cve

勒索病毒petya应该如何正确防范？

网络安全专家建议，用户要断网开机，即先拔掉网线再开机，这样基本可以避免被勒索软件感染。开机后应尽快想办法打上安全补丁，或安装各家网络安全公司针对此事推出的防御工具，才可以联网。建议尽快备份电脑中的重要文件资料到移动硬盘、U 盘，备份完后脱机保存该磁盘，同时对于不明链接、文件和邮件要提高警惕，加强防范。
临时解决方案：
1、开启系统防火墙
2、利用系统防火墙高级设置阻止向445端口进行连接（该操作会影响使用445端口的服务）
3、打开系统自动更新，并检测更新进行安装
Win7、Win8、Win10的处理流程
1、打开控制面板-系统与安全-Windows防火墙，点击左侧启动或关闭Windows防火墙。
2、选择启动防火墙，并点击确定
3、点击高级设置
4、点击入站规则，新建规则
5、选择端口，下一步
6、特定本地端口，输入445，下一步
7、选择阻止连接，下一步
8、配置文件，全选，下一步
9、名称，可以任意输入，完成即可。
XP系统的处理流程
1、依次打开控制面板，安全中心，Windows防火墙，选择启用
2、点击开始，运行，输入cmd，确定执行下面三条命令：net stop rdr 、net stop srv 、net stop netbt

怎样设置电脑，防止超强电脑病毒袭击？

防止感染，立刻这样设置电脑

1. 不要轻易点击不明附件，尤其是rtf、doc等格式文件。

2. 内网中存在使用相同账号、密码情况的机器请尽快修改密码，未开机的电脑请确认口令修改完毕、补丁安装完成后再进行开机操作。

3. 更新操作系统补丁（MS）

4. 更新 Microsoft Office/WordPad 远程执行代码漏洞（CVE -2017-0199）补丁

5. 禁用 WMI服务

WMI（Windows Management Instrumentation Windows 管理规范）是一项核心的Windows管理技术，你可以通过如下方法停止：

① 在服务页面开启WMI服务。在开始-运行，输入rvices.msc，进入服务。
或者，在控制面板，查看方式选择大图标，选择管理工具，在管理工具中双击服务。

② 在服务页面，按W，找到WMI服务，找到后，双击 ，直接点击停止服务即可

6.更新杀毒软件

目前，市面上主流的杀毒软件与电脑保护软件均有插件或程序，可以绝大程度上保护电脑不受新型勒索病毒感染。

用户只需在软件内搜索Petya，或到其官网搜索修复工具即可。

7.提高用户安全意识

① 限制管理员权限

Petya勒索病毒的运行需要管理员权限，企业网管可以通过严格审查限制管理员权限的方式减少攻击面，个人用户可以考虑使用非管理员权限的普通账号登陆进行日常操作。

② 关闭系统崩溃重启

Petya勒索病毒的“发病”需要系统重启，因此想办法避免系统重启也能有效防御Petya并争取漏洞修补或者文件抢救时间。只要系统不重新启动引导，病毒就没有机会加密MFT主文件分区表，用户就有机会备份磁盘中的文件（微软官方教程）。

③ 备份重要数据

重要文件进行本地磁盘冷存储备份，以及云存储备份。

金山共享文档会暴露隐私吗

当然会，只有上传的数据都会保存在服务器里，这就存在泄露的危险。不过你可以给数据加密，或者给网盘加密，比如360网盘就有个保险箱，不知道加密密码，就算知道登陆网盘密码也打不开！两层防护！现在网络不安全的。
以微软的office为例，word和excel都出过本地代码执行漏洞，例如CVE-2017-11882和CVE-2018-0802。攻击者可以在文档中藏一段漏洞利用代码，当你使用有漏洞的office打开这一文档时会执行攻击者预留的代码，进行例如打开一个shell并绑定一个远程端口，执行一个exe等等恶意操作。
没记错的话，adobe的pdf阅读工具也爆出过类似漏洞。

