建站
咨詢(xún)
售后
建站咨詢(xún)
新聞中心
入秋以后，北京的天氣是美好的，大概正是被北京的秋天所吸引，一波接一波的黑客頻頻入京，展開(kāi)了一場(chǎng)又一場(chǎng)的安全界的技術(shù)盛宴。
成都創(chuàng)新互聯(lián)公司是一家專(zhuān)注于網(wǎng)站設(shè)計(jì)、網(wǎng)站建設(shè)與策劃設(shè)計(jì),金門(mén)網(wǎng)站建設(shè)哪家好?成都創(chuàng)新互聯(lián)公司做網(wǎng)站,專(zhuān)注于網(wǎng)站建設(shè)十多年,網(wǎng)設(shè)計(jì)領(lǐng)域的專(zhuān)業(yè)建站公司;建站業(yè)務(wù)涵蓋:金門(mén)等地區(qū)。金門(mén)做網(wǎng)站價(jià)格咨詢(xún):028-86922220
熊出沒(méi)注意 分分鐘黑掉你的手機(jī)
9月12日，烏云首屆安全峰會(huì)在京舉行，這個(gè)小標(biāo)題取自會(huì)場(chǎng)門(mén)口的易拉寶，這是一句曾經(jīng)的網(wǎng)絡(luò)流行語(yǔ)，大家也經(jīng)?？梢栽诼飞闲旭偟钠?chē)屁股后面看到諸如此類(lèi)的標(biāo)語(yǔ)，大意是提醒后車(chē)注意。而烏云峰會(huì)的入口處，便重重的提醒來(lái)者——慎入!
為什么慎入?在會(huì)議開(kāi)始前烏云主站負(fù)責(zé)人“瘋狗”(記者實(shí)在搞不懂他為什么起了這么一個(gè)網(wǎng)名~~~~)揭露真相。
事實(shí)上烏云方面認(rèn)為：不管怎樣的報(bào)道都不及讓用戶(hù)切實(shí)的感受來(lái)的真實(shí)。因此在本次會(huì)議中，烏云將在現(xiàn)場(chǎng)與所有場(chǎng)內(nèi)聽(tīng)眾進(jìn)行一個(gè)名為“場(chǎng)里撈”的現(xiàn)場(chǎng)測(cè)試，讓用戶(hù)對(duì)手機(jī)等通信設(shè)備的安全有一個(gè)重新的認(rèn)識(shí)，并且希望通過(guò)這樣一個(gè)測(cè)試，可以讓廣大用戶(hù)有一個(gè)更為注重對(duì)于平板電腦和手機(jī)之間的敏感信息傳遞。(難道是在暗指美國(guó)的艷照門(mén)?)
特別注釋?zhuān)罕敬螠y(cè)試所有隱私數(shù)據(jù)均采用馬賽克遮擋，未泄露任何用戶(hù)信息!#p#
一個(gè)特殊的群體 一些特殊的工作方法
現(xiàn)階段，相信很多人對(duì)烏云漏洞平臺(tái)并不陌生，在安全問(wèn)題日益嚴(yán)重的今天，烏云漏洞平臺(tái)也得到了更多的重視。然而，在它成立伊始是什么樣子?“瘋狗”坦言：很多加入烏云之前的朋友會(huì)誤會(huì)我們，他們認(rèn)為烏云漏洞平臺(tái)的是一群沒(méi)有甲方經(jīng)驗(yàn)的年輕人創(chuàng)辦，事實(shí)上，我們負(fù)擔(dān)了很多的期望和責(zé)任。
“瘋狗”表示：我們甲方經(jīng)驗(yàn)還是很多的，我們?cè)诩追焦ぷ髁撕芏嗄辏l(fā)現(xiàn)了種種弊端才出來(lái)做這個(gè)平臺(tái)的。就瘋狗個(gè)人而言，他曾經(jīng)就職于新浪網(wǎng)。據(jù)瘋狗透露，目前烏云的小伙伴們除了在日常發(fā)掘漏洞外，還需要每天掃各種RS，看看大家有沒(méi)有報(bào)告我們的漏洞，報(bào)告了趕緊應(yīng)急。
