科技 | 安全公司不安全!McAfee网站充满漏洞

　　研究人员周一在“Full Disclosure”（全面披露）网站发表的文章中称，安全公司McAfee的网站充满了安全错误。这些错误可导致跨站脚本攻击或者其他攻击。这些安全 漏洞是YGN道德黑客组织发现的，并且在安全/黑客邮件列表公开披露这些安全漏洞之前，于2月10日向McAfee做了报告。

　　YGN在 Full Disclosure网站发表的文章中称，除了跨站脚本攻击之外，YGN还发现了许多泄露信息的漏洞，其中包括泄露内部主机名称的漏洞和18个泄露源代码 的漏洞。McAfee网站能够用于XC脚本攻击的这个部分托管了McAfee用于下载软件的文件。

　　这个事情不仅令人难堪，而且在某种程 序上还影响了McAfee的信誉。McAfee向企业面向消费者的网站销售McAfee安全服务。McAfee 网站称，McAfee安全软件每天扫描网站查找数千个黑客漏洞。如果这个网站获得McAfee高标准安全认证，那么，McAfee杀毒产品用户在自己的浏 览器中就会看到一个“McAfee安全”标签。McAfee安全软件声称，可以测试网站的非故意托管的个人信息访问、危险网站链接、钓鱼攻击和其他嵌入的 恶意软件危险。

　　巴西塞阿拉州大学信息安全研究团队的安全研究人员Pablo Ximenes在博客中称，“换句话说，出现这个安全标签应该意味着这个网站不会出现像McAfee网站现在拥有的相同的安全漏洞。不要误会我，我没有兴 趣破坏McAfee的形象。我甚至拥有一家销售McAfee产品的公司。但是，这种严重不关心客户和转销商的情况是不能忽视的。”

　　据 YGN称，在2月10日向McAfee报告其网站存在许多安全漏洞之后，McAfee称正在尽快解决这些问题。截止到3月27日，YGN发现这些安全漏洞 完全没有修复，于是公开披露了这些安全漏洞。YGN向McAfee提出了两个半开玩笑的建议以解决这些问题：McAfee应该利用自己在2004 年收购的Web安全服务公司Foundstone的网站安全专家;McAfee应该利用出站的流量监控以检测潜在的信息泄露。

　　这并非第一次发现McAfee网站缺少安全措施。在2008年，赛门铁克和VeriSign都发现McAfee网站存在跨站脚本攻击安全漏洞。

　　此外，在2009年，Team Elite的成员白帽黑客Methodman发布了针对kc.mcafee.com和mcafeerebates.com网站的概念证明攻击。在2010年4月，一次XC脚本攻击篡改了McAfee网站社区论坛的网页。

　　McAfee对《Network World》称，它正在对Full Disclosure网站发布的报告展开调查。

关键词： 漏洞 

科技 | 丽莎月亮在全球互联网埋下百万颗“定时炸弹”

　　国外安全厂商Websense最近发布警报称，一种名为“丽莎月亮（英文名：LizaMoon）”的SQL注入式黑客攻击正在席卷全球。短短数日内，受攻击的网页数量已迅猛增长到1030000个（截至4月2日10点），外媒报道称其“势如海啸爆发”，就连苹果等知名公司的网站也名列其中。同时，遭到“丽莎月亮”影响的中文网页数量也已达到46800个，360安全卫士的网盾模块为此进行了紧急升级，能够为用户拦截此类恶意网页攻击。

　　360安全专家石晓虹博士介绍说，“丽莎月亮”黑客攻击一共分为三个步骤：第一步，黑客通过“丽莎月亮”SQL注入的方式篡改存在漏洞的网站页面，在其中嵌入恶意代码；第二步，当网友打开存在恶意代码的网页时，页面会自动跳转到一个伪装杀毒扫描的网页；第三步，该页面假装发现了数百个木马病毒，欺骗网友下载一个假冒的“杀毒软件”来清理病毒，其目的是恐吓受害者付费购买注册码。

　　不过在现阶段，“丽莎月亮”黑客攻击并没有完全“激活”恶意代码，而是相当于在1030000个网页中埋下“定时炸弹”。至于这个炸弹何时引爆、是否还会加入其它恶意威胁，完全是由黑客控制，其潜在风险相当严重。

