随着MongoDB, ElasticSearch, Hadoop, CouchDB和Cassandra服务器的的沦陷，MySQL数据库成了攻击者的下一个猎杀目标。他们劫持了数百个MySQL数据库（也可能是上千个），删除了存储数据，并留下勒索信息，要求支付0.2比特币的赎金（约为235美元）。 PLEASE_READ.WARNING 攻击由2月12日凌晨00:15发起，在短短30个小时内，攻击者拿下了成百上千个暴露在公网的MySQL服务器。经调查人员发现，在此次勒索攻击中，所有的攻击皆来自相同的IP地址，109.23…
0×01 前言 之前发了一篇关于反射DDOS攻击原理以及反射资源扫描的文章，本来今天的这个应该并到那篇文章里，共称为反射DDOS攻击扫描与利用，但是我怕这样做会教坏小孩子，我发第一篇DDOS文章的时候freebuf就502了。。。。。凑巧了，弄得我都不敢发利用代码了，但是我想了一天以后我觉得我还是发出来吧，毕竟我写的也不好，没必要藏着掖着的，我还会把payload去掉，让大家自己填写，这就不算是我搞破坏了。废话不多说了，赶紧发完下班了。 0×02 代码的使用方法 首先，我这是在linux环境下写的，开始我用wind…
前言 用过暴力破解工具 hashcat 的都知道，这款软件的强大之处在于它能充分利用 GPU 计算，比起 CPU 要快很多。所以在破解诸如 WiFi 握手包、数据库中的口令 Hash 值时，能大幅提高计算效率。 当然 GPU 仍属于通用硬件，显然还不是最优化的。要是为特定的算法打造特定的硬件，效率更是高出几个量级。比特币矿机就是很好的例子。 硬件的仍在不断进步，系统安全等级若不提高，暴力破解将会越来越容易。因此，一种能抵抗「硬件破解」的 Hash 算法，显得很有必要。 时间成本 在探讨如何对抗硬件之前，先来讲解过去…
国产软件往往会申请与之功能不符的权限，读取着用户手机信息，开机后就驻足系统，这些对于注重隐私的用户来说都是问题。如何“干净”地安装国产流氓软件呢？笔者整理了一些思路供大家探讨。 国产app的全家桶问题一直被大家诟病，一个应用启动后就会“唤醒”其“家族”内的其他应用，有时还会通过其他方式确保应用始终在后台运行；与此同时，很多应用还会申请与之功能完全不符的权限，这些严重破坏了Android系统的体验。 要获得一个纯净的体验，我们需要解决的是两种问题，首先是软件自启动、驻足后台、频繁唤醒；其次是应用对手机信息的读取。对应…
为了揪出白宫内部向媒体通风报信的员工，美国总统唐纳德·特朗普的发言人肖恩·斯派塞突击检查了几十名员工的手机，誓言将严打泄密者。令白宫尴尬的是，这一试图“封口”的做法也迅速地传进媒体的“耳朵”。美国多家媒体26日爆料，作为白宫新闻秘书，斯派塞把20多名员工叫到办公室开“紧急会议”，表达对泄密行为的失望。他要求这些员工拿出工作手机和私人手机，查看是否通过加密、阅后焚毁软件暗中同记者联系。 “政治”网站报道，一名知情者说，这些员工一进门就按照指示把手机放到桌子上。身上所有电子设备被逐一搜查。斯派塞在此之前咨询过白宫法律顾…
E安全2月28日讯 vBulletin（简称vB）是世界上用户非常广泛的PHP论坛，很多大型论坛都选择vBulletin作为自己的社区。然而最近有消息指出，该程序旧版本中存在的严重安全漏洞允许黑客轻松入侵任何未升级至最新版本的论坛当中。 最近，一位名为“CrimeAgency”的黑客在Twitter宣称，其已经成功入侵了总计126个基于vBulletin的网络论坛并窃取到相关管理员及注册用户个人数据，且计划将这些资讯泄露至某地下黑客论坛当中。 这部分数据以.txt文件的形式被上传至入侵表单当中 此番黑客攻击发生在2…
