安全快讯Top News

Github 上出现 PS4 4.05 固件的内核利用,越狱指日可待

圣诞节已经过了,但圣诞老人没闲着,他为全体 PlayStation 用户带来了一份特殊的礼物。开发者 SpecterDev 今天终于发布了 PlayStation 4(固件 4.05 )的内核漏洞。两个月前,Team Fail0verflow 公布了技术细节。 这个内核的 exp 大家可以在 GitHub 上找到,名叫 “ namedobj ” ,这个 exp 能让用户在游戏控制台上运行任意代码,从而越狱或者进行内核级的修改。 尽管 PS4 内核漏洞利用不包括越狱代码,但其他开发者可以在此基础上开发一个完整的越狱工具。 通过越狱,用户可以运行自定义代码,或者安装 mods,作弊插件、第三方程序和游戏,这些东西由于索尼 PlayStation 的反盗版机制原来都是不可能的。 SpecterDev 说:“不过这个版本并没有绕过反盗版机制或运行自制软件相关的任何代码。这个漏洞的确包括一个 payload,用于监听 9020 端口的有效载荷,并接收命令。” 不过 exp 的稳定性值得注意。 “ 在我的测试中,这个漏洞的成功率实际上稳定在 95% 左右,WebKit 很少崩溃,内核也是如此,我创建的补丁程序只会让内核漏洞在系统上运行一次。“ SpecterDev 警告说。 运行固件版本低于 4.05 的 PS4 游戏玩家可以使用相关的 exp 。 稿源:FreeBuf早餐铺,封面源自网络;编辑:榆榆

暴涨暴跌,比特币或失宠于网络黑市?

据外媒 12 月 26 日报道,知名安全调查员 Brian Krebs 发表博文称比特币作为地下网络犯罪中最常用的虚拟货币,其价格的飙升以及交易的相关费用可能会导致交易者将目光转向其他虚拟货币。 Krebs 称长期以来比特币的优势都在于其支付速度快、价格便宜、使用方便。在今年年初之前,比特币的收费还不到 0.10 美元。 而现在因为比特币价格的上涨以及支出的其他交易费用使得比特币在进行小额美元交易方面的吸引力大大降低,但这些交易占据了地下犯罪分子使用比特币支付交易的绝大部分。目前这种情形造成了数个主要的地下市场敦促其客户将资金存入其他的虚拟货币中,比如快捷、廉价的莱特币。 Krebs 引用了 Carder’s Paradise 的例子来进行解释。据悉,该商店也遭受了比特币价格上涨带来的困扰。 目前 Carder’s Paradise 的最低存款金额是 0.0066 BTC(大约USD $ 100),而每次交易的手续费为 15.14 美元,这意味着每当黑市的用户向该商店存入最低金额时,都会损失大约 15% 的交易手续费。问题是, Carder’s Paradise 将所有存入的资金转给供应商时,这些供应商会收取额外的比特币交易费(与用户存款时相同的费用),甚至有时会遇到存入 1 美元多付 5 美元的情况,以至于 Carder’s Paradise 不得不从用户那收取在供应商处花费的交易费。为了补偿用户的成本,Carder’s Paradise 只有降低其价格(包括信用卡),并为用户提供更好的比特币汇率。 Krebs 解释说,交易费的金额取决于比特币网络上的负荷。但是,无论存款金额如何,交易费都保持不变,例如 10 $ 和 1 000 $ 的交易费是一样的。若比特币价格持续上涨,那么这个业务将就不会再为 Carder’s Paradise 赢利,因为所有的收入都将花在比特币的交易费上。 因此,Carder’s Paradise 希望用户尽可能多地使用 莱特币 。该商店负责人表示若用户储蓄的是莱特币, 他们不会收取任何额外费用。 针对该种情况,Krebs 在其博文中写道,虚拟货币在促进非法贸易方面发挥着至关重要的作用,其波动对犯罪生态系统产生的重大影响是很正常的。 消息来源:Security Affairs,编译:榆榆,校审:FOX; 本文由 HackerNews.cc 编译整理,封面来源于网络。 转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。

