23 日晚间，世界各地的网络游戏玩家经历了一场“世界末日”—— 全球最大综合游戏平台 Steam 服务器全部宕机、用户大规模离线。玩家爆料不仅是服务器无法登陆，就连 Steam 官方网站和商店平台也全部瘫痪。 就在网友纷纷吐槽抱怨时，黑客组织 Phantom Squad 便在推特上宣布“对 Steam 服务器宕机事件负责”。部分玩家或许还有印象，今年 11 月 Steam 服务器也曾出现过故障，Phantom Squad 组织发推承认是“主谋”、并“祝 G 胖生日快乐”。 Phantom Squad 黑客团队因一系…
AddThis是一款拥有超过一百万用户使用的网页分享按钮。在今年早些被发现存在XSS漏洞。在之前的一篇文章有描述到postMessage API缺陷。而本文将描述我是如何识别然后利用AddThis分享按钮中存在的这些漏洞。 当我在测试一个使用AddThis的网站的时候，透过Chrome开发者工具的全局监听器，我注意到它使用了postMessage。 为了判断它们是否存在漏洞，我在Chrome开发者工具中的的监听器内设置了一个断点，之后使用 window.postMessage("hello", "*") 向页面发送…
路透社援引知情人士的消息报道，FBI正调查黑客如何从2010年起入侵美国联邦存款保险公司（FDIC），这起入侵事件被认为得到了中国军方支持。今年早些美国众议院科学、空间与技术委员会公布报告称，据信来自中国的黑客在2010年到2013年之间反复入侵了美国联邦存款保险公司（FDIC）的计算机。攻击者在12个工作站和10台服务器上安装了后门，其中包括FDIC主席、办公室主任和法律总顾问的工作站。FDIC是美国监管商业银行的三个联邦机构之一。其负责监管银行如何处理破产的机密计划，也拥有数百万美国个人存款者的信息资料。为调查…
据外媒报道，美国FBI和CIA认为俄罗斯黑客是美国大选期间网络攻击幕后黑手已是公开的秘密，他们认为这次的网络攻击在某种程度上协助了共和党的特朗普。而就在近日，加州尔湾网络安全公司CrowdStrike的一份报告显示，乌克兰军方遭到俄罗斯黑客攻击。据其披露，俄罗斯黑客从2014年开始利用一款叫做X-Agent的Android恶意软件追踪乌克兰军事人员，并且有迹象表明发起该攻击的黑客隶属俄罗斯政府。 CrowdStrike联合创始人Dmitri Alperovitch称，民主党全国委员会(DNC)邮箱攻击中使用到的软件…
据外媒报道，前段时间雅虎遭到黑客的攻击，包括姓名、密码、电话号码、安全问题和答案等在内的个人信息被窃取，涉及到大概10亿帐号。而在暗网上，此次泄露的完整数据库早已公开售卖，只需30万美元就可得到10亿人的信息。互联网便捷性背后所带来的安全隐患，正在引起越来越多人的重视。便捷与安全，就像是太极图的黑白两面，相辅相成，相克相生。 互联网合法交易下的灰色地带 在各个国家，都会针对互联网上的交易进行明确的法律规定，比如美国国会通过了《未成年人互联网保护法》、《禁止网络盗版法案》等一系列法律规定，中国颁布的《互联网广告监督管…
根据CarbonBlack的最新研究报告，各位安全研究专家可要注意了，因为现在越来越多的攻击者在进行恶意活动时并不需要依赖恶意软件了。 根据该公司发表的这篇标题为《2016年非恶意软件攻击和勒索软件正在兴起》的报告，在今年的1月份，大约有3%的网络攻击利用的是目标系统中的应用程序漏洞以及合法进程。但是到11月份时，这种攻击方法的占比数量上升到了13%。报告中指出：“不依赖于恶意软件的黑客攻击活动目前已经到达了一种前所未有的高水平阶段，所以在2017年，安全研究专家们应该更加注意这种类型的恶意攻击活动。” 这项调查中…