　　“国内有大约46800个中文网页被“丽莎月亮”黑客攻击嵌入了恶意代码。如果以每个网页有100个访问者计算，受影响的网民数量将近500万，而且这个数字还在急剧增加。”石晓虹博士表示：“360安全卫士的网盾模块已经紧急升级了拦截规则，可以自动屏蔽网页中的恶意代码，保护用户免受攻击。”

　　据悉，由于遭“丽莎月亮”攻击的网页数量太大，一度导致黑客指定跳转的恶意网站服务器当机。为此，360安全专家建议，广大网站管理员应尽快排查网站是否存在恶意代码，如发现SQL注入漏洞应立即修复，防止网站被黑。

关键词： 漏洞  黑客 

数码 | Android内核或存88个高危漏洞

　　北京时间昨天上午，美国软件分析公司Coverity宣布，发现Android内核中存在大量漏洞，其中包括88个高风险漏洞，有可能会导致用 户敏感信息泄露。而就在Coverity宣布这一消息的几小时之前，美国最新统计数据显示，Android软件平台刚刚超越苹果系统，在全球智能手机市场 的排名中上升到了第二位。

　　此次Coverity对2.6.32版本的Android操作系统内核所做的全面测评中，共发现该系统中存在 359个软件漏洞，其中的高风险漏洞有可能导致安全问题和系统崩溃，甚至泄露用户敏感信息。Coverity称，已向谷歌发出通知，如证实，将会通过无线 升级修复。

　　Android软件平台是由谷歌公司开发的世界上第一个完全开放的手机系统，对所有用户免费，9月份全球市场份额已经上升到 44%。在我国销售的三星、摩托罗拉和黑莓的智能手机也多采用这一系统，为此记者先后致电摩托罗拉中国公司和三星中国公司进行咨询，但相关人士均表示尚不 清楚具体情况。

关键词： 漏洞  Android 

科技 | Adobe Flash Player零时差漏洞遭黑客攻击

　　9月14日消息，据国外媒体报道，Adobe公司最新警告称，黑客正在利用Adobe Flash Player零时差漏洞（zero-day flaw）进行攻击。

　　Adobe公司称，这一安全漏洞将影响为Windows、 Macintosh、 Linux、Solaris以及 Android等系统开发的Flash Player 10.1.82.76以及早前的版本。同时，这一安全漏洞将影响到为Windows、 Macintosh以及 Linux等系统开发的 Adobe Reader 9.3.4以及早前的版本；还将影响为Windows和 Mac系统开发的Adobe Acrobat 9.3.4以及之前的版本。

　　据悉，这一安全漏洞可引起系统崩溃，黑客还可能会控制受到感染的计算机。有报道称，黑客正在利用这一安全 漏洞大量攻击Adobe Flash Player。但迄今为止，Adobe公司也没有提供有关该漏洞的技术细节。

　　Adobe公司称，其打算在2010年9月27日后的一周内发布 Flash Player 补丁，而获得 Adobe Reader补丁可能要等 到10月4日后的一周。

关键词： 漏洞  黑客 

科技 | 思科IOS现严重漏洞 致1%互联网瘫痪

　　思科已经修复了IOS(Internetwork Operating System) 路由器软件中的一个bug，上周，这个bug引发了短暂的互联网瘫痪事故，据说这次事故影响到了1%的互联网。

　　这个bug是上周五发现的，当时，RIPE NCC (Reseaux IP Europeens Network Coordination Centre) 和杜克大学的一些研究者正在通过RIPE NCC的系统分发实验性的BGP (Border Gateway Protocol)数据。在几分钟以内，许多互联网上的路由器都无法访问了，实验也很快被终止了。

　　路由器通过边界网关协议(Border Gateway Protocol)找出最佳的路径，把数据流发送到互联网中的其他路由器上。因为损坏的BGP数据传播的速度相当快，所以安全专家们曾警告说：有朝一日，如果它被误用，很可能会引发严重的互联网中断事故。

　　原来，运行思科IOS XR操作系统的那些路由器获取了这些实验性的数据——它们比传统的BGP路由信息要大一些，所以这些路由器把它们损坏了，然后这些已经损坏的信息被发送到了其他的路由器上。许多收到了这些信息路由器只是简单地中断了和思科路由器(这些思科的路由器发送了已经损坏的信息)的连接，这导致了部分互联网出现了无法访问的情况。

