Pomagamy Zrozumieć i Wdrażać Bezpieczeństwo
Ten artykuł jest częścią serii „Bezpłatny Kurs LPI Security Essentials”, w ramach której znajdziesz wszystko, co potrzeba, aby zdać egzamin LPI Security Essentials 020-100 już za pierwszym razem.
Każdy moduł zawiera praktyczne przykłady, wyjaśnienia i materiały pomocnicze – wszystko po polsku, zrozumiale i konkretnie.
Czytaj dalej „LPI Security Essentials (Moduł 022.1) – Hash Vs Szyfrowanie”
Mechanizmy blokady konta chronią przed atakami brute force i credential stuffing – czyli przed masowym zgadywaniem haseł lub testowaniem przejętych poświadczeń. W tym artykule omówimy różne rodzaje blokad (tymczasowe, stałe, z opóźnieniem), przytoczymy zalecenia standardów bezpieczeństwa (OWASP, NIST), a także pokażemy przykłady implementacji przy użyciu popularnych narzędzi (m.in. Keycloak, Spring Security, Redis, NGINX). Całość uzupełnimy o najczęstsze błędy, OWASP ASVS, kontekst API Security oraz techniczną checklistę i CTA dla inżynierów, abyś mógł od razu zastosować zdobytą wiedzę w praktyce. Bez zbędnej teorii – skupiamy się na konkretach, tak jak na SecurityBezTabu.pl przystało.
Czytaj dalej „Mechanizmy Blokady Konta Po Błędnych Logowaniach”
Cisco opublikowało poprawki usuwające dwie krytyczne podatności w Unified Contact Center Express (UCCX), które umożliwiają zdalne wykonanie kodu (RCE) oraz podniesienie uprawnień nawet do root. Luki oznaczono jako CVE-2025-20354 (CVSS 9.8) oraz CVE-2025-20358 (CVSS 9.4). Naprawione wersje to UCCX 12.5 SU3 ES07 oraz UCCX 15.0 ES01. Cisco jednocześnie załatało poważny błąd DoS w Cisco ISE (CVE-2025-20343, CVSS 8.6). Na moment publikacji producent nie raportuje wykorzystywania tych luk w naturze.
Informacja pojawiła się 6 listopada 2025 r. (ET) i wpisuje się w intensywny okres biuletynów Cisco – firma równolegle ostrzegła o nowym wariancie ataków na wcześniej łatane firewalle ASA/FTD. Dla zespołów SOC oznacza to potrzebę skoordynowanego wdrożenia poprawek w kilku produktach jednocześnie.
Uwaga: obie luki są niezależne – wykorzystanie jednej nie jest warunkiem drugiej.
Aktualizacje (priorytet 1):
Kontrole detekcyjne (priorytet 2):
Twardnienie (priorytet 3):
iexplore.exe/Office ⇒ cmd.exe/powershell.exe/mshta.exe/rundll32.exe, ładowanie msxml*.dll, artefakty proxy/IDS (sygnatury CVE‑2012‑1889). CVE‑2012‑1889 to błąd niezainicjalizowanego dostępu do pamięci w MSXML (klasa use‑after‑free), który podczas wywołań API obiektów DOM/ActiveX (np. getDefinition / get_definition) pozwala złośliwej stronie WWW doprowadzić do zdalnego wykonania kodu w kontekście użytkownika. Najczęściej exploit był dostarczany przez IE (ActiveX) w scenariuszu drive‑by lub jako zawartość dokumentów Office (MSXML5).
MSXML udostępnia obiekty COM/ActiveX do pracy z XML (DOM/SAX/XMLHTTP). W podatnych wersjach wywołanie metod na niezainicjalizowanym węźle mogło skutkować korupcją pamięci (UAF) i przekierowaniem sterowania do shellcode (typowo po heap‑sprayu). Atakujący osadzali kod w zainfekowanych stronach („watering‑hole”), iframe’ach lub reklamach (malvertising). Mechanizm działał bez dodatkowej interakcji poza odwiedzeniem strony (lub kliknięciem linku) i był aktywnie wykorzystywany przed poprawką (zero‑day); Microsoft opublikował tymczasowy „Fix it” oraz finalny biuletyn MS12‑043 z łatami dla MSXML 3/4/5/6.
