July 19, 2008 9:25 AM PDT
Posted by Elinor Mills
NEW YORK--Using a laptop, cell phone headset, building access badge, credit cards, or even a passport can make you a walking target for data thieves and other criminals, a security expert warned at the Last HOPE hacker conference here late Friday.
In a frightening but entertaining session entitled "How do I Pwn Thee? Let me Count the Ways" (pwn is hacker speak for "own" or control), a hacker who goes by the alias "RenderMan" explained how most people are at risk and don't even know it.
By now most people probably know they should be careful using Wi-Fi networks, especially public hotspots that don't encrypt data transmissions and where network access points can be spoofed. These issues leave Web surfers at risk of having their data stolen, receiving fake Web pages and other information, and having their computers completely taken over, he said.
- Jul 20 Sun 2008 01:34
-
[CNET_NEWS]Protecting against Wi-Fi, Bluetooth, RFID data attacks
- Jul 17 Thu 2008 16:37
-
[UDN聯合新聞網]「社交工程」 防駭新武器
| ‧聯合新聞網 2008/07/17 |
| 資訊安全一向以技術導向，不斷以新程式來防堵或破解駭客的程式。但再堅固的堡壘，再堅強的陣容，只要有「人」的存在，就有漏洞…… |
| 【經濟日報╱邱思緁】 資訊安全一向以技術導向，不斷以新程式來防堵或破解駭客的程式。但再堅固的堡壘，再堅強的陣容，只要有「人」的存在，就有漏洞。於是資策會反向思考，從使 用者的行為出發，追蹤使用者的郵件使用情況，並告知使用者接觸惡意程式的紀錄，以「社交工程演練方式」的防護措施，一舉拿下首屆國際資安競賽首獎。 資策會專案支援處副處長劉培文表示，在資訊安全領域上，一有新程式出現，駭客總會想辦法鑽程式的漏洞，進行播散病毒的動作。「道高一尺，魔高一丈」，因此不論資訊安全於技術上如何突破創新，仍舊是防不勝防。 過去駭客多藉由電腦連線，以無目標的方式散播病毒，來癱瘓整個網路系統，例如過去企業聞「黑色星期五」就色變，但現今藉由防火牆建構的防護系統，讓這種無目的的攻擊方式已漸銷聲匿跡。 Web2.具備的高互動性，讓駭客開始鎖定特定單一對象，進行特定攻擊 (Target Attack)。尤其，今年在美國更發生駭客鎖定高階主管發動攻擊的事件。 該駭客掌握藉由企業執行長的完整個人資料，以美國法院傳票名義發送信件，並進而點選郵件內的惡意連結。由於瀏覽該網站時，會要求同意下載惡意程式，於是惡意程式開始從電腦中竊取重要的機密文件、帳號、密碼等。 |
- Jul 10 Thu 2008 14:30
-
[ZDNet]微軟發佈四項修補程式公告
