绿盟科技技术博客

BitTorrent修复DDoS放大攻击漏洞

2015-09-10绿盟科技BitTorrent, BT, DDoS, UTP, 放大攻击

BitTorrent修复DDoS放大攻击漏洞

在上次《BitTorrent DDoS放大攻击》中提到，由于BT客户端所使用uTP协议没有校验从从peer1返回的包（下面虚线部分），进而被攻击者利用，形成DDoS放大式攻击，足以导致某些大型网站瘫痪。该漏洞存在于使用基于UDP的libuTP协议的大量客户端中，包括UTorrent、BitTorrent、BitTorrent Sync等。

Django任意代码执行漏洞分析

2015-09-08xxlegenddjango, SECRET_KEY, 代码执行

从Django的SECTET_KEY到代码执行

Django是一个可以用于快速搭建高性能，优雅的网站的平台，由Python写成。采用了MVC的软件设计模式，即模型M，视图V和控制器C。它最初是被开发来用于管理劳伦斯出版集团旗下的一些以新闻内容为主的网站的，即是CMS（内容管理系统）软件。并于2005年7月在BSD许可证下发布。

最近在进行网站代码审查的过程中，发现某些产品由于session使用不当，导致可能被攻击者利用，执行任意代码。这些产品在登录的JS代码中，泄露了SECRET_KEY,将该值作为密码加密的盐，这样就暴露了加密salt不太好吧，更重要的是对django的安全造成了极大的威胁。

互联网金融安全:裸跑问题尽早解决

2015-09-02赖东方互联网金融, 互联网金融信息安全, 互联网金融技术安全, 互联网金融安全, 互联网金融安全风险, 互联网金融平台安全, 安全交易平台

互联网金融安全裸跑问题尽早解决

近日，国内网络安全公司绿盟科技联手腾邦国际互联网金融产业园举办了2015互联网金融安全沙龙，互联网金融产业园副总经理刘鹏和绿盟科技深圳办首席代表黄国忠，主持活动并致辞。互联网金融面临极大风险，大家都这么说，到底风险是啥样的？活动现场的实际案例演示及分析报告，让与会者看到了互联网金融安全几近裸跑的现实。

运营商渗透测试与挑战

2015-09-01刘永杰SQL注入, struts, 弱口令, 渗透测试, 渗透测试工具, 渗透测试工具包, 跨站攻击, 运营商

运营商渗透测试与挑战

最近几年，运营商行业安全服务中渗透测试中常见的漏洞包括弱口令、注入漏洞、跨站漏洞、Struts2命令执行漏洞、WebServer远程部署及上传漏洞等，但随着新技术、新业务出现和运营商集团层面的关注重点有所转移，渗透测试工作将会面临内容安全、计费安全、客户信息安全、业务逻辑及APP等方面的挑战，这就需要服务团队与时俱进，满足客户的服务要求。文章对这些方面进行了分析与总结，希望对安全服务人员的渗透测试工作有所帮助。