Dlaczego skuteczne: powszechność MSXML/IE w tamtym okresie, niski próg aktywacji (wizyta na stronie), możliwość obejścia zabezpieczeń przeglądarki (wówczas). Kampanie Elderwood i VOHO używały m.in. tego CVE w łańcuchach SWC (strategic web compromise).
| Źródło | Artefakt / pole | Co szukać | Uwagi |
|---|---|---|---|
| Sysmon EID 1/ProcessCreate | ParentImage=iexplore.exe/winword.exe/excel.exe/powerpnt.exe; Image w {cmd.exe,powershell.exe,mshta.exe,wscript.exe,cscript.exe,rundll32.exe,regsvr32.exe,bitsadmin.exe,certutil.exe} | Dziecko procesu po renderowaniu treści/ActiveX | Typowy post‑exploit (payload). |
| Sysmon EID 7/ImageLoaded | ImageLoaded ~ \msxml*.dll | Ładowanie biblioteki MSXML w kontekście przeglądarki/Office | Koreluj z EID 1. |
| Sysmon EID 11/FileCreate | Tworzenie plików w %TEMP%, %APPDATA% po wizycie na stronie | Wskaźnik droppera | |
| Security 4688 | Tworzenie procesu (Windows) | Lustrzane do Sysmon EID 1 | |
| WFP 5156 / Proxy | Połączenia HTTP(S) do nieznanych domen bezpośrednio po wizycie na stronie; UA zaw. MSIE/Trident | Korelacja czasu/Referrer | |
| Aplikacja 1000/1001 | Błędy IE/wyjątki | Czasem towarzyszą RCE | |
| IDS/IPS/WAF | Sygnatury „MSIE MSXML CVE‑2012‑1889” | Trafienia podczas wizyty na stronie | Przykładowa sygnatura Broadcom. |
| CloudTrail | — | Nie dotyczy (klient‑side). Możliwa analiza S3 GetObject jako źródła payloadu. | Patrz sekcja 7 (zapytanie pomocnicze). |
| K8s audit | — | Nie dotyczy | |
| M365 Unified Audit | — | Nie dotyczy |
title: Suspicious Child from IE/Office After MSXML Rendering (CVE-2012-1889 Context)
id: 9f9f0f3e-7a4c-4c4b-9e1b-1889cve-msxml
status: experimental
description: Wykrywa potencjalny post-exploit po drive-by (IE/Office → LOLBIN/skr. interpretery)
author: Badacz CVE
date: 2025/11/05
logsource:
category: process_creation
product: windows
detection:
parent_browsers:
ParentImage|endswith:
- '\iexplore.exe'
- '\winword.exe'
- '\excel.exe'
- '\powerpnt.exe'
suspicious_children:
Image|endswith:
- '\cmd.exe'
- '\powershell.exe'
- '\mshta.exe'
- '\wscript.exe'
- '\cscript.exe'
- '\rundll32.exe'
- '\regsvr32.exe'
- '\bitsadmin.exe'
- '\certutil.exe'
condition: parent_browsers and suspicious_children
fields:
- CommandLine
- ParentCommandLine
- Image
- ParentImage
- User
falsepositives:
- Dodatki/plug-iny Office, instalatory/dystrybutory oprogramowania
level: high
references:
- https://learn.microsoft.com/en-us/security-updates/securitybulletins/2012/ms12-043
- https://nvd.nist.gov/vuln/detail/CVE-2012-1889(MS12‑043/NVD potwierdzają kontekst RCE klienta; reguła celuje w fazę po‑eksploatacyjną.)