微軟發佈四項修補程式公告
ZDNET新聞專區 2008/07/09 19:07台灣微軟今(九)日發佈2008年7月的安全公告，本次的安全公告有4個新的安全性補充程式MS08-037~ MS08-040。
本月所發現Microsoft可能被攻擊的弱點，會造成有心人士藉由此弱點執行遠端程式碼及允許拒絕服務的問題。四項安全修補程式如下：
- Jul 08 Tue 2008 11:14
-
[JVN]JVNTA08-189A Microsoft Office Snapshot Viewer ActiveX コントロールに脆弱性
公開日：2008/07/08 最終更新日：2008/07/08
緊急
Microsoft Office Snapshot Viewer ActiveX コントロールには未修正の脆弱性が存在します。
- Microsoft Office Access 2000
- Microsoft Office Access XP
- Microsoft Office Access 2003
- Microsoft Office Snapshot Viewer
Microsoft Office Snapshot Viewer は、ACCESS のスナップショットを表示するためのビューアです。Snapshot Viewer は、ActiveX コントロールやスタンドアロンのアプリケーションとして使用できます。この Snapshot Viewer には、未修正の脆弱性が存在します。
なお、本脆弱性に関する攻撃活動が行われていると報告されています。
- Jul 07 Mon 2008 14:05
-
[大砲開講]司法院電子報網站存在XSS安全漏洞
2008 年 07 月 06 日 – 10:28:54
司法院電子報網站存在XSS安全漏洞被發現存在XSS (Cross-Site Scripting) 安全漏洞，到目前為止，尚未修復。
跨站腳本攻擊(XSS)：駭客利用網站上允許使用者輸入 字元或字串的欄位插入HTML與Script語言，造成其他正常使用者在觀看網頁的同時，瀏覽器會主動下載並執行部份惡意的程式碼，或被暗地裡導入到惡意 的網站，而受到某種型態的影響。如今大部份的網站都強調所謂與使用者互動的功能，加入許多允許使用者輸入字串的欄位，如：留言板、討論區、查詢欄位等；有 些互動的功能能將使用者輸入的字串存入後端資料庫，如果駭客輸入某些含有攻擊式的語言，一旦使用者進入此頁面時，因執行未預期的動作而將遭受某種程度的威 脅。
- Jul 07 Mon 2008 11:30
-
[中國黑客聯盟]從入門到精通——SQL之ASP注入詳解（轉）（所有新手都能看懂）
引言
隨著B/S模式應用開發的發展，使用這種模式編寫應用程序的程序員也越來越多。但是由於這個行業的入門門檻不高，程序員的水平及經驗也參差不齊，相當大一部分程序員在編寫代碼的時候，沒有對用戶輸入數據的合法性進行判斷，使應用程序存在安全隱患。用戶可以提交一段數據庫查詢代碼，根據程序返回的結果，獲得某些他想得知的數據，這就是所謂的SQL Injection，即SQL注入。
SQL注入是從正常的WWW端口訪問，而且表面看起來跟一般的Web頁面訪問沒什麼區別，所以目前市面的防火牆都不會對SQL注入發出警報，如果管理員沒查看IIS日誌的習慣，可能被入侵很長時間都不會發覺。
但是，SQL注入的手法相當靈活，在注入的時候會碰到很多意外的情況。能不能根據具體情況進行分析，構造巧妙的SQL語句，從而成功獲取想要的數據，是高手與「菜鳥」的根本區別。
根據國情，國內的網站用ASP+Access或SQLServer的佔70%以上，PHP+MySQ佔L20%，其他的不足10%。在本文，我們從分入門、進階至高級講解一下ASP注入的方法及技巧，PHP注入的文章由NB聯盟的另一位朋友zwell撰寫，希望對安全工作者和程序員都有用處。瞭解 ASP注入的朋友也請不要跳過入門篇，因為部分人對注入的基本判斷方法還存在誤區。大家準備好了嗎？Let's Go...
