360网络安全周报第181期

CVE-2018-8495 Edge远程代码执行漏洞简要分析

漏洞分析

RCE

edge

cve-2018-8495

CVE-2018-8495漏洞是攻击者利用Edge的多个漏洞，通过滥用定制的URI方案实现远程代码执行。

ang010ela 2018-10-15 15:18:23

257345次阅读

加州IoT设备网络安全法对物联网法律之影响（附法案翻译）

安全资讯

安全法规

对于美国来说，物联网的发展已经成为其国内科技与经济发展的重要一环。《IoT设备网络安全法》于2018年9月28日由加州州长批准，并将于2020年1月1日起实施生效。

安全客 2018-10-15 16:30:41

255579次阅读 1

【缺陷周话】第5期：越界访问

代码审计

代码安全

360代码卫士团队推出“缺陷周话”系列栏目。每周针对 CWE、OWASP 等标准中的一类缺陷，结合实例和工具使用进行详细介绍，旨在为广大开发和安全人员提供代码审计的基础性标准化教程。

奇安信代码卫士 2018-10-15 17:43:56

169158次阅读 1

10月16日每日安全热点 - 不要让你的电子邮箱被钓鱼邮件攻击

不要让你的电子邮箱被钓鱼邮件攻击；至少3千5百万投票数据在黑客论坛上被出售；FaceBook不会为近期因为数据泄露的受害者提供账户保护。

360CERT热点播报 2018-10-16 10:00:42

155781次阅读 2

“安全大脑”透视“芯片门”，支招应对未来芯片黑产

黑产

安全大脑

芯片

日前，彭博社报道称美国超微公司生产的服务器主板上被发现了不足米粒大小的芯片，这个芯片的功能被人改变，以此建立一条攻击通道，该问题涉及亚马逊、苹果等30家美国高科技公司。

安全客 2018-10-16 11:57:39

278173次阅读 1

EOS DApp 充值“假通知”漏洞简析

EOS 的合约可以通过 require_recipient 触发调用其他合约，设计这样的机制给合约的开发者提供了很大的便利性，但是也带了新的问题。

慢雾安全团队 2018-10-16 16:21:52

211194次阅读

漏洞预警 | 雄迈云服务器内置硬编码账户漏洞（CVE-2018-17919）

2018年10月12日，白帽汇安全研究院监测到网络上出现了最新雄迈云XMeye P2P云服务器出现内置硬编码账户漏洞。

白帽汇 2018-10-16 20:02:45

214634次阅读 2

漏洞预警 | libssh cve-2018-10933预警

漏洞预警

libssh

libssh版本0.6及更高版本在服务端代码中具有身份验证绕过漏洞。攻击者可以在没有任何凭据的情况下成功进行身份验证。进而可以进行一些恶意操作。

360CERT安全通告 2018-10-16 21:00:54

314190次阅读 3

10月18日每日安全热点 - GandCrab Devs为叙利亚受害者释放解密钥匙

GandCrab Devs为叙利亚受害者释放解密钥匙；第三方供应商遭攻击，五角大楼泄露3万雇员和服务人员信息。

360CERT热点播报 2018-10-18 09:50:27

152823次阅读 2

漏洞预警 | Teltonika路由器存在远程命令执行漏洞（CVE-2018-17532）

路由器

Teltonika

CVE-2018-17532

2018年10月中旬，白帽汇安全研究院监测到网络上出现了Teltonika路由器远程命令执行漏洞。该漏洞是由于RUT9XX路由器设备中某些文件存在接受外部输入的参数。

白帽汇 2018-10-18 10:00:19

159032次阅读 5

libssh CVE-2018-10933 身份验证绕过漏洞分析报告

漏洞分析

CVE-2018-10933

2018-10-16 libssh发布更新公告旨在解决CVE-2018-10933的问题

360CERT安全通告 2018-10-18 10:00:59

913900次阅读 3

漏洞预警&致谢 | 360代码卫士助Oracle公司修复Weblogic多个高危漏洞

近期360代码卫士团队安全研究员发现Oracle公司旗下产品Oracle WebLogic Server的多个高危安全漏洞（CVE-2018-3245、CVE-2018-3248、CVE-2018-3249、CVE-2018-3252），并第一时间向Oracle公司报告协助其修复漏洞。

奇安信代码卫士 2018-10-18 14:20:41

1324716次阅读 9

10月19日每日安全热点 - Web应用程序上的客户端注入

Web应用程序上的客户端注入；VestaCP在供应链攻击中受到攻击；Apache Access漏洞可能会影响数以千计的应用程序。

360CERT热点播报 2018-10-19 09:50:04

235572次阅读

漏洞预警 | Drupal Core SA-CORE-2018-006 多个漏洞（包含RCE漏洞）

漏洞预警

Drupal

Drupal于17日发布安全更新SA-CORE-2018-006，修复了5个安全漏洞，其中2个为RCE漏洞。该补丁适用版本为7.x与8.x。其中两个高危漏洞均为RCE漏洞。

