免费下载案例集|20+数字化领先企业人才培养实践经验 了解详情
写点什么

安全半月谈:潜伏了 7 年的 Xen 漏洞与中国地下网络犯罪报告

  • 2015-12-02
  • 本文字数:2377 字

    阅读完需:约 8 分钟

安全要闻

“破天”——Xen 虚拟化平台虚拟机逃逸漏洞

这是一个存在了7 年之久的严重漏洞。10 月,阿里云安全团队发现并提交了一处Xen 平台下的虚拟机逃逸漏洞,Xen 3.4~4.6 版本都受影响,漏洞编号为XSA-148/ CVE-2015-7835 。攻击者可以利用一台以 PV 模式运行的虚拟机轻易实现虚拟机逃逸,从而可以进一步控制 Xen Hypervisor、Dom0 以及当前物理机器上运行的其他所有虚拟机。目前漏洞补丁已公布,Xen 平台用户可以从官方下载并安装。

双 11 狂欢背后电商安全的那些事

一年一度的电商狂欢节“双 11”总算过去了,但是“双 12”马上就来了。笔者忍不住要扒一扒平日里大众所不知道安全问题。据不完全统计,乌云网自成立以来,已收集到的国内电商平台漏洞总数达 1169 个,其中 2015 年电商平台漏洞数为 414 个,相比于 2014 年,漏洞总数上涨了 68.98% 。但这只不过是电商平台目前存在的安全问题的冰山一角。从乌云平台上可以看到,大如阿里系的电商平台,拥有专业的安全团队,依然可能存在可被获取服务器权限的漏洞。其他电商网站有的刚配上专业的安全团队,有的可能对安全的重视程度还未达到需要配专业安全团队的地步。总的来说,电商网站的安全道路任重而道远

国产KK 病毒一天感染80 万用户

来自中国的一家海外移动分发平台——深圳市卓越创想科技有限公司,被发现是 KK 插件病毒的制造者。KK 插件可以在手机操作系统中弹出恶意广告,其在 Google Play 中的变种已有至少 185 个之多,感染了全球 30 多个国家的超过 700 万用户。东南亚国家的 KK 插件感染最为严重。又是一个明目张胆的移动安全恶性案例。

戴尔电脑的后门

今年,联想两度因笔记本产品中预装恶意软件而被暴光。前不久,戴尔电脑也被发现预装类似Superfish 的自签名根证书 eDellRoot ,自签名根证书可用于发动中间人攻击,除了 Firefox 之外的浏览器将会接受 eDellRoot 签名的 HTTPS 连接,并偷偷解密用户的加密网络流量。删除 eDellRoot 后重启电脑又会被重新安装。戴尔起初对这一事件进行了否认,但随后变为道歉并表示发布移除工具

除此之外,戴尔电脑的服务标签被发现可以作为指纹跟踪用户。造成这一攻击的根源在于戴尔官方技术支持应用Dell Foundation Services 使用了自签名根证书eDellRoot。安全研究人员称,只有卸载Dell Foundation Services 才能避免被跟踪,卸载eDellRoot 没有用。

远程入侵原装乘用车

自从特斯拉汽车被黑客们成功入侵后,关于汽车破解的话题在国内安全界引爆,如2014 年的 GeekPwn 、SyScan360 等都有该项目。随着越来越多的新技术被引入到汽车上,新型的攻击方式也成为可能。近日,国外一个安全团队发布了一份报告,详细讲述了远程攻击一台原装的 2014 年款吉普切诺和类似的车辆的过程。唐朝实验室翻译组的朱于涛、刘家志翻译了这份报告()。文章证明,大量的菲亚特- 克莱斯勒汽车都可以被远程攻击。存在漏洞的车辆成千上万。

安全报告

趋势科技发布2015 年版中国地下网络犯罪报告

报告发现针对已泄漏数据而开发的搜索引擎和新型银行卡信息盗取设备正帮助地下网络犯罪分子更加容易地实施犯罪。比如犯罪分子可以更方便地在“社工大师”(Social Engineering Master)这样的泄漏数据搜索引擎中找到他们想要的数据。

新型银行卡信息盗取设备也帮助网络犯罪分子通过更多渠道窃取持卡人信息。报告提到当前有三种主要的“窃卡器”。一种是在刷卡机上动手脚,另一种是在自动取款机上安装窃卡设备,还有一种是口袋窃卡器。这种小到让人不易察觉的磁性读卡器可以存储多达2048 张银行卡的信息。这种读卡器不用连接电脑和电源就能工作。

阿里移动发布2015 年第三季度安全报告

近日,阿里无线安全团队发布了2015 年第三季安全报告。报告对移动应用的病毒、漏洞、仿冒三大类安全问题进行了分析,从数据来看,应用安全问题仍然严峻。报告还指出,随着智能设备和万物互联的发展,安全问题将面临巨大的挑战。更多请查看完整版报告

爱加密发布国内首份《P2P 平台移动端安全白皮书》

近日,移动信息安全体系服务商爱加密发布了国内首份《 P2P 平台移动端安全白皮书》,对 P2P 平台移动端安全 2015 年上半年整体发展状况进行总览。报告显示,国内排名前 300 家的 P2P 平台移动客户端 100% 存在安全风险。其中,有 56% 的 P2P 平台 APP 存在高危风险;9% 存在中危风险,35% 存在低危风险。常见风险主要集中在业务安全、组件安全、发布规范、应用管理以及数据安全等五个方面。

