- 背景现在，互联网上很多网站都是基于WordPress内容管理系统来开发的，安全问题也随之而来。研
2016年 第15周 微信公众号精选安全技术文章总览
洞见网安 2016-4-11
0x1 【技术解析】｜锁屏绕过，三星Galaxy系列手机也能“被”呼出电话
安全张之家 2016-04-16T07:14:18
近期，由两位安全研究人员，Roberto Paleari及Aristide Fattori，发布了关于三星G
0x2 【漏洞解析】｜苹果OSX Message跨域脚本攻击漏洞详解（CVE-2016-1764）
安全张之家 2016-04-16T07:14:18
苹果在3月修复的CVE-2016-1764（CNNVD-201603-347），是一个应用层漏洞，可导致远程
0x3 【工具推荐】｜Scanner Routerhunter，路由器漏洞扫描器
安全张之家 2016-04-15T07:16:12
0×00 前言我们会介绍一款自动挖掘路由器漏洞的测试工具，它能够自动化在互联网大范围搜索包含漏洞的路由，进行
0x4 利用反射型XSS二次注入绕过CSP form-action限制
河南信安世纪 2016-04-14T19:21:48
文章探讨了如何利用反射型XSS二次注入来绕过CSP（Content-Security-Policy）中form-action的限制。CSP作为一种安全策略，旨在通过设置规则限制网页加载内容，从而缓解XSS攻击。其中，form-action特别用于限定表单提交的目标页面，以防止XSS导致的隐私泄露。文中举例说明，在没有CSP保护的情况下，攻击者可通过修改表单的action属性将用户数据发送到恶意服务器。管理员为提升安全性引入CSP，但攻击者发现通过构造未闭合的form标签可使原表单失效，进而绕过限制。面对改进后的防护措施，即不允许执行JavaScript且对form-action设限，攻击者采用反射型XSS结合HTML标签特性，特别是form/formmethod/formaction属性，实现二次注入。这使得原本POST方式提交的数据变为GET请求，并携带恶意链接参数返回给secret.html，触发二次XSS，最终泄露秘密信息至攻击者控制的服务器。该案例展示了即使存在CSP保护，若配置不当或被巧妙规避，仍可能遭受攻击。同时指出，CSP在国内的应用和讨论相对不足，强调其在网站防护中的重要性及学习价值。
0x5 流量安全分析：通过WordPress系统感染的网络勒索事件分析
河南信安世纪 2016-04-14T19:21:48
0x6 KTN-RM：以入侵网络设备为目标的僵尸网络
ADLab 2016-04-12T19:10:35 启明星辰
本文详细分析了KTN-RM僵尸网络，这是一种针对网络设备进行入侵并利用其进行DDoS攻击的恶意程序。KTN-RM支持跨平台攻击，能感染嵌入式网络设备，并通过Telnet弱口令扫描器扩散。最新版本2.2主要针对ARM和MIPS平台，内嵌了文件下载和子网嗅探功能。分析揭示了僵尸程序的启动机制、与控制端的通信方式、命令解析和攻击实现。KTN-RM还具备嵌入式感染能力，能够将恶意代码植入设备，并实现远程控制。文章最后强调了该僵尸网络对网络设备的安全威胁，并建议使用IDS等检测产品来发现和清除僵尸程序。
僵尸网络 DDoS攻击 嵌入式设备安全 弱口令攻击 跨平台攻击 恶意软件分析 网络监控 固件更新
0x7 【漏洞解析】｜Linux ASLR漏洞：攻击者可无限禁用ASLR（CVE-2016-3672）
安全张之家 2016-04-12T06:32:51
近日，安全人员修复了一个Linux ASLR中比较古老的漏洞，拥有x86设备上的32位应用程序使用权限的任何
0x8 【漏洞周报】｜（2016年4月4日至2016年4月11日）安全漏洞周报
安全张之家 2016-04-12T06:32:51 © 杨刚
本周国家计算机网络入侵防范中心发布的安全漏洞周报涵盖了2016年4月4日至2016年4月11日发现的安全漏洞，总计35个，其中高危漏洞10个，中等威胁漏洞25个，无低威胁漏洞。报告指出，多个软件和系统存在安全漏洞，包括WDDX PHP扩展、ProFTPD的mod_tls模块、Cisco Prime Infrastructure、EMC Documentum D2以及Adobe Flash Player。这些漏洞可能导致拒绝服务攻击、远程代码执行或未知的其他影响。相关公司已经发布安全公告和更新程序补丁。用户被建议及时更新补丁，注意上网安全，防范黑客攻击，并且不要轻易打开未知网站和来路不明的文件。同时，建议安装杀毒软件并保持病毒库更新。
漏洞周报 高危漏洞 中等威胁漏洞 安全更新 网络安全防护 安全公告 漏洞补丁 安全软件
0x9 VEDA提醒：提防“中间人”——SSL欺骗（二）
VEDA卫达信息 2016-04-11T15:49:45
本文主要介绍了网络安全中的中间人攻击，尤其是SSL欺骗这一攻击方式。中间人攻击是一种在通信双方不知情的情况下，攻击者拦截并篡改数据的攻击形式。SSL欺骗是中间人攻击的一种高级形式，它利用了SSL/TLS协议的信任机制进行攻击。文章强调了SSL劫持攻击的隐蔽性和危害性，并提供了从客户端角度检测和抵御SSL劫持的建议，如使用HTTPS确保安全连接、将网上银行保存为主页以及确保内部机器的安全。此外，文章还通过一个案例介绍了赛门铁克SSL证书事件，说明了证书安全的重要性。
中间人攻击 SSL欺骗 网络安全 SSL/TLS 加密 安全漏洞 防护措施 公共WiFi安全 案例研究
本站文章为人工采集，目的是为了方便更好的提供免费聚合服务，如有侵权请告知。具体请在留言告知，我们将清除对此公众号的监控，并清空相关文章。所有内容，均摘自于互联网，不得以任何方式将其用于商业目的。由于传播，利用此文所提供的信息而造成的任何直接或间接的后果和损失，均由使用者本人负责，本站以及文章作者不承担任何责任。