威胁升级！新一轮勒索病毒来袭！

提到今年5月刚刚席卷150多个国家的“WannaCry”勒索病毒，很多网友一定还心有余悸，当时大规模的校园网、局域网用户都曾不慎中招。

近日，代号为Petya的新一轮勒索病毒袭击了英国、乌克兰等多个国家，目前中国国内也已有用户中招。

Petya勒索病毒感染的电脑。腾讯安全反病毒实验室供图。

病毒加密硬盘，勒索比特币

新勒索病毒Petya不仅对文件进行加密，而且直接将整个硬盘加密、锁死，在出现以下界面并瘫痪后，其会自动向局域网内部的其它服务器及终端进行传播。

同时，用户的电脑开机后则会黑屏，并显示如下的勒索信↓

信中称，用户想要解锁，需要向黑客的账户转折合300美元的比特币。

根据比特币交易市场的公开数据显示，病毒爆发最初一小时就有10笔赎金付款，其“吸金”速度完全超越了WannaCry。

与之前病毒相比，威胁升级

专家称，这轮病毒足以与5月席卷全球的勒索病毒的攻击性相提并论。

而且与之相比，Petya勒索病毒变种的传播速度更快。

它不仅使用了NSA“永恒之蓝”等黑客武器攻击系统漏洞，还会利用“管理员共享”功能在内网自动渗透。

在欧洲国家重灾区，新病毒变种的传播速度达到每10分钟感染5000余台电脑，多家运营商、石油公司、零售商、机场、ATM机等企业和公共设施已大量沦陷，甚至乌克兰副总理的电脑也遭到感染。

来源：这里是美国

此外，Petya勒索病毒还在以下方面威胁程度升级：

1.感染并加密本地文件的病毒进行了更新，杀毒软件除非升级至最新版病毒库，否则无法查杀及阻止其加密本机文件系统；

2.Petya综合利用了“5.12WannaCry”及“6.23勒索病毒新变种”所利用的所有Windows系统漏洞，包括MS17-010(5.12WannaCry永恒之蓝勒索病毒)及CVE-2017-8543/CVE-2017-8464(6.23勒索病毒新变种)等补丁对应的多个系统漏洞进行传播。

3.本次新变异病毒（Petya）是直接将整个硬盘加密和锁死，用户重启后直接进入勒索界面，若不支付比特币将无法进入系统。

防止感染，立刻这样设置电脑

由于目前黑客用来接受转账的比特币账户已经被封，所以即使用户给黑客转账也不能解锁自己的电脑了。

所以，为了自己的电脑设备不受影响，可以按小新的方法设置电脑↓

一、下载修复补丁

黑客是利用微软Windows系统的新漏洞，开发出新变种的勒索病毒，并在过去几天向互联网展开了初步攻击。

在6月13日，微软就已经在官网上发布了新漏洞有关的补丁。

下载地址：请戳这里

操作指南：

先打开网页，会看到CVE-2017-8543、CVE-2017-8464，找到相应版本的补丁进行下载（目前XP、Window2003不受影响），并执行相应主机及个人电脑的补丁升级。

二.限制端口访问

1、打开控制面板-系统与安全-Windows防火墙，点击左侧启动或关闭Windows防火墙

2、选择启动防火墙，并点击确定

3、点击高级设置

4、点击入站规则，新建规则

5、选择端口，下一步

6、特定本地端口，输入445，下一步

7、选择阻止连接，下一步

8、配置文件，全选，下一步

9、名称，可以任意输入，完成即可。

10.将第6步中的端口替换为135后，重复一次所有步骤。

三、停止服务器的WMI服务

WMI（Windows Management Instrumentation Windows 管理规范）是一项核心的 Windows 管理技术 你可以通过如下方法停止 ：

1.在服务页面开启WMI服务。在开始-运行，输入rvices.msc，进入服务。

或者，在控制面板，查看方式选择大图标，选择管理工具，在管理工具中双击服务。

2.在服务页面，按W，找到WMI服务，找到后，双击 ，直接点击停止服务即可，如下图所示：

来源：360官方微博

四、更新杀毒软件

目前，市面上主流的杀毒软件与电脑保护软件均有插件或程序，可以绝大程度上保护电脑不受新型勒索病毒感染。

来源：360官方微博

来源：腾讯电脑管家截图

用户只需在软件内搜索Petya，或到其官网搜索修复工具即可。

五、提高用户安全意识

1.限制管理员权限。

Petya勒索病毒的运行需要管理员权限，企业网管可以通过严格审查限制管理员权限的方式减少攻击面，个人用户可以考虑使用非管理员权限的普通账号登陆进行日常操作。

2.关闭系统崩溃重启。

Petya勒索病毒的“发病”需要系统重启，因此想办法避免系统重启也能有效防御Petya并争取漏洞修补或者文件抢救时间。只要系统不重新启动引导，病毒就没有机会加密MFT主文件分区表，用户就有机会备份磁盘中的文件（微软官方教程）。

