2015年7月31日 星期五
工作週記 - Week2(7/27 ~ 7/31)
邁入上班的第二週,原本預計這週可以接同事的滲透測試,可惜主管出國,任務的重新分配得等到下週才能做調整。因此,這週的任務大致上有三項:
(1)到客戶公司做弱掃
(2)弱掃報告的產出
(3)協助資安規範的制定
弱掃報告這東西一進來就有聽聞同事說程序很麻煩,不禁心想我當兵每個月跟學長、學弟在幫那些長官產的報告、圖表才想吐血, 就不信邪的寫信跟主管說想試著產上週的弱掃報告看看,主管也就同意了。
一開始在環境架設上折騰一陣子,因為使用的傢伙都是公司的大大們寫出來的自動化工具,缺一些元件就執行不起來,再加上有很多小細節的部份沒做個幾次真的搞不定(雖然當兵在做的報告細節大概是這個的100萬倍吧),搞了兩天才把上週的報告搞定。
這週也是自己第一次單槍匹馬上陣到客戶那做弱掃,幸好筆記有做完整,當下沒出什麼問題,結果沒想到我才去完隔天就GG啦,後來聽同事說才知道,是客戶的頻寬問題,同事調整掃描參數的設定後還是無解,就先幫客戶處理比較緊急的事情-產報告。嗯,第二份....不過有了上次的經驗,這次大概半天就搞定了,不過跟同事的產出速度還是差太多了,要再多練習就是。
另外公司內部開始為期兩個月,每週上兩天,一天上三個小時的行動裝置安全相關的線上教育訓練課程,這些時間只要自己有興趣就可以到會議室上課,因為課程全英文,我的英文又是菜逼八的程度,就勞煩公司大大在每個章節後大略的翻譯,後來有同事問他說「怎麼你英文這麼強」,他只淡淡地回了句「因為他說的是英文阿」。嗯,我跪了。
來了兩個禮拜,覺得公司學習風氣很好,聽到有同事每週會強迫自己做一個主題的教學分享,我就決定也要效仿一下,假日的時候抽點空學些新玩具來分享,雖然最近被指派接行動裝置的安全部分,要花時間看Android和iOS架構,下週被主管指定要做一份報告的心得分享、出差到桃園龜山,再下下週還有研討會的心得報告,再隔一週估計還有一個,希望有時間玩新工具啊....
本週工作心得:
1.當員工遇到問題時,主管應先告知解決問題的原則性,再授權員工去做處理。
2.在報告、會議中的發言,背後都應有實質的證據或理論來支撐你的論述。
3.同一句話不要讓別人說第二次。
4.任務完成後務必告知主管狀況,若無法在期限前交付任務時,應提前通知。
5.善用你身邊的工具。
6.不要被動等待任務,主動尋找學習機會。
7.再次檢查任何人提交的任何資料。
8.信件來往前,務必搞清楚狀況、內容。
9.可以自己解決的問題盡可能不要麻煩別人。
10.學無止盡,尤其是在搞資訊的。
本週工作筆記:
1.本機與virtual box虛擬機檔案互傳的方法:
(1)打開虛擬機->裝置->共用資料夾->共用資料夾->點新增圖示
(2)選擇資料夾路徑->資料夾名稱可自訂->選項部分看自己設定,我只設定「設為永久」(重開虛擬機要再輸入下面的指令)
(3)到虛擬機找路徑新增一個共用的資料夾
(4)終端機輸入:mount -t vboxsf [本機共用資料夾的名稱] [虛擬機資料夾路徑]
#注意:本機與虛擬機設定的共享資料夾名稱不能相同
2.Android app之socket常見安全問題:
许多Android应用不正确地使用网络socket端口传入命令进行跨进程通信,而且对于本地应用环境,网络socket也先天缺乏细粒度的认证授权机制,因此把Android客户端当做服务器,使用“攻”的方法,主动向开放端口发送攻击载荷也是可行的。这种漏洞一旦存在,轻则本地提权,重则为远程利用的高危漏洞,3G移动网络允许UE互访更是加剧了这种风险。
詳細參考:浅谈Android开放网络端口的安全风险
如欲閱讀更多工作心得,請見 工作週記
7/31 晨摘
- 資訊安全:
1.入侵门禁系统的“神器”仅售10美刀 by Freebuf
近日有2位安全研究员开发出了一种仅需10刀的微型设备,它可以轻易的绕过RFID卡。该设备叫做BLEkey,或者叫做蓝牙低能量设备,可被嵌入进RFID读卡器中。当下大部分的RFID读卡器都使用Wiegand通信协议,BLEkey利用该协议中的一个漏洞来克隆或者读取RFID卡信息。
不完全统计,近80%的办公大楼仍然使用存在安全问题的RFID卡管理大楼人员的进出和安全。所以各公司应该尽快替换掉这一存在安全问题的系统,同时, Baseggio还建议实施以下措施:
(1)启用强拆开关,检测是否有人干扰了读卡器
(2)在读卡器上安装一个摄像头,捕捉入侵者的照片
2.美国正在修改其具有争议的0day出口政策 by 360安全播报
美国于2013年签署了瓦森纳协议,尽管“瓦森纳安排”规定成员国自行决定是否发放敏感产品和技术的出口许可证,并在自愿基础上向“安排”其他成员国通报有关信息。但“安排”实际上完全受美国控制。协议确切的规定是可以进行公开解释的,而且该协议也对入侵软件的出口进行了严格的控制。
从近期的争议中,我们可以看到,想要在不影响安全研究人员工作的情况下修改这些控制条款是非常困难的,除非他们能够在十二月各成员国的年度会议上对瓦森纳协议进行修订。
3.又一轮电邮中间人攻击来袭 企业如何自保? by Nick Lewis
互联网犯罪投诉中心日期发出了有关针对企业的电子邮件中间人攻击的警告。这个攻击活动被称为“Business Email Compromise”,据称在过去一年内,该攻击已经导致全球企业损失近2.15亿美元,其攻击目标是与国外供应商合作或定期进行电汇支付的公司。
在这种攻击中,恶意攻击者会感染电子邮件账户,或者创建与合法企业人员相似的账户,这些目标人员通常有权力进行金融交易或者指导他人进行金融交易。攻击者可能会通过搜索企业网站来瞄准CFO、CEO或其他有权力进行交易的特定人员。
Business Email Compromise攻击本质上是网络钓鱼攻击的扩展形式,不同之处在于,它需要诱使另一个人来完成受感染账户要求的金融交易。
近日有2位安全研究员开发出了一种仅需10刀的微型设备,它可以轻易的绕过RFID卡。该设备叫做BLEkey,或者叫做蓝牙低能量设备,可被嵌入进RFID读卡器中。当下大部分的RFID读卡器都使用Wiegand通信协议,BLEkey利用该协议中的一个漏洞来克隆或者读取RFID卡信息。
不完全统计,近80%的办公大楼仍然使用存在安全问题的RFID卡管理大楼人员的进出和安全。所以各公司应该尽快替换掉这一存在安全问题的系统,同时, Baseggio还建议实施以下措施:
(1)启用强拆开关,检测是否有人干扰了读卡器
(2)在读卡器上安装一个摄像头,捕捉入侵者的照片
2.美国正在修改其具有争议的0day出口政策 by 360安全播报
美国于2013年签署了瓦森纳协议,尽管“瓦森纳安排”规定成员国自行决定是否发放敏感产品和技术的出口许可证,并在自愿基础上向“安排”其他成员国通报有关信息。但“安排”实际上完全受美国控制。协议确切的规定是可以进行公开解释的,而且该协议也对入侵软件的出口进行了严格的控制。
从近期的争议中,我们可以看到,想要在不影响安全研究人员工作的情况下修改这些控制条款是非常困难的,除非他们能够在十二月各成员国的年度会议上对瓦森纳协议进行修订。
3.又一轮电邮中间人攻击来袭 企业如何自保? by Nick Lewis
互联网犯罪投诉中心日期发出了有关针对企业的电子邮件中间人攻击的警告。这个攻击活动被称为“Business Email Compromise”,据称在过去一年内,该攻击已经导致全球企业损失近2.15亿美元,其攻击目标是与国外供应商合作或定期进行电汇支付的公司。
在这种攻击中,恶意攻击者会感染电子邮件账户,或者创建与合法企业人员相似的账户,这些目标人员通常有权力进行金融交易或者指导他人进行金融交易。攻击者可能会通过搜索企业网站来瞄准CFO、CEO或其他有权力进行交易的特定人员。
Business Email Compromise攻击本质上是网络钓鱼攻击的扩展形式,不同之处在于,它需要诱使另一个人来完成受感染账户要求的金融交易。
- 自我成長:
1.隨機殺人事件是心理健康問題 by 朱春林
要求社會上沒有心理不健康的人是不合理的期待,何謂不健康是辯證問題。重點在社會以寬容的心接納各式各樣的人,以關懷的心接觸我們認為奇怪的人,一般看待心理會生病的事實,重視心理健康的重要,同時努力提升自己的心理健康功能。
2.我們要如何面對自己的缺乏安全感?! by PINSOUL
公平的對待彼此,可以幫助我們感到更多的安全感,讓我們願意更投入,更有生產力。所以你是一個在乎彼此相處是否公平的人,也常常把這件事情放在心上,你也最終能夠為身邊的每個人帶來幸福與滿足。
3.有效管理者的条件 by 德鲁克
(1)认识自己的时间
(2)注重成效
(3)不强人所难
(4)优先处理应该优先处理的事,次要的事根本不予理会
(5)制定有效的决策
要求社會上沒有心理不健康的人是不合理的期待,何謂不健康是辯證問題。重點在社會以寬容的心接納各式各樣的人,以關懷的心接觸我們認為奇怪的人,一般看待心理會生病的事實,重視心理健康的重要,同時努力提升自己的心理健康功能。
2.我們要如何面對自己的缺乏安全感?! by PINSOUL
公平的對待彼此,可以幫助我們感到更多的安全感,讓我們願意更投入,更有生產力。所以你是一個在乎彼此相處是否公平的人,也常常把這件事情放在心上,你也最終能夠為身邊的每個人帶來幸福與滿足。
3.有效管理者的条件 by 德鲁克
(1)认识自己的时间
(2)注重成效
(3)不强人所难
(4)优先处理应该优先处理的事,次要的事根本不予理会
(5)制定有效的决策
如欲閱讀更多文章摘要,請見 每日晨摘
2015年7月30日 星期四
7/30 晨摘
- 資訊安全:
1.关于libStagefright系列漏洞分析 by 百度安全攻防实验室
libStagefright默认会被mediaserver使用,也就是说,如果恶意的视频文件有机会被mediaserver处理到,该漏洞就有机会触发。
由于media是安卓中非常核心的一个服务(虽然权限不高),大量的功能都涉及到这个服务。如果仅仅stop media来停止这个服务,手机基本无法使用,例如无法显示出桌面。
2.七個物聯網廠商提高安全性和消除隱私憂慮的方法 by TREND LABS
(1)按照「安全設計」準則 – 從一開始就建立好防禦措施,而不是在設計好產品之後再加入
(2)最小化所收集的資料量,並且限制其保存的時間來減少遭受破壞性外洩事件的風險
(3)建立多層次網路安全防禦,從端點到在網路上先進的偵測APT攻擊針對性威脅
(4)確保所有員工都受到訓練,了解網路安全的重要性
(5)確保承包商和其他第三方廠商擁有跟內部員工相同的高安全標準
(6)遵循「最小權限」原則來實施嚴密的存取控制
(7)在嚴重問題成為已知時盡快提供設備安全修補程式
3.Windows 10今日首发 四大安全提升 by 安全牛
(1)基于硬件虚拟化的安全隔离
(2)支持多因子认证
(3)Edge浏览器
(4)核心的安全改进
libStagefright默认会被mediaserver使用,也就是说,如果恶意的视频文件有机会被mediaserver处理到,该漏洞就有机会触发。
由于media是安卓中非常核心的一个服务(虽然权限不高),大量的功能都涉及到这个服务。如果仅仅stop media来停止这个服务,手机基本无法使用,例如无法显示出桌面。
2.七個物聯網廠商提高安全性和消除隱私憂慮的方法 by TREND LABS
(1)按照「安全設計」準則 – 從一開始就建立好防禦措施,而不是在設計好產品之後再加入
(2)最小化所收集的資料量,並且限制其保存的時間來減少遭受破壞性外洩事件的風險
(3)建立多層次網路安全防禦,從端點到在網路上先進的偵測APT攻擊針對性威脅
(4)確保所有員工都受到訓練,了解網路安全的重要性
(5)確保承包商和其他第三方廠商擁有跟內部員工相同的高安全標準
(6)遵循「最小權限」原則來實施嚴密的存取控制
(7)在嚴重問題成為已知時盡快提供設備安全修補程式
3.Windows 10今日首发 四大安全提升 by 安全牛
(1)基于硬件虚拟化的安全隔离
(2)支持多因子认证
(3)Edge浏览器
(4)核心的安全改进
- 自我成長:
1.框架內的生活,著色依然需要靠我們自己! by 麥志綱
我們都活在框架之中,我們也很難改變這一切,有時候這些框架是很美的,就像秘密花園的繪本一樣從整體而看,還沒上色是一幅很美的話;但有時候我們無法從這樣全覽的視角來看,我們就會覺得框架壓抑了我們,我們走不出去,所以感到有些洩氣。
但事實是,框架不會消失,但我們可以用著色繪本的精神,幫自己在這些故事中選擇顏色,最終框架的色彩還是自己決定的,或許大多數人的生活圖像都很類似,但塗上的色彩可能都有所不同,各自精彩!
2.生活中的每一步都是一種嘗試,但絕對不是最後的終點! by pinsoul
人類能夠從逆境中成長,踏在自己的錯誤中跨過去,而這些錯誤的過程,都代表著我們自己的、獨特的、個人真誠的生活。
品味每一步,不論你碰到的是什麼,把這一切當成能證明自己的機會,當成能讓你透過自身的潛力,通往最終目標的機會。每一條路徑,都可能是一趟獨特的旅程,或說也都能成為一趟獨特的旅程。品味每一步,但我們不需要一步的小踉蹌,而駐足不前。
3.面對別人的痛苦,你依然可以保持開放的心胸嗎? by pinsoul
(1)保持溫暖的心
(2)做自己能做的
(3)看見事情的全貌
我們都活在框架之中,我們也很難改變這一切,有時候這些框架是很美的,就像秘密花園的繪本一樣從整體而看,還沒上色是一幅很美的話;但有時候我們無法從這樣全覽的視角來看,我們就會覺得框架壓抑了我們,我們走不出去,所以感到有些洩氣。
但事實是,框架不會消失,但我們可以用著色繪本的精神,幫自己在這些故事中選擇顏色,最終框架的色彩還是自己決定的,或許大多數人的生活圖像都很類似,但塗上的色彩可能都有所不同,各自精彩!
2.生活中的每一步都是一種嘗試,但絕對不是最後的終點! by pinsoul
人類能夠從逆境中成長,踏在自己的錯誤中跨過去,而這些錯誤的過程,都代表著我們自己的、獨特的、個人真誠的生活。
品味每一步,不論你碰到的是什麼,把這一切當成能證明自己的機會,當成能讓你透過自身的潛力,通往最終目標的機會。每一條路徑,都可能是一趟獨特的旅程,或說也都能成為一趟獨特的旅程。品味每一步,但我們不需要一步的小踉蹌,而駐足不前。
3.面對別人的痛苦,你依然可以保持開放的心胸嗎? by pinsoul
(1)保持溫暖的心
(2)做自己能做的
(3)看見事情的全貌
如欲閱讀更多文章摘要,請見 每日晨摘
2015年7月29日 星期三
《網站滲透測試實務入門》筆記
1.資訊收集工具:
(1)nslookup(參考資料):查詢 URL 的實際 IP
(2)whois:查詢 Domain 的註冊資訊
(3)Google Hacking(參考資料):查詢已被 Google 爬過的資料
(4)SiteDigger:Google Hacking 懶人包
(5)theHarvester.py(參考資料):搜尋與此 Domain 有關的電子郵件位址等資訊
(6)HTTrack:將站台的內容複製到本機(離線瀏覽工具)
(7)DirBuster:暴力猜測可能的 URL
(8)線上漏洞資料庫:查詢是否有已被發現的弱點
2.網站探測及弱點評估工具:
(1)NMAP(參考資料):Port 掃描
(2)ZENMAP:圖形化的 NMAP
(3)OWASP ZAP(參考資料):網頁 URL 掃描與測試
(4)w3af(參考資料):以挖掘、評估、攻擊程序所發展的網站安全評估框架,可以透過 Plugin 方式擴充
(5)MSBSA(參考資料):企業內部電腦的安全防護評估工具
(6)wFetch:測試網站支援的 HTTP 請求類型
3.網站滲透工具:
(1)WebScarab(參考資料):做為 Local Proxy,攔截網頁請求 / 回應的內容
(2)OWASP ZAP:做為 Local Proxy,攔截網頁請求 / 回應的內容
(3)BurpSuite(參考資料):做為 Local Proxy,攔截網頁請求 / 回應的內容、線上暴力猜測
(4)the-hydra.py(參考資料):以密碼字典檔的方式,進行線上密碼猜測工具
(5)SQLMap.py(參考資料):對 SQL Injection 漏洞欄位進行資料庫暴力破解
4.離線密碼破解:
(1)RainbowCrack(參考資料):利用事先建立的彩虹表,進行加密比對方式的密碼破解
(2)John the Ripper(參考資料):利用密碼字典,逐字加密後比對的密碼破解
(1)nslookup(參考資料):查詢 URL 的實際 IP
(2)whois:查詢 Domain 的註冊資訊
(3)Google Hacking(參考資料):查詢已被 Google 爬過的資料
(4)SiteDigger:Google Hacking 懶人包
(5)theHarvester.py(參考資料):搜尋與此 Domain 有關的電子郵件位址等資訊
(6)HTTrack:將站台的內容複製到本機(離線瀏覽工具)
(7)DirBuster:暴力猜測可能的 URL
(8)線上漏洞資料庫:查詢是否有已被發現的弱點
2.網站探測及弱點評估工具:
(1)NMAP(參考資料):Port 掃描
(2)ZENMAP:圖形化的 NMAP
(3)OWASP ZAP(參考資料):網頁 URL 掃描與測試
(4)w3af(參考資料):以挖掘、評估、攻擊程序所發展的網站安全評估框架,可以透過 Plugin 方式擴充
(5)MSBSA(參考資料):企業內部電腦的安全防護評估工具
(6)wFetch:測試網站支援的 HTTP 請求類型
3.網站滲透工具:
(1)WebScarab(參考資料):做為 Local Proxy,攔截網頁請求 / 回應的內容
(2)OWASP ZAP:做為 Local Proxy,攔截網頁請求 / 回應的內容
(3)BurpSuite(參考資料):做為 Local Proxy,攔截網頁請求 / 回應的內容、線上暴力猜測
(4)the-hydra.py(參考資料):以密碼字典檔的方式,進行線上密碼猜測工具
(5)SQLMap.py(參考資料):對 SQL Injection 漏洞欄位進行資料庫暴力破解
4.離線密碼破解:
(1)RainbowCrack(參考資料):利用事先建立的彩虹表,進行加密比對方式的密碼破解
(2)John the Ripper(參考資料):利用密碼字典,逐字加密後比對的密碼破解
7/29 晨摘
- 資訊安全:
1.暑假之旅的四個網路安全備忘錄 by TREND LABS
(1)用不安全和未經驗證的無線網路可能會帶來許多風險。
(2)暑假出遊相關關鍵字,已出現網路釣魚網站。
(3)只相信官方應用程式商店,避免使用第三方商店。
(4)進行網路購物或付款時,確保你使用下載自官方應用程式商店的官方銀行或支付應用程式。
2.安卓曝大漏洞:一条彩信可控制手机,影响95%设备 by FreeBuf
漏洞发现于原生的 Android 的 Stagefight 媒体库上,堪称移动世界的“心脏滴血”。几乎所有 Android 设备都含有此安全问题,攻击者会向那些没有安装补丁的用户发动针对性攻击,受害者的隐私、数据将会暴露在风险之中。
stagefright不只是用来播放媒体文件的,还能自动产生缩略图(thumbnail),或者从视频或音频文件中抽取元数据,如长度、高度、宽度、帧频、频道和其他类似信息。
3.三种新的针对IOS的假面攻击方法(Masque Attacks) by Fnut
在最近的IOS8.4版本里,苹果修复了几个漏洞包括允许攻击者部署两种新型的假面攻击(CVE-2015-3722/3725,和CVE-2015-3725)。我们叫这两种利用方法Manifest Masque和Extension Masque,它们可以被用来摧毁apps,包括系统应用程序(比如:Apple Watch,Health,Pay等等),并且可以破坏应用的数据容器。
Manifest Masque攻击利用了CVE-2015-3722/3725漏洞来破坏在IOS系统内已经存在的应用程序,当受害者使用企业配置文件通过无线来从一个网页上安装IOS内部的应用程序时。被摧毁的应用程序(攻击的目标)可以使一个常规的从官方应用商店下载的应用程序,或者是更重要的系统应用程序。
Extension Masque可以破坏应用程序数据容器的约束。一个和IOS内部的应用程序一起安装的恶意的扩展应用程序可以获得所有目标应用程序的数据容器,或者也可以组织目标应用程序获得它自己的数据容器。
Plugin Masque Attack可以被注入到neagent进程并且可以执行特权操作,比如在不引起用户注意的情况下监控所有VPN的通信。
(1)用不安全和未經驗證的無線網路可能會帶來許多風險。
(2)暑假出遊相關關鍵字,已出現網路釣魚網站。
(3)只相信官方應用程式商店,避免使用第三方商店。
(4)進行網路購物或付款時,確保你使用下載自官方應用程式商店的官方銀行或支付應用程式。
2.安卓曝大漏洞:一条彩信可控制手机,影响95%设备 by FreeBuf
漏洞发现于原生的 Android 的 Stagefight 媒体库上,堪称移动世界的“心脏滴血”。几乎所有 Android 设备都含有此安全问题,攻击者会向那些没有安装补丁的用户发动针对性攻击,受害者的隐私、数据将会暴露在风险之中。
stagefright不只是用来播放媒体文件的,还能自动产生缩略图(thumbnail),或者从视频或音频文件中抽取元数据,如长度、高度、宽度、帧频、频道和其他类似信息。
3.三种新的针对IOS的假面攻击方法(Masque Attacks) by Fnut
在最近的IOS8.4版本里,苹果修复了几个漏洞包括允许攻击者部署两种新型的假面攻击(CVE-2015-3722/3725,和CVE-2015-3725)。我们叫这两种利用方法Manifest Masque和Extension Masque,它们可以被用来摧毁apps,包括系统应用程序(比如:Apple Watch,Health,Pay等等),并且可以破坏应用的数据容器。
Manifest Masque攻击利用了CVE-2015-3722/3725漏洞来破坏在IOS系统内已经存在的应用程序,当受害者使用企业配置文件通过无线来从一个网页上安装IOS内部的应用程序时。被摧毁的应用程序(攻击的目标)可以使一个常规的从官方应用商店下载的应用程序,或者是更重要的系统应用程序。
Extension Masque可以破坏应用程序数据容器的约束。一个和IOS内部的应用程序一起安装的恶意的扩展应用程序可以获得所有目标应用程序的数据容器,或者也可以组织目标应用程序获得它自己的数据容器。
Plugin Masque Attack可以被注入到neagent进程并且可以执行特权操作,比如在不引起用户注意的情况下监控所有VPN的通信。
- 自我成長:
1.錢多、事少、離家近真的好嗎? by 丁菱娟
不要因為輕鬆而工作,它會讓你喪志。找出你的興趣、你的動力,找出你的渴望,唯有這些元素才能驅動你的熱情,不畏挑戰,全力以赴。生命最後會回饋給你一個豐富而不悔的人生。
2.人怎样才能克服虚荣之心 by 李银河
在物质生活上,应取满足基本需求的态度,这才是“实”,炫耀则是“虚”。在两种产品质量基本相同的情况下,即价值相同时,不应当追求名牌,即价格高的那一个。这样就克服了虚荣之心。
在精神生活上,应取关注过程不关注结果的态度,过程才是“实”,结果则是“虚”。比如更关注写作过程中的快乐,而不是关注出版和人们的评价。
3.哪六招就可以建立自信? by Anna
(1)从身体语言着手
(2)从着装着手
(3)说话要果断
(4)不论是思考还是行动,都往积极的一面去想
(5)采取行动
(6)做好准备
不要因為輕鬆而工作,它會讓你喪志。找出你的興趣、你的動力,找出你的渴望,唯有這些元素才能驅動你的熱情,不畏挑戰,全力以赴。生命最後會回饋給你一個豐富而不悔的人生。
2.人怎样才能克服虚荣之心 by 李银河
在物质生活上,应取满足基本需求的态度,这才是“实”,炫耀则是“虚”。在两种产品质量基本相同的情况下,即价值相同时,不应当追求名牌,即价格高的那一个。这样就克服了虚荣之心。
在精神生活上,应取关注过程不关注结果的态度,过程才是“实”,结果则是“虚”。比如更关注写作过程中的快乐,而不是关注出版和人们的评价。
3.哪六招就可以建立自信? by Anna
(1)从身体语言着手
(2)从着装着手
(3)说话要果断
(4)不论是思考还是行动,都往积极的一面去想
(5)采取行动
(6)做好准备
如欲閱讀更多文章摘要,請見 每日晨摘
2015年7月28日 星期二
7/28 晨摘
- 資訊安全:
1.如何保護你的家用路由器? by TREND LABS
保護家用路由器的五個建議:
(1)變更預設的管理設定
(2)使用加密
(3)停用遠端存取相關的功能
(4)定期更新韌體
(5)啟用路由器的防火牆
2.Hacking Team移动智能设备入侵途径—WAP PUSH by 安恒信息
Hacking Team的RCS针对的系统平台覆盖面广、泄漏的源码模块众多。安恒安全研究团队发现其中的vector-rmi-master.zip为一个WAP PUSH命令行工具。
WAP PUSH即WAP网络信息推送,黑客可在短消息中嵌入恶意链接,或直接用畸形数据对WAP PUSH服务发动攻击,结合政府级别的社工方法影响巨大。
3.黑客攻击“婚外情”网站Ashley Madison 后续:付费删除服务的用户隐私数据泄露 by 360安全播报
AshleyMadison.com是一个在线约会网站,它同时也是一个促成很多已婚人士出轨行为的重要因素。
这一周,有黑客将这个网站的用户个人隐私信息泄漏了出来,这些黑客曾威胁称,如果这个网站不立即关闭的话,他们就将网站用户的敏感信息全部披露出来。
这群黑客在7月19日攻破了这个网站,然后发布了一个针对“完全删除”功能的批判宣言,并称这个功能完全是一个用来骗钱的东西。黑客对公司的所作所为进行了控诉,称该公司在用户付费去删除他们自己的隐私数据后,公司仍然保留了这些用户的购物信息,真实姓名以及住所地址等信息。
保護家用路由器的五個建議:
(1)變更預設的管理設定
(2)使用加密
(3)停用遠端存取相關的功能
(4)定期更新韌體
(5)啟用路由器的防火牆
2.Hacking Team移动智能设备入侵途径—WAP PUSH by 安恒信息
Hacking Team的RCS针对的系统平台覆盖面广、泄漏的源码模块众多。安恒安全研究团队发现其中的vector-rmi-master.zip为一个WAP PUSH命令行工具。
WAP PUSH即WAP网络信息推送,黑客可在短消息中嵌入恶意链接,或直接用畸形数据对WAP PUSH服务发动攻击,结合政府级别的社工方法影响巨大。
3.黑客攻击“婚外情”网站Ashley Madison 后续:付费删除服务的用户隐私数据泄露 by 360安全播报
AshleyMadison.com是一个在线约会网站,它同时也是一个促成很多已婚人士出轨行为的重要因素。
这一周,有黑客将这个网站的用户个人隐私信息泄漏了出来,这些黑客曾威胁称,如果这个网站不立即关闭的话,他们就将网站用户的敏感信息全部披露出来。
这群黑客在7月19日攻破了这个网站,然后发布了一个针对“完全删除”功能的批判宣言,并称这个功能完全是一个用来骗钱的东西。黑客对公司的所作所为进行了控诉,称该公司在用户付费去删除他们自己的隐私数据后,公司仍然保留了这些用户的购物信息,真实姓名以及住所地址等信息。
- 自我成長:
1.台灣服務業軟實力為何快速磨損? by 章定煊
(1)大量的使用實習生,接近於人力外包情況
(2)陸客大量湧入,超出服務能量
