西门子漏洞自控管理系统HVAC系统中的Desigo PX 工业控制固件模块出现漏洞CVE-2016-9154，随后西门子与ICS-CERT协作发布了可被远程利用的漏洞及补丁，并在官网发布了这个信息，但不知道啥时候该页面已经不可访问。Siemens Desigo PX Web Modules < 6.00.046版本存在无效熵漏洞，远程攻击者利用此漏洞可执行中间人攻击，获取敏感信息。 西门子Desigo PX Web 模块中间人攻击漏洞影响范围 受影响的 Desigo PX Web 模块的列表包括 PXA40 …
本周，苹果宣布给开发者更多的时间，确保应用通过安全的HTTPS连接进行通信。在2016年6月的全球开发者大会上，苹果曾经要求所有开发者在2017年1月1日之后，必须提交ATS合规的APP。然而，这个消息发布后的3周，ATS合规APP只增长了2% 苹果ATS是什么意思 6月，在全球开发者大会上，苹果公司宣布到2017年1月1日App Store中所有的iOS应用都必须启用App Transport Security（ATS）安全功能。ATS安全功能与iOS 9和OS X 10.11一同发布，旨在强制性地使用HTTPS…
绿盟科技发布了本周安全通告，周报编号NSFOCUS-16-38，绿盟科技漏洞库本周新增46条，其中高危18条。本次周报建议大家关注 OpenSSH存在多个安全漏洞 ，目前，厂商已发布漏洞修复程序，用户可将程序升级至7.4版本。 焦点漏洞 OpenSSH存在多个安全漏洞 NSFOCUS ID 35665、35666、35667、356658 CVE ID CVE-2016-10009、CVE-2016-10010、CVE-2016-10011、CVE-2016-10012 受影响版本 OpenSSH < 7.4…
今年 12 月 1 日起，全国三大运营商对非实名制手机号采取双向停机措施，既不能拨打也不能接听，不能接发短信也不能上网，此举旨在防范打击通讯信息诈骗。然而，成都商报记者调查了解到，为了应对手机号实名制，一种叫“实名卡”的“黑卡”却依然在线上线下售卖，并形成完整产业链。 这样的“黑卡”其实是用别人的身份证做了实名认证，到手之后可以直接使用。多位警方人士向成都商报记者表示，这些“黑卡”的存在对通讯诈骗追踪产生很大阻挠。“黑卡”现在已覆盖全国多个省级行政区，甚至在微信朋友圈公开售卖。警方表示，已实名电话卡倒卖的背后，是不…
据外媒报道，华盛顿社区健康计划组织( CHPW ) 上周三开始向其 381534 位成员发送数据泄露通知书，泄露内容包括姓名、地址、出生日期、社会安全号码和医保信息，不包含就诊和信用卡信息。 CHPW 组织发言人表示， 11 月 7 日接到电话举报称机构计算机网络存在漏洞，暴露了参与社区健康计划的近 40 万现任和前任成员。 11 月 30 日经组织调查证实，提供网络技术服务的 NTT Data 公司使用了公开的 FTP 服务器导致数据泄露，而非黑客入侵，随后便迅速将详情告知联邦调查局和多个国家监管机构。12 月 …
据外媒报道，美国联邦调查局正在调查黑客如何在 2010 年起的数年间入侵美国联邦存款保险公司( FDIC )电脑。据不愿透露姓名的消息人士表示，当局认为网络攻击是由中国赞助的黑客所为。黑客侵入了数十台计算机，其中包括前 FDIC 主席 Sheila Blair 的电脑。 FDIC 是美国监管商业银行的三个联邦机构之一，负责监管银行如何处理破产的机密计划，拥有数百万美国个人存款者的信息资料。 据路透社报道：两名参与审查的官员表示，上月 FDIC 允许国会人员审查有关这起黑客事件的内部沟通记录，官员称沟通记录显示这些攻…
