IOActive测试了世界上最著名的一些机器人，发现了一些可被黑客利用的缺陷，有可能被用来造成身体伤害或让某些活动停止。 安全专家表示，世界上最著名的一些机器人存在监听它们的用户、泄露商业机密，甚至被控制、被用于实施身体攻击的风险。这些专家们警告，机器人很容易遭到网络攻击。 网络安全公司IOActive测试了50台机器人，包括软银机器人(SoftBank Robotics)生产的孩子模样的Pepper，以及Rethink Robotics的工业机器人Baxter，结果发现了一些缺陷，黑客可以利用这些缺陷来操纵机器人…
据国外媒体Quartz报道，要是计算机能够理解人们想要解决的问题，并编写代码将其解决，而不像微软Excel那样要在程序内的菜单人工找寻合适的公式，会怎么样？这是一个非常未来主义的想法，但在这方面微软研究院和剑桥大学最近已经取得了进展。在2016年11月的论文中，微软和剑桥大学称它们开发了一种能够自行编写代码解决简单的数学问题的算法。 该算法名为DeepCoder，能够通过研究有哪些潜在的代码组合可以解决问题，来强化自己的能力。（它有点复杂想，下文将会详谈。）然而，这并不意味着该算法从现有软件那里窃取、复制或者粘贴代…
随着MongoDB, ElasticSearch, Hadoop, CouchDB和Cassandra服务器的的沦陷，MySQL数据库成了攻击者的下一个猎杀目标。他们劫持了数百个MySQL数据库（也可能是上千个），删除了存储数据，并留下勒索信息，要求支付0.2比特币的赎金（约为235美元）。 PLEASE_READ.WARNING 攻击由2月12日凌晨00:15发起，在短短30个小时内，攻击者拿下了成百上千个暴露在公网的MySQL服务器。经调查人员发现，在此次勒索攻击中，所有的攻击皆来自相同的IP地址，109.23…
本月初我们曾报道过去年12月卡巴斯基实验室的顶级安全研究人员Ruslan Stoyanov与两名FSB（俄罗斯联邦安全局）官员：Sergei Mikhailov和Dmitry Dokuchayev因涉嫌叛国罪遭俄罗斯当局逮捕的事件。如今此事进一步发酵——这件事可能与一名俄罗斯商人在7年前提交的指控有关，且另有一名前FSB官员Georgy Fomchenkov也因此事遭到逮捕。 7年前的陈年往事 路透社援引知情人士的消息称，7年前发起指控的这名商人名为Pavel Vrublevsky——他是欧洲著名的信用卡支付服务公…
这两天阿里云经典网络安全性的讨论得到了IT圈广泛关注，对此事还未或略有耳闻的吃瓜群众，不妨随扒爷一起全程围观一下吧。 阿里云不同租户不隔离？ 2月24日，微博@一乐在微博中提到了阿里云的安全隐患： Cloudflare搞了个大事，这里顺便也提醒大家。千万不要单独评估一个安全漏洞的危害，只要它能干不应该干的事情，就要警惕。 我们前几天也上了一课，一个比特币挖矿程序利用Redis本地提权的漏洞，把我们一个小集群的缓存机器都搞掉了。虽然漏洞刚出的时候，大家还都在说跟自己没关系，我们的Redis都限制内网访问，但是架不住安…
本系统扫描组件基于nmap，用户通过注册登陆或微信提交任务即可进行扫描,扫描记录入库，用户随时随地可进行下载结果和解析文档、删除任务详细。目前本系统在web、Mobile 、自适应同时支持微信提交扫描任务，服务器2台支持4并发扫描，采用3+1策略（异地3任务，本机1任务）支持在线调度。 使用扫描： 运行截图（仅用于功能演示，切勿进行非授权测试）： 目前支持的扫描格式为： www.pay.re http://www.pay.re 60.205.24.149 https://www.pay.re 60.205…
