摘要：作者简介
肖遥，网名“冰河洗剑”，国内著名网络安全技术独立研究人士。
曾从事国防军工设计，参与过J10A、J11B等战斗机配套武器研制，独立开发出HF25火箭发射器，参与DF8GA及导弹发射架等武器设计。
潜心钻研网络安全技术10余年，长期担任国内多家著名网站的安全顾问，专业从事网络渗透测试与网络风险评估。
长年在《黑客X档案》、《黑客防线》等国内安全专业媒体上与同行分享最新研究成果。出版有《网络渗透攻击与安防修炼》、《网站入侵与脚本安全攻防修炼》、《黑客大曝光》、《黑客攻防大揭秘》等多部安全类畅销技术专著。其中，《网站入侵与脚本安全攻防修炼》一书已输出至中国台湾等地。
内容简介
本书以解析. 阅读全文
微软11月将发布3个补丁 修复11处漏洞
2011-09-24 00:04 by 狼人:-), 141 阅读, 0 推荐, 收藏,
摘要：微软今天发布了11月份安全公告预告，计划在下周二也就是11月9日发布本月例行补丁。由于上月微软创纪录发布了16个安全补丁，修复了多达49个安全漏洞，大补之后必然要喘息一下，因此本月将要发布的补丁就寥寥无几，只有发布3个。在本月即将发布的3个安全补丁中，只有1个为最高的危急级别，另外2个为重要级别，共修复11个漏洞。
这3个补丁中有两个都涉及Office，其中一个为危急级别。这种情况并不多见，通常Office相关的补丁都是重要级别，“危急”意味着此次要修复的漏洞可能会导致用户机器受到控制。另外一个补丁则将修复Forefront Unified Access Gateway中的一个权限提升漏洞。. 阅读全文
IE曝出安全漏洞 波及Windows系统各个版本
2011-09-24 00:04 by 狼人:-), 261 阅读, 0 推荐, 收藏,
摘要：微软今天发布安全公告（KB2458511），声称正在调查一个新的已经被曝光的IE漏洞，该漏洞会引发远程代码执行，并且波及当前所有操作系统上的所有IE版本，不过IE9 Beta并不受此漏洞影响。
微软指出，这个安全漏洞是由于IE浏览器中的一个非法的标记参考引起的。在某种情况下，在一个对象被删除之后仍然可以访问这个非法的标记参考。在一个特别策划的攻击中，黑客试图访问一个释放的对象，造成IE浏览器允许远程执行代码。
根据微软的检测，当前已经有黑客利用此漏洞攻击用户。微软正在开发安全补丁，不过在补丁未发布之前，建议IE用户采取以下措施：
采用用户定义的CSS（层叠样式表单）覆盖网站CSS风格；
应用. 阅读全文
Gartner：新安全环境对虚拟化和云计算提出更高要求
2011-09-24 00:04 by 狼人:-), 182 阅读, 0 推荐, 收藏,
摘要：摘要：Gartner分析师Neil MacDonald上星期在一年一度的Gartner安全与风险管理峰会身上称，虚拟化将显著改变你保护和管理的计算环境的方式。工作量更加移动并且更难保护。它打破了与物理位置捆绑在一起的安全政策。我们需要不依赖于网络结构的安全政策。 匆忙实施企业内部技术资源的虚拟化和云计算能够有服务器整合等许多优势，但是，这会超过传统的安全和身份管理做法发展的速度。这会产生巨大的漏洞，混乱的感觉以及安全产品和服务应该用在多厂商虚拟机管理程序环境的什么地方的疑问。
Gartner分析师Neil MacDonald上星期在一年一度的Gartner安全与风险管理峰会身上称，虚拟化将.. 阅读全文
黑客相互结盟锁定世界各国政府网站
2011-09-24 00:04 by 狼人:-), 135 阅读, 0 推荐, 收藏,
摘要：6月22日消息，据国外媒体报道，黑客集团Lulz Security与Anonymous已经相互结盟，攻击目标锁定世界各国的政府网站，而此项攻击行动代号称为“反网安行动” (Operation Anti-Security)。
Lulz Security是在部落格公布此项结盟消息，称将发动“立即且不间断的战争”，并在Twitter页面上表示：“＃AntiSec攻击行动周一开始启动”。
Lulz Security表示：“优先窃取目标为政府的机密资料，如：电子邮件和文件，而首要攻击目标是银行与其他高级机构”
周一下午，英国重大组织犯罪局（Serious Organized Crime Agency，. 阅读全文