E安全2月28日讯 美国国防部（DoD）宣布推出Code.mil，这是一个开源计划，允许世界各地的软件开发人员合作，为美联邦编写的非保密代码做出贡献，从而支持国防部项目。 美国国防部推出Code.mil网站（美国国防部的开源实验） 美国国防部与GitHub合作，尝试促进私营部门软件开发人员和联邦雇员在国防部内部构建的软件项目有更多合作。Code.mil的URL将用户重定向到GitHub代码托管平台，其中将包含国防部的一系列项目代码，供软件开发人员查看，并提出修改建议。目前项目还只是一个雏形，还没有代码公开。 美国国…
E安全2月28日讯 上周提交给英国议会监狱和法院法案（Prisons and Courts Bill）将允许移动网络在监狱外部署IMSI捕捉器监控手机用户。 IMSI捕捉器是一款监控设备，可用来拦截移动电话流量、通话，并追踪移动手机用户的动向。IMSI捕捉器可充当伪造手机信号塔（位于移动电话和服务提供商信号塔之间）实施“中间人”（MITM）攻击。部署IMSI捕捉器旨在防止、侦查或调查移动手机在监狱的使用情况。 这是一项新举措，因为在过去，按照2012监狱法（无线电话干扰）（Prisons (Interference…
据美国彭博社2月27日报道，印度2009年创建了一个生物识别系统收集公民个人数据用于政府福利发放，但该系统并不十分完善，信息泄露的风险值得担忧。去年十一月印度又开始逐步推行一项新计划希望减少现金交易活动，更多人的个人信息将进一步被收录到上述系统中，但此举或意味着印度更多人的信息可能有遭泄露的风险。 印总理莫迪团队投票竞选经理辛瓦姆•辛格上周收到一封邮件，内容包括姓名、地址、电话号码、银行流水以及金融投资记录，但这些信息没有一个是关于他的。这封邮件来自印度的全国性生物识别项目——“独特身份系统”。这些信息似乎是属于一…
几周前谷歌Project Zero公布了其在Windows 10中发现的一个漏洞，微软承诺将通过3月14日的例行Windows安全补丁提供修补。而现在，Project Zero团队再次对外公布了一项微软相关的安全漏洞，此次为IE/Edge浏览器相关的漏洞“CVE-2017-0037”，由该团队的Ivan Fratric发现，如果被黑客利用将可执行任意代码，Fratric还公布了概念验证式破解演示。 概念验证式破解中，Fratric使用了Windows Server 2012 R2系统的64位IE版本，32为IE以及…
提到手机上的安全威胁，很多人首先想到的是诈骗电话、诈骗短信，手机木马似乎在公众视野中正在淡去。但是，手机木马威胁力真的降低了吗？近日，360手机卫士发布了《2016年安卓恶意软件专题报告》，就2016年恶意软件总体态势、流行木马、开发技术、传播技术、移动黑产进行了研究探讨，发现2016年钓鱼软件、勒索软件、色情播放器软件等成当红木马，从整体态势看，恶意软件仍旧以每天70万人次的感染量侵袭手机用户。 手机木马进入平稳高发期 仍以“金钱”为目的 如今恶意程序的整体数量和感染量都在逐渐减少，360手机卫士报告显示，20…
新的报告表明，对卡巴斯基实验室计算机事件调查组组长Ruslan Stoyanov以及俄罗斯联邦安全局的另外两名官员提出的叛国罪指控与7年前当地商人的指控有关。路透社报告说，调查相关的资料表明，商人Pavel Vrublevsky，卡巴斯基专家和其他两名国家安全官员被怀疑向美国Verisign公司以及其他身份不明的美国公司传递秘密。 该信息最终以美国情报机构寻求收集更多关于俄罗斯的信息结束。2010年俄罗斯指控俄罗斯商人Pavel Vrublevsky将俄罗斯国家机密泄露给美国公司。最初斯托扬诺夫，与俄罗斯联邦安全局…