普林斯顿信息中心( CTTP )发现浏览器“自动填充”漏洞最新玩法

据外媒 12 月 27 日报道,普林斯顿信息技术政策中心( CTTP )发现了利用浏览器“自动填充”漏洞窃取用户信息的最新玩法。目前,所有浏览器的登录管理器都存在着一种设计缺陷 ——登录管理器允许浏览器记住用户在每个特定网站上的用户名和密码,并在用户再次访问该网站时自动将其插入到登录表单。正是因为登录管理器的这种工作方式,网络追踪者可以在加载追踪脚本的网站上嵌入隐藏的登录表单,以便窃取用户信息。 普林斯顿隐私专家警告说,广告和分析公司利用登录管理器的漏洞设置隐藏的登录字段秘密提取网站用户名,并绑定未经身份验证的用户的个人资料或电子邮件访问该网站。 安全隐私专家称这种漏洞已存在十多年,仅在 XSS(跨站点脚本)攻击期间搜集用户信息。不过目前恶意人士已设计了新的攻击方式。 据悉,普林斯顿研究人员于近期发现了两种利用隐藏登录表单收集登录信息的网络跟踪服务:Adthink (audienceinsights.net) 、 OnAudience (behavioralengine.com)。这两种跟踪服务利用其脚本搜集了在 Alexa Top 100 万网站列表中发现的 1110 个网站的登录信息。目前登录信息只包含了用户名或电子邮件地址 ,并没有涉及到重要的密码信息。 鉴于这种情况,广告公司和分析公司通过窃取的用户名/电子邮件创建一个散列,并将该散列与网站访问者的现有广告配置文件绑定。研究人员介绍,电子邮件地址的散列是一个良好的跟踪标识符。因为电子邮件地址是唯一的、持久的,并且用户的电子邮件地址几乎不会改变,清除 cookie、使用隐私浏览模式、或者切换设备都不会阻止跟踪。网络追踪者可以通过电子邮件地址的散列来连接分散在不同浏览器、设备和移动应用程序上的在线配置文件。此外,该散列还可以作为 cookie 清除之前和之后浏览历史记录配置文件之间的链接。 知情人士透露,除了 Brave 浏览器之外,其他主流浏览器似乎都容易受到这种类型的攻击,例如基于 Chromium 的浏览器在用户点击页面时披露用户密码。研究人员目前已提出解决方法:厂商将浏览器设置为仅在用户与实际需要登录的字段交互时再自动填充即可。 根据普林斯顿的说法,秘密收集用户数据不仅限于侵犯了个人用户的隐私,实际上可能也违反了欧盟即将实行的 GDPR 法规,即使有些网站所有者并不清楚其行为属于跟踪范畴。 相关阅读 普林斯顿信息技术政策中心(CITP)提供的演示页面 消息来源:Bleeping Computer,编译:榆榆,校审:FOX; 本文由 HackerNews.cc 编译整理,封面来源于网络。 转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。