安全客 2018-10-19 10:37:03

214474次阅读 3

信息是一道光，泄露到你发慌

安全客季刊

信息泄露

由信息泄露事件引发的矛盾一步步将企业推入信任危机的漩涡，而对于被泄露的信息来说，这个故事才刚刚开始。

全村人的希望 2018-10-19 14:07:26

400667次阅读 5

Github发布2018年度大数据统计报告

大数据

Github

Github是互联网从业者钟爱的技jiao术you社区，里面也聚集了大量的安全爱好者。而就在前几日，Github发布了2018年度的统计报告，来一起看看今年都有哪些变化吧~

安全客 2018-10-19 17:18:31

253192次阅读

Struts2 漏洞exp从零分析

从零开始分析struts2代码执行exp，其中不但包括了struts2自己设置的防护机制绕过，还有ognl防护绕过。

lufei 2018-10-15 11:33:00

303138次阅读 1

开启Wi-Fi就会泄漏身份信息，还有这种骚操作？

网络安全

WiFi

针对近期出现的关于WiFi的安全资讯，对与其相关的技术进行科普讲解。

360天马安全团队 2018-10-15 14:33:52

390113次阅读 1

针对微软活动目录（AD）的七大高级攻击技术及相应检测方法

域安全

活动目录

系统安全

在过去的4年中，对微软活动目录（Microsoft Active Directory）的攻击一直都是Black Hat和Defcon会议关注的一大重点。演讲者们不断讲解新的攻击角度，分享他们的发现，同时也提出检测方法和防御方案。

P!chu 2018-10-15 15:00:02

715637次阅读

持续升级：详细分析MuddyWater APT组织新型攻击技术

MuddyWater

MuddyWater是一个相对新型的APT，在2017年进入我们的视线。根据过去的持续监测，该APT起初主要针对于伊拉克和沙特阿拉伯的政府部门。

P!chu 2018-10-15 16:00:58

228758次阅读

Not a fair game, Dice2win公平性分析

智能合约

代码安全

Dice2win是以太坊上异常火爆的区块链博彩游戏。号称“可证明公平的”Dice2win每日有近千以太下注额，总交易量仅次于etheroll。然而我们分析发现dice2win中所有游戏都存在漏洞，庄家可以操纵结果。

安全客 2018-10-15 16:45:54

162312次阅读 1

漏洞预警 | MetInfo最新版本爆出SQL注入漏洞

白帽汇监测到网络上出现了最新MetInfo的sql注入漏洞。该漏洞是由于攻击者可以绕过MetInfo的过滤sql注入恶意代码的函数，使得攻击者在前台就可以通过index.php页面的参数id进行SQL注入，并且直接获得管理员数据，接管整个CMS。

白帽汇 2018-10-16 11:00:19

297877次阅读 3

攻击者如何使用虚假浏览器更新攻击MikroTik路由器

无线安全

MikroTik

MikroTik是一家拉脱维亚公司生产的路由器和ISP无线系统，在过去几个月中，该产品一直在应对其操作系统存在的数个安全漏洞。通过最新的攻击方法，被感染的路由器可以向用户展示一个虚假的浏览器更新页面。

P!chu 2018-10-16 14:30:36

218855次阅读

上周DREAD计算漏洞等级的Q&A

安全运营

DREAD

漏洞评级

上周二，发出了文章后，收到了不少小伙伴的反馈，很多问题点上进行了进一步的探讨，还有拿具体漏洞来一起进一步解读DREAD模型的应用的。根据一周的收集，挑选了一些意见建议，并且反馈如下。

安惞 2018-10-16 14:37:20

188362次阅读 1

远控木马盗用网易官方签名

远控木马

网易

每逢节假日，各种木马病毒都习惯性蹭热点刷存在感。在临近国庆假期之际，360核心安全监测到木马病毒的传播又活跃起来了，有款远控木马试图借用 “网易”官方签名躲避查杀大肆传播。

360安全卫士 2018-10-16 15:08:03

564900次阅读 9

picoCTFのpwn解析

CTF

writeup

picoCTF

国庆期间得知了美国CMU主办的picoCTF比赛，出于最近做题的手感有所下降，借此比赛来复习下PWN相关的题型（题目的质量不错，而且题型很广，自我感觉相当棒的比赛）

悲离赋 2018-10-16 16:30:56

516892次阅读 8

CVE-2018-17182 VMA use-after-free 详解

linux内核安全

CVE-2018-17182

本文为对CVE-2018-17182漏洞的详细分析。

张政 2018-10-17 10:00:31

296710次阅读 12

瞄准中亚政治实体：针对Octopus恶意软件新样本的技术分析

恶意软件

在过去的两年中，我们持续在监测一个针对中亚用户和外交实体的网络间谍活动，该活动使用的语言为俄文。我们将这一恶意活动背后的组织命名为DustSquad。

P!chu 2018-10-17 11:30:17

177214次阅读

分析基于RTF恶意文档的攻击活动

思科Talos团队最近发现了一款新的恶意软件，该软件会释放名为“Agent Tesla”的信息窃取木马以及另一款恶意软件Loki（这也是款信息窃取木马）。

興趣使然的小胃 2018-10-17 14:30:30

258542次阅读 2

独角兽暑期训练营系列 | 高通芯片安全相关熔丝设定及检测方法研究

高通芯片

随着移动通信网络的发展和智能手机的普及，手机逐渐取代PC成为人们日常计算和通信的主要工具，从早期的GSM网络开始，就出现了一些针对手机或者是通信网络的安全研究及实际攻击案例。

