标签归档：安全

美国DHS发布《“灰熊草原”网络攻击活动深入分析报告》【转】

发表于2017年2月22日由xmsg

美国DHS发布《“灰熊草原”网络攻击活动深入分析报告》

2017-02-20 clouds FreeBuf

近期，美国DHS继续公布了一份《”灰熊草原”网络攻击活动的深入分析》报告（Enhanced Analysis of GRIZZLY STEPPE Activity），与上次的联合分析报告（JAR-16-20296）不同，此次报告中给出了更多关于俄罗斯黑客活动的检测响应技术性证据。

…
发表在 安全资讯, 未分类, 渗透技术 | 标签为 , | 美国DHS发布《“灰熊草原”网络攻击活动深入分析报告》【转】已关闭评论

限制 SSH 连接[转]

发表于2017年2月21日由xmsg

SSH 限制

限制 SSH 连接

通过使用用户、组和拒绝/允许条目限制 SSH 用户连接您的主机。还可以针对各个主机使用 TCP Wrappers。

…
发表在 Linux, 功能配置 | 标签为 , , , | 限制 SSH 连接[转]已关闭评论

支付安全那些事儿【转】

发表于2017年2月20日由xmsg

支付安全那些事儿

2017-02-20 丁羽 黎桐辛 韦韬 计算机与网络
在线支付已经走进每个人的生活。抢红包、网上购物、生活缴费等服务中处处都有在线支付的身影。但是在线支付体系暴露过许多次安全问题，黑客利用在线支付的漏洞可以悄无声息的免费清空购物车等，造成商户和支付平台的损失。由于种种原因，支付平台的安全问题很少被细致公开的讨论过。

本文由支付宝安全特别奖得主丁羽和黎桐辛，以及韦韬共同撰写。其中丁羽和韦韬来自百度x-lab，黎桐辛来自北京大学。文章对在线支付体系的原理进行了介绍，并分享了几个在线支付过程中曾出现的严重漏洞以及利用过程。希望这些经验能引起相关厂家和商户的重视，使我们的在线支付更加安全。

电子商务已经成为当今互联网中重要的组成部分。同时“钱包”类服务成为了电子商务的关键组件。越来越多的电商服务通过“钱包”服务来进行支付。“钱包”提供的接口简单易用，任何一个开发者都可以快速的将“钱包”服务供应商提供的SDK整合进自己的App中，提供App内的快速支付手段。目前国内最大的“钱包”类服务包括：支付宝钱包、微信钱包、百度钱包等，各有长处。

因此，支付过程的安全问题也成为了关键。如果钱包服务出现了安全漏洞，那么很可能会影响到成千上万的商家，数十亿的现金流，后果往往非常严重。对于支付平台的安全研究自从其诞生之日起就开始了。经过数次血的教训，几大支付平台均修正了数个大大小小的漏洞，反复改进设计和实现。现今的支付平台已经相当安全可靠。

…
发表在 Safety, Skill, 未分类 | 标签为 | 支付安全那些事儿【转】已关闭评论

域名爆破的原理与工具

发表于2017年2月18日由xmsg

自容来自《安全小课堂第四十五期【域名爆破的原理与工具】》的总结

域名爆破是通过枚举的方式来实现的

枚举域名的A记录比如要爆破xx.com的子域名，

首先的访问一个随机并不存在的域chorashuai.xx.com，

取得A记录后保存，

然后开始枚举a-z0-9，比如1.xx.com、 2.xx.com 、3.xx.com之类的。接下来的步骤就分为两种方式了。

其中一种：直接获取1.xx.com…

发表在 渗透技术 | 标签为 , , | 域名爆破的原理与工具已关闭评论

基于机器学习的web异常检测【转】

发表于2017年2月15日由xmsg

2017-02-11 阿里聚安全 FreeBuf FreeBuf

Web防火墙是信息安全的第一道防线。随着网络技术的快速更新，新的黑客技术也层出不穷，为传统规则防火墙带来了挑战。传统web入侵检测技术通过维护规则集对入侵访问进行拦截。一方面，硬规则在灵活的黑客面前，很容易被绕过，且基于以往知识的规则集难以应对0day攻击；另一方面，攻防对抗水涨船高，防守方规则的构造和维护门槛高、成本大。 

基于机器学习技术的新一代web入侵检测技术有望弥补传统规则集方法的不足，为web对抗的防守端带来新的发展和突破。机器学习方法能够基于大量数据进行自动化学习和训练，已经在图像、语音、自然语言处理等方面广泛应用。

