找到
3
篇与
安全知识
相关的结果
-
CVE-2026-24061漏洞修复教程：Linux服务器root权限绕过应急方案 CVE-2026-24061漏洞紧急预警：Linux服务器root权限秒破？手把手教你全流程修复与防护 0.jpeg图片 近日，GNU InetUtils组件曝出高危漏洞CVE-2026-24061，CVSS评分高达9.8分，属于“无需凭证、一键提权”的致命漏洞。该漏洞可让攻击者通过构造恶意环境变量，直接绕过身份验证获取Linux服务器root权限，互联网上超900万台暴露23端口的设备面临直接威胁。本文将从漏洞原理、影响范围、应急修复、入侵排查到长效防护，为运维及安全从业者提供完整解决方案。 一、漏洞核心信息速览 漏洞编号：CVE-2026-24061 危险等级：严重（CVSS 9.8） 影响组件：GNU InetUtils中的telnetd服务 受影响版本：inetutils 1.9.3 至 2.7 版本（含两端） 漏洞本质：参数注入（CWE-88），未对环境变量输入做校验导致认证绕过 利用难度：极低，仅需构造1个恶意参数即可成功提权 二、漏洞原理深度剖析 GNU InetUtils是类UNIX系统常用的网络工具集，其中telnetd作为telnet协议的服务端实现，负责处理远程登录请求。本次漏洞的根源在于telnetd对用户环境变量的不当处理： telnetd的login调用模板中，存在 PATH_LOGIN "-p -h %h %?u{-f %u}{%U}" 格式定义，其中%U变量对应USER环境变量的值； telnetd/utility.c中的_var_short_name()函数在解析%U变量时，直接返回getenv("USER")的原始值，未做任何过滤校验； 攻击者向USER环境变量注入 -f root 参数，telnetd会将该值直接传递给login程序； login程序将“-f”识别为“跳过密码认证”选项，直接以root身份登录系统，实现无凭证提权。 注意：Ubuntu/CentOS系统默认telnetd为netkit实现，而非InetUtils版本，仅手动安装过GNU InetUtils telnetd的设备会受影响。 三、应急修复步骤（优先级：最高） 漏洞已公开且利用门槛极低，建议立即执行以下操作，优先阻断攻击路径： 步骤1：升级inetutils至安全版本（核心修复） 目前官方已推出修复版本，需将inetutils升级至2.7以上（各发行版apt/yum仓库已推送补丁），不同系统操作如下： Debian/Ubuntu系（apt包管理器） # 更新软件源缓存 sudo apt update # 升级inetutils组件 sudo apt upgrade inetutils -y # 验证版本（需显示≥2.7） dpkg -l inetutils | grep inetutils # 重启inetd服务（若使用inetd管理telnetd） sudo systemctl restart inetdCentOS/RHEL系（yum包管理器） # 升级inetutils组件 sudo yum update inetutils -y # 验证版本（需显示≥2.7） rpm -q inetutils步骤2：禁用telnetd服务（阻断利用入口） 无论是否升级，建议直接禁用telnetd服务（telnet协议本身明文传输，安全性极差）： # 立即停止并永久禁用telnetd sudo systemctl disable --now telnetd # 额外禁用telnet.socket（部分系统依赖） sudo systemctl disable --now telnet.socket # 验证状态（需显示inactive） systemctl status telnetd步骤3：关闭23端口（双重防护） telnet默认使用23端口，通过防火墙阻断该端口流量，进一步降低风险： firewalld防火墙（主流系统默认） # 永久阻断23端口入站流量 sudo firewall-cmd --permanent --remove-port=23/tcp # 重载防火墙规则 sudo firewall-cmd --reload # 验证（无输出则表示已阻断） firewall-cmd --list-ports | grep 23iptables防火墙（传统系统） # 阻断23端口入站流量 sudo iptables -A INPUT -p tcp --dport 23 -j DROP # 保存规则（避免重启失效） sudo service iptables save四、入侵痕迹排查（关键操作） 修复后需立即排查服务器是否已被入侵，重点检查以下日志及特征： 1. 