相关工作的具体内容进行扩充并统一。传统信息系统的网络架构伴随业务变化而变化，系统各组件功能与硬件紧耦合，在安全防护上强调分区域和纵深防御。直观上来说，就像铁路局各管一段，信息系统通常以物理网络或

 1

 

 60

2019-05-28

前几天才曝光了一些微信上的骗局没想到这么快又有新招了！现在大家无论生活、工作 都要用到微信平时添加的陌生人也就越来越多。然而有些好久都不联系也没有删除的人可能会潜伏在你的好友列表里打算伺机卷走你的钱财……5月22日，广州佛山市顺德区公安局北滘派出所接到群众报案称，其被一个名叫“安全支付助手”的微信公众号诈骗799元！这是怎么回事？接到报警后，民警马上到场了解情况。据事主冯女士介绍，5月20日下午，其在公司上班时，打开手机发现微信接收到了一条来自“安全支付助手”的提示，称冯女士的微信账户未通过二次实名认证，

 1

 

 10

2019-05-27

在向苹果反馈三个月之后，一位安全专家详细披露了如何绕过Gatekeeper（门禁），欺骗用户运行潜在的恶意程序。安全顾问Filippo Cavallarin表示，macOS系统中的设计缺陷可以让黑客轻松绕过Gatekeeper。他在2019年2月22日向Apple报告了这一漏洞，现在决定公开披露。Cavallarin在个人博客上表示：“根据供应商表示这个问题在2019年5月15日已经得到解决。不过在刚开始的时候苹果并没有接受我的电子邮件。在反馈给苹果90天的披露截止日期之后，我公开了这些信息。”Gatekeeper设计目标根本不是为了防止这种漏洞，而是确保只有受信任的软件才能在

 1

 

 10

2019-05-26

5月26日中午，易到用车微博发布消息称，服务器连续遭到攻击，导致核心数据被加密、服务器宕机，攻击者还要求支付巨额比特币，截止笔者发稿之时易到官网、手机APP仍然处于故障中。易到方面表示，已经向北京网警中心报案。对于这次勒索攻击造成的损失，也会制定相应的补偿方案。而在5月22日下午，易到用车官方发布消息称乘客端账户系统出现故障，官方解释称是“在紧急调试全新模式的用户充返活动时，技术工作发生了故障与失误，导致部分用户的账户余额受到影响。”并且承诺受影响的账户将会在7日内逐渐恢复，然而才相隔4日不到就遭到勒索攻击

 1

 

 30