然而，机器学习应用于web入侵检测也存在挑战，其中最大的困难就是标签数据的缺乏。尽管有大量的正常访问流量数据，但web入侵样本稀少，且变化多样，对模型的学习和训练造成困难。

因此，目前大多数web入侵检测都是基于无监督的方法，针对大量正常日志建立模型(Profile)，而与正常流量不符的则被识别为异常。这个思路与拦截规则的构造恰恰相反。拦截规则意在识别入侵行为，因而需要在对抗中“随机应变”；而基于profile的方法旨在建模正常流量，在对抗中“以不变应万变”，且更难被绕过。

 

…
发表在 产品设计, 渗透技术 | 标签为 , , , | 基于机器学习的web异常检测【转】已关闭评论

漏洞利用工具包

发表于2017年2月15日由xmsg

漏洞利用工具包

近期的RIG、Sundown和Magnitude漏洞利用工具包。

RIG漏洞利用工具包利用了：

CVE-2012-0507、CVE-2013-0074、CVE-2013-2465、CVE-2013-2471、CVE-2013-2551、CVE-2013-3896、CVE-2014-0311、CVE-2014-0322、CVE-2014-0497、CVE-2014-6332、CVE-2015-0313、CVE-2015-2419、CVE-2015-3090、CVE-2015-5119、CVE-2015-5122、CVE-2015-5560、CVE-2015-7645、CVE-2015-8651、CVE-2016-0034、CVE-2016-0189、CVE-2016-1019、CVE-2016-4117、CVE-2016-7200、CVE-2016-7201、CVE-2016-3298

Sundown漏洞利用工具包利用了：

CVE-2012-1876、CVE-2013-7331、CVE-2014-0556、CVE-2014-0569、CVE-2014-6332、CVE-2015-2444、CVE-2015-0311、CVE-2015-0313、CVE-2015-5119、CVE-2015-2419、CVE-2016-0034、CVE-2016-4117、CVE-2016-0189、CVE-2016-7200、CVE-2016-7201

Magnitude漏洞利用工具包利用了：

CVE-2011-3402、CVE-2012-0507、CVE-2013-2551、CVE-2013-2643、CVE-2015-0311、CVE-2015-7645、CVE-2015-3113、CVE-2016-1015、CVE-2016-1016、CVE-2016-1017、CVE-2016-1019、CVE-2016-4117

…
发表在 渗透技术 | 标签为 , | 漏洞利用工具包已关闭评论

基于WAVSEP的靶场搭建指南【转】

发表于2017年2月15日由xmsg

基于WAVSEP的靶场搭建指南

2017-02-12 兜哥 FreeBuf FreeBuf
FreeBuf

freebuf

国内关注度最高的全球互联网安全新媒体

…
发表在 未分类, 渗透技术 | 标签为 , | 基于WAVSEP的靶场搭建指南【转】已关闭评论

文件上传漏洞（绕过姿势）【转】

发表于2017年2月15日由xmsg

前言

本文章是由团队的伙伴nMask所写，文件上传漏洞可以说是日常渗透测试用得最多的一个漏洞，因为用它获得服务器权限最快最直接。但是想真正把这个漏洞利用好却不那么容易，其中有很多技巧，也有很多需要掌握的知识。俗话说，知己知彼方能百战不殆，因此想要研究怎么防护漏洞，就要了解怎么去利用。此篇文章主要分三部分：总结一些常见的上传文件校验方式，以及绕过校验的各种姿势，最后对此漏洞提几点防护建议。（根据个人经验总结，欢迎补充纠错~~）

文件上传校验姿势

  • 客户端javascript校验（一般只校验后缀名）
  • 服务端校验
    • 文件头content-type字段校验（image/gif）
    • 文件内容头校验（GIF89a）
    • 后缀名黑名单校验
…
发表在 渗透技术 | 标签为 , , | 文件上传漏洞（绕过姿势）【转】已关闭评论

Github 安全军火库（四）【转】

发表于2017年2月6日由xmsg
…
发表在 资源收集 | 标签为 , , | Github 安全军火库（四）【转】已关闭评论

Github 安全军火库（三）【转】

发表于2017年2月6日由xmsg
…
发表在 资源收集 | 标签为 , , | Github 安全军火库（三）【转】已关闭评论