安全周事记(20190415)

- 4.8 [GandCrab5.2勒索病毒伪装国家机关发送钓鱼邮件进行攻击](https://www.freebuf.com/articles/system/200070.html)
- 4.9 [苹果企业证书再爆丑闻 间谍软件窃取用户隐私信息](http://hackernews.cc/archives/25210)
- 4.10 [“银行提款机”变种病毒分析报告](https://www.freebuf.com/articles/paper/200284.html)
- 4.10 [火眼推出 Windows 免费渗透测试套件，包含140多款工具](https://www.freebuf.com/sectool/200524.html)
- 4.10 [流行开发工具 bootstrap-sass 被修改植入后门](https://www.solidot.org/story?sid=60184)
- 4.15 [FuzzScanner：信息搜集开源小工具](https://www.freebuf.com/sectool/200344.html)
- 4.15 [使用HTML注入进行信息泄露](https://www.anquanke.com/post/id/176565)
- 4.15 [数据分析与可视化：谁是安全圈的吃鸡第一人](https://www.freebuf.com/articles/web/199925.html)

Read More

安全周事记(20190408)

- 4.2 [学习手册：窥探Web前端黑客技术](http://blog.nsfocus.net/spying-web-front-end-hacking-techniques/)
- 4.2 [“铝”巨人遭勒索病毒攻击，工业互联时代如何保障网络安全](http://blog.nsfocus.net/how-to-guarantee-network-security-in-the-age-of-industrial-interconnecti/)
- 4.3 [KBuster：以伪造韩国银行APP的韩国黑产活动披露](https://www.freebuf.com/articles/terminal/199175.html)
- 4.3 [伊拉克电信公司遭到MuddyWater组织定向攻击](https://www.freebuf.com/articles/network/199008.html)
- 4.3 [换瓶不换酒，盗号木马还在钻搜索引擎广告的空子](https://www.anquanke.com/post/id/175954)
- 4.4 [Xiaomi Vulnerability: When Security Is Not What it Seems](http://blog.checkpoint.com/2019/04/04/xiaomi-vulnerability-when-security-is-not-what-it-seems/)
- 4.5 [友讯路由器 DNS 流量遭黑客劫持](https://www.solidot.org/story?sid=60138)
- 4.5 [Chashell：基于DNS的反向Shell](https://www.freebuf.com/sectool/199406.html)
- 4.5 [2018全球网络安全图鉴](https://www.freebuf.com/articles/network/199133.html)
- 4.6 [如何使用SQLMap脚本绕过Web应用防火墙](https://www.freebuf.com/sectool/198403.html)
- 4.6 [“商贸信”病毒装成商品图片，双击就被安装商业间谍软件](https://www.freebuf.com/articles/network/199906.html)
- 4.7 [奇思妙想之用JS给图片加口令](https://www.freebuf.com/articles/web/199559.html)
- 4.7 [4月7日每日安全热点 - 湖北一公职人员泄露公民信息5万余条](https://www.anquanke.com/post/id/176043)
- 4.8 [CISO的闪电战——2年甲方安全的自我修炼](https://www.anquanke.com/post/id/176075)
- 4.8 [谁劫持了我的DNS：全球域名解析路径劫持测量与分析](https://www.inforsec.org/wp/?p=3161)

Read More

安全周事记(20190225)

• 2.19 滥用ThinkPHP漏洞的僵尸网络：和Yowai
  网络犯罪分子正在利用一个在2018年12月被发现和已修补的ThinkPHP漏洞传播Yowai（Mirai变种）和Hakai（Gafgyt变种）两种僵尸网络病毒。
  网络犯罪分子利用字典攻击破坏使用PHP框架创建网站的Web服务器，并获得这些路由器的控制，以实现分布式拒绝服务攻击（DDoS）。

  吐槽：Yowai还会清除竞争对手的后门程序。黑产的世界才是血腥和残酷的。

• 2.20 技术讨论 | 三星Galaxy App商店漏洞导致中间人攻击实现远程代码执行
  由于商店应用初始更新检查使用HTTP，攻击者在控制网络流量（例如，在网络上实施中间人攻击）的前提下，可以更改用于负载平衡的URL并修改对镜像的请求至用户所控制的域名。这将允许攻击者欺骗Galaxy Apps使用任意带有有效SSL证书的主机名，并模拟应用商店API来修改设备上的现有应用。（最重要的是）攻击者可以在三星设备上利用此漏洞实现远程代码执行。
  

