记录黑客技术中优秀的内容, 传播黑客文化,分享黑客技术精华

证书锁定:网银安全漏洞致数百万人面临严重威胁

上周,英国伯明翰大学安全研究人员公布了移动银行App中的安全缺陷,该缺陷可致数百万用户面临被黑风险升高。研究人员开发了名为“Spinner”的工具,来对移动App执行半自动安全测试。对400个安全关键App样本进行测试后,他们在很多银行App中发现了一个严重缺陷——包括汇丰银行、英国西敏寺银行和Co-op银行提供的App,还有美国银行的Health账户App。研究人员发现,尽管银行在App安全方面很尽责,一项所谓的“证书锁定”技术——本应提升安全的技术,却意味着标准测试难以检测出可致攻击者接管受害者网银的严重漏洞。弗拉维奥·加西亚博士解释道:“证书锁定是提高连接安全的一项好技术,但该案例中,这项技术却让渗透测试员难以发现更严重的问题——缺乏恰当的主机名验证。”该安全弱点为攻击者创建了一个可能的机制——只要接入所
发布时间:2017-12-14 20:35 | 阅读:115037 | 评论:0 | 标签:威胁情报 安全漏洞 网银app 漏洞

2017年软件漏洞数量将破纪录

越来越多的软件程序和不断增加的报告,让漏洞报告比2016年增加了1/3强。两家追踪漏洞披露的组织表示,2017年见证了软件漏洞报告的激增,即将成为破纪录的一年。由美国国家标准与技术局(NIST)管理的国家漏洞数据库(NVD),今年到现在为止已记录了超过1.34万个漏洞,比2016年全年的漏洞记录数的2倍还多。NVD统计数据图表:同时,安全信息公司Risk Based Security(RBS)在2017年记录了1.87万个漏洞,比去年同期增加了1/3强。漏洞记录增加的部分原因,可能是NVD和Risk Based Security之类的公司,在各自数据库中都囊括了更多的漏洞。还有两个因素在驱动着这一趋势——更多的研究员关注漏洞,以及更多的应用不断的产生。研究人员在漏洞查找技能上不断精进,越挖越深,所以能找出更多漏
发布时间:2017-12-05 19:10 | 阅读:133462 | 评论:0 | 标签:行业动态 国家漏洞数据库 安全漏洞 数量 漏洞

如何轻松潜入IP办公电话进行监听

很多IP办公电话,存在很多漏洞让黑客钻空子。通过电话,某些人可以用设备远程监控你。Red Ballon Security创始人AngCui发现了思科电话的重大问题。下面是AngCui就此事的叙述:大家好,我叫AngCui,我是RedBallonSecurity创始人兼首席科学家。一个黑客可以通过电话监听这个屋子无论电话是否在使用。我们来看Cisco电话,分别来看,看上去不像电话而像电脑。他有硬盘、屏幕、拨号盘,同时还有很脆弱的软件。我们将这个“电脑”中的固件剥离,列出疑似漏洞之处。在2个半月之后,我们发现了系统中能够被攻击者接触到的漏洞。如果一个人能在你手机里的程序、固件中畅通无阻的话他会做什么?他们一定会监听你打电话,也许还会知道你什么时候给谁打电话,还远远不止这些。话筒从来不会关闭,黑客就能听到所有手机收录
发布时间:2017-12-04 08:40 | 阅读:164807 | 评论:0 | 标签:牛闻牛评 固件升级 安全漏洞 思科IP电话 窃听

黑客利用存在17年的Word漏洞传播恶意软件

微软Office公式编辑器中有漏洞存在了17年,如今网络罪犯成功利用该漏洞散布恶意软件。这是个后门,可为攻击者提供对系统的完全控制权,在系统上执行指令,提取文件。该恶意软件可通过渗透测试工具Cobalt Strike彻底感染系统。Cobalt Strike 是为红队行动和对手模拟而创建的系统秘密信道访问类软件。这波恶意软件攻击主要针对俄语用户,因为垃圾邮件被设计成Visa通知消息,通告用户payWave服务规则的变动。该邮件含有一份带口令保护的RTF文档附件,用户会另外收到解锁凭证。这份文件内含恶意代码,但因为有口令保护,杀软难以检测到其中加载有恶意软件。打开该文件,用户看到的是一份空文档,只有“开始编辑”这么一条消息可见。但这条消息仅仅是用于掩护后台恶意功能的一个障眼法,恶意代码早已在后台被下载,并运行Pow
发布时间:2017-12-01 05:20 | 阅读:144374 | 评论:0 | 标签:威胁情报 Cobalt Strike Office公式编辑器 安全漏洞 恶意软件 漏洞

