I'n Blog 之萬象真藏

看來該公司的pt team的確有必要加強自身的滲透能力與資安嗅覺的敏感度了！

URL:http://www.ithome.com.tw/itadm/article.php?c=47945

截獲到幾封帶有惡意Excel文檔附件的郵件。該惡意Excel文檔利用的是Microsoft未修補的Excel漏洞，所以危害極高。超級巡警團隊建議用戶不要隨便打開不明來歷的電子郵件，尤其是郵件附件。

所截獲的郵件中Excel文檔的附件名為「通知.xls」，大小為172K。該漏洞目前微軟官方尚無補丁，樣本文件中內置了黑客的後門程序，在打開Excel文檔時，木馬將被激活。

更新日期:2008/03/09 12:00

為了盜取網友的個人資料，詐騙集團可以說是無孔不入，包括Google及Yahoo!近來都被人冒名，向電子信箱的用戶寄出釣魚郵件，藉以騙取帳號密碼等資料。

（張德厚報導）

【原創翻譯，版權所有，合作網站如欲轉載，請註明原創翻譯作者「王超」，及文章出處（賽迪網）。謝絕非合作網站轉載，違者，賽迪網將保留追究其法律責任的權利！】

繼上週在中國發現以Windows Mobile系統的智能手機為目標的木馬之後，研究人員又發現了一種攻擊Symbian系統手機的木馬，代號為Kiazha.A。這種木馬竊取智能手機中的數據來勒索機主。

Kiazha.A木馬會刪除收件箱和發件箱裡的全部短信息，然後威脅機主，如果不付錢就徹底的破壞這台手機。

每次看到這樣的新聞就覺得好笑，Yahoo一再地強調，希望網友留意網域名稱，偏偏自己又留下一堆轉址漏洞，到xssed網站搜 尋一下，就可以發現其中有個Redirect的攻擊方式，顯然這個漏洞也開始受到重視了！再搜尋一下yahoo或google，可以發現其實還不少XSS 或Redirect的漏洞！在這樣的情況下，即使網友有留意網域名稱，還是很容易被導引至偽造網站的阿！這樣一來，yahoo提出的建議甚至很可能遭到反 利用！

另外，yahoo針對拍賣商品中隱藏的假網站連結，雖然已作出警示，但透過js作出的警告方式還是只能治標，當使用者關閉java script，或是習慣開啟新分頁瀏覽的使用者，透過js的警告方式將失去效果，所以建議yahoo還是應該尋求一個有效治本的方式～(不過至少有採取治 標措施了！這點還是值得肯定…^_^)

Ref：http://tw.news.yahoo.com/article/url/d/a/080309/78/uxth.html

原文：http://www.0×000000.com/?i=526

看到這篇文章時，還蠻有同感的，先前幫某資安雜誌撰寫的另一篇文章中，也曾經質疑過另一個安全認證」HiTrust Secure Site」，我認為該信賴標章僅能夠證明連線是經過加密的，不能代表該網站是安全的！！而且在該文章內也質疑過某具有該信賴標章的某資安網 站具有明顯的XSS與SQL-injection問題，但提報給對方後，得到的回應卻是，他們檢測後認為自己並沒有安全性問題～(真想知道他們的檢測方 式…XD)

至於Hacker Safe，也只是證明網站沒有已知的系統安全漏洞，對於網頁程式的安全，也無法作有效的檢測，難怪會被戲稱是保障駭客安全出入的標章！

微軟將在下星期二(3/11)發佈2008年3月安全公告，此次安全更新將會處理4個危險等級為重大(Critical)的安全公告，主要是為了修補Office遠端執行程式碼的安全漏洞。

根據2008年3月安全預告，將會處理下列危險等級為重大的安全漏洞：

1. Microsoft Office Excel 2000 Service Pack 3
2. Microsoft Office Outlook 2000 Service Pack 3, Microsoft Office Outlook 2002 Service Pack 3, Microsoft Office Outlook 2003 Service Pack 2, Microsoft Office Outlook 2007
3. Microsoft Office 2000 Service Pack 3
4. Microsoft Office Web Components 2000

有.mil的網域，還有NASA，連知名安全廠商GFI都被提報具有XSS漏洞了！再往下看，知名的系統廠商SUN似乎是XSS大戶阿！而且都尚未被標示已修復！