网络安全

• 

  美水师树立永久性收集部分推进收集安全开展

  【据联邦科技商业网2015年10月2日报道】美国水师正在努力着手处理收集威胁的曝光问题。在计算机体系的动态记录及其它部分的来源缺乏的情况下，收集运营商无法确定其开启或关闭的部分以及脆弱或安全的部分。 美水师官员正试图借助长达一年的收集觉醒特遣部队的势头，推动形成更为持久和安全的收集效劳状态。为此，美水师作战部长上个月建立了水师收集安全奇迹部，该部分由40人组成，义务是负责对重大收集项目的投资执行评价，并确保符合政策的请求。 据美国信息控制海事操作中心的副参谋长泰德·布兰奇水师中将所言，新部分的主要义务之一是“首先确保他们在前端能达到请求，从而为一些收集安全措施执行 ...

  查看全文

• 

  毋庸字母构建XSS向量

  之前我在玩一个XSS游戏的时候突然有了些想法，本着分享的原则，于是便有了这篇文章。在此，我将分享一个此前没有接触过的一个XSS攻击向量。 相同水平的前提下，在攻击向量中不使用任何字母，且必须挪用alert(1)。 闲话少说，看这里： ""[(!1+"")[3]+(!0+"")[2]+(''+{})[2]][(''+{})[5]+(''+{})[1]+((""[(!1+"")[3]+(!0+"")[2]+(''+{})[2]])+"")[2]+(!1+' ...

  查看全文

• 

  太恐怖了！付出宝实名认证曝惊天破绽

  本周四，登岸付出宝后无意间打开付出宝实名认证页面，发现如下情形：  我的实名认证信息下多出了5个未知账户。作为账户主体，我纯粹不知道是在什么时间，就有了这5个绑定账户，我也纯粹没收到任何情势的确认或是告诉信息，告诉告诉我，我的实名认证账户下绑定了以上5个账户。是的，你没看错，不论是短信、邮件、或者是登岸后的站内信息都没有。如果不是当时偶然的机会点到实名认证的链接，我可能一辈子也不知道自己的主账户下绑定如此多不属于我个人的子账户。 那么实名认证的账户都能干什么呢?  没错，存款也是放到你的实名信息名下的。他人拿的身份存款，你来还。 于是乎，当机立断联系付出宝客服，反映相 ...

  查看全文

• 

  收集安全行业人才求过于供：缺口百万，报酬猛涨

  现在企业对专业人员的技巧请求越来越倾向于同时具备计算机科学和收集安全配景，收集安全技巧鸿沟却在不断拉大。首先，收集安全是一个十分特殊的范畴，从业者须要熟知收集安全的开展脉络，从老的、静态的要挟到新型的APT要挟都须要掌握，而能做到兼具见识广度和技巧深度的人才少之又少。包括当局在内的机构也很难找到恰当的人才，因此，在收集攻击事件每年攀升的配景下，收集安全行业的人才梯队必须要迫切建立起来。 近况：收集安全行业人才缺口达上百万 收集安全技巧人才是收集安全建立的核心资源，人才的数量、质量、结构和作用的发挥，直接关系到收集安全建立水平的高低和保障能力的强弱。 以美国为例，美国早在2003年就将制定收集 ...

  查看全文

• 

  解密：黑客借不合法运用产业链 天天牟取数百万美金(1)

  概述 9月18日，猎豹挪动(CM)安全实验室向安卓用户发出警报——“Ghost Push”(幽灵推)，一个几乎无法去除的顽固木马。 然而，后来事情变得越来越糟了，它的多个变种依次被发明，经过更为深入的研究与分析，来自CM的安全专家发明隐藏在这种病毒背后的是一个不合法挪动营销产业链，其中涉及到精细复杂的操作和大批的供应商。 迄今为止，该病毒已经影响了全球超过116个国家的90万多安卓用户，据推测，病毒开辟者每天可从这个不合法产业链中获取至少405万美元的暴利。 回顾“Ghost Push”事件 今年8月，发明Ghost P ...

  查看全文

• 

  XML-RPC缩小攻打：针对WordPress的“暴力美学”

  暴力猜解攻打是咱们至今为止在互联网上看到的最古老而常见的攻打之一。黑客能够经由SSH和FTP协定，暴力猜解攻打你的WEB服务器。 传统暴力猜解攻打 这些攻打一般都不是很复杂，而且理论上是比较容易停止的。但是，它们仍然拥有存在的价值，因为人们并不习惯采用强暗码，而且不是每个人都拥有良好的登录习惯。 然而可惜的是，暴力猜解攻打有个致命的弱点。通常来说，假如黑客须要实验500个差别的暗码，他将实验发送500次差别的请求到服务器上。经由限制登录次数，能够在一定层面上停止暴力猜解攻打。 缩小型暴力猜解攻打 黑客能够减少攻打次数么，他们能否一次请求，就能执行多次登陆实验?请想象一下，假如你一次攻打请求 ...