据外媒报道，上周六土耳其当局正在调查超过 10000 名涉嫌在网上宣传恐怖主义的人士。土耳其内政部一份”打击网络恐怖主义”的报告显示，大部分人被控通过网络传播恐怖主义以及利用社交媒体对外散布侮辱国家官员的言论等。 自 2016 年 7 月土耳其政变未遂以来，政府面临的压力越来越大，当局已开始严格限制公民网络活动，甚至通过技术手段限制 Tor 匿名网络的连接。据英国《太阳报》（The Sun）报道，“土耳其已宣布全国进入紧急状态，并展开针对“假想敌”的深层清洗工作，这也激起了安卡拉人权组织的担心。” 土耳其当局已在过…
解决DDoS问题，有人认为很容易，只需要让ISP(互联网服务商)重写互联网即可。重写互联网标准，尤其是处于路由系统核心位置的边界网关协议(BGP)，应得到妥善修订。 BGP真心是个非常糟糕的东西，欧洲网络与信息安全局(ENISA)将称之为“互联网的阿克流斯之踵”。理想世界里，这个东西必须被重写。但现实世界中，情况就复杂了。 除了要让政府监管机构帮助重写互联网路由层这种可怕的想法，这还像是试图完全重建一艘豪华游轮一样匪夷所思。仅仅是因为游轮服役已久，舱门有点关不严实了就要拆了重建是不合理的。这是艘大船，正航行在海洋上…
过去几年我们目睹了一系列引人注目的账号失窃事件，二步认证被认为有助于防止攻击者在获得用户名和密码后登录用户的账号。有多种二步认证方式，其中比较流行的是基于智能手机和智能卡的二步认证。基于智能手机的二步认证也存在风险，如发送的短信可能被拦截，手机可能感染恶意程序，或者可能没有信号或没有电。基于智能卡的二步认证则需要定制的阅读器硬件，使用时需要安装驱动。Google内部一项为期两年多的研究显示，基于Security Key的二步认证强于基于智能手机的二步认证。Security Key基于开放标准Universal Se…
近日，有股民康先生投诉，其称2016年11月7日平安证券系统“疑似被黑”，导致自己账户股票被他人割肉卖出，损失近7万。据康先生介绍，平安证券总部客服之后致电自己承诺会全资垫付损失，后期却又用一纸《协议书》来了结此事，而按照协议自己拿不到相应损失赔偿，多次与平安证券协商亦无果。 目前，康先生已经到公安机关进行报案。记者看到《协议书》中，平安证券总部提出了两条方案，其一是甲方按乙方账户发生异常当日资产垫付相应的资金；其二是甲方按协议签署当日开盘价垫付乙方账户中损失的相应股票份额的资金。 若按第一条方案处理，平安证券赔付…
为了避免手机中一些重要的隐私信息，被其他人获取或访问到，例如：短信、通讯录、照片等内容。我们通常都会设置锁屏，来保护我们的手机。而在 Android智能机中，最常用的安全措施是模式锁定，PIN码或数字密码锁屏。 但是，如果你不小心忘记了你所设置的模式 PIN 或密码的话，那又该怎么办呢？其实，你大可不必担心这个问题。因为在设计之初， Android 就已经考虑到了这个问题，并为用户提供了几种不同的方法来绕过锁屏。但遗憾的是，这些方法没有一种是适用于所有设备的！ 下面我将给出七种目前最有效的方法，希望能解决你的问题！…
当安全研究者发现一个软件产品漏洞后，最好的漏洞披露方式是什么？软件供应商又应该如何接收和响应漏洞披露？这类问题的解答正凸显关切和重要，因为伴随着信息软件商品的涌现，随之而来就是各种网络安全漏洞。而在实际中，作为事件相关方，处理类似问题，或许需要更多的支撑数据和参考观点。 因此，在美国国家电信与信息管理局（NTIA)的发起下，我们就“多方利益”相关的漏洞披露处理态度和方法，对一些安全研究者和技术运营商开展了调查。调查分三个工作组，作为成员单位，我们Rapid7负责关注漏洞披露处理的采用方式和意识驱动相关问题，即“意识…
上周三，雅虎公开承认，在2013年8月的时候就发生了多达10亿的账户数据泄露。同时也创造了有记录以来史上最大数据泄露案。借此机会我们回顾一下自2005年以来11年间规模最大、影响最深远的数据泄露。 初次泄露 关于数据泄露，TechTarget给出了定义： 当一场事故中发生敏感，受保护或机密数据可能被未经授权的个人查看、偷窃或使用的事件，即可定义为数据泄露。 数据泄露往往涉及支付卡信息（PCI），个人健康信息（PHI），个人身份信息（PII），商业秘密或知识产权。 随着大大小小的企业越来越依赖电子数据、云计算和流动劳…
