-
[站外广告]业务列表介绍和一般分类
业务列表介绍和一般分类：类别：攻击入侵破解开发1：攻击业务订单：暂时取消所有此类业务订单[仅销售常规IDC流量]2：入侵业务清单：包括网站源代码，办公系统，黑色系统，教育系统等。[接受授权的业务] ...
-
-
2018年网络安全行业大事记
2018年是各类网络安全事件陡增的一年，随着攻击性和防御性技术层出不穷，群众、企业甚至国家面临的攻击规模和复杂程度都在不断增加。回首过去一年，数据泄露、网络攻击、黑客组织活动、安全漏洞曝光、恶意软件、行业政策、市场活动及融资收购等各个方面均出现爆发式增长，云安全在世界范围内占据了中心位置。一、...
-
如何滥用SMB挂载点绕过客户端符号链接保护策略
0x00概述本文简要介绍了SMBv2中的一个有趣特性，可能用于横向渗透或者红方行动中。之前我曾专门花时间研究Windows上的符号链接（symboliclink）攻击，当时我仔细研究过SMB服务器。从SMBv2开始，该协议就已支持符号链接（特别是NTFS重解析点（ReparsePoint）...
-
蜡制人手骗过基于静脉的身份验证系统
生物特征识别身份验证是当今广为使用的设备及系统安全维护方式之一。除了人脸识别和指纹识别，生物特征识别如今新添一种基于静脉的身份验证。这种验证需要扫描用户手部皮肤之下静脉分布的范围、形状和位置。理论上而言，该方法似乎能万无一失地确保系统/设备的安全。然而，研究人员还是找到了骗过该静脉身份验证的...
-
如何滥用 GPO 攻击活动目录 Part 2
正文在我们真正开始修改GPO之前，我们需要尝试理解一些关于它们是如何在GPMC和AD中正常更新的复杂问题。因为请相信我，事情并没有看上去那么简单。当你首先创建一个GPO并命名它，然后查看它的“Details”选项卡时，你会看到它有以下User和Computer版本字段：#(AD,#(S...
-
在线欺诈：当今应用层主要安全问题
线上欺诈是通常发生在应用层上的一种网络犯罪形式。传统诈骗往往与尼日利亚王子求助信之类骗局、虚假交易和身份盗窃相关，但最近几年，随着消费级线上服务与应用变现方式的增加，欺诈的“潜力”被大幅开发。以下几种常见的欺诈攻击：刷虚假销量与评论来促销或提升卖家等级创建虚假账户攫取新用户促销优惠/礼券虚...
-
如何远程越狱一台iPhone X
奇虎360Vulcan团队安全研究员招啟汛日前发布了一个内核漏洞的概念验证，该漏洞是可远程越狱iPhoneX的漏洞利用链中的第二环。作为安全界比较低调的一名专家，推特账号S0rryMybad的招啟汛在该平台贴出了自己的概念验证(PoC，并称该“tfp0”漏洞利用可帮远程攻击者在不惊动用...
-
70%的公开漏洞出自3家供应商
金融服务行业监管严格，我们总会假定金融服务机构会及时处理可能导致数据泄露的缺陷和漏洞。客户看到的公开漏洞中有70%都出自3家主流供应商：Oracle、微软和Adobe。这是网络安全公司KennaSecurity研究调查过企业的漏洞应对方式之后得出的结论。他们的研究报告题为《从排序到预测》...
-
IoT安全噩梦：Skill Squatting
联网设备快速增殖，物联网(IoT技术迅速超越了基本联网装置和可穿戴设备的范畴，语音处理等更复杂的互动式功能开始冒头，智能音箱之类声控设备迎来极大增长。AdobeAnalytics的调查研究显示：2018年，受访消费者中32%拥有智能音箱，上年同期的比例是28%。语音助手产品的采用率甚至超过了...
-
WordPress 5.0.0远程代码执行漏洞分析
一、概要本文详细介绍了如何通过路径遍历及本地文件包含（LFI）漏洞，在WordPress中实现远程代码执行（RCE）。该漏洞在WordPress中已存在6年之久。攻击视频参考此处链接。在WordPress站点上，如果攻击者具备author及以上权限，就可以在底层服务器上执行任意PHP代码，最终可...
-
锐捷网络与浙江大学达成战略合作 共建智慧教室探索新型教学模式
3月1日，锐捷网络股份有限公司（以下简称“锐捷网络”）与浙江大学信息技术中心（以下简称“浙江大学”）正式签署战略合作协议。双方将充分整合优势资源，建立深层次的战略合作关系，共同为高等教育信息化的发展作出积极贡献。图：锐捷网络与浙江大学战略签约仪式现场如今，在高校，重构教室环境、创建适合学生学习...