(3)以快速增加營業據點方式爭取市占
2.成為你該成為的那個人 by 丘美珍
走你自己的人生道路,成功不是能被測量、或是能戴在手上,或掛在牆上的東西。成功不是同事的尊敬,不是社群的崇拜……成功是堅定地知道,你已經成為自己,成為你應該成為的那個人。
3.别浪费主管的时间 by 世界经理人
(1)独立作业
(2)提出解决之道
(3)配合主管
(1)大量的使用實習生,接近於人力外包情況
(2)陸客大量湧入,超出服務能量
(3)以快速增加營業據點方式爭取市占
2.成為你該成為的那個人 by 丘美珍
走你自己的人生道路,成功不是能被測量、或是能戴在手上,或掛在牆上的東西。成功不是同事的尊敬,不是社群的崇拜……成功是堅定地知道,你已經成為自己,成為你應該成為的那個人。
3.别浪费主管的时间 by 世界经理人
(1)独立作业
(2)提出解决之道
(3)配合主管
如欲閱讀更多文章摘要,請見 每日晨摘
2015年7月27日 星期一
《DDoS分散式阻斷服務攻擊深度解析》筆記
1.殭屍網路的組建:
(1)節點:
2.攻擊網路頻寬資源
(1)反射和放大攻擊分散式阻斷服務攻擊(DRDos):利用路由器、伺服器等設施對請求產生應答,從而反射攻擊流量並隱藏來源。
其特別之處在於目的 IP 位址指向反射器的伺服器,來源 IP 位址被偽造成被攻擊目標的 IP 位址。
(2)ACK 反射攻擊:攻擊者將 SYN 的來源 IP 位址偽造成被攻擊目標的 IP 位址,伺服器的應答就會直接發送給被攻擊目標。
(3)DNS 放大攻擊:攻擊者偽造被攻擊目標的 IP 位址,向開放 DNS 解析器發送 dig 查詢,伺服器的應答就會直接發送給攻擊目標。更有效的方法是利用 EDNS0(參考資料)。攻擊者能利用dig(Domain Information Groper)和 EDNS0 進行高效的放大攻擊。
(4)NTP 放大攻擊:攻擊者偽造被攻擊目標的 IP 位址,向 NTP 伺服器發送 monlist 請求,伺服器的應答就會直接發送給攻擊目標。
(5)SNMP 放大攻擊:攻擊者偽造被攻擊目標的 IP 位址,向網路設備發送 GetBulk 請求,伺服器的應答就會直接發送給攻擊目標。
(6)攻擊鏈路(Coremelt 攻擊):首先,攻擊者透過 traceoute 等手段判斷各個殭屍主機和將要攻擊鏈路之間的位置關係,並根據結果將殭屍主機分為兩個部分。然後,攻擊者控制殭屍主機,使其與鏈路另一側的每一台殭屍主機進行通訊並收發大量資料。如此一來,大量的網路封包就會經過骨幹往上的被攻擊鏈路。
3.攻擊系統資源:
(1)TCP 連接洪水攻擊:建立大量惡意的 TCP 連接,占滿被攻擊目標的連接表,使目標無法接受新的 TCP 連接請求。
(2)SYN 洪水攻擊:發送大量的 TCP SYN 封包,使伺服器打開大量的半開連接,占滿伺服器的連接表,從而影響使用者與伺服器建立對話。更好的方式,是攻擊者將 SYN 封包的來源 IP 位址隨機偽造成其他主機的 IP 位址或不存在的 IP 位址,從而占用連接資源並隱藏攻擊者來源。
(3)PSH + ACK 洪水攻擊:發送大量的 PSH + ACK 資料包,以使攻擊目標消耗大量的系統資源不斷地進行接收緩衝區的清空處理。更有效的方式,是利用 SYN 洪水攻擊與 ACK 洪水攻擊相結合。
(4)RST 洪水攻擊:發送偽造的帶有 RST 標誌位元的 TCP 封包,強制中斷使用者端與伺服器的 TCP 連接。
(5)Stockstress 攻擊:
(6)THC SSL Dos 攻擊:在進行 SSL 連接並握手後,攻擊者不斷地進行金鑰重新協商過程,以消耗攻擊目標資源。
(7)SSL 洪水攻擊:利用 SSL 握手過程中,伺服器會對有效、無效的資料進行解密的特性。最好在資料傳輸之前,進行 SSL 握手的過程中發動攻擊。
4.攻擊應用資源:
(1)DNS QUERY 攻擊:不斷發送不同網域名稱的解析請求,以刷新 DNS 伺服器的快取,進而消耗資源。要點在於每一個 DNS 解析請求所查詢的網域名稱應是不同的,如此可避開 DNS 伺服器快取中的解析記錄,達到更好的資源消耗效果。
(2)DNS NXDOMAIN 洪水攻擊:同 DNS QUERY 攻擊,差異在於 NXDOMAIN 是查詢不存在的網域名稱。當 DNS 伺服器獲取不到網域名稱的解析結果時,還會再次進行遞迴查詢,更加重了資源的消耗。
(3)HTTP 洪水攻擊:發送大量 HTTP 請求給 Web 伺服器,使其不斷地進行身分驗證、資料庫查詢、文件存取的功能。
(4)Slowloris 攻擊:緩慢地發送無用的 header 欄位,並且一直不發送「\r\n\r\n」結束標誌,以長時間占用 Web 伺服器並保證該連接不會超時而被中斷。
(5)慢速 POST 請求攻擊:在請求標頭中將 Content-Length 設定為一個很大的值,並將 HTTP BODY 以非常緩慢的速度,一個位元組的向 Web 伺服器發送,以長時間佔用此連接。
(6)資料處理過程攻擊:Web 伺服器在收到 HTTP 請求之後,需要檢查並處理其中的資料,透過惡意構建請求資料的內容,攻擊者可以增加資料處理過程中的資源消耗。
5.工具:
(1)綜合性:
(2)壓力測試:
(3)專業攻擊:
6.DDos 攻擊的治理:
(1)Open Resolver Project:
(2)回應速率限制(RRL,參考資料)
(3)NIST SP 800-81:
7.DDos 攻擊流量的稀釋:
(1)CDN:在網際網路範圍內廣泛設定多個節點作為代理快取,並將使用者的造訪請求導向最近的快取節點,以加快存取速度。可透過智慧 DNS 實現。若攻擊者直接透過 IP 而非網域名稱進行攻擊,則無法進行智慧 DNS 分析,攻擊流量也無法分散到各個 CDN 節點上。
(2)Anycast:網路位址和網路節點是一對多的關係,每一個目的位址對應一群接收節點,但消息只會發送給拓樸結構上最近的節點。透過此技術,一組提供特定服務的主機可以使用相同的 IP 位址,同時,服務造訪方的請求封包將會被 IP 網路路由到這一組目標中拓樸結構最近的一台主機上。
8.DDos 攻擊流量的清洗:
(1)IP 信譽檢查
(2)攻擊特徵匹配
(3)速度檢查與限制
(4)TCP代理與驗證
(5)協定完整性驗證
(6)使用者端真實性驗證
(1)節點:
- PC
- 伺服器
- 移動設備
- IRC:為當主機受到感染成為 Bot,Bot 會嘗詴連線到 IRC 協定的封包所預先定義的 IRC 伺服器,並加入聊天頻道等候 Botmaster 的命令;當接收到命令時,Bot 即會對目標發動攻擊行為,再將結果回傳於頻道上。
- HTTP:當主機遭感染成為了 Bot 後,Bot 會連向 Botmaster 所指定的 C&C Server 註冊並 等候命令,Botmaster 將可以控制這群 Bot 進行管理與攻擊的動作,再經由 Bot 將攻擊的結果回報給 C&C Server。
- P2P:透過一組同儕清單(Peer List)連線至殭屍網路,Client Bot 便可以從 Server Bot 下載特定檔案執行,取得 Botmaster 的命令。
2.攻擊網路頻寬資源
(1)反射和放大攻擊分散式阻斷服務攻擊(DRDos):利用路由器、伺服器等設施對請求產生應答,從而反射攻擊流量並隱藏來源。
其特別之處在於目的 IP 位址指向反射器的伺服器,來源 IP 位址被偽造成被攻擊目標的 IP 位址。
(2)ACK 反射攻擊:攻擊者將 SYN 的來源 IP 位址偽造成被攻擊目標的 IP 位址,伺服器的應答就會直接發送給被攻擊目標。
(3)DNS 放大攻擊:攻擊者偽造被攻擊目標的 IP 位址,向開放 DNS 解析器發送 dig 查詢,伺服器的應答就會直接發送給攻擊目標。更有效的方法是利用 EDNS0(參考資料)。攻擊者能利用dig(Domain Information Groper)和 EDNS0 進行高效的放大攻擊。
(4)NTP 放大攻擊:攻擊者偽造被攻擊目標的 IP 位址,向 NTP 伺服器發送 monlist 請求,伺服器的應答就會直接發送給攻擊目標。
(5)SNMP 放大攻擊:攻擊者偽造被攻擊目標的 IP 位址,向網路設備發送 GetBulk 請求,伺服器的應答就會直接發送給攻擊目標。
(6)攻擊鏈路(Coremelt 攻擊):首先,攻擊者透過 traceoute 等手段判斷各個殭屍主機和將要攻擊鏈路之間的位置關係,並根據結果將殭屍主機分為兩個部分。然後,攻擊者控制殭屍主機,使其與鏈路另一側的每一台殭屍主機進行通訊並收發大量資料。如此一來,大量的網路封包就會經過骨幹往上的被攻擊鏈路。
3.攻擊系統資源:
(1)TCP 連接洪水攻擊:建立大量惡意的 TCP 連接,占滿被攻擊目標的連接表,使目標無法接受新的 TCP 連接請求。
(2)SYN 洪水攻擊:發送大量的 TCP SYN 封包,使伺服器打開大量的半開連接,占滿伺服器的連接表,從而影響使用者與伺服器建立對話。更好的方式,是攻擊者將 SYN 封包的來源 IP 位址隨機偽造成其他主機的 IP 位址或不存在的 IP 位址,從而占用連接資源並隱藏攻擊者來源。
(3)PSH + ACK 洪水攻擊:發送大量的 PSH + ACK 資料包,以使攻擊目標消耗大量的系統資源不斷地進行接收緩衝區的清空處理。更有效的方式,是利用 SYN 洪水攻擊與 ACK 洪水攻擊相結合。
(4)RST 洪水攻擊:發送偽造的帶有 RST 標誌位元的 TCP 封包,強制中斷使用者端與伺服器的 TCP 連接。
(5)Stockstress 攻擊:
- 攻擊者在三次握手的最後一次 ACK 應答中,將其 TCP 視窗大小設定為 0,隨後進行一次資料請求,使攻擊目標一直維持 TCP 連接等待資料發送,並不斷進行視窗更新的探測。
- 將 TCP 視窗設定為一個非常小的值,使攻擊目標不得不把需要發送的資料切分成大量的分片,以消耗目標的資源。
(6)THC SSL Dos 攻擊:在進行 SSL 連接並握手後,攻擊者不斷地進行金鑰重新協商過程,以消耗攻擊目標資源。
(7)SSL 洪水攻擊:利用 SSL 握手過程中,伺服器會對有效、無效的資料進行解密的特性。最好在資料傳輸之前,進行 SSL 握手的過程中發動攻擊。
4.攻擊應用資源:
(1)DNS QUERY 攻擊:不斷發送不同網域名稱的解析請求,以刷新 DNS 伺服器的快取,進而消耗資源。要點在於每一個 DNS 解析請求所查詢的網域名稱應是不同的,如此可避開 DNS 伺服器快取中的解析記錄,達到更好的資源消耗效果。
(2)DNS NXDOMAIN 洪水攻擊:同 DNS QUERY 攻擊,差異在於 NXDOMAIN 是查詢不存在的網域名稱。當 DNS 伺服器獲取不到網域名稱的解析結果時,還會再次進行遞迴查詢,更加重了資源的消耗。
(3)HTTP 洪水攻擊:發送大量 HTTP 請求給 Web 伺服器,使其不斷地進行身分驗證、資料庫查詢、文件存取的功能。
(4)Slowloris 攻擊:緩慢地發送無用的 header 欄位,並且一直不發送「\r\n\r\n」結束標誌,以長時間占用 Web 伺服器並保證該連接不會超時而被中斷。
(5)慢速 POST 請求攻擊:在請求標頭中將 Content-Length 設定為一個很大的值,並將 HTTP BODY 以非常緩慢的速度,一個位元組的向 Web 伺服器發送,以長時間佔用此連接。
(6)資料處理過程攻擊:Web 伺服器在收到 HTTP 請求之後,需要檢查並處理其中的資料,透過惡意構建請求資料的內容,攻擊者可以增加資料處理過程中的資源消耗。
5.工具:
(1)綜合性:
- Hping:ICMP/UDP/SYN
- PenTBox:SYN/TCP
- Zarp:SYN
(2)壓力測試:
- LOIC:UDP/TCP/HTTP GET
- HOIC:HTTP GET
- HULK:HTTP GET
(3)專業攻擊:
- Slowloris:HTTP GET
- R.U.D.Y.:HTTP POST
- THC SSL DOS:SSL renegotiation
6.DDos 攻擊的治理:
(1)Open Resolver Project:
- 限制允許造訪的位址範圍(參考資料)
- 採用 RRL
- 使用者端設備不應在廣域網路介面監聽 DNS 資料包,包括網路和廣播位址
(2)回應速率限制(RRL,參考資料)
(3)NIST SP 800-81:
- 實施適當的系統和網路安全控制,確保 DNS 託管環境,如作業系統和應用程式安裝補丁程式、進程隔離和網路的容錯性
- 保護 DNS transaction(參考資料),例如網域名稱解析資料的更新和備份
- 使用基於非對稱加密的數位簽章以保護 DNS 的請求/應答 transaction(參考資料)
7.DDos 攻擊流量的稀釋:
(1)CDN:在網際網路範圍內廣泛設定多個節點作為代理快取,並將使用者的造訪請求導向最近的快取節點,以加快存取速度。可透過智慧 DNS 實現。若攻擊者直接透過 IP 而非網域名稱進行攻擊,則無法進行智慧 DNS 分析,攻擊流量也無法分散到各個 CDN 節點上。
(2)Anycast:網路位址和網路節點是一對多的關係,每一個目的位址對應一群接收節點,但消息只會發送給拓樸結構上最近的節點。透過此技術,一組提供特定服務的主機可以使用相同的 IP 位址,同時,服務造訪方的請求封包將會被 IP 網路路由到這一組目標中拓樸結構最近的一台主機上。
8.DDos 攻擊流量的清洗:
(1)IP 信譽檢查
(2)攻擊特徵匹配
(3)速度檢查與限制
(4)TCP代理與驗證
(5)協定完整性驗證
(6)使用者端真實性驗證
【公司的品格:22個案例,了解公司治理和上市櫃公司的財務陷阱】讀後感
1.有效公司的治理架構:
(1)股東權利:
(2)利害關係人作用:
(3)董事會責任:
(4)資訊揭露與透明度:
(5)公平對待股東:
2.IBM 培訓接班人方式:
(1)板凳計畫:建立接班梯次。所有主管接負有挖掘人才和培養部屬的責任。
(2)師徒制:被評為「明日之星」的前 20% 新人,可在資歷為 Band 7級以上的員工中尋找一位擔任其導師。
(3)特別助理制:讓即將出任區域總裁的人到職前,需先擔任其他區域總裁三個月的特別助理。
3.IBM 的人才培養制度特點:
(1)透過訓練讓每位員工清楚公司文化,並了解自己在公司未來的發展計畫。
(2)透過考核及升遷制度,使培養接班人及挖掘人才這兩件事成為每位主管的核心工作。
(3)透過明日之星選拔與師徒制,能讓真正有潛力的人得到更多的培訓及深入了解 IBM 文化,並從中建立現任領導者和未來領導者的師生情誼。
(4)重要職位上任前,可以先從助理工作中體會未來工作內容,並從現任者身上學習其決策模式和風範。
4.巴菲特對於買回自家公司股票的意見:
(1)公司回購股票時,應將公司財務健全視為第一要務,只有在不影響公司正常營運並確定公司現金運用沒有比回購自家股票更好的投資下進行。
(2)公司回購價格應有規範,不應是老闆自己認為股價偏低就進行庫藏股。
(3)公司宣佈進行股票回購後,期待的是股價的下跌,因為只有用愈低的價格買進才能為股東創造更多的價值。
(1)股東權利:
- 行使股東基本權利
- 參與重大變化的決策
- 參加股東會和投票
- 揭露股權偏離控制權
(2)利害關係人作用:
- 尊重利害關係人權利
- 積極保持與利害關係人之有效溝通與合作
(3)董事會責任:
- 董事會善盡其受託責任
- 有效承擔職責
- 維持高道德標準
- 公平對待股東與利害關係人
(4)資訊揭露與透明度:
- 及時準確揭露公司資訊
- 聘任獨立會計師進行審計
- 避免與分析師形成利益衝突
(5)公平對待股東:
- 平等對待所有股東
- 不受控制股東侵害
- 禁止內線與自我交易
2.IBM 培訓接班人方式:
(1)板凳計畫:建立接班梯次。所有主管接負有挖掘人才和培養部屬的責任。
(2)師徒制:被評為「明日之星」的前 20% 新人,可在資歷為 Band 7級以上的員工中尋找一位擔任其導師。
(3)特別助理制:讓即將出任區域總裁的人到職前,需先擔任其他區域總裁三個月的特別助理。
3.IBM 的人才培養制度特點:
(1)透過訓練讓每位員工清楚公司文化,並了解自己在公司未來的發展計畫。
(2)透過考核及升遷制度,使培養接班人及挖掘人才這兩件事成為每位主管的核心工作。
(3)透過明日之星選拔與師徒制,能讓真正有潛力的人得到更多的培訓及深入了解 IBM 文化,並從中建立現任領導者和未來領導者的師生情誼。
(4)重要職位上任前,可以先從助理工作中體會未來工作內容,並從現任者身上學習其決策模式和風範。
4.巴菲特對於買回自家公司股票的意見:
(1)公司回購股票時,應將公司財務健全視為第一要務,只有在不影響公司正常營運並確定公司現金運用沒有比回購自家股票更好的投資下進行。
(2)公司回購價格應有規範,不應是老闆自己認為股價偏低就進行庫藏股。
(3)公司宣佈進行股票回購後,期待的是股價的下跌,因為只有用愈低的價格買進才能為股東創造更多的價值。
7/27 晨摘
- 資訊安全:
1.强大的安卓手机远程管理工具 – Droidjack by FreeBuf
Droidjack是一款针对安卓手机远程管理工具,功能特性如下:
(1)可以生成一个APK,绑定在被控手机的任何APP上
(2)可在电脑端控制手机,包括浏览、传输、删除文件等
(3)可进行SMS短信收发和查看功能
(4)可以控制手机的电话功能
(5)联系人管理
(6)麦克风监听
(7)GPS定位
(8)APP管理
2.苹果、三星纷纷中枪:没有一个智能手表是安全的 by FreeBuf
惠普公司测试了当今十大流行智能手表的安全性(包括数据加密、密码保护和隐私问题)后得出结论——三星和苹果在内的所有智能手表都不安全,极易遭到黑客攻击。
测试报告发现的主要问题如下:
(1)缺乏传输加密:尽管所有产品都使用了SSL/TLS协议,但是研究人员发现40%的设备中可能受贵宾犬(POODLE)漏洞影响。其中可能使用弱加密,或者使用SSLv2协议。
(2)接口不安全:30%的智能手表使用的基于云的WEB接口,这些都容易受到攻击。黑客可以无限制尝试,爆破密码。
(3)用户身份验证不足:不足30%的智能手表未能提供双重认证,也没有尝试三到五次密码就锁定账户的限制机制。
(4)固件软件不安全:70%的固件更新有问题。那些可穿戴设备,包括智能手表,常常不接受加密的更新,但是不少产品使用了签名来进行认证防恶意更新。缺乏加密导致了设备不能下载文件和分析。
(5)隐私问题:这类设备几乎都会收集某种形式的个人信息,如用户名、地址、出生日期、性别、心率、体重,以及其他健康数据。
3.窃听电话的Hacking Team RCSAndroid木马 by qxz_xp
趋势科技研究人员发现的这种新木马叫做RCSAndroid,并称之为是迄今为止安卓中“最专业和最复杂”的恶意程序之一。该远程访问木马经过进化,可以在没有root权限的情况下入侵手机并无法被清除。最好的建议就是寻求手机制造商的帮助,重新清理手机。
Droidjack是一款针对安卓手机远程管理工具,功能特性如下:
(1)可以生成一个APK,绑定在被控手机的任何APP上
(2)可在电脑端控制手机,包括浏览、传输、删除文件等
(3)可进行SMS短信收发和查看功能
(4)可以控制手机的电话功能
(5)联系人管理
(6)麦克风监听
(7)GPS定位
(8)APP管理
2.苹果、三星纷纷中枪:没有一个智能手表是安全的 by FreeBuf
惠普公司测试了当今十大流行智能手表的安全性(包括数据加密、密码保护和隐私问题)后得出结论——三星和苹果在内的所有智能手表都不安全,极易遭到黑客攻击。
测试报告发现的主要问题如下:
(1)缺乏传输加密:尽管所有产品都使用了SSL/TLS协议,但是研究人员发现40%的设备中可能受贵宾犬(POODLE)漏洞影响。其中可能使用弱加密,或者使用SSLv2协议。
(2)接口不安全:30%的智能手表使用的基于云的WEB接口,这些都容易受到攻击。黑客可以无限制尝试,爆破密码。
(3)用户身份验证不足:不足30%的智能手表未能提供双重认证,也没有尝试三到五次密码就锁定账户的限制机制。
(4)固件软件不安全:70%的固件更新有问题。那些可穿戴设备,包括智能手表,常常不接受加密的更新,但是不少产品使用了签名来进行认证防恶意更新。缺乏加密导致了设备不能下载文件和分析。
(5)隐私问题:这类设备几乎都会收集某种形式的个人信息,如用户名、地址、出生日期、性别、心率、体重,以及其他健康数据。
3.窃听电话的Hacking Team RCSAndroid木马 by qxz_xp
趋势科技研究人员发现的这种新木马叫做RCSAndroid,并称之为是迄今为止安卓中“最专业和最复杂”的恶意程序之一。该远程访问木马经过进化,可以在没有root权限的情况下入侵手机并无法被清除。最好的建议就是寻求手机制造商的帮助,重新清理手机。
- 自我成長:
1.因為小題、才要大作 by 張國洋
在外面上班,很多時候比的還不單單是能力。 怎麼控制主管的不安全感,有時候比能力還重要。
如果上上層的主管不是因為特殊工作指派或是真賞識自己而召見,只是談論一些小事的狀況下,這些小題,請一定要大作的跟你主管詳細稟報。 這樣,在上班族的政治遊戲中,你才能平安順利。
2.高考决定不了你整个人生,人需要终身学习 by 荷兰在线
很多知性的爱好,并不需要年轻的体魄,若有强烈的内心驱动力,什么时候开始都不迟。若这么想,或许我们可以让年轻人放松一些,中老年抓紧一些,让整个一生产生结构性的变化,或许每个人都可以因此更有成效,也更能够享受生活。
3.从电影《成事在人》看曼德拉的领导力 by 李知霜
刚走上管理岗位的人应:
(1)接纳别人的情绪
(2)理清自己的定位
(3)确定团队的规则
(4)释放用人的标准
使下属产生正确的行为和结果:
(1)建立团队的信念系统
(2)引导团队建立正确的思维方式
(3)建立正确的团队价值观
在外面上班,很多時候比的還不單單是能力。 怎麼控制主管的不安全感,有時候比能力還重要。
如果上上層的主管不是因為特殊工作指派或是真賞識自己而召見,只是談論一些小事的狀況下,這些小題,請一定要大作的跟你主管詳細稟報。 這樣,在上班族的政治遊戲中,你才能平安順利。
2.高考决定不了你整个人生,人需要终身学习 by 荷兰在线
很多知性的爱好,并不需要年轻的体魄,若有强烈的内心驱动力,什么时候开始都不迟。若这么想,或许我们可以让年轻人放松一些,中老年抓紧一些,让整个一生产生结构性的变化,或许每个人都可以因此更有成效,也更能够享受生活。
3.从电影《成事在人》看曼德拉的领导力 by 李知霜
刚走上管理岗位的人应:
(1)接纳别人的情绪
(2)理清自己的定位
(3)确定团队的规则
(4)释放用人的标准
使下属产生正确的行为和结果:
(1)建立团队的信念系统
(2)引导团队建立正确的思维方式
(3)建立正确的团队价值观
如欲閱讀更多文章摘要,請見 每日晨摘
2015年7月26日 星期日
7/26 晨摘
- 資訊安全:
1.谷歌网络钓鱼防护工具 可被一小段代码绕过 by 360安全播报
谷歌在今年四月推出了一款新的Chrome扩展,名为“密码警告”,旨在作为对付网络钓鱼攻击的早期预警系统。该扩建对比用户密码哈希版和用户在浏览器当中输入的字符,如果发现用户已经进入了非谷歌网站输入谷歌的密码,它会将用户重定向到一个警告页面,告诉用户出 了问题。
由于密码警报仅持有密码的哈希版本,它在检测过程当中,不会暴露用户实际密码,另外谷歌这个浏览器扩展还支持局域网管理员部署此项功能。
2.路由器安全测试工具Router Scan by Stas’M v2.52发布 by FreeBuf
Router Scan是一款路由器安全测试工具,可以指定IP段对路由器进行暴力破解等安全测试,支持多种品牌型号的路由器,它是俄罗斯安全人员开发的一套安全测试工具。
3.两名黑客的入侵演示 致使克莱斯勒召回140万辆汽车 by 安全牛
在两名黑客的演示中,他们证明了可以从任何接入互联网的地方,“远程获取汽车的关键功能操作权限,比如踩下刹车、让引擎熄火、把车开下公路,并令所有电子设备宕机”。
克莱斯勒表示,已经采取措施阻止了黑客演示时使用的Sprint网络,“吉普的汽车通讯服务Uconnect使用美国电信运营商Sprint的网络进行通信,但这套系统存在漏洞”。
然而,仅仅一次的召回行动无法改变轿车、SUV和卡车日益连接到网络并容易遭受到黑客攻击的事实。美国国会已经警告过汽车入侵的可能,两名参议员在本周提交了为汽车设置最小网络安全标准的议案。
谷歌在今年四月推出了一款新的Chrome扩展,名为“密码警告”,旨在作为对付网络钓鱼攻击的早期预警系统。该扩建对比用户密码哈希版和用户在浏览器当中输入的字符,如果发现用户已经进入了非谷歌网站输入谷歌的密码,它会将用户重定向到一个警告页面,告诉用户出 了问题。
由于密码警报仅持有密码的哈希版本,它在检测过程当中,不会暴露用户实际密码,另外谷歌这个浏览器扩展还支持局域网管理员部署此项功能。
2.路由器安全测试工具Router Scan by Stas’M v2.52发布 by FreeBuf
Router Scan是一款路由器安全测试工具,可以指定IP段对路由器进行暴力破解等安全测试,支持多种品牌型号的路由器,它是俄罗斯安全人员开发的一套安全测试工具。
3.两名黑客的入侵演示 致使克莱斯勒召回140万辆汽车 by 安全牛
在两名黑客的演示中,他们证明了可以从任何接入互联网的地方,“远程获取汽车的关键功能操作权限,比如踩下刹车、让引擎熄火、把车开下公路,并令所有电子设备宕机”。
克莱斯勒表示,已经采取措施阻止了黑客演示时使用的Sprint网络,“吉普的汽车通讯服务Uconnect使用美国电信运营商Sprint的网络进行通信,但这套系统存在漏洞”。
然而,仅仅一次的召回行动无法改变轿车、SUV和卡车日益连接到网络并容易遭受到黑客攻击的事实。美国国会已经警告过汽车入侵的可能,两名参议员在本周提交了为汽车设置最小网络安全标准的议案。
- 自我成長:
1.當非洲的年輕人聽到「Stay Hungry, Stay Foolish…」 by 翁士博
非洲年輕人在鐵門外那無助的神情,訴說了在茫茫大海的殘酷現實中翻滾掙扎、拚命想抓住任何可能的漂流木,同時透露著想要生存下去的渴望、對自我的不確定和對無情大環境的無言控訴幾種相互矛盾的情緒。
在他的眼神中,我看到了台灣的剪影,就像一面鏡子,照映出台灣青年同樣的迷惘和吶喊,儘管台灣的教育環境明顯優於非洲,卻一樣無法培養出年輕世代對未來的信心。一個希望枯萎的心靈,又怎會對於生命或事業有熱情呢?
2.项目管理 by 人月神话
项目管理中有一个核心,是按计划做事情,同时进行执行和反馈,最后最偏差分析。一开始项目计划和工时估算可能不准确,但是养成了这个习惯不断总结就会逐渐提升计划的可预测性和估算的准确性。
对应到团队中的每个人,我们自己可以问下自己,当项目经理安排一个一周时间的大任务给你,这个任务已经有明确的范围和输出要求,当你拿到这个任务的时候怎么办?这个时候我们会不会有一些的不安,即我们不太清楚周五能否按时的交付这个任务。
合格的个人管理者的所有思维和行动都是为了达成目标,同时及早的预见达成目标中可能出现的风险,并在第一时间将风险解决掉。项目管理的本质是目标管理,目标管理的本质是过程+风险。
项目管理要做好首先是小组或团队管理,而小团队管理要做好又基于基本的个人自我管理和任务管理,个人自我管理能力和意识是整个项目管理最核心的内容。如果每个人都能够有高度的目标管理和风险管理意识,能够知道他们做出的每一个承诺的份量,那么项目管理就不再困难。
3.有哪些事情现在做了,会让5年、10年后的你不后悔? by huyan
7件容易后悔的事:
(1)有态度,不作为
(2)我生来就是做…的料
(3)爱说话
(4)等有X的时候再做Y吧!
