I'n Blog 之萬象真藏

發佈時間：2008.04.17 08:52     來源：賽迪網    作者：漣漪
【賽迪網訊】4月17日消息，據國外媒體報導，美國管理諮詢公司埃森哲的調查顯示，儘管登錄未經加密的Wi-Fi網絡在一些國家和地區視為違法，仍有12%的美國和英國受訪者表示曾登錄過。
數據證明此舉存在嚴重安全隱患，從理論上說，經過未經加密的無線路由器傳輸的數據可被任何偷窺工具截獲。儘管如此，還是有很多人喜歡登錄這些不安全的Wi-Fi網絡。
埃森哲對800名英美用戶展開了電話調查，結果顯示，18-34歲的用戶最喜歡登錄這種網絡，其中有約1/3的用戶曾經嘗試過這種登錄方式。另外，約1/7的美國用戶曾竊用過免費的Wi-Fi服務，而在英國稍低，僅為1/11。

發佈時間：2008.04.17 07:50     來源：賽迪網    作者：天虹
【賽迪網訊】4月17日消息，賽門鐵克警告Windows用戶立即安裝一個重要的安全補丁，否則有失去對自己計算機控制的風險。
賽門鐵克安全反應部門負責開發的副總裁Alfred Huger稱，賽門鐵克已經發現攻擊者試圖利用微軟上個星期修復的Windows中的一個GDI（圖形設備接口）安全漏洞的活動。
Huger本週三稱，我們認為這個安全漏洞已經成為黑客成功地實施攻擊的一個目標。我們看到不斷地有人在利用這個安全漏洞。
由於這個活動情況，賽門鐵克把這個安全漏洞的威脅等級從原來最低的1級提高到了2級，也就是中等的威脅水平。賽門鐵克最高的威脅等級是4級。

發佈時間：2008.04.17 07:50     來源：賽迪網    作者：友亞
【賽迪網訊】4月17日消息，據國外媒體報導，美國伊利諾斯州大學研究人員日前發明出一種新的計算機攻擊方式，它可利用計算機處理器（CPU）漏洞來控制用戶計算機。
多年以來，黑客一直是通過軟件漏洞來發動攻擊的。但本週二，伊利諾斯州大學研究人員卻演示了一種新的攻擊方式：通過更改計算機處理器來攻擊計算機。
當然，現實中要發動這樣的攻擊可能要非些周折，但這種攻擊方式極其隱蔽，幾乎無法檢測到。
要發動這樣的攻擊，研究人員使用了一種特定的可編程處理器，然後將惡意固件注入到處理器內存中。這樣，黑客就可以偽裝成合法用戶進入計算機。

發佈時間：2008.04.17 08:07     來源：賽迪網    作者：天虹
【賽迪網訊】4月17日消息，安全公司Radware稱，它在蘋果為iPhone製作的1.1.4版本Safari瀏覽器中發現了一個拒絕服務攻擊的安全漏洞。
Radware稱，由於設計缺陷，iPhone容易受到拒絕服務攻擊。動態內存池中的一系列內存分配操作將引發這個設計缺陷，從而導致垃圾收集器中的一個軟件故障。
Radware安全運營中心經理Itzik Kotler說，雖然廠商正在努力推出新產品和新的應用程序，但是，這些廠商顯然把安全放在了次要的位置。黑客繼續濫用其他人的軟件。軟件產品中的設計缺陷將使黑客的工作更加輕鬆。
據悉，只要iPhone用戶打開一個包含顯示這個安全漏洞的JavaScript的HTML網頁，黑客便可利用這個安全漏洞。而應用程序級的拒絕服務攻擊將使Safari瀏覽器崩潰，甚至會使整個iPhone崩潰。

來源:安全焦點
Author: Polymorphours
Email: Polymorphours@whitecell.org
Homepage:http://www.whitecell.org
Date: 2008-04-10

2008 年 04 月 12 日 – 12:26:32 自由電子報的報導「台大推甄、個申榜單 網路提前曝光」，我對下面的內容是有意見的： 台大依往例在放榜前，先進行內部檢核，資訊人員將榜單ＰＤＦ檔，存在一個台大並未對外公告的網址上作最後確認，一個多小時後隨即關閉，未料竟遭有心人士透過搜尋引擎截走，昨天上午十點至十二點間，就貼上了ＰＴＴ網站。 未對外公開網址並不代表外部人員連無法存取此網址，除非，只允許內部人員存取此網址，如果是這樣，答案就很明顯了，麻煩查一查囉，不要有事沒事都怪罪於搜尋引擎。

2008 年 04 月 12 日 – 11:14:08 國立成功大學圖書館遭駭且被植入惡意連結，此惡意程式為 TSPY_MPASS.A，最近有瀏覽這個網頁的網友，應該要盡速檢查自己的電腦，請各位暫時不要瀏覽這個網站，以免中毒。(Credit: Danny) 對此網址，McAfee SiteAdvisor、趨勢科技網頁信譽評等和Google Search查詢結果，都顯示正常，此證明此種技術並非Web安全威脅的完美解決分案，換言之，資訊安全無法做到百分百的安全。

GoogleがカスタムアプリケーションのホスティングにPythonを採用しました。これにより多 くのセキュリティ研究者の研究対象がPythonに向けられ、PHPで報告されていたような問題がセキュリティ脆弱性して多數レポートされるようになるの ではないか、と予想していました。 さっそくセキュリティ脆弱性が多く発見されるライブラリの一つであるzlibライブラリにお馴染みの脆弱性が報告されています。 CVE-2008-1721

Integer signedness error in the zlib extension module in Python 2.5.2 and earlier 
allows remote attackers to execute arbitrary code via a negative signed integer, 
which triggers insufficient memory allocation and a buffer overflow.
Impact
CVSS Severity (version 2.0):
CVSS v2 Base score: 7.5 (High) (AV:N/AC:L/Au:N/C:P/I:P/A:P) (legend)
Impact Subscore: 6.4
Exploitability Subscore: 10.0

負の整數が指定された場合が考慮されていないので攻略コードを埋め込まれた圧縮ファイルで任意コードが実行できるようです。よくあるタイプの脆弱性です。 しばらくは色々レポートされる事だと思います。 関連：
http://blog.ohgaki.net/php-1
http://blog.ohgaki.net/lamp
http://blog.ohgaki.net/lamp-p-php-perl-python-ruby
http://blog.ohgaki.net/lamp-4資料來源 http://blog.ohgaki.net/google-python

Published: 2008-04-13,
Last Updated: 2008-04-13 00:18:14 UTC
by Patrick Nolan (Version: 1)
Oracle has posted it's advance information for it's Critical Patch Update for April 2008, to be released on Tuesday, April 15, 2008.
"The highest CVSS 2.0 base score of vulnerabilities across all products is 6.6 for servers and 9.3 for Application Server clients".

Published: 2008-04-13,
Last Updated: 2008-04-13 08:05:06 UTC
by Patrick Nolan (Version: 1)
Over on the McAfee Avert Labs Blog, analysts Shinsuke Honjo and Geok Meng Ong have posted additional analysis of the Fribet trojan. The trojan "loads the “SQL Native Client” ODBC library, and is designed to receive arbitrary SQL statements from a command and control server. In turn, the ODBC library provides the functionality to Fribet to bind SQL connections and run arbitrary SQL commands from the victim machine(s)". A bit later they note "The attacker still needs to find out the information required to connect the database such as DSN, hostname, database name, User and Password, however, that information can be collected via other monitoring functions".
All your databases accessed by database support are theirs ( ; ^ (