近日，位于德国的O2-Telefonica公司通过《南德意志报》证实，其公司的部分客户遭受到利用SS7漏洞的网络劫持者攻击。 SS7（7）信号系统协议 —— 缺陷到底是什么？ —— SS7系统算是一个系统的维护通道，运营商的一个内部服务，可以理解成飞机在飞行时地面管制员的作用，主要被用来跨运营商网络跟踪和固话对连接，所以SS7常被用作设置漫游。 全世界的电信公司和政府情报机构都可以登入SS7，只不过这个服务的接口有时会被人恶意利用。譬如，有些犯罪团伙去收买电信员工，或者有些黑客破解了有漏洞的SS7设备。一
利用已知和未修补的漏洞仍然是威胁行为者惯用的一种策略。从安全绕过、凭据暴露到远程代码执行，软件漏洞始终是网络攻击者入侵系统的有力武器。
位于荷兰的著名安全厂商Fox-IT（Fox-IT 公司向全球的大型企业提供IT安全管理和威胁情报服务）今天披露称，一小部分 Fox-IT 用户遭受不知名黑客的中间人攻击。这起安全事件发生在9月19日且持续了10小时24分钟。Fox-IT 公司指出，一名攻击者劫持了公司的域名，随后用它以Fox-IT公司的名义获取SSL证书。之后，攻击者将域名指向受其控制的一个私有 VPS 服务器并进行了中间人攻击，接收到本来应流向 Fox-IT 域名的流量，在 SSL 证书的协助下读取了 HTTPS 连接的内容，随后将用
“你参加T-Star了吗？” 2019年10月14日- 11月30日 首届腾讯网络安全T-Star高校挑战赛如火如荼进行 40多个院校的高校白帽子 经过了一个半月激烈的角逐，最终三个优秀团队 凭借着在TSRC平台上优秀的漏洞数量及质量， 和出色的线上下运营宣传 占据了积分榜前三席位 夺得最终的团队奖！ 为他们鼓掌！ T-Star团队排名TOP6 根据T-Star活动机制，除漏洞奖励、专业课程辅导等福利外， 积分排名前三团队将分别获得： 白帽帮扶基金——8000元、6000元、4000元。 相关奖
众所周知，Contact Form 7是一款非常受欢迎的WordPress插件。但是根据安全研究专家的最新发现，Contact Form 7中存在一个不受限制的文件上传漏洞。这个漏洞被标记为了高危漏洞，目前存在漏洞的Contact Form 7插件已经安装在了500多万个网站上，使得这些网站将成为攻击者严重的“香饽饽”。在该漏洞的帮助下，攻击者将能够对目标站点执行网络钓鱼、网站接管、数据窃取和Credit卡欺诈等攻击活动。
据Bleeping Computer网站消息，推特证实了近期发生的540万账户数据泄露是由0 Day漏洞导致。 上个月，在Bleeping Computer与一名攻击者的交流中，该攻击者透露了他们利用社交媒体网站上的一个漏洞，创建一个包含 540 万个推特帐户配置文件的列表。此漏洞允许任何人提交电子邮件地址或电话号码，验证它是否与推特帐户关联，并检索关联的帐户 ID。之后，攻击者使用此 ID 来抓取该帐户的信息，比如粉丝数量、登录名、所在位置、个人资料图片 URL 等信息。当时，攻击者以 30000 美元
概要： 在软件开发领域，代码仓库的安全性至关重要。本文深入探讨了Git的安全实践，包括访问控制、加密传输、审计与监控、漏洞管理和安全意识提升等方面，旨在帮助读者构建一个安全可靠的代码仓库环境。
1. 某集团企业生产网（私有云或机房数据中心）、办公网终端均使用同一个AD域，那么其生产服务器是否需要脱域或其它方式整改？
abdullkarem Wordpress PHP Scanner是一种扫描工具，通过检测WordPress网站中的PHP代码漏洞来发起攻击。
Volkskrant周一报道，一家为荷兰警察、紧急服务和安全部门处理敏感文件的技术公司已成为黑客的目标。在公司Abiom拒绝遵守勒索软件组织LockBit的要求后，共有39,000份文件（包括身份证件和发票）在网上泄露。
18 Dec,2017 声明：本文由长城网际编译，转载请注明“转自长城网际”，并上微信号CECGW-weixin和二维码。 ※ 看！你比别人先知道这么多！ Ⅰ 1900万加利福尼亚州选民的记录被删除 Ⅱ 俄罗斯管道巨头Transneft感染Monero加密货币矿工 Ⅲ 朝鲜黑客大量窃取比特币 Ⅳ 恶意软件大规模劫持服务器挖矿 Ⅴ 巴西银行遭遇ATM攻击 详情请见下文 1 1900万加利福尼亚州选民的记录被删除 【信 源】Securityaffairs 存储在不安全MongoDB数据库中的1900