“瘋狗”在自己的演講時(shí)間中始終表示：烏云是第三方機(jī)構(gòu)，在這里你可以看到白帽子們的安全研究的心得以及企業(yè)分享的一些防守防護(hù)的經(jīng)驗(yàn)，這是雙方經(jīng)驗(yàn)與智慧的碰撞。此外烏云一直強(qiáng)調(diào)需要把細(xì)節(jié)公開(kāi)，事實(shí)上是希望讓大家看到系統(tǒng)安全到底是什么樣子。我們讓安全研究人員通過(guò)這個(gè)平臺(tái)學(xué)到其他人的技術(shù)和技能，讓安全研究人員互相認(rèn)識(shí)，也能獲得更高榮譽(yù)的機(jī)會(huì)，也讓企業(yè)了解到自己一個(gè)真實(shí)的安全的現(xiàn)狀，同時(shí)我們也讓普通用戶(hù)學(xué)會(huì)如何保護(hù)自己，現(xiàn)在的問(wèn)題都會(huì)出現(xiàn)在哪里。
因此烏云目前是幫助企業(yè)完成了正像循環(huán)：白帽子提供安全漏洞，企業(yè)披露安全問(wèn)題，用戶(hù)了解到這些安全問(wèn)題信息，對(duì)企業(yè)提出安全需求，企業(yè)加強(qiáng)自身的安全建設(shè)和重視白帽子價(jià)值，最后更多的白帽子會(huì)加入到這么一個(gè)流程，讓這個(gè)循環(huán)越走越大，創(chuàng)造更多的價(jià)值。#p#
智能家居——想要黑你沒(méi)商量
智能家居是如今的大熱門(mén)，然而在人們只關(guān)注到家居的智能和人性化時(shí)，黑客們卻將目光放在了智能家居中一切可利用的漏洞上。在本次烏云峰會(huì)，烏云的白帽子Livers則從如何從固件攻擊、嵌入式腳本攻擊、協(xié)議Hack和工控等多角度解析，加上視頻演示，全面展示了黑客是如何黑掉家庭中的各種智能設(shè)備，這其中包括智能插座、智能路由器以及如何遠(yuǎn)程控制空調(diào)、冰箱、電視機(jī)等設(shè)備，最可怕的是可以通過(guò)劫持監(jiān)控，進(jìn)而控制整棟大樓的智能設(shè)備。你要相信，《黑客帝國(guó)》是可以情景再現(xiàn)的!
除此之外，有關(guān)云端的一些問(wèn)題，Livers表示也已經(jīng)在烏云上提交了有關(guān)“云端和客戶(hù)端兩個(gè)協(xié)議相結(jié)合，綜合利用可能會(huì)造成更大規(guī)模的事件”。Livers強(qiáng)調(diào)：云端存在一些Web上的漏洞，可以直接控制到權(quán)限，而且它的權(quán)限比較大，是直接Root權(quán)限，有很多東西就可以遠(yuǎn)程控制它的設(shè)備。在云端幾乎就把設(shè)備上所有的信息全部存儲(chǔ)，而且云端上還有DIBAT模式，它可以直接升級(jí)固件，甚至黑客可以直接編一個(gè)固件，然后升級(jí)到你的設(shè)備當(dāng)中，而一直遠(yuǎn)程監(jiān)控你。
Livers在演講結(jié)束的時(shí)候認(rèn)為本次會(huì)議中自己所選的題目太大，忽略了很多細(xì)節(jié)，然而這些內(nèi)容卻讓記者真實(shí)的感受到了傳統(tǒng)的類(lèi)似315、433的設(shè)備，其安全性是非常差的。為此我們也呼吁相關(guān)的一些廠(chǎng)商在追求新技術(shù)的同時(shí)，也要兼顧下安全。#p#
XSS漏洞讓各大網(wǎng)站紛紛中槍
網(wǎng)絡(luò)安全安全性的考量已經(jīng)成為目前人們非常關(guān)心的話(huà)題，在本屆烏云峰會(huì)上，非著名生物研究工作者知名白帽子二哥Gainover帶來(lái)的議題無(wú)疑讓人眼前一亮。
事實(shí)上，二哥說(shuō)的是一個(gè)非常古老但是在互聯(lián)網(wǎng)中普遍存在的漏洞，因?yàn)楣爬?，因?yàn)槠毡榇嬖?，所以二哥給自己的議題起了一個(gè)非常嚴(yán)肅的標(biāo)題《一個(gè)被忽略的漏洞，到XSS僵尸網(wǎng)絡(luò)》。
