一周信息安全干货分享【第110期】

 

 

安全资讯


1.CCleanup v5.33 被发现植入恶意代码

思科 Talos 安全团队报告,流行的系统维护软件 CCleanup 被发现植入了恶意代码

2.利用 Subsystem for Linux 攻击 Windows

Windows 10 引入了 Subsystem for Linux(WSL),让用户 在 Bash 终端运行 Linux 可执行文件

3.PyPI 官方库被发现混入了名字相似的恶意模块

Python 官方的第三方软件库 PyPI(Python Package Index)也被发现遭到了类似的攻击

4.安全研究员提议 Security.txt 标准

安全研究员 Ed Foudil 向互联网工程任务组(IETF)递交了一个 Security.txt 草案

5.Google Play 再次发现恶意应用

安全公司 Check Point 的研究人员在官方应用市场 Google Play 发现至少 50 个应用会在用户不知情下订阅欺骗性的付费短信服务和收取费用

6.安全机构评定奇虎360写的StartCom系统是“灾难性的”

火狐发表公开评论,认为奇虎 360 工程师写的 StartCom 程序是灾难性的(security disaster)

7.WordPress 插件出售之后被加入后门

就像 Chrome 扩展出售之后被加入广告程序

8.Equifax 证实黑客利用了未能及时修复的 Apache Struts 漏洞

Equifax 上周曝出 1.43 亿美国用户的敏感信息泄露

9.Windows 10 将允许用户控制应用权限

软件巨人透露将允许用户对应用在设备上能做什么有更多的控制

10.Equifax 阿根廷在线入口的管理账号是 admin/admin

Equifax 上周承认多达 1.4 亿美国用户的敏感信息泄漏,受到影响到还有少部分英国和加拿大用户

11.BlueBorne 漏洞影响 53 亿支持蓝牙的设备

Armis Labs 的研究人员在蓝牙实现中发现了八个漏洞,他们将其统称为 BlueBorne

12.cURL 作者谈后门

Daniel Stenberg 开发的 cURL 是一个用于文件传输的开源库和命令行工具

13.Linus Torvalds 想要攻击者在转向黑暗面前加入 Linux

在洛杉矶举行的开源峰会上,Linus Torvalds 谈论了 Linux 的安全、开发和协作

14.安全公司发现 Xsser mRAT 的新版本 xRAT

移动安全公司 Lookout 的研究人员报告了与间谍程序 Xsser mRAT 有关系的先进移动恶意程序 xRAT

15.微软拒绝修复一个浏览器 bug

微软拒绝修复 Cisco Talos 安全研究人员在 Edge 浏览器中发现的一个安全 bug,称设计就是如此

技术干货


1.CVE-2016-10190 FFmpeg Http协议 heap buffer overflow漏洞分析及利用

FFmpeg Http协议 heap buffer overflow漏洞分析及利用

2.Use DNS Rebinding to Bypass SSRF in Java

如何使用 DNS Rebinding 绕过 Java 中的 SSRF

3.蜻蜓二代“Dragonfly2.0”恶意组件分析报告(上篇)

“Dragonfly”是一个专门以能源电力机构、ICS设备制造厂商、石油管道运营商等为攻击目标的黑客组织

4.取证入门 web篇 

比敌人更了解敌人

5.在一款D-Link消费级路由器上,我发现了10个严重漏洞

研究人员称,D-Link 850L是一款设计糟糕的路由器,存在大量漏洞

6..NET框架0Day漏洞CVE-2017-8759复现过程

.NET框架0Day漏洞CVE-2017-8759复现过程

7.从PHP源码与扩展开发谈PHP任意代码执行与防御

从PHP源码与扩展开发谈PHP任意代码执行与防御

8.攻击SQL Server的CLR库

攻击SQL Server的CLR库

9.Android O 内核加固与缓解机制

本文主要结合代码介绍Android O 引入的新加固与缓解机制的原理与影响

10.如何制作基础认证钓鱼页面?

Responde是一款强大并且简单易用的内网渗透神器

11.ASPX编译dll隐藏shell&Docker Remote API利用姿势

这是很久之前的一次内部分享,整理后分享出来

 

工具与资料


1.D-Link DIR8xx 远程代码执行漏洞

D-Link DIR8xx 远程代码执行漏洞

2.SSRF(服务器端请求伪造)测试资源

项目地址:https://github.com/cujanovic/SSRF-Testing#ssrf-server-side-request-forgery-testing-resources

3.新态势感知系列(1):从态势感知到全方位态势感知

从态势感知到全方位态势感知

4.HTTPS浅析与抓包分析

HTTPS抓包浅谈

5.Kali linux2.0系统安装DVWA渗透测试平台

Kali linux2.0系统安装DVWA渗透测试平台

6.Ichidan

最强暗网搜索引擎,暗网版的shodan!

7.如何构建知识图谱

项目实战:如何构建知识图谱

8.工控蜜罐 Conpot 的进阶玩法

工控蜜罐 Conpot 的进阶玩法

9.一些有趣的代码审计“小”题目

现已加入“Github”豪华午餐

10.自己总结的常规入侵流程脑图

始终坚信,只有深入理解入侵者的真实想法,才是最有效的防御手段

11.软件供应链来源攻击分析报告

360威胁情报中心:软件供应链来源攻击分析报告

发表评论

电子邮件地址不会被公开。