3.不要轻易点击不明附件。

尤其是rtf、doc等格式。

4.备份重要数据。

重要文件进行本地磁盘冷存储备份，以及云存储备份。

5.内网中存在使用相同账号、密码情况的机器请尽快修改密码，未开机的电脑请确认口令修改完毕、补丁安装完成后再进行联网操作。

来源：人民网（people_rmw）、中国新闻网 （cns2012）、中国青年网、Microsoft官网、360官方微博、中国经济网等

如何轻松解决五个VMware安全漏洞

cve-2017-4901 这个漏洞需要 VMTools 文件和剪贴板共享 ..一旦关闭这些功能 ,,漏洞无法发挥 .
好多人都有侥幸心理 ,, 觉得只有打开了 VMTools 文件和剪贴板共享 才可能中招 .. 下面这几个漏洞 打破了传统观念 ,,哪怕是禁用掉网卡 关闭这些共享 ,,这些漏洞仍能发挥作用 CVE-2017-4902, CVE-2017-4903, CVE-2017-4904, CVE-2017-4905

针对docker系统的渗透测试方法

翻译总结于：《A Methodology for Penetration Testing Docker Systems》

    文章从两个攻击模型进行分析，结合错误配置和已知漏洞对docker渗透测试进行总结归纳，并给出了一份docker渗透测试检查清单。

    作者讨论了两种情况：在容器内和在容器外。在容器内部，攻击者会聚焦在逃逸隔离（即容器逃逸）。在容器外部，即宿主机上，攻击者还没有主机特权，这时候攻击者将会使用Docker（即Docker daemon攻击）来获得权限。

    容器逃逸重点在攻击和绕过隔离和保护机制，其中又可分成两种：一种是从容器逃逸到主机（CVE-2017-7308），另一种是从容器逃逸到另一个容器获取其中数据。

    作者从错误配置和安全漏洞两个角度对上述两个场景中的安全问题进行了梳理。漏洞问题是自身程序问题，错误配置更多的是用户使用问题。

    前两个错误配置与在主机上执行的Docker Daemon有关，其他错误配置与从容器内执行的容器逃逸攻击有关。

（2）可读写的Docker Socket：一些管理员设置了所有用户的读写权限，给了所有用户Docker Daemon的权限，尽管用户不在docker group也能使用docker。

（3）tuid bit：系统管理员在docker二进制文件上设置tuid位。tuid位是Unix中的权限位，它允许用户运行二进制文件而不是其本身作为二进制文件的所有者。如果为docker二进制文件错误配置了tuid位，那么用户将能够以root身份执行docker。

（1）Container Escape Using the Docker Socket：如果/var/run/docker.sock作为volume挂载到容器上，那么容器中的进程可以完全访问主机上的docker。
（2）Sensitive Information：当容器可以访问/var/run/docker.sock时，用户可以查看现有容器的配置，其中可能包含一些敏感信息。
（3）Remote Access：如果没有配置docker API只监听本地主机，那么网络上的每个主机都可以访问docker，攻击者可以利用这种错误配置启动其他容器。

    文章中列举了一些最近的且已完全公开的可能在渗透测试期间使用的bug。
（1）CVE-2019-16884
（2）CVE-2019-13139
（3）CVE-2019-5736
（4）CVE-2019-5021
（5）CVE-2018-15664
（6）CVE-2018-9862
（7）CVE-2016-3697

    首先需要对目标系统执行侦查来收集数据，然后使用收集到的信息来识别弱点和漏洞。

（2）识别容器的操作系统（或者Docker镜像）

（3）识别主机操作系统：因为容器使用宿主的内核，所以可以使用内核版本来标识宿主信息，从而检测一些内核利用。

（4）读环境变量：环境变量是启动容器时与容器通信信息的一种方式。当一个容器启动时，环境变量被传递给它，这些变量通常包含密码和其他敏感信息。

（5）检查Capabilities：通过查看/proc/lf/status来查看容器的内核功能。其中CapEff是当前功能的值，可以使用capsh工具从十六进制值获取功能列表。可以使用这个来检查是否有可以用来容器逃逸的功能。

（6）检查特权模式：如果容器以特权模式运行，它将获得所有功能，因此可以通过查看能力（0000003fffffffff是所有能力的表示）来检查是否以特权模式运行进程。

（7）检查volumes：卷中可能包含敏感信息，可以通过查看挂载的文件系统位置来查看。

（8）检查挂载的docker socket

（9）检查网络配置

（2）拥有docker使用权限的用户

（3）配置：/etc/docker/daemon或/etc/default/docker
（4）可获得的镜像和容器

（5）iptables规则：使用 iptables -vnL 和 iptables -t nat -vnL，可以看到默认表filter和nat的规则。所有关于docker容器的防火墙规则都在filter中的docker -ur链中设置。