暴露了,键盘把你的秘密散步到网络

暴露了,键盘把你的秘密散步到网络

1周前 (11-14) 浏览: 17 评论: 0

以前肯定听过这样的传闻,黑客可以通过你再键盘上输入的按键,得知你都干了些什么,这样你的一切信息都会被黑客所掌控。 这种已经过时的技术,在机械键盘上可能也会出现。 智能硬件收集数据其实已经是很多普通消费者司空见惯的事情,很多我们日常用的 app 为了能够实现一些便利功能,也会在获得用户许可后获取通讯录短信等信息。如果信息只是保存在本地,数据的安全性就相对容易保证,但如果数据回传给了厂商或者直接共享到

EternalBlue(永恒之蓝)工具漏洞利用细节分析

EternalBlue(永恒之蓝)工具漏洞利用细节分析

1周前 (11-14) 浏览: 16 评论: 0

前言 EternalBlue(永恒之蓝)据称是方程式组织在其漏洞利用框架中一个针对SMB服务进行攻击的模块,由于其涉及漏洞的影响广泛性及利用稳定性,在被公开以后为破坏性巨大的勒索蠕虫 WannaCry所用而名噪一时。360威胁情报中心对于WannaCry的活动持续地进行着监控,我们看到的趋势是 WannaCry的感染量还在增加,说明作为蠕虫主要传播手段的EternalBlue相应的漏洞还大量存在着

如何通过API调用来分析恶意软件

如何通过API调用来分析恶意软件

2周前 (11-09) 浏览: 15 评论: 0

在今年的上一个季度,我们发现有越来越多的恶意软件开始使用各种加密、封装和加壳等保护技术来对恶意代码进行混淆处理,以防止系统或程序对其进行识别。除此之外,这些技术甚至还会让研究人员对其的静态分析变得更加困难。虽然越来越多的恶意软件开发人员开始使用这种保护性的加壳技术,但这也直接导致了另一种恶意软件分析方法的诞生。 其中的一种分析方法,就是通过分析恶意代码中负责告诉系统如何执行特定操作的API调用以及

推荐一款开源的Web渗透测试工具集合,适合测试人员个性化打造

推荐一款开源的Web渗透测试工具集合,适合测试人员个性化打造

2周前 (11-09) 浏览: 32 评论: 0

PentestDB 1 介绍 本项目用于提供渗透测试的辅助工具资源文件 1.1 辅助工具 提供轻量级的易扩展的工具,可以快速编写exploit、添加漏洞验证/扫描规则、添加指纹规则、爆破规则等;包含以下功能: Exploit系统。易扩展的exploit系统,能够使用API快速编写exploit,能够批量执行exploit 子域名爆破。爆破子域名,使用域传送、DNS爆破、GoogleHacking进

Linux内核Waitid系统调用本地提权漏洞(CVE-2017-5123)的分析与利用

Linux内核Waitid系统调用本地提权漏洞(CVE-2017-5123)的分析与利用

2周前 (11-07) 浏览: 17 评论: 0

最近在整理Linux内核漏洞利用的一些场景,比如利用系统调用漏洞、利用一些比较容易fuzz的漏洞,通过对这类场景的总结可以帮助我们快速发现0day,积累漏洞挖掘的经验。虽然这一类型的漏洞出现的频率很低但是优点也很显著,这类漏洞利用比较简单、直接。我通过查看github上Linux源代码patch日志发现CVE-2017-5123就是我要收集的目标,这类漏洞的攻击面是内核处理用户态指针出错,一般是内

开源漏洞管理工具DefectDojo(二)使用指南:基本使用

开源漏洞管理工具DefectDojo(二)使用指南:基本使用

2周前 (11-07) 浏览: 15 评论: 0

安全服务工作中,漏洞的跟踪管理,应该是让大多数安全服务人员都头疼的事。业务系统少还好,一个Excel表格就解决了,而面对数十个不同的业务系统,邮件、报告满天飞,Excel大法就行不通了,报告整理、漏洞复测确认常常让人精疲力尽。DefectDojo正是一款解决漏洞管理之痛的开源工具,DefectDojo可将各种漏洞报告(Nessus、Nmap、Burp等)汇总分析,对漏洞的确认、复测进行跟踪,建立计

开源漏洞管理工具DefectDojo(一)使用指南:安装配置

开源漏洞管理工具DefectDojo(一)使用指南:安装配置

2周前 (11-07) 浏览: 17 评论: 0

安全服务工作中,漏洞的跟踪管理,应该是让大多数安全服务人员都头疼的事。业务系统少还好,一个Excel表格就解决了,而面对数十个不同的业务系统,邮件、报告满天飞,Excel大法就行不通了,报告整理、漏洞复测确认常常让人精疲力尽。DefectDojo正是一款解决漏洞管理之痛的开源工具,DefectDojo可将各种漏洞报告(Nessus、Nmap、Burp等)汇总分析,对漏洞的确认、复测进行跟踪,建立计

你是如何发现网站遭到ddos攻击的?