  吐槽：MITM攻击真的随处可见。

• 2.19 主机的零信任安全实践
  google开放自己的零信任框架后，各大安全公司开始推崇“零信任”安全架构成为网络安全流行框架之一。

  吐槽：国内安全公司大多还是跟风为主。

• 2.20 只需要不到20分钟，报告显示俄罗斯黑客是全球最快的入侵者
  话不多说，看图：
  

  吐槽：毛熊之厉害，可见一斑。

• 2.20 印度国有天然气公司再次泄露了数百万客户的敏感信息
  印度国有天然气公司（Indane）面向经销商和渠道商的网站上，尽管只能通过有效的用户名和密码进行访问，但部分内容已经被谷歌搜索引擎编入索引。

  吐槽：据说爆料者担心受Indane报复~

• 2.21 盗号木马疯狂窃取游戏币，竟还利用搜索引擎打广告？
  木马模块只是接管了官方游戏的登录流程，从而达到偷偷盗取用户账号密码的目的。
  

  吐槽：主要骚操作就是买SEO广告。

• 2.22 一句话木马的套路
  对于安全狗杀形，d 盾杀参的思路来绕过。生僻的回调函数, 特殊的加密方式, 以及关键词的后传入都是不错的选择。
  对于关键词的后传入对免杀安全狗，d 盾，河马 等等都是不错的，后期对于菜刀的轮子，也要走向高度的自定义化
  用户可以对传出的 post 数据进行自定义脚本加密，再由 webshell 进行解密获取参数，那么以现在的软 WAF 查杀能力几乎为 0，安全软件也需要与时俱进了。

  吐槽：不明觉厉系列。

• 2.22 大数据安全体系介绍之技术体系篇
  信息安全五大时期：
  1. 通信安全时期
  2. 计算机安全时期
  3. 网络安全时期
  4. 信息安全时期
  5. 数据安全时期
     

     吐槽：数据亦是信息的一部分，只不过当前互联网蓬勃发展，数据积累为大数据，所以安全也跟风谈着重谈数据安全。七本质依旧是保障信息安全。

• 2.24 有个姑娘网恋奔现发现自己被人卖了，跟她见面的是另一个人
  通过各种贴吧、论坛等信息逐步追溯，过程中一些关键点：QQ、支付宝名字认证等；然后最关键的，还是对人的社工。

  吐槽：所以说，黑产从业者的赚钱门路真的五花八门。

• 2.23 逻辑漏洞挖掘初步总结篇
  

  吐槽：科普贴

• 2.22 某php开源cms有趣的二次注入
  本次的漏洞是出现在ndex.class.php中的likejob_action()和saveresumeson_action()函数，由于这两个函数对用户的输入没有进行严格的显示，同时利用mysql的特点能够绕过waf。

  吐槽：有源码的注入只需要耐心；前提是挖洞的脑洞有。

• 2.25 对恶意软件Dridex的流量分析
  主要实战了如何用wireshark做流量分析，信息提取。

  吐槽：恩，跟分析木马差不多的原理咯。都不用分析泄露了什么数据？

• 2.24 Justniffer：一款功能强大的TCP数据包嗅探工具
  Justniffer是一款功能强大的网络协议分析工具，它可以捕捉网络流量并以定制化的方式生成日志文件。除此之外，它还可以模拟Apache Web服务器日志文件，跟踪响应事件并从HTTP流量中提取出所有截获到的文件。
  Justniffer项目官网：【传送门】

  吐槽：还是wireshark分析器好点吧。

• 2.23 全球性的DNS劫持活动：大规模DNS记录操控
  FireEye的Mandiant应急响应和情报团队识别出了一波DNS劫持攻击，这波攻击影响了大量域名，其中包括中东、北非、欧洲和南美地区的政府机构、通信部门以及互联网基础设施。研究人员目前还无法识别此次活动背后的攻击者身份，但初步研究表明，攻击者与伊朗有关。

  吐槽：跨国DNS劫持，所以在国家机器面前，个人信息安全如何保障？

• 2.22 黑产利用编辑器漏洞植入SEO暗链事件分析
  近期绿盟科技应急响应团队检测到多家政府、教育、企事业单位网站被黑客植入恶意链接，访问链接后会跳转到指定色情网站。攻击者利用第三方的编辑器的未授权访问及上传漏洞，上传相关恶意HTML页面。结合SEO技术，提升恶意站点在搜索引擎的收录和权重。

