标签： 漏洞

在新浪微博 @hi_heige 的微博看到这篇文章，对0day披露过后的N天，进行了分析。很多人都认为网络安全最大的漏洞是0day，但是很多时候，n-day同样让人纠结和郁闷……请看正文！

除了协议自己的问题，协议实现的问题，兼容性和方便性，行为驱动行为的授权鉴定困难（这个是典型数据驱动系统行为的案例），这些，都是当前it安全较大的问题。这些看起来不起眼的小问题，组合一起，就成了自动快捷的杀器。

针对IT系统的控制层保护的缺失以及实现发起的攻击是目前攻击者核心关注的领域，针对加密算法数学层面的攻击，也是存在但比较少的，当然攻击拿到加密的东西通过破解算法或暴力计算来搞的很多。

要理解安全研究者的视角，就需要脱离开单纯从加密这个视角思维来看待安全，而要从结合计算机体系角度来看待安全，这个角度看待，其实更容易理解我们安全研究者的视角，其实本质不应该如此吗？

发现一些在IT各自领域深有建树的专家对于IT安全的理解，和我们这些专业从事安全领域的技术人员的角度和认识，存在着巨大的鸿沟。这是怎么了？我觉得作为安全领域的技术人员，是有义务向IT领域的技术人员，做相关安全的普及。

近期国外安全研究人员公布了最新Struts2远程代码执行漏洞，远程攻击者成功利用后可允许攻击者在目标服务器执行系统命令或造成应用崩溃。此次受到该漏洞影响的范围包括Struts 2.0.0 - Struts 2.3.14.2。

DedeCMS这个重装漏洞的危害大家应该也知道，我就不多说了，估计又要一批站躺枪了，利用条件是webserver要求是存在apache解析漏洞和install文件夹存在。exp google搜索批量，估计DedeCMS的站要废一大半。

OVAL全称是Open Vulnerability and Assessment Language（开放式漏洞与评估语言）。本文介绍了什么是OVAL语言、OVAL语言的结构、组成OVAL文档各个元素的技术细节等内容。本文为原创内容，如果需要转载请注明出处。 本文原文链接地址为：http://oval.scap.org.cn/article_oval_about-oval.html SCAP中文社区...

对于XDA大神们找到漏洞的事情我们已经见怪不怪了。不过这次，有个名叫alephzain的用户也声称，其已在多款三星设备上发现了一个漏洞，可以访问设备全部的物理内存。这潜存着重大的隐患，攻击者们可以使用恶意软件清除数据或者让设备变成砖块，但更可能的是——偷偷地访问用于的数据。 Alephzain是在三星的Galaxy S3设备上首次测试并发现的，但其也称，该安全漏洞同样存在于三星的Galaxy S ...

据《印度经济时报》报道，华为公司今日表示向任何政府开放对其设备进行检查的权利，这份声明紧随美国众议院警告称两家中国电信设备公司存在网络间谍威胁之后。“我们是非常开放的。你可以在任何你想去看的地方检查(设备)。我们与你进行合作，你可以做任何你想做的测试。”华为全球网络安全官 John Suffolk告诉媒体。 他补充说，该公司向部分政府提供了其业绩报告，用以满足监管需求。Suffolk表示，当印度政...

微软在本月11日凌晨发布10月份例行安全更新，本次更新修复了7个安全漏洞，影响Microsoft Office 2003, 2007和2010版的漏洞被定义为严重级别，其他六个面向Windows、SQL和Lync的补丁被评级为“重要”，漏洞暂不涉及即将上市的Windows 8。金山卫士已同步更新漏洞库，请所有用户按照提示安装更新。 　　公告编号MS12-064的安全漏洞与普通网友关系比较大。攻击者...

据外国媒体报道，微软恶意软件保护中心研究员Matt Oh在TechNet上发布了一篇文章，教用户如何保护自己基于Java系统漏洞上的恶意软件。同时Matt Oh也在Black Hat 2012的发言中表示，Java威胁着用户信息安全而且这一情况不仅仅发生Windows用户身上。 “我们发现了越来越多关于Java的缺陷，而且Java的一个漏洞往往影响多个平台，”Matt Oh表示。 Matt Oh主...

谷歌安全工程师Tavis Ormandy发现在育碧公司uPlay数字版权管理（DRM）存在潜在的rootkit漏洞。 uPlay和育碧游戏捆绑游戏，如《刺客信条》系列和汤姆克兰西的《幽灵行动》系列，以保护作品被盗版。Tavis Ormandy表示，他发现安装了《刺客信条》之后，电脑当中uPlay出现了意想不到的行为。 Tavis Ormandy表示，他不知道这种行为是不是故意为之。目前，谷歌安全工...

近日，安恒信息安全小组发现Apache Struts2导致大量使用此框架的网站沦陷，Apache Struts2 框架是在2010年7月14日被发现存在一个严重命令执行漏洞，但随之出现了防范技术，最近随着struts2带回显功能的POC被公布，出现大量的利用工具，并导致大量使用此框架的网站沦陷，并呈扩散趋势。 我们先来了解一下Apache Struts2，Struts2是在struts 和WebW...

Yahoo上周五发表声明，已经修复导致黑客窃取45万未加密用户信息的系统漏洞。经过调查受影响的系统叫Yahoo！ Contributor Network，该系统是一个“原创新闻平台”，前身为Associated Content，在2010年被Yahoo所收购并于当年11月推出服务。当时Yahoo估计为Associated Content供稿的自由撰稿人大约有40万人。 当时根据被曝光的文件中留下的...