安全开发

AWS Java SDK 存在 DDoS 漏洞

AWS 的 SDK 常被开发者用于整合一系列的 AWS 服务,包括像 Amazon S3 中整合 Amazon APIs 用于存储和索引文件等。近日, AWS Java SDK 被确认一处安全漏洞。其中已确认包括 1.8.0~1.10.34 在内的官方版本都受此漏洞的影响。最新 1.10.36 版 SDK 则修复了这个漏洞。

产生这个漏洞的原因存在于 SDK 的 SdkDigestInputStream类的skip 方法。标准中规定其应该返回略过的字节数,但在一些特殊情况下其会返回-1。漏洞可以通过AWS Java SDK 操纵存储在Amazon S3 上的文件来实现对Web 服务的攻击。攻击者可以上传文件到S3 存储中让Web 服务使用SDK 执行,执行时可能会出现死循环从而导致拒绝服务。

Python 安全编码指南

现在一般的 Web 开发框架的安全性已经做的比较好,但是一些不规范的开发方式还是会导致一些常用的安全问题,在两年的安全代码审查工作中,安全研究人员 Enrico Branca 针对这些常见的问题做一些总结。最后他总结道,永远不要以为那些第三方类库会一直按你期望的那样运作,也绝对不要以为在使用它的时候是安全的。当然,Python 是一门伟大的语言,Enrico Branca 会继续使用下去。


给InfoQ 中文站投稿或者参与内容翻译工作,请邮件至 editors@cn.infoq.com 。也欢迎大家通过新浪微博( @InfoQ @丁晓昀),微信(微信号: InfoQChina )关注我们,并与我们的编辑和其他读者朋友交流(欢迎加入 InfoQ 读者交流群)。

2015-12-02 16:131903
用户头像

发布了 64 篇内容, 共 23.5 次阅读, 收获喜欢 11 次。

关注

评论

发布
暂无评论
发现更多内容

没有一个行业能比房地产中介更需要CRM

低代码小观

企业管理 房地产业 管理系统 企业管理系统 行业管理系统

kotlin协程实现原理,【绝对干货】

android 程序员 移动开发

kotlin实现接口,已开源下载

android 程序员 移动开发

kotlin开发网站,字节跳动大神讲座

android 程序员 移动开发

喜大普奔!BFE 控制平面正式开源发布!

百度开发者中心

负载均衡 云原生 Go 语言 开源技术

技术干货 | 闲鱼:一个优秀的 Push 平台,需要经历怎样的前世今生

蚂蚁集团移动开发平台 mPaaS

消息推送 push mPaaS

EMQ 映云科技5G 边缘计算工业解决方案获中国移动创客马拉松大赛三等奖

EMQ映云科技

5G 物联网 边缘计算 移动互联网

端智能研发核心套件:MNN 工作台深度剖析

阿里巴巴终端技术

深度学习 ios android 移动端 端智能

来,肝了这份网络安全学习计划无敌

网络安全学海

网络安全 信息安全 渗透测试 WEB安全 学习安全

Kafka是如何实现高性能的,程序员进阶知识点

android 程序员 移动开发

ironSource 斩获 2021 年度鲸鸣奖三大重量级奖项

Python爬虫实战 | 利用多线程爬取 LOL 高清壁纸

JackTian

Python 程序员 爬虫 后端 实战

各位Oracle DBA们,你们期待的在线实训环境终于来了

墨天轮

MySQL 数据库 oracle redis 实训

5面阿里斩获offer(Java岗),原来阿里面试官总喜欢问这种问题

进击的王小二

Java java面试 大厂面试

面试官:如何防止 Java 源码被反编译?我竟然答不上来。。

Java 编程 程序员 架构 面试

RTE2021 实时互联网大会参会感想

轻口味

1024我在现场 10月月更

[架构实战营] 模块一作业

张祥

架构实战营

kotlin入门教程百度网盘,阿里开发7年大牛

android 程序员 移动开发

kotlin库,大佬带你看源码

android 程序员 移动开发

kotlinui库,字节跳动内部学习资料泄露

android 程序员 移动开发

netty系列之:使用netty实现支持http2的服务器

程序那些事

Java Netty 程序那些事 响应式系统

行云创新马洪喜出席云栖大会,解读云原生时代开发者工具变革探索与实践

行云创新

开发者 云原生 行云 云栖大会 马洪喜

华为全球首发《全光自动驾驶网络白皮书》,助力打造品质联接新体验

产业数字化的思考

Geek_vidmje

打造价值交付体系,企业 CIO 如何应对 DevOps 命题?

BoCloud博云

DevOps 云原生

game+defi系统开发需求(公司)

kotlinalso函数,34岁程序员年薪50w

android 程序员 移动开发

企业系统太多?WorkPlus让工作事半功倍

WorkPlus

开源应用中心 | KodBox快捷高效的私有云在线文档管理系统

开源技术

3面蚂蚁,一路过关斩将 成功拿到offer定级P6,大厂面试雀食有点难!

进击的王小二

java面试 大厂面试 阿里巴巴面经总结 java

华为云企业级Redis:助力VMALL打造先进特征平台

华为云数据库小助手

GaussDB GaussDB ( for Redis ) 华为云数据库

安全半月谈:潜伏了7年的Xen漏洞与中国地下网络犯罪报告_安全_魏星_InfoQ精选文章