4 月 5 日消息，日前苹果通知用户在 iOS 10.3 中存在一个小问题。因为这个问题，用户设备在已经关闭的某些 iCloud 服务会意外地重新激活，目前有一小部分用户会受到这个问题的影响。要解决这个问题很简单，苹果提醒用户进入 iOS 设备应用的 iCloud 菜单，关闭你不需要的服务即可。 日历、通讯簿、备忘录等 iOS 原生应用都是与 iCloud 相连接的。不过有些用户不想将自己的数据上传到网络上。另外，打开 iCloud 还会产生二次影响，比如 iCloud 照片库打开时，禁用与本次文件夹照片同步的功能…
3月27日华南理工大学的研究人员公布了IIS6的一个栈溢出漏洞（CVE-2017-7269），在2003系统下开启WEBDAV的情况下，可以远程获取Network Service权限。 在尝试调试利用此漏洞的时候，我遇到了一些问题并进行了解决，现在把调试和解决方法记录下来作为学习笔记，以便日后总结复习。 漏洞简析 此漏洞出现在httpext.dll的ScStoragePathFromUrl，当发送PROPFIND请求后，IIS会把请求交给WEBDAV的扩展httpext.dll来处理，最终调用到HrCheckIfH…
重庆商报讯 信息时代下，很多人都会不同程度地接触到他人的个人信息。如果未经同意而将这些个人信息予以泄露、贩卖，会承担怎样的法律后果？渝北男子易某就利用网管的便利，与男子严某窃取公司上万条客户信息，并转卖给他人。近日，渝北区法院审结了这起侵犯公民个人信息罪案，被告人分别被判处9个月至1年不等的有期徒刑，同时被判处罚金。 去年4月，易某利用担任重庆某科技有限公司（以下称科技公司）网络管理员的职务便利，掌握了该公司计算机系统的登录账户和密码。随即，易某在其住处使用该账户和密码，多次进入科技公司的计算机系统，窃取在公司购买…
最近公布的CIA资料揭示了情报机构入侵三星智能电视的能力，但三星生态系统的缺陷似乎更加深入。安全研究人员准备公布三星Tizen操作系统当中多达40个零日漏洞。三星在一系列电视，智能手机和手机上使用Tizen操作系统，这些漏洞将允许攻击者远程攻击设备。 Tizen在大约3000万台电视机上运行，而三星计划到今年年底前有1000万部手机运行该系统。三星已经试图全面转移到Tizen上，以此减少对Google Android的依赖，但很显然，已经为三星Galaxy系列等设备做好准备的Tizen并不安全。 以色列研究员Ami…
挪威着名的末日种子库正在得到一个新邻居，它被称为“北极世界档案馆”，其目的类似于末日种子库，在北极冻土带中提供一个遥远的，坚不可摧的家园，让存在在其中的数据免受受自然灾害和全球冲突等威胁。 虽然全球种子库由希望保护全球作物多样性的慈善机构资助，但世界档案馆是由挪威科技公司Piql和挪威国有矿业公司SNSK创立的营利性企业。档案馆今年3月27日开放，巴西，墨西哥和挪威政府成为第一批客户，将各种历史文件的副本存入保险库。 这些数据存储在由Piql专门为此任务开发的光学胶片中，具体来说，将PDF，JPG，TIFF等文件转…
近年来，互联网域名价值逐年走高，部分投资者通过炒卖域名获益丰厚。日前，东莞网络从业者刘先生名下63个域名一夜之间被盗，随后部分域名被转卖。刘先生自称，按照当前市场价值，他的失窃域名总价值过千万元。令当事人困惑的是，由于互联网域名交易全部实行电子账户交易，谁掌握了账户密码和注册登记的个人信息，谁就可以将之出售，这让他无法寻求有效的途径追回资产。 有关专家认为，互联网域名失窃时有发生，包括国内一些知名网站，一旦失窃维权困难重重。由于至今没有绝对成熟的技术可以防范，因此，除了所有人灵活机动地进行安全设置之外，也建议交易平…
