记录黑客技术中优秀的内容,传播黑客文化,分享黑客技术精华

黑客窃取 GitHub 的代码签名证书

最大的代码托管平台 GitHub 披露,未知入侵者未经授权访问了其部分代码库,窃取了其桌面应用 Desktop 和 Atom 的代码签名证书。签名证书可被用于签名恶意应用,伪装成合法更新。GitHub 表示,目前没有证据表明证书被恶意使用,但作为预防措施它撤销了两个应用的证书。证书撤销将于周四生效,预计会影响部分版本,包括 Mac 版 GitHub Desktop 3.1.2、3.1.1、3.1.0、3.0.8、3.0.7、3.0.6、3.0.5、3.0.4、3.0.3 和 3.0.2,以及 Atom 1.63.1 和 1.63.0,Desktop for Windows 不受影响。
发布时间:2023-01-31 15:14 | 阅读:852 | 评论:0 | 标签:黑客

tabby踩坑之neo4j更换数据库

前言​新年新气象,开始了新的征程。直接从tabby开始卷,在简单上手了一下之后,发现想重新生成一个项目的图数据,就得先把之前的清空。问了作者能不能更换数据库,@wh1t3p1g师傅说的是在desktop新建project ;在尝试新建project后,发现虽然可以解决这个问题,但是所有的配置和插件都得重头再来。​随后简单研究了一下,发现所有数据都是保存在默认数据库neo4j中的,那么只需要更改默认数据库即可。
发布时间:2023-01-31 15:13 | 阅读:499 | 评论:0 | 标签:无

一种符合工控系统“四高”特性的安全防御体系设计

01.工业控制网络的特殊安全需求工业控制网络(后简称工控网络)不同于普通信息网络,其核心任务是保障生产操作指令运行畅通、持续有效,并在确保生产指令、生产要素、生产活动得以依托网络快速展开,在生产链路的全时贯通、操作信息的全时受控、生产系统的连续运行、控制体系的安全可靠等方面有着很高的要求。这些特征导致工业控制网络的安全防护体系设计有其特殊性。现阶段主要是采取把传统IT安全保护技术迁移到工控网络的方法,但这并不能很好地满足工控信息体系安全需求。其特殊性主要体现在以下3个方面:一是安全防御以生产业务优先作为首要原则。
发布时间:2023-01-31 14:18 | 阅读:1930 | 评论:0 | 标签:体系设计 四高特性 安全防御 工控系统 防御 工控 体系 安全

扬长避短!CISO必须为ChatGPT安全应用做好准备

历史经验表明,即便开发者最初是出于善意的研发目的,但先进的技术往往会不可避免地被用于很多负面、恶意的应用场景中,OpenAI公司最新推出的ChatGPT聊天机器人自然也不例外。现代企业有很多机会可以利用ChatGPT技术,提升与客户的互动,寻找新的商业机会。但是在网络安全界,也有越来越多的证据表明,这种基于AI的机器人服务很可能会成为网络攻击者们的强大工具。客观看待ChatGPT的安全影响ChatGPT是一种非常有用的工具。它有非常强大的知识积累,可以将复杂主题化繁为简。对于希望使用该工具编写恶意软件代码以发动网络攻击的人来说,ChatGPT为编程技能或技术技能有限的威胁分子降低了准入门槛。
发布时间:2023-01-31 14:18 | 阅读:2209 | 评论:0 | 标签:首页动态置顶 ChatGPT CISO 安全应用 扬长避短 安全 ISO

网络安全中API常见漏洞

据Bleeping Computer 网站披露,近20 家汽车制造商和服务机构存API安全漏洞,这些漏洞允许黑客进行远程解锁、启动车辆、跟踪汽车行踪,窃取车主个人信息的恶意攻击活动。 据悉,出现API漏洞的品牌包括但不限于宝马、罗尔斯、奔驰、法拉利、保时捷、捷豹、路虎、福特、起亚、本田、英菲尼迪、日产、讴歌、现代、丰田和创世纪等其知名汽车品牌。此外,漏洞还影响汽车技术品牌 Spireon 和 Reviver 以及流媒体服务 SiriusXM。
发布时间:2023-01-31 14:15 | 阅读:2638 | 评论:0 | 标签:漏洞 api 网络安全 安全 网络 API

