2017年眼看就要到来，回首2016年，网络安全无疑扮演着一个十分重要的角色，甚至连总统大选都没能逃过黑客丑闻和数据泄漏等厄运。根据技术研究机构波耐蒙研究所（Ponemon Institute）的报告，在2015年，企业数据泄漏事件平均的损失金额达到了380万美元，而在2016年这个数字已经增长到了400万美元。 各种规模的企业也已经逐渐开始接受云计算和软件开源了，而这也成为了基础设施软件的一个标准。但是在云计算和软件开源给企业带来更多效益的同时，也会使企业处于安全风险之中。对于很多企业而言，数据中心一旦遭受攻击，…
E安全12月19日讯 上周五，美国国会的网络倡导者吉姆·朗格温号召众议院议长保罗·瑞恩成立特别网络安全委员会，带头调查俄罗斯黑客干扰2016美国大选。 众议员吉姆·朗格温 众议员吉姆·朗格温（罗德岛州民主党人）在声明中表示，提议的特别委员会将跳过司法部门“调查紧迫的网络安全事件，先从俄罗斯干扰美国大选开始。” 《华盛顿邮报》上周五根据匿名消息来源报道，FBI目前同意CIA的评估，认为俄罗斯干预选举，旨在帮助特朗普胜选，而非单纯制造混乱。 美国情报界官方断定，迄今只有俄罗斯政府高层实施这类入侵，他们意在“干扰美国选举…
北京时间12月20日消息，据外媒报道，职业社交网站领英（LinkedIn）日前表示，鉴于旗下在线学习网站Lynda.com数据外泄，公司对5.5万个涉事账号密码进行了重置。上周六，领英公司在一份声明中表示，他们旗下在线教育网站Lynda.com发生数据外泄，黑客访问了一个数据库，被曝光的数据包括950万账户的部分信息，比如用户姓名、电子邮件地址以及课程等在线学习数据。 领英 领英发言人周一表示，被黑客访问的目标数据库还包括大约5.5万个账户密码，但这些密码证书呈“加密的散式分布”。领英指出，这一双保险的安全措施，令…
E安全12月20日讯 全球企业今年在区块链（blockchain：使数字货币成为可能的加密技术，例如比特币）支出25亿美元。一份新的报告预测，到2025年，区块链支出将增加至199亿美元。 市场调查机构Tractica发布标题为“企业应用程序区块链”的报告，报告考察了市场趋势、技术发展和业内企业。 报告审查了29个不同的“用例”，其中基于区块链的产品线在19个不同的行业涌现。首席分析师杰西卡·格罗普曼在声明中表示，“其中区块链产品带来巨大优势，例如与传统系统和业务流程相比，实现了成本节约、效率、安全与合规。” 区块…
小罗伯特·E·安德逊（中）直到去年一直担任领导FBI计算机犯罪调查的最高长官 华盛顿——当名为德米特里·乌克兰斯基(Dmitry Ukrainsky)的俄罗斯网络犯罪嫌疑人于去年夏天在一个泰国度假小镇被捕时，美国当局原本希望他们可以将他迅速带回纽约进行审判，对俄罗斯计算机黑客团队至少造成短暂的打击。 但俄罗斯当局很快采取行动，说服泰国不引渡他，称他应该在自己的国家接受起诉。美国官员知道那意味着什么。他们推断，如果乌克兰斯基登上飞往莫斯科的飞机，他很快就会回到电脑前工作。 “美国当局持续进行让人无法接受的满世界‘追捕…
E安全12月20日讯 作为Europol EC3中心的前任负责人，来自丹麦的网络督导者Troels Oerting将负责管理全球网络联盟（Global Cyber Alliance）——此位于美国纽约的非营利性机构专门负责协调执法部门与私营部门间的合作事宜。 该联盟于本周通过一份声明指出，Oerting作为巴克莱银行集团CSO兼CISO将于明年1月1日起出任为期一年的该非营利性组织董事会主席。 作为拥有11年巴克莱银行工作经验的高管成员，Oerting在此之前曾效力于Europol——即位于海牙的欧洲警察协调机构。…
E安全12月20日讯 美国总统奥巴马已经签署一份法案，旨在加强美国与以色列之间在网络安全研究与开发领域的协作进程。 这份编号为H.R. 5877的2016年美国-以色列高级研究伙伴关系法案于上个月得到白宫的无条件通过，同时亦在本月9号到10号顺利获得参议院全体支持。奥巴马总统于上周五正式签署了这项法案。 此份法案为今年7月德克萨斯州议员约翰-拉特克利夫与罗得岛州议员吉姆-朗盖文作为国会代表访问以色列并考察两国所面对之核心网络安全问题（例如保护电网设施免受黑客攻击）后整理出的两份草案之一。 白宫国土安全小组委员会网络…
E安全12月20日文 NSA信息保护署技术总监理查德·迪基乔治曾负责设计美国总统奥巴马的专用黑莓手机。八年之后，他正关注新任总统特朗普的手机安全。 由于迪基乔治带领NSA团队付出的努力，再加上奥巴马愿意接受各项严苛的限制，奥巴马便有了自己的总统专用安全手机。 如今，特朗普在不安全的Android手机上大量使用社交媒体，这样的情况令人担惊受怕。离就职仅5周时间，结果尚不明显。 特朗普过渡官员将不会谈及该问题，甚至不会回应他们是否与NSA讨论过的问题。特朗普在选举后接受CBS《60分钟》的采访中，承诺“如果我使用Twi…
漏洞编号：CVE-2016-10009 漏洞描述： 暂无 漏洞危害： 黑客通过利用漏洞可以实现远程命令执行，严重情况下可能会导致业务中断或数据泄露。 漏洞利用条件： 可以实现远程利用。 漏洞影响范围： OpenSSH OpenSSH 7.3 OpenSSH OpenSSH 7.2P2 OpenSSH OpenSSH 7.2 OpenSSH OpenSSH 7.1P2 OpenSSH OpenSSH 7.1P1 OpenSSH OpenSSH 7.1 OpenSSH OpenSSH 7.0 OpenSSH OpenS…
前言 最近，遇到的一个Word文档引起了我的注意，因为它一看就是一个恶意文档。它奇葩的地方在于，注释内容五花八门，从随机的变量名称到流行歌词，应有尽有。最重要的是，在从宏指令向机器码转移控制权的时候，它使用了一种非常罕见同时也非常酷的方法。 分析宏指令 宏指令的开头部分，创建许多指向已被Word载入内存中的DLL导出函数的指针： 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 'Run from the noise of the street and the loaded gun …
前言 Use-After-Free是一种众所周知的漏洞类型，经常被现代的攻击代码所利用（参见Pwn2own 2016）。在研究项目AnaStaSec中，AMOSSYS提供了许多关于如何静态检测二进制代码中的此类漏洞的介绍。在这篇博文中，我们将向读者阐述学术界在如何检测这种类型的漏洞方面提出的各种建议。当然，他们当前的目标是定义一种通用方法，这样的话，我们就可以根据自己的需求来构建相应的概念验证工具了。 关于Use-After-Free（UAF）漏洞 UAF的原理很容易理解。当程序尝试访问先前已被释放的内存区时，就…
前言 我们知道，像npm这样的程序包和依赖库管理器通常都允许命令执行作为构建过程的一部分。命令执行为开发人员带来了一个简单方便的机制，使得他们可以通过编写脚本来完成构建过程中的各种任务。例如，npm允许开发人员使用pre-install hook和post-install hook来执行各种任务。在开始构建之前，可以使用pre-install hook来编译所需的本地库。post-install hook可以用于构建完成之后的清理工作。 在这篇博文中，我们将介绍攻击者是如何利用npm从开发人员的机器中泄露情报的。虽…