4月28日，有不少网友表示收到一条奇怪的短信，短信内容是“123456789...”一连串的数字内容，发送短信的号码只跟自己的号码差一位数。
根据路透社的独家报道，NSA 在安全行业领导企业RSA的两个加密产品都植入了随机数生成器后门，而不只是此前斯诺登爆料的一个。 2013年12月路透社曾爆料称著名加密产品开发商RSA在收取NSA上千万美元后，在其软件Bsafe中嵌入了NSA开发的，被植入后门的伪随机数生成算法（Dual_EC——DRBG，双椭圆曲线确定性随机比特生成器），NSA还利用NIST认证该漏洞算法为安全加密标准，使得该算法成为大量软件产品默认使用的随机数生成器，而这个后门算法使得NSA能够大规模破解加密数据。 在第一个R
美国司法部(DoJ)表示，与名为The Community的国际黑客组织有关联的第六名成员因涉及数百万美元的SIM交换阴谋而被判刑。
5 月 26 日，GitHub 披露了 4 月中旬一次安全漏洞的更多调查细节，描述了攻击者如何抓取包括大约 10 万个 npm 用户的详细登录信息。同时，这也显示了在将 JavaScript 包注册中心整合到 GitHub 的日志系统后，GitHub 在内部日志中存储了 “npm 注册中心的一些明文用户凭证”。
11月16日，国家发改委举行新闻发布会，重点提及了虚拟货币“挖矿”治理。会上，新闻发言人孟玮明确阐述了虚拟货币“挖矿”的危害，并表示将持续做好虚拟货币“挖矿”全链条治理工作，建立长效机制，严防“死灰复燃”。
通过以上措施的实施，可以提高Ceph集群的安全性，保护数据免受未经授权的访问和攻击。
Moxa NPort W2150A 是一款专为工业应用而设计的以太网转串行服务器。它充当以太网和串行通信之间的桥梁，允许传统串行设备连接到现代以太网。串口服务器的使用寿命长达 20 年，通常在过时的固件和软件上运行，使其容易受到网络安全漏洞的攻击。此外，不断变化的威胁形势加剧了风险，因为这些系统的设计没有像现代 IT 系统那样强大的网络安全性。
版本控制算法是一种不可或缺的工具，这个家伙不仅能帮你记录文档的点点滴滴，还能在需要时穿越时空，让你回到过去的版本。这可是文档管理的大杀器，不仅让你不怕数据丢失，还能保证文档历史清清楚楚。接下来，就让我们来聊聊怎么样才能用版本控制算法来加强文档管理软件的安全性和权限管理吧：
今年的“双11”如期而至。早在10月底，京东、天猫便已经先后宣布启动“双11”活动，唯品会、拼多多、快手、小红书也不甘落后。现如今，“双11”早不仅是电商平台扩大销售的风口，也是考验供应链、凝聚商家资源的关口。
本周BUF大事件还是为大家带来了新鲜有趣的安全新闻，三星手机因锁屏APP闰月bug无限重启；StrandHogg 2.0安卓漏洞影响超过10亿台设备；泰国移动运营商泄露83亿互联网记录；360百度联合行动，追踪打击“双枪”恶意木马。想要了解详情，来看本周的BUF大事件吧！
各位FreeBufer周末好~以下是本周的「FreeBuf周报」，我们总结推荐了本周的热点资讯、优质文章和省心工具，保证大家不错过本周的每一个重点！
远程监控和管理（RMM）软件，包括AnyDesk、Atera和Splashtop等流行工具在内，对当今的IT管理员来说是非常宝贵的，因为它们可以简化IT任务并确保网络的完整性。然而，这些工具也引起了威胁行为者的注意，而他们会利用这些工具渗透目标组织的网络系统并窃取敏感数据。
内容概要：2020 年伊始，世界范围内多国爆发新冠疫情，企业在家办公情加速了视频会议软件的发展，Zoom 无疑是其中发展势头最猛，也最具争议性的一个。
AI的介入会进一步升级目前的网络犯罪与网络安全体系，进而成为攻击者与防御者之间军备竞赛的核心支柱之一。
然而，Check Point Research 近日发现了一种针对 Foxit Reader 用户的 PDF 安全漏洞利用的异常操作模式，该安全漏洞会触发安全警告，诱使毫无戒心的用户执行「有害」命令。目前，该安全漏洞的变体在野外正被积极利用。