0×01前言 现今由于易语言的出现，中文编程的门槛越来越低，虽然很多人对此不屑一顾，但不得不说，这门语言的出现，大大降低了黑产行业的门槛。易语言编写简单，入门快，再加上各种易模块，使得简单几行代码就能实现一些强大的功能。据不完全统计，90%以上的游戏辅助和各类抢购软件都出自易语言开发，大量恶意程序也出自易语言之手。早在2011年亚洲反病毒大会上，微软工程师JIM就针对易语言程序的逆向进行了演讲，使得易语言程序的分析变得简单。笔者搜集了部分相关资料，通过对易语言程序结构的学习，分析了一款刷流量的恶意软件。 0×02运…
六个月前，Google发布了一项针对Android系统的入侵奖金计划，该计划提出只要有谁可以在仅知道受害者的电话号码和电子邮件的前提下远程侵入安卓设备，那么将会获得谷歌提供的20万美金的高额奖金。不过令人尴尬的是，该奖金计划至今无人问津。 虽然这听起来像是个好消息，像是证明了安卓系统足够的安全性。但是真的是因为这个原因，才导致的该计划遭人冷落吗？其实事实并非如此，早在该计划提出的初期就有人指出，20万美金的奖金实在太低，因此也不会有人愿意参与该入侵奖金计划。 一位用户在去年九月份在原公告下，如是回复：“如果可以实现…
E安全4月5日讯 普华永道与BAE Systems（BAE系统公司，世界第三大军工企业）联合发布了一份名为《以云为跳板——新一轮持续性全球网络间谍活动》的报告，怀疑某个来自中国的黑客组织可能正是一系列针对托管服务供应商之攻击活动的幕后黑手，而其计划利用此类方式从托管服务商之客户手中窃取知识产权。 这一被称为APT10（也被称为石熊猫）的黑客组织利用自定义恶意软件与鱼叉式网络钓鱼攻击获取受害者系统的访问权。 一旦APT10渗透进网络，就会进行侦查确保在部署mimikatz（抓取Windows密码的工具）或PwDump…
E安全4月5日文 公开发布对于黑客活动的研究成果虽然能够有效提升网络安全企业的声誉，但同时却有可能扰乱联邦政府执法机构的相关活动，这一问题似乎仍有进一步恶化的趋势。 来自各大网络安全厂商的威胁情报报告往往包含大量信息（且多数公开发布）足以详尽到可以彻底打乱由政府主导的网络调查工作详尽，这已经过各行业专家、前任执法机构工作人员以及情报官员的证实。FBI网络部前任副主任詹姆斯-特雷纳（James Trainor）表示此类问题“每过几个月”就会出现一次。 特雷纳及其他多位官员在接受采访时拒绝透露具体企业与事件名称，但他们…
美国数据公司CB Insights最新发布的一份报告指出，以色列网络防御企业的数量位居全球第二，仅次于美国。报告列出了2017年网络安全创新中最具影响力的9大领域，以及30家拥有领先技术、并有潜力塑造未来网络安全格局的创业公司。 这份报告列出了2017年网络安全创新中最具影响力的9大领域，以及30家拥有领先技术、并有潜力塑造未来网络安全格局的创业公司。 这份报告基于量子加密、防欺诈安全、汽车安全、物联网安全、网络保险、移动安全、自主系统、关键基础设施安全和预测智能等多个方面对技术公司加以评估。 这份报告提到了3家以…
在互联网，各种钓鱼和恶意广告骗局日益增多，其中一种知名类型的骗局就是“客服支持式骗局（Tech Support Scam）”，主要方式为诱使用户相信其电脑存在问题，并请求你跳转网页来“修复”电脑。微软近日发布博文详细介绍了几种常见骗局，并阐述了如何对付它们的方案，即“使用最新微软产品” 首先是常见的恶意骗局FakeBSoD类攻击，研究人员指恶意攻击者先在Google的AdWords上投得 YouTube这一热门关键字词，并让恶意广告置于搜索结果的最顶端显示。表面看起来广告将用户导向YouTube网站，然而当用户点击…