Apache Shiro身份认证绕过漏洞(CVE-2023-22602)通告

阅读: 6一、漏洞概述近日,绿盟科技CERT监测发现Apache官方修复了一个身份认证绕过漏洞。当在2.6+版本的Spring Boot中使用Apache Shiro,且Shiro与Spring Boot使用不同的路径匹配模式时,无需身份验证的攻击者可以用此漏洞构造特制的HTTP请求绕过身份验证访问后台功能,请相关用户采取措施进行防护。Apache Shiro是一个功能强大且易于使用的Java安全框架,功能包括身份验证、授权、加密和会话管理。使用Shiro的API,可以轻松地、快速地保护任何应用程序,范围从小型的移动应用程序到大型的Web和企业应用程序。
发布时间:2023-01-31 13:46 | 阅读:3338 | 评论:0 | 标签:威胁通告 安全漏洞 漏洞防护 漏洞 CVE 认证 身份

Oracle全系产品2023年1月关键补丁更新通告

阅读: 5一、概述2023年1月19日,绿盟科技CERT监测发现Oracle官方发布了1月重要补丁更新公告CPU(Critical Patch Update),此次共修复了327个不同程度的漏洞,此次安全更新涉及Oracle WebLogic Server、Oracle Fusion Middleware、Oracle MySQL、Oracle Java SE、Oracle Retail Applications、Oracle Database Server等多个常用产品。Oracle强烈建议客户尽快应用关键补丁更新修复程序,对漏洞进行修复。
发布时间:2023-01-31 13:46 | 阅读:3142 | 评论:0 | 标签:威胁通告

iOS 16.3发布,支持硬件安全密钥

iOS 16.3发布1月23日,苹果发布iOS 16.3,其中修复了多个安全补丁并引入了新的安全特征,包括支持使用物理安全密钥用于双因子认证、保护钓鱼攻击等。具体包括:支持用户使用硬件安全密钥登录APPLE ID;支持HomePod(第二代);解决了墙纸在锁屏时变黑的问题;修复了Home Lock Screen(主页锁屏)窗口小部件未能准确展示home APP状态的问题;修复了Siri不能正常响应音乐请求的问题。支持硬件安全密钥2022年,苹果发布了硬件密钥安全特征,允许用户使用第三方硬件安全密钥增强双因子认证。硬件安全密钥是小的支持USB-C或NFC来连接MAC或iPhone的物理设备。
发布时间:2023-01-31 13:29 | 阅读:3928 | 评论:0 | 标签:iOS ios 安全

投入不低于7%!中证协发布网安三年提升计划

随着证券公司业务与技术加速融合,网络和信息安全管理日趋复杂,信息系统建设任务明显增加,上线变更操作较为频繁,行业网络和信息安全管理能力面临更大挑战。2022上半年,证券行业网络安全事件发生较为频繁,对资本市场的安全平稳运行造成较大冲击。在此背景下,2023年1月,中国证券业协会发布《证券公司网络和信息安全三年提升计划(2023-2025)》(征求意见稿)(以下简称《三年提升计划》)。《三年提升计划
发布时间:2023-01-31 13:23 | 阅读:4312 | 评论:0 | 标签:网安

继皇家邮政遭攻击后又一英国知名企业被黑,1000 万客户数据遭泄露

JD Sports 近日披露了一次涉及 1000 万客户数据的网络攻击,这些客户的个人和财务信息可能已被攻击者访问。JD Sports 是英国著名运动连锁服饰零售商。根据其 2022 年年度报告,JD Sports 在其所有不同品牌中在 32 个地区经营着 3402 家门店。该公司的商店主要位于英国,也在爱尔兰和欧盟其他地区。JD Sports 还在亚太地区、美国和加拿大经营门店。此次攻击影响范围
发布时间:2023-01-31 13:23 | 阅读:4081 | 评论:0 | 标签:攻击 泄露 英国