(5)我非得做…不可
(6)不愿抽身
(7)为自己辩护
非洲年輕人在鐵門外那無助的神情,訴說了在茫茫大海的殘酷現實中翻滾掙扎、拚命想抓住任何可能的漂流木,同時透露著想要生存下去的渴望、對自我的不確定和對無情大環境的無言控訴幾種相互矛盾的情緒。
在他的眼神中,我看到了台灣的剪影,就像一面鏡子,照映出台灣青年同樣的迷惘和吶喊,儘管台灣的教育環境明顯優於非洲,卻一樣無法培養出年輕世代對未來的信心。一個希望枯萎的心靈,又怎會對於生命或事業有熱情呢?
2.项目管理 by 人月神话
项目管理中有一个核心,是按计划做事情,同时进行执行和反馈,最后最偏差分析。一开始项目计划和工时估算可能不准确,但是养成了这个习惯不断总结就会逐渐提升计划的可预测性和估算的准确性。
对应到团队中的每个人,我们自己可以问下自己,当项目经理安排一个一周时间的大任务给你,这个任务已经有明确的范围和输出要求,当你拿到这个任务的时候怎么办?这个时候我们会不会有一些的不安,即我们不太清楚周五能否按时的交付这个任务。
合格的个人管理者的所有思维和行动都是为了达成目标,同时及早的预见达成目标中可能出现的风险,并在第一时间将风险解决掉。项目管理的本质是目标管理,目标管理的本质是过程+风险。
项目管理要做好首先是小组或团队管理,而小团队管理要做好又基于基本的个人自我管理和任务管理,个人自我管理能力和意识是整个项目管理最核心的内容。如果每个人都能够有高度的目标管理和风险管理意识,能够知道他们做出的每一个承诺的份量,那么项目管理就不再困难。
3.有哪些事情现在做了,会让5年、10年后的你不后悔? by huyan
7件容易后悔的事:
(1)有态度,不作为
(2)我生来就是做…的料
(3)爱说话
(4)等有X的时候再做Y吧!
(5)我非得做…不可
(6)不愿抽身
(7)为自己辩护
如欲閱讀更多文章摘要,請見 每日晨摘
工作週記 - Week1(7/20 ~ 7/24)
第一週上班,前三天主要在做些操作上的設定,看內部 SOP 文件了解弱掃流程、熟稔相關工具上的使用,以及練習寫 Python。
另外這週參加了讀書會,內容是 mobile device hardware security,可惜剛好第一次參加就是這次讀書會主題的最後一個章節的內容,概念上因為自己高工讀電子科,大致可以理解方向是怎樣,不過內容就完全跟不上了,這部份自己要再加把勁,畢竟之後也要開始接這一塊的任務了。
本週任務:
(1)scan subdomains -> 根據掃出來的 list 丟到軟體上弱掃
(2)找出主管指定軟體、版本的漏洞清單
(3)將過去設備掃描報告的弱點填到內部管理平台
(4)和同事到客戶的公司用機器、軟體做弱掃
在執行任務時,主管不會要求用什麼工具去做,例如 scan subdomains 時,只有提示總共大約有幾個subdomains,所以自己必須不斷 google 相關工具,掃完發現數量不對,繼續嘗試別的工具、方式,這樣學到的會非常多!
我目前工作進度管理的部分,主要還是採 kanban 方式,工具方面是 Trello 和 vBoard 兩套自己都蠻喜歡用的。
另外我桌面設置了兩個資料夾:工作檔案與工作筆記,工作檔案的資料夾裡面再依日期新增資料夾。每天早上一到公司就會先在當天的資料夾內再新增四個子資料夾,包含to do(未完成)、doing(進行中)、done(已完成)、checked(主管已檢核),工作的檔案就根據狀態來調整位置。工作筆記資料夾的部分則是新增當天日期的文字檔,有學習到新的知識就會打上去,一天結束後,再根據知識的類型去做子資料夾的新增,裡面把當天工作筆記屬於這類型的內容新增筆記在這裏面。
本週工作心得:
1.沒有最好只有更好;沒有解決不了的問題,還有你沒想到的解決方法
2.團隊合作重要的是事前的溝通
3.分配工作時,應視能力、已接任務作分派,完成後應視其應有表現給予鼓勵與建議
4.自己的工作完成時,先主動問同事是否有其他需要幫忙,再去問主管還要做些什麼
5.若因為要去客戶公司做弱掃而耽誤工作進度,須即時和主管反應
本週工作筆記:
1.IDS/IPS 在檢查是否被掃port時,是採「計算單位時間內發現被掃port的次數」,是一個threshold。因此,只要掃瞄次數低於threshold就可以繞過規則。
LAN與LAN之間或WLAN與LAN之間的attack不會被FireWall/IDS看到,因此可透過HoneyPot+SDN SW來判斷是否有Scanner。此外,也能避免cracker調低掃描次數。資料來源
2.virtual hosting技術:
(1)IP-based Virtual Hosting:運行網站伺服器的電腦有多個 IP 地址,訪問不同的 IP 地址就可以取得不同的網站。
(2)Name-based Virtual Hosting:在 DNS 上多個網域都是指向同一個 IP 地址,網頁瀏覽器透過 HTTP 協定告知網頁伺服器要訪問那個網站。資料來源
3.scan subdomains 比較強大的工具(實測過dnsscan、knock、dnsrecon、blacksheepwall、dnspython、dnslib、gxfr、dnsmap、subbrute等,這些的成效不是很好)
(1)fierce -dns [domain] -wide
wide:Scan the entire class C after finding any matching hostnames in that class C
(2)theHarvester -d [domain] -b all
-b all:search Emails、host(by search engine)、virtual host
如欲閱讀更多工作心得,請見 工作週記
2015年7月25日 星期六
7/25 晨摘
- 資訊安全:
1.WordPress爆XSS高危漏洞 影响上百万网站 by Freebuf
WordPress内容管理系统(CMS)发布了更新——4.2.3版本,修复一个严重的、影响数百万网站的跨站脚本(XSS)漏洞,拥有作者权限、投稿者权限的用户都可以利用该漏洞入侵网站。
攻击者可以利用该漏洞在web应用程序中嵌入恶意HTML、javascript、Flash等,绕过wordpress的kses防护,然后在其系统上执行恶意脚本。
2.CVE-2015-3245和CVE-2015-3246可修改/etc/passwd by 360安全播报
漏洞 #1(CVE-2015-3245 userhelper chfn() 换行过滤):userhelper中存在一个漏洞,在用户模式的软件包中有一个setuid-root程序,它提供了一个基础接口,这个接口可以用来修改用户密码,gecos信息以及执行shell代码;它还有-f(完整姓名),-o(办公室),-p(办公室电话),-h(家庭电话)等命令行选项,这与那些传统的chfn程序是一样的。
漏洞#2(CVE-2015-3246 libuser 密码文件处理):libuser还有一个漏洞:即使这些传统程序(例如passwd,chfn以及chsh)是依赖于/etc/passwd的临时备份文件的,但是libuser会直接修改/etc/passwd。不幸的是,如果在修改/etc/passwd的过程中出了任何的差错,那么libuser就会使/etc/passwd处于一种不一致的状态了。
3.IE浏览器的4个PC劫持0day漏洞被揭露 by 360安全播报
IE浏览器的4个PC劫持漏洞被揭露,这四个漏洞都有可能给系统带来远程代码执行(例如恶意代码注入)的风险。所以,这些漏洞都是最严重的高危漏洞。
Wolfgang Kandek在一篇简短的博文中解释称:“目前还不太可能存在关于这些漏洞的利用代码,而且想要对这些漏洞进行逆向工程分析也是十分困难的,因为我们所能获取到的漏洞细节实在是太少了。除了放弃使用IE浏览器,目前你所能做的事情其实并不是很多”
WordPress内容管理系统(CMS)发布了更新——4.2.3版本,修复一个严重的、影响数百万网站的跨站脚本(XSS)漏洞,拥有作者权限、投稿者权限的用户都可以利用该漏洞入侵网站。
攻击者可以利用该漏洞在web应用程序中嵌入恶意HTML、javascript、Flash等,绕过wordpress的kses防护,然后在其系统上执行恶意脚本。
2.CVE-2015-3245和CVE-2015-3246可修改/etc/passwd by 360安全播报
漏洞 #1(CVE-2015-3245 userhelper chfn() 换行过滤):userhelper中存在一个漏洞,在用户模式的软件包中有一个setuid-root程序,它提供了一个基础接口,这个接口可以用来修改用户密码,gecos信息以及执行shell代码;它还有-f(完整姓名),-o(办公室),-p(办公室电话),-h(家庭电话)等命令行选项,这与那些传统的chfn程序是一样的。
漏洞#2(CVE-2015-3246 libuser 密码文件处理):libuser还有一个漏洞:即使这些传统程序(例如passwd,chfn以及chsh)是依赖于/etc/passwd的临时备份文件的,但是libuser会直接修改/etc/passwd。不幸的是,如果在修改/etc/passwd的过程中出了任何的差错,那么libuser就会使/etc/passwd处于一种不一致的状态了。
3.IE浏览器的4个PC劫持0day漏洞被揭露 by 360安全播报
IE浏览器的4个PC劫持漏洞被揭露,这四个漏洞都有可能给系统带来远程代码执行(例如恶意代码注入)的风险。所以,这些漏洞都是最严重的高危漏洞。
Wolfgang Kandek在一篇简短的博文中解释称:“目前还不太可能存在关于这些漏洞的利用代码,而且想要对这些漏洞进行逆向工程分析也是十分困难的,因为我们所能获取到的漏洞细节实在是太少了。除了放弃使用IE浏览器,目前你所能做的事情其实并不是很多”
- 自我成長:
1.让对方先说话,你会收获更多 by 布谷子
正确的交流由两个方面构成:既被人关注,又关注别人。安静、专心地倾听会产生强大的魔力,使谈话者更加心平气和、呼吸舒畅,连面部和肩部都放松下来;反过来,谈话者也会对听众表现得更加温和。
当你发怒、焦虑或自己想大发雷霆时,请你喝上一杯水或是握着自己的双手,然后露出你的微笑。
2.如何有效結束會議 by Paul Axtell
(1)確定是否達成共識:問與會者「大家是否都同意最後的結論?」鼓勵大家提出疑問或顧慮,確保大家都有共識。
(2)確定大家同意後續步驟:問與會者:「在下一次開會之前,應該完成哪些事?」具體列出應做到的事、明確的完成期限、後續行動的時程表等。
(3)省思會議的結果:對大家說:「我從今天的會議中學到五點心得。」肯定會議的討論與團隊。
(4)給予適當讚美。
3.CEO心理秘笈:有信念,不失格 by 陈秋月
企业最开始的那个故事是你企业信念的气质,能一直跟随着企业成长的每一步,坚定不移,因为它代表着你的初心,是企业天生自带的精神基因。
企业在成长中沉淀下的那些实践真知,是企业的性格,是企业后天养成的独特面貌。这两者构成了企业的信念,企业的人格。
性格若是变坏了,企业会生病,会走向衰弱。气质若是失去了,企业就已失去了灵魂。作为企业的领导者,请坚定信念,切莫失格。
正确的交流由两个方面构成:既被人关注,又关注别人。安静、专心地倾听会产生强大的魔力,使谈话者更加心平气和、呼吸舒畅,连面部和肩部都放松下来;反过来,谈话者也会对听众表现得更加温和。
当你发怒、焦虑或自己想大发雷霆时,请你喝上一杯水或是握着自己的双手,然后露出你的微笑。
2.如何有效結束會議 by Paul Axtell
(1)確定是否達成共識:問與會者「大家是否都同意最後的結論?」鼓勵大家提出疑問或顧慮,確保大家都有共識。
(2)確定大家同意後續步驟:問與會者:「在下一次開會之前,應該完成哪些事?」具體列出應做到的事、明確的完成期限、後續行動的時程表等。
(3)省思會議的結果:對大家說:「我從今天的會議中學到五點心得。」肯定會議的討論與團隊。
(4)給予適當讚美。
3.CEO心理秘笈:有信念,不失格 by 陈秋月
企业最开始的那个故事是你企业信念的气质,能一直跟随着企业成长的每一步,坚定不移,因为它代表着你的初心,是企业天生自带的精神基因。
企业在成长中沉淀下的那些实践真知,是企业的性格,是企业后天养成的独特面貌。这两者构成了企业的信念,企业的人格。
性格若是变坏了,企业会生病,会走向衰弱。气质若是失去了,企业就已失去了灵魂。作为企业的领导者,请坚定信念,切莫失格。
如欲閱讀更多文章摘要,請見 每日晨摘
工作週記
2015
第二十一週:12/7 ~ 12/11
第二十週:11/30 ~ 12/4
第十九週:11/23 ~ 11/27
第十八週:11/16 ~ 11/20
第十七週:11/9 ~ 11/13
第十六週:11/2 ~ 11/6
第十五週:10/26 ~ 10/30
第十四週:10/19 ~ 10/23
第十三週:10/12 ~ 10/16
第十二週:10/5 ~ 10/8
第十一週:9/30 ~ 10/2
第十週:9/21 ~ 9/25
第九週:9/14 ~ 9/18
第八週:9/7 ~ 9/11
第七週:8/31 ~ 9/4
第六週:8/24~8/28
第五週:8/17~8/21
第四週:8/10~8/14
第三週:8/3~8/7
第二週:7/27~7/31
第一週:7/20~7/24
0day
第二十一週:12/7 ~ 12/11
第二十週:11/30 ~ 12/4
第十九週:11/23 ~ 11/27
第十八週:11/16 ~ 11/20
第十七週:11/9 ~ 11/13
第十六週:11/2 ~ 11/6
第十五週:10/26 ~ 10/30
第十四週:10/19 ~ 10/23
第十三週:10/12 ~ 10/16
第十二週:10/5 ~ 10/8
第十一週:9/30 ~ 10/2
第十週:9/21 ~ 9/25
第九週:9/14 ~ 9/18
第八週:9/7 ~ 9/11
第七週:8/31 ~ 9/4
第六週:8/24~8/28
第五週:8/17~8/21
第四週:8/10~8/14
第三週:8/3~8/7
第二週:7/27~7/31
第一週:7/20~7/24
0day
工作週記 - 0day
自從去年從學校畢業後,忙完校外的實習,我就直接帳號綁訂一年國軍了。降完一年的智商後,雖然頓時有點不能適應這個世界,但幸好還能維持正常的生活機能。
退伍後尋尋覓覓丟了一個月的履歷,總算找到一份可以做自己喜歡做的事,管理風格很美式、氣氛很歡樂的新創資安公司(雖然有嚴格規定禁止在公司裸奔就是...)。
目前在做的事,算不上多偉大,大概就是拯救世界和平之類的程度吧,但至少每天的任務都能讓我很投入其中,團隊也很無私的教授經驗,不定期開讀書會、內外教育訓練,每天都能學到新的知識,覺得自己真的蠻幸運。
至於我之所以想寫工作週記,一方面是受到大兵手記的奴性,一方面是希望記錄自己在工作中獲得的成長,另一方面也希望能藉由我的經驗給大家少一些走彎路的機會。因此,週記的主要內容會集中在工作心得的部分,以及一些自己嘗試的工作管理方式,另外每次週記中也會上傳自己當週的時間規劃,提供各位做個參考。
如欲閱讀更多工作心得,請見 工作週記
退伍後尋尋覓覓丟了一個月的履歷,總算找到一份可以做自己喜歡做的事,管理風格很美式、氣氛很歡樂的新創資安公司(雖然有嚴格規定禁止在公司裸奔就是...)。
目前在做的事,算不上多偉大,大概就是拯救世界和平之類的程度吧,但至少每天的任務都能讓我很投入其中,團隊也很無私的教授經驗,不定期開讀書會、內外教育訓練,每天都能學到新的知識,覺得自己真的蠻幸運。
至於我之所以想寫工作週記
如欲閱讀更多工作心得,請見 工作週記
《SCRUM:用一半的時間做兩倍的事》筆記
1.建置 Scrum:
(1)挑選產品負責人:主導「做什麼」事情,待辦清單、內容,以及優先順序都歸他管理。找一個能從「獲取價值」角度思考的人來擔任。四大特質包含:
(2)挑選團隊:成員必須擁有足以滿足與實現產品負責人願景的所有技能。
(3)挑選 Scrum 大師:主導事情「怎麼做」,協助團隊找出如何把事情做得更好。負責教導團隊遵照 Scrum 架構行事,並協助去除負面影響因素。
(4)建立產品待辦事項清單,並安排優先順序(透過 Planning Poker)。
(5)修正與評估產品待辦事項清單。
(6)衝刺規劃:第一場 Scrum 會議,從待辦事項清單的最上端看起,估算在這一段衝刺中可完成多少。衝刺的時間是固定的,大部分團隊設定在一至二週。
(7)工作透明公開:設置待辦、進行中、已完成的 Scrum 板,以及 Burndown chart。
(8)每日立會(每日 Scrum):要求團隊與 Scrum 大師積極參與每天定期的十五分鐘會議。並回答以下問題:
(9)衝刺檢視:團隊要在這場公開的會議中展示自己在衝刺中的成果(已完成的項目)
(10)衝刺回顧:檢視先前有那裡做對了、哪裡可以做得更好、下一段衝刺中有什麼可以改善,以及在流程中還有什麼是團隊可以馬上著手改善的。
2.精準、迅速取得預估值的方法 - Planning Poker:
每個人手上有一副牌(依費式數列,1、3、5、8、13等),把每件需要評估的事在桌上攤開後,大家從自己的牌中選出一張認為最符合其複雜度的牌,並將牌面向下覆蓋在桌上。
所有人同時翻牌,若牌與牌的數字差一個級距以內(如一張5、兩張8、一張13),只要把這幾種牌的數字加總,再取平均值即可,然後繼續討論下一件事。關鍵在於這裡談的是預估值,不是嚴謹到不能更動的計畫,而且我們要預估的事專案化整為零後的小片段。
若大家的牌上數字相差三個級距以上,牌上數字最大與最小的人就要說明自己為何如此判斷。說明完畢後,再重新執行一次,或是可以直接計算平均值。
3.列出待辦清單前應考量的三個要點:
(1)Who:應該從誰的角度出發?
(2)What:起初希望完成的是什麼?
(3)Why:為什麼這個人想要這個東西?
4.任何待辦清單應符合 INVEST 標準:
(1)獨立(Independent)
(2)可修改(Negotiable)
(3)有價值(Valuable)
(4)可估算(Estimable)
(5)規模小(Small)
(6)可測試(Testable)
5.要讓衝刺回顧會議有效率,要注意的重點是,大家不是要找一個人出來罵,要檢視的應該是流程本身。為何那件事會在那種情況下發生?為何我們沒注意到?我們要如何才能加快進度?
關鍵在於,整個團隊要一起為流程與結果負起責任,也要一起找出解決方案。大家還必須有勇氣提出那些真正造成團隊的困擾,但要能是指出解決方案加以處理的問題,而非只發表一些指控性的言論。而團隊的其他成員也必須能成熟聆聽,並接納回饋意見,同時尋求解決方案,而非只是為自己辯解。
6.每次衝刺結束後,請所有團隊成員回答以下問題:
(1)你是否滿意自己在公司裡扮演的角色?請以 1 分至 5 分打分數。
(2)你對公司整體的滿意度如何?請以 1 分至 5 分打分數。
(3)為何你會這樣覺得?
(4)在下一段衝刺中,若能改善哪件事能讓你感到更滿意?
7.能讓團隊感到快樂的事:自主、精熟、有目標及透明度。
延伸閱讀:《Implosion》首席工程師以「別太敏捷遊戲開發」為題 闡述團隊不斷進化的心路歷程
(1)挑選產品負責人:主導「做什麼」事情,待辦清單、內容,以及優先順序都歸他管理。找一個能從「獲取價值」角度思考的人來擔任。四大特質包含:
- 具備專業領域知識
- 擁有決策權
- 必須能讓團隊找得到人,向團隊說明應做事項與做法
- 為價值負責
(2)挑選團隊:成員必須擁有足以滿足與實現產品負責人願景的所有技能。
(3)挑選 Scrum 大師:主導事情「怎麼做」,協助團隊找出如何把事情做得更好。負責教導團隊遵照 Scrum 架構行事,並協助去除負面影響因素。
(4)建立產品待辦事項清單,並安排優先順序(透過 Planning Poker)。
(5)修正與評估產品待辦事項清單。
(6)衝刺規劃:第一場 Scrum 會議,從待辦事項清單的最上端看起,估算在這一段衝刺中可完成多少。衝刺的時間是固定的,大部分團隊設定在一至二週。
(7)工作透明公開:設置待辦、進行中、已完成的 Scrum 板,以及 Burndown chart。
(8)每日立會(每日 Scrum):要求團隊與 Scrum 大師積極參與每天定期的十五分鐘會議。並回答以下問題:
- 昨天你做了什麼協助團隊完成這一項衝刺的事?
- 今天你打算做什麼來協助團隊完成這一段衝刺?
- 是否有任何因素阻礙你或團隊實現衝刺目標?
(9)衝刺檢視:團隊要在這場公開的會議中展示自己在衝刺中的成果(已完成的項目)
(10)衝刺回顧:檢視先前有那裡做對了、哪裡可以做得更好、下一段衝刺中有什麼可以改善,以及在流程中還有什麼是團隊可以馬上著手改善的。
2.精準、迅速取得預估值的方法 - Planning Poker:
每個人手上有一副牌(依費式數列,1、3、5、8、13等),把每件需要評估的事在桌上攤開後,大家從自己的牌中選出一張認為最符合其複雜度的牌,並將牌面向下覆蓋在桌上。
所有人同時翻牌,若牌與牌的數字差一個級距以內(如一張5、兩張8、一張13),只要把這幾種牌的數字加總,再取平均值即可,然後繼續討論下一件事。關鍵在於這裡談的是預估值,不是嚴謹到不能更動的計畫,而且我們要預估的事專案化整為零後的小片段。
若大家的牌上數字相差三個級距以上,牌上數字最大與最小的人就要說明自己為何如此判斷。說明完畢後,再重新執行一次,或是可以直接計算平均值。
3.列出待辦清單前應考量的三個要點:
(1)Who:應該從誰的角度出發?
(2)What:起初希望完成的是什麼?
(3)Why:為什麼這個人想要這個東西?
4.任何待辦清單應符合 INVEST 標準:
(1)獨立(Independent)
(2)可修改(Negotiable)
(3)有價值(Valuable)
(4)可估算(Estimable)
(5)規模小(Small)
(6)可測試(Testable)
5.要讓衝刺回顧會議有效率,要注意的重點是,大家不是要找一個人出來罵,要檢視的應該是流程本身。為何那件事會在那種情況下發生?為何我們沒注意到?我們要如何才能加快進度?
關鍵在於,整個團隊要一起為流程與結果負起責任,也要一起找出解決方案。大家還必須有勇氣提出那些真正造成團隊的困擾,但要能是指出解決方案加以處理的問題,而非只發表一些指控性的言論。而團隊的其他成員也必須能成熟聆聽,並接納回饋意見,同時尋求解決方案,而非只是為自己辯解。
6.每次衝刺結束後,請所有團隊成員回答以下問題:
(1)你是否滿意自己在公司裡扮演的角色?請以 1 分至 5 分打分數。
(2)你對公司整體的滿意度如何?請以 1 分至 5 分打分數。
(3)為何你會這樣覺得?
(4)在下一段衝刺中,若能改善哪件事能讓你感到更滿意?
