Weekly Notes and News：每週資安新聞

3/27 一名英國主教宣稱聖經有助於密碼安全性


一名英國主教說聖經可以發揮想不到的功用─提供更安全的密碼。他向教徒說你可以利用引用聖經的內容來幫助你記憶密碼。

有人說：「聖經提供了終生受用的密碼組合，包含大小寫英文字母、數字。好記又安全。」看看以下的範例：

"Father, into your hands I commit my spirit." Luke Chapter 23 Verse 46.
你可以創造這樣的密碼─ FiyhIcmsL23V46 。

然而，對駭客來說真是個好消息。他只要建立一個包含聖經中所有組合的資料庫，就可以嘗試破解任何虔誠教徒的密碼。所以請你不要真的這樣建立密碼，同時你也應該在不同網站使用不同的密碼。如果真的很難記憶，請你試試看使用密碼管理程式，來幫你產生亂數密碼，同時幫你安全的管理。

來源：nakedsecurity



3/27 「Facebook Profile Viewer」惡意應用程式開始散播在社群網路之間

一種應用程式，宣稱可以讓你知道誰在觀看你的個人檔案，已經在社群網路間散播開來。應用程式的訊息宣稱Facebook 已經推出更新程式讓你可以確認誰來造訪你的個人檔案。
所謂的個人檔案追蹤者截圖

如果你對於「Facebook Profile Viewer」應用程式很好奇，然後點選連結，此應用程式會詢問你是否可以存取你的個人資料。

當你點了是以後，馬上在你的塗鴉板張貼廣告，吸引更多的人來使用應用程式。目的當然是蒐集足夠的個人資料以供牟利。你應該對於這種類型的程式有足夠的警覺心。

來源：nakedsecurity

3/16 研究人員表示，有三百萬台機器暴露在RDP漏洞的風險中

網路上開始傳播 針對MS12-020 RDP漏洞的惡意程式碼 ，目前面對的問題是有多少潛在受害者？Dan Kaminsky ，身為網路安全研究人員，上週五決定測試看看網路上有多少RDP bug。於是他在他的區域找到了三百萬個IP，其中有 415,000台電腦利用這RDP 協定交換資訊。他說，「目前大概有五百萬台提供RDP服務的電腦，只有一部份有更新RDP patch。RDP 的確是佈署廣泛的服務之一。透過RDP的漏洞，攻擊者可以用使用者都知道的方式，很簡單就控制受害者的電腦。」

小規模的組織沒有專職IP人員，甚至不知道伺服器中的RDP已經被開啟了。因此網路上將出現很多可被攻擊的目標。「RDP 的問題的影響範圍很大，還有很多細節我來不及解釋，重點是先讓世人知道受影響的數字有多龐大。」

來源：threatpost.com

留言

張貼留言

這個網誌中的熱門文章

資安JAVA(四)：Session Cookie HTTPOnly Flag

圖片
來源： John Melton's Weblog 標題：YEAR OF SECURITY FOR JAVA – WEEK 4 – SESSION COOKIE HTTPONLY FLAG 作者：John Melton 內文： What is it and why do I care? Session cookies(或是包含 JSESSIONID 的 cookie)用來管理WEB應用程式的 Session。這些 Cookies 包含特定使用者的 Session ID 的參考值，而同樣的 ID 也放在伺服器端並可識別該使用者其他的 Session 資料。這是最常用的管理方式，因為 cookies 會隨著每次 request 送出。 HttpOnly flag 作用是預防攻擊者透過 XSS 弱點獲得 session cookie。一旦 XSS 攻擊者成功，攻擊者便可以挾持受害者的 session 以合法身分登入。HttpOnly flag 對於這種攻擊十分有效。
更多詳細 »

以 SharpPcap 實作可收聽封包的 C# 程式

有個需求是收聽網站的流量，檢查是否有包含特定格式資訊的封包。從幾天前開始思考相關實作的問題。 如何檢查有人透過 Http 方式連線到網站? 側錄本機或同網段的封包才能滿足收聽的需求。Http協定送出的封包，到了底層是走tcp/ip，只要能夠抓取tcp/ip封包，並轉換成可處理的格式，就能檢查是否有人送出資訊。 今天的情境是要監聽同網段的網站流量，於是開始搜尋可用工具。其中，在Windows環境最有名的就是 WinPcap ，網路上已經有熱心人士提供包裹在 C# 的元件，只要先安裝好WinPcap，然後下載元件到自己的應用程式，即可收聽封包。該元件就是 SharpPcap ，2004年，美國的 Tamir Gal 為了完成大學的專案，在.NET 應用程式中使用 WinPcap 的功能，因此順便開發了SharpPcap 。他甚至寫了範例，使得開發人員可以更快學習如何利用他的元件，詳細資料請到  他的網站 。 如何使用SharpPcap ? 第一，下載 WinPcap，並妥善安裝完畢。( 下載連結 ) 第二，下載 SharpPcap 。( 下載連結 ) 第三，將 PacketDotNet.dll 和 SharpPcap.dll 加入到應用程式的參考中。 using SharpPcap; using SharpPcap.LibPcap; using PacketDotNet;
更多詳細 »

資安JAVA(八)：HTTP強制傳輸安全(HSTS)

圖片
來源： John Melton's Weblog 標題：YEAR OF SECURITY FOR JAVA – WEEK 8 – HTTP STRICT TRANSPORT SECURITY 作者：John Melton 內文： Safe path. What is it and why should I care? HTTP強制安全傳輸技術，強制所有瀏覽器只能透過SSL或TLS連線到網站。 只要在HTTP網頁標頭加上特殊的HSTS，支援HSTS的瀏覽器就會限定只能經由HTTPS連線。以下是流程： 第一步，使用者造訪網站，不論透過HTTP或HTTPS。通常大部分是HTTP。 第二步，網站輸出網頁，內容包含HSTS標頭。90天內都只能透過HTTPS連線。 第三步，支援HSTS的瀏覽器90天內都不會送出 "非SSL" 的要求給網站。
更多詳細 »