　　在这次事故发生以后，只过了短短的几个小时，思科就发布了一份安全公告。思科确认，周五的事故暴露出了一个bug。在这份安全公告中，思科公司说： “有报道称：‘在2010年8月27日，一个未公开，但确实存在的BGP属性导致了一些BGP session被重置。’这个报道并没有恶意，但是它却在无意间触发了这个漏洞。”

　　思科的IOS XR操作系统主要是为了电信级的CRS-1路由器而构建的，主要提供给一些大型的电信公司使用。

　　在周五的一封电子邮件中，杜克大学的助理教授Xiaowei Yang拒绝解释关于这个实验的一些要点，但是她说，她的团队发送的所有数据都是“100%符合标准”的。

　　Earl Zmijewski是Renesys的常务经理，关于这个问题他在周五写了一篇博客，他说：“这个实验造成了60多个国家访问部分网络出现了困难。 3500多个‘前缀’，或者说是3500多个Internet Protocol地址空间块受到了影响。”根据网站Cidr-report.org的统计数字，在互联网上总共有超过333000个前缀。

　　周五的中断持续了不到半个小时。

　　在周一的一次采访中，Zmijewski说：“虽然是思科带有Bug的软件引发了这个问题，但是进行这个实验的杜克团队应该更小心一些才是。”他接 着说：“在真实的网络上进行学习和研究的日子已经一去不复返了。我认为，为了实验将来的一些事情而付出这样惨痛的代价，简直太愚蠢了.......我很奇 怪，这些事情居然被摆在了首位。”

　　RIPE NCC的代表并没有对这些言论发表任何评论，但是在星期天发布的一篇文章中，这个组织表示：“这个实验目的是为了进一步加深对某些互联网路由行为的理解。”

　　这个小组表示：以后，RIPE NCC进行此类的实验的方法会更加严格，而且会事先对互联网运营商发出警告。

　　除了安全公告中提到的内容，思科拒绝对这次的事件做出任何解释。

关键词： 漏洞  思科 

科技 | iTunes新漏洞可导致PayPal资金被盗

　　“国外媒体报道，iTunes 出现一个漏洞，可以用于盗取PayPal账户内的资金。至少已经有一批网络犯罪分子发现了一种方法，并借此通过iTunes从用户的PayPal账户中盗 取了数千美元。一名受害用户表示：“我的账户被扣了4700美元。我给PayPal安全部门打电话，并被告知有大量iTunes账号受到了这一问题的影响。”

　　这名受害者收到了PayPal发来的约50份回单，每份回单的金额都是99.99美元。回单显示，这些钱被用于购买CastleCraft的游戏道 具，卖家是Freeverse。在银行向PayPal转款前，他及时终止了这些交易。有一位名叫乔伊·布鲁斯(Joey Bruce)的用户通过Twitter表示：“有人黑了我的iTunes/PayPal账户，并且偷走了账户里所有的钱。在我倒下时，命运还在无情地打击 着我。”在Twitter和Facebook上进行搜索便会发现大量相关信息。”

关键词： 漏洞 

科技 | 中国黑客能教给苹果什么

　　美国《福布斯》杂志网络版今天撰文称，中国安全研究员吴石发现的浏览器漏洞中，有半数都来自苹果Safari浏览器。他认为，苹果借助较小的市场份额而免受安全问题的困扰的日子将一去不复返。

　　无名英雄吴石

　　如果说“严厉的爱”是解决软件故障的最佳方法，那么吴石(Wu Shi，音译)或许就是信息安全领域众多的无名英雄之一。

　　自2007年以来，这位家住上海的35岁研究员已经发现并报告了IE、Safari和Chrome等浏览器中存在的100多个严重漏洞。当用户浏览被感染的网页时，黑客可以借助这些漏洞劫持用户的电脑。仅去年一年，他就将其中50多个漏洞出售给了Zero Day Initiative(以下简称“ZDI”)和iDefense等漏洞悬赏项目。这两个项目分别归属于惠普和VeriSign，他们专门花钱从研究人员那里购买漏洞信息，并在安全产品中使用这些数据，随后再将其交给受影响的软件厂商。

　　这表明吴石一年汇报给ZDI和iDefense的漏洞比全世界任何一个研究人员都多，其中超过半数都来自苹果Safari浏览器。

　　例如，在上月的一次安全更新中，苹果针对iPhone操作系统发布了64个新补丁，其中只有6个是苹果内部研究人员自己发现的，12个由谷歌研究人员发现，还有15个是由吴石发现的。