7.能讓團隊感到快樂的事:自主、精熟、有目標及透明度。
延伸閱讀:《Implosion》首席工程師以「別太敏捷遊戲開發」為題 闡述團隊不斷進化的心路歷程
2015年7月24日 星期五
7/24 晨摘
- 資訊安全:
1.OpenSSH服务存在漏洞 允许进行无限次口令猜测 by 360安全播报
OpenSSH存在一个漏洞,这个漏洞可以允许攻击者绕过单次登录密码输入尝试的错误限制次数。
默认情况下,加密服务只能允许用户进行6次密码输入尝试,如果输入的6次密码均不正确,那么用户就要在链接断开之前等待一个时长为2分钟的宽限期,这样就可以防止攻击者的暴力破解攻击了。但是,这种防御机制也可以被轻易地绕过。
OpenSSH是可以被控制和修改的,在使用键盘输入登陆口令时,黑客可以根据需要来设置密码输入次数的上限。
2.OS X 10.10 DYLD_PRINT_TO_FILE 本地权限提升漏洞 by P3nro5e
随着OS X 10.10的发布,Apple已为其动态链接器添加了以下新特性,已添加用于将错误日志记录到任意文件的环境变量DYLD_PRINT_TO_FILE 。
当该变量被添加到通常被需要的safeguard时,新的环境变量会被添加到未被使用的动态链接器,所以即使是suid为root的二进制程序也可能拥有这个新特性。
由於在文件系统中可以打开或创建root用户拥有的任意文件,所以在这种情况下会有一定的危险性。此外,已打开的日志文件从不被关闭,因此它的文件描述符会被泄漏进SUID为root的进程,这意味着在文件系统中,SUID为root进程的子进程可以对具有root权限的用户所拥有的任意文件进行写操作,进而在OS X 10.10.x中实现权限提升。
3.全球最流行BT客户端uTorrent遭谷歌封杀 by cnbeta
来自TorrentFreak的最新消息显示,uTorrent当下正在遭受安全信任危机,至少有包括赛门铁克、 ESET在内的六家防病毒软件厂商发现uTorrent.exe与Trojan.Win32.Generic!BT木马存在联系。同时,内置捆绑广告插件 OpenCandy也被列为“风险软件”。
OpenSSH存在一个漏洞,这个漏洞可以允许攻击者绕过单次登录密码输入尝试的错误限制次数。
默认情况下,加密服务只能允许用户进行6次密码输入尝试,如果输入的6次密码均不正确,那么用户就要在链接断开之前等待一个时长为2分钟的宽限期,这样就可以防止攻击者的暴力破解攻击了。但是,这种防御机制也可以被轻易地绕过。
OpenSSH是可以被控制和修改的,在使用键盘输入登陆口令时,黑客可以根据需要来设置密码输入次数的上限。
2.OS X 10.10 DYLD_PRINT_TO_FILE 本地权限提升漏洞 by P3nro5e
随着OS X 10.10的发布,Apple已为其动态链接器添加了以下新特性,已添加用于将错误日志记录到任意文件的环境变量DYLD_PRINT_TO_FILE 。
当该变量被添加到通常被需要的safeguard时,新的环境变量会被添加到未被使用的动态链接器,所以即使是suid为root的二进制程序也可能拥有这个新特性。
由於在文件系统中可以打开或创建root用户拥有的任意文件,所以在这种情况下会有一定的危险性。此外,已打开的日志文件从不被关闭,因此它的文件描述符会被泄漏进SUID为root的进程,这意味着在文件系统中,SUID为root进程的子进程可以对具有root权限的用户所拥有的任意文件进行写操作,进而在OS X 10.10.x中实现权限提升。
3.全球最流行BT客户端uTorrent遭谷歌封杀 by cnbeta
来自TorrentFreak的最新消息显示,uTorrent当下正在遭受安全信任危机,至少有包括赛门铁克、 ESET在内的六家防病毒软件厂商发现uTorrent.exe与Trojan.Win32.Generic!BT木马存在联系。同时,内置捆绑广告插件 OpenCandy也被列为“风险软件”。
- 自我成長:
1.行李箱心理学:休假就是丢开一切 by yeeyan
唯一理性的方法去为意外做准备就是像富有的维多利亚人一样带上所有的东西,但这根本不可能。我们知道我们有太多的东西,我们太依赖那些物质,其实该丢掉其中的大部分才对。但我们害怕缺乏装备。
决定要收拾些什么意味着要预见每种可能性。你必须事先里想象你的旅途,所以在你出发前你就已经在你的脑子里度过了一遍。如果内观和冥想都是关注当下,那么,收拾行李这个纯粹的预期活动将十分有压力。他夺走了旅游的期待,自发性和历险。
2.书摘-经理人该做的五大工作 by :田成杰
(1)设定目标
(2)任务分派
(3)激励与沟通
(4)绩效评估
(5)培育人才
3.克服自己的預設反應 by Lee Newman
(1)了解什麼會觸發你情緒化或好勝的那一面
(2)把你常有的固定反應一一寫成清單
(3)觀察這些行為何時發生,預先做好準備
唯一理性的方法去为意外做准备就是像富有的维多利亚人一样带上所有的东西,但这根本不可能。我们知道我们有太多的东西,我们太依赖那些物质,其实该丢掉其中的大部分才对。但我们害怕缺乏装备。
决定要收拾些什么意味着要预见每种可能性。你必须事先里想象你的旅途,所以在你出发前你就已经在你的脑子里度过了一遍。如果内观和冥想都是关注当下,那么,收拾行李这个纯粹的预期活动将十分有压力。他夺走了旅游的期待,自发性和历险。
2.书摘-经理人该做的五大工作 by :田成杰
(1)设定目标
(2)任务分派
(3)激励与沟通
(4)绩效评估
(5)培育人才
3.克服自己的預設反應 by Lee Newman
(1)了解什麼會觸發你情緒化或好勝的那一面
(2)把你常有的固定反應一一寫成清單
(3)觀察這些行為何時發生,預先做好準備
如欲閱讀更多文章摘要,請見 每日晨摘
2015年7月23日 星期四
7/23 晨摘
- 資訊安全:
1.没有外部工具,如何快速发现Windows中毒了 by FreeBuf
(1)WMIC Startup Items
(2)DNS Cache
(3)WMIC Process List
(4)WMIC Service List
(5)WMIC Job List
(6)Netstat
(7)批处理文件版本
2.分析 Pawn Storm 的 Java 零時差漏洞 – 故技重施 by TREND LABS
Java 零時差漏洞 (CVE-2015-2590)是由兩部分組成:第一部份是略過 Java 的點按執行保護機制。另一部分出現在物件反序列化的方式。
駭客利用此漏洞來修改反序列化後物件中的某個欄位,就連私有 (private) 欄位也可以,並且加入其他類別資訊。
Java 執行時期環境 (JRE) 允許駭客 (在某些情況下) 從一個串流緩衝區 (stream buffer) 讀取物件的各個欄位,即使該物件或該物件的外層物件的類別型態「不在」序列化的緩衝區中。
3.Arbor ATLAS数据显示平均日常的DDoS攻击规模上升 by C114中国通信网
第 2 季度监测的最大规模攻击为 196GB/秒 UDP 淹没攻击,而这种大规模的攻击已经不再罕见。对于企业网络来说,最大的担忧在于普通攻击规模的上升。
第 2 季度,21% 的攻击上限规模为 1GB/秒,同时 2-10GB/秒范围内的上升是最明显的。然而,6 月份 50 - 100 GB/秒范围的攻击次数飙升,主要是针对美国和加拿大目的地的 SYN 淹没攻击。
有证据表明,利用 SSDP 的反射放大攻击风暴可能有略微减弱的迹象,第 2 季度追踪到的攻击次数为 84,000 次(与第 4 季度持平),比第 1 季度的 126,000 次有所减少。
针对 DNS、NTP、SSDP 和 Chargen 反射放大攻击的普通攻击规模都在 2015 年第 2 季度有所提升。
(1)WMIC Startup Items
(2)DNS Cache
(3)WMIC Process List
(4)WMIC Service List
(5)WMIC Job List
(6)Netstat
(7)批处理文件版本
2.分析 Pawn Storm 的 Java 零時差漏洞 – 故技重施 by TREND LABS
Java 零時差漏洞 (CVE-2015-2590)是由兩部分組成:第一部份是略過 Java 的點按執行保護機制。另一部分出現在物件反序列化的方式。
駭客利用此漏洞來修改反序列化後物件中的某個欄位,就連私有 (private) 欄位也可以,並且加入其他類別資訊。
Java 執行時期環境 (JRE) 允許駭客 (在某些情況下) 從一個串流緩衝區 (stream buffer) 讀取物件的各個欄位,即使該物件或該物件的外層物件的類別型態「不在」序列化的緩衝區中。
3.Arbor ATLAS数据显示平均日常的DDoS攻击规模上升 by C114中国通信网
第 2 季度监测的最大规模攻击为 196GB/秒 UDP 淹没攻击,而这种大规模的攻击已经不再罕见。对于企业网络来说,最大的担忧在于普通攻击规模的上升。
第 2 季度,21% 的攻击上限规模为 1GB/秒,同时 2-10GB/秒范围内的上升是最明显的。然而,6 月份 50 - 100 GB/秒范围的攻击次数飙升,主要是针对美国和加拿大目的地的 SYN 淹没攻击。
有证据表明,利用 SSDP 的反射放大攻击风暴可能有略微减弱的迹象,第 2 季度追踪到的攻击次数为 84,000 次(与第 4 季度持平),比第 1 季度的 126,000 次有所减少。
针对 DNS、NTP、SSDP 和 Chargen 反射放大攻击的普通攻击规模都在 2015 年第 2 季度有所提升。
- 自我成長:
1.肯.羅賓森:好的老師就像園丁,他的任務不是命令植物長大,而是創造一個適合生長的環境 by 鄒琪
如果每一個孩子都能不怕冒險、不怕思考,都能有個全心全意支持他的人,世界會變得多麼美好。因為每個孩子都值得一個絕不放棄的大人,一個了解連結力量的人,一個堅持他們可以將潛力發揮到百分之百、成就夢想的支持者。
教育的主要目的是為了年輕人離開學校後的生活,幫助他們建立心理上、情感上、社會上,以及資源上的基礎,能享受挑戰並面對不確定性與複雜性。
教育的目的對所有年輕人都是珍貴的,能幫助他們發現自己真的熱愛的事物,並加強他們追求的意志與技能。
信心、能力與激情是可以開發的,因為在現實世界裡,人類的智能是他人能夠幫助建立起來的。
2.追求蝴蝶?還是吸引蝴蝶? by 李開復
「追求」,是從自我的角度考慮,忽視了事物內在的微妙規律,所以常常事與願違。「吸引」則是從完善自我、奉獻自我出發,順應了天理,投其所好,因而皆大歡喜。
真正要自我實現,最「省力」的方法,就是不要被外界的價值觀牽引,競逐別人的肯定,而是打開自己,每一天、每一個時刻,都讓自己像吸引蝴蝶的花一樣盡情綻放。
體驗世界,提升自己,讓自己更有經驗和智慧;體驗人生,相信感覺,追隨你心,世界將更好。
3.何谓“美好生活”?人本主义心理学家罗杰斯的观点 by 世彦心理
美好生活是一个过程,而不是一种存在的状态。它是一个方向,而不是一个终点。
幸福其实不在于实现或获得什么,而在于追求美好的一个过程,而这个追求的过程正落脚于日常生活之中,重要的不是每天我们都完成了什么,而是在这个过程中我们度过了每一天。
如果每一個孩子都能不怕冒險、不怕思考,都能有個全心全意支持他的人,世界會變得多麼美好。因為每個孩子都值得一個絕不放棄的大人,一個了解連結力量的人,一個堅持他們可以將潛力發揮到百分之百、成就夢想的支持者。
教育的主要目的是為了年輕人離開學校後的生活,幫助他們建立心理上、情感上、社會上,以及資源上的基礎,能享受挑戰並面對不確定性與複雜性。
教育的目的對所有年輕人都是珍貴的,能幫助他們發現自己真的熱愛的事物,並加強他們追求的意志與技能。
信心、能力與激情是可以開發的,因為在現實世界裡,人類的智能是他人能夠幫助建立起來的。
2.追求蝴蝶?還是吸引蝴蝶? by 李開復
「追求」,是從自我的角度考慮,忽視了事物內在的微妙規律,所以常常事與願違。「吸引」則是從完善自我、奉獻自我出發,順應了天理,投其所好,因而皆大歡喜。
真正要自我實現,最「省力」的方法,就是不要被外界的價值觀牽引,競逐別人的肯定,而是打開自己,每一天、每一個時刻,都讓自己像吸引蝴蝶的花一樣盡情綻放。
體驗世界,提升自己,讓自己更有經驗和智慧;體驗人生,相信感覺,追隨你心,世界將更好。
3.何谓“美好生活”?人本主义心理学家罗杰斯的观点 by 世彦心理
美好生活是一个过程,而不是一种存在的状态。它是一个方向,而不是一个终点。
幸福其实不在于实现或获得什么,而在于追求美好的一个过程,而这个追求的过程正落脚于日常生活之中,重要的不是每天我们都完成了什么,而是在这个过程中我们度过了每一天。
如欲閱讀更多文章摘要,請見 每日晨摘
2015年7月22日 星期三
7/22 晨摘
- 資訊安全:
1.微软发布紧急更新:严重远程代码执行漏洞,影响所有版本Windows by FreeBuf
微软今天发布了一个紧急更新,修复了涉及所有版本Windows的高危远程代码执行漏洞。
当Windows Adobe Type Manager Library处理精心构造的微软OpenType字体时,这个高危漏洞(CVE-2015-2426)都会被引发。一旦用户打开一份精心构造的文档或者打开包含OpenType字体的网站,漏洞被利用,黑客就能在受害者计算机上执行恶意代码。
2.智能路由器安全特性分析 by zhuliang
安全设计:
(1)韌體升級前進行簽名校驗
(2)調適接口需要有驗證
(3)採WPA2加密
(4)關閉WPS功能
(5)韌體自動升級
(6)韌體更新時只能升級不能降級
3.鎖定中小企業變更供應商詐騙:歹徒如何利用35美元惡意軟體賺黑心百萬? by TREND LABS
(1)選擇官方服務信箱成為犯罪目標
(2)進行接觸-放長線釣大魚
(3)即時攔截正在討論付款的電子郵件
微软今天发布了一个紧急更新,修复了涉及所有版本Windows的高危远程代码执行漏洞。
当Windows Adobe Type Manager Library处理精心构造的微软OpenType字体时,这个高危漏洞(CVE-2015-2426)都会被引发。一旦用户打开一份精心构造的文档或者打开包含OpenType字体的网站,漏洞被利用,黑客就能在受害者计算机上执行恶意代码。
2.智能路由器安全特性分析 by zhuliang
安全设计:
(1)韌體升級前進行簽名校驗
(2)調適接口需要有驗證
(3)採WPA2加密
(4)關閉WPS功能
(5)韌體自動升級
(6)韌體更新時只能升級不能降級
3.鎖定中小企業變更供應商詐騙:歹徒如何利用35美元惡意軟體賺黑心百萬? by TREND LABS
(1)選擇官方服務信箱成為犯罪目標
(2)進行接觸-放長線釣大魚
(3)即時攔截正在討論付款的電子郵件
- 自我成長:
1.搭了三年計程車,我搞懂了平庸、優秀與頂尖的關鍵差異 by 姚詩豪
「自律」讓人從平庸提升為「優秀」,而「熱情」則讓人從優秀提昇至「頂尖」。人生苦短,我們固然可以找份還可以的工作餬口,載浮載沉地度過一生。
但我們也可以選擇定位自己的天賦,追隨自己的熱情,在小小一方領域上做到頂尖,服務更多人,也留下精采的生命印記。
2.李银河:你的奋斗只是一个笑话 by miku
循着快乐原则,让生命感到舒适和充实。它包括对好的音乐、美术、戏剧、文学的享用。更重要的是把自己的生活变成一个艺术品,让自己的生命活在快乐之中,其他的一切都不必追求和计较。美好的生活应当成为生存的目的,它才是最值得追求的。
3.成就优秀领导者的8个要素 by 卢建斌
(1)执行至关重要
(2)制造胜利感
(3)对团队人员做出艰难的选择
(4)言行一致
(5)控制团队规模、发挥团队实力
(6)确保团队成员理解领导者的反馈
(7)广泛阅读、提升自己
(8)超越商业领袖的角色
「自律」讓人從平庸提升為「優秀」,而「熱情」則讓人從優秀提昇至「頂尖」。人生苦短,我們固然可以找份還可以的工作餬口,載浮載沉地度過一生。
但我們也可以選擇定位自己的天賦,追隨自己的熱情,在小小一方領域上做到頂尖,服務更多人,也留下精采的生命印記。
2.李银河:你的奋斗只是一个笑话 by miku
循着快乐原则,让生命感到舒适和充实。它包括对好的音乐、美术、戏剧、文学的享用。更重要的是把自己的生活变成一个艺术品,让自己的生命活在快乐之中,其他的一切都不必追求和计较。美好的生活应当成为生存的目的,它才是最值得追求的。
3.成就优秀领导者的8个要素 by 卢建斌
(1)执行至关重要
(2)制造胜利感
(3)对团队人员做出艰难的选择
(4)言行一致
(5)控制团队规模、发挥团队实力
(6)确保团队成员理解领导者的反馈
(7)广泛阅读、提升自己
(8)超越商业领袖的角色
如欲閱讀更多文章摘要,請見 每日晨摘
2015年7月21日 星期二
【我修的死亡學分】讀後感
1.人倘若一心除惡,表示他看到的都是惡;如果出自本心行善,而非想藉行善博取名聲,才能導正社會。
2.完美與缺陷是共存的,也是從人心產生的分別。如果沒有邪惡,怎能彰顯善的光芒?如果沒有自私的狹隘,也無法看到慷慨無私的偉大。所以,真正有益於世界的做法不是除惡,而是行善;不是打擊負面能量,而是弘揚正向能量。
3.珍貴的生命旅程,應該抱著初學者的心態,對世界保持兒童般的好奇心,好好體驗人生;讓自己每天都比前一天有學習、有成長,不必改變別人,只要做事問心無愧,對人真誠平等就夠了。
4.人生不必在乎自己留下什麼,更重要的是:
(1)我們是否憑著良心做每件事?如果每個人都這麼做,世界是否會更好?
(2)我們是否用無條件的愛來對待周圍的所有人?
(3)我們是否能夠真誠對自己,然後真誠對別人?
(4)我們是否真誠體驗人生、享受世界的真善美?是否度過有所提升成長的人生?
(5)那些和我們特別有緣份的人,特別打從心裡喜歡的人,我是否感恩他們?
(6)如果人生真要留下什麼,那就為世界留下心存善念的孩子,讓他們一代又一代的將世界的希望與愛傳遞下去。
5.讓每一天都是你最難忘、最特別的一天,關鍵就是:活在當下。
6.對家庭時間的分配原則:
(1)劃清界線、言出必行
(2)忙中偷閒
(3)閒中偷忙
(4)付出有品質的時間
7.成功的婚姻不是建立在安全、擁有上,而是在平等、自由上。婚姻不是在製造罪惡感的義務,而是彼此互補,彼此互諒,彼此扶持的過程。
2.完美與缺陷是共存的,也是從人心產生的分別。如果沒有邪惡,怎能彰顯善的光芒?如果沒有自私的狹隘,也無法看到慷慨無私的偉大。所以,真正有益於世界的做法不是除惡,而是行善;不是打擊負面能量,而是弘揚正向能量。
3.珍貴的生命旅程,應該抱著初學者的心態,對世界保持兒童般的好奇心,好好體驗人生;讓自己每天都比前一天有學習、有成長,不必改變別人,只要做事問心無愧,對人真誠平等就夠了。
4.人生不必在乎自己留下什麼,更重要的是:
(1)我們是否憑著良心做每件事?如果每個人都這麼做,世界是否會更好?
(2)我們是否用無條件的愛來對待周圍的所有人?
(3)我們是否能夠真誠對自己,然後真誠對別人?
(4)我們是否真誠體驗人生、享受世界的真善美?是否度過有所提升成長的人生?
(5)那些和我們特別有緣份的人,特別打從心裡喜歡的人,我是否感恩他們?
(6)如果人生真要留下什麼,那就為世界留下心存善念的孩子,讓他們一代又一代的將世界的希望與愛傳遞下去。
5.讓每一天都是你最難忘、最特別的一天,關鍵就是:活在當下。
6.對家庭時間的分配原則:
(1)劃清界線、言出必行
(2)忙中偷閒
(3)閒中偷忙
(4)付出有品質的時間
7.成功的婚姻不是建立在安全、擁有上,而是在平等、自由上。婚姻不是在製造罪惡感的義務,而是彼此互補,彼此互諒,彼此扶持的過程。
7/21 晨摘
- 資訊安全:
1.美国国家安全局(NSA)发布Linux安全工具 by FreeBuf
美国国家安全局(NSA)发布了一款适用于政府以及私人部门的开源网络安全工具。私人部门(Private Sector)是“公共部门”的对称,是指个人、家庭和私人所拥有的企事业单位。
该工具也称为系统完整性管理平台Systems Integrity Management Platform (SIMP),现在你可以在Github上找到这款工具的源码。
2.< CTO 觀點 >防禦重要系統:它必須要「智慧化」嗎? by TREND LABS
隨著智慧型設備越來越普遍,而且被用在了重要用途上,軟體開發者必須明白他們對確保自己軟體安全負有更大的責任。或許相關產業的監管機構需要建立新法規來包含軟體安全!看看不良軟體會造成多嚴重的後果就知道了,這想法並不像聽起來那麼瘋狂。
同樣重要的是,我們需要決定什麼需要保護和什麼需要連網。比方說,人們不斷地說:智慧化電錶比較安全也對電力網有幫助。這可能沒錯,但會有什麼樣的後果?誰控制這些設備?誰有權存取這些數據?
如果真正重要的設備會被連上網路,就需要加以適當地防護。所用的軟體必須遵循最佳實作來開發,並且強化安全來防禦攻擊。也必須落實用「黑箱」方式加以測試,來確認這些重要系統可以對抗已知漏洞和攻擊。
3.Hacking Team事件导致一名韩国情报官员死亡 by 暗月|博客
韩国政府及国家情报局已经承认从Hacking Team购买了间谍软件,但表示这种工具只用于加强与平壤的网络对战能力,并没有用于国内的监控项目。然而,反对派议员则指称国家情报局已经利用这些工具 监控韩国公民。
韩国执政党议员Lee Chul-Woo声称,该名林姓男子购买过入侵工具并实施了入侵计划,该计划允许用户跟踪安装了间谍软件的智能手机和计算机。在警方公布的遗书内容中,这名林姓官员坚称国家情报局并没有监视韩国公民,并为删除与监控计划有关的文件而道歉。
美国国家安全局(NSA)发布了一款适用于政府以及私人部门的开源网络安全工具。私人部门(Private Sector)是“公共部门”的对称,是指个人、家庭和私人所拥有的企事业单位。
该工具也称为系统完整性管理平台Systems Integrity Management Platform (SIMP),现在你可以在Github上找到这款工具的源码。
2.< CTO 觀點 >防禦重要系統:它必須要「智慧化」嗎? by TREND LABS
隨著智慧型設備越來越普遍,而且被用在了重要用途上,軟體開發者必須明白他們對確保自己軟體安全負有更大的責任。或許相關產業的監管機構需要建立新法規來包含軟體安全!看看不良軟體會造成多嚴重的後果就知道了,這想法並不像聽起來那麼瘋狂。
同樣重要的是,我們需要決定什麼需要保護和什麼需要連網。比方說,人們不斷地說:智慧化電錶比較安全也對電力網有幫助。這可能沒錯,但會有什麼樣的後果?誰控制這些設備?誰有權存取這些數據?
如果真正重要的設備會被連上網路,就需要加以適當地防護。所用的軟體必須遵循最佳實作來開發,並且強化安全來防禦攻擊。也必須落實用「黑箱」方式加以測試,來確認這些重要系統可以對抗已知漏洞和攻擊。
3.Hacking Team事件导致一名韩国情报官员死亡 by 暗月|博客
韩国政府及国家情报局已经承认从Hacking Team购买了间谍软件,但表示这种工具只用于加强与平壤的网络对战能力,并没有用于国内的监控项目。然而,反对派议员则指称国家情报局已经利用这些工具 监控韩国公民。
韩国执政党议员Lee Chul-Woo声称,该名林姓男子购买过入侵工具并实施了入侵计划,该计划允许用户跟踪安装了间谍软件的智能手机和计算机。在警方公布的遗书内容中,这名林姓官员坚称国家情报局并没有监视韩国公民,并为删除与监控计划有关的文件而道歉。
- 自我成長:
1.品牌就是命运 by 徐政龙
什么是上帝掷骰子,就是弄一家企业,搞一个产品,人家卖你也跟着卖,有些维持几年就不行了,有些竟百年不倒,这就是上帝掷骰子的结果。
科学的品操作范式,不是靠上帝之手掷一次骰子,然后在风里雨里自己练,而是凭你的能力设计你能完成的任务,并非碰着来。它要把你必需要补充的东西整合到你的躯体里,而不是在市场的东拼西撞中摸索经验,然后再逐步“完善”自己。
2.辦公室中的江湖人 by 何飛鵬
「江湖人」是辦公室中的麻煩人物,通常是老員工,十分油條,已經喪失解決問題的能力,只能靠公關、人情及辦公室中的矛盾存活,當我有機會成為高階主管時,辨識「江湖人」,並掃除「江湖人」成為我重要的課題。
「江湖人」並不難辨認,他們經常成群結派,援引自己人,互相掩護,因此當辦公室中有派系形成時,其中必有「江湖人」,我要求所有的主管,惟是非黑白是問,不能靠個人和下屬的人際關係做為工作上的依據,絕不可以「江湖事,江湖了」。
3.思维决定命运 by 徐政龙
你拥有怎样的思维方式,你就会怎样去行动,这也就决定了你的命运之路。一个人能否成功。在很大程度上,就看他的思维方法是否正确。
什么是上帝掷骰子,就是弄一家企业,搞一个产品,人家卖你也跟着卖,有些维持几年就不行了,有些竟百年不倒,这就是上帝掷骰子的结果。
科学的品操作范式,不是靠上帝之手掷一次骰子,然后在风里雨里自己练,而是凭你的能力设计你能完成的任务,并非碰着来。它要把你必需要补充的东西整合到你的躯体里,而不是在市场的东拼西撞中摸索经验,然后再逐步“完善”自己。
2.辦公室中的江湖人 by 何飛鵬
「江湖人」是辦公室中的麻煩人物,通常是老員工,十分油條,已經喪失解決問題的能力,只能靠公關、人情及辦公室中的矛盾存活,當我有機會成為高階主管時,辨識「江湖人」,並掃除「江湖人」成為我重要的課題。
「江湖人」並不難辨認,他們經常成群結派,援引自己人,互相掩護,因此當辦公室中有派系形成時,其中必有「江湖人」,我要求所有的主管,惟是非黑白是問,不能靠個人和下屬的人際關係做為工作上的依據,絕不可以「江湖事,江湖了」。
3.思维决定命运 by 徐政龙
你拥有怎样的思维方式,你就会怎样去行动,这也就决定了你的命运之路。一个人能否成功。在很大程度上,就看他的思维方法是否正确。
如欲閱讀更多文章摘要,請見 每日晨摘
2015年7月20日 星期一
7/20 晨摘
- 資訊安全:
1.Hacking Team:攻击向量之Bios Rootkit by FreeBuf
攻击向量(attack vector)指的是黑客用来攻击计算机或者网络服务器的一种手段,攻击向量能够帮助黑客寻找系统可能存在的任何漏洞,包括人为因素,攻击向量简单理解就是网络渗透攻击的各种维度,如通过病毒,电子邮件,网页,聊天室等配合社工欺骗方法来完成。
HT内部泄露文档介绍,Bios Rootkit是通过U盘,进入UEFI Shell进行感染。要求目标系统cup Intel i3/i5/i7(2,3,4代),bios uefi。 Bios Rootkit的感染方式,决定传播广度有限,但从网络渗透来说,绝对是一个可靠的突破口。目前还没资料证明Bios Rootkit其它感染方式,但并不能排除可能性。
防御:
(1)开启UEFI SecureFlash
(2)及时更新BIOS修复安全漏洞
(3)设置BIOS/UEFI密码
检测:
(1)进行操作系统安全模式,查看系统自启动目录是否有可疑程序,如scout.exe,soilder.exe
(2)借助工具dump下uefi bios,查看是否有可疑模块。
2.美国UCLA医院遭黑客入侵,450万份医疗记录或泄露 by FreeBuf
美国加利福尼亚的UCLA医院称其系统遭入侵,导致450万份医疗记录存在泄露风险。黑客早在2014年9月就攻击了其电脑系统,大量医疗记录包括病人姓名、地址、生日、社保卡号、医保号码、药物清单和体检结果。
根据戴尔的调查结果,一份完整的医保信息在2013年的黑市可以卖到20美元,这个价格是一份美国信用卡号码+安全代码的10倍至20倍。 IBM安全副总裁Caleb Barlow解释称,医疗记录的数据相比信用卡号有更长的“寿命”——信用卡信息从泄露到修复的时间非常短,但医保记录可以一直利用下去。
3.Windows 10新变化:系统自动更新将“强制化”,用户不再可选 by FreeBuf
据悉Windows10将于7月29日推出,微软对软件更新策略做出了重大改变,系统自动更新将变为“强制性”。
攻击向量(attack vector)指的是黑客用来攻击计算机或者网络服务器的一种手段,攻击向量能够帮助黑客寻找系统可能存在的任何漏洞,包括人为因素,攻击向量简单理解就是网络渗透攻击的各种维度,如通过病毒,电子邮件,网页,聊天室等配合社工欺骗方法来完成。
HT内部泄露文档介绍,Bios Rootkit是通过U盘,进入UEFI Shell进行感染。要求目标系统cup Intel i3/i5/i7(2,3,4代),bios uefi。 Bios Rootkit的感染方式,决定传播广度有限,但从网络渗透来说,绝对是一个可靠的突破口。目前还没资料证明Bios Rootkit其它感染方式,但并不能排除可能性。