登录日志分析 Linux系统登录记录主要存储在 /var/log/auth.log（Debian/Ubuntu）或 /var/log/secure（CentOS/RHEL），执行以下命令筛选异常： # 查找无密码root登录记录 grep -E "root|LOGIN" /var/log/auth.log | grep -v "password" # 查找telnet相关登录记录 grep "telnet" /var/log/auth.log # 筛选异常时间（如凌晨2-5点非工作时间登录） grep "Jan 2[0-3]" /var/log/auth.log | grep "root"2. 异常特征排查 进程检查：查看是否有未知进程，尤其是/tmp、/var/tmp目录下的异常进程（ps aux | grep -v grep | grep "/tmp"）； 计划任务：检查crontab是否有恶意定时任务（crontab -l、ls /etc/cron.d/）； 账号异常：排查是否新增隐藏账号（cat /etc/passwd | grep -v nologin）； 网络连接：查看是否有异常出站连接（netstat -antp | grep ESTABLISHED）。 进阶建议：使用ELK Stack、Splunk等工具统一分析日志，快速定位异常IP及行为。 五、长效防护方案 淘汰不安全协议：彻底禁用telnet，改用SSH（22端口）进行远程管理，SSH需关闭密码登录，仅启用密钥认证； 组件版本管控：定期更新系统及依赖组件，建立版本台账，对高危组件（如inetutils、openssl）开启自动更新提醒； 端口最小化暴露：仅开放业务必需端口，通过防火墙、安全组限制访问来源IP，避免23、21等高危端口暴露在公网； 日志常态化审计：留存至少6个月系统日志，重点监控root登录、权限变更、服务启停等行为，建立异常告警机制； 漏洞生命周期管理：关注CVE公告及厂商预警（如GNU官方、国内安全厂商通告），高危漏洞修复周期不超过24小时。 六、常见问题解答（FAQ） Q1：我的服务器没装telnet，还需要修复吗？ A1：无需修复。仅安装并启用了GNU InetUtils telnetd的设备受影响，默认未安装telnet服务的服务器无风险。 Q2：升级inetutils后，还需要禁用telnetd吗？ A2：建议禁用。telnet协议明文传输数据，即使修复漏洞，仍存在账号密码泄露风险，优先使用SSH。 Q3：如何确认服务器使用的是哪种telnetd实现？ A3：执行 telnetd -V，若输出“GNU inetutils”则为受影响版本，若为“netkit”则无需担心。
-
警惕!WindowsAdminCenter爆提权漏洞！普通用户点几下，就能拿到系统最高权限 前言 朋友们，我是字节曜的编辑寒烟似雪。咱平时用来管理服务器、维护电脑的Windows Admin Center（WAC），最近藏了个大隐患！微软刚确认的CVE-2025-64669漏洞，居然能让低权限用户“一步登天”——不用复杂操作，只要在有WAC的电脑上有点基础访问权，就能蹭到SYSTEM最高权限，偷数据、植后门都不在话下。这漏洞影响2.4.2.1及更早版本，不少企业的服务器、办公电脑还在裸奔，看完你肯定得赶紧去查自家设备！ mjlcmbrm.png图片一、漏洞根源：一个“权限配置”的坑，成了黑客突破口 说起来这漏洞特“低级”但特致命——问题出在WAC的一个关键目录C:\ProgramData\WindowsAdminCenter上。按常理，这种管理工具的核心目录，应该只有管理员能改，但微软偏偏没设好权限，普通用户也能往里面写文件。 更糟的是，这个目录里跑的组件、进程，全是NETWORK SERVICE甚至SYSTEM级别的高权限！就像给了小偷一把能开银行金库的钥匙，还告诉人家“金库门没锁”——低权限用户往这目录里塞点恶意东西，高权限进程一执行，直接就能“借权”拿到系统最高控制权。 二、拆解攻击流程：两种简单操作，普通用户也能玩明白 安全研究员已经测出两条实实在在的攻击路径，全程不用写复杂代码，甚至连编程基础都不用有，普通人照着步骤来就能搞事，这才是最吓人的： 1. 蹭“扩展卸载”漏洞：塞个脚本就能提权 WAC有个扩展功能（比如装个监控插件、备份工具），卸载扩展时会干一件事：在C:\ProgramData\WindowsAdminCenter\Extensions目录下找“uninstall”文件夹，把里面所有PowerShell脚本（.ps1）拿出来，用高权限跑一遍。 