- 資訊安全:
1.序列化漏洞影响半数以上Android手机 by Freebuf
这个Android序列化漏洞(CVE-2015-3825)存在于Android平台本身,影响的版本包括4.3至5.1,也就是Jelly Bean、KitKat、棒棒糖和Android M预览版1,波及55%的Android设备。
研究人员的论文中介绍了一个可靠的PoC,能够演示攻击的可行性。这个PoC能够攻击高权限的system_server进程,这样就能够将权限提升至系统用户的级别,这种级别有相对宽松的SELinux配置,从而破坏行为会加大。
举例来说,攻击者可以通过替换目标应用的apk接管受害者手机上的任意应用。这就可以让攻击者以受害者的身份执行操作。另外,我们还可以利用Android Keychain应用运行shell命令,从设备中的所有应用中窃取数据。甚至还可以更改SELinux策略,在某些设备上还可以加载恶意的内核模块。
2.从外围进入各大公司内网的最新方式 by boooooom
(1)内网业务对外的漏洞挖掘:
首先需要获取攻击目标企业的资产信息,即Ip及域名信息;然后通过获取到的外网域名及IP信息获取banner信息。然后通过判断返回banner信息的特征来判断该IP/域名是否存在内网业务对外的问题。
(2)攻击思路之弱点扫描:
攻击者可以先对目标企业的域名及ip进行一轮字典的枚举,字典可以尽量大,因为攻击者其实不需要太多的考虑扫描时间,可以慢慢跑,然后对扫描结果的判断时可以写一些宽松的策略,比如只要判断某个文件是否存在,且返回内容就几个字节,或者存在一些敏感的关键字,比如内部系统、测试的数组结构等等就先记下来,然后辅助一些人工的判断。
3.假免費 Windows 10 更新通知信暗藏勒索軟體 by TREND LABS
最近,趨勢科技的工程師已經發現多起相關垃圾郵件攻擊,其中一個就是假冒Microsoft新版作業系統免費更新的通知郵件。
如同其他社交工程郵件一樣,該郵件暗藏了危險的附件檔案,一個勒索軟體的壓縮檔,更確切一點就是CTB-Locker加密勒索軟體,也就是TROJ_CRYPCTB.RUI 變種。
这个Android序列化漏洞(CVE-2015-3825)存在于Android平台本身,影响的版本包括4.3至5.1,也就是Jelly Bean、KitKat、棒棒糖和Android M预览版1,波及55%的Android设备。
研究人员的论文中介绍了一个可靠的PoC,能够演示攻击的可行性。这个PoC能够攻击高权限的system_server进程,这样就能够将权限提升至系统用户的级别,这种级别有相对宽松的SELinux配置,从而破坏行为会加大。
举例来说,攻击者可以通过替换目标应用的apk接管受害者手机上的任意应用。这就可以让攻击者以受害者的身份执行操作。另外,我们还可以利用Android Keychain应用运行shell命令,从设备中的所有应用中窃取数据。甚至还可以更改SELinux策略,在某些设备上还可以加载恶意的内核模块。
2.从外围进入各大公司内网的最新方式 by boooooom
(1)内网业务对外的漏洞挖掘:
首先需要获取攻击目标企业的资产信息,即Ip及域名信息;然后通过获取到的外网域名及IP信息获取banner信息。然后通过判断返回banner信息的特征来判断该IP/域名是否存在内网业务对外的问题。
(2)攻击思路之弱点扫描:
攻击者可以先对目标企业的域名及ip进行一轮字典的枚举,字典可以尽量大,因为攻击者其实不需要太多的考虑扫描时间,可以慢慢跑,然后对扫描结果的判断时可以写一些宽松的策略,比如只要判断某个文件是否存在,且返回内容就几个字节,或者存在一些敏感的关键字,比如内部系统、测试的数组结构等等就先记下来,然后辅助一些人工的判断。
3.假免費 Windows 10 更新通知信暗藏勒索軟體 by TREND LABS
最近,趨勢科技的工程師已經發現多起相關垃圾郵件攻擊,其中一個就是假冒Microsoft新版作業系統免費更新的通知郵件。
如同其他社交工程郵件一樣,該郵件暗藏了危險的附件檔案,一個勒索軟體的壓縮檔,更確切一點就是CTB-Locker加密勒索軟體,也就是TROJ_CRYPCTB.RUI 變種。
- 自我成長:
1.「同理心」帶動業績 連蘋果員工都要培訓 by 熊玠非
人們往往記不起困頓時,情緒困擾的真實強度,其次,他們已經渡過了難關,將此苦難視為人生必經的考驗。因為抱持著:「我不記得當時有多困難了」、「我也是過來人」這樣的心情,導致同情心和耐心降低。
現在該有的訓練,更著重以傾聽者的角度,不要一直強調自己過去的經驗,先以傾聽、關心,而後再給予犀利、理性的分析。例如:當一個員工酗酒時,主管可以做的,並不是以自身的經驗教訓對方,而應該數據理性分析,讓員工了解分析結果,並自行評估是否值得等方式來進行幫助。
2.美国大学教授:如果只能有一门家教,我会选历史 by 少年商学院
我在大学里教历史,一次考试让学生们就教科书作者的观点回答一个选择题,结果大多数学生全答错了。我在课堂上纠正时,很多学生抗议:“我选择的答案,就是书中某某页上讲的呀!”