苹果至今为止最大漏洞:无密码以Root权限登录macOS

macOS High Sierra(macOS 10.13 )惊现易被利用的漏洞,可令用户无需口令便获取管理员权限(以root用户登录)。该安全漏洞通过苹果操作系统的身份验证对话框触发,此对话框会在用户需要进行网络和隐私设置的时候弹出,要求输入管理员用户名及口令。如果在用户名处输入“root”,口令输入框空着,点击“确定”,多点几次解锁,该对话框就会消失,你就获得了管理员权限。而且该操作还可以直接在用户登录界面进行。可以物理接触到该机器的人都可以利用该漏洞登录,做出额外的伤害,安装恶意软件等等。问题没解决前,用户最好别让自己的Mac机无人看管,也不要启用远程桌面访问。虽然这一情况明显不是世界末日——远未达到远程漏洞或磁盘解密技术的级别,但苹果公司出现这种失误,还是真的真的让人大跌眼镜。1天前,程序员乐米·敖汉·
发布时间:2017-11-30 12:05 | 阅读:194765 | 评论:0 | 标签:威胁情报 High Sierra macOS root权限 安全性更新 安全漏洞 漏洞

Mobile Pwn2Own 2017:趋势科技颁出51.5万美元奖金

东京举行的2017移动Pwn2Own大会上,展现了Pwn2Own竞赛史上最长漏洞利用链,安全研究人员采用11个不同漏洞在三星Galaxy S8系统中执行代码。11月2日,今年移动Pwn2Own黑客竞赛的第二天,大波漏洞利用涌现,包括Pwn2Own史上最长漏洞利用链。2017移动Pwn2Own大赛于11月1日至2日在日本东京举行,披露了32个漏洞,涉及苹果、三星和华为的移动设备。为期2天的赛事结束,主办方趋势科技的零日计划(ZDI)共颁出了51.5万美元的奖金。ZDI已私下向受影响厂商通报了所有这些漏洞,以便问题能得到修复。大赛亮点之一,是MWR实验室演示针对三星Galaxy S8及其默认浏览器的超复杂漏洞利用。MWR实验室共用了Galaxy S8上6个应用中的11个不同漏洞,得以在该设备上执行任意代码,并渗漏潜
发布时间:2017-11-06 19:10 | 阅读:202590 | 评论:0 | 标签:行业动态 奇虎360 安全漏洞 漏洞奖金 移动Pwn2Own 腾讯科恩安全实验室 mobile

轮船联网平台漏洞严重威胁国际海事基础设施

公海上,咸湿的空气,无际的海洋,孤单寂寞中幸好还有卫星网络连接相伴左右。但这看似安静祥和的环境中,却潜藏着蠢蠢欲动的漏洞风险。安全咨询公司IOActive的研究人员称,轮船用于连接互联网的平台存在软件漏洞,可暴露船只在海上的数据。这些漏洞还预示着国际海事基础设施中更大的威胁。10月26日发布的一份报告,描述了AmosConnect 8网络平台中的2个漏洞。轮船使用该平台监视IT和导航系统,船员也用该平台收发消息、邮件,浏览网页。该平台属国际海事卫星公司Inmarsat旗下Stratos Global公司的产品,对AmosConnect产品的入侵,可暴露大量操作数据和个人数据,甚至会破坏船上本应隔离的其他关键系统。负责此项研究的IOActive首席安全顾问马里奥·巴拉诺称:这是很容易得手的。船上用的软件大多都已1
发布时间:2017-10-30 20:40 | 阅读:117122 | 评论:0 | 标签:牛闻牛评 AmosConnect 安全漏洞 轮船 漏洞

Mirai再升级 新僵尸网络感染设备已达200万台

近日,360安全研究人员发现一个新的IoT僵尸网络,并将其命名为“IoT_reaper”。据悉,该僵尸网络利用路由器、摄像头等设备的漏洞,将僵尸程序传播到互联网,感染并控制大批在线主机,从而形成具有规模的僵尸网络。截至目前,IoT_reaper感染量达到近200万台设备,且每天新增感染量达2300多次。 据了解,该恶意程序脱胎于此前曾导致美国断网的僵尸网络Mirai,但比Mirai的感染途径更广,如果照目前速度继续肆意扩张,其造成的后果将不堪设想。广大用户应及时为IOT设备升级版本,增强设备密码,关闭共享端口,避免被此类僵尸网络感染。僵尸网络危害极大 曾使美国网络瘫痪所谓僵尸网络,就是攻击者通过各种途径传播僵尸程序,并感染互联网上的大量主机。被感染的主机将通过一个控制信道接收攻击者的指令,组成一个僵尸
发布时间:2017-10-28 01:00 | 阅读:164235 | 评论:0 | 标签:威胁情报 IoT安全 Mirai 僵尸网络 安全漏洞