防御:
(1)开启UEFI SecureFlash
(2)及时更新BIOS修复安全漏洞
(3)设置BIOS/UEFI密码
检测:
(1)进行操作系统安全模式,查看系统自启动目录是否有可疑程序,如scout.exe,soilder.exe
(2)借助工具dump下uefi bios,查看是否有可疑模块。
2.美国UCLA医院遭黑客入侵,450万份医疗记录或泄露 by FreeBuf
美国加利福尼亚的UCLA医院称其系统遭入侵,导致450万份医疗记录存在泄露风险。黑客早在2014年9月就攻击了其电脑系统,大量医疗记录包括病人姓名、地址、生日、社保卡号、医保号码、药物清单和体检结果。
根据戴尔的调查结果,一份完整的医保信息在2013年的黑市可以卖到20美元,这个价格是一份美国信用卡号码+安全代码的10倍至20倍。 IBM安全副总裁Caleb Barlow解释称,医疗记录的数据相比信用卡号有更长的“寿命”——信用卡信息从泄露到修复的时间非常短,但医保记录可以一直利用下去。
3.Windows 10新变化:系统自动更新将“强制化”,用户不再可选 by FreeBuf
据悉Windows10将于7月29日推出,微软对软件更新策略做出了重大改变,系统自动更新将变为“强制性”。
- 企業管理:
1.初入职场 by 人月神话
(1)从现在开始写日志,开始记录学习总结
(2)做任何事情,先不求甚解一览全貌,再逐步通过回溯层层分解和展开,洞悉机理
2.这五件事,创业公司CEO需牢记 by 布谷子
(1)客户满意度
(2)人才
(3)成为所在领域权威
(4)看外面的世界
(5)削减成本
3.陈春花:你是否杀了自己的马? by miku
改变自己无疑是非常痛苦的事情,可是如果一个人任由自己的激情和冲动及任性支配,那么,从那一刻起,你就完全放弃了自己的自由,你就会成为欲望的奴隶,你就会随波逐流。
如果你能够不断的审视自己,不断的自我克制,那么,在严格的自律、自尊和自制面前,一切堕落的、不良的欲望都能够得到有效的控制,你就会日渐成为一个纯洁、高尚、懂得自我节制的人。
(1)从现在开始写日志,开始记录学习总结
(2)做任何事情,先不求甚解一览全貌,再逐步通过回溯层层分解和展开,洞悉机理
2.这五件事,创业公司CEO需牢记 by 布谷子
(1)客户满意度
(2)人才
(3)成为所在领域权威
(4)看外面的世界
(5)削减成本
3.陈春花:你是否杀了自己的马? by miku
改变自己无疑是非常痛苦的事情,可是如果一个人任由自己的激情和冲动及任性支配,那么,从那一刻起,你就完全放弃了自己的自由,你就会成为欲望的奴隶,你就会随波逐流。
如果你能够不断的审视自己,不断的自我克制,那么,在严格的自律、自尊和自制面前,一切堕落的、不良的欲望都能够得到有效的控制,你就会日渐成为一个纯洁、高尚、懂得自我节制的人。
如欲閱讀更多文章摘要,請見 每日晨摘
2015年7月19日 星期日
7/19 晨摘
- 資訊安全:
1.Adobe Flash 就像煙癮一樣,難以戒掉? by TREND LABS
對於一般使用者來說很簡單:若您確定自己不需要 Adobe Flash,就直接將它解除安裝。另一個選擇是使用可設定手動點選才能執行 Adobe Flash 的瀏覽器 (如 Chrome 和 Firefox)。如此就能大幅降低遭到攻擊的風險。
因 Hacking Team 而曝光的零時差漏洞只不過是 Adobe Flash 所有零時差漏洞的冰山一角而已。不過,就算安全問題早就該讓 Flash 被掃進歷史灰燼當中,但在可預見的未來,它顯然還會繼續存活下去。身為終端使用者和企業,我們可以做的就是,盡可能減少這些問題。
2.大大大手笔 2015黑帽大会准备曝光30多个零日漏洞 by 安全牛
在大会准备期间,黑帽大会组织者们进行了一次参会者调查来衡量对当前安全状况的感知与现状。这次调查的样本来自460位IT管理与安全专业人士,其结果指向了安全工作的优先级与真正重要的安全工作之间的差异。
超过半数(57%)的受访者将高级攻击列为头等大事。然而,在被问及怎样分配时间和资源时,35%的受访者表示,处理自身应用开发团队引入的安全漏洞占据了每天大部分时间。相较之下,关心高级攻击只占用受访者日常20%的时间。
涉及基于社会工程的威胁时,同样存在感知与现实的差距。46%的受访者认为社会工程威胁是关键问题。花费的时间却只占31%。
这份调查发现的另一个主要趋势是企业在IT安全技术上的缺口。只有36%的受访者表示他们的公司拥有全部需要的职业技术,55%的人承认额外的培训会有所帮助。积极的一面是,只有9%的人表示还没准备好应对未来潜在的漏洞利用。
3.所有的信息安全都是网络安全 变革的时候到了 by 安全牛
我们必须关注当前网络威胁环境的六大原则:
(1)所有的安全问题都是网络安全问题。
(2)威胁绝大部分是由内而外,而不是由外而内的。
(3)安全系统的适应速度与其侦测与预防程度同等重要。
(4)什么都不能信任。
(5)安全必须根植于信息处理的基底层。
(6)公共/私营合作关系应被重建。
對於一般使用者來說很簡單:若您確定自己不需要 Adobe Flash,就直接將它解除安裝。另一個選擇是使用可設定手動點選才能執行 Adobe Flash 的瀏覽器 (如 Chrome 和 Firefox)。如此就能大幅降低遭到攻擊的風險。
因 Hacking Team 而曝光的零時差漏洞只不過是 Adobe Flash 所有零時差漏洞的冰山一角而已。不過,就算安全問題早就該讓 Flash 被掃進歷史灰燼當中,但在可預見的未來,它顯然還會繼續存活下去。身為終端使用者和企業,我們可以做的就是,盡可能減少這些問題。
2.大大大手笔 2015黑帽大会准备曝光30多个零日漏洞 by 安全牛
在大会准备期间,黑帽大会组织者们进行了一次参会者调查来衡量对当前安全状况的感知与现状。这次调查的样本来自460位IT管理与安全专业人士,其结果指向了安全工作的优先级与真正重要的安全工作之间的差异。
超过半数(57%)的受访者将高级攻击列为头等大事。然而,在被问及怎样分配时间和资源时,35%的受访者表示,处理自身应用开发团队引入的安全漏洞占据了每天大部分时间。相较之下,关心高级攻击只占用受访者日常20%的时间。
涉及基于社会工程的威胁时,同样存在感知与现实的差距。46%的受访者认为社会工程威胁是关键问题。花费的时间却只占31%。
这份调查发现的另一个主要趋势是企业在IT安全技术上的缺口。只有36%的受访者表示他们的公司拥有全部需要的职业技术,55%的人承认额外的培训会有所帮助。积极的一面是,只有9%的人表示还没准备好应对未来潜在的漏洞利用。
3.所有的信息安全都是网络安全 变革的时候到了 by 安全牛
我们必须关注当前网络威胁环境的六大原则:
(1)所有的安全问题都是网络安全问题。
(2)威胁绝大部分是由内而外,而不是由外而内的。
(3)安全系统的适应速度与其侦测与预防程度同等重要。
(4)什么都不能信任。
(5)安全必须根植于信息处理的基底层。
(6)公共/私营合作关系应被重建。
- 企業管理:
1.一秒一个指令,你到底让员工闹哪样? by 布谷子
以身作则,你还要他做什么,你也要做些什么,你要的情况才会出现。我希望他怎样,希望有用吗,管理上只想,事情是不会因此改变。只要我的下属不做事,或者做错事,老板会找谁。不会打仗的兵,是谁的过。
2.中小企业绩效管理的通病,你中枪了吗? by 布谷子
(1)追求时髦管理
(2)理论追求一步到位
(3)评价方法过于复杂
(4)管理者不知如何设定考核指标、评分方法
(5)用绩效考核代替日常管理
3.怎么提高员工执行力? by 布谷子
(1)沟通是前提
(2)协调是手段
(3)反馈是保障
(4)责任是关键
(5)决心是基石
以身作则,你还要他做什么,你也要做些什么,你要的情况才会出现。我希望他怎样,希望有用吗,管理上只想,事情是不会因此改变。只要我的下属不做事,或者做错事,老板会找谁。不会打仗的兵,是谁的过。
2.中小企业绩效管理的通病,你中枪了吗? by 布谷子
(1)追求时髦管理
(2)理论追求一步到位
(3)评价方法过于复杂
(4)管理者不知如何设定考核指标、评分方法
(5)用绩效考核代替日常管理
3.怎么提高员工执行力? by 布谷子
(1)沟通是前提
(2)协调是手段
(3)反馈是保障
(4)责任是关键
(5)决心是基石
如欲閱讀更多文章摘要,請見 每日晨摘
2015年7月18日 星期六
7/18 晨摘
- 資訊安全:
1.占据韩国80%市场的TOTOLINK路由器被曝存在后门,影响5万路由器 by FreeBuf
TOTOLINK路由器在韩国市场占有率达82.3%。由深圳众唐科技公司负责产品的研发、制造。通过分析最近一次的固件以及在真实路由器上进行测试后,研究人员发现8款TOTOLink产品中存在后门。
通过向WAN IP发送一个精心构造的请求,攻击者可以在网上打开HTTP远程管理界面。接着攻击者在HTTP原创管理界面中通过hidden/boafrm/formSysCmd形式使用远程代码执行,进而绕过认证系统。
2.RC4加密已不再安全,破解效率极高 by FreeBuf
安全研究人员称,现在世界上近三分之一的HTTPS加密连接可被破解,并且效率极高。这种针对RC4加密的破解技术,同样也可以用来破解WiFi数据包。
攻击者可以通过中间人手段,监控目标与Https网站之间的会话连接,或者监控WPA-TKIP保护的网络。在第一种情况下,攻击者向另一个非Https网站注入了Javascript代码,会诱使访问它的目标计算机迅速多次传输加密身份认证的cookie。
通过分析约9*2^27个加密的cookie,攻击者可以将猜测准确率提升至94%。期间,攻击者需要让目标每秒发送4450个请求,在经过75小时后(特殊情况下只需52小时),就可以完成猜解攻击。
这项技术不仅可以解密cookie和Wifi数据包,其他高速传输的加密数据流也有可能被解密。技术是通过向加密payload中注入数据,如每个认证cookie或者Wifi数据包中的标准头部。攻击者会通过组合所有可能的值,通过使用统计偏差找出最有可能的组合。
3.“蝴蝶”黑客小组专偷知识产权 by 安全牛
根据发现者赛门铁克的报告,蝴蝶小组的目标范围非常广。在2013年,蝴蝶小组的攻击往往针对科技企业,接下来的几年中,他们则转向了法律和制药公司。而在上个月,他们又开始攻击石油、天然气、矿产等能源行业。
这些公司的共同点是它们都存在公开渠道的信息披露,大多排名在财富200强之内。另一个共同的现象是,蝴蝶小组的攻击往往发生在这些公司进行合并或收购的新闻报道之后。
赛门铁克高级经理维克拉姆·塔库尔认为,蝴蝶小组并非由国家支持,而且由于在暗网上的黑市中也没有找到蝴蝶小组兜售失窃信息的迹象,因此合理的解释很可能只有一个:这个组织偷到的知识产权信息主要被用来在金融市场上做内幕交易。
TOTOLINK路由器在韩国市场占有率达82.3%。由深圳众唐科技公司负责产品的研发、制造。通过分析最近一次的固件以及在真实路由器上进行测试后,研究人员发现8款TOTOLink产品中存在后门。
通过向WAN IP发送一个精心构造的请求,攻击者可以在网上打开HTTP远程管理界面。接着攻击者在HTTP原创管理界面中通过hidden/boafrm/formSysCmd形式使用远程代码执行,进而绕过认证系统。
2.RC4加密已不再安全,破解效率极高 by FreeBuf
安全研究人员称,现在世界上近三分之一的HTTPS加密连接可被破解,并且效率极高。这种针对RC4加密的破解技术,同样也可以用来破解WiFi数据包。
攻击者可以通过中间人手段,监控目标与Https网站之间的会话连接,或者监控WPA-TKIP保护的网络。在第一种情况下,攻击者向另一个非Https网站注入了Javascript代码,会诱使访问它的目标计算机迅速多次传输加密身份认证的cookie。
通过分析约9*2^27个加密的cookie,攻击者可以将猜测准确率提升至94%。期间,攻击者需要让目标每秒发送4450个请求,在经过75小时后(特殊情况下只需52小时),就可以完成猜解攻击。
这项技术不仅可以解密cookie和Wifi数据包,其他高速传输的加密数据流也有可能被解密。技术是通过向加密payload中注入数据,如每个认证cookie或者Wifi数据包中的标准头部。攻击者会通过组合所有可能的值,通过使用统计偏差找出最有可能的组合。
3.“蝴蝶”黑客小组专偷知识产权 by 安全牛
根据发现者赛门铁克的报告,蝴蝶小组的目标范围非常广。在2013年,蝴蝶小组的攻击往往针对科技企业,接下来的几年中,他们则转向了法律和制药公司。而在上个月,他们又开始攻击石油、天然气、矿产等能源行业。
这些公司的共同点是它们都存在公开渠道的信息披露,大多排名在财富200强之内。另一个共同的现象是,蝴蝶小组的攻击往往发生在这些公司进行合并或收购的新闻报道之后。
赛门铁克高级经理维克拉姆·塔库尔认为,蝴蝶小组并非由国家支持,而且由于在暗网上的黑市中也没有找到蝴蝶小组兜售失窃信息的迹象,因此合理的解释很可能只有一个:这个组织偷到的知识产权信息主要被用来在金融市场上做内幕交易。
- 企業管理:
1.商学院能否打造高管终身学习平台? by 立风、芮娜、WH
三一集团把分布在全球各地的海外分公司中高层集中到上海进行为期两年的阶段性脱产培训。 为了保证课程的质量,负责该项目的老师先到三一重工调研,根据企业的战略发展情况和人才培养策略,量身定做整体培养方案。这批受训的年轻人都是学外语出身,他们每三个月回到课堂,系统学习国际化经营、领导力、企业战略等管理课程,并把实践中的困惑反馈到课堂讨论中,能力提升非常快。
香港城市大学高级管理培训商学院主任严萍博士指出,为了充分发挥深港两地的资源优势,除了双语教学外,他们还创新推出“三明治”的教学形式,在课程中间安排内地企业高管去香港同行企业参观,请香港企业高管分享走过的路,双方在交流中受益匪浅,深受到企业高管们的好评。
2.高管应有高智商? by 圆·圈
每个领导者都建立了“个人基础知识结构”,该结构由许多要素组成。其中包括用于思考的时间——一位医疗公司的管理者会在旅行中阅读研究资料,他说自己要读的资料多到“车载斗量”。他们也会在工作之余探访病房,以发现问题,分析公司业绩的数据“仪表盘”,以及与重要的同事商议问题。
3.从员工到总监,我的8个经验心得 by 梅大
(1)一定要清楚自己未来的目标是什么
(2)能力固然重要,但并不能代表全部
(3)要有足够的“亮剑”资本
(4)慎重对待第一份工作
(5)要保持一种“空杯心态”
(6)要懂一点做人的常识
(7)要学会遵守游戏规则
(8)机会只垂青有准备的人
三一集团把分布在全球各地的海外分公司中高层集中到上海进行为期两年的阶段性脱产培训。 为了保证课程的质量,负责该项目的老师先到三一重工调研,根据企业的战略发展情况和人才培养策略,量身定做整体培养方案。这批受训的年轻人都是学外语出身,他们每三个月回到课堂,系统学习国际化经营、领导力、企业战略等管理课程,并把实践中的困惑反馈到课堂讨论中,能力提升非常快。
香港城市大学高级管理培训商学院主任严萍博士指出,为了充分发挥深港两地的资源优势,除了双语教学外,他们还创新推出“三明治”的教学形式,在课程中间安排内地企业高管去香港同行企业参观,请香港企业高管分享走过的路,双方在交流中受益匪浅,深受到企业高管们的好评。
2.高管应有高智商? by 圆·圈
每个领导者都建立了“个人基础知识结构”,该结构由许多要素组成。其中包括用于思考的时间——一位医疗公司的管理者会在旅行中阅读研究资料,他说自己要读的资料多到“车载斗量”。他们也会在工作之余探访病房,以发现问题,分析公司业绩的数据“仪表盘”,以及与重要的同事商议问题。
3.从员工到总监,我的8个经验心得 by 梅大
(1)一定要清楚自己未来的目标是什么
(2)能力固然重要,但并不能代表全部
(3)要有足够的“亮剑”资本
(4)慎重对待第一份工作
(5)要保持一种“空杯心态”
(6)要懂一点做人的常识
(7)要学会遵守游戏规则
(8)机会只垂青有准备的人
如欲閱讀更多文章摘要,請見 每日晨摘
2015年7月17日 星期五
7/17 晨摘
- 資訊安全:
1.香港廉政公署和台湾警方曾有意购买Hacking Team间谍程序 by FreeBuf
据维基解密披露,台湾警局在2012年11月联系Hacking Team邀约产品展示,而香港廉政公署人员在去年6月份联系Hacking Team并表示对远程控制软件Galileo很感兴趣。
台湾刑事局通讯监察科(原通讯监察中心)的侦查员李镇宇表示,通讯侦察科有必要及时了解国际上是否有最新的犯罪侦查工具,而且近年来,各类加密通讯的盛行,给警方在贩毒、诈骗等犯罪侦查行动中增添了极大的障碍。当他在2012年参加美国FBI举办的国际通讯侦查研讨会中,看到Hacking Team现场的演讲和产品展示,刑事局对该公司的产品很好奇,在听闻其计划亚洲行程时,便联系了Hacking Team的成员来台湾做产品演示。
而Hacking Team展示产品后,台湾警方进一步研究之后最终还是没有采用。其中一个关键原因是Hacking Team通讯侦查产品采用了封闭的标准,没有注重欧洲电信联盟所制定的各种通信监察标准,后续也未再联系。
2.Defcon黑客大会上将公布5个特斯拉Oday漏洞 by FreeBuf
Defcon黑客大会将于8月份举行,届时会有两位著名安全专家——来自CloudFlare公司的Marc Rogers和Lookout公司的联合创始人Kevin Mahaffey,公开特斯拉Model S车型存在的5处0day漏洞。他们表示会在特斯拉修复这些漏洞之前对外详细介绍这些漏洞,一旦特斯拉没有在下月之前发布补丁,那么用户的特斯拉就可能陷入被攻击的危险当中。研究人员表示特斯拉已经修复了本为6个漏洞的其中一个。
3.美联手多国打击网络犯罪 关闭最具威胁黑客论坛 by FreeBuf
Darkode是黑客犯罪分子的蜂巢,是全球约800个网络犯罪集中的论坛中,对美国境内电脑数据安全构成最严重威胁的一个。此次调查由联邦调查局和匹兹堡联邦检察官办公室牵头执行,与欧洲刑警组织、欧洲和拉美20国、以及以色列、尼日利亚、澳大利亚共同合作完成。
网络犯罪者通过“Darkode”交易窃得的数据、黑入系统或发送垃圾邮件的工具或服务,以及对政府和公司实施网络攻击的方法。该网站只能受邀才能访问,隐匿于被充分保护的互联网服务器中。
据维基解密披露,台湾警局在2012年11月联系Hacking Team邀约产品展示,而香港廉政公署人员在去年6月份联系Hacking Team并表示对远程控制软件Galileo很感兴趣。
台湾刑事局通讯监察科(原通讯监察中心)的侦查员李镇宇表示,通讯侦察科有必要及时了解国际上是否有最新的犯罪侦查工具,而且近年来,各类加密通讯的盛行,给警方在贩毒、诈骗等犯罪侦查行动中增添了极大的障碍。当他在2012年参加美国FBI举办的国际通讯侦查研讨会中,看到Hacking Team现场的演讲和产品展示,刑事局对该公司的产品很好奇,在听闻其计划亚洲行程时,便联系了Hacking Team的成员来台湾做产品演示。
而Hacking Team展示产品后,台湾警方进一步研究之后最终还是没有采用。其中一个关键原因是Hacking Team通讯侦查产品采用了封闭的标准,没有注重欧洲电信联盟所制定的各种通信监察标准,后续也未再联系。
2.Defcon黑客大会上将公布5个特斯拉Oday漏洞 by FreeBuf
Defcon黑客大会将于8月份举行,届时会有两位著名安全专家——来自CloudFlare公司的Marc Rogers和Lookout公司的联合创始人Kevin Mahaffey,公开特斯拉Model S车型存在的5处0day漏洞。他们表示会在特斯拉修复这些漏洞之前对外详细介绍这些漏洞,一旦特斯拉没有在下月之前发布补丁,那么用户的特斯拉就可能陷入被攻击的危险当中。研究人员表示特斯拉已经修复了本为6个漏洞的其中一个。
3.美联手多国打击网络犯罪 关闭最具威胁黑客论坛 by FreeBuf
Darkode是黑客犯罪分子的蜂巢,是全球约800个网络犯罪集中的论坛中,对美国境内电脑数据安全构成最严重威胁的一个。此次调查由联邦调查局和匹兹堡联邦检察官办公室牵头执行,与欧洲刑警组织、欧洲和拉美20国、以及以色列、尼日利亚、澳大利亚共同合作完成。
网络犯罪者通过“Darkode”交易窃得的数据、黑入系统或发送垃圾邮件的工具或服务,以及对政府和公司实施网络攻击的方法。该网站只能受邀才能访问,隐匿于被充分保护的互联网服务器中。
- 企業管理:
1.当品牌遭遇价格战 by 李知霜
O2O运营伊始,便需要做好两个管控:渠道管控、价格管控
品牌三部曲:
(1)建设线上渠道
(2)线下品牌落地
(3)O2O巩固品牌
2.向客户融资:从“0”成本到“1”收入 by 无知井底蛙
大多数风投基金无法获得预期回报的主要原因有五个方面:
(1)许多风投们自己从未建立过一个创业企业或学会处理企业家的不可避免的挑战,尽管他们有最好的想法,但他们并非真正知道如何帮助一家创业公司获得成功。
(2)有些风投缺乏对于建立一个企业真正有用、具有相当深度和广度的网络。
(3)有些倾向于对仍未经证实的A计划投入过多的钱,加入了“快速变大”的竞赛中。
(4)有些就像旅鼠,一个跟着一个投入最新的投资时尚,而后来的“旅鼠”经常被灼伤。
(5)通过投资创业公司产生有吸引力的回报确实非常困难。
3.潜规则运作---中国式企业管理的弊端 by 常秀莉
(1)交际场上应酬多,招聘人看能不能抽烟喝酒,能不能懂得人情世故,请客送礼。
(2)绩效考核面谈就是闲暇寒暄,为了月底发工资而打的分数,为了让每个人拿到自己的工资,不对上司不满,管理者给每个人的分数都差不多。
(3)招聘人看人的背景,背景雄厚者免除一切招聘程序,直接入职,无试工期,无试工期工资区别,不进行绩效考核。
(4)政府办事窗口拿着公务员的待遇,却对前来办事的人员态度冷淡,甚至不耐烦,因为没有考核,所以不担心下岗失业,有国家编制,工资一分不少。
(5)ISO质量体系认证可以用钱来买,名牌企业可以用钱来买,没有钱买不到的荣誉,只有你想不到的用钱之处。
(6)明知道企业管理不规范,员工决不敢提出异议,一旦有公开提出异议,意味着这是最后一次在这家公司工作,也意味着得罪了上家公司,后续的工作背景调查不好交代,更意味着在全球金融危机的背景下,失业的压力。
(7)制度灵活,看人下菜。关系裙带网络丰富者即使无能,也能执掌大权。
(8)中国式处世潜规则风行天下,多一事不如少一事,明知不对,少说为佳;不要得罪任何人,维系关系。于是,社会风气越来越不好,治安混乱的时候,人们不再挺身而出,见义勇为被认为是傻瓜,很多人面对罪恶视若无睹,危难时刻,明哲保身。
(9)贪官污吏横行,关系哲学风靡,无论学校、官场、职场,到处都是关系为先,有了关系好办事。上有政策,下有对策,有了关系,不能办的事情能办了,能办的事情办不成了。
(10)能忍耐的人,与世俗同流合污,适应环境;不能忍耐的人,终生郁郁不得志,因为力量薄弱,无力改变环境。
O2O运营伊始,便需要做好两个管控:渠道管控、价格管控
品牌三部曲:
(1)建设线上渠道
(2)线下品牌落地
(3)O2O巩固品牌
2.向客户融资:从“0”成本到“1”收入 by 无知井底蛙
大多数风投基金无法获得预期回报的主要原因有五个方面:
(1)许多风投们自己从未建立过一个创业企业或学会处理企业家的不可避免的挑战,尽管他们有最好的想法,但他们并非真正知道如何帮助一家创业公司获得成功。
(2)有些风投缺乏对于建立一个企业真正有用、具有相当深度和广度的网络。
(3)有些倾向于对仍未经证实的A计划投入过多的钱,加入了“快速变大”的竞赛中。
(4)有些就像旅鼠,一个跟着一个投入最新的投资时尚,而后来的“旅鼠”经常被灼伤。
(5)通过投资创业公司产生有吸引力的回报确实非常困难。
3.潜规则运作---中国式企业管理的弊端 by 常秀莉
(1)交际场上应酬多,招聘人看能不能抽烟喝酒,能不能懂得人情世故,请客送礼。
(2)绩效考核面谈就是闲暇寒暄,为了月底发工资而打的分数,为了让每个人拿到自己的工资,不对上司不满,管理者给每个人的分数都差不多。
(3)招聘人看人的背景,背景雄厚者免除一切招聘程序,直接入职,无试工期,无试工期工资区别,不进行绩效考核。
(4)政府办事窗口拿着公务员的待遇,却对前来办事的人员态度冷淡,甚至不耐烦,因为没有考核,所以不担心下岗失业,有国家编制,工资一分不少。
(5)ISO质量体系认证可以用钱来买,名牌企业可以用钱来买,没有钱买不到的荣誉,只有你想不到的用钱之处。
(6)明知道企业管理不规范,员工决不敢提出异议,一旦有公开提出异议,意味着这是最后一次在这家公司工作,也意味着得罪了上家公司,后续的工作背景调查不好交代,更意味着在全球金融危机的背景下,失业的压力。
(7)制度灵活,看人下菜。关系裙带网络丰富者即使无能,也能执掌大权。
(8)中国式处世潜规则风行天下,多一事不如少一事,明知不对,少说为佳;不要得罪任何人,维系关系。于是,社会风气越来越不好,治安混乱的时候,人们不再挺身而出,见义勇为被认为是傻瓜,很多人面对罪恶视若无睹,危难时刻,明哲保身。
(9)贪官污吏横行,关系哲学风靡,无论学校、官场、职场,到处都是关系为先,有了关系好办事。上有政策,下有对策,有了关系,不能办的事情能办了,能办的事情办不成了。
(10)能忍耐的人,与世俗同流合污,适应环境;不能忍耐的人,终生郁郁不得志,因为力量薄弱,无力改变环境。
如欲閱讀更多文章摘要,請見 每日晨摘
2015年7月16日 星期四
7/16 晨摘
- 資訊安全:
1.格盘也没用:Hacking Team使用UEFI BIOS Rootkit将远控长驻操作系统 by FreeBuf
Hacking Team的一份幻灯片中提到,成功感染需要与目标系统有物理接触,但我们不能排除远程安装的可能性。一个攻击场景的例子是:入侵者获取目标电脑的访问权限,重启进入UEFI shell,把BIOS dump出来,安装BIOS rootkit,重刷BIOS,然后重启目标系统。
2.Java曝高危0day漏洞,已被俄罗斯黑客组织利用 by FreeBuf
攻击者首先会向受害者们发送一封含有Java 0day漏洞链接的邮件。一旦用户打开了链接,漏洞利用代码就会释放一个最基本的木马程序TROJ_DROPPR.CXC,该程序进而会在 "/login user"文件夹中释放一个名为TSPY_FAKEMS.C的payload。之后恶意程序会在Java默认设置的情况下执行恶意代码从而入侵系统。
3.HackingTeam安卓监控软件RCS病毒样本分析 by FreeBuf
病毒逻辑主要分为两部分,一部分使用注册的广播监听器,监听特定的广播,手机如短信,来电等信息,将收集到的广播保存在特定的类中共其他类调用。
另一部分通过名为core的主线程,进行手机状态(是否root,sd卡上是否存在相关目录并创建文件等)判断,获取硬件信息,用户位置,发送短信,链接远程服务器上传收集到的信息或更新病毒代码等。
广播监听器部分: 病毒被安装后,会注册广播接收器监听手机广播(短信广播,来电广播,充电广播,屏幕解锁广播等),并通过服务获取用户的隐私信息,包括拦截短信,监听电话等。
Hacking Team的一份幻灯片中提到,成功感染需要与目标系统有物理接触,但我们不能排除远程安装的可能性。一个攻击场景的例子是:入侵者获取目标电脑的访问权限,重启进入UEFI shell,把BIOS dump出来,安装BIOS rootkit,重刷BIOS,然后重启目标系统。
2.Java曝高危0day漏洞,已被俄罗斯黑客组织利用 by FreeBuf
攻击者首先会向受害者们发送一封含有Java 0day漏洞链接的邮件。一旦用户打开了链接,漏洞利用代码就会释放一个最基本的木马程序TROJ_DROPPR.CXC,该程序进而会在 "/login user"文件夹中释放一个名为TSPY_FAKEMS.C的payload。之后恶意程序会在Java默认设置的情况下执行恶意代码从而入侵系统。
3.HackingTeam安卓监控软件RCS病毒样本分析 by FreeBuf
病毒逻辑主要分为两部分,一部分使用注册的广播监听器,监听特定的广播,手机如短信,来电等信息,将收集到的广播保存在特定的类中共其他类调用。
另一部分通过名为core的主线程,进行手机状态(是否root,sd卡上是否存在相关目录并创建文件等)判断,获取硬件信息,用户位置,发送短信,链接远程服务器上传收集到的信息或更新病毒代码等。