Zendesk员工被黑致用户个人信息外泄

知名云计算客服软件企业Zendesk两周前通知客户,数名员工遭到钓鱼短信攻击被窃取资料,导致客户个人信息外泄。Zendesk提供集成邮件、留言板、即时通信的云计算客服平台。该公司似乎未公告安全外泄事件,而是私下以邮件通知客户。加密货币交易暨电子钱包平台商Coinigy于两周前(1/13)接获Zendesk的通知后,决定在本月19日向其客户公开此事。根据Coinigy发布的Zendesk客户通知信件,Zendesk 2022年10月25日遭到锁定该公司员工的高端短信钓鱼攻击,“少数”员工的账号访问凭证遭黑入一段时间,使其记录平台2022年9月25日到10月26日的非结构资料被非授权访问。
发布时间:2023-01-31 13:21 | 阅读:4082 | 评论:0 | 标签:无

ChatGPT或将在2023年改变信息安全

在OpenAI于2022年11月30日开放ChatGPT进行测试后,ChatGPT风靡全球。对于一个多年来基本上不令人满意的AI和机器学习“创新”而麻木不仁的行业来说,反应非常明显。纽约大学教授Brendan Dolan-Gavitt使用 ChatGPT 来利用缓冲区溢出漏洞。其他示例包括以闪电般的速度编写恶意软件以及制作令人信服、语法正确的网络钓鱼电子邮件。人工智能在网络安全领域的武器化并不新鲜,但 ChatGPT 最让我兴奋的是它有可能缩小信息安全的最大差距:在网络安全技能(即专业化)的广度和深度方面都缺乏足够的人才。
发布时间:2023-01-31 13:21 | 阅读:4087 | 评论:0 | 标签:安全

河北:启动雄安国际互联网数据专用通道建设

1 月30日消息,据河北省人民政府网站,河北省人民政府办公厅现已印发《加快建设数字河北行动方案(2023-2027 年)》(以下简称《行动方案》)。《行动方案》提出,优化互联网网络架构。启动雄安国际互联网数据专用通道建设,争取雄安新区建设国家互联网骨干直联点,探索建设新型互联网交换中心,完善多主体参与的立体化网间互联架构;建设连接长三角、粤港澳等区域主要城市直达链路,提升出冀通道承载能力和安全可靠性。《行动方案》指出,加快全国一体化算力网络京津冀国家枢纽节点建设。
发布时间:2023-01-31 13:21 | 阅读:4647 | 评论:0 | 标签:无

勒索攻击影响18万+伊利诺伊州人社会安全号码安全

对伊利诺伊州路德社会服务中心 (LSSI) 的攻击导致黑客访问医疗诊断和治疗信息、社会安全号码 (SSN)、个人姓名和其他高度敏感的数据。LSSI 透露,该组织于 2022 年 1 月 27 日遭到勒索软件攻击。该非营利组织自称是“全州最大的社会服务提供商之一”。该非营利组织表示,它进行了“广泛的法医调查”。令人担忧的是,LSSI 花了11个月的时间,直到2022年12月28日,才确定威胁行为者是否访问了高度敏感的用户数据池。“可能涉及的信息类型可能包括:个人姓名、出生日期、社会安全号码、金融账户信息、驾照号码、生物识别信息、医疗诊断和治疗信息以及健康保险信息,”数据泄露通知中写道。
发布时间:2023-01-31 13:21 | 阅读:5022 | 评论:0 | 标签:攻击 勒索 安全

记一次阿里云伏魔引擎-多功能场景绕过测试

前言本期的伏魔挑战赛新增多功能场景的玩法,主要包括四大场景:任意文件读取任意文件写入服务器任意信息窃取类后门网络代理类后门本文主要对任意文件读取和任意文件写入进行免杀。主要存在三种思路:寻找不常见且与文件相关的类或方法,如zip、xml等利用漏洞达到文件读取的目的,如xxe和ssrf以及文件包含强制绕过常见文件读取与写入函数寻找不常见且与文件相关的类或方法利用highlight_file&
发布时间:2023-01-31 13:21 | 阅读:3925 | 评论:0 | 标签: 阿里