来自谷歌的安全专家最近开发了一款测试工具Wycheproof，开发者可用它来发现加密方案中存在的缺陷。 这款工具中部署了一些比较常见的加密攻击。据说这套测试已经帮助谷歌安全专家发现加密库中超过40个安全BUG，并且他们也已经将问题呈报给了供应商。 Wycheproof有什么用？ Wycheproof由Google安全小组的成员开发和维护，但不是Google的官方产品。取名灵感来自于世界上最小的山——Mount Wycheproof，仅43米高，寓意开发这个工具是谷歌安全小组要实现的一个小目标。毕竟，越小的山越容易爬…
*本文原创作者：lonehand，转载请注明来自FreeBuf.COM 目前，最新的DVWA已经更新到1.9版本（http://www.dvwa.co.uk/），而网上的教程大多停留在旧版本，且没有针对DVWA high级别的教程，因此萌发了一个撰写新手教程的想法，错误的地方还请大家指正。 DVWA简介 DVWA（Damn Vulnerable Web Application）是一个用来进行安全脆弱性鉴定的PHP/MySQL Web应用，旨在为安全专业人员测试自己的专业技能和工具提供合法的环境，帮助web开发者更好…
本文将简单介绍2016年漏洞工具包（Exploit Kits）中的漏洞榜TOP 10。 前情提要 从2015年11月16日-2016年11月15日，Adobe Flash Player占了2016漏洞工具包TOP 10漏洞中的6个席位。在Adobe官方对安全问题加强重视后，黑客对于Adobe Flash Player的关注仍然热度不减。 微软的IE、windows和Silverlight今年也杀入了前10，而去年的一些漏洞很不幸在今年落榜。 2016年出的IE漏洞CVE-2016-0189非常受黑客的欢迎，尤其是S…
近日，俄罗斯又一次被指控攻击外国政府的电脑系统，这一次是立陶宛。据立陶宛发言人说，他们发现自己的电脑系统中被种植了来自俄罗斯克里姆林宫的间谍软件。根据一份来自路透社的声明内容，立陶宛网络安全中心负责人Rimtautas Cerniauskas表示从2015年开始，俄罗斯黑客就试图用间谍软件感染立陶宛政府电脑。 去年就开始攻击 当时立陶宛军队联合参谋部网站忽然出现了一条关于北约军演的消息，称军演的目的是为“吞并俄加里宁格勒州”做准备。随后立陶宛国防部立刻删除了网页上的内容，并对外宣称该网站遭遇不明人士的攻击，发布在网…
国外媒体报道，俄罗斯驻土耳其大使被枪击案目前还在调查中，而土耳其警方日前希望苹果公司能帮助其解锁凶手的iPhone 4s手机。 本周一，俄罗斯驻土耳其大使安德烈·卡尔洛夫（Andrei Karlov）在出席一场摄影展并发表讲话时被枪杀身亡。凶手是一名22岁的防暴警察麦夫柳特·迈尔特·奥金塔斯（Mevlut Mert Altintas），已被警方当场击毙。 警方事后发现了凶手所用的是iPhone 4s，但手机设置了四位数字的解锁密码，目前为止警方尚未破解其密码，为此土耳其警方希望得到苹果的帮助。不过当地媒体表示，鉴于…
热点概要：通过浏览器cache Bypass CSP、VUzzer一种新的fuzz思路、一种新型的XSSI攻击向量、awesome-windows-exploitation、fireeye发布的报告：恶意软件通过WMI对虚拟机和沙盒环境进行检测 国内热词(以下内容部分摘自http://www.cnbeta.com/)： 圣诞彩蛋：微信搜索“圣诞快乐”有专属表情 《守望先锋》漫画因同性恋被封杀 暴雪：我觉得很好 最近iPhone越狱社区有啥新鲜事儿？ 罗一笑今晨6点去世 父母希望捐赠遗体 资讯类： Phantom S…