我把书打开:“看看,关于这件事情,作者陈述了过去学者的好几种观点,然后逐一驳斥,最后提出了自己的观点。我问你们的恰恰是他自己的观点。你们的问题在于,觉得只要书上写着的就是事实。想想看,你能听到有人在法庭上说了一些事情就马上当事实吗?难道你不应该首先搞清楚这是公诉人说的,还是辩护律师说的吗?
人是历史的动物。但这里的历史,不是一张简单的年代表、大事记,而是分析总结人类经验的能力。这种能力如果没有从小培养,长大就可能有麻烦,不管你干什么。
3.在每一次抉擇時,都把自己的價值觀考量進去 by PINSOUL
當你發現自己在抉擇時,花了很多心思考量不同選項的重要性時,你需要回頭關注多一點有關自己真正賦予價值的目標是什麼,然後讓自己有所覺察,讓這個中意的目標幫助自己選擇。如果你發現這個比較高層次的目標時,你就會以這個目標作為背景去思考,你走的路也會是證明這個目標的道路。
有時候,我們會碰到很難決定的事情,這時候我們就要按一下暫停。因為我們需要回頭看看不同選項之間的好處是什麼,注意看看自己真正在意的價值是什麼,或許這時候你回沈浸在抉擇的思考之中。
但當你發現自己重要的目標時,你回頭看看自己的決策,就會覺得比較清晰了,因為你知道自己該走什麼路,如何持續追尋與維持一致自己深層的價值與目標,你知道什麼對你才是重要的。
人們往往記不起困頓時,情緒困擾的真實強度,其次,他們已經渡過了難關,將此苦難視為人生必經的考驗。因為抱持著:「我不記得當時有多困難了」、「我也是過來人」這樣的心情,導致同情心和耐心降低。
現在該有的訓練,更著重以傾聽者的角度,不要一直強調自己過去的經驗,先以傾聽、關心,而後再給予犀利、理性的分析。例如:當一個員工酗酒時,主管可以做的,並不是以自身的經驗教訓對方,而應該數據理性分析,讓員工了解分析結果,並自行評估是否值得等方式來進行幫助。
2.美国大学教授:如果只能有一门家教,我会选历史 by 少年商学院
我在大学里教历史,一次考试让学生们就教科书作者的观点回答一个选择题,结果大多数学生全答错了。我在课堂上纠正时,很多学生抗议:“我选择的答案,就是书中某某页上讲的呀!”
我把书打开:“看看,关于这件事情,作者陈述了过去学者的好几种观点,然后逐一驳斥,最后提出了自己的观点。我问你们的恰恰是他自己的观点。你们的问题在于,觉得只要书上写着的就是事实。想想看,你能听到有人在法庭上说了一些事情就马上当事实吗?难道你不应该首先搞清楚这是公诉人说的,还是辩护律师说的吗?
人是历史的动物。但这里的历史,不是一张简单的年代表、大事记,而是分析总结人类经验的能力。这种能力如果没有从小培养,长大就可能有麻烦,不管你干什么。
3.在每一次抉擇時,都把自己的價值觀考量進去 by PINSOUL
當你發現自己在抉擇時,花了很多心思考量不同選項的重要性時,你需要回頭關注多一點有關自己真正賦予價值的目標是什麼,然後讓自己有所覺察,讓這個中意的目標幫助自己選擇。如果你發現這個比較高層次的目標時,你就會以這個目標作為背景去思考,你走的路也會是證明這個目標的道路。
有時候,我們會碰到很難決定的事情,這時候我們就要按一下暫停。因為我們需要回頭看看不同選項之間的好處是什麼,注意看看自己真正在意的價值是什麼,或許這時候你回沈浸在抉擇的思考之中。
但當你發現自己重要的目標時,你回頭看看自己的決策,就會覺得比較清晰了,因為你知道自己該走什麼路,如何持續追尋與維持一致自己深層的價值與目標,你知道什麼對你才是重要的。
如欲閱讀更多文章摘要,請見 每日晨摘
沒有留言:
張貼留言