火速报名!第二届湾区金融科技高校分论坛本周六开幕!金融科技产学研助力新时代

金融科技正在成为驱动金融变革的重要引擎,目前金融科技已逐渐渗透到消费金融、供应链金融、财富管理等各个领域,构建了诸多新兴金融生态,发展金融科技已成为全球各大金融中心城市竞相布局的“主战场”和战略“风口”。在金融科技发展的整个历程中,人才一直是金融科技行业高质量发展的基石。加强金融科技专业化人才队伍建设,是金融科技守正创新、高质量发展的重要抓手。党的二十大报告中强调,“必须坚持科技是第一生产力、人才是第一资源、创新是第一动力,深入实施科教兴国战略、人才强国战略、创新驱动发展战略,开辟发展新领域新赛道,不断塑造发展新动能新优势。
发布时间:2023-01-31 12:51 | 阅读:5498 | 评论:0 | 标签:金融 高校

Merlin - OpenAI ChatGPT powered assistant

#Misc 5 个 #浏览器 8 个 ChatGPT很火,但服务端对来自中国大陆的IP有限制,官面上不对大陆地区提供服务,即使科学上网,注册后有个短信验证过程,需要境外号码收短信。Chrome插件Merlin可以缓解该情况,无需注册ChatGPT账号,只要科学上网即可免注册、登录使用ChatGPT。CFC4N提供该信息,我试了,很好用,虽然我不存在注册登录的问题,但确实不太想登录使用。下面是在Merlin插件中使用ChatGPT的效果。注意,「科学上网」这种黑话被ChatGPT有效翻译了,作为对比,Google Translate未能对黑话进行有效翻译。
发布时间:2023-01-31 12:35 | 阅读:5982 | 评论:0 | 标签:AI

黑客攻击了军方热成像仪!军事工控基础设施网络安全引关注

研究人员发现,网络犯罪分子正在使用默认凭证访问与属于几支国防军的工业控制系统(ICS)有关的产品和软件。Cyble Research & Intelligence Labs(CRIL)的研究人员在暗网上发现了几篇帖子,其中包含网络犯罪分子使用的屏幕截图,声称他们可以访问军方和执法机构(LEA)使用的数据和系统。这类设备是国家服务的中流砥柱——网络犯罪分子很清楚这一事实。由于宣传对这些系统的攻击具有深远影响,这会激励他们利用ICS。ICS设备还有助于监管大量军事设备,特别是热成像(TI)摄像机,它们长期以来一直是边境监视的基本要素,并协助军事和执法机构(LEA)保护敏感设施。
发布时间:2023-01-31 12:08 | 阅读:6780 | 评论:0 | 标签:攻击 工控 黑客 军事 网络安全 安全 网络 黑客攻击

Google Play又被发现多款问题应用:累计下载超2000万次

一种新的活动跟踪应用程序最近在 Android 的官方应用程序商店 Google Play 上取得了巨大成功,目前已经有超过 2000 万台设备下载。这些应用程序将自己宣传为健康、计步器和养成良好习惯的应用程序,承诺为用户在日常生活中保持活跃,达到目标提供随机奖励。不过,根据 Dr.Web 杀毒软件的一份报告中指出,奖励可能无法兑现,或者在强迫用户观看大量广告后只能部分兑现。Dr. Web 报告中
发布时间:2023-01-31 12:08 | 阅读:7142 | 评论:0 | 标签:Google

狂揽 1 亿美元,被 FBI 渗透长达六个月,2022 年最暴利的组织凉了

2023年1月26日,美国司法部和欧洲刑警组织共同宣布,经过长达6个月的渗透,臭名昭著的Hive 勒索软件组织被FBI和国际刑警破获:该组织的IT基础设施已经完全被破坏,Tor支付和数据泄露站点被查封,警方获得两台服务器和一台虚拟专用服务器的访问权,并对在荷兰托管的两个备份专用服务器的访问权限…… 目前,Hive 勒索软件组织在暗网的泄露站点显示一条俄语和英语交替使用的信息:“作为针对Hive 勒索软件组织全球协调执法的一部分,这个隐藏的网站已经被联邦调查局查封。”这也意味着,FBI已经彻底控制了Hive的核心站点。
发布时间:2023-01-31 12:07 | 阅读:6702 | 评论:0 | 标签:国际动态 黑客事件 FBI Hive 渗透