漂浮在海上的工控系统安全噩梦——轮船

若说有什么东西比容器安全更糟,那一定是集装箱(容器)货运船安全。英国渗透测试公司Pen Test Partners研究员肯·芒罗,一直在探测保障海上船只互联的海事卫星通信系统。他在近期发布的一篇博客文章中,他将船只描述为漂浮的工业控制系统——曾经隔离现今联网的海上ICS。ICS发展之初并未怎么考虑网络攻击,几十年来疲于应付来自互联网上的经常性围攻。芒罗认为,船只IT系统的安全更加糟糕。我个人而言,船只安全甚至还落后于广义的ICS安全。这种变化是卫星通信终端总是联网所造成的。在过去,船只系统与互联网隔绝,跟ICS没什么两样。芒罗称,如今已有大量船只安全事件曝出。“马上能想到的一起,是非洲海岸一座移动式钻井平台发生倾斜而不得不疏散。调查结果表明,其控制系统被黑了。举这个例子,是因为我怀疑这可能仅仅是因为凭证被盗或使
发布时间:2017-10-23 02:30 | 阅读:114644 | 评论:0 | 标签:牛闻牛评 安全漏洞 工控系统 轮船 通信终端

小错误引发大危机——心脏出血到底是什么?

心脏出血漏洞可以追根溯源到开源代码库OpenSSL里的一行代码上。本文将告诉你心脏出血的工作原理、利用状况以及怎样修复未打补丁的服务器。2014年4月,心脏出血漏洞进入了公众视野,该漏洞为攻击者提供了前所未有的敏感信息获取途径,并且成千上万的网络服务器上存在心脏出血漏洞,就连雅虎这样的网络巨头也在此列。开源代码库OpenSSL中的一个漏洞是引发心脏出血的罪魁祸首,该漏洞使用了传输层安全协议(TLS)和加密套接字协议层(SSL)协议。通过这个漏洞,简而言之,恶意用户可以很容易地诱骗一个脆弱的网络服务器发送用户名和密码等敏感信息。心脏出血漏洞的工作原理要了解心脏出血(CVE-2014-0160)的工作原理,你必须对TLS/SSL协议的运作模式和内存存储信息的方式有些许的认识。TLS / SSL协议的一个重要组成部分
发布时间:2017-09-28 03:40 | 阅读:97224 | 评论:0 | 标签:牛闻牛评 OpenSSL 安全漏洞 心脏出血

Equifax因Struts漏洞未及时打补丁 面临4500亿美元集体诉讼赔偿

征信公司Equifax值不值得信任?个人数据放那里保不保险?这些问题的答案似乎越来越明朗了。该公司不仅遭受了史上最大数据泄露——1.43亿人的姓名、社会安全号、家庭住址等信息被黑,其各种安全漏洞还在不断被专家们指证。如一款检查用户是否被黑的工具并没有功效;一个信用监测网站似乎可以被黑。Equifax是手机消费者金融数据的三家主流信用机构之一,上周刚刚公开了这起耸人听闻的大型数据泄露,据称除1.43亿美国消费者个人数据外,尚有不明数量的加拿大和英国客户的个人数据也受到了影响。9月12日,因自身存储在Equifax数据库中的信息,于2017年5月1日至8月1日期间遭到非授权访问,加拿大受害者对Equifax提起了集体诉讼,称Equifax违反了服务协议,对他们的信息处理不周,侵犯了他们的隐私权,要求4500亿美元的
发布时间:2017-09-18 06:30 | 阅读:117271 | 评论:0 | 标签:牛闻牛评 Apache Struts Equifax 安全漏洞 数据泄露 赔偿 集体诉讼 漏洞

英特尔CPU控制机制存在隐秘开关 可被黑客利用成为后门

研究人员发现为政府客户设置的未公开通融措施俄罗斯科技公司 Positive Technologies 的安全研究员,发现了未公开配置设置,可致英特尔管理引擎(ME)11失效。英特尔ME是被描述为安全风险的一种CPU控制机制。英特尔ME由与平台控制器中枢(PCH)芯片协作的微控制器,以及所集成的外设共同构成,处理外部设备与处理器之间交互的大量数据,因而对主机上大多数数据都有访问权。一旦被黑,ME就会成为后门,让攻击者获得受影响设备的控制权。今年5月,ME上运行的固件应用——英特尔主动管理技术(AMT),被曝存在漏洞。由此,该被黑可能性警报拉响。这一发现促使人们呼吁找到办法来禁用该所知甚少的硬件。当时,电子前沿基金会(EFF)将之称为安全隐患。该技术倡导组织要求找出禁用“该英特尔芯片内部未公开主控制器”的方法,并公
发布时间:2017-08-30 12:20 | 阅读:111052 | 评论:0 | 标签:威胁情报 安全漏洞 管理引擎 英特尔 后门

