-
2011-2012中国互联网网站安全报告
2012年3月26日，北京知道创宇信息技术有限公司“2011-2012中国互联网网站安全报告”发布会在金台饭店举行，100多位行业用户、专家学者及国内知名媒体出席了本次发布会。
知道创宇CEO赵伟代表公司致欢迎辞，感谢大家的光临并和大家分享了公司专注于Web安全以及“更好更安全的互联网”公司愿景。中国信息安全测评中心资深安全顾问蒋鲁宁老师对2011年互联网网络安全行业趋势进行了详细的回顾，并探讨了未来的应对策略；CNCERT/CC运行部副主任王明华通过具体的数据对2011年中国互联网网络安全态势进行了深度的解析,并指出网站安全问题依然是未来的安全热点问题。
知道创宇研究部总监钟晨鸣（网名：余弦）对“2011-2012中国互联网网站安全报告”内容进行了详细解读。知道创宇互联网网站监测中心对2011年的挂马、暗链数据按行业及地区进行了统计分析。监测数据显示，网站挂马事件得到了有效控制，但挂马的方式方法变得复杂和多样化。一些国家重点部门以及重点行业的网站仍旧是挂马攻击的主要目标。在网站挂马得到有效抑制的同时，比网站挂马更为隐蔽、不易察觉的恶意行为——暗链，成为了新的、重要的攻击手段。
相关文件：知道创宇2011-2012年中国互联网网站安全报告
2 Comments -
Web应用漏洞的大规模攻击案例分析
当一个流行的Web应用漏洞碰到充满想象力的Web Hackers，会产生什么化学效应？
By GreySign@Yunnan:2012/3/20
我们常常听闻各种Web漏洞被发现、被利用、被大肆宣传，或许安全厂商们都多多少少有点让用户们觉得这只是恐吓营销的手段，
但我们从不这么认为。
从我们的团队创立至今，分析、深入追踪过的案例大大小小已经数不清，但我们也相信，这些被发现的精彩的大规模攻击、APT攻击（当最初我们看到各种高级攻击的时候，还不知道如何称呼它们）只是冰山一角，浮出水面的每个事件，在经过各位安全研究员的深入分析，都足以拍成一部电影。
Anonymous对全球白帽子下了3月31日瘫痪DNS根服务器的挑战书的时候，我相信在这个互联网上大隐于市的高手们经已蓄势待发，默默捍卫承载着无数梦想的国度。与此同时，我们也在贡献着力所能及的微薄力量，时刻响应来自客户、来自国家、来自互联网那些需要我们帮助的安全事件。
在最近一段时间，我们发现了一个大规模攻击，与各位共享一下这个有意思的追踪过程。 Read More »
-
特性导致的安全问题之twitter bootstrap xss风险
余弦（@evilcos）
关于bootstrap
bootstrap是twitter开源的一个前端开发框架（http://twitter.github.com/bootstrap/index.html），你还在怕不会写HTML/CSS吗，各种布局样式超有Web2.0范，bootstrap都帮你搞定了，你只要会搭积木，就可以做出漂亮的网页:)，bootstrap的js特效是基于jquery的，所以使用它之前还得调用jquery。
潜在XSS风险
我们在使用bootstrap发现了一个潜在的XSS点，这个最早是小虎同学（@not_so_bad）在做网页时发现的，弹出了一个框，吓了一跳，报给官方，被忽略。这个问题是这样的：
bootstrap的tooltips插件（http://twitter.github.com/bootstrap/javascript.html#tooltips）可以美化标签的title显示，我们知道默认的显示很一般的，就是操作系统UI的风格，美化后就亮了，不过亮是有代价的。看代码说话。
Read More » -
特性导致的安全问题之github被黑
余弦（@evilcos）
一些资料
github昨天被黑了（在这：wow how come I commit in master? O_o），讨论的很激烈。这个过程有人分析了（这：Hacking Rails (and GitHub)），这次被黑是因为rails的一个特性导致的安全问题（这里已经分析的很详细了：從Github被Hack，談Rails的安全性（Mass-assignment））。
特性害死人
我对rails不熟悉，不过看他们的分析，是由于外部进来的一组变量直接被map进模型中（变量名与模型的字段一一对应，模型的后面可是对应了数据表，多方便啊），这好像没啥奇怪的，不过由于一组变量名与模型的字段是对应的，在rails这个map机制下，可以提交一些本来没对外暴露的字段对应的变量名，这个可能导致字段原来的变量值被覆盖（整个过程类似PHP的变量覆盖风险）。可以覆盖了，那就可能导致各种安全问题。
Read More » -
XSS Hack：获取浏览器记住的明文密码
余弦（@evilcos）
0x01. XSS获取明文密码的多种方式
我已经感受到Web潮流带来的巨大革新，尤其是最近HTML5越来越火。浏览器们在客户端瓜分着这个Web OS，只要是对用户体验好的功能，浏览器之间就会互相学习，然后去实现，但是实现总是存在一些差异，有些差异是用户体验上的，有些则可能带来安全问题。
这篇文章是想深入描述下浏览器记住用户密码这种机制带来的安全问题与实现上的一些差异性。黑客们如何通过技巧获取到浏览器保存的密码，明文。先回到XSS本身上，XSS获取明文密码的方式有哪些？
1. 通过DHTML钓鱼方式
比如document.write出一个登陆页面，或一个登录框。也就是目标网站的登录方式是怎样的，就通过DOM模拟出怎样的。用户很难区分同域内的钓鱼，如果再次输入密码登录时就悲剧了。
2. 通过JavaScript hook住密码框
满足某个事件（如onsubmit/onblur/onchange等）就记录之。
3. 通过JavaScript实现键盘记录器的功能
监听用户在表单里的击键事件，记录击键的值，有时候这个效果会非常不错。
更好更安全的互联网