在此次会议上，微信为我们展示了有关微信、公众号、小程序生态的大数据。这些数据究竟说明了什么？答案就在本期的晓头条中。
漏洞详情：Hadoop是一款由Apache基金会推出的分布式系统框架，它通过著名的 MapReduce 算法进行分布式处理，Yarn是Hadoop集群的资源管理系统。此次事件主要因Hadoop YARN 资源管理系统配置不当，导致可以未经授权进行访问，从而被攻击者恶意利用。攻击者无需认证即可通过REST API部署任务来执行任意指令，最终完全控制服务器。
Bleeping Computer 网站披露，近 20 家汽车制造商和服务机构存在 API 安全漏洞，这些漏洞允许黑客进行远程解锁、启动车辆、跟踪汽车行踪，窃取车主个人信息的恶意攻击活动。
工业和信息化部、国家互联网信息办公室、公安部三部门联合印发《网络产品安全漏洞管理规定》。该规定旨在维护国家网络安全，保护网络产品和重要网络系统的安全稳定运行，并且规范漏洞发现、报告、修补和发布等行为，明确网络产品提供者、网络运营者，以及从事漏洞发现、收集、发布等活动的组织或个人等各类主体的责任和义务。 通知如下： 各省、自治区、直辖市及新疆生产建设兵团工业和信息化主管部门、网信办、公安厅（局），各省、自治区、直辖市通信管理局： 现将《网络产品安全漏洞管理规定》予以发布，自2021年9月1日起施行。 工业和信
上图是一个 Red Team 攻击的生命周期，整个生命周期包括：信息收集、攻击尝试获得权限、持久性控制、权限提升、网络信息收集、横向移动、数据分析（在这个基础上再做持久化控制）、在所有攻击结束之后清理并退出战场。
根据开放 Web 应用程序安全项目(OWASP)，大约三分之二的 Web 应用程序安全漏洞是由不安全的编码实践造成的。这意味着，如果你是一名开发人员，你编写的代码中至少包含一个安全漏洞的可能性很高。
引入欧洲在线数据隐私法将对组织如何处理和管理其用户的个人数据产生重大影响。该法律于1月份通过，将于2018年全面颁布。对于定期处理为欧洲公民提供服务的客户或个人数据的组织，会出现与其在线Web应用程序和操作的技术影响相关的问题。
本文介绍了一种云存储的渗透测试思路：在渗透测试中发现一个OSS，而且默认无法进行读取数据(即桶ACL为"私有")，但是通过查询ACL发现桶ACL可写，那么此时可以通过写ACL来更新桶ACL并获取到对象数据信息。
3.业务在公有云上，像防火墙WAF这种边界设备，能不用公有云厂商产品，而 采购其他安全厂商的安全设备吗？架构上有可能吗？
你不一定懂编程，甚至都看不懂几行代码，但依然能成为杀伤力十足的黑客，这就是现阶段不少网络攻击的特点：不需要掌握娴熟的技术或代码，仅仅利用成熟的武器化工具，就能通过简单的“一键操作”，对目标输出成吨伤害。 显而易见，这其中暗藏了巨大的商业市场，吸引了无数黑客组织团体前来分一杯羹。为了能够做到可持续化运作，他们开始借助SaaS（软件即服务）平台的优势：价格便宜、灵活性强、易于拓展，进而衍生出网络钓鱼即服务（PhaaS）、勒索软件即服务（RaaS）等模式。 在这些模式下，由黑客组织负责勒索软件出售、订阅给用户，
在疫情的层层考验下，我们已经成功举办了CIS 2022网络安全创新大会上海主会场、深圳分会场活动。为了能充分惠及因地区或疫情限制未能亲临线下的观众，CIS 2022网络安全创新大会多维时空将于12月14日9点准时举办，届时将完整再现上海、深圳两地现场盛况，并涵盖全新的线上元宇宙直播专场，来自各地、各行业的安全专家、技术达人将打破时空阻隔，为大家带来丰富的线上议题内容，一同畅聊年末网安盛会。 现在，只需点击下方链接，预约FreeBuf视频号直播，或收藏CIS 2022官网（https://cis.freeb
腾讯云开发者社区联合腾讯云安全中心团队发起【云安全最佳实践-创作者计划】有奖征文活动，想听听你玩转的独门秘籍，发布文章赢千元好礼！
本报告涵盖了卡巴斯基2018年的事件响应实践。本报告中使用的数据来自卡巴斯基团队提供的各种事件调查服务。