- Jul 07 Mon 2008 11:27
-
[中國黑客聯盟]WAP Web Application Security
[ 目錄 ]
0x00 純屬扯淡
0x01 WML與WMLScript
0x02 WML注入攻擊
0x03 WML注入可以做什麼
- Jul 07 Mon 2008 09:59
-
[ZDNET新聞]委外遭竊 Google員工資料遺失
ZDNET新聞專區：Brendon Chase 2008/07/03 15:07
Google證實，在2006年之前的員工資料已經在最近一次竊盜案中全數失竊。
這些資料都是由Google委外的Colt Express公司所保管，許多企業都曾使用這家公司的服務來處理人力資源業務，該批資料是在今年5/26日失竊。失竊電腦中所包含的資料包括員工個人及 家屬姓名、地址、社會安全證號等，Colt公司並沒有在利用加密來保護這些資訊。
目前尚不清楚Colt Express有多少客戶受影響。本網站母公司CNET Networks也在此次失竊案中遭殃，有6500名員工資料遺失。
- Jul 04 Fri 2008 09:23
-
[ISN] Google open sources RatProxy security tool
http://www.vnunet.com/vnunet/news/2220583/google-releases-web-app
By Shaun Nichols in San Francisco
vnunet.com
02 July 2008
Google has released the source code for a security tool it uses
- Jul 03 Thu 2008 22:00
-
[賽迪網]當前所有殺毒軟件都有漏洞 威脅不亞於病毒
發佈時間：2008.07.02 07:15 來源：賽迪網 作者：友亞
【賽迪網-IT技術報導】據國外媒體報導，德國IT諮詢機構N.runs日前提醒用戶，當前每一款防病毒產品都存在漏洞，黑客可以利用這些漏洞入侵企業網絡，並加載惡意代碼。
N.runs安全專家稱，在過去的幾個月中，他們在各種防病毒產品中發現近800處漏洞。N.runs指出，目前，市場上每一款病毒掃瞄引擎都存在高危漏洞，允許黑客發動拒絕服務攻擊，在企業網絡上執行惡意代碼。
此前也有安全人員指出，殺毒軟件自身的漏洞可能會給用戶帶來更嚴重的安全隱患。
作為殺毒軟件，它不但擁有管理員權限，而且還必須要打開並掃瞄計算機中的文件。如果殺毒軟件存在漏洞，那麼勢必將帶來更嚴重的安全威脅。尤其是很多用戶同時使用多款殺毒軟件，這樣的危險性更大。
- Jul 03 Thu 2008 21:57
-
[賽迪網]局域網出現異常怎麼辦？ 路由故障分析
發佈時間：2008.07.03 06:40 來源：賽迪網 作者：majusaka
路由器是實現內網與外網互聯的重要設備，根據網絡複雜程度可設置靜態路由和動態路由。對於簡單的網絡設置靜態路由可方便於管理，但路由列表設置不當會引發一些網絡互聯故障。
近日，我部門(下稱部門A)中有人反映不能訪問上級部門(部門B)的網絡。我從該人所用的計算機A1(IP地址為 10.20.12.11/24)上用ping命令向部門B網絡中的計算機B1(IP地址為10.20.30.110/24)和B2(IP地址為 10.20.30.111/24)發送測試數據包，丟包率達100%，ping本部門的其它計算機則顯示連接正常。檢查其計算機IP設置，發現網關設置正確(正確網關為10.20.12.1)，於是懷疑路由器不能正常工作。回來我自己辦公室，用本辦公室計算機A2、A3測試，發現以下奇怪現象:
(1) 在計算機A2(IP為10.20.12.12/24)上用ping命令分別ping部門B網絡中計算機B1和B2，發現B1有正常回應，B2的回應率在 20%~50%之間;在計算機A3(IP為10.20.12.13/24)中用ping命令分別ping計算機B1和B2，回應顯示連接正常，丟包率為 0。
(2) 將計算機A3的IP地址改為10.20.12.12/24後測試，ping得的結果同(1)中的計算機A2測試情況。
- Jul 03 Thu 2008 21:48
-
[賽迪網]微軟發佈3款SQL INJECTION攻擊檢測工具
發佈時間：2008.06.26 07:15 來源：賽迪網 作者：kaduo
【賽迪網-IT技術報導】隨著 SQL INJECTION 攻擊的明顯增多，微軟近日發佈了三個免費工具，幫助網站管理員和檢測存在的風險並對可能的攻擊進行攔截。
Scrawlr
下載地址：https://download.spidynamics.com/Products/scrawlr/
這個微軟和 HP合作開發的工具，會在網站中爬行，對所有網頁的查詢字符串進行分析並發現其中的 SQL INJECTION 風險。Scrawlr 使用了部分 HP WebInspect 相同的技術，但只檢測 SQL INJECTION 風險。Scrawlr 從一個起始 URL 入口，爬遍整個網站，並對站點中所有網頁進行分析以找到可能存在的漏洞。