黑客就钻了这个空子： 先在自己的低权限账号下，往这个“uninstall”文件夹里塞一个带签名的恶意脚本（网上能找到合法签名工具，甚至伪造签名也能蒙混）； 然后随便找个理由触发扩展卸载——比如假装“插件用不了，卸载重装”，或者直接调用WAC的API触发卸载； 等WAC的高权限进程执行到这个恶意脚本，瞬间就能拿到SYSTEM权限。之前有测试的，脚本里写个“把管理员密码存到C盘根目录”，执行完真就能拿到密码！ 2. 蹭“更新程序”漏洞：钻时间差换恶意DLL WAC的更新程序WindowsAdminCenterUpdater.exe也有毛病——它会从C:\ProgramData\WindowsAdminCenter\Updater目录里加载DLL文件（系统运行需要的小模块）。虽然微软要求DLL必须签名，但研究员发现了个“检查时间差”（TOCTOU）的漏洞： 第一步：WAC主进程先检查这个目录里的DLL，确认签名没问题； 第二步：等更新程序真正要加载DLL时，中间有个几毫秒的空窗期； 黑客就盯着这个空窗期，用工具实时监控——一旦发现更新程序要启动，立马把原来的合法DLL换成自己的恶意DLL； 等更新程序加载时，已经换成恶意DLL了，但签名检查早就做过了，直接就用高权限跑起来。 测试时，研究员就用这招，让恶意DLL在SYSTEM权限下创建了一个隐藏管理员账号，全程没弹任何警告，任务管理器里都看不到异常。 三、这漏洞为啥危险？企业、个人都躲不开 别觉得这只是“企业IT该操心的事”，现在不少个人用户也用WAC管理自己的Windows 11电脑（比如装个WAC远程管理家里的NAS、备用机），一旦中招，后果一样严重： 1. 企业：低权限员工能掀翻整个内网 比如公司里的实习生、前台，本来只能用自己的普通账号办公，要是利用这漏洞提权： 能删服务器日志，掩盖自己偷数据的痕迹； 能给OA系统、客户数据库植后门，让黑客远程控制； 甚至能篡改财务软件的数据，把转账账号换成自己的——之前某小公司就差点中招，IT助理用这漏洞改了报销系统的收款账号，还好财务对账时发现了。 2. 个人：电脑里的隐私全暴露 个人用户用WAC管理电脑的话，要是被别人拿到低权限账号（比如借电脑给朋友用）： 能偷你浏览器里的密码、历史记录要留清白在人间哦； 能装远程控制软件，就算你拿回电脑，对方也能实时监控你干啥； 更狠的是植勒索软件，把你硬盘加密，要完赎金才解密。 而且这漏洞还特别难检测——所有操作都是借着WAC的合法进程跑的，杀毒软件看了都觉得“这是正常程序在干活”，不会报毒。 四、紧急防护建议：3步就能堵上漏洞，别等中招才动手 微软已经在2025年12月的“补丁星期二”更新里修复了这个漏洞，现在做防护其实很简单，关键是“别拖延”： 1. 第一步：立马更WAC到最新版 不管是企业服务器还是个人电脑，打开WAC后看右上角的版本号，只要低于2.4.2.2，赶紧更： 企业用户：通过组策略批量推送更新，或者去微软官网下载离线补丁（https://learn.microsoft.com/zh-cn/windows-server/manage/windows-admin-center/overview）； 个人用户：直接点WAC里的“设置-更新”，自动下载安装，5分钟就能搞定。 2. 第二步：手动锁死危险目录权限 要是暂时没法更（比如企业服务器要等审批），先手动改目录权限应急： 找到C:\ProgramData\WindowsAdminCenter目录，右键“属性-安全”； 把“Users”（普通用户组）的权限改成“只读”，彻底禁止普通用户往里面写文件； 再检查子目录“Extensions”“Updater”，权限也照这个改，相当于先把“小偷能塞东西的门”焊死。 3. 第三步：监控异常操作 企业用户：用EDR（终端防护软件）监控这两个目录的文件变动，一旦发现普通用户往里面写.ps1脚本、.dll文件，立马报警； 个人用户：打开“事件查看器”，看“Windows日志-安全”，如果有“低权限用户执行高权限进程”的记录（比如事件ID 4688里，普通账号启动了powershell.exe且权限是SYSTEM），赶紧查电脑有没有被植入恶意文件。 结语：管理工具别当“免死金牌”，及时更新才是王道 这次的漏洞给所有人提了个醒：平时用来“保安全”的管理工具，自己也可能出安全问题。Windows Admin Center这种大家觉得“官方出品、肯定安全”的软件，照样会有权限配置的低级错误。 不管是企业IT还是个人用户，现在就去查WAC版本，能更就立马更，暂时不能更就锁权限——别等黑客先用上这漏洞，到时候丢了数据、被勒索，哭都来不及！
-
