360网络安全周报第194期

安全资讯

电子商务网络攻击的崛起和2019年最大的网络威胁;挖洞经验 | 看我如何发现谷歌电子表格、谷歌云盘和谷歌相册的3个漏洞($4133.7);幽灵病毒hAnt肆虐矿场,矿工每小时损失2000元。
1月7日,四大安全学术顶级会议之一的IEEE S&P 2019 (May 20-22, 2019),又公开了一篇LTE协议栈漏洞有关的论文。针对这篇论文的内容,我们将从其研究方法,漏洞产生原因,和漏洞的危害性进行解读。
“挖矿”是赚取加密数字货币以获利的一种方式,由于设备成本高昂,挖矿木马这种“零成本”的作恶方式便出现了,潜伏在计算机、网页之内,偷偷地利用他人资源为自己挖矿。
微软修复了Windows 7 “非正版”和网络共享问题;知道创宇404实验室2018年网络空间安全报告;澳大利亚房地产行业使用的互联网招聘机构求职信息泄漏;黑客如何攻击朝鲜的 Android 设备。
近年来,为了打击网络赌博,国家各方机构也都在努力。但是,网络赌博这个黑色产业却仍然月入上千亿,这么大规模的资金究竟是如何“名正言顺”的进入赌博幕后操纵者的口袋的呢?
近两年数字经济成为热门话题,比如物联网、智慧城市等概念在新技术驱动下已经逐渐成为现实,但随之而来的安全问题也在迅速增加。
安全公司qualys在systemd中发现三个安全漏洞;Oracle发布2019年1月安全公告;Bashfuscator:一个完全可配置和可扩展的Bash混淆框架;欧盟启动15个免费开源软件项目的漏洞奖励计划。
本文为补天漏洞响应平台、360安服团队、360安全监测与响应中心、360威胁情报中心、360行业安全研究中心合作对2018年数据泄露案例制作的汇总总结。
Qualys安全公司在systemd-journald中发现了3个漏洞:CVE-2018-16864、CVE-2018-16865:内存破坏;CVE-2018-16866:信息泄露(越界读)。
近期360互联网安全中心监控到一款GarrantyDecrypt勒索病毒的新变种开始在国内传播。该勒索病毒也是我们见到的最丧心病狂的勒索病毒之一——不区分文件类型,加密几乎所有类型的文件。
为Fuzzing编写Hyper-V“Bridge”;Fortnite通过不安全的单点登录被黑客入侵;电子邮件OSINT密码查找器;VOIPO数据库暴露了数百万个文本信息;数以百万计的RF工业机器设备可以被黑客远程攻击。
我是如何在主机上破解Play-with-Docker并且远程执行代码;深入研究XSS Payloads;mremap() 中的TLB问题;Jenkins 安全公告。