前言 关于权限维持，我之前写过一篇基于系统端的后门技术文章，如映像劫持啊，lpk之类。当然啦，在拿到权限后，在web端做手脚也是个好办法。 内容目录： - 构造文件包含漏洞 - 隐蔽性脚本木马 - 构造sql注入点 正文 0×01 构造文件包含漏洞 >**本部分概览：** > * 基本的文件包含姿势 > * 制作图片马 > * 构造文件包含漏洞 - **PHP文件包含漏洞介绍** 首先，我们来介绍下何为文件包含漏洞。严格来说，文件包含漏洞是`代码注入`的一种。其原理就是注入一段用户能控制的脚…
E安全3月1日讯 谷歌公司的研究人员发现ESET Endpoint Antivirus for macOS中存在一项高危缺陷，可能被未经授权的攻击者用于通过root权限进行远程任意代码执行。ESET方面已经发布更新以解决这项安全漏洞。 这项被记录为CNNVD-201702-947与CVE-2016-9892的安全漏洞于2016年11月由谷歌安全团队的Jason Geffner与Jan Bee两位研究人员所发现。此项漏洞影响到ESET Endpoint Antivirus 6 for macOS，且已经于今年2月21…
本周二，亚马逊云计算服务出现了较高的错误率，影响了数千个在线服务，包括项目管理工具和费用报告工具等。昨晚受到影响的网站服务有Airbnb、Netflix、Slack、Spotify等。亚马逊AWS报告称，S3服务出现了“高错误率”。亚马逊将S3定位为“简单存储解决方案”，可用于储存数据，管理网络应用，以及提供用户可通过互联网下载的软件。根据SimilarTech.com的数据，S3被近15万家网站使用，包括ESPN和AOL等。 SimilarTech营销总监丹尼尔·巴楚科（Daniel Buchuk）表示：“由于此…
近年来，电信诈骗相关的报道可以说是越发频繁，虽然说在电视上也不断有宣传这些诈骗手法，但是还是会有不少人中招，如何防止被诈骗，不仅考验着普通人的应变能力，对于警方来说也是一种考验。近日据媒体报道，科大讯飞信息科技股份有限公司就研发一种声纹识别系统，能辨别骗子的声音，并即时发出警告。 据报道，在2012年7月9日，安徽省公安厅、公安部物证鉴定中心、科大讯飞3家单位联合建立了公安部重点实验室——“智能语音技术公安部重点实验室”。根据当时的部署，该实验室能为全国公安机关提供语音检验鉴定技术服务，逐步增加语音技术检验鉴定人员…
E安全3月1日讯 美国政府问责局（Government Accountability Office，GAO）上周五发布报告指出，虽然美国联邦政府的工作单独进行，但美国政府在制定保护美国电网的政策、计划和技术方面取得重大进展。 自2013年以来，美国能源部（Department of Energy, DOE）、国土安全部（Department of Homeland Security, DHS）和联邦能源管理委员会（Federal Energy Regulatory Commission, FERC）共同努力实施27…
E安全3月1日讯 卡巴斯基实验室近期发现Adwind远程访问工具（RAT）对100多个国家和地区的1500多个组织机构展开网络攻击。 卡巴斯基表示，攻击影响了多个行业，其中零售与分销行业受影响最大（20.1%），其次是建筑和施工行业（9.5%），航运和物流行业（5.5%），保险和法律服务行业（5%），以及咨询行业（5%）。 Adwind后门已存在数年。卡巴斯基去年表示，2013年至2016年，该后门设法感染了超过44.3万用户。Adwind后门也被称为AlienSpy、 Frutas、Unrecom、 Sockra…
E安全3月1日讯 据国外媒体报道，去年年底，波音公司某雇员不小心泄露了3.6万名同事的个人信息。 这起意外泄露事件发生之后，波音公司通知了这3.6万名员工。去年年底，该公司一名员工将公司电子表格通过电子邮件发送给了并不在公司就职的配偶。这名员工表示希望配偶帮助解决格式问题。 这份文件包含3.6万名波音员工的敏感个人身份信息，包括姓名、出生地、BEMSID和会计部门代码。 波音公司副首席隐私官Marie Olson向华盛顿州司法部长Bob Ferguson发了通知函。二月初，该公司公开披露了这起数据泄露事件。 包括华…