  查看全文

• 

  应用被入侵的路由器获取收集流量(1)

  0x00 前言 现在，对终端路由器停止流量劫持的方式很多，如DNS劫持等等，然而根据不同的渗透场景，如对电信级别的构造停止大范围攻打时，利用被入侵的路由器停止流量重定向则会显得更加高效。这种类似“核攻打”的攻打方式会导致X州市数字电视一样的后果。 原文地址：https://dl.packetstormsecurity.net/papers/routing/GRE_sniffing.doc 0x01 介绍 这篇文档详细描述了在最近实验中，应用边界路由器作为工具来捕捉收集流量的方式 、步骤以及结果。 在渗透测试场景中，人们经常会入侵一个构造的边缘路由器。这些路由器往往部署在 ...

  查看全文

• 

  老式后门之美：五种复旧近程控制东西(含下载)

  目前，高级的rootkit技巧能够帮助你在渗入中拿到一个shell后停止持久性控制。此外，还有供应商故意提供了一些植入后门，但那就是截然不同的故事了。尽管各式花样翻新的技巧与代码层出不穷，可你还记得曾经用过的那些后门吗? 本文介绍了5种远程控制东西(Remote Administration Tools)RAT ，又称“后门”，这完全是根据作者个人喜好挑选的。这是我停止合法渗入测试时所应用的东西，它们对验证渗入的持久性与测量防御手段的有效性提供了重要的帮助。 1.mod_rootme——Apache模块后门(2004) “mod_r ...

  查看全文

• 

  这就是全体么?完全的XCodeGhost变乱是如许的

  【前言】 这几天安全圈几乎被XCodeGhost变乱刷屏，各人都非常关注，各安全团队都很给力，纷纷从不同角度剖析了病毒行动、传播方法、影响面积甚至还人肉到了作者信息。拜读了所有网上公开或者半公开的剖析讲演后，咱们认为，这还不是全部，以是咱们来补充下完整的XCodeGhost变乱。 由于行文仓促，难免有诸多错漏之处，还望同行批评指正。 【变乱溯源】 事情要追溯到一周前。 9月12日，咱们在跟进一个bug时发明有APP在启动、退出时会经由网络向某个域名发送异常的加密流量，行动非常可疑，于是终端安全团队即时跟进，经由一个周末加班加点的剖析和追查，咱们基本还原了沾染方法、病毒行动、影响面。 9月13日 ...

  查看全文

• 

  五款零付费的安全剖析东西

  移动和云计算的采用扩大了现代企业的安全边界，许多企业在更深入地了解其IT基本设备，以监控恶意活动或软件。这些潮流带来了越来越多有待评估的要挟数据。想把这些数据转化成有意义的谍报，就须要不仅限于传统安全信息和变乱管理(SIEM)功效的东西，以便整合和剖析不同类型的数据(包含构造化数据和非构造化数据)。 剖析要挟数据可能是一笔不小的开支，对中小企业来说尤为如此。除了软件许可费外，还面临硬件、职员和培训等方面的本钱。不过下面几个零付费东西能够助你一臂之力。 思科的OpenSOC 思科体系公司的高级服务经理Pablo Salazar说：“我们不再依赖传统的要挟检测方式。”如 ...

  查看全文

• 

  22款零付费安全东西为企业保驾护航

  几十年来，企业一直在努力对付安全泄密变乱。而现在，入侵变乱在急剧增多，让企业的数字化信息岌岌可危。伺机下手的攻打者试图应用企业安全政策和体系中存在的安全漏洞，实现恶毒的目标。 专家们认为，如果企业安装和实行功效强大的安全东西，将信息安全视作重中之重，能够防备大多数安全变乱。它们必需采取掩护性措施，防止信息被偷或遭到破坏，包含检测信息何时遭到了破坏，辨认破坏的根源，并且恢复丢失或受损的信息。幸好，我们能够应用好多可靠的东西，掩护企业远离重大的泄密变乱。 每个IT情况都须要强有力的安全战略。这个战略可能包含针对特定应用顺序或情形的东西，不过幸好它们未必要花很多的钱。本文介绍了几款唾手可得的零付费 ...

  查看全文

• 

  蒂姆・库克：给坏人留的后门同时也是给坏人留的

  《Technically Incorrect》：苹果首席执行官说，今日世界里加密是“必需”。他以为每团体都开始认可这一观念。除了，FBI。 上周四，在美国国度公共电台(NPR)对库克做的访谈中，库克有力地陈述了苹果对安全的立场，尤其是对国度安全的立场。 库克反复声明自身关于苹果不会从一个个利用中无休止地追踪其主顾的观念。 “显然，假如你从苹果利用商店中购买了某些商品，咱们会知道你到底买了什么东西。”他说道，“咱们以为主顾对此无异议。很多主顾盼望咱们为其推荐利用。但他们不盼望看到的是，本人的电子邮件被读取，拣取出关键字，然后根据这些 ...

  查看全文