Google和Centrum Wiskunde & Informatica（荷兰国家数学和计算机中心，CWI）的研究人员完成了针对第一例SHA-1（安全哈希算法）真实世界的碰撞攻击，创造了两个hash值完全相同但内容截然不同的文件。 1995年，首次引进了SHA-1算法。2005年才宣布了针对加密哈希函数的首批攻击。这些攻击经过了数年演变。2015年，研究人员透露，通过使用亚马逊EC2云服务，可将SHA-1碰撞攻击的成本降至75,000–120,000美元。 尽管谷歌、Facebook、微软和Mozilla…
本周，Netflix发布了Stethoscope应用。这是一款为用户提供清晰明确的安全建议的web应用，为用户的计算机、手机和平板保驾护航。 Stethoscope是Netflix“聚焦用户安全”方法的一部分。它的理念是：为员工提供可行的信息和低摩擦的工具，好过于实施铁腕政策。Netflix坚信，当无需面对太多规则和流程时，员工具有更大的创造力。这就是Stethoscope扫描设备并提供安全措施建议，但允许用户自行择时处理的原因。 Netflix安全评估工具Stethoscope Stethoscope分析设备的硬…
谷歌公布了另一个未修补的 Windows 安全漏洞详细信息，根据谷歌的 Project Zero 计划政策，该漏洞在通知对方 90 天后仍然不修补，那么谷歌将公布此漏洞。这一次，漏洞存在于微软 Edge 和 Internet Explorer 浏览器的一个模块当中。谷歌工程师 Ivan Fratric 发布了一个概念证明，这个漏洞可以使浏览器崩溃，为潜在的攻击者获得受影响系统的管理员权限打开了大门。 Fratric 在 Windows Server 2012 R2 上对 64 位的 Internet Explore…
ASERT( Arbor 安全工程响应小组 )研究员对恶意软件 Shamoon 2 进行了分析发现 C&C 基础设施以及感染过程的更多细节。 2012 年，Shamoon 首次被发现对沙特阿拉伯的目标企业展开攻击，其中的受害者，包括石油巨头阿美石油公司（Saudi Aramco）。在针对阿美石油公司的攻击中，Shamoon 清除了超过 3 万台计算机上的数据，并用一张焚烧美国国旗的图片改写了硬盘的主引导记录（ Master Boot Record，MBR ） Shamoon 2 则在 2016 年 11 月…
由西门子公司委托进行的一项新研究显示，美国的石油和天然气行业在很大程度上没有做好降低运营技术（OT）环境中的网络安全风险的准备。 该调查由 Ponemon 协会进行，涉及 377 人，这些受访者的工作都是负责处理运营技术中存在的网络风险。其中 68％ 的受访者承认在过去一年中至少遭受过一次网络事件，造成 OT 中断或机密信息丢失；只有 41％ 的受访者承认做到了持续监控所有的工业基础设施，注重网络安全、降低威胁风险。更令人担忧的是，在 OT 环境中约 46％ 的网络攻击未被发现，这意味着企业应及时采用先进的威胁检测…
前言 上文讲述了《Android 渗透测试学习手册（三）Android 应用的逆向和审计》在本章中，我们将研究 Android 设备的网络流量，并分析平台和应用程序的流量数据。 通常应用程序会在其网络数据中泄漏敏感信息，因此发现它是渗透测试程序最重要的任务之一。 此外，你经常会遇到通过不安全的网络协议执行身份验证和会话管理的应用程序。 因此，在本章中，我们将学习如何拦截和分析 Android 设备中，各种应用程序的流量。 4.1 Android 流 量 拦 截 根据 OWASP 移动Top10（https://…
2016年2月的一天，好莱坞长老会医院的护士们发现电脑全都用不了了。所有的文件都加了个莫名其妙的后缀，根本打不开。所有电脑程序也都加了这个后缀，一个也启动不了。挂号只能用纸笔，病历都成了乱码，连手术都不能正常进行。当大家都束手无策的时候，院长阿兰·史蒂芬涅克（Allen Stefanek）接到了一个陌生的通知：给我1万7千美元，不然你们的医院就得关张。 史蒂芬涅克院长犹豫了一个多星期，还是选择了交钱。好莱坞长老会医院所经历的勒索并不稀有。近年来，越来越多的用户报告自己的电脑曾被黑客锁住，只能交赎金了事。这种黑客攻击…