以太坊交易平台 EtherDelta 被黑,失窃近 27 万美元以太币

据外媒 12 月 27 日报道,以太坊交易平台 EtherDelta 的域名服务器( DNS )证实近期遭到黑客攻击,致使 308 以太币( 约合 $266,789 )及潜在价值数十万美元的代币被窃。据悉,此次网络攻击发生于本月 20 日,一度导致 EtherDelta 平台暂停服务,官方当日发表推文公布其 DNS 服务器遭受攻击等相关细节。直至 22日 EtherDelta 平台才完全恢复服务。 知情人士透露,此次黑客主要通过 DNS 劫持诱骗用户发送钱款。官方指出伪造的应用程序中不仅没有导航栏上的聊天按钮,也没有官方 Twitter 提要,并且还具有一个伪造的订单簿以便获取用户信任。 EtherDelta 在其推文中呼吁所有用户不要访问假冒的网站,并承诺使用 MetaMask 和 hardware 钱包的用户不会受到影响,以及从未在钓鱼网站上输入私钥的用户也是安全的。 目前全球各地已发生多起黑客入侵虚拟货币平台事件,如近期韩国加密货币交易所 Youbit 在今年第二次遭受重大攻击后宣布破产,加密货币矿业市场 NiceHash 也证实因黑客攻击导致价值 6000 万美元的比特币损失。 研究人员认为虚拟货币价格的飙升是吸引网络犯罪分子频繁进行攻击行动的主要原因。 更多阅读: ○ 韩国比特币交易所 YouBit 遭黑客入侵 宣布申请破产 ○ 挖矿算力市场 NiceHash 近 6400万美元比特币被盗 ○ 专家:2018 年比特币等加密货币将成黑客主要攻击目标 消息来源:Security Affairs,编译:榆榆;校审:FOX 本文由 HackerNews.cc 编译整理,封面来源于网络。 转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。

