weblogic CNVD-C-2019-48814（CVE-2019-2725）

中国民生银行股份有限公司举办攻防演练发现攻击方采用48814 0day拿下服务器。

>banner 信息来表示欢迎语，其中会包含一些敏感信息，所以获取 banner 也属于信息搜集的范畴。在渗透测试中，典型的 4xx、5xx 信息泄露就属于 banner 泄露的一种。在 banner 信息中，可以获取到软件开发商、软件名称、服务类型、版本号等。而版本号有时候就会存在公开的 CVE 问题，可以直接进行利用。

banner 信息获取的基础是在和目标建立链接后的，只有建立的链接，才可以获取到相应的 banner 信息，当目标对 banner 信息进行隐藏或者配置了禁止读取时，这时的 banner 则获取不到。

于是乎，我们可以写一个小脚本扫描服务器的banner信息，以获取有用的信息。

网上抄的：说一下细节，首先是 socketsocket 的参数，第一个参数是输入地址类型，第二个是输入套接字类型。socketAF_INET 是用于服务之间的网络通信。socketSOCK_STREAM 是用于 TCP，这两个参数的选择项如下：

第一个地址类型：
socketAF_UNIX：用于 Unix 系统进程间的通信。
socketAF_INET：服务器之间的网络通信。
socketAF_INET6：使用 IPv6 进行通信。

第二个套接字类型：
socketSOCK_STREAM：流式的 socket，用于 TCP。
socketSOCK_DGRAM：数据包式的 socket，用于 UDP。

而经常组合用到的有两种，一种是 TCP 的 socket，一种是 UDP 的 socket，他们分别如下：

TCP：socketsocket(socketAF_INET,socketSOCK_STREAM)
UDP：socketsocket(socketAF_INET,socketSOCK_DGRAM)

mysqlcve-2016-6662怎么修原始漏洞分析地址安全客文章地址就我目前测试的情况来看，这个漏洞比较鸡肋，原因有以下两点：1，使用默认方式安装的mysql，mysql用户并没有配置文件/etc/mysql/mycnf的所属权限；2，不关闭selinux或apparmor的话，exp脚本执行是会报错的。legalhackers原文中提到这个漏洞的前提是很多人按照错误的安装指南来进行权限配置，将配置文件的所属用户修改成了mysql。不过貌似漏洞发现者手里还藏了几个更加严重的mysql漏洞，并没有披露。IVULNERABILITYMySQL<=5715远程代码执行/权限提升(0day)56335552克隆mysql的同样受影响,包括:MariaDBPerconaDBIIINTRODUCTION一个独立的研究组织发现多处严重的Mysql漏洞，此次通报的是其中比较严重的一个漏洞CVE-2016-6662，它允许攻击者远程注入恶意设置到被攻击服务器的Mysql配置文件(mycnf)中，导致更加严重的后果。该漏洞影响所有默认配置的Mysql版本分支(57、56、55)，包括最新的版本，并可能被攻击者进行本地或者远程的利用。Exp既可以通过网络连接或者利用类似phpmyadmin之类的web管理工具，以及SQL注入漏洞等来实现远程提权的目的。SQL注入漏洞是在web应用中最常见的漏洞之一，在存在注入漏洞的情况下，攻击者可以配合CVE-2016-6662进行更加深入的入侵。如果被攻击服务器有运行受影响的mysql版本，攻击者可以以root权限执行任意代码，从而完全控制被攻击服务器。目前官方还没有提供针对该漏洞的补丁，即使服务器开启了SELinux安全模式，也会受到该漏洞Exp的影响。该通报后面提供一个该漏洞的Poc，演示攻击者如何实现远程代码执行。IIIDESCRIPTION默认的Mysql安装包自带mysql_safe脚本，启动mysql服务器就可以观察到，例如，进行mysql全面更新。Debian系统:root@debian:~#lsb_release-aNoLSBmodulesareavailableDistributorID:Debian

---