一位病人正躺在医院的病床上等待医务人员帮他进行血气分析，但他并不知道的是，他的个人信息此时此刻可能比他的身体还要危险。 前言 安全公司TrapX对三家不愿意透露名称的医院进行了安全检查，根据调查人员的发现，医院用于存储病人信息的数据库没有使用任何的加密保护措施，数据库使用的仍是默认密码，而且医院系统中的漏洞其利用难度也非常低。在对检查结果进行了深入分析之后，该公司的安全专家发表了一篇标题为《医疗设备攻击剖析》的报告。 TrapX的联合创始人兼副总裁Moshe Ben-Simon表示： “TrapX网络安全实验室的技…
充话费对于我们来说太正常不过了，偶尔可能会优惠几块钱已经算是不错了。而南京的一小伙无意间从网上学到一种利用充值平台漏洞，一分钱能充几百元的方法。抱着试试看的态度，这位小伙同聊天群的网友，两天内竟充值160余万话费，结果被警方抓获。 某话费充值平台漏洞 小伙两天充值160万 原来，南京某电子商务公司的话费充值平台存在安全漏洞，被黑客发现后将修改教程公布在了网上。而且聊天群群主对小伙说，这个是他们公司的漏洞，与你无关，你只是占小便宜而已。南京小伙信以为真，便疯狂刷话费。目前暂不清楚法院如何判罚。0day
长话短说 这台密码破解机既不需要任何的“黑魔法”，也不需要你花大量时间和精力去组装各种乱七八糟的零配件。如果你按照这篇文章给出的方法来进行设备组装的话，你应该可以在三个小时之内搭建出一台密码破解工作站。各位同学不用担心，这台机器的搭建方法非常简单，只要你按照步骤一步一步操作就肯定不会出错。 我们的目标 我们目前的工作站配备了六块GTX970S，我们现在的目标是将其升级为八块GTX1080，而且还要保证工作站能够稳定运行。 组件清单 硬件 1. 机箱支架&主板-Tyan Ft77C-B7079（P/N:…
乌克兰似乎常年以来都是黑客的攻击目标，去年该国遭遇电力停运事故，导致22.5万居民停电——幕后的黑客组织也是2015年BlackEnergy恶意程序致其电网停运的一群黑客。而最近，来自威胁情报公司CyberX的安全研究人员又发现了一起主要针对该国的黑客行动，并将之命名为Operation BugDrop。 从CyberX公布的报告来看，本次黑客行动已经从大约70个机构组织中获取到了600GB数据——受害机构组织包括了关键基础设施、新闻媒体还有科研机构，这些遭遇攻击的组织机构主要就是来自乌克兰，其他目标所在的国家还包…
安卓用户正面临一个新的威胁，威胁来自于一个模仿Adobe Flash Player的恶意APP，名为Android/TrojanDownloader.Agent.JI，可为多种危险的恶意软件提供潜在的入口。这款APP在安卓的辅助功能菜单（Android accessibility menu ）中骗取受害者的授权后，便可下载和运行更多的恶意软件。 分析研究表明，这款木马的攻击目标是使用安卓系统的设备，包括最新的版本，通过受感染的网站和社会媒体传播。以加强安全措施为借口，受感染的网站会引诱用户下载一个假的Adobe F…
上周四Google与荷兰研究机构CWI宣布首例SHA-1碰撞攻击实例。仅仅一天后的周五就出现了首个碰撞攻击的攻击受害者：WebKit 项目使用的开源版本控制系统Apache SVN，引发业界讨论。SHA-1遭碰撞后，我们的网络空间还安全吗？ 上周五，SHA1 碰撞攻击出现了第一位受害者：WebKit项目使用的开源版本控制系统 Apache SVN（或 SVN）。虽然这个问题是发生在WebKit SVN上的，但它能影响全世界的版本控制系统。 程序测试导致代码仓库崩溃 事情的起因是WebKit的工程师想要看看WebKi…