其实网上有很多非常实用的免费安全工具，如果要全部介绍这些工具的话，可能一天一夜的时间都不够。虽然现在也有很多公司会通过试用版软件来“勾引”用户去购买他们完整功能的产品，但是目前市面上仍然有很多功能强大的免费安全工具，包括情报工具、在软件开发阶段保证安全性的工具、渗透测试工具和取证工具等等。 工具简介 威胁情报工具包括AlienVault的Open Threat Exchange（OTX），这个工具实际上是一个计算机安全平台，它可以收集并共享互联网威胁情报，类似的平台还有Hailataxii和Cymon.io等等。除…
当前一些通过附加及捆绑在其它应用的恶意软件，为了成功的安装到用户系统上，开始使用一种较为狡猾的方式来试图欺骗用户。 恶意软件分析师 Dr.Web 在本月检测到，恶意软件 Ticno（Trojan.Ticno.1537），这种木马拥有非常强大的 防检测 的特点。 Ticno 并不像那些常规的恶意软件下载程序一样，盲目的去监听指令，并将 payload 安装到受感染系统 。它具有扫描潜在主机系统的功能，并以此来确定受感染的计算机，到底是一个真实的 PC ，还是一个供安全研究人员用来扫描和分析恶意软件的虚拟机 。 根据 …
E安全12月27日讯美国联邦通信委员会（Federal Communication Commission，FCC）的公共安全与国土安全局发布一系列5G网络安全问题。5G作为下一代蜂窝网络，承诺为下一波数十亿物联网设备提供连接。 12月中旬发布的这份调查通知书（The Notice of Inquiry）提出了5G网络安全的130个问题—涵盖加密、验证、设计安全、远程软件升级、DDoS攻击防御和网络意识等各种主题。 评论期为90天，自12月16日开始。评论回复期为该通知发布后120天。 FCC本月初决定放弃另一方法_…
E安全12月27日讯 上周五，奥巴马签署《国防授权法案》（National Defense Authorization Act），其中包括他反对的一项规定——网络司令部司令兼任担任国家安全局（NSA）局长。 这项法律将网络司令部提升为完备的作战司令部。网络司令部于2010年成立，隶属于美国战略司令部。美国国家安全局（NSA）局长被指定兼任网络司令部司令。之后，有人认为“身兼两职”的安排会使“初出茅庐”的网络司令部利用NSA先进的网络能力和专业知识。 奥巴马在声明中表示，“网络司令部已经发展成熟，应经过深思熟虑、基于…
今天上午，国家互联网信息办公室发布了《国家网络空间安全战略》，这是我国首次发布关于网络空间安全的战略。《战略》阐明了中国关于网络空间发展和安全的重大立场和主张，明确了战略方针和主要任务，是指导国家网络安全工作的纲领性文件。 《战略》指出，互联网等信息网络已经成为信息传播的新渠道、生产生活的新空间、经济发展的新引擎、文化繁荣的新载体、社会治理的新平台、交流合作的新纽带、国家主权的新疆域。随着信息技术深入发展，网络安全形势日益严峻，利用网络干涉他国内政以及大规模网络监控、窃密等活动严重危害国家政治安全和用户信息安全，关…
E安全12月27日讯 特朗普将于2017年1月20日宣誓就职，他将面临紧迫、且日益严峻的威胁：美国极易遭受网络攻击。美国在巩固国家数字防御方面已取得进展，但随着飞跃进入数字化时代，美国仍暴露在可怕的威胁之中。如果第45任总统特朗普欲使美国再强大，必需解决日益严峻的网络安全威胁。 能源、电信和金融这三大领域最重要，也最脆弱。美国政府必须保护这三大领域。美国政府必须认识到这三大领域面临的严峻风险，因为人们生活的方方面面都与互联网密不可分。首先是能源，已有恶意攻击者在美国国家电网中植入恶意软件，这可能带来严重破坏。去年1…
