360网络安全周报第162期

安全资讯

近期,我们注意到在VirusTotal中出现了一系列测试提交,基于提交来源和提交文件的名称,我们推测这些文件都来源于摩尔多瓦的一个恶意软件开发组织。
上周,德国慕尼黑应用和集成安全弗兰恩霍夫研究所的四名研究人员发表一篇研究论文,详细说明了恢复正常情况下通过 AMD 安全加密虚拟化 (SEV) 机制加密的数据。SEV 机制旨在加密运行在 AMD CPU 服务器上虚拟机的数据。
Git 开发人员以及多家提供 Git 库托管服务的公司推出补丁,修复了 Git 源代码版本软件中的一个危险漏洞。
Windows 操作系统的 JScript 组件中存在一个漏洞,可导致攻击者在用户电脑上执行恶意代码。

安全知识

最近区块链漏洞不要太火,本文将从以太坊智能合约的一些特殊机制说起,详细地剖析已发现各种漏洞类型,对每一种漏洞类型都会提供一段简单的合约代码来对漏洞成因和攻击方法进行说明。
近期,360 Vulpecker Team对应用市场上流通的热钱包以及冷钱包进行了相关安全审核评估,发现了很多安全问题,在此整理成相关文档发布,帮助钱包APP厂商和用户了解周知其中存在的安全风险,引起大家对安全的重视并且及时自查,避免受到损失。
在本文中,我们将重点分析如何绕过Firefox内容安全策略中的“Strict-Dynamic”限制,该漏洞将绕过内容安全策略(CSP)的保护机制,而在该机制中包含一个“严格动态限制”的Script-src策略。
在接下来的文章中,我们将介绍一个信息窃取恶意软件的特性。每一层隐藏的功能的都是其“饲养者”精心挑选的,以提高其在野外生存的可能性。
近年来,我们看到了被黑客入侵的玩具、水壶、照相机、甚至是电熨斗,黑客似乎无处不在,但还有一块最后的阵地:用于动物们的“智能”设备,比如说用于监视它们的位置的追踪器。
SUCTF 2018 由 XCTF 联赛的合作单位 SU 战队组织,由赛宁网安提供技术支持。作为第四届国际网络安全技术对抗联赛 XCTF 的分站选拔赛之一,本次比赛将采用在线网络安全夺旗挑战赛的形式,面向全国开放。
关于360 Marval Team IOT安全系列文章:该系列包括了多种受众较多并且有趣的设备,我们将在不产生公众影响的前提下将分析报告中的关键部分予以公开。目标是期待在攻防对抗的过程中,提升IOT产品的安全性。
在解析WASM文件时,我们发现并成功地利用了EOS中的缓冲区溢出写入漏洞,攻击者可以在节点服务器解析合约后,将恶意智能合约上传到节点服务器,恶意负载可以在服务器上执行并控制它。
《HackNet》(黑客网络) 是一款模拟终端命令行的黑客模拟游戏,游戏自带中文,可以让你体验到近乎真实的“顶级程序员”黑客体验,可谓是一款高智商解谜游戏。
在近几年之中,银行恶意软件(英文称为Banking Malware或Banker)持续流行。由于反恶意软件产品和网络浏览器不断增强其防范银行木马攻击的保护机制,导致传统的银行恶意软件越来越难以实现欺诈。
距离大型足球赛事—FIFA世界杯开始只有两个星期的时间了。这项顶级赛事已经吸引了全球数百万人的关注,其中也包括少数网络犯罪分子。
个人认为该靶机在实战渗透中可能部分场景会碰到,可能各位大佬以后的实战渗透中也能用得到;本次测试已拿下主机全部用户账号密码权限为止。
作者使用这种不寻常的技术将谷歌浏览器扩展程序和挖矿应用程序推送给受害者。在此博客中,我们将提供此广告软件的技术分析和自定义删除说明。‘’
自从Redis未授权问题获取Linux系统root权限的攻击方法的披露后,由于其易用性,利用该问题入侵Linux服务进行挖矿、扫描等的黑客行为一直层出不穷。
OSCP考试题中,关于缓冲区溢出的分析及利用。
2018年5月23日,Cisco Talos团队披露了一起名为"VPNFilter"的IoT Botnet事件,360CERT团队进行了详细的事件跟踪,并形成本文分析。
GitList 0.6 Unauthenticated RCE 分析,为何使用了 PHP escapeshellcmd / escapeshellarg 函数,依然存在 RCE 漏洞,GitList 的 $branch 参数是否可以再次命令注入?安全开发的一些建议。
所谓的以太坊去中心化应用,指的就是基于共识协议交互的应用。在本文中,我们选择的目标为dApp最常见的某类应用场景:与一个或者多个智能合约交互的常规Web应用。
本文中,360代码卫士团队的安全专家将结合自身在区块链智能合约漏洞方面的研究成果和心得体会,从这几个方面进行深入解读。
在我们以前的研究中,我们谈到了使用单板微型计算机截取认证数据的方法。而这次,我们关注的是可穿戴设备:智能手表和健身追踪器,或者更确切地说,我们关注它们内部的加速度计和陀螺仪。
Proofpoint的研究人员最近发现了一种名为“夜贼(Nocturnal Stealer)”的新型窃取器,最值得注意的是它是一种具有强大的货币化潜力的廉价商品恶意软件。
我在1月底向谷歌报告了一种 reCAPTCHA 绕过方法。实现这种绕过方法需要web应用通过 reCAPTCHA 以一种不安全的方式来处理发送到/recaptcha/api/siteverify的请求,当这种情况发生时,攻击者每次都能绕过保护。
由于自己赛区的铁三比赛在最后一场,于是利用闲暇时间做了一下别的赛区的题目,这里给出5月5号比赛的数据赛做题记录