I'n Blog 之萬象真藏

發佈時間：2008.07.02 08:11     來源：賽迪網    作者：天虹
【賽迪網訊】7月2日消息，據最近發表的法院文件披露，黑客突破了美國花旗銀行在7-Eleven商店內部的自動提款機網絡並且竊取了客戶的PIN代碼。這個事件表明銀行記錄的最敏感部分存在一個嚴重的安全漏洞。
這起身份證盜竊事件竊取了數百萬美元。但是，對於消費者來說，更重要的是這個事件表明犯罪分子能夠通過攻擊負責提款機的後端計算機系統獲得用戶的PIN代碼。
紐約南部地區的美國地區法院審理的這起起訴三個被告的案子突出表明了一個重要的問題。
黑客把目標對準了自動提款機基礎設施。這種自動提款機基礎設施越來越多地採用微軟的 Windows操作系統，允許機器在互聯網上進行遠程診斷和維修。儘管行業標準要求對PIN進行強大的加密保護，但是，一些操作人員沒有按照規定去做。這些PIN代碼是在自動提款機與處理這個交易的計算機之間的傳輸過程中洩漏的。

北京新浪網 (2008-06-24 18:00)
　　在發佈一個遠端代碼執行漏洞後不到兩天，微軟又發佈了一個URL handling中的潛在危險。這個漏洞會讓那些在Windows XP及Windows 2003上使用IE7的用戶被黑客劫持。
　　微軟內部負責安全的部門主管Mark Miller在10日做出的一個聲明中稱，他們正在進行一次新的安全更新。據他介紹，這個漏洞在用戶點擊某個位址後，會欺騙用戶下載一個惡意軟件，進而控制用戶的電腦。
　　也許你對這個漏洞聽上去比較熟悉，因為在今年7月時，就有過一個類似的漏洞。但是微軟方面表示，這次的漏洞與那次不完全一樣。
　　上次是協定層的解析問題，而這次微軟則沒有具體公佈到底是什麼原因。但是據說與FireFox 2.0.6所遭遇的問題差不多。

Secunia Advisory: SA30768   Release Date: 2008-06-23
Critical:
Highly critical Impact: Exposure of system information
Exposure of sensitive information
System access
Where: From remote
Solution Status: Unpatched
Software:RSS-aggregator

  This advisory is currently marked as unpatched!
- Companies can be alerted when a patch is released!

2008年06月23日 07:11:26 　來源：新華網
新華網北京６月２２日電　一個名為「安德夫木馬變種ＨＪＲ（Ｔｒｏｊａｎ．Ｗｉｎ３２．Ｕｎｄｅｆ．ｈｊｒ）」的 病毒本週特別值得注意，它利用最新的Ｆｌａｓｈ漏洞進行傳播，當帶有系統漏洞的用戶瀏覽文件時，病毒就會趁機侵入其電腦，竊取網遊網銀賬號等私密信息。因 此，瑞星反病毒反木馬一週播報（２００８．０６．２３－０６．２９）將其列為本週關注病毒，警惕程度為★★★☆。     為杜絕盜號木馬通過Ｆｌａｓｈ漏洞傳播，用戶應該及時安裝相應補丁，下載地址為：ｈｔｔｐ：／／ｗｗｗ．ａｄｏｂｅ．ｃｏｍ／ｓｈｏｃｋｗａｖｅ／ｄｏｗｎｌｏａｄ／ｆｌａｓｈ／ｔｒｉｇｇｅｒ／ｅｎ／１／ｉｎｄｅｘ．Ｈｔｍｌ。     「安德夫木馬變種ＨＪＲ」是一個木馬下載器病毒。病毒運行後會把自身複製到系統目 錄下，加載後會下載「線上遊戲竊取者變種木馬病毒」，該病毒會修改註冊表啟動項，實現隨系統自啟動，並將自身注入到系統正常進程，給用戶查殺病毒帶來困 難。此外，病毒會試圖關閉多種殺毒軟件和安全工具，病毒會把動態庫注入到Ｅｘｐｌｏｒｅｒ．ｅｘｅ進程中並查找進程中是否存在遊戲進程，當找到遊戲進程 時，就把自己注到遊戲進程中，獲取用戶輸入的賬號密碼並發送到指定的網址，使網遊玩家面臨很大的安全風險。     對此，專家建議用戶：１、養成良好的上網習慣，不打開不良網站，不隨意下載安 裝可疑插件。２、開啟Ｗｉｎｄｏｗｓ安全中心、防火牆和自動更新，及時安裝最新系統補丁，避免病毒通過系統漏洞入侵電腦。３、安裝殺毒軟件２００８版升級 到最新版本，定時殺毒並開啟實時監控功能，防止病毒感染計算機。４、定時設置系統還原點和備份重要文件，並把網銀、網遊、ＱＱ等重要軟件加入到「賬號保險 櫃」中。http://news.xinhuanet.com/internet/2008-06/23/content_8420088.htm