根据国外媒体的最新报道，LinkedIn旗下的在线技能培训网站Lynda.com被未经授权的第三方非法入侵，此次入侵导致该网站发生数据泄漏，泄漏的信息包括用户的联系人和培训课程等在线学习数据。 事件响应 Lynda.com已于上周六通过电子邮件将相关的事件信息告知其用户了，在此次事件中大约有55000名Lynda.com的用户将会受到影响。不过值得注意的是，官方并没有提醒他们的用户尽快修改自己的账号密码，而仅仅只是提醒用户近期要多加小心。 Lynda.com在发给其用户的电子邮件中说到：“近日，技术人员发现我们的数…
前言 在2015年中期，我发现一些影响ARRIS公司的电缆调制解调器的漏洞。我为此写了篇博客blogpost about ARRIS' nested backdoor ，详细的讲述了我对于电缆调制解调器的一些研究（相比于在2015年的NullByte Security Conference的演讲更加详细）。 CERT/CC（美国计算机安全事件响应小组）发布了漏洞记录 VU#419568,受到了大量媒体报道。我那个时候没有提供任何Poc，因为我确定那些漏洞很容易做成蠕虫。猜猜发生了什么？从2016年5月开始，有人攻破…
举办时间：2017-01-07 13:30:00 活动地点：上海市闸北区延长中路801号新华园B座4层 作者：聪明的狗子 报名地址：http://www.huodongxing.com/event/9364847976400 沙龙简介 华盟网在网络安全圈默默耕耘十余载，现联合上海安犬公司在上海举办线下活动，是上海网络安全界一大盛会，主题：WEB安全技术交流，现在Web环境的互联网应用越来越广泛，接踵而至的就是Web安全威胁，黑客利用网站操作系统的漏洞和Web服务程序轻则篡改网页内容，重则窃取重要内部数据，此次华盟网…
绿盟科技发布了本周安全通告，周报编号NSFOCUS-16-37，绿盟科技漏洞库本周新增70条，其中高危68条。本次周报建议大家关注 Linux 内核权限提升漏洞 ，Linux官方已经发布了升级补丁以修复这个安全问题，请用户尽快升级修复此漏洞。 焦点漏洞 Linux 内核权限提升漏洞 CVE ID CVE-2015-8966 受影响版本 Linux kernel < 4.4 漏洞点评 Linux 内核小于4.4版本在arch/arm/kernel/sys_oabi-compat.c文件中存在安全漏洞，可使本地用…
国务院办公厅关于同意建立网络市场监管部际联席会议制度的函 ，国办函〔2016〕99号，全文如下。 工商总局： 你局关于建立网络市场监管部际联席会议制度的请示收悉。经国务院同意，现函复如下： 国务院同意建立由工商总局牵头的网络市场监管部际联席会议制度。联席会议不刻制印章，不正式行文，请按照国务院有关文件精神认真组织开展工作。 附件：网络市场监管部际联席会议制度 国务院办公厅 2016年12月9日 （此件公开发布） 附件 网络市场监管部际联席会议制度 为进一步加强网络市场监管，加强部门间协调配合，促进网络市场持续健康发…
据香港传真消息，2016年12月6日香港廉政公署再一次派出80人突击执法，逮捕了29名人员，他们大部分是银行雇员。抓捕他们的原因很简单，因为他们涉嫌把客户资料非法出售给了内地贷款公司。 随着香港廉政公署官网的一则声明的公布，这次被媒体传播了许久的大规模执法行动终被确认： 12月12日，香港廉政公署官网发表声明，证实了廉署于上周二（6日）展开了代号为“状元红”的行动，逮捕了29位来自于包括星展银行等四家银行的成员。这些人涉嫌非法出售客户信息给内地贷款公司。声明如下： 廉政公署发言人今日(十二月十二日)回应传媒查询，证…