　　安全专家查理•米勒(Charlie Miller)说：“或许苹果应当聘请吴石来帮助他们，因为他发现的漏洞是苹果整个安全团队的两倍还多。”

　　独特fuzzing算法

　　吴石通过即时通讯和电子邮件解释了他是如何使用一种名为“fuzzing”的方法来收集这些漏洞的。使用这种方法时，需要向软件中输入大批经过修改的文件，以便查看哪些文件会导致软件崩溃。之后再对这些崩溃事件进行分析，以便了解哪些情况会允许黑客注入代码并控制浏览器。

　　吴石使用他自己的独特算法来生成这些测试文件，然后将他们抛入Apache Tomcat服务器。通过这种方法，他就可以获得更快的频率，从而比普通研究人员测试更多的样本。与以往只更改文件中的单一变量不同，吴石表示，他的方法会更改整个样本，而且能够在进行尽可能多的更改的同时，仍然让浏览器将文件识别为HTML文档。“我的fuzzing框架关注的是软件架构，而不是细节。”吴石说。

　　ZDI研究经理亚伦•波托尼(Aaron Portnoy)对吴石发现的漏洞进行了研究，他表示，吴石不会对他所发现的漏洞进行深入分析。但他认为，这名中国研究员使用的方法可以捕捉到其他方法无法发现的漏洞。“这些文件中的相关项目有着复杂的层次结构。他可以改变关系树结构的工作方式，而不仅仅是其中的一个项目。”波托尼说，“很多人只是fuzz数据，而他则是fuzz关系。”

　　曲折从业经历

　　吴石说，他是在职业发展经历了一系列挫折后才在漏洞寻找领域实现突破的。当中国股市2006年开始一轮波澜壮阔的大牛市时，当时在一家小型IT公司任职的吴石感觉他的职业像是一艘逐渐沉没的船。他说：“我感觉正在逐渐陷入绝望。以我的工资，甚至无法糊口。”

　　他后来离开了那家IT公司，并且创建了一家基于P2P文件分享技术的企业。但是当一家大客户拒绝履行承诺为一个主要项目支付报酬时，他的合作伙伴找了另外一份工作，公司也破产了。

关键词： 漏洞  黑客  苹果 

数码 | 常规漏洞导致iPad用户信息泄露

　　近日，苹果iPad在美唯一运营商合作伙伴——AT&T公司网站的一个安全漏洞被黑客利用，造成大量3G版iPad的用户信息(ICC-ID和电子邮件地址)泄露，其中包括不少财经、政治和媒体界要人的信息。这批被泄露的用户信息总数高达11.4万份，可能包含了3G版iPad发售初期的全部用户。

　　一个名为Goatse Security的组织曝光了该漏洞，该组织表示，他们是通过AT&T网站的一段脚本获得这些数据的。通过该脚本，任何用户只要在向服务器发送的请求中提供SIM卡卡号，就能够返回关联的电子邮件地址。而根据已知3G版iPad的SIM卡卡号，可以相当轻易地猜测出其他卡号，从而获得大量用户信息。

　　由于造成了很严重的后果，所以公众普遍认为这是一个严重的漏洞。但在迈克菲首席技术官George Kurtz看来，这个漏洞是一个很常见的Web应用程序漏洞。Web应用程序最常面临的5个威胁是：授权失败、跨站点脚本、跨站点请求伪造 (XSRF)、密码重置功能、SQL注入。他给出了几条建议：

关键词： 漏洞  苹果 

八卦 | 俄罗斯小组宣布：星际2局域网破解95%

关键词： 漏洞  破解 

科技 | HTML 安全列表

　　下面这个网站罗列了，几乎所有的关于HTML 5 在各种主流浏览器上的安全问题，这些安全问题很有可能将会是黑客攻击你的网上的敲门砖，他们几乎都和Javascript都有关系，你就要好好注意了。

　　http://heideri.ch/jso/

　　下面罗列几个：

　　1）<table background=”javascript:alert(1)”>

　　IE6，7，8，9，和Opera 8.x, 9.x, 10.x 都支持这样的语法。

　　2）<meta charset=”mac-farsi”>¼script¾alert(1)¼/script¾

　　这个问题会存在于所有的Firefox版本中，可以让用户进行XSS（跨站脚本）攻击

关键词： 漏洞