Gainover在自己的議題中并沒(méi)有過(guò)多的介紹XSS漏洞，他只簡(jiǎn)單的表示：當(dāng)你瀏覽一個(gè)正常頁(yè)面的時(shí)候，如果這個(gè)正常頁(yè)面能夠被攻擊者在里面插入惡意代碼，來(lái)執(zhí)行他們目的的話(huà)，我們可以說(shuō)這個(gè)頁(yè)面存在XSS漏洞。而這樣的漏洞存在，即可以是網(wǎng)站本身的代碼問(wèn)題，也可以是用來(lái)渲染這個(gè)瀏覽器本身存在的問(wèn)題，都可以導(dǎo)致XSS漏洞。
Gainover用一些經(jīng)典案例剖析了XSS的危害，同時(shí)也有一票網(wǎng)站中槍?zhuān)@其中不乏優(yōu)酷、土豆、搜狐、新浪、網(wǎng)易、騰訊等知名網(wǎng)站。
Gainover表示：目前廠(chǎng)商和攻擊者對(duì)XSS分別持有不同的態(tài)度。由于XSS漏洞相比傳統(tǒng)的，它的危害較小，因此對(duì)于一些廠(chǎng)商來(lái)說(shuō)，特別是國(guó)內(nèi)的一些廠(chǎng)商，這種類(lèi)型的漏洞就像牛皮癬一樣，清都清不完，它一直存在。廠(chǎng)商有的時(shí)候要么修，要么有的覺(jué)得覺(jué)得不重要就不修了。但是對(duì)攻擊者來(lái)說(shuō)， XSS可以干很多事情。其中包括獲取個(gè)人信息、偽造釣魚(yú)頁(yè)面等，事實(shí)上這樣的黑色產(chǎn)業(yè)已經(jīng)存在，在烏云就有“利用搜狗拼音來(lái)釣魚(yú)”的案例。
Gainover在本次議題中還披露：全部博客可留后門(mén);淘寶支付寶的，叫一個(gè)可大規(guī)模悄無(wú)聲息竊取淘寶支付寶帳號(hào)的。此外據(jù)悉，目前淘寶相關(guān)的頁(yè)面上，同等類(lèi)型漏洞都已經(jīng)做了相應(yīng)保護(hù)措施了，所以小伙伴們可以稍稍放心了。
事實(shí)上，大家可以通過(guò)Gainover的介紹發(fā)現(xiàn)，這種類(lèi)型的漏洞影響到了幾乎全國(guó)所有視頻網(wǎng)站和一些電商類(lèi)網(wǎng)站。之所以XSS僵尸漏洞之所以隱蔽泛濫，有如下幾個(gè)特點(diǎn)：隱蔽性、持久性、流量大。
由此Gainover提醒廣大企業(yè)和用戶(hù)： 以上幾個(gè)特點(diǎn)，黑客通常先做一個(gè)感染階段，先找一些比較好入侵的，或者有漏洞的中小型的網(wǎng)站去入侵。之后就在里面插入這樣一個(gè)XSS代碼，其目的是植入后續(xù)的XSS，接著這些FLash XSS在感染到足夠用戶(hù)數(shù)量之后，我們可以讓FLash XSS執(zhí)行黑客的操作，最簡(jiǎn)單的就是信息竊取。
談起危害，這是影響幾乎全國(guó)所有網(wǎng)站的。在此也希望各大網(wǎng)站可以及時(shí)對(duì)其代碼進(jìn)行查找，及時(shí)發(fā)現(xiàn)問(wèn)題，及時(shí)進(jìn)行修補(bǔ)，從而降低風(fēng)險(xiǎn)!
特別提醒優(yōu)酷視頻安全問(wèn)題：該漏洞細(xì)節(jié)可在烏云平臺(tái)上查找，Gainover曾詳細(xì)闡述，希望優(yōu)酷方面可以盡快自查，及時(shí)修復(fù)。#p#
花絮集錦：
誰(shuí)說(shuō)美貌與智慧不能兼得?女黑客“肉肉”驚艷全場(chǎng)
13歲的小黑客一直現(xiàn)場(chǎng)抓包
肉肉心目中最帥的黑客“豬豬俠”
“場(chǎng)里撈”，貌似撈到了不該撈到的東西
網(wǎng)站標(biāo)題：揭秘與剖析——烏云安全峰會(huì)上的心驚肉跳
網(wǎng)站地址：http://fisionsoft.com.cn/article/dphieho.html