index=endpoint sourcetype="XmlWinEventLog:Microsoft-Windows-Sysmon/Operational" EventCode=1
| eval parent=lower(coalesce(ParentImage,ParentProcessName))
| eval child=lower(Image)
| search parent IN ("*\\iexplore.exe","*\\winword.exe","*\\excel.exe","*\\powerpnt.exe")
| search child IN ("*\\cmd.exe","*\\powershell.exe","*\\mshta.exe","*\\wscript.exe","*\\cscript.exe","*\\rundll32.exe","*\\regsvr32.exe","*\\bitsadmin.exe","*\\certutil.exe")
| table _time, Computer, User, ParentImage, CommandLine, Image, ParentCommandLinelet parents = dynamic(["iexplore.exe","winword.exe","excel.exe","powerpnt.exe"]);
let children = dynamic(["cmd.exe","powershell.exe","mshta.exe","wscript.exe","cscript.exe","rundll32.exe","regsvr32.exe","bitsadmin.exe","certutil.exe"]);
DeviceProcessEvents
| where Timestamp > ago(7d)
| where InitiatingProcessFileName in~ (parents)
| where FileName in~ (children)
| join kind=leftsemi (
DeviceImageLoadEvents
| where FileName startswith_cs "msxml" // korelacja ładowania MSXML
) on DeviceId, InitiatingProcessId
| project Timestamp, DeviceName, InitiatingProcessFileName, FileName, ProcessCommandLine, InitiatingProcessCommandLine, AccountNameUwaga: sama podatność jest kliencka; to zapytanie pomaga znaleźć źródła plików potencjalnie serwujące exploity/payloady do przeglądarek użytkowników (np. S3/public bucket).
SELECT eventTime, userAgent, sourceIPAddress,
requestParameters.key AS object_key, recipientAccountId
FROM $EDS
WHERE eventSource = 's3.amazonaws.com'
AND eventName = 'GetObject'
AND (userAgent LIKE '%MSIE%' OR userAgent LIKE '%Trident/%')
AND (object_key LIKE '%.hta' OR object_key LIKE '%.js' OR object_key LIKE '%.cab' OR object_key LIKE '%.dll' OR object_key LIKE '%.exe')
ORDER BY eventTime DESC
LIMIT 200;process where event.type == "start" and
process.parent.name in ("iexplore.exe","winword.exe","excel.exe","powerpnt.exe") and
process.name in ("cmd.exe","powershell.exe","mshta.exe","wscript.exe","cscript.exe","rundll32.exe","regsvr32.exe","bitsadmin.exe","certutil.exe")iexplore.exe ładuje msxml*.dll (EID 7) → proces‑dziecko LOLBIN/script engine (EID 1) → plik w %TEMP% (EID 11).mshta, wscript, cscript, rundll32 z nietypowymi argumentami).msxml*.dll.gci "$env:WINDIR\System32" -Filter "msxml*.dll" | Select Name, @{n='Version';e={(Get-Item $_.FullName).VersionInfo.FileVersion}}taskkill /IM iexplore.exe /F; zidentyfikuj pliki z %TEMP%/%APPDATA% powiązane czasowo, Get-FileHash.Wyłącznie w izolowanym labie. Nie używamy exploitów. Celem jest wygenerowanie telemetrii odpowiadającej post‑eksploitowi (T1189/T1203/T1204.001), aby zweryfikować reguły.