UnicornTeam 2018-10-17 17:33:39

356628次阅读 10

CVE-2018-3211：Java Usage Tracker本地提权漏洞分析

在本文中，我们将深入研究该缺陷在Windows上的利用过程，介绍Java Usage Tracker的工作原理，给出了利用该漏洞所需满足的条件。

興趣使然的小胃 2018-10-18 16:30:36

155758次阅读

攻防对抗：活动目录中的欺骗技术

活动目录

欺骗技术

攻防对抗

几年前，我参与了一系列企业欺骗方案的开发和测试（从红队视角出发），大概持续几个月时间。2018年年初，在一次活动目录课程中，有个学生向我咨询，希望我能测试他们正在评估的3种欺骗产品。

興趣使然的小胃 2018-10-19 10:00:35

260177次阅读 2

Weblogic CVE-2018-3191分析

漏洞分析

Weblogic

CVE-2018-3191

北京时间10月17日，Oracle官方发布的10月关键补丁更新CPU（Critical Patch Update）中修复了一个高危的WebLogic远程代码执行漏洞（CVE-2018-3191）。

安全客 2018-10-19 11:00:03

351469次阅读

针对VestaCP的新型供应链攻击

恶意软件

供应链

VestaCP

VestaCP是一个托管服务控制面板解决方案，最近几个月内，VestaCP的许多用户收到了服务商的警告，表明他们服务器的带宽使用量出现异常。现在我们知道这些服务器实际上被攻击者用来发起DDoS攻击。

興趣使然的小胃 2018-10-19 14:55:14

278733次阅读 1

详解PHPphar协议对象注入技术，反序列化操作快速入门！

BlackHat2018

反序列化漏洞

PHPphar

近日，在BlackHat 2018大会上公布了一种针对PHP应用程序的全新攻击技术。利用phar文件会以序列化的形式存储用户自定义的meta-data这一特性，拓展了php反序列化漏洞的攻击面。

安胜ANSCEN 2018-10-19 16:30:11

283438次阅读 3

10.20 北京 | “技术最前沿·360攻防之道”网络安全训练营活动

360网络安全学院将于10月20日在360总部大厦举办“十月|技术最前沿 360攻防之道”10月训练营活动，针对网络安全爱好者以及相关从业者，为其提供一个能力提升、知识进阶的平台。

360CSTCDC 2018-10-15 17:30:02

158861次阅读

"1"元参加 Live | AI 应用于威胁检测的利与弊

本LIVE通过总结两个真实的线上项目的几个不同方案（专家策略、机器学习、深度学习），并在误漏报、性能、开发成本等方面进行横向对比，来说明AI相比传统方案而言，它的优势在哪里，适用场景有哪些，劣势又在何处。

二向箔安全 2018-10-15 18:00:51

151710次阅读

2018京东HITB安全峰会

全球安全研究人员每年必参加，全球影响力排名前三、长期活跃于欧洲和亚太地区的安全技术峰会——HITB，将首次进入中国，落地北京！

亦云 2018-10-31 18:20:25

380156次阅读 11

双倍积分+5万大奖+HITB门票，MiSRC三重福利助你立即暴富

MiSRC双倍积分活动来了！10月15日~10月31日成功提交在指定范围的漏洞将会获得双倍积分奖励！完成特制大奖任务还会获得50000元大奖！

小米安全中心 2018-10-18 17:30:41

165809次阅读

GeekPwn2018 精彩回顾

GeekPwn

极棒

黑客大赛

作为全球首个关注智能生活的安全极客大赛，GeekPwn始终深耕人工智能安全领域，致力于寻找AI潜藏的风险并不断帮助其完善，并协助AI进行安全性的预演分析，助力AI安全健康成长。

安全客 2018-10-18 18:00:27

378653次阅读 20

信息安全直播公开课活动 | 大咖&老司机带你饕餮盛宴走起

活动

信息安全

直播公开课

免费聆听大咖解析信息安全主流技能的机会来了。零距离接触信息安全行业高级金牌讲师、甲方持证从业者代表、乙方持证从业者代表、高校应届生持证代表，一起探讨分享当下信息安全从业者必备技能、职业发展路径。

谷安培训 2018-10-19 18:00:12

150457次阅读

GeekPwn2018 精彩回顾

GeekPwn

极棒

黑客大赛

作为全球首个关注智能生活的安全极客大赛，GeekPwn始终深耕人工智能安全领域，致力于寻找AI潜藏的风险并不断帮助其完善，并协助AI进行安全性的预演分析，助力AI安全健康成长。

安全客 2018-10-18 18:00:27

378653次阅读 20

安全资讯

安全知识

安全活动