- 資訊安全：
1.新型思科路由器后门SYNful Knock by X0chitl
这个后门是通过修改思科路由器的固件植入恶意代码实现的，类似病毒感染正常文件。攻击者需要通过其他途径将这个后门固件上传或者加载到目标路由器上。
目前看攻击者并没有利用任何的0day漏洞来上传固件，而是利用路由器的缺省口令或者弱口令来登录路由器，然后上传后门固件，替换原有正常固件。只要路由器管理员不升级固件，攻击者就可以持久获得对路由器的长期控制。
正常IOS映像文件中，有些TLB的属性是只读的(RO)，而此后门会将所有TLB的属性都设置为可读可写(RW)，这可能是为了实现通过Hook IOS函数来加载模块。如果TLB属性不是可读可写(RW)，那对缓存内存页的修改就不能被同步到内存中原始内存页中。
据信是修改了一个与进程调度相关的函数入口，将其指向一段恶意代码，这段代码完成恶意软件的初始化后，再执行原有正常函数功能。选择该函数是因为其在每次系统重启时都会被调用，这样攻击者就可以持续获得控制权。
为了防止映像文件大小发生变化，此后门会直接用恶意代码替换原有的一些正常函数的代码。同样为了防止大小变化，攻击者还会将CnC通信时用到的一些字符串直接替换正常函数使用的字符串。
2.CSRF的攻击与防御 by Gh0sthacker
CSRF（Cross-Site Request Forgery，跨站点伪造请求）是一种网络攻击方式，该攻击可以在受害者毫不知情的情况下以受害者名义伪造请求发送给受攻击站点，从而在未授权的情况下执行在权限保护之下的操作。
CSRF 漏洞检测最简单的方法就是抓取一个正常请求的数据包，去掉Referer字段后再重新提交，如果该提交还有效，那么基本上可以确定存在CSRF漏洞。
CSRF漏洞防御：
（1）验证HTTP Referer字段
（2）在请求地址中添加token并验证
（3）在HTTP头中自定义属性并验证
3.星巴克官网曝严重漏洞，会员账户存盗窃风险 by Freebuf
埃及的独立安全研究员Mohamed M.表示，他在星巴克上发现了三个严重漏洞。黑客可以通过利用其中简单的点击劫持漏洞，获取受害用户账号的权限。
这三个漏洞分别是：
（1）远程代码执行
（2）远程文件包含（钓鱼攻击）
（3）CSRF（跨站请求伪造）
这个后门是通过修改思科路由器的固件植入恶意代码实现的，类似病毒感染正常文件。攻击者需要通过其他途径将这个后门固件上传或者加载到目标路由器上。
目前看攻击者并没有利用任何的0day漏洞来上传固件，而是利用路由器的缺省口令或者弱口令来登录路由器，然后上传后门固件，替换原有正常固件。只要路由器管理员不升级固件，攻击者就可以持久获得对路由器的长期控制。
正常IOS映像文件中，有些TLB的属性是只读的(RO)，而此后门会将所有TLB的属性都设置为可读可写(RW)，这可能是为了实现通过Hook IOS函数来加载模块。如果TLB属性不是可读可写(RW)，那对缓存内存页的修改就不能被同步到内存中原始内存页中。
据信是修改了一个与进程调度相关的函数入口，将其指向一段恶意代码，这段代码完成恶意软件的初始化后，再执行原有正常函数功能。选择该函数是因为其在每次系统重启时都会被调用，这样攻击者就可以持续获得控制权。
为了防止映像文件大小发生变化，此后门会直接用恶意代码替换原有的一些正常函数的代码。同样为了防止大小变化，攻击者还会将CnC通信时用到的一些字符串直接替换正常函数使用的字符串。
2.CSRF的攻击与防御 by Gh0sthacker
CSRF（Cross-Site Request Forgery，跨站点伪造请求）是一种网络攻击方式，该攻击可以在受害者毫不知情的情况下以受害者名义伪造请求发送给受攻击站点，从而在未授权的情况下执行在权限保护之下的操作。
CSRF 漏洞检测最简单的方法就是抓取一个正常请求的数据包，去掉Referer字段后再重新提交，如果该提交还有效，那么基本上可以确定存在CSRF漏洞。
CSRF漏洞防御：
（1）验证HTTP Referer字段
（2）在请求地址中添加token并验证
（3）在HTTP头中自定义属性并验证
3.星巴克官网曝严重漏洞，会员账户存盗窃风险 by Freebuf
埃及的独立安全研究员Mohamed M.表示，他在星巴克上发现了三个严重漏洞。黑客可以通过利用其中简单的点击劫持漏洞，获取受害用户账号的权限。
这三个漏洞分别是：
（1）远程代码执行
（2）远程文件包含（钓鱼攻击）
（3）CSRF（跨站请求伪造）
- 自我成長：
1.想活出自己想要的姿態？那麼首先，你該弄明白這4件事 by Elle
（1）不要把夢想看作無形的夢，你該把它視為有形的計劃
（2）懶惰和不願意作出犧牲是最大的阻礙
（3）總有辦法可以讓你離目標更近一步
（4）學會把大的夢想拆分成小的目標
2.日本安保法的突破與困境 by 吳奇諺
安倍政權的這部安保法，是對和平的「突破」；同時卻也造成了和平的「困境」。
突破點就在於對集體自衛權的突破，使得日本在軍事戰略上不再僅能受限於被攻擊時的還手，而是能預先策畫，面對盟友（主要是美國）遇襲時協助出擊，如此一來才能在權力上保持均衡。
然而，安保法造成了和平的「困境」。這部法案，是極具擴張性的，站在中國的立場，必然因應而加強戒備，反倒造成和平更加不安穩。甚而，日本面對中國反應，又解除什麼限制，進一步在規範裡擴張，造就安全困境，則和平也不復存在。
3.永遠不要害怕迷失自己 by Karie Wang
（1）不要懷疑自己的價值
（2）做真正令自己開心的事情
（3）停下腳步聆聽自己的心與周遭的一切
（4）去做些不切實際的夢
（5）出發去冒險…然後迷路吧
（6）懂得獨立思考的價值 接納最真實的自己
（1）不要把夢想看作無形的夢，你該把它視為有形的計劃
（2）懶惰和不願意作出犧牲是最大的阻礙
（3）總有辦法可以讓你離目標更近一步
（4）學會把大的夢想拆分成小的目標
2.日本安保法的突破與困境 by 吳奇諺
安倍政權的這部安保法，是對和平的「突破」；同時卻也造成了和平的「困境」。
突破點就在於對集體自衛權的突破，使得日本在軍事戰略上不再僅能受限於被攻擊時的還手，而是能預先策畫，面對盟友（主要是美國）遇襲時協助出擊，如此一來才能在權力上保持均衡。
然而，安保法造成了和平的「困境」。這部法案，是極具擴張性的，站在中國的立場，必然因應而加強戒備，反倒造成和平更加不安穩。甚而，日本面對中國反應，又解除什麼限制，進一步在規範裡擴張，造就安全困境，則和平也不復存在。
3.永遠不要害怕迷失自己 by Karie Wang
（1）不要懷疑自己的價值
（2）做真正令自己開心的事情
（3）停下腳步聆聽自己的心與周遭的一切
（4）去做些不切實際的夢
（5）出發去冒險…然後迷路吧
（6）懂得獨立思考的價值 接納最真實的自己
如欲閱讀更多文章摘要，請見 每日晨摘
沒有留言:
張貼留言