可说欢喜 - 网络安全
type: channel
link: https://www.krsay.com/category/netsec/
description: 一些网络安全相关文章
items: DB-IP 一个好用的IP身份确认工具
items: 快去更新！Typecho <= 1.2.0 版本评论爆出严重可直接利用的存储型XSS漏洞可以轻松拿shell
items: cloudflare防火墙配置防垃圾评论和威胁分数设置
items: 记一次DNSSEC引发的血案
items: LoveKKComment 插件一处安全漏洞可直接获取密码和KEY

DB-IP 一个好用的IP身份确认工具
type: item
date: 2023-04-25T17:58:00+08:00
description: 分析WEB访问日志的时候无意中发现的使用方法：https://db-ip.com/216.244.66.240 直接网址后面跟IP就行而且支持APIAPI:http://api.db-ip.com/v2/free/216.244.66.240 不过免费API好像有功能限制,免费的API限制在每天1,000个请求。只返回城市级别的位置数据。具体可以看https://db-ip.com/官网文档

快去更新！Typecho <= 1.2.0 版本评论爆出严重可直接利用的存储型XSS漏洞可以轻松拿shell
type: item
date: 2023-03-31T00:30:00+08:00
description: 快去更新！Typecho <= 1.2.0 版本评论爆出严重可直接利用的存储型XSS漏洞可以轻松拿shell无意中随手看了下Typecho 的GitHub更新提交记录Commits，看见一条fix修复于是就点开看了一下 立马拉了一份最新代码更新然后群里发一条消息预警。影响版本：漏洞影响版本：Typecho <= 1.2.0漏洞复现：已知POC:此漏洞现有公开的POC两个功能：1、获取cookie2、404.php写入一句话shell不像之前的两个后台XSS 这个漏洞危险性很高可以直接前台拿shell 而且有人给出了具体POC 可以404页面挂一句话木马。安全建议：更新最新版：https://github.com/typecho/typecho/releases/tag/v1.2.1-rc当前最新版1.2.1-rc已经修复此漏洞，大家应该尽快更新到最新版本。另外建议应安装或者启用WAF防火墙这样可以避免大部分扫描器扫描和过滤XSS、SQL等安全问题。

cloudflare防火墙配置防垃圾评论和威胁分数设置
type: item
date: 2020-07-28T15:17:25+08:00
description: 前段时间朋友圈看到上学那会加的好友发的朋友圈然后就和他聊了几句感觉真是物是人非时间过的飞快他已经快为人父了我还是个那个孤狼?昨天无意中想到荒废多年的私人笔记博客今天把他从新部署起来，然后添加到cf的时候看到了防火墙于是想设置一下防止垃圾评论什么的，之前xde.io老是被垃圾评论骚扰只是粗略用cf防火墙防护了一下效果很不错。这是之前的配置：规则表达式：(ip.geoip.country in {"FR" "PH" "RU"} and http.request.method eq "POST")就是拒绝 法国、菲律宾、俄罗斯的所有post请求，之前还有美国我昨天移除了因为有些人的代理是US的最近也没有什么垃圾评论所有就放掉了，后面我细看了下cf的防火墙功能发现很强大的只是一直不会用也么关注过。发现一个有趣的配置所以做了以下配置规则表达式：(cf.threat_score ge 3 and not cf.client.bot) or (cf.threat_score ge 50)这个规则的作用是 威胁分数大于等于3的 且不是已知的安全蜘蛛机器人 或者 威胁分数大于等于50的 禁止访问相关规则文档说明：这里官方建议是 大于10的访问要验证码，大于50的禁止访问，所以后面我又补充了一条规则表达式：(cf.threat_score ge 10)关于not的补充资料：点一下右边那个编辑表达式可以直接导入有兴趣的可以试试看可效果如何目前还不清楚。写这篇文章之前我看了下cf面板统计拦截记录还是0可是服务器的WAF拦截了好几条扫描和尝试入侵，感觉这些规则只能防止恶意访问和垃圾评论更好的防护还是需要上WAF，过几天我把cf的威胁分数 设置成0或者1试试看有没有效果。

记一次DNSSEC引发的血案
type: item
date: 2019-06-27T16:54:58+08:00
description: 起因故事要从Let’s Encrypt Verify error! DNS problem:NXDOMAIN looking up A for www.krsay.com这个报错说起，一开始以为是解析问题到处换DNS 解析然后等解析等来回换了几个大厂的依然没有用以后我陷入了沉思，打开了快乐水小酌了一口，嗯~ o(￣▽￣)o不管了先用亚洲诚信顶着吧这事告一段落了现象上面不生效的具体现象：1.用114、223等国内公共DNS ping nslookup 测试均可通过2.用8.8.8.8、1.1.1.1等国际公共DNS ping nslookup 测试均无效3.VPS直接 ping: xde.io: Name or service not known 错误，因为我vps dns用的是88884.接入cloudflare无法接入->cloudflare控制台DNSSEC是开启状态5.不久前贪图便宜吧域名从Gandi转移到一个不知名的小注册商不支持DNSSEC（但是真香198/年）小结：国内什么问题都没有国外全部GG无法访问然后今天不知道抽什么风下决心要解决这个问题，因为前面排查过只剩下域名注册商的问题了所以找了一个价格相对便宜的（203/年）注册商果断转出一通操作解析完点开DNSSEC设置发现果然以前设置的DNSSEC 还在删掉 测试立马部分地区就生效了，截稿时已经全部生效总结国内无视DNSSEC国内无视DNSSEC国内无视DNSSEC素质三连不解释~海外迁回国内时要注意清理掉DNSSEC设置。

LoveKKComment 插件一处安全漏洞可直接获取密码和KEY
type: item
date: 2019-03-26T08:48:00+08:00
description: 邮件通知前天博客收到回复的时候没有邮件通知，因为以前的邮箱密码忘记了一直没有配置邮件通知插件然后找回密码又莫名其妙500错误索性找了个新的看了一圈最近在更新的就这个LoveKKComment 插件在更新于是就他啦~漏洞详情接上篇LoveKKComment插件SMTP保存配置卡死在排查的时候发现debug默认日志保存文件后缀是txt当时留意了一下，因为txt在浏览器是可以直接访问的，今天在测试的时候又看了下debug.txt文件内容发现直接把SMTP 配置明文写在了里面，然后浏览器可以直接访问debug.txt文件绝对路径/usr/plugins/LoveKKComment/debug.txt不出意外阿里云推送 和 Send Cloud 的API USER及API KEY 也应该是明文的，并且Debug是默认启用的。这样就不只是会泄露访客的邮箱作者的邮箱还可以直接拿到邮箱的账户和密码。解决方法其实就是代码设计不严谨没做好防护过滤我能想到的方法：应该默认禁用Debug模式debug.txt使用随机的文件名生成文件后缀设置为.log 然后防火墙禁止直接访问.log文件其他一些禁止浏览器能直接访问文件的方案CVECVE-666基友王忘杰颁发 /滑稽