E安全3月1日讯 新加坡国防部2月28日发布消息称，国防部2月初遭遇了一起网络攻击，导致850名国家军人和员工的个人信息被盗，但机密没有外泄。 新加坡国防部长黄永宏（Ng Eng Hen） 国防部表示在I-net系统中发现网络入侵。I-net系统支持网络连接的计算机终端，供员工和军人进行个人通信或互联网访问。国家军人包括新加坡的男性公民。在新加坡，男性公民都必须接受强制性的军事服务，例如军队或警局。 国防部表示，这个专用的互联网平台部署在国防部大楼、新加坡武装部队军营。I-net系统不包含任何机密军事数据。涉密系统…
新华社北京3月1日电 经中央网络安全和信息化领导小组批准，外交部和国家互联网信息办公室1日共同发布《网络空间国际合作战略》（下称“战略”）。战略以和平发展、合作共赢为主题，以构建网络空间命运共同体为目标，就推动网络空间国际交流合作首次全面系统提出中国主张，为破解全球网络空间治理难题贡献中国方案，是指导中国参与网络空间国际交流与合作的战略性文件。 这是中国就网络问题首度发布国际战略。战略指出，网络空间给人类带来巨大机遇，同时也带来不少新的课题和挑战。各国在网络空间互联互通，利益交融，休戚与共。国际社会应携起手来，加…
韩联社3月1日报道，据乐天集团1日消息，乐天中国官网(lotte.cn)前日下午陷入瘫痪，直至记者截稿，仍无法打开。环球网记者登录乐天中国网站后发现，该往仍处于瘫痪状态。截至发稿时为止，仍未恢复正常访问。 韩媒报道称，乐天方面表示，专家经查判断，官网瘫痪为黑客发起病毒攻击所致。 对中国移动和中国联通的有关数据进行分析的结果显示，2月27日和28日乐天中国官网的流量骤增至平时的10-25倍左右。 截至环球网记者发稿时为止，乐天中国官网仍处于瘫痪状态。 乐天有关负责人表示，目前可发现部分网民对乐天官网的个别攻击行为，但…
前言 前段时间在博客写了一篇关于HEVD内核漏洞利用训练的一篇文章，感觉当时做HEVD收获很大，非常推荐这个训练，这是HackSys Team做的一个Kernel Driver，里面包含了大量的常见漏洞，而且漏洞原理都非常简单，考验的就是各种各样的利用方法，推荐在Win10下尝试，有各种各样经典的利用方法，比如gsharedInfo，GdiSharedHandleTable，NtAllocateVirtualMemory，替换token的shellcode等等。 对这个训练的研究学习会对内核漏洞的原理，利用方式，W…
0x00 About 内网机器如下： 说明: 1)Attacker为攻击者,有一个网卡,网段为172.16.0.0,Attacker系统为kali系统 2)RD为第一个已经渗透的目标,有两块网卡,对应172.16.0.0和7.7.7.0两个网段 3)JC有两块网卡,对应7.7.7.0和8.8.8.0两个网段,JC有ms08-067和efs bof两个漏洞,可getshell 4)SK有一块网卡,对应8.8.8.0网段,SK有vsftpd的漏洞,可getshell 5)起初Attacker只拿到RD的msf的shel…
早些时候，世界各地的谷歌账号用户发现遭意外登出，被要求重新进行登录认证。用户在重新输入认证信息后成功登录账号。一时间，此为钓鱼攻击且账号信息被泄露的传言甚嚣尘上。但是谷歌公开反驳了此说法，声明这与钓鱼骗局或安全威胁无关。虽然事件仍在调查中，但此声明还是让用户松了一口气。 谷歌产品论坛的Crystal Cee表示，用户可使用accounts.google.com地址再次登录账号。 Cee还补充说，若用户忘记密码，可使用g.co/Recover链接找回密码。若使用的是两步验证，通过短信接收验证码会有延迟，用户须耐心等待…
