9 月 13 日,2025 Inclusion・外滩大会「开源嘉年华」正在限量报名中! 了解详情
写点什么

安全半月谈:潜伏了 7 年的 Xen 漏洞与中国地下网络犯罪报告

  • 2015-12-02
  • 本文字数:2377 字

    阅读完需:约 8 分钟

安全要闻

“破天”——Xen 虚拟化平台虚拟机逃逸漏洞

这是一个存在了7 年之久的严重漏洞。10 月,阿里云安全团队发现并提交了一处Xen 平台下的虚拟机逃逸漏洞,Xen 3.4~4.6 版本都受影响,漏洞编号为XSA-148/ CVE-2015-7835 。攻击者可以利用一台以 PV 模式运行的虚拟机轻易实现虚拟机逃逸,从而可以进一步控制 Xen Hypervisor、Dom0 以及当前物理机器上运行的其他所有虚拟机。目前漏洞补丁已公布,Xen 平台用户可以从官方下载并安装。

双 11 狂欢背后电商安全的那些事

一年一度的电商狂欢节“双 11”总算过去了,但是“双 12”马上就来了。笔者忍不住要扒一扒平日里大众所不知道安全问题。据不完全统计,乌云网自成立以来,已收集到的国内电商平台漏洞总数达 1169 个,其中 2015 年电商平台漏洞数为 414 个,相比于 2014 年,漏洞总数上涨了 68.98% 。但这只不过是电商平台目前存在的安全问题的冰山一角。从乌云平台上可以看到,大如阿里系的电商平台,拥有专业的安全团队,依然可能存在可被获取服务器权限的漏洞。其他电商网站有的刚配上专业的安全团队,有的可能对安全的重视程度还未达到需要配专业安全团队的地步。总的来说,电商网站的安全道路任重而道远

国产KK 病毒一天感染80 万用户

来自中国的一家海外移动分发平台——深圳市卓越创想科技有限公司,被发现是 KK 插件病毒的制造者。KK 插件可以在手机操作系统中弹出恶意广告,其在 Google Play 中的变种已有至少 185 个之多,感染了全球 30 多个国家的超过 700 万用户。东南亚国家的 KK 插件感染最为严重。又是一个明目张胆的移动安全恶性案例。

戴尔电脑的后门

今年,联想两度因笔记本产品中预装恶意软件而被暴光。前不久,戴尔电脑也被发现预装类似Superfish 的自签名根证书 eDellRoot ,自签名根证书可用于发动中间人攻击,除了 Firefox 之外的浏览器将会接受 eDellRoot 签名的 HTTPS 连接,并偷偷解密用户的加密网络流量。删除 eDellRoot 后重启电脑又会被重新安装。戴尔起初对这一事件进行了否认,但随后变为道歉并表示发布移除工具

除此之外,戴尔电脑的服务标签被发现可以作为指纹跟踪用户。造成这一攻击的根源在于戴尔官方技术支持应用Dell Foundation Services 使用了自签名根证书eDellRoot。安全研究人员称,只有卸载Dell Foundation Services 才能避免被跟踪,卸载eDellRoot 没有用。

远程入侵原装乘用车

自从特斯拉汽车被黑客们成功入侵后,关于汽车破解的话题在国内安全界引爆,如2014 年的 GeekPwn 、SyScan360 等都有该项目。随着越来越多的新技术被引入到汽车上,新型的攻击方式也成为可能。近日,国外一个安全团队发布了一份报告,详细讲述了远程攻击一台原装的 2014 年款吉普切诺和类似的车辆的过程。唐朝实验室翻译组的朱于涛、刘家志翻译了这份报告()。文章证明,大量的菲亚特- 克莱斯勒汽车都可以被远程攻击。存在漏洞的车辆成千上万。

安全报告

趋势科技发布2015 年版中国地下网络犯罪报告

报告发现针对已泄漏数据而开发的搜索引擎和新型银行卡信息盗取设备正帮助地下网络犯罪分子更加容易地实施犯罪。比如犯罪分子可以更方便地在“社工大师”(Social Engineering Master)这样的泄漏数据搜索引擎中找到他们想要的数据。

新型银行卡信息盗取设备也帮助网络犯罪分子通过更多渠道窃取持卡人信息。报告提到当前有三种主要的“窃卡器”。一种是在刷卡机上动手脚,另一种是在自动取款机上安装窃卡设备,还有一种是口袋窃卡器。这种小到让人不易察觉的磁性读卡器可以存储多达2048 张银行卡的信息。这种读卡器不用连接电脑和电源就能工作。

阿里移动发布2015 年第三季度安全报告

近日,阿里无线安全团队发布了2015 年第三季安全报告。报告对移动应用的病毒、漏洞、仿冒三大类安全问题进行了分析,从数据来看,应用安全问题仍然严峻。报告还指出,随着智能设备和万物互联的发展,安全问题将面临巨大的挑战。更多请查看完整版报告

爱加密发布国内首份《P2P 平台移动端安全白皮书》

近日,移动信息安全体系服务商爱加密发布了国内首份《 P2P 平台移动端安全白皮书》,对 P2P 平台移动端安全 2015 年上半年整体发展状况进行总览。报告显示,国内排名前 300 家的 P2P 平台移动客户端 100% 存在安全风险。其中,有 56% 的 P2P 平台 APP 存在高危风险;9% 存在中危风险,35% 存在低危风险。常见风险主要集中在业务安全、组件安全、发布规范、应用管理以及数据安全等五个方面。

