【知识】12月09日 - 每日安全知识热点

热点概要：更多的exploitkit开始把利用代码存在图片中、Yahoo邮箱存储型XSS、Roundcube 1.2.2 远程命令执行漏洞漏洞分析

国内热词：

---

蓝牙5正式到来

为星际飞船开发能自我修复的芯片

索尼联网安全探头发现后门账号

Pebble证实被收购，宣布退出硬件业务

中国要求网游公布游戏内虚拟道具的抽取概率

资讯类：

---

更多的exploitkit开始把利用代码存在图片中

http://thehackernews.com/2016/12/image-exploit-hacking.html

技术类：

---

Roundcube 1.2.2 远程命令执行漏洞 漏洞分析

http://paper.seebug.org/138/

(译)Python的隐藏特性(StackOverflow)

http://pyzh.readthedocs.io/en/latest/python-hidden-features.html

Yahoo邮箱存储型XSS

https://klikki.fi/adv/yahoo2.html

JXBrowser JavaScript/Java bridge 中的RCE漏洞

http://blog.portswigger.net/2016/12/rce-in-jxbrowser-javascriptjava-bridge.html

Cobalt Strike 3.6 – 提权之路

http://blog.cobaltstrike.com/2016/12/08/cobalt-strike-3-6-a-path-for-privilege-escalation/

postMessage的陷阱

https://labs.detectify.com/2016/12/08/the-pitfalls-of-postmessage/

阻击沙盒逃逸

https://www.virusbulletin.com/uploads/pdf/magazine/2016/VB2016-Chailytko-Skuratovich.pdf

PortEx：分析PE文件的java库

https://katjahahn.github.io/PortEx/

PHPKit 1.6.6:代码执行漏洞（需要有权限的账号）

https://blog.ripstech.com/2016/phpkit-code-exection-for-privileged-users/