绿盟科技发布了本周安全通告，周报编号NSFOCUS-17-08，绿盟科技漏洞库本周新增42条，其中高危22条。本次周报建议大家关注 Linux本地提权漏洞 CVE-2017-6074 。目前漏洞修复补丁已出，强烈建议用户对受影响的系统进行更新。。 焦点漏洞 Linux本地提权漏洞 NSFOCUS ID 35977 CVE ID CVE-2017-6074 受影响版本 Redhat、Debian、OpenSUSE和Ubuntu等主流Linux发行版本 漏洞点评 Linux内核的DCCP协议实现存在缺陷，如果DCC…
你去年去过夏威夷吗？夏威夷旅游公司 Roberts Hawaii 正警告并通知客户——其公司发生了数据泄露 事件，从 2015 年 7 月至 2016 年 12 月购买旅行团服务的顾客都受到影响，泄露的数据包括姓名、地址、电子邮件地址、电话号码、支付卡号、到期日期和安全码。 Roberts Hawaii 公司在收到客户信用卡欺诈费用报告后才意识到问题。这些欺诈费用都发生在客户在 Roberts Hawaii 网站消费后。Roberts Hawaii 发现网络犯罪分子在公司的网络服务器上植入了恶意代码，该代码可在客户…
俄罗斯当局逮捕了两名 FSB 高级网络安全官员以及一名卡巴斯基实验室的员工。他们都由于一份七年前的指控被捕：做出有利于美国的叛国行为。据消息人士透露，嫌疑人可能将秘密信息传递给美国公司 Verisign 以及其他身份不明的美国公司，而这些公司与美国情报机构共享了这些机密信息。 当局还没有公开解释逮捕的原因，但有消息告诉路透社调查机构称，这次逮捕与 2010 年 Pavel Vrublevsky 发起的指控有关，Vrublevsky 是一个俄罗斯商人也是在线支付公司 ChronoPay 的创始人。 美国公司 Veri…
俄罗斯正在禁药危机的泥淖中难以自拔，欧美世界又曝出了有关违规用药的消息。 据2月26日，英国《每日邮报》援引《星期日泰晤士报》报道，奥运四金得主、著名英国长跑运动员莫·法拉的美国教练阿尔贝托·萨拉扎尔，涉嫌对运动员违规使用药物。而莫·法拉的身体也可能会有“潜在的风险”。 据报道，黑客组织“奇幻熊”截获了美国反禁药机构有关此事的报告，并将其透露给了英国媒体。 该报告中称，萨拉扎尔和他的运动员，在没有明显医学需要的情况下，以违规的方式使用了一种名为“左旋肉碱”（L-carnitine）的合法药物，以此来提升运动员的竞技…
美五角大楼宣布开源代码库：正在征询意见 五角大楼宣布了开源代码网站 Code.mil（或 github.com/deptofdefense/code.mil），将用于公开联邦雇员开发的非保密软件代码。 目前该项目还只是一个雏形，还没有公开代码。五角大楼正在征询有关开源代码授权协议的意见，根据代码授权的其中一个提议，这些公开的代码没有版权的。 也就是说美国公民可自由的将这些公开的代码用于私人项目或公共项目。 国防部在GitHub中发布的公告 欢迎来到Code.mil——国防部开放源码实验 美国国防部（DOD）在开源代…
上周四Google与荷兰研究机构CWI宣布首例SHA-1碰撞攻击实例。仅仅一天后的周五就出现了首个碰撞攻击的攻击受害者：WebKit 项目使用的开源版本控制系统Apache SVN，引发业界讨论。SHA-1遭碰撞后，我们的网络空间还安全吗？ 上周五，SHA1 碰撞攻击出现了第一位受害者：WebKit项目使用的开源版本控制系统 Apache SVN（或 SVN）。虽然这个问题是发生在WebKit SVN上的，但它能影响全世界的版本控制系统。 程序测试导致代码仓库崩溃 事情的起因是WebKit的工程师想要看看WebKi…