【知识】12月25日 - 每日安全知识热点

阅读量    49476 |

分享到: QQ空间 新浪微博 微信 QQ facebook twitter

http://p6.qhimg.com/t017313015b51e6034e.png


热点概要:Windows漏洞利用学习资源整理、我如何访问一个VOIP电话的文件系统并将它的铃声改为圣诞歌曲的、通过SQL注入获取恶意主机CC的访问权限、路由器利用框架rext


国内热词(以下内容部分摘自http://www.solidot.org/):


比特币流通币值超过Twitter市值

迪拜警方开始使用犯罪预测软件

美国国会报告称斯诺登与俄罗斯情报机构有接触

大量手游尚未取得版号,从境外发行游戏绕过审批

资讯类:


又到圣诞夜:黑客威胁攻击Xbox Live和PSN平台

http://thehackernews.com/2016/12/christmas-ddos-attack.html

数据库泄露类:


黑客入侵“The Standard Hong Kong”报纸网站,并泄露数据

http://securityaffairs.co/wordpress/54696/data-breach/standard-hong-kong-hacked.html

技术类:


通过浏览器缓存绕过CSP script nonces

http://sebastian-lekies.de/csp/attacker.php

Robust futexes: lost wakeups and design flaws in the glibc/kernel synchronization scheme

https://sourceware.org/ml/libc-alpha/2016-12/msg00950.html

Windows漏洞利用学习资源整理

https://github.com/enddo/awesome-windows-exploitation

Veles:针对二进制数据分析的开源工具

https://codisec.com/veles/

cve-search:支持搜索、索引和管理的CVE搜索引擎项目

https://www.cve-search.org/software/

我如何访问一个VOIP电话的文件系统并将它的铃声改为圣诞歌曲的

http://gosecure.net/2016/12/23/embedded-prank-christmas-spirit-injection-for-your-voip-phone/

通过SQL注入获取恶意主机CC的访问权限

https://thinkingmaliciously.blogspot.co.id/

HITCON創辦人教你三大容器安全術加強網頁安全

http://www.ithome.com.tw/news/109872

rext:路由器利用框架

https://github.com/j91321/rext

SPF, DKIM & DMARC:EMAIL反欺骗技术的历史与未来

https://blog.fastmail.com/2016/12/24/spf-dkim-dmarc/

OpenSSH: agent 协议允许载入任意库漏洞

https://bugs.chromium.org/p/project-zero/issues/detail?id=1009

OpenSSH:如果privsep禁止,可以通过转发unix domain sockets实现本地提权漏洞

https://bugs.chromium.org/p/project-zero/issues/detail?id=1010

macOS < 10.12.2 / iOS < 10.2 Kernel Mach Port Name uref 提权漏洞

https://cxsecurity.com/issue/WLB-2016120133

安全的即时通信IM,除了Signal,还有其他选择吗?

https://www.trustedsec.com/december-2016/wire-messenger-new-competitor-signal/

Noriben:一款开源的小巧的恶意软件分析沙箱

https://github.com/Rurik/Noriben

Pentest Tips:


offcie文档里嵌入恶意marco对目标进行钓鱼攻击一直是比较古老而有用的手法,但是默认offcie宏是关闭的,间接影响了一些攻击效果。原来在xss攻击的时候,也有配合http basic认证实现帐号钓鱼攻击的,这种攻击手法对office文档一样适用,但是需要使用https,这是可以选择自签名证书(会有证书非信任提示)或者去letencrypt申请一个个人证书使用(可以避免自签名证书的提示)。申请方法可以参考:

https://www.pentestgeek.com/phishing/setting-up-an-ssl-certificate-from-letsencrypt-org
分享到: QQ空间 新浪微博 微信 QQ facebook twitter
|推荐阅读
|发表评论
|评论列表
加载更多