谷歌旗下 Project Zero 安全研究人员发现了一个与博通（Broadcom）Wi-Fi 芯片有关、复杂且令人不快的Bug 。鉴于 Broadcom 为 iPhone、Nexus、三星等公司的多款设备供应 Wi-Fi 芯片，这一漏洞的影响非常之大。根据 Project Zero 研究员 Gal Baniamini 在博客上披露的详情：结合一系列漏洞手段，攻击者将可仅通过 Wi-Fi 设备、且无需用户交互，即可发起攻击。 简而言之，如果你与攻击者处于同一个 Wi-Fi 网络（比如一个公共热点），那它将在不被用户…
E安全4月5日讯 人们一般会认为关键基础设施厂商会十分注意安全，就算不是真的在乎，那也会假装很在意。目前，工控行业的安全漏洞引发多方关注，法国施耐德电气（Schneider Electric）过去就曾被披露存在安全漏洞，并且被提醒：电气开发人员切勿使用硬编码密码！ 尽管如此，施耐德电气仍在重蹈覆辙。这次，施耐德莫迪康（Schneider Modicon）TM221CE16R 固件1.3.3.3就出了纰漏。若不借助新的固件，用户根本没办法解决这一问题，因为他们使用的是硬编码密码，因此无法修改密码。 上周星期五下午，某…
曾经主要作为投资产品的比特币，如今越来越多日本实体店将其作为一种结算手段使用，这将促进这种虚拟货币在日本的普及。目前，日本国内支持比特币结算的店铺约有4500家。据《日本经济新闻》5日报道，大型电器零售连锁bic camera和日本最大比特币交易所bitFlyer合作，将从7日起在bic camera位于东京的有乐町旗舰店以及bicqlo bic camera（bic camera和优衣库共同运营的商业设施，简称bicqlo）新宿东口店试运行比特币结算系统。 结算上限暂定为相当于10万日元（1美元约合110.6日元…
网易科技讯 4 月 1 日消息，据 Venturebeat 报道微软近日宣布，将关闭开源软件托管平台 CodePlex。微软 2006 年推出这项服务，并决定在今年 12 月 15 日将其关闭。 微软公司副总裁布莱恩·哈里（Brian Harry）在博文中写道，人们将可以下载他们的数据档案，微软正与面向开源及私有软件项目的托管平台 GitHub 合作，给用户提供“简化的进口体验”，代码和相关内容都将转移到 GitHub 上。简单来说，GitHub 赢了！ 哈里写道：“过去多年中，我们已经看到许多惊人的选项起起落落。…
据外媒 3 日报道，日本政府计划与民间企业一同研发卫星通信防御系统，通过数据的动态加密来保护卫星和地面站点之间的信息传输，使卫星免遭黑客网络攻击。项目能否获得通过将在今年夏天得到最终确认，并纳入 2018 年财政预算当中。 据悉，这一雄心勃勃的研发项目将由国家信息通信技术研究所负责，隶属于政府、行业和学术机构。日本政府计划用 5 – 10 年时间进行开发。 政府方面称，卫星使用无线电波与地面基站进行通信，若被黑客拦截将导致不可预测的后果。通过解码加密数据，黑客便可窃取信息、操纵或控制卫星。日本将研发独立的卫星通信技…
想预见未来？不如想象一下装载了所有人面孔的数据库吧！ 面部识别技术代表了警方和政府重要的不可避免的识别方法。不幸的是，这东西基本上没有监管，容易出错，且不安全。 上个月美国国会众议院监督及政府改革委员会举行的一场听证会上，议长杰森·查菲茨承认了面部识别技术的潜在价值，但也表达了对其使用方式的担忧。 查菲茨称，该技术十分容易出错，FBI面部识别搜索中1/7的结果都是错误的，尽管正确的匹配图像就在数据库中，还是把无辜的人给推出来了。政府保护该数据的能力也值得怀疑。 “我不相信他们能保证这些信息的安全。” 问题焦点在于：…
W3C 正准备接纳加密媒体扩展（EME）为 Web 标准。EME 由 Google、Microsoft 和 Netflix 等公司的工程师开发，旨在让浏览器无需插件播放 DRM 保护的多媒体内容。WWW 之父蒂姆 · 伯纳斯 - 李（Tim Berners-Lee）已经公开表态支持 EME 标准，但自由软件基金会的活动人士不想现在就放弃。 他们呼吁支持者在 4 月 13 日前打电话给伯纳斯 - 李爵士，因为当天他将决定批准或反对 EME 作为 Web 标准。 伯纳斯 - 李此前已经做过解释，即使他反对实际上也无济于…