12月27日，经中央网络安全和信息化领导小组批准，国家互联网信息办公室发布《国家网络空间安全战略》，全文如下。 信息技术广泛应用和网络空间兴起发展，极大促进了经济社会繁荣进步，同时也带来了新的安全风险和挑战。网络空间安全（以下称网络安全）事关人类共同利益，事关世界和平与发展，事关各国国家安全。维护我国网络安全是协调推进全面建成小康社会、全面深化改革、全面依法治国、全面从严治党战略布局的重要举措，是实现“两个一百年”奋斗目标、实现中华民族伟大复兴中国梦的重要保障。为贯彻落实习近平主席关于推进全球互联网治理体系变革的“…
2016年12月27日，由中央网信办网络安全协调局指导，中国信息安全测评中心主办，中国信息产业商会信息安全产业分会、《中国信息安全》杂志社、互联网实验室承办的“信息安全行业《网络安全法》宣传大会”在北京召开。 《中华人民共和国网络安全法》于2016年11月7日，由第十二届全国人民代表大会常务委员会第二十四次会议表决通过，自2017年6月1日起正式实施。从2015年6月首次审议，到2016年11月最终通过，《中华人民共和国网络安全法》经历3次审议，整个过程一直备受国内外各方广泛关注。 中央网信办网络安全协调局副处长唐…
引言 在本文中，我们将向读者介绍在攻击Internet Explorer和Edge浏览器时可用于绕过Microsoft的控制流防护（CFG）的方法。我们以前的概念验证性质的漏洞利用代码是通过覆盖对象的函数指针来实现的。但是，当遇到CFG时，这种方法就不太好使了。我们假设攻击者已经获得了读写内存权限。 背景知识 CFG是微软近来为Windows系统添加一种安全防护机制。该机制通过间接调用/跳转指令的目标地址的高效检查来提供保护。如果您希望进一步了解CFG的更多详情，可以参阅参考文献[1][2][3]，所以我们不做…
0x00 背景介绍 格式化字符串漏洞，虽然在现在真实的环境下已经基本绝迹了。但是在CTF中还是有很多出题点的，本文将阐述格式化字符串漏洞的成因和利用场景与方法。 未注明的情况下，本文的测试环境为Ubuntu 14.04 desktop x86-64，使用到的程序为gdb、gdb-peda、gcc、python、pwntools、socat、rp++、readelf。所有的应用都可以在《跟我入坑PWN第一章》中找到。 0x01 格式化字符串漏洞介绍 首先，我们来看看什么是格式化字符串： 包含文本的格式参数的字符串，比…
概述 目前，91%的网络攻击和数据泄漏都是以钓鱼攻击开始的，今年以来，全球钓鱼攻击增长了55%，以商业内容为主题的钓鱼攻击造成的损失增长了1300%，在所有钓鱼邮件的样本中，97.25%为勒索软件，勒索钓鱼增长了400%。如果您对钓鱼邮件威胁、企业如何应对感兴趣，请你耐心读完这篇研究报告。 PhishMe介绍 为了更好的理解这篇研究报告，我们有必要介绍一下PhishMe 公司，正是这家公司发布了这篇研究报告。 “鱼叉式网络钓鱼”是骗子常用的手法，这种攻击方法的成功率很高。企业中的任何一个人，点击链接、打开附件文件就…
概述 目前，91%的网络攻击和数据泄漏都是以钓鱼攻击开始的，今年以来，全球钓鱼攻击增长了55%，以商业内容为主题的钓鱼攻击造成的损失增长了1300%，在所有钓鱼邮件的样本中，97.25%为勒索软件，勒索钓鱼增长了400%。如果您对钓鱼邮件威胁、企业如何应对感兴趣，请你耐心读完这篇研究报告。 PhishMe介绍 为了更好的理解这篇研究报告，我们有必要介绍一下PhishMe 公司，正是这家公司发布了这篇研究报告。 “鱼叉式网络钓鱼”是骗子常用的手法，这种攻击方法的成功率很高。企业中的任何一个人，点击链接、打开附件文件就…