安全开发

AWS Java SDK 存在 DDoS 漏洞

AWS 的 SDK 常被开发者用于整合一系列的 AWS 服务,包括像 Amazon S3 中整合 Amazon APIs 用于存储和索引文件等。近日, AWS Java SDK 被确认一处安全漏洞。其中已确认包括 1.8.0~1.10.34 在内的官方版本都受此漏洞的影响。最新 1.10.36 版 SDK 则修复了这个漏洞。

产生这个漏洞的原因存在于 SDK 的 SdkDigestInputStream类的skip 方法。标准中规定其应该返回略过的字节数,但在一些特殊情况下其会返回-1。漏洞可以通过AWS Java SDK 操纵存储在Amazon S3 上的文件来实现对Web 服务的攻击。攻击者可以上传文件到S3 存储中让Web 服务使用SDK 执行,执行时可能会出现死循环从而导致拒绝服务。

Python 安全编码指南

现在一般的 Web 开发框架的安全性已经做的比较好,但是一些不规范的开发方式还是会导致一些常用的安全问题,在两年的安全代码审查工作中,安全研究人员 Enrico Branca 针对这些常见的问题做一些总结。最后他总结道,永远不要以为那些第三方类库会一直按你期望的那样运作,也绝对不要以为在使用它的时候是安全的。当然,Python 是一门伟大的语言,Enrico Branca 会继续使用下去。


给InfoQ 中文站投稿或者参与内容翻译工作,请邮件至 editors@cn.infoq.com 。也欢迎大家通过新浪微博( @InfoQ @丁晓昀),微信(微信号: InfoQChina )关注我们,并与我们的编辑和其他读者朋友交流(欢迎加入 InfoQ 读者交流群)。

2015-12-02 16:132330
用户头像

发布了 64 篇内容, 共 26.6 次阅读, 收获喜欢 11 次。

关注

评论

发布
暂无评论
发现更多内容

Gate.io 平台通证 GT:持续赋能与销毁、财富效应显著

股市老人

如何找到可靠的海外云服务器租用商

Ogcloud

云服务器 香港云服务器 美国云服务器 海外云服务器 云服务器租用

剖析——陪玩源码,陪玩平台搭建的各种必备功能与收益来源,游戏陪玩系统源码

DUOKE七七

php 开源 uniapp 陪玩系统源码

ByConity BSP 解锁数据仓库新未来

网罗开发

YOLOv5 的量化流程及部署方法

地平线开发者

自动驾驶 算法 地平线征程5 地平线征程6

2024数据库编程大赛-八强决赛成绩揭晓

NineData

Doris NineData 第二届数据库编程大赛

向量更新的3种方式

DashVector

人工智能 数据库 大模型

2024年OpenTiny年度人气贡献者评选正式开始

OpenTiny社区

开源 前端 OpenTiny

优化大宽表查询性能,揭秘GaussDB(DWS) 谓词列analyze

华为云开发者联盟

GaussDB #数据库 analyze

全新红娘交友系统定制版源码| 相亲交友小程序源码全开源可二开_

DUOKE七七

php 开源 uniapp

性能优化!突破性能瓶颈的尖兵CPU Cache

不在线第一只蜗牛

性能优化

向量检索的3种方式

DashVector

人工智能 数据库 向量检索 大模型

聚力创新|首届BIOV生命科技与再生医疗国际峰会在泰国曼谷圆满举行

TechubNews

华为阅读年度榜单揭晓:汇聚精品内容,打造沉浸式阅读盛宴

最新动态

阿里发布多模态推理模型 QVQ-72B,视觉、语言能力双提升;OpenAI 正在研发人形机器人丨 RTE 开发者日报

声网

阿里大佬翻遍全网Java面试文章,总结出这份1658页文档,GitHub收获25K+点赞

Summer

Java 程序员 面试 架构师 大厂

Elasticsearch filter context 的使用原理

极限实验室

elasticsearch filter querycache

轻至986g,续航18小时、120TOPS算力!ThinkPad X1 Carbon Aura AI元启版刷新商务AI PC巅峰体验

科技范儿

大语言模型的上下文窗口 (Context Windows)

澳鹏Appen

文本生成 LLM 大语言模型

华为ensp--BGP路由黑洞

阿落ovo

三面滴滴失败,总结了Java面试题,有几个题还是一直搞不懂

Summer

Java 程序员 面试 架构师 大厂

指标管理+AI大模型深度融合,开启智能数据分析管理新时代

袋鼠云数栈

探索Flink动态CEP:杭州银行的实战案例

Apache Flink

大数据 flink 数据分析 CEP 实时处理

三场与AI有关的死亡

脑极体

AI

对话 Project Astra 研究主管:打造通用 AI 助理,主动视频交互和全双工对话是未来重点

声网

Altair RapidMiner 解锁更高级别的功能,支持用户无缝构建和部署高级 AI agent

Altair RapidMiner

机器学习 #人工智能 altair #数据分析 RapidMiner

出海电商如何解决网络问题

Ogcloud

SD-WAN 跨境电商网络 外贸网络 SD-WAN国际专线 国际网络专线

安全半月谈:潜伏了7年的Xen漏洞与中国地下网络犯罪报告_安全_魏星_InfoQ精选文章