对于移动平台来讲，昨天也许是一个里程碑式的日子。据来自分析公司Statcounter的研究发现，从网络使用上看，安卓（Android）首次超过Windows成为第一大操作系统。在2017年3月期间，从Statcounter的网络活跃度看，谷歌的安卓系统占比37.93%，超过了微软的Windows系统的37.91%。 虽然数字差距微乎其微，但这已经足够说明问题，尤其是从历年来的趋势上看。见下图。 Statcounter的发现是基于其从250万个网页获得的数据，并声称为此生成了超过每月150亿次页面浏览量，以此跟踪了两…
看来微软遭遇了一个巨大的技术问题，导致其Windows Time Service（Windows时间服务）向世界各地的众多用户和数据中心发出错误的时间，在某些情况下比实际时间差了将近1个小时。虽然微软似乎在一定程度上保持对这种情况的控制，但其服务器仍然未完全同步。 Windows机器和Internet Information Services（互联网信息服务）服务器最有可能受到错误的影响。 几个小时前，Reddit和Twitter上的众多用户首次发现这个问题，但目前这个问题仍然存在。目前还不清楚导致该问题的原因，但…
www.messenger.com是Facebook旗下即时通讯软件Messenger官网，该网站中添加了基于随机数认证（ nonce based login ）的Facebook登录服务，如果用户当前是Facebook登录状态，则可以直接以Facebook身份登录messenger.com。然而，由于随机数为用户生成了访问messenger.com的会话cookie，这种机制可能会让当前已登入的Facebook用户构造恶意随机数（nonce）和URL，使访问发生跳转。另外，在此过程中，由于当前的facebook.…
E安全4月4日文 在探寻威胁模式的生命之旅中，人们正处于测试阶段。从分析需求、资产和威胁，到设计通用的可重用威胁模式，并在安全监控平台实现这种模式，人难免会犯错。 19世纪英国著名艺术家约翰·罗斯金曾说， “品质从来靠的就不是偶然机遇，唯有勤奋才能打造卓越品质”（Quality is never an accident，it is always the result of intelligent effort）。 因此，结构良好的精确测试过程对验证模式是否正确实现并确保有效解决攻击场景至关重要。 即使处于测试阶段，…
90后小伙张帆为了讨好女友，恶意侵入某化妆品公司销售App后台，篡改数据后以几分钱的价格骗购单价数百甚至上千元的化妆品，请各地网友代收后转寄给他，再由他交予女友在微店上销售。张帆在短短20天内作案41次，仅花了几元钱骗购了价值7万多元的化妆品。3月31日，上海市静安区人民检察院以诈骗罪对张帆提起公诉。 初中毕业生成游戏安全员 尽管只有初中毕业，92年出生的张帆对计算机却始终保持着浓厚的兴趣，尤其喜欢打游戏，对各类游戏及后台的各种数据非常敏感。他自述，两年前自己孤身一人到北京当起北漂，凭借在网络游戏方面的特长，成功获…
继世界反兴奋剂机构之后,国际田联也被网络黑客组织“APT28奇幻熊”给“盯”上了。 总部位于摩纳哥的国际田联3日发布公告,称“APT28奇幻熊”2月21日通过未经授权的远程途径危及其存有运动员“治疗用药豁免”申请的服务器。 国际田联今年1月联系到一家英国网络安全公司,对国际田联系统进行技术性调查,这家公司随后发现国际田联的系统遭到攻击,黑客组织从文件服务器中取出关于运动员“治疗用药豁免”的元数据,并将这些元数据存储到另一个新建文件中。 国际田联表示,尚不确定有经常盗取相关信息的行为,但黑客组织的兴趣和目的显而易见,…