广播监听器部分: 病毒被安装后,会注册广播接收器监听手机广播(短信广播,来电广播,充电广播,屏幕解锁广播等),并通过服务获取用户的隐私信息,包括拦截短信,监听电话等。
- 企業管理:
1.HR识别高潜力人才的5个关键指标 by 双高志信HR
(1)元认知(Metacognition)能力
(2)逻辑性的思维能力
(3)用简洁的语言解释复杂问题的能力
(4)对于观点的态度和对别人的态度
(5)情商高
2.绩效≠扣钱 被误会是能力的缺陷 by 黄红发
(1)通过亲民消除隔核
(2)严于律己树立形象
3.成长型企业该如何做好绩效管理? by jimmybeau
(1)改善绩效管理环境
(2)改造绩效管理模式
(1)元认知(Metacognition)能力
(2)逻辑性的思维能力
(3)用简洁的语言解释复杂问题的能力
(4)对于观点的态度和对别人的态度
(5)情商高
2.绩效≠扣钱 被误会是能力的缺陷 by 黄红发
(1)通过亲民消除隔核
(2)严于律己树立形象
3.成长型企业该如何做好绩效管理? by jimmybeau
(1)改善绩效管理环境
(2)改造绩效管理模式
如欲閱讀更多文章摘要,請見 每日晨摘
2015年7月15日 星期三
7/15 晨摘
- 資訊安全:
1.Black Hat 2015上将发布的安全工具 by FreeBuf
(1)Active Directory Backdoors:分析针对活动目录的后门程序,这些后门不仅可以避免管理员发现,还可以获取系统权限。
(2)Bearded:开源安全自动检测平台,可帮助开发者、测试人员和安全工程师通过一系列工具(w3af, sslyze, nmap, arachni等)自动化进行安全扫描。
(3)CapTipper:用于接收、分析和探测HTTP异常流量的Python工具。
(4)FindSecurityBugs:Java静态分析工具FindBugs的插件,通过一系列的规则发现代码中的Java安全漏洞。
(5)Mana:WiFi伪造接入点,可以获取所有WiFi连接者的登录信息。
(6)ShinoBOT:一个远控模拟器,可以帮助企业和组织衡量网络安全防控能力。
(7)Sphinx:开源安全监控工具,可以实时对主机行为进行分析。
(8)Sqlchop:基于智能递归解码和语义分析的SQL注入检测引擎,有极高的检测准确率以及0day SQL注入探测的检测能力。
(9)Chellam:Windows下的无线WiFi IDS/防火墙。
2.三枚Flash 0day漏洞曝光,Flash再次紧急更新 by FreeBuf
第三个CVE-2015-5123同是来自HT此前泄露的资料中,由Trend Micro团队发现,该漏洞“可能导致死机以及潜在允许攻击者控制受影响的系统”。
Adobe在今天发布了最新的18.0.0.209版本,已修复了目前全部三枚0day。
3.四种捕获DDoS攻击的监测工具(含报告) by FreeBuf
工具一:内部服务器、网络和基础设施监控
工具二:外部性能监控
工具三:Netflow或者Peakflow流量分析
工具四:前置监测
(1)Active Directory Backdoors:分析针对活动目录的后门程序,这些后门不仅可以避免管理员发现,还可以获取系统权限。
(2)Bearded:开源安全自动检测平台,可帮助开发者、测试人员和安全工程师通过一系列工具(w3af, sslyze, nmap, arachni等)自动化进行安全扫描。
(3)CapTipper:用于接收、分析和探测HTTP异常流量的Python工具。
(4)FindSecurityBugs:Java静态分析工具FindBugs的插件,通过一系列的规则发现代码中的Java安全漏洞。
(5)Mana:WiFi伪造接入点,可以获取所有WiFi连接者的登录信息。
(6)ShinoBOT:一个远控模拟器,可以帮助企业和组织衡量网络安全防控能力。
(7)Sphinx:开源安全监控工具,可以实时对主机行为进行分析。
(8)Sqlchop:基于智能递归解码和语义分析的SQL注入检测引擎,有极高的检测准确率以及0day SQL注入探测的检测能力。
(9)Chellam:Windows下的无线WiFi IDS/防火墙。
2.三枚Flash 0day漏洞曝光,Flash再次紧急更新 by FreeBuf
第三个CVE-2015-5123同是来自HT此前泄露的资料中,由Trend Micro团队发现,该漏洞“可能导致死机以及潜在允许攻击者控制受影响的系统”。
Adobe在今天发布了最新的18.0.0.209版本,已修复了目前全部三枚0day。
3.四种捕获DDoS攻击的监测工具(含报告) by FreeBuf
工具一:内部服务器、网络和基础设施监控
工具二:外部性能监控
工具三:Netflow或者Peakflow流量分析
工具四:前置监测
- 企業管理:
1.好點子跟好人才,哪個更有價值?皮克斯總裁的答案是... by 吳硯文
如果把好的點子交給平庸的團隊,他們很可能會搞砸;但是即使是很平庸的點子,一旦交給了優秀的團隊,他們往往能化腐朽為神奇,或是想出更好的點子。所以重點是人,人的工作習慣、才能、價值,絕對是創意企業最重要的環節。
皮克斯建立「腦力信託」(Braintrust)機制,由各具專才的導演、編劇和部門主管組成團隊,每隔幾個月開一次會,先一起欣賞、評估製作中的電影,再由電影導演和製作人大略報告進度,接著請大家發表對於電影的想法和建議。
這種方式就像是籌組一支醫療團隊,電影是病人,由導演、編劇、製作人或主管聯合問診,替複雜的病症找出準確的診斷。重點在於每個人都可以坦率表達意見,卻沒有權力要求導演一定要採納,因而也大幅降低了電影負責人對於各種建議的防衛心。
2.你把工作放在心上,老板就把你放在心上 by 世界经理人
對于老板們來說,凡是有益于公司的事情都會去做。他們總是渴望能夠找到視公司的事情為自己事的員工,希望這樣的員工能夠成為他本人的“替身”,去完成他沒有精力完成的事情。很顯然,他對員工的要求,就是像他那樣去工作。
3.量化、提升领导力的利润回报 by 世界经理人
企业管理者若能在培养未来的领导者以及人才管理方面起到积极而直接的作用,企业就能收获更大的业绩回报。
三大领导力与人才管理能力和企业的业绩表现联系最为紧密,包括:将领导力及领导力规划转化为清晰明确且可以衡量的举措;企业管理者将大量时间用于发展领导力和人才管理;以及对人才培养实行领导层问责制。
如果把好的點子交給平庸的團隊,他們很可能會搞砸;但是即使是很平庸的點子,一旦交給了優秀的團隊,他們往往能化腐朽為神奇,或是想出更好的點子。所以重點是人,人的工作習慣、才能、價值,絕對是創意企業最重要的環節。
皮克斯建立「腦力信託」(Braintrust)機制,由各具專才的導演、編劇和部門主管組成團隊,每隔幾個月開一次會,先一起欣賞、評估製作中的電影,再由電影導演和製作人大略報告進度,接著請大家發表對於電影的想法和建議。
這種方式就像是籌組一支醫療團隊,電影是病人,由導演、編劇、製作人或主管聯合問診,替複雜的病症找出準確的診斷。重點在於每個人都可以坦率表達意見,卻沒有權力要求導演一定要採納,因而也大幅降低了電影負責人對於各種建議的防衛心。
2.你把工作放在心上,老板就把你放在心上 by 世界经理人
對于老板們來說,凡是有益于公司的事情都會去做。他們總是渴望能夠找到視公司的事情為自己事的員工,希望這樣的員工能夠成為他本人的“替身”,去完成他沒有精力完成的事情。很顯然,他對員工的要求,就是像他那樣去工作。
3.量化、提升领导力的利润回报 by 世界经理人
企业管理者若能在培养未来的领导者以及人才管理方面起到积极而直接的作用,企业就能收获更大的业绩回报。
三大领导力与人才管理能力和企业的业绩表现联系最为紧密,包括:将领导力及领导力规划转化为清晰明确且可以衡量的举措;企业管理者将大量时间用于发展领导力和人才管理;以及对人才培养实行领导层问责制。
如欲閱讀更多文章摘要,請見 每日晨摘
2015年7月14日 星期二
7/14 晨摘
- 資訊安全:
1.維基解密公布100多萬筆Hacking Team內部郵件 by 陳曉莉
Hacking Team表示,在遭到入侵之前,該公司可以確保軟體只出售給政府機關,也只有政府能夠存取該公司的技術,但此一犯罪行動讓該公司喪失了軟體控制權,只要具備特定能力的恐怖份子或敲詐者都能部署此一技術,將造成非常危險的情況。
在被駭事件傳出後,Hacking Team立即要求客戶停用RCS,同時加速更新RCS以讓客戶可重新使用,另一方面也鼓勵防毒軟體業者升級他們的程式以偵測被危害的RCS。
2.驚!Hacking Team文件又被挖出兩個Adobe Flash重大零時差漏洞 by 陳曉莉
FireEye及趨勢分別發現CVE-2015-5122以及CVE-2015-5123兩個新的重大等級(Critical)零時差漏洞。
文件中針對CVE-2015-5122漏洞的攻擊程式仍是個概念性驗證程式,因此尚不確定攻擊實況。FireEye分析,此一概念性驗證程式利用了DisplayObject中的Use-After-Free漏洞,可用來開啟系統上的計算機程式,代表它也能用來執行惡意程式。
至於CVE-2015-5123也是一個重大漏洞,將允許駭客掌控使用者系統,而且與CVE-2015-5119一樣都危及了Windows、Mac及Linux上的所有Flash版本。
3.OPM数据泄露规模已达2570万 主管引咎辞职 by Recco
经过数周的调查之后,美国人事管理办公室(OPM)最终披露入侵事件带来的整个影响,又增加了2150万个人信息的泄露,与之前公布的420万加在一起,受影响的美国公民人数已达2570万。
为了响应此次入侵事件,OPM已经做出保证改善网络安全环境的计划,并配合FBI、国土安全部和国防部的调查工作。这份名为《网络安全行动报告》的计划包括部署强力双因素认证、限制管理员权限的远程访问,并建立一个具备持续监视能力的7*24的安全运行中心。
从工具部署来看,OPM的计划是部署新的软硬件工具,包括更多的防火墙和防病毒软件。另外,计划还准备加密它的数据库,以减少未来的数据泄露风险。对数据库加密的评估将在7月15日完成。
Hacking Team表示,在遭到入侵之前,該公司可以確保軟體只出售給政府機關,也只有政府能夠存取該公司的技術,但此一犯罪行動讓該公司喪失了軟體控制權,只要具備特定能力的恐怖份子或敲詐者都能部署此一技術,將造成非常危險的情況。
在被駭事件傳出後,Hacking Team立即要求客戶停用RCS,同時加速更新RCS以讓客戶可重新使用,另一方面也鼓勵防毒軟體業者升級他們的程式以偵測被危害的RCS。
2.驚!Hacking Team文件又被挖出兩個Adobe Flash重大零時差漏洞 by 陳曉莉
FireEye及趨勢分別發現CVE-2015-5122以及CVE-2015-5123兩個新的重大等級(Critical)零時差漏洞。
文件中針對CVE-2015-5122漏洞的攻擊程式仍是個概念性驗證程式,因此尚不確定攻擊實況。FireEye分析,此一概念性驗證程式利用了DisplayObject中的Use-After-Free漏洞,可用來開啟系統上的計算機程式,代表它也能用來執行惡意程式。
至於CVE-2015-5123也是一個重大漏洞,將允許駭客掌控使用者系統,而且與CVE-2015-5119一樣都危及了Windows、Mac及Linux上的所有Flash版本。
3.OPM数据泄露规模已达2570万 主管引咎辞职 by Recco
经过数周的调查之后,美国人事管理办公室(OPM)最终披露入侵事件带来的整个影响,又增加了2150万个人信息的泄露,与之前公布的420万加在一起,受影响的美国公民人数已达2570万。
为了响应此次入侵事件,OPM已经做出保证改善网络安全环境的计划,并配合FBI、国土安全部和国防部的调查工作。这份名为《网络安全行动报告》的计划包括部署强力双因素认证、限制管理员权限的远程访问,并建立一个具备持续监视能力的7*24的安全运行中心。
从工具部署来看,OPM的计划是部署新的软硬件工具,包括更多的防火墙和防病毒软件。另外,计划还准备加密它的数据库,以减少未来的数据泄露风险。对数据库加密的评估将在7月15日完成。
- 企業管理:
1.扮演好這十種角色,你才算是懂管理! by 楊修
(1)精神領袖
(2)領導者
(3)聯絡者
(4)監督者
(5)傳播者
(6)發言人
(7)創業家
(8)危機處理者
(9)資源配置者
(10)談判者
2.職場上常見的7種錯誤心態,想成功的你一定要避開! by 知識家
(1)總在等待「最佳時機」
(2)期待一蹴而就,卻忽略每個小成就
(3)害怕犯錯,更怕被虧
(4)怕別人討厭自己,總是期待被肯定
(5)怕被拒絕
(6)做太多/過度補償
(7)太注重結果
3.面对幸福,你敢竞争吗? by 吴岱妮、彭瑞
(1)个人化定义
(2)制造快乐
(3)发现意义
(4)不断突破
(1)精神領袖
(2)領導者
(3)聯絡者
(4)監督者
(5)傳播者
(6)發言人
(7)創業家
(8)危機處理者
(9)資源配置者
(10)談判者
2.職場上常見的7種錯誤心態,想成功的你一定要避開! by 知識家
(1)總在等待「最佳時機」
(2)期待一蹴而就,卻忽略每個小成就
(3)害怕犯錯,更怕被虧
(4)怕別人討厭自己,總是期待被肯定
(5)怕被拒絕
(6)做太多/過度補償
(7)太注重結果
3.面对幸福,你敢竞争吗? by 吴岱妮、彭瑞
(1)个人化定义
(2)制造快乐
(3)发现意义
(4)不断突破
如欲閱讀更多文章摘要,請見 每日晨摘
2015年7月13日 星期一
7/13 晨摘
- 資訊安全:
1.中小企應如何創建雙重認證:專家分享 5 大 Tips by Sri Srinivisan
(1)留意並更新區內規定
(2)留意非流動電話號碼
(3)文化語言不容忽視
(4)時間就是金錢
(5)留意轉換率
2.德国爱国者导弹控制系统被黑,攻击者成功执行“未知指令” by FreeBuf
德国驻扎在叙利亚边境的爱国者导弹系统近日遭黑客攻击,并成功执行了不明来源且“无法解释”的指令。黑客可能已经窃取了机密信息,并访问了导弹控制模块,这将有可能导致导弹向不明目标发射。
针对这种类型的导弹系统,有两种可能存在的攻击场景:
(1)黑客利用传感器发射互操作性(SSI)中的漏洞,其中SSI是一个处于导弹发射器和控制系统之间的实时数据交换器。
(2)第二个场景是,黑客可以通过入侵控制武器导向的电脑芯片来破解整个系统。
3.一夜回到解放前:英国政府将封杀WhatsApp、iMessage和Snapchat by FreeBuf
根据英国议会正在审议的《调查权力法案》,流行的即时通讯软件WhatsApp、Snapchat、苹果的iMessage和Facebook Messenger都被政府屏蔽。
如果今年秋季《窃听者宪章》顺利获得通过,政府就有权要求网络服务提供商、手机公司以及苹果、Facebook、Google、Whatsapp等科技公司记录人们所有的在线活动。
(1)留意並更新區內規定
(2)留意非流動電話號碼
(3)文化語言不容忽視
(4)時間就是金錢
(5)留意轉換率
2.德国爱国者导弹控制系统被黑,攻击者成功执行“未知指令” by FreeBuf
德国驻扎在叙利亚边境的爱国者导弹系统近日遭黑客攻击,并成功执行了不明来源且“无法解释”的指令。黑客可能已经窃取了机密信息,并访问了导弹控制模块,这将有可能导致导弹向不明目标发射。
针对这种类型的导弹系统,有两种可能存在的攻击场景:
(1)黑客利用传感器发射互操作性(SSI)中的漏洞,其中SSI是一个处于导弹发射器和控制系统之间的实时数据交换器。
(2)第二个场景是,黑客可以通过入侵控制武器导向的电脑芯片来破解整个系统。
3.一夜回到解放前:英国政府将封杀WhatsApp、iMessage和Snapchat by FreeBuf
根据英国议会正在审议的《调查权力法案》,流行的即时通讯软件WhatsApp、Snapchat、苹果的iMessage和Facebook Messenger都被政府屏蔽。
如果今年秋季《窃听者宪章》顺利获得通过,政府就有权要求网络服务提供商、手机公司以及苹果、Facebook、Google、Whatsapp等科技公司记录人们所有的在线活动。
- 企業管理:
1.你是不是正陷入不知不觉的瞎忙? by 文荣博士
不断问自己:我现在最应该做的事情是什么?从而帮助自己养成要事第一的意识和习惯。同时坚持进行规划,并白纸黑字地写出任务清单,以监督提醒自己。
2.携手顾客创价值 by C.K. Prahalad、Venkat Ramaswamy
要以顾客体验为中心,经理人的能力须包含以下三个层次。
(1)共创体验开始之际。经理人根据直觉,提出有趣的问题。
(2)监测商业活动,例如运用工具对呼叫中心进行监测。
(3)常规业务流程管理——也就是从发现流程到流程自动化、常规分析和报告阶段。
3.有效给予员工反馈的几种方法 by 千湖叟
(1)信息反馈——这是关于员工意识和/或成长的信息。
(2)反馈包含一项请求——这类信息将有利于员工,但也并非强制。
(3)通过反馈提出要求和/或需求——这类信息是工作的一部分,必须立刻引起员工注意。
不断问自己:我现在最应该做的事情是什么?从而帮助自己养成要事第一的意识和习惯。同时坚持进行规划,并白纸黑字地写出任务清单,以监督提醒自己。
2.携手顾客创价值 by C.K. Prahalad、Venkat Ramaswamy
要以顾客体验为中心,经理人的能力须包含以下三个层次。
(1)共创体验开始之际。经理人根据直觉,提出有趣的问题。
(2)监测商业活动,例如运用工具对呼叫中心进行监测。
(3)常规业务流程管理——也就是从发现流程到流程自动化、常规分析和报告阶段。
3.有效给予员工反馈的几种方法 by 千湖叟
(1)信息反馈——这是关于员工意识和/或成长的信息。
(2)反馈包含一项请求——这类信息将有利于员工,但也并非强制。
(3)通过反馈提出要求和/或需求——这类信息是工作的一部分,必须立刻引起员工注意。
如欲閱讀更多文章摘要,請見 每日晨摘
2015年7月12日 星期日
7/12 晨摘
- 資訊安全:
1.DDoS 反射攻擊量暴升!小心黑客以棄置路由協議 RIPv1 發功 by james
黑客近期除了透過虛擬機器的 Floppy 作攻擊之外,近期又發生了一些令人感到意外的攻擊,那就是採用棄置路由協議 RIPv1 發功。
RIPv1 是利用小型及多路由器的網路,靈活地分享路由資訊的快速方法。首次被配置或使用的 RIP 路由器會發出一個典型的請求。由此,任何聽從該請求的裝置,會以廣播的形式發送路由的表列及更新。
根據一份由 PLXsert 公佈的報告指出,攻擊者傾向針對 RIPv1 資料庫中,有大量路線的路由器。根據報告,絕大部份能辨認的攻擊都有查詢,導致向目標在同一個請求中,發出 504 byte 回應有效負載。典型的 RIPv1 請求只有一個 24 byte 有效負載,顯示攻擊者雖然發出一個較小的請求,但希望藉大量未經同意的請求,淹沒目標。
如欲避免利用 RIPv1 的 DDoS 反射攻擊,可考慮以下技術:
(1)轉為 RIPv2,或更新版本以啟動身份驗証。
(2)使用受控制訪問表 (ACL) 以限制來自互聯網源端口 520 的用戶數據報協議 (UDP)
2.賽門鐵克揭露去年攻擊蘋果、微軟與Facebook等知名企業的駭客集團Morpho by 陳曉莉
根據賽門鐵克的分析,Morpho擁有豐富的資源與先進的技術,而且儘量保持低調來維持行動安全,在成功達成目的後,即會清除自己的足跡。此外,Morpho還非常熟悉鎖定攻擊的企業所處的領域,因而知道哪些資訊最具價值。
賽門鐵克認為Morpho並非國家支持的駭客組織,它的目的在於竊取大型企業的機密資訊在股票市場透過內線交易獲利,或將機密的資訊賣給出價最高者,受雇從事駭客活動。
3.15名資安專家群起反對美英政府的加密通訊存取特權 by 陳曉莉
就在美國參議院司法委員會在7/8日展開一場有關大眾安全與隱私之間如何取得平衡的公聽會之前夕,15位頗負盛名的密碼學家與電腦科學家共同發表了一份長達33頁的白皮書,指稱允許政府存取所有的數據與通訊是不安全的,無異於將鑰匙擺放在門墊下。
此事源自於美國及英國的立法與執法機構不斷在呼籲應該要重新設計網路系統以確保政府能存取各種資訊,包含加密資訊在內,並宣稱加密技術的普及與精進將會妨礙政府調查能力。
黑客近期除了透過虛擬機器的 Floppy 作攻擊之外,近期又發生了一些令人感到意外的攻擊,那就是採用棄置路由協議 RIPv1 發功。
RIPv1 是利用小型及多路由器的網路,靈活地分享路由資訊的快速方法。首次被配置或使用的 RIP 路由器會發出一個典型的請求。由此,任何聽從該請求的裝置,會以廣播的形式發送路由的表列及更新。
根據一份由 PLXsert 公佈的報告指出,攻擊者傾向針對 RIPv1 資料庫中,有大量路線的路由器。根據報告,絕大部份能辨認的攻擊都有查詢,導致向目標在同一個請求中,發出 504 byte 回應有效負載。典型的 RIPv1 請求只有一個 24 byte 有效負載,顯示攻擊者雖然發出一個較小的請求,但希望藉大量未經同意的請求,淹沒目標。
如欲避免利用 RIPv1 的 DDoS 反射攻擊,可考慮以下技術:
(1)轉為 RIPv2,或更新版本以啟動身份驗証。
(2)使用受控制訪問表 (ACL) 以限制來自互聯網源端口 520 的用戶數據報協議 (UDP)
2.賽門鐵克揭露去年攻擊蘋果、微軟與Facebook等知名企業的駭客集團Morpho by 陳曉莉
根據賽門鐵克的分析,Morpho擁有豐富的資源與先進的技術,而且儘量保持低調來維持行動安全,在成功達成目的後,即會清除自己的足跡。此外,Morpho還非常熟悉鎖定攻擊的企業所處的領域,因而知道哪些資訊最具價值。
賽門鐵克認為Morpho並非國家支持的駭客組織,它的目的在於竊取大型企業的機密資訊在股票市場透過內線交易獲利,或將機密的資訊賣給出價最高者,受雇從事駭客活動。
3.15名資安專家群起反對美英政府的加密通訊存取特權 by 陳曉莉
就在美國參議院司法委員會在7/8日展開一場有關大眾安全與隱私之間如何取得平衡的公聽會之前夕,15位頗負盛名的密碼學家與電腦科學家共同發表了一份長達33頁的白皮書,指稱允許政府存取所有的數據與通訊是不安全的,無異於將鑰匙擺放在門墊下。
此事源自於美國及英國的立法與執法機構不斷在呼籲應該要重新設計網路系統以確保政府能存取各種資訊,包含加密資訊在內,並宣稱加密技術的普及與精進將會妨礙政府調查能力。
- 企業管理:
1.麥當勞出餐為什麼就是比其他速食店快很多?因為他們精用SOP! by 楊修
(1)拆解服務流程
(2)應用科技簡化流程
(3)打造獨特服務風格
2.部屬犯錯先別發怒,主管要反問「接下來,你打算怎麼辦?」 by 陳清稱
發現部屬做事錯時,主管如果想要讓部屬立即採取行動、解決問題,便要學會如何表達憤怒,光是不斷逼問「為什麼?」是不夠的。
主管面對出錯的部屬時,要學會冷靜避免抓狂咆哮,只要不停地問「接下來,你打算怎麼做?」或「然後呢?」等部屬自己想出解決方法來,再讓他去執行即可。
3.CEO應有高智商? by 安德魯•希爾
比爾•蓋茨認為,聰明的領導人要想發揮他們的智慧,有兩條途徑較為明智:作為企業創始人,以及作為一支成員角色互補的平衡型團隊的一員。蓋茨沒有建議把那些商業上的聰明人排除在外,或用高情商(這個詞現在更為時髦)的主管來替換他們。
相反,他談到了從三種不同“智商的人才”裡選人的重要性。蓋茨說,在自己當前從事的慈善事業中,他設法挑選三種不同類型的管理者,他們分別具備“科學理解能力、商業分析能力,以及實地考察的熱情”。所有組織都該採用這一思路,別的管理方式都不明智。
(1)拆解服務流程
(2)應用科技簡化流程
(3)打造獨特服務風格
2.部屬犯錯先別發怒,主管要反問「接下來,你打算怎麼辦?」 by 陳清稱
發現部屬做事錯時,主管如果想要讓部屬立即採取行動、解決問題,便要學會如何表達憤怒,光是不斷逼問「為什麼?」是不夠的。
主管面對出錯的部屬時,要學會冷靜避免抓狂咆哮,只要不停地問「接下來,你打算怎麼做?」或「然後呢?」等部屬自己想出解決方法來,再讓他去執行即可。
3.CEO應有高智商? by 安德魯•希爾
比爾•蓋茨認為,聰明的領導人要想發揮他們的智慧,有兩條途徑較為明智:作為企業創始人,以及作為一支成員角色互補的平衡型團隊的一員。蓋茨沒有建議把那些商業上的聰明人排除在外,或用高情商(這個詞現在更為時髦)的主管來替換他們。
相反,他談到了從三種不同“智商的人才”裡選人的重要性。蓋茨說,在自己當前從事的慈善事業中,他設法挑選三種不同類型的管理者,他們分別具備“科學理解能力、商業分析能力,以及實地考察的熱情”。所有組織都該採用這一思路,別的管理方式都不明智。
如欲閱讀更多文章摘要,請見 每日晨摘
2015年7月11日 星期六
7/11 晨摘
- 資訊安全:
1.2015企业无线网络安全报告 by FreeBuf
(1)密码泄漏是企业WIFI网络最普遍的安全隐患
(2)钓鱼WiFi是黑客入侵企业网络的重要途径
(3)员工私搭乱建WiFi给企业网络带来安全隐患
(4)CSRF漏洞和路由器后门等设备漏洞造成企业WiFi不安全
2.OpenSSL最新高危漏洞(CVE-2015-1793)补丁发布 by FreeBuf
OpenSSL(1.0.1n和1.0.2b以上版本)在证书链验证过程中,如果首次证书链校验失败,则会尝试使用一个其他的证书链来重新尝试进行校验:其实是在证书验证中存在一个逻辑错误,导致对于非可信证书的一些检查被绕过,这直接的后果导致比如使没有CA 签发能力的证书被误判为具有CA签发能力,其进行签发的证书可以通过证书链校验等。
3.安卓adb备份存在漏洞,可注入恶意APK by FreeBuf
Android在系统备份后还原的处理上存在严重漏洞(CVE-2014-7952),使得攻击者可以注入恶意的apk文件到备份文件中(这样还原的时候恶意的应用也安装上去了)。该漏洞是由Android的命令行工具adb的问题导致的,影响目前所有版本的安卓系统(包括Android L)。目前该漏洞没有修复。
(1)密码泄漏是企业WIFI网络最普遍的安全隐患
(2)钓鱼WiFi是黑客入侵企业网络的重要途径
(3)员工私搭乱建WiFi给企业网络带来安全隐患
(4)CSRF漏洞和路由器后门等设备漏洞造成企业WiFi不安全
2.OpenSSL最新高危漏洞(CVE-2015-1793)补丁发布 by FreeBuf
OpenSSL(1.0.1n和1.0.2b以上版本)在证书链验证过程中,如果首次证书链校验失败,则会尝试使用一个其他的证书链来重新尝试进行校验:其实是在证书验证中存在一个逻辑错误,导致对于非可信证书的一些检查被绕过,这直接的后果导致比如使没有CA 签发能力的证书被误判为具有CA签发能力,其进行签发的证书可以通过证书链校验等。
3.安卓adb备份存在漏洞,可注入恶意APK by FreeBuf
Android在系统备份后还原的处理上存在严重漏洞(CVE-2014-7952),使得攻击者可以注入恶意的apk文件到备份文件中(这样还原的时候恶意的应用也安装上去了)。该漏洞是由Android的命令行工具adb的问题导致的,影响目前所有版本的安卓系统(包括Android L)。目前该漏洞没有修复。
- 企業管理:
1.创业者的第一堂必修课——销售! by Vincent Onyemah、Martha Rivera Pesquera、Abdul Ali
(1)产品效果
(2)可信度
(3)公司规模
(4)产品价格
(5)转换成本
2.好产品:让顾客尖叫的N种方式 by 商业评论网
(1)用户痛点的深度感知与满足
(2)用户隐性需求的挖掘与引导
(3)用户充分参与下的体验反馈与设计提升
3.注意,你的商业模式已过时! by 商业评论网
(1)效率模式:
(4)网络效率模式:
(1)产品效果
(2)可信度
(3)公司规模
(4)产品价格
(5)转换成本
2.好产品:让顾客尖叫的N种方式 by 商业评论网
(1)用户痛点的深度感知与满足
(2)用户隐性需求的挖掘与引导
(3)用户充分参与下的体验反馈与设计提升
3.注意,你的商业模式已过时! by 商业评论网
(1)效率模式:
- 利用补充资产对需求做时间和地点的腾挪
- 利用补充产品的交叉弹性扩展价值主张
- 释放产能
- 挑战正统定价观念
- 预测:着眼于可见结果来创造“需求”
- 预测:识别更能感知可见结果的“影响者”
- 预测:思考期望结果,寻找价值动因
- 反应:快速测试多样化的原型,加快上市速度