# Przygotowanie Set-ExecutionPolicy Bypass -Scope Process -Force iwr https://raw.githubusercontent.com/redcanaryco/invoke-atomicredteam/master/install.ps1 -UseB -OutFile install.ps1 .\install.ps1 # Przykładowe atomiki pokrewne (execution / user execution) Invoke-AtomicTest T1204.002 -ShowDetails # Malicious File (bezpieczne warianty) Invoke-AtomicTest T1204.002 -TestNumbers 1 Zweryfikuj, że reguły z sekcji 7 wyłapują procesy potomne/LOLBIN‑y.iexplore.exe (w labie) i ręcznie uruchom benigny proces (np. notepad.exe) z EDR console lub skryptu testowego, aby zasymulować „dziecko przeglądarki”.msxml*.dll jeśli środowisko ładuje biblioteki) wyzwala alert.Mitigations (ATT&CK Enterprise):
Powiązane techniki ATT&CK:
get_definition). (We Live Security)SOC (operacyjnie):
msxml*.dll w kontekście przeglądarki/Office.MSIE/Trident + pobrania .hta/.js/.cab/.dll/.exe i referrery do iFrame.CISO (strategicznie):
Uwagi końcowe: CVE‑2012‑1889 jest starszą, ale dobrze udokumentowaną podatnością z bogatą historią realnych nadużyć. Nawet dziś bywa przydatna do huntingu retro oraz do budowy uniwersalnych detekcji post‑exploit po Drive‑by Compromise. W praktyce kluczowe są: łatanie (MS12‑043), eliminacja komponentów legacy (MSXML4/ActiveX) oraz korelacje telemetryjne opisane wyżej.
Błąd w podsystemie HotSpot/bytecode verifier Javy umożliwia zdalne wykonanie kodu oraz ucieczkę z sandboxa po wejściu na złośliwą stronę lub uruchomieniu nieufnego apletu/JNLP. W praktyce był intensywnie wykorzystywany przez zestawy exploitów (np. Blackhole) do początkowej infekcji stacji roboczych. Aktualizacja JRE/JDK do 7u5/6u33+ i blokada treści web to kluczowe działania. Mapa do ATT&CK: T1189 + T1203.
CVE-2012-1723 to krytyczna podatność RCE w Oracle Java SE (HotSpot) polegająca na błędnej optymalizacji i niewystarczającym sprawdzaniu typów w weryfikatorze bajtkodu dla instrukcji dostępu do pól/statycznych, co umożliwia sandbox escape i wykonanie dowolnego kodu w kontekście użytkownika.
Błąd wynika z nieprawidłowej optymalizacji i niedostatecznej kontroli typów przez weryfikator bajtkodu HotSpot dla instrukcji GETFIELD/PUTFIELD/GETSTATIC/PUTSTATIC, co prowadzi do niespójności typów i obejścia kontroli bezpieczeństwa. Skutkiem jest ucieczka z sandboxa JRE i możliwość załadowania dodatkowych klas z podwyższonymi uprawnieniami, a dalej RCE. Podatność była wieloplatformowa i szybko trafiła do Blackhole exploit kit oraz do modułów narzędzi ofensywnych, przez co stała się powszechna w kampaniach drive‑by.
Z punktu widzenia ofiary inicjatorem jest zwykle przeglądarka otwierająca stronę z applet/JAR/JNLP, co powoduje załadowanie złośliwej klasy Javy i eksploitację bez dodatkowej interakcji użytkownika (CVSS UI:N). Efektem wtórnym bywają procesy potomne (np. cmd.exe, powershell.exe) lub pobieranie dodatkowych plików (droppers).
| Źródło | Co zbierać | Przykłady / wskazówki |
|---|---|---|
| Windows Security | EID 4688 (tworzenie procesu) | ParentImage=...\\java.exe/javaw.exe uruchamia cmd.exe, powershell.exe, wscript.exe, rundll32.exe, mshta.exe. |
| Sysmon | EID 1 (Process Create), 3 (Network Connect), 11 (FileCreate) | Łańcuch java[w].exe → {shell/script}; połączenia HTTP/HTTPS do domen niskiej reputacji; zapisy .jar/.class w %TEMP%. |
| Proxy/HTTP logs | Żądania do *.jar/*.jnlp; UA Java/; referrer do świeżo zarejestrowanych domen | Korelować z następnymi procesami potomnymi i zapisami w profilu użytkownika. |
| EDR/AV | Detekcje apletów i loaderów | Nazwy: Exploit:Java/CVE-2012-1723 (Microsoft), sygnatury IDS/IPS (Symantec/Broadcom). |
| DNS | Rozwiązania domen wykorzystywanych w kampaniach | Domeny jednorazowe, fast‑flux. |
| CloudTrail (S3 Data Events)* | Rzadkie — pobrania GetObject .jar przez konta korp. | eventSource='s3.amazonaws.com' AND eventName='GetObject' AND requestParameters.key LIKE '%.jar' — tylko jeśli włączone Data Events/Lake. |
| K8s audit / M365 | [brak bezpośrednich artefaktów] | Nie dotyczy — klientowa eksploitacja Javy. |
* Uwaga: większość scenariuszy drive‑by nie przechodzi przez konta AWS ofiary.