不管量子计算是10年后实现，抑或是已为现实，可以预见的是，它的出现会淘汰现有加密方法。因此，企业需要着手基建，为新的加密方法做准备。 量子计算机使用的单位是量子比特而不是比特。比特可以是0或1，但是量子比特可以同时是这两个数，简直不可思议，编程也难，但是一旦实现，则会比当今的任何一台计算机都要强大得多。 量子比特的纠缠特性及不确定性 将会万亿倍的提升计算速度 在经典力学系统中，一个比特的状态是唯一的，而量子力学允许量子比特是同一时刻两个状态的叠加，这是量子计算的基本性质。两态量子力学系统的例子是单光子的偏振，这里的…
除了提供自己的身份证件和旅行证件，今后进入美国的外国游客将被要求提供 Twitter 和 Instagram 等社交账户账号。12 月 19 日，美国政府已经通过了国土安全部提交的新提案，要求旅客在进入美国的边境核查单上填写自己的社交媒体账户名称，但是不会要求提供密码。美国国土安全部识别和抓捕试图进入美国恐怖分子的最新尝试，主要用于反恐及安全考虑。 早在今年六月，美国国土安全部就提交了该提案，要求更新入境申请表。申请者需说明自己使用哪些社交媒体和社交媒体帐号，使用者名称等等。但此项目属于选填项( optional …
安全研究员 Pedro Ribeiro 发现美国 Netgear 路由器 WNR2000 存在多个漏洞。如果路由器开启了远程管理功能，攻击者可利用漏洞获取管理员密码、完全控制受影响设备。 安全研究员在 11 月 29 日收到 CERT 回复称 NETGEAR 不理睬漏洞报告并建议公布漏洞信息。 专家表示， NETGEAR WNR2000 路由器允许管理员通过一个名为 apply.cgi 的 CGI 脚本在 Web 管理界面执行敏感操作。研究员逆向分析脚本发现，另外一个函数 apply_noauth.cgi 可允许未…
据外媒报道，为了应对日益变化的国际秩序以及恐怖袭击，欧盟首次在军事研究上投入重大资金。 12 月 1 日，欧盟议会设立了 2500 万欧基金来做军事研究，这将是欧洲防御基金的一部分，旨在提高军事创新和欧洲基础防御。研究涉及电子、高端材料、加密软件和机器人。欧盟委员会希望在 2020 年前投入共计 9000 万欧元，并在 2021 年后上升到每年 5 亿欧元。此前，欧盟主要的研究基金计划 “Horizon 2020”投入更大 —— 7 年投入 800 亿欧元。 “Horizon 2020”欢迎很多相关国家参与，但防御…
与俄罗斯支持的叛军作战的乌克兰军方，其士兵的安卓手机被埋藏着木马的App入侵，而这个App正是军队指挥官鼓励士兵在战场中使用安装的。 该App由乌克兰军方开发，帮助士兵手动操纵苏制D-30榴弹炮，可把瞄准时间从数分钟减少到数秒。第55炮兵军官 Yaroslav Sherstuk 还曾在乌克兰电视台上展示过这个App。 俄罗斯军方情报部门或是乌克兰叛军，可通过这个App跟踪乌克兰炮兵部队的部署，将其暴露在反攻打击的目标之下。根据某些报告，在战争发起两年左右的时间时，超过一半的乌克兰炮兵部队被俘虏或是被摧毁。 Crow…
最近几年Cellebrite因其破解手机加密技术以及访问设备上存储的数据的能力而获得了大量关注。期初大家都认为Cellebrite就为FBI破解圣伯纳迪诺枪击案凶手的iPhone 5C的幕后支持公司，不过之后有报道反驳了这个观点。今天早些时候，ZDNet发表了一份报道显示了Cellebrite的破解工具究竟有多强大，相信你看了之后就明白了保护自己的重要性有多大了。 Cellebrite的UFED工具在全美的警局中使用。报道中引用的数据都是从一部运行iOS 8系统的iPhone 5中获取的。该手机没有加密，没有密码。…
近日，有多名网友称自己的视频网站会员账号被盗。北京青年报记者搜索一共享网站发现，涉及的账户信息疑波及上万条。22日下午，优酷工作人员回复北青报记者称，优酷内部绝对不会泄露用户信息，目前正在主动联系发布会员账号的网站，强令其删除，并追究责任。 事件 多名网友称优酷会员账号被盗 12月21日，青岛刘女士反映称，自己优酷会员的账号和密码被盗，并公布在了网上。“从20日开始手机一直在收验证码，然后有个人还给我打电话说在网站上看见我的账号、密码了，问能不能借他用一下。”刘女士意识到账号被盗后登录了优酷网站，发现多出了上百条观…