June 17, 2008 1:36 PM PDTPosted by Elinor MillsSecure Computing researchers have discovered a new variant of the DNSChanger Trojan in the wild that attacks routers, meaning any Web surfing computer on that network could be at risk of being redirected to a malicious Web site.The DNSChanger Trojan changes the DNS settings to point to a host Web site address supplied by the attackers, Sven Krasser, director of data mining research at Secure Computing, said in an interview with CNET News.com on Tuesday."Your network is essentially reconfigured to do all the (domain) name resolutions over this malicious name server," he said.The DNSChanger Trojan is able to access all the settings and functions on the router. It only knows about a few popular router Web interface URLs that it can use to change DNS settings at this time, but that is expected to change and more routers will be affected, according to a Secure Computing blog entry.The Trojan is believed to be created by the creators of the family of malware called "Zlob," which masquerades as an ActiveX video codec. 

ZDNet新聞專區：Robert Vamosi
2008/06/19 13:06

發佈不到一天，Firefox 3就爆出第一個安全弱點。

文章來源:  中關村在線  2008-06-16
　　據研究人員報告，一種被稱之為「zlob」（又稱dnschanger）的特洛伊木馬病毒已經被發現，這種病毒可以攻擊受害者的互
聯網路由器，並監控受害人的網絡流量。
　　研究人員指出，當受害人自己的Windows系統被感染之後，zlob木馬會嘗試猜測路由器的用戶名和密碼組合，如果成功，此木馬會改變受害者路由器的DNS，使所有的網絡流量都可以被監控。
　　很早之前研究人員就警告說總有一天惡意軟件會威脅到路由器產品，zlob則是首次被發現可以實現此功能的木馬病毒。

緩衝區溢出好比是將十磅的糖放進一個只能裝五磅的容器裡……
　堆棧溢出（又稱緩衝區溢出）攻擊是最常用的黑客技術之一。我們知道，UNIX本身以及其上的許多應用程序都是用C語言編寫的，C語言不檢查緩衝區的邊界。在某些情況下，如果用戶輸入的數據長度超過應用程序給定的緩衝區，就會覆蓋其他數據區。這稱作「堆棧溢出或緩衝溢出」。
　一般情況下，覆蓋其他數據區的數據是沒有意義的，最多造成應用程序錯誤。但是，如果輸入的數據是經過「黑客」精心設計的，覆蓋堆棧的數據恰恰是黑客的入侵程序代碼，黑客就獲取了程序的控制權。如果該程序恰好是以root運行的，黑客就獲得了root權限，然後他就可以編譯黑客程序、留下入侵後門等，實施進一步地攻擊。按照這種原理進行的黑客入侵就叫做「堆棧溢出攻擊」。
　　為了便於理解，我們不妨打個比方。緩衝區溢出好比是將十磅的糖放進一個只能裝五磅的容器裡。一旦該容器放滿了，餘下的部分就溢出在櫃檯和地板上，弄得一團糟。由於計算機程序的編寫者寫了一些編碼，但是這些編碼沒有對目的區域或緩衝區——五磅的容器——做適當的檢查，看它們是否夠大，能否完全裝入新的內容——十磅的糖，結果可能造成緩衝區溢出的產生。如果打算被放進新地方的數據不適合，溢得到處都是，該數據也會製造很多麻煩。但是，如果緩衝區僅僅溢出，這只是一個問題。到此時為止，它還沒有破壞性。當糖溢出時，櫃檯被蓋住。可以把糖擦掉或用吸塵器吸走，還櫃檯本來面貌。與之相對的是，當緩衝區溢出時，過剩的信息覆蓋的是計算機內存中以前的內容。除非這些被覆蓋的內容被保存或能夠恢復，否則就會永遠丟失。
　　在丟失的信息裡有能夠被程序調用的子程序的列表信息，直到緩衝區溢出發生。另外，給那些子程序的信息——參數——也丟失了。這意味著程序不能得到足夠的信息從子程序返回，以完成它的任務。就像一個人步行穿過沙漠。如果他依賴於他的足跡走回頭路，當沙暴來襲抹去了這些痕跡時，他將迷失在沙漠中。這個問題比程序僅僅迷失方向嚴重多了。入侵者用精心編寫的入侵代碼（一種惡意程序）使緩衝區溢出，然後告訴程序依據預設的方法處理緩衝區，並且執行。此時的程序已經完全被入侵者操縱了。

TO SUBSCRIBE, UNSUBSCRIBE, OR CHANGE YOUR SUBSCRIPTION, go to:
http://www.dragonsoft.com.tw/epaper/
DragonSoft (Chinese/English) Vulnerability and Threat Knowledge Base:
http://vdb.dragonsoft.com/
Contents:

常見的木馬所有隱藏啟動方式木馬的最大的特點之一就是它一定是要和系統一起啟動而啟動，否則它就完全失去了意義!!!
　　方法一：註冊表啟動項:這個大家可能比較熟悉，請大家注意以下的註冊表鍵值：
　　HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
　　HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce  
　HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Runservices HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows