Zabbix Sia Zabbix 逻辑毛病（CVE-2022-23134）

媒介

CVE-2022-23134是一个中等严重度的毛病，影响Zabbix Web前端。这个毛病允许未经身份验证的用户访问setup.php文件的某些步骤，这些步骤通常只对超级管理员开放。使用这个毛病，攻击者可以通过跳过某些步骤来重新配置Zabbix前端，从而大概改变系统的配置​ (PortSwigger Security)​​ (CleanCodeTools)​。
在通常环境下，setup.php脚本用于初次部署Zabbix Web前端时由系统管理员运行，并且后续访问仅限于经过身份验证的高权限用户。然而，由于会话验证不妥，攻击者可以构造一个包罗特定步骤条目的会话，从而跳过安装过程的部门步骤并重新运行最后的安装步骤​ (PortSwigger Security)​​ (CleanCodeTools)​。
为了缓解这个毛病，建议用户尽快升级到修复此问题的Zabbix版本，例如6.0.0beta2、5.4.9、5.0.19或4.0.37​ (PortSwigger Security)​。
春秋云镜靶场是一个专注于网络安全培训和实战演练的平台，旨在通过模拟真实的网络环境和攻击场景，提升用户的网络安全防护能力和实战技能。这个平台主要提供以下功能和特点：
实战演练：
提供各种网络安全攻防演练场景，模拟真实的网络攻击事件，帮助用户在现实操纵中把握网络安全技术。
场景涵盖Web安全、系统安全、网络安全、社工攻击等多个领域。
毛病复现：
用户可以通过平台对已知的安全毛病进行复现，了解毛病的产生原因、使用方法和修复措施。
通过实战操纵，帮助用户把握毛病使用和防护的技能。
讲授培训：
提供系统化的网络安全课程，从基础到高级，覆盖多个安全领域，适合差别水平的用户。
包罗理论讲解和实战操纵，帮助学员全面提升网络安全知识和实战能力。
竞赛与评测：
定期举行网络安全竞赛，如CTF（Capture The Flag）比赛，激发学员的学习兴趣和动力。
提供个人和团队的安全能力评测，帮助学员了解自己的安全技能水平。
资源共享：
平台提供丰富的学习资源，包括教程、工具、案例分析等，方便用户随时查阅和学习。
用户可以在社区中分享履历和资源，互相交换和学习。
春秋云镜靶场适合网络安全从业职员、门生以及对网络安全感兴趣的个人，通过在平台上进行不停的学习和实战演练，可以有效提升网络安全技能和防护能力。
介绍

Zabbix 是一种开源的企业级监控解决方案，广泛应用于监控和跟踪服务器、网络设备和其他IT资源的性能和可用性。由Zabbix SIA开发和维护，Zabbix 提供全面的监控功能，包括数据网络、实时图表、告警关照等。
主要特点

• 全面监控：
  
  
  
  • 支持对多种设备和应用步调的监控，包括服务器、虚拟机、网络设备、数据库、云服务等。
    
  • 通过署理和无署理方式网络数据，确保灵活性和可扩展性。
    
  
  
• 强盛的数据网络与处理：
  
  
  
  • 支持SNMP、IPMI、JMX、HTTP、SSH等多种数据网络协议。
    
  • 提供灵活的模板和宏，简化监控配置和管理。
    
  
  
• 实时图表与可视化：
  
  
  
  • 提供详细的实时图表和仪表盘，帮助用户快速了解系统状态和性能趋势。
    
  • 支持自定义图表和报表，满足差别用户的需求。
    
  
  
• 告警与关照：
  
  
  
  • 支持复杂的告警条件和动作，包括邮件、短信、脚本等多种关照方式。
    
  • 提供事件关联和自动规复功能，减少告警噪声和误报。
    
  
  
• 自动化与集成：
  
  
  
  • 支持自动发现网络设备和服务，简化监控配置。
    
  • 提供丰富的API接口，方便与其他系统集成和自动化管理。
    
  
  
• 安全与权限管理：
  
  
  
  • 提供详细的用户角色和权限管理，确保系统安全和数据保护。
    
  • 支持SSL/TLS加密通讯，确保数据传输的安全性。
    
  
  

应用场景

• 企业IT基础设施监控：实用于各种规模的企业，帮助监控和管理复杂的IT基础设施，确保系统稳定和高效运行。
  
• 数据中心监控：实用于数据中心的监控和管理，提供对服务器、存储设备、网络设备的全面监控。
  
• 云服务监控：支持对公有云、私有云和混合云环境的监控，帮助企业优化云资源的使用和成本管理。
  

社区与支持
Zabbix 拥有一个活泼的开源社区，提供丰富的资源和支持。用户可以在官方论坛、邮件列表和社交媒体上找到帮助和建议。Zabbix SIA 还提供商业支持和培训服务，帮助企业更好地使用和管理 Zabbix 监控系统。
总结
Zabbix 是一个功能强盛且灵活的监控解决方案，广泛应用于各种行业和应用场景。通过其全面的监控功能和强盛的数据处理能力，Zabbix 帮助企业提高IT系统的稳定性和可用性，优化资源使用，低落运营成本。
毛病复现

打开靶场

打开是一个登录页面 

社工搜索默认用户名密码 

成功登录！！！ 

这里复现环境太困难了，以是直接给出了 flag
网上另有通过 RCE 下令得到 flag 的，这里给出的是通过题目要求复现的逻辑毛病
大佬链接

https://mp.weixin.qq.com/s/UiNEDrJ-3fPArtMLgeHvAQ


免责声明：如果侵犯了您的权益，请联系站长，我们会及时删除侵权内容，谢谢合作！更多信息从访问主页：qidao123.com:ToB企服之家，中国第一个企服评测及商务社交产业平台。