通用漏洞 危害和修复建议
1、弱口令
危害
监测发现“xxx”网站（系统）存在弱口令漏洞，网站系统用户帐号存在弱口令，导致攻击者通过弱口令可轻松登录到系统中，获得管理员权限，从而进行下一步的攻击，如获取敏感数据，修改用户密码，执行任意管理员的操作等
修复建议
1、修改系统默认口令，或是使用用户自定义初始密码的策略。
2、完善密码策略，信息安全最佳实践的密码策略为8位（包括）以上字符，包含数字、大小写字母、特殊字符中的至少3种。
3、增加人机验证机制，限制ip访问次数。
2、 密码重置
危害
因重置密码过程中的验证机制不够完善。网站有逻辑上的漏洞，没有做到用户、账号、验证码三者统一进行验证，导致攻击者可以根据返回的接口重置系统用户密码，登录系统进行任意管理员操作和获取敏感数据信息等。
修复建议
1、加入验证码验证机制。
2、完善后端接口响应，不要返回一些敏感接口。
3、对接口访问做身份验证操作。
3、 Shiro反序列化
危害
攻击者利用该漏洞可以构造恶意请求，导致在目标服务器上执行任意命令，进而控制服务器，获取敏感数据，如用户信息、业务数据等；通过漏洞提升权限，获取更高的系统控制权，对整个系统的安全架构造成严重破坏
修复建议
1、 及时将 Shiro 框架更新到官方发布的最新版本。
2、对所有外部输入进行严格的验证和过滤，防止恶意数据进入系统。
4、Spring Boot Actuator未授权访问漏洞
危害
Actuator 是 Spring Boot 提供的服务监控和管理中间件。当 Spring Boot 应用程序运行时，它会自动将多个端点注册到路由进程中。而由于对这些端点的错误配置，就有可能导致一些系统信息泄露、XXE、甚至是 RCE 等安全问题。
修复建议
1、联系厂商升级系统
2、引入security依赖，打开安全限制并进行身份验证。同时设置单独的Actuator管理端口并配置不对外网开放。
5、Ollama api 未授权访问
危害
未授权访问漏洞导致攻击者可以获取ollama上的模型列表，为/api/tags接口。非法调用模型生成，从而消耗服务器资源。
修复建议
1、强制身份认证：确保所有API请求都需要进行身份认证，或API密钥等安全的认证机制。
2、角色与权限控制：实现细粒度的访问控制，根据用户角色和权限限制其对API的访问和操作。
3、Token有效期管理：为认证Token设置合理的有效期，并实现Token的自动刷新与失效机制。
4、实施实时监控和告警机制，对异常API访问行为进行检测。
6、Ollama api 未授权访问
危害
攻击者可以获取路由器设备的账号密码，登录路由设备，获取管理员权限，操作路由器配置系统VPN，进入内网，非法访问内网资产，获取内网敏感信息等
修复建议
建议联系厂商升级设备版本
7、任意文件上传漏洞
危害
任意文件上传漏洞通常由于代码中对文件上传功能所上传的文件过滤不严或web服务器相关解析漏洞未修复而造成的，如果文件上传功能代码没有严格限制和验证用户上传的文件后缀、类型等，攻击者可通过文件上传点上传任意文件，包括网站后门文件（webshell）控制整个网站。
修复建议
1、禁用相关上传api接口外部访问。
2、联系厂商升级系统。
8、webshell木马攻击事件
危害
xxx网站系统存在webshell木马攻击事件，webshell木马是一种网页后门，攻击者在入侵网站后，通常会将Webshell后门文件与网站服务器Web目录下正常的网页文件混在一起，使用浏览器或专用客户端进行连接，从而得到一个服务器操作环境，以达到控制网站服务器的目的。
修复建议
进入服务器文件系统彻底清除木马文件
9、Struts2 远程命令执行漏洞
危害
Struts2 远程命令执行漏洞，漏洞危害程度极为严重，攻击者可直接获取应用系统所在服务器的控制权限，执行任意系统命令，执行添加用户。可任意查看、修改或删除文件。造成机密数据泄露，重要信息遭到篡改等重大危害
修复建议
1、检测方式查看web目录下/WEB-INF/lib/目录下的struts-core.x.x.jar ，如果这个版本在Struts2.3.5 到 Struts2.3.31 以及 Struts2.5 到 Struts2.5.10之间则存在漏洞，
2、更新系统或使用第三方的防护设备进行防护。
10、大华DSS itc 密码重置漏洞
危害
攻击者通过构造特殊的数据包，重置系统管理员密码，登录系统获取理员权限进行任意管理员操作，获取系统配置信息，摄像头登配置信息等。可任意查看、修改或删除文件。造成机密数据泄露，重要信息遭到篡改等重大危害。
修复建议
1、禁用敏感目录访问如：/admin/services/AdminUserService，当用户要访问时进行鉴权操作。
2、联系厂商更新系统。
11、致远OA ucpcLogin密码重置
危害
攻击者在知道用户名的情况下，可以构造特殊的请求包，从而修改系统管理用密码，登录系统后台，获取敏感数据进行任意管理员操作等。
修复建议
1、禁用系统敏感接口对外访问。
2、及时升级产品到最新版本。
12、信息泄露
危害
xxxx网站系统存在信息泄露漏洞，在页面中或者返回的响应包中泄露了敏感信息，通过这些信息，给攻击者渗透提供了非常多的有用信息。
修复建议
1、在服务器端对相关敏感信息进行模糊化处理。
2、对服务器端返回的数据进行严格的检查，满足查询数据与页面显示数据一致。
13、通达OA反序列化漏洞
危害
通达OA v11.7 moare 存在 php 反序列化漏洞，导致攻击者可通过反序列化上传恶意php文件进行远程命令执行，控制服务器进而获取管理员权限等
修复建议
1、如非必要，禁止公网访问该系统。
2、用防火墙等安全设备设定访问规则，只允许白名单中的设备访问。
3、及时升级产品到最新版本。
.gif){kind=avatar}