开创历史!乌克兰运作将俄罗斯网攻行为定性为战争罪

乌克兰官员正在创造历史,甚至可能重塑网络战的未来。近期,他们正试图说服位于海牙的国际刑事法院(ICC),调查俄罗斯的网络攻击行为是否构成战争罪。 近年来,网络攻击正逐步成为现代战争中的组成部分,也在俄乌战争中被俄军多次用于攻击乌克兰关键基础设施。 不过,网络攻击并未被《日内瓦公约》明确定性为战争罪。法律专家和研究人员此前曾就俄网络攻击向国际刑事法院提出指控,此次乌克兰官员的推动则标志着主权政府首次向法院提出此类请求,并可能改变现行规则。
发布时间:2023-01-31 12:07 | 阅读:7048 | 评论:0 | 标签:国际动态 网络攻击 乌克兰 俄罗斯 战争

Google Play多款应用程序存在问题,用户累计下载超2000万次

一种新的活动跟踪应用程序最近在 Android 的官方应用程序商店 Google Play 上取得了巨大成功,目前已经有超过 2000 万台设备下载。 这些应用程序将自己宣传为健康、计步器和养成良好习惯的应用程序,承诺为用户在日常生活中保持活跃,达到目标提供随机奖励。不过,根据 Dr.Web 杀毒软件的一份报告中指出,奖励可能无法兑现,或者在强迫用户观看大量广告后只能部分兑现。&
发布时间:2023-01-31 12:01 | 阅读:7764 | 评论:0 | 标签:Google

深入理解推荐系统:推荐系统中的“新颖性(Novelty)”

#深入理解推荐系统 24 个 #推荐系统 4 个 #算法 4 个 【推荐系统】专栏历史文章:深入理解YouTube推荐系统算法深入理解推荐系统:召回深入理解推荐系统:排序深入理解推荐系统:Fairness、Bias和Debias深入理解推荐系统:推荐系统中的attention机制深入理解推荐系统:特征交叉组合模型演化简史深入理解推荐系统:超长用户行为序列建模作为【推荐系统】系列文章第二十四讲,将以 “新颖性(Novelty)” 作为今天的主角。满足推荐的新颖性最简单的方法就是给用户推荐他们之前没有看过的物品,但是这不是一个简单的问题,需要从多个角度进行考虑,首先就是如何定义推荐的新颖性。
发布时间:2023-01-31 12:01 | 阅读:8187 | 评论:0 | 标签:无

密码学|5.4.3 一个针对离散对数问题的碰撞算法

#密码学 54 个 #公钥 5 个 #算法 5 个 碰撞算法在密码学中有许多应用,包括密钥、明文或密文的搜索恢复,或者是解决一个公钥密码系统基于的数学困难问题。在这一节中,我们将通过一个针对离散对数问题的具体算法来说明这一理论。对于有限域 
发布时间:2023-01-31 12:01 | 阅读:7573 | 评论:0 | 标签:密码

实战 | 记一次通过api泄露敏感信息获得的750 美元漏洞赏金

#api 1 个 #赏金猎人 21 个 #漏洞挖掘 69 个 #信息泄露 1 个 前言让我们开始了解我是如何发现导致敏感信息泄露的 API 配置错误的。设想这个问题还没有解决,所以我不能透露那个程序的名字。假设该程序为 https://redacted.com。Web 应用程序是关于基于团队的组织,那里也有 api 相关的东西。我试图找到 XSS、SQLi、idors,但没有任何效果。然后我转到 https://YourDomain.redacted.com 有一些组织类型功能,我可以在其中添加或删除其他用户。添加一些用户后,有一个组织数字 ID 引起了我的注意。
发布时间:2023-01-31 12:01 | 阅读:7112 | 评论:0 | 标签:漏洞 泄露 API

