【知识】1月24日 - 每日安全知识热点

热点概要：物联网（IoT）安全和隐私建议报告、Cisco：Magic WebEx URL允许任意远程命令执行、逆向TP-Link HS110、ios 10.2.1修复多处重要安全漏洞，建议更新，CVE-2016-7637—再谈Mach IPC,MAC版微软远程桌面客户端远程代码执行

国内热词(以下内容部分摘自http://www.solidot.org/)：

---

印度如何审查电影《xXx》 

软件: Chrome 56将输入密码的HTTP页面标记为不安全 

移动: 三星将手机过热问题归咎于两家电池供应商 

Hugo Barra 从小米辞职 

资讯类：

---

ios 10.2.1修复多处重要安全漏洞，建议更新

https://support.apple.com/en-us/HT207482

HeartBleed漏洞两年后统计仍有20w设备受影响

http://securityaffairs.co/wordpress/55594/hacking/heartbleed-vulnerability-devices.html

技术类：

---

wordpress攻击框架v1.4发布

https://github.com/rastating/wordpress-exploit-framework/releases/tag/v1.4

Shellcode：Mac OSX x86-64

https://modexp.wordpress.com/2017/01/21/shellcode-osx/

Radare2通过防真机器指令去解包Metasploit编码器

https://xpnsec.tumblr.com/post/156211722581/radare2-using-emulation-to-unpack-metasploit

逆向工程优秀资源集合

https://github.com/wtsxDev/reverse-engineering

通过使用Node.js执行ARP欺骗攻击，将你选择的设备从网络中移除

https://github.com/roccomuso/kickthemout

从一个假的比特币钱包到java木马

https://blog.malwarebytes.com/cybercrime/2017/01/from-a-fake-wallet-to-a-java-rat/

MAC版微软远程桌面客户端远程代码执行(PoC,video)

https://www.wearesegment.com/research/Microsoft-Remote-Desktop-Client-for-Mac-Remote-Code-Execution

https://youtu.be/6HeSiXYRpNY

OracleopenJDK运行环境1.8.0_112-b15 JAVA序列化拒绝服务

https://www.exploit-db.com/exploits/41145/

从一个webshell到逃逸docker容器到主机的案例

https://remotephone.github.io/2016/12/28/attacking-yourself-first.html

通过ssrf利用内部的tomcat服务器

https://blog.0daylabs.com/2017/01/22/smart-tomcat/

Cisco：Magic WebEx URL允许任意远程命令执行

https://bugs.chromium.org/p/project-zero/issues/detail?id=1096

物联网（IoT）安全和隐私建议报告

https://bitag.org/documents/BITAG_Report_-_Internet_of_Things_(IoT)_Security_and_Privacy_Recommendations.pdf

逆向TP-Link HS110

https://www.softscheck.com/en/reverse-engineering-tp-link-hs110/

LIBBPG BGP图像解码代码执行漏洞

http://www.talosintelligence.com/reports/TALOS-2016-0223/

CVE-2016-7637—再谈Mach IPC

http://turingh.github.io/2017/01/10/CVE-2016-7637-%E5%86%8D%E8%B0%88Mach-IPC/