央行发通知规范条码支付业务:不得变相用于理财等

据中国人民银行网站消息,中国人民银行近日发布关于印发《 条码支付业务规范( 试行 ) 》的通知。《 通知 》要求,支付机构不得基于条码技术,从事或变相从事证券、保险、信贷、融资、理财、现金存取等业务。银行、支付机构开展条码支付业务应遵守客户实名制管理规定;遵守反洗钱法律法规要求,履行反洗钱和反恐怖融资义务。 《 通知 》要求,严格遵循业务资质及清算管理要求。非银行支付机构(以下简称支付机构)向客户提供基于条码技术的付款服务的,应当取得网络支付业务许可;支付机构为实体特约商户和网络特约商户提供条码支付收单服务的,应当分别取得银行卡收单业务许可和网络支付业务许可。 银行业金融机构(以下简称银行)、支付机构开展条码支付业务涉及跨行交易时,应当通过人民银行跨行清算系统或者具备合法资质的清算机构处理。银行、支付机构不得新增不同法人机构间直连处理条码支付业务;存量业务应按照人民银行有关规定加快迁移到合法清算机构处理。 《通知》明确,规范条码支付收单业务管理。银行、支付机构应当加强条码支付收单业务管理,严格遵守商户实名制、商户风险评级、交易风险监测等基本规定。为实体特约商户提供收单服务,应履行本地化经营、商户定期巡检责任;为网络特约商户提供收单服务,应强化对网络支付接口的使用管理和交易监测,采取有效的检查措施和技术手段对其经营内容和交易情况进行检查。银行、支付机构与外包服务机构开展条码支付业务合作的,应明确外包服务机构定位,加强管理,防范业务风险。 《通知》提出,发挥行业自律作用。银行、支付机构从事条码支付业务,应接受中国支付清算协会行业自律管理。中国支付清算协会应将条码支付特约商户纳入协会特约商户信息管理系统管理;对条码支付外包服务机构,一并纳入中国支付清算协会银行卡收单外包服务机构评级体系管理。对被实名举报涉嫌违法违规开展条码支付业务的,中国支付清算协会应按照《支付结算违法违规行为举报奖励办法》及其实施细则的相关要求进行处理。 《通知》还提出,支付机构不得基于条码技术,从事或变相从事证券、保险、信贷、融资、理财、担保、信托、货币兑换、现金存取等业务。银行、支付机构发现特约商户发生疑似套现、洗钱、恐怖融资、欺诈、留存或泄露账户信息等风险事件的,应对特约商户采取延迟资金结算、暂停交易、冻结账户等措施,并承担因未采取措施导致的风险损失责任;发现涉嫌违法犯罪活动的,应及时向公安机关报案。 同时,银行、支付机构开展条码支付业务应遵守客户实名制管理规定;遵守反洗钱法律法规要求,履行反洗钱和反恐怖融资义务;依法维护客户及相关主体的合法权益。银行、支付机构应确保客户身份或账户信息安全,防止泄露,并根据收付款不同业务场景设置条码有效性和使用次数。 此外,银行、支付机构应自觉遵守商业道德,不得以任何形式诋毁其他市场主体的商业信誉,不得采用不正当竞争手段排挤竞争对手、损害其他市场主体利益,破坏市场公平竞争秩序。 中国人民银行关于印发《条码支付业务规范(试行)》的通知 银发〔 2017 〕296 号 中国人民银行上海总部,各分行、营业管理部,各省会(首府)城市中心支行,各副省级城市中心支行;各国有商业银行、股份制商业银行,中国邮政储蓄银行;各非银行支付机构;中国银联股份有限公司,中国支付清算协会,网联清算有限公司: 为规范条码支付业务,保护消费者合法权益,维护市场公平竞争环境,促进移动支付业务健康可持续发展,现将《条码支付业务规范(试行)》(附件)印发给你们,并将有关工作要求通知如下,请一并遵照执行。 一、严格遵循业务资质及清算管理要求 非银行支付机构(以下简称支付机构)向客户提供基于条码技术的付款服务的,应当取得网络支付业务许可;支付机构为实体特约商户和网络特约商户提供条码支付收单服务的,应当分别取得银行卡收单业务许可和网络支付业务许可。 银行业金融机构(以下简称银行)、支付机构开展条码支付业务涉及跨行交易时,应当通过人民银行跨行清算系统或者具备合法资质的清算机构处理。自本通知发布之日起,银行、支付机构不得新增不同法人机构间直连处理条码支付业务;存量业务应按照人民银行有关规定加快迁移到合法清算机构处理。 二、规范条码支付收单业务管理 条码支付收单业务,是指收单机构与特约商户签订受理协议,在特约商户按约定受理基于条码技术的支付方式并与付款人达成交易后,为特约商户提供交易资金结算服务的行为。银行和支付机构在为特约商户提供条码支付收单服务时,应执行《银行卡收单业务管理办法》(中国人民银行公告〔 2013 〕第 9 号公布)、《中国人民银行关于加强银行卡收单业务外包管理的通知》(银发〔 2015 〕199 号)等规定。银行、支付机构应当加强条码支付收单业务管理,严格遵守商户实名制、商户风险评级、交易风险监测等基本规定。为实体特约商户提供收单服务,应履行本地化经营、商户定期巡检责任;为网络特约商户提供收单服务,应强化对网络支付接口的使用管理和交易监测,采取有效的检查措施和技术手段对其经营内容和交易情况进行检查。银行、支付机构与外包服务机构开展条码支付业务合作的,应明确外包服务机构定位,加强管理,防范业务风险。 三、发挥行业自律作用 银行、支付机构从事条码支付业务,应接受中国支付清算协会行业自律管理。中国支付清算协会应将条码支付特约商户纳入协会特约商户信息管理系统管理;对条码支付外包服务机构,一并纳入中国支付清算协会银行卡收单外包服务机构评级体系管理。对被实名举报涉嫌违法违规开展条码支付业务的,中国支付清算协会应按照《支付结算违法违规行为举报奖励办法》(中国人民银行公告〔 2016 〕第 7 号公布)及其实施细则的相关要求进行处理。 四、加大监督检查力度 已开展条码支付业务的银行、支付机构应当全面梳理自身条码支付业务情况(含境内、跨境、境外业务)并形成报告,包括但不限于按年度统计的业务量、产品介绍、业务流程、技术方案、风险管理机制、境内外机构合作情况、资金清算模式、收费标准及利润分配机制、客户权益保护措施、外包服务机构信息及外包范围、以及根据本通知进行自查的情况及整改方案等。2018 年 1 月 31 日前,全国性银行将报告报送人民银行总行,其他银行和支付机构将报告报送法人所在地人民银行分支机构。 银行、支付机构和清算机构开展条码支付业务创新,拓展跨境、境外条码支付业务的,应当至少提前30日向人民银行总行或法人所在地人民银行分支机构报告。 人民银行分支机构依法对辖区内银行、支付机构条码支付业务进行监督管理,加大检查力度,对违规行为应按照《非金融机构支付服务管理办法》(中国人民银行令〔 2010 〕第 2 号发布)、《银行卡收单业务管理办法》、《非银行支付机构网络支付业务管理办法》(中国人民银行公告〔 2015 〕第 43 号公布)等相关规定予以处理;对情节严重的,依照《中华人民共和国中国人民银行法》第四十六条规定予以处罚。 请人民银行分支机构将本通知转发至辖区内城市商业银行、农村商业银行、农村合作银行、农村信用社、村镇银行、外资银行。 稿源:cnBeta、中国新闻网,封面源自网络;