俄罗斯再次被指控攻击外国政府使用的电脑。立陶宛说，它发现了由克里姆林宫种植在其电脑系统当中的间谍软件。在路透社的一份声明中，立陶宛网络安全中心负责人Rimtautas Cerniauskas指控2015年俄罗斯黑客首先试图用间谍软件感染立陶宛政府电脑，同时今年年内又发生了20次类似的尝试。 更糟糕的是，间谍软件在被种植6个月后才被发现，这种间谍软件被用来传输文档和密码到俄罗斯间谍机构。目前还不知道是否有任何机密文件或国家机密被盗，但立陶宛官员说，一些被感染的电脑被中低职位的政府官员用于起草政府决策草案。 俄罗斯总统…
越——狱——啦！ 近日，网上惊现 iOS 10 —10.1.1 版本的越狱工具测试版，发布者并不是我们所熟知的盘古团队和太极团队，而是国外著名的越狱大神 Luca Todesco，之前有段时间他一直被盘古团队“压着打”，这次可算扬眉吐气了…… 据雷锋网了解，目前越狱支持 iPhone 7、iPhone 7 Plus、iPhone 6s、iPhone 6s Plus、9.7 英寸 iPad Pro 和 12.9 英寸 iPad Pro， 工具发布者 Lucas 正在计划为其它兼容的 64 位设备添加支持。 听到 iO…
简介 PowerShellArsenal是一个PowerShell模块，它的功能是帮助逆向工程师来分析.NET恶意软件，PowerShellArsenal的功能非常强大，它可以反汇编.NET恶意软件、分析和抓取内存、解析文件格式和内存结构，获取内部系统信息等。 Disassembly 反汇编代码 Get-CSDisassembly 使用Capstone Engine反汇编引擎反汇编代码 使用方法： Get-CSDisassembly -Architecture {Arm | Arm64 | Mips | X86 |…
AddThis是一款拥有超过一百万用户使用的网页分享按钮。在今年早些被发现存在XSS漏洞。在之前的一篇文章有描述到postMessage API缺陷。而本文将描述我是如何识别然后利用AddThis分享按钮中存在的这些漏洞。 当我在测试一个使用AddThis的网站的时候，透过Chrome开发者工具的全局监听器，我注意到它使用了postMessage。 为了判断它们是否存在漏洞，我在Chrome开发者工具中的的监听器内设置了一个断点，之后使用 window.postMessage("hello", "*") 向页…
E安全12月24日讯 据外媒报道，网络安全公司CrowdStrike发现强有力的证据，证明入侵DNC的黑客组织与俄罗斯军事情报机构有关。 CrowdStrike认为入侵DNC使用的恶意软件与入侵和追踪Android手机应用的恶意软件有关联。乌克兰军队2014年底至2016年打击东部亲俄分裂分子中使用了该Android应用。 相关阅读：俄罗斯黑客组织利用恶意软件X-Agent追踪乌克兰军队 CrowdStrike受雇于DNC负责调查DNC入侵一事。CrowdStrike在新报告中提及调查结果。CrowdStrike曾…
俄罗斯再次被指控攻击外国政府使用的电脑。立陶宛说，它发现了由克里姆林宫种植在其电脑系统当中的间谍软件。在路透社的一份声明中，立陶宛网络安全中心负责人Rimtautas Cerniauskas指控2015年俄罗斯黑客首先试图用间谍软件感染立陶宛政府电脑，同时今年年内又发生了20次类似的尝试。 更糟糕的是，间谍软件在被种植6个月后才被发现，这种间谍软件被用来传输文档和密码到俄罗斯间谍机构。目前还不知道是否有任何机密文件或国家机密被盗，但立陶宛官员说，一些被感染的电脑被中低职位的政府官员用于起草政府决策草案。 俄罗斯总统…