-
【DTCC2019】数据风云，十年变迁 - 第十届中国数据库技术大会隆重启动
作为国内备受关注的数据库及大数据领域技术盛会，第十届中国数据库技术大会（DTCC2019）隆重启动，将于2019年5月8日-5月10日，在北京市新云南大酒店召开。DTCC历经十年，见证并铭记了国内数据库技术的关键成长历程，本次大会又将是国内数据库技术领域的一次百花齐放的技术盛会。数据风云，十年变迁...
-
你需要的都帮你整理好了！RSAC主题演讲资料下载（含155份PPT）
早春三月，万物复苏。在网络安全行业，本周最为瞩目的就是一年一度的RSA安全大会。今年RSA大会新增了两个阶段的主题演讲，WestStage主题演讲将继续作为会议主办者的主题演讲，包括研究小组和有知名度的演讲嘉宾，SouthStage主题演讲将利用新开设的MosconeCenterSout...
-
针对过时的RNG随机数发生器的有效状态恢复攻击
“PracticalstaterecoveryattacksagainstlegacyRNGimplementations”由ShaananN.Cohney,MatthewD.Green,NadiaHeninger三位研究员发表于CCS2018会议上。论文中，作者对数百种...
-
零日漏洞已成新常态？
微软研究显示，2017年每个被利用的Windows漏洞都是从零日攻击开始的。其他研究表明该趋势横跨整个IT领域。IT安全界传统观点认为零日漏洞利用很稀少，我们更需关注构成攻击主体的非零日漏洞。但2月7日的微软蓝帽大会(BlueHat上，微软安全研究员MattMiller以微软Win...
-
区分攻击：研究人员提出解决在线密码猜测攻击的新方法
自动在线密码猜测攻击——攻击者通过不断尝试不同的用户和密码组合来试图入侵用户账户，在近年来已经成为Web服务提供商面对的重大威胁。近日，两名研究人员在圣地亚哥的NDSS会议（NetworkandDistributedSystemSecuritySymposium）发表一篇文章，提出一种...
-
WordPress 5.1：从CSRF到RCE
一、前言注：此漏洞利用和环境较为复杂，实际价值可能并不是很高，但对于XSS与权限管理也有一定参考价值。上个月我们公布了WordPress5.0中一个远程代码执行（RCE）漏洞（需通过身份认证）。本文公布了WordPress5.1中存在的另一个严重的漏洞利用链，使未经身份认证的攻击者能够在5....
-
加速检测与响应的最新工具：MITRE ATT&CK 框架
几十年来，安全人员都忙于增加一层又一层的最新技术或威胁反馈，只为了改善他们的安全态势。很明显，这种方法收效甚微：攻击越来越多，数据泄露的平均损失越来越大。波耐蒙研究所最新数据泄露调查显示，数据泄露的平均损失从2017的362万美元增长到了2018年的386万美元。损失增长的背后有一大部分原因是攻...
-
给漏洞打分 介绍一下CVSS与Tripwire的差异
明白漏洞评分可能是一项艰巨的任务，但是一个好的开始是首先了解风险，并能够区分风险和漏洞。多年来，人们都在交替使用这两种方法。漏洞是指由于系统功能，配置或结构的某些方面的问题，使这些资源成为了潜在被滥用，利用或拒绝服务的目标。风险则是威胁成为一个特定漏洞的可能性。有很多方法可用于对漏洞进行排序...
-
Taj Mahal间谍软件传播5年才被发现 被用于窃取国家信息
网络安全研究人员昨天公布了一个高度复杂的间谍软件APT框架，该框架至少已运行了5年–但直到最近仍未被发现。该间谍软件被命名为TajMahal，是一种基于多模块的恶意软件工具包。安全研究院最早发现TajMahal工具包是在2018年底，黑客利用它来监视中亚某国家的外交组织的计算机。然而，通过...
-
1.175亿美元：雅虎30亿电子邮件账户被黑赔偿有望达成和解
近日，雅虎向加州北部地区法庭提交了修改版和解提案。若被接受，该提案将适用于美国和以色列的雅虎小企业及个人电子邮件账户拥有者。法庭在今年1月否决了雅虎的首版和解提案，称给律师的金额太高而被泄数据的30亿客户反而得不到多少赔偿。虽然雅虎在泄露事件后拆分成Altaba和Oath两家公司，为了本案，两...
入侵渗透 第126页
滇ICP备19002590号-1