- 反应:与客户协作
- 投资可用于多项终端产品的中间产品
- 与小众市场客户、竞争对手和利益相关者协作
- 在劲敌的眼皮底下慢慢做大自己
- 保持忠诚客户的参与度
(4)网络效率模式:
- 释放生态系统产能
- 宣扬能吸引更多客户的协作理念
如欲閱讀更多文章摘要,請見 每日晨摘
2015年7月10日 星期五
7/10 晨摘
- 資訊安全:
1.“黑帽SEO”添新招:使用PDF文档提高搜索排名 by FreeBuf
攻击者使用伪造的PDF文档来实现其目的。相比于常见的HTML网页,谷歌似乎更加相信PDF,即相信PDF文件中包含的链接以及其中所使用的关键字。 攻击者正是使用这种方法来操作谷歌算法,利用PDF文档获得较高的搜索排名。然而,PDF文档将用户的点击重定向到一个不同的站点,这个站点可能用于一些恶意目的(例如:恶意软件、网络钓鱼攻击等)。
2.这个设备可以让你“隐身”连WiFi by FreeBuf
ProxyHam由两个设备组成,一个设备是物理盒子,它包含一个配备了无线网卡的树莓派;另一个是用来在900MHz频率段传输数据的设备,而该设备可以放置在2.5英里距离之外。这个硬件代理设备的工作原理很简单,你只需要将antenna天线连接到计算机的以太网端口,然后它就可以通过低频无线电波连接到远处的WiFi源。如果此时有网络间谍试图追踪这些信号的来源,那么他就只能看到ProxyHam设备的IP地址,而不是你真实的IP地址。
3.攻击微软、苹果的金融间谍组织Morpho浮出水面 by FreeBuf
卡巴斯基发现并分析了一个名为Morpho(也叫做Wild Neutron)的金融APT攻击组织,已经成功攻击了苹果、Facebook、宏基、微软在内的多家知名大公司。
Morpho组织在攻击中使用了数个工具,包括内部开发恶意程序和一些开源应用程序,其中最主要的工具是两个后门:Trojans Pintsized和Jripbot。
攻击者使用伪造的PDF文档来实现其目的。相比于常见的HTML网页,谷歌似乎更加相信PDF,即相信PDF文件中包含的链接以及其中所使用的关键字。 攻击者正是使用这种方法来操作谷歌算法,利用PDF文档获得较高的搜索排名。然而,PDF文档将用户的点击重定向到一个不同的站点,这个站点可能用于一些恶意目的(例如:恶意软件、网络钓鱼攻击等)。
2.这个设备可以让你“隐身”连WiFi by FreeBuf
ProxyHam由两个设备组成,一个设备是物理盒子,它包含一个配备了无线网卡的树莓派;另一个是用来在900MHz频率段传输数据的设备,而该设备可以放置在2.5英里距离之外。这个硬件代理设备的工作原理很简单,你只需要将antenna天线连接到计算机的以太网端口,然后它就可以通过低频无线电波连接到远处的WiFi源。如果此时有网络间谍试图追踪这些信号的来源,那么他就只能看到ProxyHam设备的IP地址,而不是你真实的IP地址。
3.攻击微软、苹果的金融间谍组织Morpho浮出水面 by FreeBuf
卡巴斯基发现并分析了一个名为Morpho(也叫做Wild Neutron)的金融APT攻击组织,已经成功攻击了苹果、Facebook、宏基、微软在内的多家知名大公司。
Morpho组织在攻击中使用了数个工具,包括内部开发恶意程序和一些开源应用程序,其中最主要的工具是两个后门:Trojans Pintsized和Jripbot。
- 企業管理:
1.不是優越感、更不能三分鐘熱度!真正的「自信」是像這樣養大的 by 周家緯
真正有自信的人,是因為他知道「自己能做什麼」。而知道自己能做什麼的方法只有一個,那就是無數次的嘗試。唯有親身實踐,你才會知道自己究竟行不行。
2.面對客訴時,贏了爭辯反而輸了客人 by 楊修
(1)表示尊重
(2)展現同理心
(3)肯定對方
(4)提出解決方案
3.人脈力,靠的是真心!做到這9件事,走到哪都有人幫你 by SmartLinkin
(1)尊重每個人
(2)遵循白金法則
(3)溫暖寒暄
(4)比起自己,更重視他人
(5)不矯揉做作
(6)真實呈現自我
(7)正直誠信
(8)面帶微笑
(9)熱愛生命
真正有自信的人,是因為他知道「自己能做什麼」。而知道自己能做什麼的方法只有一個,那就是無數次的嘗試。唯有親身實踐,你才會知道自己究竟行不行。
2.面對客訴時,贏了爭辯反而輸了客人 by 楊修
(1)表示尊重
(2)展現同理心
(3)肯定對方
(4)提出解決方案
3.人脈力,靠的是真心!做到這9件事,走到哪都有人幫你 by SmartLinkin
(1)尊重每個人
(2)遵循白金法則
(3)溫暖寒暄
(4)比起自己,更重視他人
(5)不矯揉做作
(6)真實呈現自我
(7)正直誠信
(8)面帶微笑
(9)熱愛生命
如欲閱讀更多文章摘要,請見 每日晨摘
2015年7月8日 星期三
7/8 晨摘
- 資訊安全:
1.AirLive IP监控相机存在命令注入漏洞,大量产品受影响 by FreeBuf
AirLive摄像机MD-3025、BU-3026和BU-2015都受命令注入漏洞的影响,该漏洞存在于二进制文件cgi_test.cgi中。如果摄相机主人并没有将默认配置改变为强制使用HTTPS,那么攻击者将可以在未经身份认证的情况下请求该文件,而其实现方式就是通过注入任意命令到操作系统中。
通过这种攻击,黑客可以访问由AirLive相机管理的所有信息,包括MAC地址、模型、硬件和固件版本以及aiother敏感细节。
2.Hacking Team被黑后续:攻击者浮出水面 by FreeBuf
恶名昭著的间谍软件公司Hacking Team被黑客攻击,造成内部多达400GB的数据外泄。事件曝出后,Hacking Team建议在世界各地的执法及政府客户停止使用他们的软件并宣布与FBI合作(此前FBI是他们的客户),调查此次攻击事件,将元凶绳之以法。
周一HT用了“爆炸邮件”通知所有客户,要求他们关闭所有部署的远程控制系统软件,也就是为人知晓的远程控制类恶意软件“伽利略”(Galileo)。截至周一下午,HT都未能登录自己的电子邮件系统。
一名只知道名为“Phineas Fisher”的黑客2014年攻击了因向专制政府出售监视产品而颇受争议的科技监控公司Finfisher,该公司向世界各地执法机构出售监控软件。在攻击之后,黑客泄露出超过40GB的公司内部数据。
3.银行木马KINS Builder源码已在网上流传 by FreeBuf
MalwareMustDie的研究人员在网上发现了一个软件包,里面包含KINS2.0.0.0 builder(也被称为KINS Builder)及其控制面板的源代码,目前网上已有售。网络犯罪者们可以自行创建恶意软件样本,然后使用KINS的源代码建立一个KINS僵尸网络的C&C服务器。
新型的KINS恶意软件和之前发现的KINS版本完全不同。KINS的开发者已经在新的KINS恶意软件中整合了ZeusVM技术,比如说,新版的KINS使用隐写术将恶意软件配置数据隐藏在JPG图片文件中。
AirLive摄像机MD-3025、BU-3026和BU-2015都受命令注入漏洞的影响,该漏洞存在于二进制文件cgi_test.cgi中。如果摄相机主人并没有将默认配置改变为强制使用HTTPS,那么攻击者将可以在未经身份认证的情况下请求该文件,而其实现方式就是通过注入任意命令到操作系统中。
通过这种攻击,黑客可以访问由AirLive相机管理的所有信息,包括MAC地址、模型、硬件和固件版本以及aiother敏感细节。
2.Hacking Team被黑后续:攻击者浮出水面 by FreeBuf
恶名昭著的间谍软件公司Hacking Team被黑客攻击,造成内部多达400GB的数据外泄。事件曝出后,Hacking Team建议在世界各地的执法及政府客户停止使用他们的软件并宣布与FBI合作(此前FBI是他们的客户),调查此次攻击事件,将元凶绳之以法。
周一HT用了“爆炸邮件”通知所有客户,要求他们关闭所有部署的远程控制系统软件,也就是为人知晓的远程控制类恶意软件“伽利略”(Galileo)。截至周一下午,HT都未能登录自己的电子邮件系统。
一名只知道名为“Phineas Fisher”的黑客2014年攻击了因向专制政府出售监视产品而颇受争议的科技监控公司Finfisher,该公司向世界各地执法机构出售监控软件。在攻击之后,黑客泄露出超过40GB的公司内部数据。
3.银行木马KINS Builder源码已在网上流传 by FreeBuf
MalwareMustDie的研究人员在网上发现了一个软件包,里面包含KINS2.0.0.0 builder(也被称为KINS Builder)及其控制面板的源代码,目前网上已有售。网络犯罪者们可以自行创建恶意软件样本,然后使用KINS的源代码建立一个KINS僵尸网络的C&C服务器。
新型的KINS恶意软件和之前发现的KINS版本完全不同。KINS的开发者已经在新的KINS恶意软件中整合了ZeusVM技术,比如说,新版的KINS使用隐写术将恶意软件配置数据隐藏在JPG图片文件中。
- 企業管理:
1.解读大北农人才发展模式 by 涂满章
(1)企业经营者,尤其是一把手要真正摆正“人”在企业的中心位置
(2)管理干部一定要成为优秀的人力资源管理者
(3)员工一定不能以打工的思想去干工作
2.HR如何将集团管理模式在分公司落地? by mise1980
应用粗放型的人力资源管理模式,在这个过程中你的管理特点为加强与分子公司负责人交流,把握人力资源的主要数据、关键人才信息、主要管理结构、工资总额与配比为主。在管理的过程中,加强对集团的经营战略的了解与而不是业务细节。
如果想在人力资源管理方面对下属分子公司有一定的影响力,则需要加强自我对公司战略的全面把握与建设性构思的提升。从集团的高度,给下属子分公司的人力资源管理建议,让他们能做到紧随战略,做好子公司负责人的参谋,从而提升在子公司的价值地位而尊重你。
3.資安專家警告政府內網防護有盲點,Dropbox成遙控潛伏傀儡電腦的新跳板 by 黃彥棻
駭客利用修改自開放原始碼DropNet的惡意程式,連線Dropbox、Google硬碟等雲端儲存服務儲存駭客的控制指令,藉此遙控政府內部的傀儡電腦。
這個DropNet惡意程式本身沒有設定其他的C&C等中繼站資訊,透過連到Dropbox、Google硬碟等各種雲端儲存空間,接受駭客的指定訊息。因為所有的通訊都是採用HTTPS加密連線,包括各種網路閘道端的檢測設備,都無法解析加密連線的內容,加上,這個惡意程式是用開放原始碼的DropNet修改,一般的防毒軟體也都不會預警。目前常見植入受駭電腦檔案包括:igfxpres.exe、DropNet.dll和dropbox.exe。
該惡意程式最大的缺點在於,駭客解碼的令牌(Token)必須寫死在程式碼中,所以,資安鑑識人員只要可以找到感染到該惡意程式的電腦做鑑識分析,就可以看到有哪些受駭電腦。目前許多重要機關電腦都有被植入這個惡意程式,也可以遠端遙控傀儡電腦,除非機關單位中斷所有雲端儲存服務的連線,否則,目前很難有好的防護方式。
另外一種常見手法就是,駭客將平時執行在微軟作業系統、臺灣常見APT惡意程式Dalgan APT病毒,透過DLL Side-loading技術,將惡意程式隱藏在一些常見程式的根目錄中,例如:Version.dll、Comres.dll、rasaut64.dll(64位元)和rasaut.dll(64位元)等,並透過電腦開機時,會優先載入系統system.dll程式的特性,優先載入這些偽裝成正常程式的惡意程式根目錄。
這個Dalgan惡意程式會把C&C(控制與命令伺服器)資訊寫在惡意程式中,目前惡意程式只要一啟動,就會連上某些特定的部落格,駭客只需要將控制訊息以加密方式,公布在這些特定的部落格中,惡意程式啟動後,連上部落格,就可以接收到駭客的指令,駭客只需要更新部落格的加密資訊,就可以下達指令給惡意程式。也因為下達駭客指令的部落格,都屬於一般正常的、不會阻斷連網的網站,要查出異狀很難,對資安鑑識更是一大挑戰。
(1)企业经营者,尤其是一把手要真正摆正“人”在企业的中心位置
(2)管理干部一定要成为优秀的人力资源管理者
(3)员工一定不能以打工的思想去干工作
2.HR如何将集团管理模式在分公司落地? by mise1980
应用粗放型的人力资源管理模式,在这个过程中你的管理特点为加强与分子公司负责人交流,把握人力资源的主要数据、关键人才信息、主要管理结构、工资总额与配比为主。在管理的过程中,加强对集团的经营战略的了解与而不是业务细节。
如果想在人力资源管理方面对下属分子公司有一定的影响力,则需要加强自我对公司战略的全面把握与建设性构思的提升。从集团的高度,给下属子分公司的人力资源管理建议,让他们能做到紧随战略,做好子公司负责人的参谋,从而提升在子公司的价值地位而尊重你。
3.資安專家警告政府內網防護有盲點,Dropbox成遙控潛伏傀儡電腦的新跳板 by 黃彥棻
駭客利用修改自開放原始碼DropNet的惡意程式,連線Dropbox、Google硬碟等雲端儲存服務儲存駭客的控制指令,藉此遙控政府內部的傀儡電腦。
這個DropNet惡意程式本身沒有設定其他的C&C等中繼站資訊,透過連到Dropbox、Google硬碟等各種雲端儲存空間,接受駭客的指定訊息。因為所有的通訊都是採用HTTPS加密連線,包括各種網路閘道端的檢測設備,都無法解析加密連線的內容,加上,這個惡意程式是用開放原始碼的DropNet修改,一般的防毒軟體也都不會預警。目前常見植入受駭電腦檔案包括:igfxpres.exe、DropNet.dll和dropbox.exe。
該惡意程式最大的缺點在於,駭客解碼的令牌(Token)必須寫死在程式碼中,所以,資安鑑識人員只要可以找到感染到該惡意程式的電腦做鑑識分析,就可以看到有哪些受駭電腦。目前許多重要機關電腦都有被植入這個惡意程式,也可以遠端遙控傀儡電腦,除非機關單位中斷所有雲端儲存服務的連線,否則,目前很難有好的防護方式。
另外一種常見手法就是,駭客將平時執行在微軟作業系統、臺灣常見APT惡意程式Dalgan APT病毒,透過DLL Side-loading技術,將惡意程式隱藏在一些常見程式的根目錄中,例如:Version.dll、Comres.dll、rasaut64.dll(64位元)和rasaut.dll(64位元)等,並透過電腦開機時,會優先載入系統system.dll程式的特性,優先載入這些偽裝成正常程式的惡意程式根目錄。
這個Dalgan惡意程式會把C&C(控制與命令伺服器)資訊寫在惡意程式中,目前惡意程式只要一啟動,就會連上某些特定的部落格,駭客只需要將控制訊息以加密方式,公布在這些特定的部落格中,惡意程式啟動後,連上部落格,就可以接收到駭客的指令,駭客只需要更新部落格的加密資訊,就可以下達指令給惡意程式。也因為下達駭客指令的部落格,都屬於一般正常的、不會阻斷連網的網站,要查出異狀很難,對資安鑑識更是一大挑戰。
如欲閱讀更多文章摘要,請見 每日晨摘
2015年7月7日 星期二
7/7 晨摘
- 資訊安全:
1.大多数VPN服务商没做好安全保护 by FreeBuf
伦敦玛丽女王学院和罗马大学的研究人员表明,大多数使用VPN服务的用户很容易遭受DNS劫持从而泄露IP信息。
这个IPv6 DNS劫持攻击的风险漏洞,产生的原因是因为所有的VPN使用的都是IPv4路由表,他们往往会忽略IPv6路由表。IPv6流量数据重定向进入隧道时,并没有添加任何规则。这会导致IPv6流量数据不走VPN虚拟接口那条通道。
2.思科统一CDM平台曝特权账户和静态密码 by FreeBuf
思科旗下的统一CDM是思科托管协作解决方案(HCS)中的UC域名管理器。它使得思科统一通信管理器、思科统一连接、思科Jabber应用以及相关的手机和软件客户端具有自动化和管理功能。
思科统一CDM平台软件中存在一个漏洞,该漏洞允许未经身份验证的远程攻击者以root权限用户进行登录,并可以完全控制受影响的系统。该漏洞之所以存在,是因为一个特权账户拥有了一个默认的静态密码。在安装该软件时就创建了此账户,并且在不影响系统功能的前提下,无法修改或删除该账户,使用该账户通过SSH远程连接到受影响的系统,攻击者就可以利用这个漏洞。
3.聊聊人脸识别支付 by FreeBuf
MasterCard公司新推出的支付技术——生物识别技术。该技术会应用在一个新的移动APP中:当用户选择好商品进入支付系统时,它会要求你拍一张自拍照进行验证。
用户需要下载MasterCard应用程序才能使用该功能。它就像是pop-up一样,只要有支付的请求,它就会跳出来询问支付认证的方式,比如,是选择人脸识别还是指纹识别。
每个指纹扫描结果都会转化成代码存储在用户的手机上。然而人脸识别的数据会被转化成二进制,然后传送到MasterCard服务器。MasterCard不能修改用户的图像,它会以加密的方式存储在公司的服务器上。除了指纹和面部表情识别技术之外,MasterCard还在研发语音识别技术。
伦敦玛丽女王学院和罗马大学的研究人员表明,大多数使用VPN服务的用户很容易遭受DNS劫持从而泄露IP信息。
这个IPv6 DNS劫持攻击的风险漏洞,产生的原因是因为所有的VPN使用的都是IPv4路由表,他们往往会忽略IPv6路由表。IPv6流量数据重定向进入隧道时,并没有添加任何规则。这会导致IPv6流量数据不走VPN虚拟接口那条通道。
2.思科统一CDM平台曝特权账户和静态密码 by FreeBuf
思科旗下的统一CDM是思科托管协作解决方案(HCS)中的UC域名管理器。它使得思科统一通信管理器、思科统一连接、思科Jabber应用以及相关的手机和软件客户端具有自动化和管理功能。
思科统一CDM平台软件中存在一个漏洞,该漏洞允许未经身份验证的远程攻击者以root权限用户进行登录,并可以完全控制受影响的系统。该漏洞之所以存在,是因为一个特权账户拥有了一个默认的静态密码。在安装该软件时就创建了此账户,并且在不影响系统功能的前提下,无法修改或删除该账户,使用该账户通过SSH远程连接到受影响的系统,攻击者就可以利用这个漏洞。
3.聊聊人脸识别支付 by FreeBuf
MasterCard公司新推出的支付技术——生物识别技术。该技术会应用在一个新的移动APP中:当用户选择好商品进入支付系统时,它会要求你拍一张自拍照进行验证。
用户需要下载MasterCard应用程序才能使用该功能。它就像是pop-up一样,只要有支付的请求,它就会跳出来询问支付认证的方式,比如,是选择人脸识别还是指纹识别。
每个指纹扫描结果都会转化成代码存储在用户的手机上。然而人脸识别的数据会被转化成二进制,然后传送到MasterCard服务器。MasterCard不能修改用户的图像,它会以加密的方式存储在公司的服务器上。除了指纹和面部表情识别技术之外,MasterCard还在研发语音识别技术。
- 企業管理:
1.让你领导气质外露的8种途径 by Amy Gallo
(1)发挥你的责任心
(2)助力领导成功
(3)无论多么小的机遇都不要漏过
(4)寻找工作中的空白区
(5)不要当一个自大狂
(6)展露抱负时需谨慎
(7)寻找榜样
(8)建立关系
2.忠言如何不逆耳?你只需5步 by David A. Garvin、Joshua D. Margolis
(1)找对人
(2)达成基本共识
(3)提供其他选项
(4)汇总决定
(5)将建议付诸行动
3.卓越领袖皆书虫 by 程明霞
(1)加入一个读书会
(2)拓展你的阅读面
(3)把你的阅读应用于工作
(4)鼓励他人阅读
(5)享受阅读
(1)发挥你的责任心
(2)助力领导成功
(3)无论多么小的机遇都不要漏过
(4)寻找工作中的空白区
(5)不要当一个自大狂
(6)展露抱负时需谨慎
(7)寻找榜样
(8)建立关系
2.忠言如何不逆耳?你只需5步 by David A. Garvin、Joshua D. Margolis
(1)找对人
(2)达成基本共识
(3)提供其他选项
(4)汇总决定
(5)将建议付诸行动
3.卓越领袖皆书虫 by 程明霞
(1)加入一个读书会
(2)拓展你的阅读面
(3)把你的阅读应用于工作
(4)鼓励他人阅读
(5)享受阅读
如欲閱讀更多文章摘要,請見 每日晨摘
2015年7月6日 星期一
7/6 晨摘
- 資訊安全:
1.Sqlmap进阶用法:定制payload加速boolean-based注入 by piece of the past
sqlmap工作模式:
sqlmap启动后首先设置测试的level和risk,并识别受测试元素的类型,然后从它的配置文件xml/payloads.xml里面获取应该测试的漏洞类型、测试方法以及相应的漏洞利用方案。
在payloads.xml里面记录了两类数据:
<boundary>:用来使sql语句正确的前缀和后缀。比如前缀:"'"和后缀:"AND '[RANDSTR]'='[RANDSTR]"就可以闭合单引号,防止出错。
<test>:特定漏洞的全部信息,包括所用到的boundary,漏洞的level、risk,漏洞类型,利用的方法,检测方法等。
在测试一个参数的时候sqlmap会遍历所有符合要求的test节点,使用request节点下的payload执行漏洞扫描。
2.Akamai:1988年的路由器老舊協定漏洞被拿來進行高效率的DDoS反射式攻擊 by 陳曉莉
Akamai的安全研究團隊指出駭客利用1988年釋出的RIPv1協定漏洞,來執行反射性的分散式阻斷服務攻擊(DDoS),而且只利用了少數採用RIPv1協定的裝置就能夠讓目標網站停止運作。
RIP的全名為Routing Information Protocol,此一路由資訊協定屬於內部路由協定,可根據路徑所經過的設備數目來決定最佳路徑,基於該協定的路由設備每隔30秒就會互相更新路由資訊。
RIPv1在小型的路由網路上能夠很快速且輕易地分享路由資訊,基於RIPv1的路由設備在啟動後就會送出請求,任何收到請求的裝置皆會以路由名單回應,駭客於是利用此一等同於廣播效應的模式嵌入目標網站的IP位址。
3.互联网金融安全高级研讨会还原黑客攻击途径 by 黑吧安全网
据安恒互联网金融行业总监张开介绍,在对互联网金融网站全国抽样100个进行安全检测时发现,其中存在高危漏洞的占53%,6%的网站可以getshell,47%的网站发现SQL注入漏洞,2%的网站发现Struts2命令执行漏洞,25%的网站发现跨站脚本漏洞,4%的网站发现逻辑漏洞,6%的网站发现密码重置漏洞,4%的网站存在弱口令,2%的网站发现目录遍历漏洞,6%的网站发现高危敏感信息泄露漏洞。
sqlmap工作模式:
sqlmap启动后首先设置测试的level和risk,并识别受测试元素的类型,然后从它的配置文件xml/payloads.xml里面获取应该测试的漏洞类型、测试方法以及相应的漏洞利用方案。
在payloads.xml里面记录了两类数据:
<boundary>:用来使sql语句正确的前缀和后缀。比如前缀:"'"和后缀:"AND '[RANDSTR]'='[RANDSTR]"就可以闭合单引号,防止出错。
<test>:特定漏洞的全部信息,包括所用到的boundary,漏洞的level、risk,漏洞类型,利用的方法,检测方法等。
在测试一个参数的时候sqlmap会遍历所有符合要求的test节点,使用request节点下的payload执行漏洞扫描。
2.Akamai:1988年的路由器老舊協定漏洞被拿來進行高效率的DDoS反射式攻擊 by 陳曉莉
Akamai的安全研究團隊指出駭客利用1988年釋出的RIPv1協定漏洞,來執行反射性的分散式阻斷服務攻擊(DDoS),而且只利用了少數採用RIPv1協定的裝置就能夠讓目標網站停止運作。
RIP的全名為Routing Information Protocol,此一路由資訊協定屬於內部路由協定,可根據路徑所經過的設備數目來決定最佳路徑,基於該協定的路由設備每隔30秒就會互相更新路由資訊。
RIPv1在小型的路由網路上能夠很快速且輕易地分享路由資訊,基於RIPv1的路由設備在啟動後就會送出請求,任何收到請求的裝置皆會以路由名單回應,駭客於是利用此一等同於廣播效應的模式嵌入目標網站的IP位址。
3.互联网金融安全高级研讨会还原黑客攻击途径 by 黑吧安全网
据安恒互联网金融行业总监张开介绍,在对互联网金融网站全国抽样100个进行安全检测时发现,其中存在高危漏洞的占53%,6%的网站可以getshell,47%的网站发现SQL注入漏洞,2%的网站发现Struts2命令执行漏洞,25%的网站发现跨站脚本漏洞,4%的网站发现逻辑漏洞,6%的网站发现密码重置漏洞,4%的网站存在弱口令,2%的网站发现目录遍历漏洞,6%的网站发现高危敏感信息泄露漏洞。
- 企業管理:
1.在企业管理中如何解决执行力的问题以及执行力管理的八个因素 by 牛津管理评论
(1)没有常抓不懈
(2)出台管理制度时不严谨
(3)制度本身不合理
(4)流程过于繁琐
(5)作业的过程中缺少良好的方法
(6)工作中缺少科学的监督考核机制
(7)培训中的浪费
(8)公司的企业文化没有形成凝聚力
2.论企业实力及构成要素 by 汪春风
(1)生产科技
(2)销售关系
(3)管理体系
(4)资源人力
(5)性格气质
(6)品牌文化
(7)思想理念
3.企业发展如何有效聚拢人才:明察秋毫,养勤养廉 by 牛津管理评论
(1)个人魅力,提升影响
(2)明察秋毫,养勤养廉
(3)情感投入,聚拢人心
(4)慧眼识才,优势互补
(5)尊重人才创造环境
(1)没有常抓不懈
(2)出台管理制度时不严谨
(3)制度本身不合理
(4)流程过于繁琐
(5)作业的过程中缺少良好的方法
(6)工作中缺少科学的监督考核机制
(7)培训中的浪费
(8)公司的企业文化没有形成凝聚力
2.论企业实力及构成要素 by 汪春风
(1)生产科技
(2)销售关系
(3)管理体系
(4)资源人力
(5)性格气质
(6)品牌文化
(7)思想理念
3.企业发展如何有效聚拢人才:明察秋毫,养勤养廉 by 牛津管理评论
(1)个人魅力,提升影响
(2)明察秋毫,养勤养廉
(3)情感投入,聚拢人心
(4)慧眼识才,优势互补
(5)尊重人才创造环境
如欲閱讀更多文章摘要,請見 每日晨摘
2015年7月5日 星期日
7/5 晨摘
- 資訊安全:
1.中國新版國家安全法納入網路安全,宣告網路主權 by 陳曉莉
中國人大常委會在本周三(7/1)通過新版的「國家安全法」(國安法),除了將台灣納入中國範圍並強調主權與統一之義務而引起台灣媒體注意外,受到國外媒體注意的是它也納入了網路安全。
根據中國新國安法第59條的說明,中國應建立國家安全審查與監管的制度及機制,對影響或可能影響國家安全的外商投資、特定物資與關鍵技術、網路信息技術產品及服務、涉及國家安全事項的建設項目,以及其他重大事項和活動都進行國家安全審查,以有效預防及化解中國的安全風險。
第25條則說中國應建設網路及信息的保障體系,提升網路與信息安全的保護能力,加強網路及信息技術的創新研究與開發應用,實現網路與信息核心技術、關鍵基礎設施及重要領域信息系統及數據的安全可控。
同時亦應加強網路管理,防範、制止和依法懲治網路攻擊、網路入侵、網路竊密、散布違法有害信息等網路違法犯罪行為,維護國家網路空間主權、安全與發展利益。
2.iOS 8.4已修補假面攻擊漏洞,但還有1/3 iOS裝置未更新 by 陳曉莉
假面攻擊漏洞讓攻擊者可以將iOS裝置上已安裝的合法行動程式偷偷換成其他惡意程式,只有蘋果內建的官方程式得以倖免於難。主要是因為蘋果允許使用同樣bundle ID的程式彼此置換,而未強制比對這些程式的憑證是否相同。因此,當駭客誘導使用者安裝某個程式之後,就能在系統上取代另一個擁有相同bundle ID的合法程式。
bundle ID是蘋果程式的目錄代號,每個程式都會有獨立的bundle ID,它集結了程式所需的各種資源,包含執行程式、聲音、樣板,或圖像檔等。除了bundle ID的漏洞之外,假面攻擊可行的另一個原因為駭客是透過蘋果的企業開發人員帳號來遞送程式,意味著這些程式並非透過App Store出版,也未經蘋果審核。
由於這些含有惡意程式碼的行動程式通常會偽裝成遊戲或其他程式來吸引使用者下載,因此被稱為假面攻擊。
3.Windows 10的Wi-Fi Sense無線網路自動分享功能引發安全爭議 by 陳曉莉
為了讓使用者方便連上Wi-Fi網路,微軟去年在Windows Phone 8.1中內建了Wi-Fi Sense功能,它可以自動連上附近其他Windows Phone用戶正在使用的開放Wi-Fi網路,也能與Facebook友人、Oulook.com聯絡人或Skype聯絡人在不必告知密碼的情況下分享彼此的Wi-Fi網路。最近則進一步將此一功能整合至Windows 10上。
