【预警通告】Oracle身份管理器漏洞
当地时间2017年10月30日,Oracle官方发布了安全通告,此安全通告涉及一个影响Oracle身份管理器的安全漏洞(CVE-2017-10151)。 此漏洞的CVSS v3基本分数为10.0(详情见附录图),并可能导致Oracle身份管理器受到未经身份验证的网络攻击。 该漏洞允许攻击者在未获取合法身份凭证的条件下,通过HTTP远程访问进行漏洞利用,虽然此漏洞在Oracle身份管理器中,但攻击可能会对附加产品产生重大影响。
当地时间2017年10月30日,Oracle官方发布了安全通告,此安全通告涉及一个影响Oracle身份管理器的安全漏洞(CVE-2017-10151)。 此漏洞的CVSS v3基本分数为10.0(详情见附录图),并可能导致Oracle身份管理器受到未经身份验证的网络攻击。 该漏洞允许攻击者在未获取合法身份凭证的条件下,通过HTTP远程访问进行漏洞利用,虽然此漏洞在Oracle身份管理器中,但攻击可能会对附加产品产生重大影响。
距离臭名卓著的“Petya”和“WannaCry”勒索软件大规模爆发还不到半年,又一个新的勒索软件于10月24日出现。这个命名为“坏兔子”(Bad Rabbit)的新型的勒索软件已经在欧洲多个国家进行传播,其中包括俄罗斯、乌克兰、保加利亚、土耳其和德国,并且已经扩散到美国。
我们要在Sandbox中观察恶意样本的行为,就需要在恶意样本的进程中注入我们自己的代码,然后通过这些代码产生监控日志。这是目前Sandbox中监控常用的做法之一,当然也有一些更底层的办法来的监控日志。今天主要介绍用户态下远程DLL注入方式,将监控代码注入到恶意样本进程中。这种实现相对简单通用,只要将监控代码编译为一个DLL,然后注入到恶意样本的进程中,就可以获取到监控行为日志。
2017年10月24日,Typecho被爆出install.php文件存在后门可以直接执行任意代码导致使用此系统的网站直接被getshell。
从认证管理、授权管理、输入输出验证、会话管理、密码管理、调试接口、日志审计、运行环境、第三方组件等多个方面梳理了代码审计需要关注的重点。让你的代码无懈可击!
SSL(Secure Socket Layer):是Netscape公司设计的主要用于WEB的安全传输协议,它在https协议栈中负责实现上加密层。本文介绍了HTTPS以及SSL协议,以及Nginx如何实现加密。
继KRACK和ROCK攻击之后,本周接踵而来的是DUHK攻击活动,针对受影响的设备,攻击者可以恢复加密密钥,从而解密出通过该设备的加密通信内容。攻击的目标可能为VPN链接或者加密的WEB会话内容,包括敏感的业务数据、登陆凭证、支付信息、隐私信息以及其他机密内容。
超全Web漏洞详解及其对应的安全编码规则,包括:SQL注入、XSS、CSRF、文件上传、路径遍历、越权、XML以及业务安全等,实例告诉你各个漏洞对应的编码规则。给你的代码加把安全锁!