快到年底了，不少互联网金融平台正面临兑付高峰期，全球黑客正虎视眈眈，连警察蜀黍——公安部网络安全保卫局研发中心主任许剑卓都在某年会上再次给大家敲小黑板： 要加强互联网金融系统安全防护啊！ 言下之意是：不做好安全，被黑客盗了你都没地儿哭！警察蜀黍的提醒不无道理， 现实在“啪啪啪”地打着各类互联网金融App的脸 今年8月，包括移动互联网系统与应用安全国家工程实验室专家在内的一个研究团队对互联网金融安全平台“网贷之家”中2015年发展指数前100名的互联网金融公司旗下的Android移动应用进行信息安全评估，并对样本中的…
本文由：nsfocus 发布，版权归属于原作者。 如果转载，请注明出处及本文链接： http://toutiao.secjia.com/10-ways-hack-internet-of-vehicles 如果此文章侵权，请留言，我们进行删除。 0day
不久前，我们报道过一个新的恶意广告活动“ Stegano ” ，攻击者在主流新闻网站的广告图片像素中嵌入恶意代码并执行恶意操作。 现在，安全公司 Proofpoint 研究人员发现攻击者开始利用该恶意广告“ Stegano ”技术传播恶意软件 DNSChanger。DNSChanger 和其他恶意软件不同，它并不依赖于浏览器或者设备漏洞，而是利用家庭或小型办公室的路由器漏洞。DNSChanger 将更改 DNS 设置、劫持网络流量，进行中间人、欺诈、网络钓鱼攻击。 攻击原理： 攻击者在主流网站的广告图片中隐藏恶意代…
据外媒报道，在假新闻这个问题上，看起来德国政府对 Facebook 没有太大的信心。日前，德国方面出台了新的社交媒体平台假新闻惩罚机制：Facebook 以及其他社交媒体如果没能移除掉其平台上的假新闻或仇恨言论，那么它们将可能要面临 50 万欧元的罚金处罚。 虽然从字面上来看，这项新规针对的是所有社交媒体平台，但社会民主党议会主席Thomas Oppermann却在提供给《明镜周刊》的讲话中单独指出了Facebook。 “Facebook 并没有好好利用自身投诉管理系统问题的监管机会。现在，像 Facebook 等…
据外媒报道，日前，LinkedIn 开始向 55000 位用户发出一封通知邮件，告知他们旗下在线教育网站 Lynda.com 发生数据外泄，曝光的数据包括用户的联系人、课程等在线学习数据。不过这家公司表示，未经授权的第三方入侵了数据库，目前还没有证据表明用户的密码也在泄露数据范围之内，它仅提醒用户近期要多加小心，并且也没有在邮件中要求他们更改密码。 Lynda.com 在 2015 年 4 月被 LinkedIn 收购。而在一周半前，微软刚刚以 262 亿美元完成了对 LinkedIn 的收购，这也意味着 Lydi…
近日，加拿大教育质量和问责办公室（EQAO）发布公告称，由于教育系统遭受黑客攻击，今年 10 月份安大略省的中学英语（OSSLT） 考试被迫取消，几乎全省至少 15 万中学生考试受到影响。原计划明年 3 月将要进行的全省高中生考试将以笔试形式进行。 尽管系统部署初期已经考虑到可能的黑客攻击，但仍不敌黑客“恶意持续的分布式拒绝服务（DDoS）攻击”，目前官方仍在调查攻击来源，调查结果或将有助于系统进一步完善。 如果此文章侵权，请留言，我们进行删除。0day
2014 年 11 月，EFF、Mozilla、思科公司、网路存取加速服务公司 Akamai 等公司与密西根大学研究人员共同发起了一个名为 “Let’s Encrypt” 的项目，旨在推动全球网站的全面 HTTPS 化，由非营利的网际网路安全研究组织 Internet Security Research Group(ISRG) 负责营运。 近日有国外网友分别在谷歌论坛 和 Let’s Encrypt 论坛爆料称，就在 2014 年 Mozilla、思科公司等公司宣布公开 Let’s Encrypt 项目两天后，沃…