根據微軟的說明,當使用者啟用Wi-Fi Sense時,Wi-Fi密碼即以加密的形式傳送到微軟伺服器,並存在一個加密檔案中,再透過安全連結將其傳送到位於使用者附近的友人或聯絡人的裝置上,而友人或聯絡人並不會看到密碼。
但有媒體質疑此一功能將招致安全風險,認為友人或聯絡人的裝置勢必要取得Wi-Fi密碼才能連網,即使微軟能阻止使用者看到明文密碼,也無法確定使用者就無法找到真正的密碼,而可能遭到駭客利用。
中國人大常委會在本周三(7/1)通過新版的「國家安全法」(國安法),除了將台灣納入中國範圍並強調主權與統一之義務而引起台灣媒體注意外,受到國外媒體注意的是它也納入了網路安全。
根據中國新國安法第59條的說明,中國應建立國家安全審查與監管的制度及機制,對影響或可能影響國家安全的外商投資、特定物資與關鍵技術、網路信息技術產品及服務、涉及國家安全事項的建設項目,以及其他重大事項和活動都進行國家安全審查,以有效預防及化解中國的安全風險。
第25條則說中國應建設網路及信息的保障體系,提升網路與信息安全的保護能力,加強網路及信息技術的創新研究與開發應用,實現網路與信息核心技術、關鍵基礎設施及重要領域信息系統及數據的安全可控。
同時亦應加強網路管理,防範、制止和依法懲治網路攻擊、網路入侵、網路竊密、散布違法有害信息等網路違法犯罪行為,維護國家網路空間主權、安全與發展利益。
2.iOS 8.4已修補假面攻擊漏洞,但還有1/3 iOS裝置未更新 by 陳曉莉
假面攻擊漏洞讓攻擊者可以將iOS裝置上已安裝的合法行動程式偷偷換成其他惡意程式,只有蘋果內建的官方程式得以倖免於難。主要是因為蘋果允許使用同樣bundle ID的程式彼此置換,而未強制比對這些程式的憑證是否相同。因此,當駭客誘導使用者安裝某個程式之後,就能在系統上取代另一個擁有相同bundle ID的合法程式。
bundle ID是蘋果程式的目錄代號,每個程式都會有獨立的bundle ID,它集結了程式所需的各種資源,包含執行程式、聲音、樣板,或圖像檔等。除了bundle ID的漏洞之外,假面攻擊可行的另一個原因為駭客是透過蘋果的企業開發人員帳號來遞送程式,意味著這些程式並非透過App Store出版,也未經蘋果審核。
由於這些含有惡意程式碼的行動程式通常會偽裝成遊戲或其他程式來吸引使用者下載,因此被稱為假面攻擊。
3.Windows 10的Wi-Fi Sense無線網路自動分享功能引發安全爭議 by 陳曉莉
為了讓使用者方便連上Wi-Fi網路,微軟去年在Windows Phone 8.1中內建了Wi-Fi Sense功能,它可以自動連上附近其他Windows Phone用戶正在使用的開放Wi-Fi網路,也能與Facebook友人、Oulook.com聯絡人或Skype聯絡人在不必告知密碼的情況下分享彼此的Wi-Fi網路。最近則進一步將此一功能整合至Windows 10上。
根據微軟的說明,當使用者啟用Wi-Fi Sense時,Wi-Fi密碼即以加密的形式傳送到微軟伺服器,並存在一個加密檔案中,再透過安全連結將其傳送到位於使用者附近的友人或聯絡人的裝置上,而友人或聯絡人並不會看到密碼。
但有媒體質疑此一功能將招致安全風險,認為友人或聯絡人的裝置勢必要取得Wi-Fi密碼才能連網,即使微軟能阻止使用者看到明文密碼,也無法確定使用者就無法找到真正的密碼,而可能遭到駭客利用。
- 企業管理:
1.如何和同事"和平相处" by RebeccaNewton
(1)认清自己对他人意图的不确定性
(2)选择勇敢的对话,而不是沉默的竞争
(3)思考你自己在想什么
(4)商场上没有正确的答案
(5)要认清,其实没有什么大饼
2.矽谷最有說服力的女人南西‧杜爾特親自教你,向高階主管簡報必知的五大要點 by Nancy Duarte
(1)說重點
(2)提供所需一定要切題
(3)設定期待
(4)製作摘要投影片
(5)排練
3.用雄才,逐霸才!過於自我中心的人,能力再強也未必適任主管 by 林文政
不適任和適任主管之間一個最根本的差異,就是他們是「以自我為中心」或「以公司為中心」
「以自我為中心」的主管屬於不適任的主管,經常把自我利益放在公司利益之前。和以自我為中心的主管一樣,「以公司為中心」的主管也是才華特出,偶爾也會優先考慮個人利益,但是他們對公司的貢獻總還是大於他們的自利行為,因此不會影響大局。
他們有時候會讓人感覺咄咄逼人、不易親近,但是霸氣而不霸道,果斷而不專斷,傲氣而不傲慢,對於自利的行為有比較大的自制和反省力,一旦有人暗示或提點時,他們會勇於承認和修正。這類主管為「雄才」。
公司在執行菁英人才管理時,應該要更細緻區分為雄才與霸才,而且為了長遠發展和人才蓄積,更要防止雄才變成霸才,甚至捍衛雄才,驅逐霸才。
(1)认清自己对他人意图的不确定性
(2)选择勇敢的对话,而不是沉默的竞争
(3)思考你自己在想什么
(4)商场上没有正确的答案
(5)要认清,其实没有什么大饼
2.矽谷最有說服力的女人南西‧杜爾特親自教你,向高階主管簡報必知的五大要點 by Nancy Duarte
(1)說重點
(2)提供所需一定要切題
(3)設定期待
(4)製作摘要投影片
(5)排練
3.用雄才,逐霸才!過於自我中心的人,能力再強也未必適任主管 by 林文政
不適任和適任主管之間一個最根本的差異,就是他們是「以自我為中心」或「以公司為中心」
「以自我為中心」的主管屬於不適任的主管,經常把自我利益放在公司利益之前。和以自我為中心的主管一樣,「以公司為中心」的主管也是才華特出,偶爾也會優先考慮個人利益,但是他們對公司的貢獻總還是大於他們的自利行為,因此不會影響大局。
他們有時候會讓人感覺咄咄逼人、不易親近,但是霸氣而不霸道,果斷而不專斷,傲氣而不傲慢,對於自利的行為有比較大的自制和反省力,一旦有人暗示或提點時,他們會勇於承認和修正。這類主管為「雄才」。
公司在執行菁英人才管理時,應該要更細緻區分為雄才與霸才,而且為了長遠發展和人才蓄積,更要防止雄才變成霸才,甚至捍衛雄才,驅逐霸才。
如欲閱讀更多文章摘要,請見 每日晨摘
2015年7月4日 星期六
7/4 晨摘
- 資訊安全:
1.窃密型WebShell检测方法 by 迷路的指南针
传统WebShell检测方法:
(1)静态检测:对脚本文件中所使用的关键词、高危函数、文件修改的时间、文件权限、文件的所有者以及和其它文件的关联性等多个维度的特征进行检测。
(2)动态特征检测:通过Webshell运行时使用的系统命令或者网络流量及状态的异常来判断动作的威胁程度。
(3)日志分析:通过大量的网站web日志文件建立请求模型从而检测出异常文件。
(4)统计学:NeoPi是国外流行的一个基于统计学的Webshell后门检测工具,它使用五种计学方法在脚本文件中搜索潜在的被混淆或被编码的恶意代码。
窃密型WebShell检测方法:
(1)基于数据库操作审计的检测方式:在WEB服务器上部署代理型Agent,代理型Agent可以代理所有的数据库操作过程,精确的检索出异常操作,并且较审计型检测速度快。代理型Agent可以经过优化后与中间件进行深度结合能够追踪到发起数据查询请求的具体脚本文件。
(2)建立机器学习日志分析系统:直接在数据库服务器上增加日志审计客户端,可以实时的审计数据库操作记录。
2.用面包和无线接收器黑一台电脑 by FreeBuf
原理:不同的电脑操作,比如玩游戏或者加密解密一个文件,他们无线电波活动信号都各有其特点,这取决于CPU电源使用。
攻击者可发送一封包含加密段落的电子邮件给目标计算机,当计算机开始解密这封电子邮件时就开始监视电波信号,对于攻击者来说就可以提取用于保护数据的密钥。
3.北美IPv4地址即将用尽 by FreeBuf
美国网络号码注册机构(ARIN)负责分发互联网地址,警告说由于可用地址池中的IPv4枯竭,已无法满足大量IPv4地址的分配需求。
周三,ARIN初次激活了一个叫做“IPv4请求未满足政策”,列出了一个为服务器申请IP地址请求的候补名单。网络服务提供者(ISPs)目前只有三种选择:
(1)可以选择一个更小的区块(局限于512和256地址)
(2)可以加入未满足请求的候补名单,继续抱希望于所需要大小的区块在未来能够使用
(3)可以从其他有多余地址的机构处购买
传统WebShell检测方法:
(1)静态检测:对脚本文件中所使用的关键词、高危函数、文件修改的时间、文件权限、文件的所有者以及和其它文件的关联性等多个维度的特征进行检测。
(2)动态特征检测:通过Webshell运行时使用的系统命令或者网络流量及状态的异常来判断动作的威胁程度。
(3)日志分析:通过大量的网站web日志文件建立请求模型从而检测出异常文件。
(4)统计学:NeoPi是国外流行的一个基于统计学的Webshell后门检测工具,它使用五种计学方法在脚本文件中搜索潜在的被混淆或被编码的恶意代码。
- 信息熵(Entropy):通过使用ASCII码表来衡量文件的不确定性;
- 最长单词(LongestWord):最长的字符串也许潜在的被编码或被混淆;
- 重合指数(Indexof Coincidence):低重合指数预示文件代码潜在的被加密或被混效过;
- 特征(Signature):在文件中搜索已知的恶意代码字符串片段;
- 压缩(Compression):对比文件的压缩比。
窃密型WebShell检测方法:
(1)基于数据库操作审计的检测方式:在WEB服务器上部署代理型Agent,代理型Agent可以代理所有的数据库操作过程,精确的检索出异常操作,并且较审计型检测速度快。代理型Agent可以经过优化后与中间件进行深度结合能够追踪到发起数据查询请求的具体脚本文件。
(2)建立机器学习日志分析系统:直接在数据库服务器上增加日志审计客户端,可以实时的审计数据库操作记录。
2.用面包和无线接收器黑一台电脑 by FreeBuf
原理:不同的电脑操作,比如玩游戏或者加密解密一个文件,他们无线电波活动信号都各有其特点,这取决于CPU电源使用。
攻击者可发送一封包含加密段落的电子邮件给目标计算机,当计算机开始解密这封电子邮件时就开始监视电波信号,对于攻击者来说就可以提取用于保护数据的密钥。
3.北美IPv4地址即将用尽 by FreeBuf
美国网络号码注册机构(ARIN)负责分发互联网地址,警告说由于可用地址池中的IPv4枯竭,已无法满足大量IPv4地址的分配需求。
周三,ARIN初次激活了一个叫做“IPv4请求未满足政策”,列出了一个为服务器申请IP地址请求的候补名单。网络服务提供者(ISPs)目前只有三种选择:
(1)可以选择一个更小的区块(局限于512和256地址)
(2)可以加入未满足请求的候补名单,继续抱希望于所需要大小的区块在未来能够使用
(3)可以从其他有多余地址的机构处购买
- 企業管理:
1.打造终极营销机器的两大障碍 by Shann Biglione
(1)头衔名目繁多,目标不明确
(2)等级结构扼杀激情与好奇心
2.如何激励你不喜欢的下属 by 利亚纳·达韦
(1)增加你们相处的时间
(2)增加你们相处的时间
(3)发掘不得体行为的根源
3.李開復:一場大病之後,我修的7個死亡學分 by 李開復
(1)健康無價
(2)一切的事物的發生有它的理由
(3)要珍惜我們的緣份,學會感恩和愛
(4)學會如何生活,活在當下
(5)經得住誘惑
(6)人人平等,善待每一個人
(7)我們的人生究竟是為什麼?
(1)头衔名目繁多,目标不明确
(2)等级结构扼杀激情与好奇心
2.如何激励你不喜欢的下属 by 利亚纳·达韦
(1)增加你们相处的时间
(2)增加你们相处的时间
(3)发掘不得体行为的根源
3.李開復:一場大病之後,我修的7個死亡學分 by 李開復
(1)健康無價
(2)一切的事物的發生有它的理由
(3)要珍惜我們的緣份,學會感恩和愛
(4)學會如何生活,活在當下
(5)經得住誘惑
(6)人人平等,善待每一個人
(7)我們的人生究竟是為什麼?
如欲閱讀更多文章摘要,請見 每日晨摘
2015年7月3日 星期五
7/3 晨摘
- 資訊安全:
1.Dino:法国黑客组织“动物农场”APT工具箱又添新武器 by FreeBuf
Dino是模块化的恶意软件,拥有很多的组件,所以它可以同时执行多个任务,甚至还可以执行C2C服务器和windows发出的批量命令。
该恶意软件还有一些功能,比如搜索特定的文件并上传特定的文件到C&C服务器,然后在从服务器上下载用于进一步攻击的文件、制定命令执行时间表、阻止进程、躲避杀毒软件追踪等。
2.美国国安局(NSA)仍将继续监控美国公民的手机元数据 by FreeBuf
今年6月初,美国通过了保护公民个人隐私的《美国自由法案》。根据法案,国家安全局NSA将在6个月的时间里逐步将大规模电话元数据收集项目转给电信公司,这也意味着这一政府大规模数据收集项目将宣告寿终正寝。
不过在这周一,美国外国情报监视法庭(FISC)裁定NSA在接下来的6个月交接期内还可以继续收集和存储美国公民通话记录。
法庭同时发出了一个警告:情报机构只能从一个目标的“两跳”而不是“三跳”来收集元数据。那就意味着他们可以追踪谁打了这个电话,还有电话对外联系的任何人的元数据,以及这些人打了哪些人的电话。
3.巴西最大银行木马制造者:年仅20岁的大学生Lordfenix by FreeBuf
asTSPY_BANKER.NJH是Lordfenix制作的网银木马之一。当用户打开任意银行的url,木马会根据url进行锁定,锁定目标包括Banco de银行,Caixa银行,和巴西汇丰银行。
如果用户使用的是Google Chrome浏览器,网银木马会立即关闭当前浏览器窗口并显示一个错误信息,然后重新打开一个伪造的——整个切换过程非常迅速以至于用户根本不会察觉。如果用户的浏览器是IE或FireFox,原窗口会保持开启,但依然会出现错误信息并弹出伪造窗口。
当用户在伪造网银的“钓鱼”页面中下面输入用户名密码,这些信息将通过邮件的方式发送给攻击者。为了绕过杀毒软件的查杀,网银木马会自动终止GbpSV.exe进程。GbpSV.exe是浏览器安全软件G-Buster的相关进程,许多巴西银行使用这个安全程序保护用户的交易安全。
Dino是模块化的恶意软件,拥有很多的组件,所以它可以同时执行多个任务,甚至还可以执行C2C服务器和windows发出的批量命令。
该恶意软件还有一些功能,比如搜索特定的文件并上传特定的文件到C&C服务器,然后在从服务器上下载用于进一步攻击的文件、制定命令执行时间表、阻止进程、躲避杀毒软件追踪等。
2.美国国安局(NSA)仍将继续监控美国公民的手机元数据 by FreeBuf
今年6月初,美国通过了保护公民个人隐私的《美国自由法案》。根据法案,国家安全局NSA将在6个月的时间里逐步将大规模电话元数据收集项目转给电信公司,这也意味着这一政府大规模数据收集项目将宣告寿终正寝。
不过在这周一,美国外国情报监视法庭(FISC)裁定NSA在接下来的6个月交接期内还可以继续收集和存储美国公民通话记录。
法庭同时发出了一个警告:情报机构只能从一个目标的“两跳”而不是“三跳”来收集元数据。那就意味着他们可以追踪谁打了这个电话,还有电话对外联系的任何人的元数据,以及这些人打了哪些人的电话。
3.巴西最大银行木马制造者:年仅20岁的大学生Lordfenix by FreeBuf
asTSPY_BANKER.NJH是Lordfenix制作的网银木马之一。当用户打开任意银行的url,木马会根据url进行锁定,锁定目标包括Banco de银行,Caixa银行,和巴西汇丰银行。
如果用户使用的是Google Chrome浏览器,网银木马会立即关闭当前浏览器窗口并显示一个错误信息,然后重新打开一个伪造的——整个切换过程非常迅速以至于用户根本不会察觉。如果用户的浏览器是IE或FireFox,原窗口会保持开启,但依然会出现错误信息并弹出伪造窗口。
当用户在伪造网银的“钓鱼”页面中下面输入用户名密码,这些信息将通过邮件的方式发送给攻击者。为了绕过杀毒软件的查杀,网银木马会自动终止GbpSV.exe进程。GbpSV.exe是浏览器安全软件G-Buster的相关进程,许多巴西银行使用这个安全程序保护用户的交易安全。
- 企業管理:
1.股市崩盘 HR妙招连连应对员工情绪低落 by 琰
(1)用“情”管理 帮助员工度过难关
(2)开展活动 调节员工思想状态
(3)理性分析 引导员工正确对待
(4)换位思考 员工也需要自我调节
2.三项行动开启培训之旅 by jimmybeau
(1)提供接触面
(2)增加参与度
(3)产生仪式感
3.HR该如何调动内部讲师授课的积极性? by mise1980
(1)总经理为公司第一任培训讲师,每年第一堂课都应有总经理来讲,自上而下的示范带头作用。
(2)如果公司规模大,各中心、子公司的负责人为对应的系主任(即一个中心为一个系、一个子公司为一个系)。系主任负责本系的培训工作的开展,包括:培训计划的提出、内部讲师的指导,筛选与培养,系内部课程体系的研发等工作。
(3)设制星级讲师制,全体讲师都进行授课积分,每个标准课时的基准分为多少(培训负责人自定),学员对培训的反应程度(培训后现场调研为依据),进行加分并制订出相应的标准。
(1)用“情”管理 帮助员工度过难关
(2)开展活动 调节员工思想状态
(3)理性分析 引导员工正确对待
(4)换位思考 员工也需要自我调节
2.三项行动开启培训之旅 by jimmybeau
(1)提供接触面
(2)增加参与度
(3)产生仪式感
3.HR该如何调动内部讲师授课的积极性? by mise1980
(1)总经理为公司第一任培训讲师,每年第一堂课都应有总经理来讲,自上而下的示范带头作用。
(2)如果公司规模大,各中心、子公司的负责人为对应的系主任(即一个中心为一个系、一个子公司为一个系)。系主任负责本系的培训工作的开展,包括:培训计划的提出、内部讲师的指导,筛选与培养,系内部课程体系的研发等工作。
(3)设制星级讲师制,全体讲师都进行授课积分,每个标准课时的基准分为多少(培训负责人自定),学员对培训的反应程度(培训后现场调研为依据),进行加分并制订出相应的标准。
如欲閱讀更多文章摘要,請見 每日晨摘
2015年7月2日 星期四
7/2 晨摘
- 資訊安全:
1.一年之后,雅虎终于修复了SSRF漏洞 by FreeBuf
SSRF(服务端请求伪造)漏洞,也称XSPA(跨站端口攻击),问题存在于应用程序在加载用户提供的URL时,没能正确验证服务器的响应,然后就反馈回了客户端。
攻击者可以利用该漏洞绕过访问限制(如防火墙),进而将受感染的服务器作为代理进行端口扫描,甚至是访问系统中的数据。
2.权限杀手新变种分析报告 by FreeBuf
2013年,ROM级内嵌手机病毒“权限杀手”曝光,该病毒通过删除其他应用获取系统ROOT所使用的关键文件,达到自己不被其他应用获取系统ROOT删除的目的,进而实施下载、推广、刷流量等恶意行为。通过云数据分析,该木马在近一年多的时间持续活跃,并且在2015年上半年突然爆发。
此次爆发的权限杀手最新变种,其系统模块、作恶手段均有所改进。通过调查分析,木马主要内嵌在手机ROM中通过刷机网站快速传播,此外还包括部分水货手机用户。
3.麻省理工学院(MIT)发明漏洞自动修复系统 by FreeBuf
该系统称为CodePhage,它在自动“借用”其他程序的功能时并不需要获取源代码。因此,被导入程序的开发语言并不重要。一旦用于修复的代码导入至有漏洞的应用程序中,CodePhage可以提供一个更深层的分析,以确保漏洞被修复。
SSRF(服务端请求伪造)漏洞,也称XSPA(跨站端口攻击),问题存在于应用程序在加载用户提供的URL时,没能正确验证服务器的响应,然后就反馈回了客户端。
攻击者可以利用该漏洞绕过访问限制(如防火墙),进而将受感染的服务器作为代理进行端口扫描,甚至是访问系统中的数据。
2.权限杀手新变种分析报告 by FreeBuf
2013年,ROM级内嵌手机病毒“权限杀手”曝光,该病毒通过删除其他应用获取系统ROOT所使用的关键文件,达到自己不被其他应用获取系统ROOT删除的目的,进而实施下载、推广、刷流量等恶意行为。通过云数据分析,该木马在近一年多的时间持续活跃,并且在2015年上半年突然爆发。
此次爆发的权限杀手最新变种,其系统模块、作恶手段均有所改进。通过调查分析,木马主要内嵌在手机ROM中通过刷机网站快速传播,此外还包括部分水货手机用户。
3.麻省理工学院(MIT)发明漏洞自动修复系统 by FreeBuf
该系统称为CodePhage,它在自动“借用”其他程序的功能时并不需要获取源代码。因此,被导入程序的开发语言并不重要。一旦用于修复的代码导入至有漏洞的应用程序中,CodePhage可以提供一个更深层的分析,以确保漏洞被修复。
- 企業管理:
1.企业管理者如何自我管理 by 慧聪网企业管理频道
(1)知道自己是谁?
(2)自己是做什么的?
(3)自己为了谁?
(4)走出去,走进去,走上去
2.管理者失败的七大原因 by 中国营销传播网
(1)感觉迟钝,不好相处,胁迫、威逼
(2)冷酷、不合群、傲慢
(3)背叛人们的信任
(4)野心过大,以自我为中心,玩弄权术
(5)行事时不合时宜的表现
(6)权力过大,不能代表或组建团队
(7)不会挑选合适的下属
3.正确认识战略,改变企业命运 by 中国营销传播网
(1)企业家精神
(2)产品创新
(3)组织体系
(4)管控体系
(1)知道自己是谁?
(2)自己是做什么的?
(3)自己为了谁?
(4)走出去,走进去,走上去
2.管理者失败的七大原因 by 中国营销传播网
(1)感觉迟钝,不好相处,胁迫、威逼
(2)冷酷、不合群、傲慢
(3)背叛人们的信任
(4)野心过大,以自我为中心,玩弄权术
(5)行事时不合时宜的表现
(6)权力过大,不能代表或组建团队
(7)不会挑选合适的下属
3.正确认识战略,改变企业命运 by 中国营销传播网
(1)企业家精神
(2)产品创新
(3)组织体系
(4)管控体系
如欲閱讀更多文章摘要,請見 每日晨摘
2015年7月1日 星期三
7/1 晨摘
- 資訊安全:
1.黑客使用MERS新闻攻击日本传媒公司 by FreeBuf
攻击者使用中东呼吸综合症(MERS)病毒的爆发作为诱饵,发送钓鱼邮件给日本大众传媒公司。攻击者使用了免费的雅虎邮箱账号轻易地躲过了反垃圾邮件过滤系统,复制了网上公开的信息引诱受害者打开邮件。
邮件中包含一个经过压缩的.CHM文件(CHM_ZXSHELL.B),即Windows帮助文件,文件会展示来自一个流行的日本信息网站上关于MERS的相关页面。这个.CHM文件会放出后门文件ZXShell,它会驻足在受感染的电脑中,等待攻击者发出命令。黑客可以利用这个后门寻找网络中的敏感数据。
2.美图秀秀、gReader、福昕PDF阅读器在列:14款Android应用易遭中间人攻击 by FreeBuf
AppBugs公司研究人员经过分析发现,市面上有14款总计下载量高达8千万次的流行应用APP在处理社交账号登陆时存在安全风险,极易遭到中间人劫持(MITM)攻击。
这些问题都是出在应用处理SSL证书的方式。正常情况下,Web服务器会用SSL证书让用户浏览器验证自己的身份,而上述应用存在的安全隐患使得攻击者可以通过使用伪造的SSL证书窃取用户的登录信息。
要应对这样的问题,用户应该在接入那些公共Wifi网络时不要使用这些应用中的登陆功能。
3.駭客以「鷹眼」後門程式滲透中小企業電子郵件,詐騙交易貨款 by 蘇文彬
趨勢科技指出,一般網路攻擊多以快速掠奪為目的,以惡意郵件快速攻擊謀利,而奈及利亞近來出現兩個駭客集團,代號Uche與Okiki,專門鎖定開發中國家的中小型企業,先發送不含惡意附件的詢問郵件給該企業的外部聯絡信箱,與該企業建立良好的互動建立信任關係,再寄送只需35美元的簡易後門程式工具「鷹眼」(HawkEye),滲透入侵企業內部。
駭客集團滲透企業內部電腦,掌握該企業的電子郵件控制權之後,會攔截企業與合作夥伴間透過電子郵件的交易資訊。趨勢表示,駭客可以轉而攻擊與該公司合作的其他企業夥伴,攻擊該公司的母公司,或是利用「供應商資訊變更」謀取利益。
駭客攔載中小企業與合作客戶間的通訊,再從受駭企業的郵件信箱發送給其客戶,通知更改銀行收款帳戶為歹徒所假造的銀行帳號,以從中騙取交易貨款。過去即有歹徒利用Predator Pain、Limitless鍵盤側錄程式進行「供應商資訊變更」詐騙,獲利達約台幣22億元。
攻击者使用中东呼吸综合症(MERS)病毒的爆发作为诱饵,发送钓鱼邮件给日本大众传媒公司。攻击者使用了免费的雅虎邮箱账号轻易地躲过了反垃圾邮件过滤系统,复制了网上公开的信息引诱受害者打开邮件。
邮件中包含一个经过压缩的.CHM文件(CHM_ZXSHELL.B),即Windows帮助文件,文件会展示来自一个流行的日本信息网站上关于MERS的相关页面。这个.CHM文件会放出后门文件ZXShell,它会驻足在受感染的电脑中,等待攻击者发出命令。黑客可以利用这个后门寻找网络中的敏感数据。
2.美图秀秀、gReader、福昕PDF阅读器在列:14款Android应用易遭中间人攻击 by FreeBuf
AppBugs公司研究人员经过分析发现,市面上有14款总计下载量高达8千万次的流行应用APP在处理社交账号登陆时存在安全风险,极易遭到中间人劫持(MITM)攻击。
这些问题都是出在应用处理SSL证书的方式。正常情况下,Web服务器会用SSL证书让用户浏览器验证自己的身份,而上述应用存在的安全隐患使得攻击者可以通过使用伪造的SSL证书窃取用户的登录信息。
要应对这样的问题,用户应该在接入那些公共Wifi网络时不要使用这些应用中的登陆功能。
3.駭客以「鷹眼」後門程式滲透中小企業電子郵件,詐騙交易貨款 by 蘇文彬
趨勢科技指出,一般網路攻擊多以快速掠奪為目的,以惡意郵件快速攻擊謀利,而奈及利亞近來出現兩個駭客集團,代號Uche與Okiki,專門鎖定開發中國家的中小型企業,先發送不含惡意附件的詢問郵件給該企業的外部聯絡信箱,與該企業建立良好的互動建立信任關係,再寄送只需35美元的簡易後門程式工具「鷹眼」(HawkEye),滲透入侵企業內部。
駭客集團滲透企業內部電腦,掌握該企業的電子郵件控制權之後,會攔截企業與合作夥伴間透過電子郵件的交易資訊。趨勢表示,駭客可以轉而攻擊與該公司合作的其他企業夥伴,攻擊該公司的母公司,或是利用「供應商資訊變更」謀取利益。
駭客攔載中小企業與合作客戶間的通訊,再從受駭企業的郵件信箱發送給其客戶,通知更改銀行收款帳戶為歹徒所假造的銀行帳號,以從中騙取交易貨款。過去即有歹徒利用Predator Pain、Limitless鍵盤側錄程式進行「供應商資訊變更」詐騙,獲利達約台幣22億元。
- 企業管理:
1.“谈判桌恐惧症”如何治?靠情绪! by 金伯利·利里
(1)你希望带着怎样的情绪出现在谈判桌前?
(2)原因何在?
(3)你事先可以做哪些准备调控自己的情绪?
(4)你事先可以做哪些准备调控自己的情绪?
(5)在谈判中,哪些事物会让你失去平衡?
(6)在谈判中,哪些事物会让你失去平衡?
(7)你希望以一种怎样的状态结束谈判?
2.你的那些“伪幸福”,只是因为少了“真科学” by Gardiner Morse
当人们受到难度合适的挑战时,他们将感觉最幸福,也就是说,挑战具有难度,但不会难到离谱。
挑战不同于威胁。当人们遇到挑战时,他们会充满斗志,当人们受到威胁时,他们会丧失斗志。
3.可口可乐:请叫我“企业公民” by 李源
可持续发展4原则:
(1)始终以社会需求为原点
(2)从业务出发,传递企业精神
(3)一致价值观的合作伙伴
(4)简洁、易接入的机制
(1)你希望带着怎样的情绪出现在谈判桌前?
(2)原因何在?
(3)你事先可以做哪些准备调控自己的情绪?
(4)你事先可以做哪些准备调控自己的情绪?
(5)在谈判中,哪些事物会让你失去平衡?
(6)在谈判中,哪些事物会让你失去平衡?
(7)你希望以一种怎样的状态结束谈判?
2.你的那些“伪幸福”,只是因为少了“真科学” by Gardiner Morse
当人们受到难度合适的挑战时,他们将感觉最幸福,也就是说,挑战具有难度,但不会难到离谱。
挑战不同于威胁。当人们遇到挑战时,他们会充满斗志,当人们受到威胁时,他们会丧失斗志。
3.可口可乐:请叫我“企业公民” by 李源
可持续发展4原则:
(1)始终以社会需求为原点
(2)从业务出发,传递企业精神
(3)一致价值观的合作伙伴
(4)简洁、易接入的机制
如欲閱讀更多文章摘要,請見 每日晨摘
訂閱:
文章 (Atom)