“黑掉空军”发现207个漏洞 发放13万美元奖金

5月到6月期间黑进美国空军的安全研究员总共拿到了13.34万美元的奖励。“黑掉空军”漏洞奖励项目,让272名黑客针对精选出的公开USAF网站资源下手,寻找并负责任地公开漏洞。“黑掉空军”奖励项目由HackerOne运营,该漏洞奖励平台之前还承办过“黑掉国防部”和“黑掉陆军”漏洞奖励项目。漏洞奖励项目的目标,是纳入第三方安全研究人员来发现安全问题,然后为此支付报酬。从5月30日持续到6月23日的“黑掉空军”奖励项目期间,共有207个漏洞被发现并秘密报告。作为项目的一部分,USAF根据所报告漏洞的严重性和影响,为每个漏洞付出100美元到5000美元不等的酬金。这些安全漏洞的详细信息不在此时公开。HackerOne公关主管劳伦·科斯扎雷克说:“最高5000美元档次的奖金发给高影响漏洞。我们不能公开发给特定黑客的具体奖
发布时间:2017-08-12 20:50 | 阅读:172525 | 评论:0 | 标签:行业动态 众测 安全漏洞 渗透测试 黑掉空军 漏洞

微软“补丁星期二”不再延续 企业如何发现与修复漏洞

微软安全公告为IT管理员提供月度漏洞及相关补丁列表已有几十年历史。但去年11月,微软警示称“补丁星期二”安全公告可能不再延续,2017年4月,这一警示变成了现实。依赖微软安全公告的公司企业,如今只能在安全更新指南门户(SUG)上找到软件漏洞的信息。这一改变,对已不靠周期性查看SUG获取新漏洞和补丁信息的补丁管理员而言,有些困扰。而且,研究分析自身独特环境所需安全补丁的附加时间,也只会延长补丁修复的时间。虽然该门户可按CVE、知识库(KB)文章、产品或发布日期搜索,该过程的改变也将影响到全世界IT管理员和安全人员的日常操作。微软称,SUG具备用户一直以来要求的功能,且允许用户根据自身特定需求进行定制。尽管该门户有很多高级功能,这一改变还是产生了关于补丁管理活动影响的担忧。安全更新指南门户对微软的抗议,有部分与公司
发布时间:2017-08-10 01:05 | 阅读:122561 | 评论:0 | 标签:牛闻牛评 安全公告 安全更新指南 安全漏洞 微软 漏洞

DEFCON上最酷演讲:无线窃听你的家庭网络

今年有黑客破解了联网洗车房,媒体跟踪报道还挺多的。但仔细想想,这不就是黑了个常见的蠢笨机器人么?都用了十好几年的玩意儿,被黑不奇怪。但是有一个演讲令人惊艳,而且之前没人报道过——“CableTap:无线窃听你的家庭网络”。本以为是帮业余黑客看清自家网络情况的DIY课程,真正挺过后却发现,话题范围真的很广,也更娱乐。3名研究员发现了ISP网络设备中的26个漏洞,可以让他们获得美国大多数家庭网络设备的的远程管理权限。CableTap的摘要写道:“我们的研究,在ISP提供的RDK无线网关和机顶盒中,发现了一系列漏洞,涉及厂商包括思科、Arris、Technicolor和摩托罗拉。我们证明了可远程无线窃听流经受影响网关的所有互联网及语音流量。估计有数千万ISP客户受影响。”他们的涉猎范围很广,从逆向Comcast的Xf
发布时间:2017-08-08 15:15 | 阅读:103614 | 评论:0 | 标签:黑极空间 安全漏洞 窃听 网络设备

CVE虽然生的伟大但已落后太多 原因竟然是……

批评者认为,MITRE管理的通用漏洞与暴露(CVE)项目,已远不能实现其分类并识别所有已知漏洞的使命。CVE拥护者称,新模型正弥补该差距。CVE无疑是个伟大的概念:公开发布软件或固件中所有已知漏洞的“字典”,供公司企业查询自身面临风险。然而,在非营利研发组织MITRE发起该项目18年后,关于其效果,有了很多争议。在各处公布的所有漏洞中,商业数据库目前跟踪到了约80%,CVE在60%到80%之间。于是做风险决策的时候,盲区有50%左右。这是很严重的缺失,而且由于组成物联网的设备和随之而来的漏洞持续爆炸式增长,情况只会越来越糟。CVE的识别与分类已落后太多太多。——约书亚·科曼 大西洋理事会网络国策倡议理事在去年9月的一篇文章中,CSO在线高级撰稿人史蒂夫·雷根表示:“CVE系统遭遇了瓶颈和覆盖面空白,数千漏洞未分
发布时间:2017-07-20 01:20 | 阅读:154610 | 评论:0 | 标签:牛闻牛评 CNA CVE MITRE 安全漏洞 编号分配 自动化

公告

九层之台,起于累土;黑客之术,始于阅读

推广

工具

标签云