安全知识

大约在一年前,我决定把我的spring旧床垫换成TEMPUR-Contour Elite Breeze。这个底座宣传的另一个功能是可以通过Android和iPhone应用进行控制。不幸的是,它的Android应用自2014年以来就没有再更新过了。
CVE-2016-1825是IOHIDFamily.kext内核扩展内的一个洞,在OS X 10.11.5以前版本的系统都存在该漏洞,由于允许IOHIDevice重新设置IOUserClientClass属性,导致任意代码执行。
代码审计是使用静态分析发现源代码中安全缺陷的方法,能够辅助开发或测试人员在软件上线前较为全面地了解其安全问题,防患于未然,已经成为安全开发生命周期 SDL 和 DevSecOps 等保障体系的重要技术手段。
Metinfo被爆出存在存储型跨站脚本漏洞,远程攻击者无需登录可插入恶意代码,管理员在后台管理时即可触发。该XSS漏洞引起的原因是变量覆盖,这种情况还是比较少见的,因此打算对这个漏洞进行分析并学习一下思路。
序列化 (Serialization) 是指将数据结构或对象状态转换成字节流 (例如存储成文件、内存缓冲,或经由网络传输) ,以留待后续在相同或另一台计算机环境中,能够恢复对象原来状态的过程。
2018年,挖矿木马已经成为Windows服务器遭遇的最严重的安全威胁之一。2019年,挖矿木马攻击将继续保持平稳,但黑产家族间的合作将更加普遍,“闷声发大财”可能是新一年挖矿木马的主要目标。
随着科技的发展,电话,手机等通讯设备以及互联网的出现和普及,诈骗手段也从早期人与人之间的传统诈骗发展到利用电话,网络的电信网络诈骗。骗子的骗术在不断更新升级。
CNCERT发布了《开源软件代码安全缺陷分析报告——物联网软件专题》。本期报告选取全球20款知名物联网软件进行源代码安全缺陷分析,结合缺陷分析工具和人工审计的结果,评估项目的安全性。
在我们真正开始修改GPO之前,我们需要尝试理解一些关于它们是如何在GPMC和AD中正常更新的复杂问题。因为请相信我,事情并没有看上去那么简单。
2019年1月9日,360威胁情报中心捕获到多个专门为阿拉伯语使用者设计的诱饵文档。360威胁情报中心经过溯源和关联后确认,这是DarkHydrus APT组织针对中东地区的又一次定向攻击行动。
在分析Struts2漏洞的过程中就一直想把OGNL的运行机制以及Struts2对OGNL的防护机制总结一下,最近看了lgtm的这篇文章收获良多,就想在这篇文章的基础上总结一下目前自己对于OGNL的一些理解,希望师傅们斧正。
大家好,上一篇文章小弟发表/解了一个简单的pwn,剩下的2个level也已经有小伙伴帮忙解题了,感觉大家好像都挺喜欢该类型的。这次小弟打算开始写一个新的系列文章。
MIPS 指令集主要使用在一些嵌入式的 IOT 设备中,MIPS 指令集的栈溢出与 x86 指令集的有所不同,所以漏洞的利用方式也不太相同,但是溢出的思路是一样的:覆盖返回地址、劫持程序控制流、构造 ROP chain 、写 shellcode 等等。
12月末,一个朋友跟我说有个样本,让帮忙分析一下。花了一点儿时间分析了样本,发现这个样本来自一个通过修改永恒之蓝攻击脚本传播挖矿木马的攻击流程。
TP-Link最近修补了TL-R600VPN路由器中的三个漏洞,固件版本1.3.0。在与TP-Link协商后,思科公开披露这些漏洞,并给出解决方案,本篇文章对这些漏洞的内部工作方式进行深入研究,并给出概念验证的方法。
在第35届混沌通信大会上 (35C3),今年上大一的 Jonathan Jacobi 发表了题为《从0到 0day》讲述了自己如何从安全基础几乎为零的情况下,用了一年多点的时间在 Edge 浏览器中找到了自己的首个 0day 漏洞。
2018年,区块链项目在这一年上演着冰与火之歌,年初火爆的比特币在一年时间内跌去八成。除了巨大的市场波动之外,区块链领域本身的安全问题也逐渐凸显,与之相关的社会化问题不断显现。
2018年,区块链项目在这一年上演着冰与火之歌,年初火爆的比特币在一年时间内跌去八成。除了巨大的市场波动之外,区块链领域本身的安全问题也逐渐凸显,与之相关的社会化问题不断显现。
Check Point Research发现了Epic Game在线平台上的多个漏洞,攻击者可以借助这些漏洞控制任何玩家的账户,浏览玩家个人账户信息、购买V-Bucks和Fortnite游戏内虚拟货币、窃听并记录玩家在游戏内的聊天信息及隐私对话。

安全活动

1月15日,安全客2018季刊—第4季再度上线,我们对文章的质量严格把关,对品质始终恪守不渝,只愿为安全爱好者带来最好的干货!从1月15日的11点到1月17日的18点,我们还放送出了1300+份定制好礼,赶紧下载季刊阅览吧!
为促进技术交流和学习,研讨行业新技术、新经验、新成果,安胜科技拟于2019年1月在厦门举办“第三届 安胜网络安全技术峰会”