你是如何发现网站遭到ddos攻击的?

2周前 (11-06) 浏览: 24 评论: 0

随着网络攻击的简单化,如今ddos攻击已经不止出现在大型网站中,就连很多中小型网站甚至是个人网站往往都可能面临着被ddos攻击的的风险。或许很多站长对来势迅猛的ddos攻击并不是很了解,导致网站遭遇攻击也不能被及时发现,造成防御不及时,带来经济损失。 为了让站长们能够及时发现ddos攻击,下面我们就详细介绍一下网站受ddos攻击的表现: 网站遇到ddos攻击的表现之一:服务器CPU被大量占用 dd

硬件黑客技术——扩展你渗透的攻击面

硬件黑客技术——扩展你渗透的攻击面

2周前 (11-06) 浏览: 25 评论: 0

一、前言 为了充分利用待评估的硬件,您应该熟悉多种安全测试领域——基础设施、网络、移动应用程序——因为这些现代设备都为我们提供了丰富的攻击面。硬件黑客技术可以极大扩展我们的渗透能力,不仅能够带来一些新的攻击方式,同时,还能增加我们的攻击深度。 二、动机 1. 持久性的问题 目前,漏洞的“半衰期”(用户为其服务/软件中已识别的漏洞安装安全补丁所需的时间的一半)已经非常短暂了;对于托管的Web服务来说

天翼校园客户端被植入病毒 中毒电脑被用来“挖矿”

天翼校园客户端被植入病毒 中毒电脑被用来“挖矿”

3周前 (11-03) 浏览: 34 评论: 0

近期,金山毒霸安全实验室发现,从中国电信股份有限公司江苏分公司网站下载的天翼校园校园客户端存在暗刷流量,偷偷挖矿行为,让校园用户沦为他们牟取利益的“肉鸡”。 一、概述 “天翼校园客户端”是中国电信为校园学生提供的宽带接入和应用集成软件,可对中国电信天翼宽带WiFi、天翼宽带3G、天翼宽带1X以及有线宽带网络进行接入。近期,金山毒霸安全实验室发现,从中国电信股份有限公司江苏分公司网站下载的天翼校园校

安全评估类型汇总分析和区分

安全评估类型汇总分析和区分

3周前 (11-02) 浏览: 19 评论: 0

汇总目前已有的所有安全评估类型,并进行分析 概要 有许多不同类型的安全评估,并不总是容易在我们的头脑清晰的表现出来 以下是对安全评估的主要类型的简要描述,以及常见混淆评估的区别。 安全评估类型 1.脆弱性评估:脆弱性评估是一种旨在环境中产生尽可能多的漏洞的技术评估(威胁区别于风险,威胁是会造成损害,风险不一定会造成但是存在和脆弱性类似,因为不一定会发生),以及严重性和补救优先级信息。 通常混淆:漏

ASLRay:一个可以绕过ASLR的工具

ASLRay:一个可以绕过ASLR的工具

3周前 (11-01) 浏览: 16 评论: 0

ASLR(Address Space Layout Randomization,即地址空间格局随机化)是指利用随机方式配置数据地址,一般现代系统中都加设这一机制,以防范恶意系统对已知地址进行攻击。不过目前已经有多种绕过ASLR的方式,今天将介绍一个简单的ASLR绕过工具。 介绍 特点 而ASLRay是一款可以绕过ASLR的工具,其特点如下: ASLR绕过 跨平台 较为简约 操作简单 无法修复 依赖

新型IoT僵尸网络正快速扩张,家中有这些设备赶快升级打补丁

新型IoT僵尸网络正快速扩张,家中有这些设备赶快升级打补丁

3周前 (10-31) 浏览: 18 评论: 0

路由器、家用摄像头是现代一些家庭的标配,给很多人的生活带来了便利和安全保障。不过,如果你家里有下列品牌的路由器和摄像头就要小心了,因为它们可能被病毒感染。 近日,360安全研究人员率先发现一个新的针对IoT设备的僵尸网络,并将其命名为“IoT_reaper”。据悉,该僵尸网络利用路由器、摄像头等设备的漏洞,将僵尸程序传播到互联网,感染并控制大批在线主机,从而形成具有规模的僵尸网络。目前,很多厂商的

利用Burp Suite对OWASP Juice Shop进行渗透测试

利用Burp Suite对OWASP Juice Shop进行渗透测试

3周前 (10-30) 浏览: 12 评论: 0

1. 简介 OWASP 的 在线果汁商店 (Juice Shop) 项目, 是一个很好的开源Web 靶场。它包含了OWASP的10大漏洞 [1], 并且这个项目用到了很多流行的技术如 HTML5, AngularJS, Bootstrap, Node.Js, SQLite等等,应用架构如下图所示: 本文将展示如何利用著名的Web 渗透工具Burp Suite 来进行渗透测试。 Burp Suite

切换注册

登录

忘记密码 ?

切换登录

注册

扫一扫二维码分享