-
ElasticSearch Groovy 脚本 远程代码执行漏洞 应急概要
-
MongoDB 管理程序 phpMoAdmin 远程代码执行漏洞分析
文 / 知道创宇研究团队 2015 . 03 . 04
近日，在国外媒体 thehackernews 上有报道称：开源 MongoDB 的管理程序 phpMoAdmin 存在严重的安全漏洞，并称该漏洞信息已经在黑市上流传！就在今日，安全社区公布了相关漏洞细节及利用程序，同时，有很多公司及组织对该漏洞进行了分析。知道创宇研究团队分析代码后发现：phpMoAdmin 存在多个远程代码执行漏洞点，且这些漏洞点被很多包括安全人员在内的人忽视了。
以下是我们的具体分析报告。 -
给开发者的终极XSS防护备忘录 V1.0
提供给开发者的Web应用程序XSS防护快速指南
译者注：因为觉得这份文档真心不错，很多人也都推荐，有翻译的价值，于是利用每天下班后的时 间做了下翻译，主要靠自己的理解以及谷歌翻译，前后大概是一个礼拜的时间。 文档中所有的翻译都争取保留原文的格式，但为了更清楚明了以及语义通顺，一些地方做 了一些修饰词及顺序的更改。
译者联系方式：
微博：http://weibo.com/fooying
知乎专栏：http://zhuanlan.zhihu.com/fooying
微信公众号：0xsafe
内容请看附件：
翻译版：给开发者的终极XSS防护备忘录
-
当安全协议不安全了:OpenSSL漏洞
-
解析波兰遭遇大规模DNS劫持事件
-
说说你的网站被黑经历
上篇我八卦了下QQ空间钓鱼的黑产背后，收到了一些“威胁”，不过我知道多半是玩笑，毕竟我没爆出什么真的亮点，而且这点小文字，根本影响不到这个黑产集团的利益。不痛不痒。
黑产的八卦放一边，以后慢慢来，一些留言希望我继续科普黑产的同学，先别急。
今天我想说下“被黑经历”，也欢迎各位投点料（自己网站被黑经历）给我:)
2012年11月21，早7点，我发现我的博客被黑了，如封面这张图，说：“i'm sure your site have no xss by the venus hacker”，这英语很有chinese范，我当然不相信谁会用XSS来攻击我用WordPress搭建的博客系统，这年头WordPress的高质量XSS不容易得到，我很快就想到了我是怎么被黑的了，洗漱完后，打开电脑开始排查：
-
[黑产科普]最近大规模的QQ空间钓鱼攻击
小八卦下黑产
这几天收到一些朋友的留言说希望能科普下这个黑产：
“弦哥，能科普下黑产现在发展到什么阶段了吗？普通用户的哪些信息被卖给谁了？”
“你好，可以科普些黑客们做黑产的事吗？他们怎么盈利？刷网游？盗购物单？卖网民隐私？还是做什么赚钱的呢？谢谢科普”
这话题太大了，太大了……
黑产做的都是一些法律不允许或走法律擦边球的一些事，通常都能够暴利，在网络上的黑产分很多种：挂马、暗链、垃圾邮件、钓鱼、中奖欺诈、垃圾站、恶意软件、吸费软件、盗版（电影）、色情、博彩等等，10几种大类，几十种小类，这些欺骗网民感情的网站（除了某些真色情、真盗版电影的网站）都是我们应该警惕的，即使你不中招，你爸妈，亲朋好友也可能中招，大家可以到安全联盟的官网看看每天被网民举报的网址有多少：http://www.anquan.org/seccenter/accusation/，并可以到首页上查下自己访问的一些网站的信誉，如果信誉低劣，就得谨慎了。
-
全球黑客在关注什么之exploit-db Web篇
这周我们做了件有趣的事，团队开了个短会，我提到基于explot-db（http://www.exploit-db.com/webapps/）做出一个统计，来看看这些年的一些漏洞趋势与分布，提交漏洞的黑客排名等，得用UI展现出来，这样会很直观。这个任务交给了yy（我们的一位安全研究员帅哥），很快我们就看到了之前想象不到的效果，好货不敢独享，分享出来让大家也了解了解。
大家打开http://www.exploit-db.com/webapps/，看到的是冷冷的列表，我们知道这个列表如果图形化出来，一定非常好。
我们设计了几个小功能
1. 黑客们提交漏洞的分布情况：到底是什么样的漏洞流行呢，黑客们都经常关注什么漏洞；
2. 都什么服务端语言或平台是黑客们最关心的；
-
网站是被黑了还是被“黑”了？
我们数据中心监控发现了一个有争议的案例，拿出来给大家分享下（尤其是站长朋友哦）。
我们发现一堆网站被植入了“暗链”，不过这个到底是不是暗链引起了我们的讨论，在进入正文前，还是先提下什么是暗链吧：
暗链是一些站长用来SEO的手段之一，经常的一种模式是：黑客入侵一些网站后，将一批链接植入网站首页内容里，设置了display:none（隐藏了），这样正常用户看到网站就和往常一样，没任何影响，可查看网站源码后就会发现封面那张图里的一堆让人恶心的链接。
-
[科普]低调的Flash CSRF攻击
邪恶的Flash小游戏
2008年底，某个月黑风高的夜晚，当时中国第一个微博网站饭否（fanfou.com）正值风光，我对这个网站进行了一次授权安全测试，其中有个漏洞引起了我的思考：如何最大化利用，如何发起一次新颖的攻击。
这个漏洞是CSRF（Cross Site Request Forgery，即跨站请求伪造），这个在当时是普遍不能再普遍，渺小不能再渺小的漏洞。我知道利用这个漏洞可以让用户的权限被劫持，然后自动做些用户无法预知的“坏事”。
更好更安全的互联网