NTT Security及其全球威胁情报中心（GTIC）通过对现存的和新出现的安全威胁进行研究和分析，为用户提供及时和可操作的信息，使用户能够更好地了解其组织面临的威胁。 GTIC Q2威胁情报报告介绍了NTT Security研究人员、安全专家以及分析师在过去三个月的研究成果。除了各种各样的开源智能工具和蜜罐外，GTIC-威胁研究（TR）还分析了全球NTT Security管理安全服务（MSS）平台的数据，为研究人员更深入地了解整体威胁形势提供数据支持。 分析结果概要 在2017年第二季度报告中，NTT
智能网联汽车是新一代信息技术与汽车领域深度融合的产物，汽车已成为数据的重要生产者和使用者。统计数据显示，全球已有超过140个国家和地区制定了隐私和数据保护的相关法律法规，智能网联汽车的数据安全已引起全球重视。数据安全问题包括如何有序、规范、合理地使用数据已成为关注的焦点。
数据万象提供了对 HLS 视频内容进行加密的功能。加密后的视频，无法分发给无访问权限的用户观看。 HLS 加密涉及到业务侧的密钥服务和 Token 生成服务的搭建过程； 所以本方案主要适用于能够自行搭建一套完整的鉴权及密钥管理服务的业务侧。
采访嘉宾 ｜ Brian Behlendorf、董国伟 编辑 ｜ Tina 开源安全正在经历一个加速变革的时期。 Log4Shell 爆发后，负责 Log4j 的三位没有酬劳的维护人员一边忍受抨击，一边不眠不休地工作了一个多星期，为这份影响世界的代码打上了补丁。 Log4Shell 再次凸显了在 SolarWinds 攻击后备受关注的供应链安全问题。2022 年本应是“供应链安全元年”，不幸的是，一年后的现在这个漏洞仍然普遍存在，修复版本采用率没有想象中的高，而且数据显示，软件供应链攻击频次反而呈
2019年10月，我们发现了三起针对物联网设备新出现的漏洞探测活动。第一起漏洞探测活动不同于普通的物联网僵尸网络，其目标在给被探测的设备建立一个反向shell，这与通常以投递样本为目标的物联网僵尸网络不同。第二起漏洞探测活动，僵尸网络为了避免样本被研究员获取，将样本存放在大量不同IP的设备上，以加大研究人员获取其样本的难度。第三起漏洞探测活动是Demon僵尸网络所为，此次Demon僵尸网络增加了新的漏洞到其武器库，用于扩大其规模。目前，僵尸网络不断加强对物联网漏洞利用行为，手法多变，相关研究人员应引起重视。
APT：高级持续性威胁，APT 攻击主要是指针对特定组织、特定领域或个人进行的蓄谋已久的攻击。如：针对一个国家的基础设施的破坏，针对国防、航空航天、医疗、军民融合等重大领域项目、针对工业系统的破坏、针对金融系统的犯罪、针对地缘政治的影响、针对特定个人的移动端攻击。
安全研究人员发现了开源项目中公开披露漏洞的一个关键缺陷。这个缺陷带来了巨大风险，因为它使攻击者能在漏洞被正式修补和公布之前利用这些漏洞。基本上，在披露过程中但尚未发布正式 CVE 通告和提供补丁之前，攻击者就可以利用这些漏洞。
近日，北京工商大学举办了一场盛大的70周年校庆。由腾讯乐享提供的万人直播和校友平台可以使每一位校友无论身处何地都能身临其境，将校园公告、校庆活动、校友投票等内容直接触达每一位校友。 校友平台如何实现，怎样才可以做到集活动、签到、直播、点播于一体？还有什么其他玩法？ 作为凝聚腾讯十余年经验打造的一站式平台产品，全新推出学校全场景解决方案，下面我们一起从各个角色看看高校可以如何玩转腾讯乐享！ 腾讯乐享十二大能力图示 PART1 线上便捷教学科研，数字化组织教师团建 对高校教师而言，如何提高教学
近日，“疑似超50位明星的北京“健康宝”照片被泄露一事，引发网友关注。日前，有网友通过输入明星姓名加身份证号，无需人脸识别，就可以查询到其在北京“健康宝”上的认证照片。目前智慧城市建设处表示，代查漏洞已解决。相关律师表示，对于此次出现他人“健康宝”照片泄露的问题，政府有义务督促相关公司完善系统，解决安全隐患。如果被侵权人是因为系统问题导致被侵权或受损，理论上除了向侵权方追责以外，对系统研发方也存在追责的可能。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
对象存储
腾讯会议
实时音视频