提效50%!奇安信发布椒图服务器防勒索专版

1月30日,奇安信集团举办“椒图服务器安全管理系统-防勒索专版”产品发布会,推出针对勒索攻击防护的服务器端安全产品。新产品针对勒索病毒的攻击链、行为特征提供多维度的防护方案,对勒索攻击的防护效果更好、针对性更强;并提供针对不同操作系统、业务环境的场景化配置模版,让产品能快速上线运行;同时,新版本还深度优化了系统资源配置,让管理中心对CPU/内存等资源的配置要求降低50%,支持的服务器数量增加50%,让产品的部署门槛大幅度降低。 随着企业数字化进程的加速,信息安全威胁和风险也快速增加,网络攻击手段越来越多,漏洞及攻击入口无处不在,尤其是近年来勒索攻击事件频发,其破坏力和影响力越来越大。
发布时间:2023-01-31 11:58 | 阅读:7525 | 评论:0 | 标签:勒索

美国推进零信任发展重要举措分析与回顾

传统网络架构将网络划分为内网与外网,并以边界防护为安全基础。随着云计算、大数据等新兴网络技术的发展应用,网络边界逐渐模糊,边界防护效果锐减,探索加强网络防御的新手段已迫在眉睫。零信任作为一种新的网络安全架构,已成为全面提升网络防御能力的重要手段。零信任(Zero Trust Architecture)基于“永不信任,始终验证”的原则,指导构建以“数据为中心”的安全防护架构,一旦部署成功,将极大提高网络防御能力与安全水平。
发布时间:2023-01-31 11:58 | 阅读:7338 | 评论:0 | 标签:美国 分析

统筹构建规范高效数据交易场所,促进数据要素充分有序流通

数据的高效流通是数字经济快速发展的基础,数据要素的市场化配置已上升为国家战略,推动数据的共享与交易成为我国数字经济发展的必由之路。近日,中共中央、国务院印发《关于构建数据基础制度更好发挥数据要素作用的意见》(又称《数据二十条》)。《数据二十条》提出,要建立合规高效、场内外结合的数据要素流通和交易制度。场内集中交易与场外分散交易是数据要素流通的两种基本方式,作为公允第三方,数据交易场所通过提供新型交易技术、固定数据交易证据等方式增进买卖双方的信任、减少争议,从而最大限度地发现数据的公允价值,同时便于追溯和监管,具有场外交易不可比拟的优势。
发布时间:2023-01-31 11:58 | 阅读:7191 | 评论:0 | 标签:无

2023年态势感知与安全运营十大技术趋势展望

数字时代,态势感知和网络安全运营依然是网络安全行业备受关注的热点话题。启明星辰泰合团队发布《2023年态势感知和安全运营技术发展十大趋势》,分享了其对态势感知和网络安全运营新技术、新挑战和新实践的智慧分析与总结。下面,让我们一起看看今年的重要趋势都有哪些吧。趋势一 元数据驱动的安全体系加速自动化安全运营近年来我国安全产业持续发展,安全产品线种类丰富,既有相对成熟的“主力经典板块”的大量产品,也有“新兴前沿产业板块”不断推陈出新,安全体系越来越庞杂,安全孤岛众多,安全“熵增”明显。
发布时间:2023-01-31 11:58 | 阅读:7359 | 评论:0 | 标签:安全运营 安全 态势

绿盟科技受邀参加第二届网络空间内生安全发展大会

近日,由中国通信学会、南京互联网信息办公室、网络通信与安全紫金山实验室、国家数字交换系统工程技术研究中心、中国网络空间内生安全技术与产业联盟共同主办,紫金山实验室承办的第二届网络空间内生安全发展大会-内生安全融合产业生态分论坛在线上举办,研讨交流内生安全钢筋骨架发展趋势,探索态势感知、防火墙、沙箱、蜜罐等防御技术发展现状及内生安全构造融合各类防御技术成果的发展路径。绿盟科技受邀出席并在内生安全融合产业生态分论坛发表题为《网空攻击技术新态势及对抗思考》的主题演讲。
发布时间:2023-01-31 11:58 | 阅读:6443 | 评论:0 | 标签:安全 网络

黑帝公告 📢

十年经营持续更新精选优质黑客技术文章Hackdig,帮你成为掌握黑客技术的英雄

🙇🧎¥由自富财,长成起一↓

标签云 ☁