  吐槽：事业单位网站、app外包的危害将一直持续下去。

• 2.25 暴力破解及其流行工具研究
  暴力破解还可用于发现Web应用程序中的隐藏页面和内容，在你成功之前，这种破解基本上是“破解一次尝试一次”。

  吐槽：当然，暴力破解更多用于密码爆破；虽然也有爆破漏洞啥的(fuzzing)，但其目的往往仅是发现问题(crash)。

• 2.25 2018勒索病毒白皮书(政企篇)
  2018年，勒索病毒攻击整体态势以服务器定向攻击为主，辅以撒网式无差别攻击手段。
  政企单位防范勒索病毒建议从七个方面着手，即及时更新最新的补丁库、杜绝弱口令、重要资料定期隔离备份、提高网络安全基线、保持软件使用的可信、选择正确的反病毒软件、建立高级威胁深度分析与对抗能力。

  吐槽：勒索变现-新纪元。

• 2.25 三个 4G/5G 漏洞曝光：可拦截电话和追踪用户位置
  最为严重的就是Torpedo，它利用了蜂窝寻呼协议（paging protocol，运营商用于来电或者短信之前通知手机）的弱点，在短时间内拨打和取消手机通话可以在通知目标设备来电的情况下触发寻呼协议，从而让攻击者追踪受害者的位置。研究人员说，知道受害者的寻呼时机还可以让攻击者劫持寻呼通道，并通过欺骗消息(如Amber警报)或完全阻止消息来插入或拒绝寻呼消息。

  吐槽：又一核武器埋下。

​

Read More

安全周事记(20190121)

• 1.14 TorPCAP：Tor网络取证分析技术
  ‘Tor会在localhost（127.0.0.1）的TCP 9150 端口上创建一个SOCKS代理侦听。Tor浏览器会通过该SOCKS代理将其流量加密并转发到Tor网络。这意味着通过嗅探本地主机上的流量，实际上我们可以创建一个固定的取证路径，追踪PC发送到Tor网络和从Tor网络发送的所有流量。’

  吐槽：我分析我自己？

• 1.15 年度挖矿木马研究报告： 2018从“蛰伏”到“鼎盛”
  挖矿木马家族提供漏洞武器、战术或者出售僵尸机给其他恶意家族，而其他恶意家族则购买僵尸机或者开发定制木马给挖矿木马家族。

  吐槽：经济不景气时，黑产也开始开源节流，多方向发展。

• 1.15 移动平台新型诈骗解析
  新型诈骗：诈骗者借助“金融理财”，“网络彩票”等类型软件设置骗局，获取得用户信任，实施诈骗。
  

  吐槽：提高普通民众安全意识往往比产品更有用。

• 1.16 利用分块传输吊打所有WAF
  1. 使用注释扰乱分块数据包
  2. 畸形的分块数据包绕过ModSecurity

     吐槽：总的来看，过WAF就是规则测试，绕过。跟病毒过杀软是几乎一个道理。

• 1.16 疑似DarkHydrus APT组织针对中东地区的定向攻击活动分析
  2019年1月9日，360威胁情报中心捕获到多个专门为阿拉伯语使用者设计的诱饵文档。钓鱼文档为携带恶意宏的Office Excel文档，恶意宏代码最终会释放执行一个C#编写的后门程序，该后门程序利用了复杂的DNS隧道技术与C2进行通信并执行指令，且通过GoogleDrive API实现文件的上传下载。

  吐槽：目前APT往往都是通过文档的语言，内容描述来判断其针对性。如果文档或邮件是内部某一位员工呢？

• 1.16 Voipo 发生严重的数据泄露事件：价值数十亿美元的客户资料被曝光
  Voipo 由于其中一个后端的 ElasticSearch 数据库未受到密码保护，因此任何人都可以查询双向发送的实时呼叫日志和文本消息流。

  吐槽：数百万数据泄露，感觉已成常态。

• 1.17 iOS取证技巧：在无损的情况下完整导出SQLite数据库
  iOS上当前内置的SQLite支持调试选项：如果设置了SQLITE_SQLLOG_DIR环境，则每个数据库在给定目录中都会有一个副本，且sql查询为纯文本形式。