title: Java Spawning Suspicious Children (CVE-2012-1723 Pattern)
id: 8da0d2b5-4f2b-4a1e-9f1e-1723java-rce
status: experimental
description: Wykrywa uruchamianie podejrzanych procesów potomnych przez java.exe/javaw.exe
references:
- https://nvd.nist.gov/vuln/detail/CVE-2012-1723
- https://attack.mitre.org/techniques/T1203/
- https://attack.mitre.org/techniques/T1189/
tags:
- attack.t1203
- attack.t1189
logsource:
product: windows
service: sysmon
detection:
parent_java:
ParentImage|endswith:
- '\java.exe'
- '\javaw.exe'
child_susp:
Image|endswith:
- '\cmd.exe'
- '\powershell.exe'
- '\wscript.exe'
- '\cscript.exe'
- '\rundll32.exe'
- '\mshta.exe'
condition: parent_java and child_susp
falsepositives:
- Narzędzia deweloperskie (Maven/Gradle), instalatory
level: highindex=endpoint sourcetype="XmlWinEventLog:Microsoft-Windows-Sysmon/Operational" EventCode=1
| eval parent=lower(ParentImage), child=lower(Image)
| search parent="*\\java.exe" OR parent="*\\javaw.exe"
| search child="*\\cmd.exe" OR child="*\\powershell.exe" OR child="*\\wscript.exe" OR child="*\\cscript.exe" OR child="*\\rundll32.exe" OR child="*\\mshta.exe"
| stats count min(_time) as first_seen max(_time) as last_seen by host, ParentImage, ParentCommandLine, Image, CommandLine, User, process_guid, parent_process_guidDeviceProcessEvents
| where InitiatingProcessFileName in~ ("java.exe","javaw.exe")
| where FileName in~ ("cmd.exe","powershell.exe","wscript.exe","cscript.exe","rundll32.exe","mshta.exe")
| summarize count(), first_seen=min(Timestamp), last_seen=max(Timestamp)
by DeviceName, InitiatingProcessAccountName, InitiatingProcessFileName, FileName,
InitiatingProcessCommandLine, CommandLine, InitiatingProcessSHA256, SHA256(Opcjonalnie, korelacja ruchu sieciowego):
DeviceNetworkEvents
| where InitiatingProcessFileName in~ ("java.exe","javaw.exe")
| where RemoteUrl has_any (".jar",".jnlp",".class")
| summarize dcount(RemoteUrl), makeset(RemoteUrl) by DeviceName, InitiatingProcessFileName, bin(Timestamp, 15m)-- CloudTrail Lake / Athena (przykład): pobrania *.jar* przez tożsamości korp.
SELECT eventTime, userIdentity.arn, sourceIPAddress, requestParameters.bucketName as bucket,
requestParameters.key as objectKey, userAgent
FROM cloudtrail_logs
WHERE eventSource = 's3.amazonaws.com'
AND eventName = 'GetObject'
AND requestParameters.key LIKE '%.jar'
AND userAgent LIKE 'Java/%';Wymaga rejestrowania Data Events dla S3 i zapytań Lake/Athena.