[CTO俱乐部第45期]走进创新工场暨云安全论坛
2011-09-24 00:04 by 狼人:-), 199 阅读, 0 推荐, 收藏,
摘要：6月16日，由CSDN旗下高级技术管理者大本营CTO俱乐部举办的“走进创新工场 云安全论坛”活动在北京中国技术交易大厦成功举办。在本次活动上，创新工场CEO李开复、国家计算机病毒应急中心常务副主任张健首先带来了精彩的致辞。同时包括趋势科技中国研发中心总裁，全球研发副总钱海川、奇虎360公司副总裁陆剑峰、创新工场技术总监马杰和微软MMPC China Team中国负责人张晓兵等参加了本次活动，并与参会者共同分享了包括云安全现状、解决方案以及云安全未来发展等诸多方面的观点。 活动现场 创新工场CEO李开复表示Web会是未来主流
创新工场CEO李开复首先为本次论坛做了开场致辞，他表示，现在... 阅读全文
美政府：西门子工业控制系统漏洞仍然存在
2011-09-24 00:04 by 狼人:-), 138 阅读, 0 推荐, 收藏,
摘要：北京时间6月13日，据国外媒体报道，日前，西门子公司宣布已经修复其工业控制系统中的若干漏洞，这些漏洞在一个月前被独立研究人员发现。但美国政府警告称，系统中仍然存在着问题。
西门子公司一直因其对漏洞迟钝的反应而饱受批评，NSS实验室的研究者曾在西门子S7-1200微可编程逻辑控制器中发现若干漏洞。该公司被指控试图掩盖问题，尽管被给予价值数千英镑的免费研究。然而，在西门子网站的声明中，公司宣称其已经发布了一款软件更新来修复两个漏洞，其中一个会引起回放攻击，另一个会引起拒绝式服务攻击。
由于S7-300和S7-400控制器没有受到拒绝式服务攻击漏洞的影响，因此这两种型号的控制器不需要安装软件更新。. 阅读全文
安全厂商致力于解决虚拟化安全的性能问题
2011-09-24 00:04 by 狼人:-), 157 阅读, 0 推荐, 收藏,
摘要：随着虚拟化和云计算继续吸引着注重成本的企业用户，安全厂商们正致力于重新设计它们的技术，用以集中解决在虚拟环境中实施安全时出现的问题。
随着虚拟化和云计算继续吸引着注重成本的企业用户，安全厂商们正致力于重新设计它们的技术，用以集中解决在虚拟环境中实施安全时出现的问题。
“毫无疑问，为物理环境所设计的安全性被引入到虚拟环境会引起性能问题，” Ogren集团的创立者和首席分析师Eric Ogren说，“一个虚拟设备仅仅拥有安全是不够的。虽然安全是毋庸置疑的，但是CPU、存储器和网络资源与虚拟机的连接可以迅速使系统的性能下降。”
市场研究公司Current Analysis的高级分析员Paula M. 阅读全文
卡巴斯基：云服务成网络犯罪工具
2011-09-24 00:04 by 狼人:-), 341 阅读, 0 推荐, 收藏,
摘要：导读：据卡巴斯基的安全专家称，至少发现了一起利用亚马逊云服务器来传播恶意银行软件的案例。 安全研究人员以前曾警告说，云服务为网络犯罪提供了大量的计算资源。这些资源具有强大的网络攻击性，并具有很强的破坏性。卡巴斯基的研究人员发现了一个关于如何让利用亚马逊云服务传播恶意软件的例子。
云服务，例如亚马逊网络服务的链接指向了窃取数据的恶意软件。Dmitry Bestuzhev卡巴斯基实验室专家。他在博客上表示“恶意软件看起来相当复杂，具有突破多种安全方案的能力，从而窃取用户的硬件和软件信息。”
卡巴斯基在周末通知了亚马逊，告知其网站存在恶意链接。但截至到6月6日恶意链接仍然没有消除。Bestuzh.. 阅读全文
悲剧：金山毒霸官网被黑客攻破
2011-09-24 00:04 by 狼人:-), 346 阅读, 0 推荐, 收藏,
摘要：6月2日下午两点左右，本网接读者反应，发现金山毒霸官网博客被黑客劫持，网页内容已面目全非。
在输入金山毒霸官网地址http://blog.duba.net/，已没有金山毒霸关于其产品的介绍及下载，变成了封署名为熊猫烧香致铁军的一封信，信中除了一些莫名其妙，令人费解的怪话外，附加了伟哥产品的图片，实为黑客的恶作剧。
对于金山毒霸官网被黑一事，有分析称这是黑客获取了博客密码所致。
目前，官网已恢复正常。 阅读全文
德国安全专家成功破解GPRS加密算法
2011-09-24 00:03 by 狼人:-), 277 阅读, 0 推荐, 收藏,
