【预警通告】Zabbix SQL注入漏洞威胁

2016年8月12日,Zabbix软件被爆jsrpc的profileIdx2参数存在insert方式的SQL注入漏洞,同时官方公布修复了latest.php的toggle_ids参数insert方式的SQL注入漏洞,攻击者无需登录即可通过script等功能直接获取服务器的操作系统权限,经过分析发现Zabbix默认开启了guest权限,且默认密码为空。

阅读全文 “【预警通告】Zabbix SQL注入漏洞威胁” »

解读银监办发[2016]107号文

2016年6月27日银监办发[2016]107号《中国银监会办公厅关于开展银行业网络安全风险专项评估治理及配合做好关键信息基础设施网络安全检查工作的通知》(简称“通知”)正式发布。通知指出,银行业网络和重要信息系统是国家关键信息基础设施,为进一步加强互联网安全风险应对,提升银行业整体防护能力,按照国家关键信息基础设施保护、网络安全风险专项应对工作的整体安排,决定组织开展银行业网络安全风险专项评估治理工作。同时,根据中央网信办《关于开展关键信息基础设施网络安全检查的通知》(中网办发文[2016]3号)的要求,需要各银监局、银行业金融机构认真做好国家关键信息基础设施网络安全检查相关工作
阅读全文 “解读银监办发[2016]107号文” »

浅谈攻击Web应用常见的技术手段

随着服务端脚本技术、组件技术等技术手段的成熟,基于web平台构建的应用信息系统成为了internet信息系统的主流,而且逐渐成为电信、金融、财税等关键领域公共信息系统的首选。其http协议网络数据流量占到整个internet tcp数据流量的70%左右,重要性无容置疑。目前,internet上部署运行着各种各样的web信息系统,这些系统的安全在很大程度上关系到整个internet的正常运转。近年来,由于web应用攻击方法的不断曝光和web应用重要性不断提高,对web信息系统的攻击事件数量大增。绝大多数web攻击事件的根源在于web信息系统中存在有安全漏洞。 阅读全文 “浅谈攻击Web应用常见的技术手段” »