用友畅捷通T+产品中勒索病毒可尝试用雷池Web应用防火墙(WAF)试试

[重要通告]如您遇疑难杂症,本站支持知识付费业务,扫右边二维码加博主微信,可节省您宝贵时间哦!

用友畅捷通T+产品不管高版本还是低版本，最近又有不少企业中了.weax 或 .rox或其他后缀的勒索病毒；

畅捷通T+公司也一直在努力的更新新的补丁版本加强安全，可有效甚微，今天在52看到了一篇来自“solar应急响应”的文章，挺好，有需要的可看看

【勒索预警】首发，weax勒索病毒针对用友畅捷通T+应用0day攻击溯源全流程（附IOC）
https://www.52pojie.cn/thread-2133179-1-1.html

用友畅捷通T+产品中勒索病毒的说明

POST /tplus/api/v2/collaborationapp/GetAnonymousTPlusToken?IsFree=1 HTTP/1.1
Host: 目标地址
Content-Type: application/x-www-form-urlencoded
Authorization: 攻击载荷BASE64编码

攻击者先后使用江苏省南京市IP 117.62.223.95 与北京市IP 49.7.180.227（威胁情报均显示代理特征）对受害站点发起四发POST请求，目标全部指向同一接口 /tplus/api/v2/collaborationapp/GetAnonymousTPlusToken?IsFree=1。四次请求与数据库ERRORLOG中的配置变更秒级对齐，依次为开启xp_cmdshell、开启OLE自动化、调用sp_OACreate，第四次请求则执行了长达641秒的数据库命令。

雷池Web 应用防火墙(WAF)说明

什么是雷池
SafeLine，中文名 "雷池"，是一款简单好用, 效果突出的Web应用防火墙(WAF)，可以保护 Web 服务不受黑客攻击。

雷池通过过滤和监控 Web 应用与互联网之间的 HTTP 流量来保护 Web 服务。可以保护 Web 服务免受 SQL 注入、XSS、 代码注入、命令注入、CRLF 注入、ldap 注入、xpath 注入、RCE、XXE、SSRF、路径遍历、后门、暴力破解、CC、爬虫 等攻击。

雷池Web应用防火墙开源版本开箱即用 https://github.com/chaitin/safeline

工作原理
雷池通过阻断流向 Web 服务的恶意 HTTP 流量来保护 Web 服务。雷池作为反向代理接入网络，通过在 Web 服务前部署雷池，可在 Web 服务和互联网之间设置一道屏障。

核心功能
阻断 Web 攻击
可以防御所有的 Web 攻击，例如SQL 注入、XSS、代码注入、操作系统命令注入、CRLF 注入、XXE、SSRF、路径遍历等等。
限制访问频率
限制用户的访问速率，让 Web 服务免遭CC 攻击、暴力破解、流量激增和其他类型的滥用。
人机验证
互联网上有来自真人用户的流量，但更多的是由爬虫, 漏洞扫描器, 蠕虫病毒, 漏洞利用程序等自动化程序发起的流量，开启雷池的人机验证功能后真人用户会被放行，恶意爬虫将会被阻断。
身份认证
雷池的 "身份认证" 功能可以很好的解决 "未授权访问" 漏洞，当用户访问您的网站时，需要输入您配置的用户名和密码信息，不持有认证信息的用户将被拒之门外。
动态防护
在用户浏览到的网页内容不变的情况下，将网页赋予动态特性，对 HTML 和 JavaScript 代码进行动态加密，确保每次访问时这些代码都以随机且独特的形态呈现。

Windows系统安装雷池Web应用防火墙需要借助Docker

软件依赖：Docker Desktop：20.10.14 或更高版本（包含 Docker Compose）

1、 Docker Desktop

打开浏览器，访问 Docker 官方下载页面：https://www.docker.com/products/docker-desktop
点击 “Download for Windows” 按钮下载安装包，等待下载完成即可

2、安装 Docker Desktop

找到下载好的安装包（通常在 “下载” 文件夹中，文件名类似 Docker Desktop Installer.exe）
双击安装包开始安装，在安装向导中，保持默认选项，点击 “OK” 按钮，安装完成后，点击 “Close and restart” 按钮重启电脑

3、启动 Docker Desktop

电脑重启后，双击桌面的 “Docker Desktop” 图标启动 Docker，在欢迎界面，勾选 “I accept the terms”，然后点击 “Accept”，等待 Docker 启动完成，右下角会出现 Docker 图标；

4、验证 Docker 安装

打开 PowerShell（按下 Win + R，输入 powershell，然后按 Enter），在 PowerShell 中执行以下命令

# 查看 Docker 版本
docker version

# 查看 Docker Compose 版本
docker compose version

如命令执行成功并显示版本信息，说明 Docker 安装成功！

问题未解决？付费解决问题加Q或微信 2589053300 (即Q号又微信号)右上方扫一扫可加博主微信

所写所说，是心之所感，思之所悟，行之所得；文当无敷衍，落笔求简洁。 以所舍，求所获；有所依，方所成！