process where
process.parent.name in ("java.exe","javaw.exe") and
process.name in ("cmd.exe","powershell.exe","wscript.exe","cscript.exe","rundll32.exe","mshta.exe")
*.jar/*.jnlp → (Sysmon) java[w].exe start → proces potomny z interpretatorem/skryptem → (Sysmon 3) nowa sesja sieciowa C2.User-Agent: Java/ + domena świeżo zarejestrowana + brak wcześniejszych hitów w organizacji.%TEMP%, %USERPROFILE%\AppData\Local\Temp\ z rozszerzeniami .jar/.class, po których następuje wykonanie EXE/DLL.Program Files\Java\bin\java.exe vs. embedded JRE w katalogu aplikacji.*.jar/.jnlp z nieznanej domeny.java -version; w Windows sprawdź HKLM\Software\JavaSoft\Java Runtime Environment\*.Java/.java[w].exe → {cmd/powershell/...} + GET *.jar w proxy/DNS.Cel: przetestować reguły bez eksploitacji — wygenerować podejrzany łańcuch
java → shell.
TestSpawn.java import java.io.*; public class TestSpawn { public static void main(String[] args) throws Exception { new ProcessBuilder("cmd.exe", "/c", "echo HelloFromJava").start().waitFor(); } }javac TestSpawn.java jar --create --file test.jar TestSpawn.class java -cp . TestSpawn java -jar test.jarjava.exe → cmd.exe), opcjonalnie EID=3 (połączenia, jeśli dodać curl w ProcessBuilder).Uwaga: Testy wyłącznie w odizolowanej VM i ze znanym, niewinnym ładunkiem.
Mitigations (ATT&CK Enterprise):
*.jar/*.jnlp. Powiązane techniki ATT&CK:
SOC (operacyjne):
java[w].exe → child + *.jar/.jnlp*.jar, *.jnlp, UA Java/ z Internetu, wyjątki tylko dla zaufanych repozytoriówCISO (strategiczne):
Uwaga o ryzyku: CVE‑2012‑1723 pozostaje klasycznym przykładem, jak jedna luka w środowisku klienckim może zapewnić atakującym natychmiastowy punkt wejścia (Initial Access) i wykonanie kodu (Execution). Nawet dziś, w retrospektywie, jej wzorce artefaktów (Java → child proc, pobrania JAR) są cennymi sygnałami do budowy analityk behawioralnych w SOC.
EDR, MDR, XDR – trzy popularne skróty w świecie cyberbezpieczeństwa, często pojawiające się w ofertach dostawców i dyskusjach specjalistów. Oznaczają odpowiednio Endpoint Detection and Response, Managed Detection and Response oraz Extended Detection and Response. Choć brzmią podobnie, reprezentują różne podejścia do wykrywania zagrożeń i reagowania na nie.
Czytaj dalej „EDR vs MDR vs XDR”CVE-2025-59287 to krytyczna podatność typu Remote Code Execution w Windows Server Update Services (WSUS). Błąd umożliwia zdalne wykonanie kodu bez uwierzytelnienia na serwerze WSUS, skutkując przejęciem go z uprawnieniami SYSTEM. Rdzeniem problemu jest deserializacja niezaufanych danych (CWE-502). Microsoft sklasyfikował podatność bardzo wysoko i opublikował poprawki w październiku 2025 r.
WSUS to zaufany, centralny punkt dystrybucji aktualizacji w sieciach firmowych. Kompromitacja WSUS może dać atakującym wygodny punkt wejścia i lateralnego ruchu oraz wpływ na łańcuch aktualizacji stacji roboczych i serwerów. Po publikacji PoC i szybkiej eskalacji skanowań Microsoft musiał wydać poprawkę out-of-band, a społeczność bezpieczeństwa (m.in. Unit 42, Darktrace) zaczęła raportować realne nadużycia.
W odróżnieniu od licznych błędów w usługach Windows wymagających uwierzytelnienia lub interakcji, CVE-2025-59287 jest bezużytkownikową, sieciową RCE (AV:N/PR:N/UI:N). To plasuje ją bliżej głośnych klas podatności o natychmiastowym wektorze zdalnym, gdzie czas reakcji ma krytyczne znaczenie.