人机验证？是攻击！邮件svg图片+剪切板攻击值得了解！ 前言 大家好，我是字节曜的编辑寒烟似雪，今天发现了个易忽略的Windows漏洞,近期，我们在网络安全监测中发现，一类依托剪贴板劫持的恶意攻击正呈爆发式增长，对比2024年初数据，其发生率已飙升517%。更令人警惕的是，这类攻击不再依赖显眼的恶意程序，而是用“可信文件格式+日常操作场景”包装，即便是具备基础安全意识的用户，也可能在毫无察觉中中招。 mjlbwm1p.png图片一、拆解攻击全流程：一封SVG邮件如何“破门而入” 为还原攻击逻辑，我们通过模拟环境复现了黑客的完整操作链，发现其每一步都精准利用用户认知与系统防护的“盲区”，堪称“教科书级”的隐蔽攻击： 1. 载体伪装：用SVG格式绕过第一道防线 黑客放弃了易被拦截的exe、zip等格式，转而选择SVG矢量图作为“载体”。这类格式日常多用于网页图标、设计素材、文档插图，不仅在邮件传输、文件检测中被默认为“低风险”，多数反垃圾邮件系统、终端防护软件也不会对其进行深度脚本扫描——正是这种“可信标签”，让恶意SVG文件能轻松突破邮箱过滤、杀毒软件的初步检测，顺利进入用户设备。 2. 诱导触发：用“人机验证”设下心理陷阱 当用户点开SVG附件后，屏幕不会弹出异常弹窗，反而显示出与正规平台高度相似的“人机验证”界面，提示“需完成验证方可查看图片内容”。这种设计精准抓住了用户的使用习惯：多数人会下意识认为“验证是正常安全流程”，点击按钮的瞬间，藏在SVG代码中的跳转脚本已悄然启动，后台开始连接黑客控制的远程服务器，而用户对此毫无感知。 3. 核心攻击：劫持剪贴板执行恶意指令 这是整个攻击中最隐蔽的一步。在用户专注完成“虚假验证”时，黑客利用系统权限漏洞，悄悄篡改了剪贴板内容——原本用户准备复制的文档段落、网址链接，已被替换成带有恶意参数的代码。当“验证”时，黏贴的代码便会运行 mjlbyykt.png图片 更可怕的是，整个过程中，所有操作都围绕“查看图片”“验证身份”等日常场景展开，没有任何违背常理的迹象，用户很难将“点开SVG附件”与“设备被入侵”关联起来。 二、攻击激增517%的底层逻辑：为何黑客偏爱剪贴板劫持？ 从监测数据来看，这类攻击能在短时间内爆发，核心在于其“低门槛、高隐蔽、广覆盖”的特性，完美契合黑客的批量攻击需求： 1. 绕过防护的“成本极低” 传统恶意攻击需要对抗杀毒软件的特征码检测、行为分析，而剪贴板劫持利用的是系统原生功能（剪贴板）与可信文件格式（SVG）的组合，相当于“披着合法外衣作案”。目前多数防护软件对“SVG文件+剪贴板操作”的组合缺乏针对性监测规则，导致攻击成功率远超传统恶意软件。 2. 攻击场景无死角覆盖 无论是个人用户接收邮件、下载设计素材，还是企业员工传输工作文档、分享图表，SVG格式都有合理的使用场景。黑客无需针对特定行业或人群定制伪装，只需批量发送含恶意SVG的邮件、在素材平台植入带毒文件，就能覆盖个人办公、企业生产、设计创作等全场景目标。 3. 后续危害呈“链式扩散” 一旦剪贴板被劫持，恶意程序下载后不仅会窃取设备中的账号密码、文档数据，还可能篡改系统权限，让设备成为“肉鸡”，进一步向用户的社交账号、企业内网扩散。我们在监测中发现，某小型企业因员工点开恶意SVG邮件，导致内部OA系统、客户数据库在24小时内被完全控制，数据泄露与系统修复损失超百万元。 三、紧急防护建议：3步筑牢安全防线 面对这类“隐蔽性攻击”，单纯依赖杀毒软件已不够，需从“文件处理、操作习惯、异常监测”三方面建立防护体系： 1. 对陌生文件“先隔离，再验证” 收到含SVG、HTML等可嵌入脚本的附件时，若发件人非熟人或无明确业务关联，直接删除；若确需查看，先通过在线文件预览工具（如无本地执行权限的SVG预览平台）核查内容，避免直接双击打开。 企业用户需在终端设备部署“文件沙箱”，对未知格式附件强制在隔离环境中运行，禁止其直接调用系统剪贴板、联网权限。 2. 警惕“非预期的验证与弹窗” 任何文件打开后，若突然弹出“人机验证”“安全检测”界面，且并非来自浏览器、正规软件（如办公软件、设计工具），立即关闭窗口并断网——正规软件的验证不会通过“文件打开”触发，更不会要求“点击按钮即可查看内容”。 日常使用中，复制重要内容（如账号、密码、敏感链接）后，粘贴前先在记事本中“试粘贴”，确认内容与复制时一致，再进行后续操作。 3. 定期核查系统与进程异常 个人用户可通过“任务管理器”查看后台进程，若发现无名进程占用高CPU、频繁联网，且无法追溯启动来源，立即结束进程并扫描病毒； 企业需开启终端行为监测，重点关注“SVG文件打开后+剪贴板操作+异常联网”的组合行为，一旦触发规则，立即阻断进程并通知安全团队核查。 当前，网络攻击正从“硬对抗”转向“软伪装”，黑客越来越擅长利用“日常场景+可信元素”降低用户警惕。此次发现的剪贴板劫持攻击，只是这类“隐蔽攻击”的一个缩影。无论是个人还是企业，都需摒弃“没遇到就是安全”的侥幸心理，将“谨慎处理每一个文件、核查每一次异常”融入日常操作，才能真正抵御新型网络威胁。