暗网揭秘:含信用卡等全套个人身份信息售价 5~25 美元

从犯罪经历层面考量:除非你的信息特别有价值,否则没有黑客会专门针对个人发起攻击,尝试窃取你的身份信息。在棱镜监控丑闻以及频发的数据泄露事件影响下,普通网民认为身份窃取有着明确的个人倾向和影响,然而事实上这些黑客行为并不会针对个体发起攻击,而是形成了一套完整的商业牟利的方式。 外媒 TheNextWeb 的编辑 Emily Wilson 耗费数年对暗网、地下社区进行调研之后,总结了这些被窃取的信息(通常是个人信息)是如何被讨论、销售、评估和交易的。 在他第一次接触暗网并进行分析的时候,被暗网中所充斥的个人信息经济规模所震撼。在此之后,他经常能够接触到包含姓名、住址、电子邮件账号和密码的曝光信息。窃取身份的行为就像是穿着一个隐身斗篷,站在你的旁边看你在 ATM 机上取钱,只不过在网络上情况还要更糟糕。 那么什么是暗网? 暗网是地下网络的总称,只有通过匿名方式才能访问。这些技术会掩盖用户的上网地址,并且很难找到暗网的主机托管地址。而且各种打击活动往往会导致暗网宕机下线,例如在今年夏天进行的执法行动中就打掉了名为 Alphabay 的大型暗网市场。 暗网事实上是在隐私保护基础建立的网络,主要保护用户和网站本身。同普通网民所持观点不同,大部分的暗网活动都是合法的。在 2016 年的调研报告中表示有超过 50% 的暗网网站本身是合法的,甚至于纽约时报就推出了一个暗网版本的网站。 自然,其中一部分暗网是由犯罪企业组建的。在这些暗网上供应商们会提供被偷窃的信用卡、用户数据、网站钓鱼教程或者新的漏洞套件。那些为合法用户提供保护的技术被平台用来保护非法物品和服务达成。 繁荣的犯罪经济 暗网经济充斥着骗局和不稳定性,但是搭建暗网平台却非常容易。首先管理员建立电子商务平台(类似于 eBay ),提供支付服务、审查功能和争议机制。一些市场还提供了丰富的货物和服务(例如可卡因毒品、流媒体视频账号、公共事业账单模板–基本上是一站式商城),而且还有一些特别的网站会专注于毒品或者网络欺诈。 供应商会提供丰富的产品类目,发布各种光鲜的广告,提供假日折扣,甚至大批量购买还有更多优惠。正如其他商业模式,想要从事网络欺诈的买家会寻找规模更大、有资历的供应商,目标是实现整个流程自动化,并最大限度的提高投资回报。这就意味着必须要确保购买精准的社会安全号码、信用卡数据和准确的密码等等。 犯罪分子并不会关心这些信息来自何处、隶属于谁,或者在清空银行账户之后会产生什么影响。他们只是希望从中牟取不法利益,并且最大化赚钱效率,因此他们的目标往往是最容易操作的数据类型。 那么什么样类型的数据最畅销?或者说需求最大?社会安全号码( SSNs ,身份证信息)兼具价值和有用两大特性。 SSN 号码能够轻松访问其他账号,无论是更改密码还是其他操作。SSN 能够用于查找其他信息(姓名、出生日期、住址和联系方式)等,在按网上,一个 SSN 号码的售价只有数美元,不过在其中一组暗网上销售的儿童 SSN 号码(包含父母双方的)达到了 10 美元。 完整的身份包(暗网内叫做 fullz )也是非常有价值和易于交易的。Fullz 通常包含姓名、出生日期、住址、社会安全号码、财务详情和其他相关个人信息。在暗网上一个身份包的出售价格在 5 – 25 美元之间,具体价格取决于信息价值。 网络欺诈无处不在 那么买家在拿到这些身份信息之后会怎么做?他们并不会特别针对某个个体发起诈骗,但你依然可能会成为受害者。任意时刻只要新的数据集进入到犯罪经济中,这些数据就会陷入使用和重复使用、销售和重复销售的循环中,直至过期。 部分信息的保质期有限(例如信用卡被取消或者因被窃而更改),但部分信息依然会持续数年、数十年甚至是永久。这也是为何之前 Equifax 的数据泄露事件会产生如此重大危害的原因,在事件中被曝光的并非只是支付卡信息,而是会跟随美国人一辈子的信息。 显然,这些信息是非常有价值的,而且难以改变。目前 Equifax 被窃取的数据并未在暗网上销售,但并不意味着就没有黑客会使用、交易这些数据。 那么作为普通网民现在能做什么? 首先你必须要掌控基础安全。正如我(TNW 编辑)此前多次强调的,使用强密码并且在不同网站上使用不同密码(推荐使用密码管理器)。如果可行的话尽量使用双因素认证方式。 其次是提高对身份窃取的意识,将其视为整个行业输出链条的一个部分。对于犯罪分子来说,清空你的银行账号或者提交欺诈性的退税报告和普通白领办公没有差别。 稿源:cnBeta,封面源自网络;