摘要：8月11日消息，据《德国商报》周三报道，柏林一家安全公司透露说，它们已经破解一些手机的加密算法，这些手机可以使用互联网。
安全研究实验室（Security Research Labs）主管卡斯藤·诺尔（Karsten Nohl）说，破解后可以窃听GPRS。用户一般会利用GPRS来阅读邮件、浏览网页。
诺尔说：“通过我们的技术，可以在半径5千米内捕获GPRS数据通信。”
诺尔说，采用新的UMTS标准会更安全一些，但破解还是会影响到工业设备、征费系统、以及使用GRPS的设备，如苹果iPhone和iPad，在一些边远的地区，设备会转向老式的GPRS。
全球的手机网络几乎全部支持GPRS，因 阅读全文
美国FBI逮捕16人打击黑客组织Anonymous
2011-09-24 00:03 by 狼人:-), 199 阅读, 0 推荐, 收藏,
摘要：北京时间7月20日早间消息，美国司法部表示，美国联邦调查局(以下简称“FBI”)已经因信息犯罪逮捕了16人。其中14人涉嫌参与黑客组织Anonymous对Paypal的攻击。
针对这14名黑客的起诉书显示，这些黑客对Paypal发起分布式拒绝服务攻击(DDoS)，以报复Paypal封杀向维基解密的捐款渠道。Anonymous此前将对Paypal的攻击称作“阿桑奇复仇行动”。
根据美国司法部和FBI的共同声明，此次FBI在美国全国范围内进行了这一逮捕行动，涉及阿拉巴马、亚利桑那、加利福尼亚、科罗拉多、华盛顿特区、佛罗里达、马萨诸塞、内华达、新墨西哥和俄亥俄等多个地区。起诉书称，在去年12月6.. 阅读全文
云计算如“工业革命”般袭来 颠覆性改变需过安全关
2011-09-24 00:03 by 狼人:-), 140 阅读, 0 推荐, 收藏,
摘要：“在不远的将来，云计算概念将变成现实”。在日前的APEC数字经济电子商务产业发展论坛上，APEC电子商务工商联盟主席刘俊生表示。数字经济的发展，对于云计算的需求日益强烈，云计算因此具有广阔的市场前景，将对社会经济、商业模式变革以及人们生活产生深远影响。当然，云计算的发展还面临安全等方面的考验。 信息技术产业风起“云”涌 云计算正引发第三次信息技术革命浪潮，是世界各国普遍关注的热点。从发达经济体来看，美国政府已将其上升到国家战略层面，日本政府发布了云计算与国家竞争力关系的报告。在中国，政府和企业都很重视其发展。当前，云计算的发展可用“风起云涌”来形容。 云计算的发展，得到国家政策的... 阅读全文
攻击威胁促使云安全标准迅速建立
2011-09-24 00:03 by 狼人:-), 133 阅读, 0 推荐, 收藏,
摘要：据一名安全专家的预测，随着越来越多的公司开始选择将数据和应用从内部IT系统迁移到第三方提供的云服务上；因此，针对供应商基础设施的攻击也将变得“越来越严重”。专家认为这些威胁将促使相关人员就建立云标准的必要性展开讨论。 云安全联盟(CSA)常务董事吉姆·雷维斯宣称，由于更多的企业开始选择利用外包方式管理数据和应用，这种方式可能会受到黑客的注意，开始对云供应商的后台基础设施和平台即服务(PaaS)系统进行攻击。 这位高管称：“我认为人们将会看到非常严重的事故，并且事情也将会变得非常有趣，原因就是，这些事故可能导致出现需要谁来承担违约责任的讨论”。雷维斯正在新加坡出席一场国际标准化组织关于 阅读全文
云计算里的安全：警惕云服务被恶意利用
2011-09-24 00:03 by 狼人:-), 236 阅读, 0 推荐, 收藏,
摘要：云计算拥有庞大的计算能力与丰富的计算资源，恶意攻击者正在越来越多的利用合法的云计算实施恶意攻击。
今年四月份的索尼被黑客攻击事件，就是恶意攻击者利用亚马逊弹性云计算服务对索尼PlayStation Network和索尼Online Entertainment服务发动攻击所致。网络罪犯还曾利用Amazon的云网络传播恶意软件，盗取了9家银行的用户数据。利用EC2服务，恶意攻击者能够很轻松的破解复杂的密码。
对于恶意攻击者，云计算扩展了其攻击能力与攻击范围。
首先，云计算的强大计算能力，让密码破解变得简单、快速。同时，云计算里的海量资源，给了恶意软件更多传播的机会。
其次，在云计算内部，云端聚集. 阅读全文
浙公网安备 33010602011771号