  吐槽：需要解锁并授权可信连接。

• 1.17 一款注入型勒索病毒Ryuk，拉开2019年勒索病毒攻击的序幕
  Ryuk勒索病毒最新于2018年8月由国外某安全公司进行报道，短短两周内净赚超过64万美元的比特币，同时跟踪发现它与HERMES勒索病毒相关联，此外也有消息称HERMES勒索病毒与朝鲜黑客组织Lazarus有关联。Ryuk勒索病毒主要通过垃圾邮件以及漏洞利用工具包进行传播，专门用于自定义攻击，Ryuk的感染和传播过程都是由攻击者手动执行的，被加密的文件以.RYK后缀结尾。

  吐槽：病毒也要有自己的特色，否则难出名。

• 1.18 国内网站内容篡改现状调查
  网站黑帽SEO趋势：注册已经被政府机关抛弃但曾用过的域名用来搭建博彩等暴利网站，大量政府机关含有旧域名链接的网页就成了非法站点的天然外链，可以有效提升其PR值。

  吐槽：一方面，事业单位更应注重网络资产重要性；另一方面，0信任安全架构确实很重要。

• 1.19 2018年Windows服务器挖矿木马总结报告
  2018年，挖矿木马已经成为Windows服务器遭遇的最严重的安全威胁之一。这一年，在挖矿木马攻击趋势由爆发式增长逐渐转为平稳发展的同时，挖矿木马攻击技术提升明显，恶意挖矿产业也趋于成熟，恶意挖矿家族通过相互之间的合作使受害计算机和网络设备的价值被更大程度压榨，合作带来的技术升级也给安全从业者带来更大挑战。2019年，挖矿木马攻击将继续保持平稳，但黑产家族间的合作将更加普遍，“闷声发大财”可能是新一年挖矿木马的主要目标。

  吐槽：挖矿随着矿的价值越来越低，必然走向普通木马之路(对不可控资产价值的依赖，往往不如对已知资产的深度利用——说的就是你，勒索病毒)。

• 1.20 黑灰产一出手就是200多亿，这次遭殃的是拼多多
  拼多多遭薅羊毛，疑似损失百万——黑产造势损失几个亿，并公开薅羊毛方法，以用’法不责众’避开处罚。

  吐槽：黑产的这波操作简直666.

  1.21 拼多多：优惠券Bug属网络诈骗 与此前事件存本质差别
• 1.21 病毒利用安全产品模块 劫持流量、攻击其他安全软件
  火绒安全团队发现，病毒团伙正利用”远景”论坛的系统镜像文件传播后门病毒”WenkPico”。该病毒入侵用户电脑后，会劫持导航站、购物网站以及软件安装包流量，牟取暴利。同时该病毒还利用国内某安全厂商的产品功能模块，攻击其它安全软件，让部分安全软件的”云查杀”功能失效，使用户电脑失去安全防护。

  吐槽：杀软和病毒的终端攻防经久不衰。

• 1.21 攻击组织”Cold River”：网络流量与Agent_Drable恶意程序深度分析
  原文地址：https://www.lastline.com/labsblog/threat-actor-cold-river-network-traffic-analysis-and-a-deep-dive-on-agent-drable/
  针对中东地区的APT攻击，这次攻击中使用了新的TTP – 例如Agent_Drable恶意程序利用Django 框架来搭建C2服务器，”Cold River”是一种复杂的威胁，他使用了DNS子域劫持，证书欺骗，隐蔽的C2通信方式，复杂又极具迷惑性的诱饵文档以及定制化的恶意程序。

  吐槽：国内翻译文的质量真心……

• 1.21 技术分享 | 多种测试HTTP身份验证的方法
  原文：https://www.hackingarticles.in/multiple-ways-to-exploiting-http-authentication/
  通过多种攻击进行爆破。

  吐槽：国内翻译文的质量真心……

• 1.21 U盘钓鱼的实现和防范
  主要还是诱导插入U盘并点击伪装的恶意代码。

  吐槽：评论说这个很low，而实际上这确实是非常有效的一种方法——特别是针对行政、财务等非技术人员。

• 1.21 层层监管下玩出花样，34亿赌资是如何进入赌博幕后人口袋的？
  

  吐槽：总结的一般，勉强可以算科普文。

​

Read More