安全半月谈：Mozilla 遭入侵、GitHub 被 DDoS

安全要闻

Mozilla 的 Bugzilla 遭入侵，大量未公开漏洞被窃

Mozilla 日前发出警告说，有黑客入侵了其bug 跟踪系统Bugzilla 并窃取了大量（至少185 个）未公开的漏洞。被窃取的漏洞文件中，53 个属于高危漏洞。为了降低未来Bugzilla 的攻击风险，Mozilla 启用了新的安全措施：所有访问安全敏感信息的用户将需要重置密码并使用二步认证。

GitHub 再次遭到 DDoS 攻击

8 月 25 日 GitHub 再次遭到了DDoS 攻击。今年三月份Github 也遭受了类似攻击。此次攻击中，托管在Github 的知名代理项目Shadowsocks、GoAgent 被删除。《绿盟科技2015 年上半年DDoS 威胁报告》显示，近期DDoS 攻击呈两极分化，大流量攻击不断增长并走向云端；同时，针对各行业中业务逻辑缺陷，脉冲攻击及慢速攻击不断。攻击者混合使用多种形式，让用户防不胜防，这些混合化攻击中，以大流量混合攻击为主。

主流浏览器将在2016 年初停止支持RC4

9 月 1 日，微软、Google 和 Mozilla 宣布，将于2016 年初在各自的浏览器永久终止RC4 加密算法的支持。目前攻击Https 保护的网站理论上只需要75 小时，针对WPA-TKIP 网络的猜解攻击大概只需要1 小时。研究人员表示，现在RC4 加密已经不安全了，建议完全停止使用。

BitTorrent 客户端可发动 DDoS 攻击

用户量巨大的 BitTorrent 客户端因协议漏洞可被利用发动 DDoS 攻击。研究发现，攻击原理在于 BitTorrent 使用的用户数据报文协议没有防IP 纂改机制。今年早些时候发生过类似的攻击，一名无辜的国外用户遭受了中国BitTorrent 用户的DDoS 攻击。

安全开发

逆向基础——手动脱壳

加壳的全称应该是可执行程序资源压缩，是保护文件的常用手段。壳的类型通常分为压缩壳和加密壳两类。加、解密是黑客攻防的基础，这里整合了一些软件手工脱壳的一些笔记和文章。

KCon2015 黑客大会 PPT 下载

“黑客世界存在着无数未知与挑战，对于黑客来说，黑掉目标是内心的本源冲动……你黑与不黑，漏洞都在那，与其被地下黑客滥用，还不如有约束地曝光它，这种曝光是一种平衡，绝不能够一厢情愿。”当 KCon 落幕之后，本年度安全大会终于告一段落。追求干货是每届 KCon 的宗旨，会后主办方知道创宇也及时放出了全部的 PPT 下载。

智能路由器安全特性分析

随着互联网的发展，越来越多公司推出了智能路由器，这些智能路由器给用户带来了众多便利的功能，同时也采用了一些传统路由器不具备的安全特性。作为家庭网络甚至中小企业网络的入口，路由器的安全问题越来越令人担忧。

给InfoQ 中文站投稿或者参与内容翻译工作，请邮件至 editors@cn.infoq.com 。也欢迎大家通过新浪微博（ @InfoQ ， @丁晓昀），微信（微信号： InfoQChina ）关注我们，并与我们的编辑和其他读者朋友交流（欢迎加入 InfoQ 读者交流群）。