韩国将禁止开设虚拟货币匿名账户

韩国政府于 12月 28 日发表声明称,该国将推行额外措施,以监管比特币交易中的投机行为。这些措施包括禁止开设匿名账户、在司法部要求下关闭虚拟货币交易所等措施。 声明中称:“ 政府已多次警示,虚拟货币不能作为实际货币,有可能因过度波动性导致高损失。”  声明中还提到,韩国交易所的多数虚拟货币价格比其它国家交易所要高很多。 此前于 12 月 13日,韩国正式宣布抑制加密货币投机的措施,包括禁止金融机构持有加密货币和进行加密货币投资,寻求阻止未成年人和非居民进行加密货币交易。同时,韩国财政部将考量针对加密货币征税的可能性。 稿源:新浪科技,封面源自网络;

研究称智能手机传感器可以泄露你的 PIN 码

即使一些人可能已经窃取你的智能手机,如果他们不知道你的 PIN 码对他们可能也不会有太大的好处。现在来自新加坡南洋理工大学的研究人员已经创建了一个系统,可以根据传感器提供的信息正确猜测手机的 PIN 码。 在 Shivam Bhasin 博士的领导下,研究团队通过让三个人在 Android 智能手机上随机输入 70 个四位 PIN 码来 “ 训练 ” 系统。在每部手机上安装了一个特殊的应用程序,从加速计、陀螺仪、磁力计、接近传感器、气压计和环境光线传感器收集数据。 随后研究人员利用深度学习算法来分析数据,将特定传感器读数与屏幕键盘上的特定数字进行匹配。Bhasin 解释说:“ 当你拿着你的手机并输入 PIN 码时,按 1、5 或 9 时手机的移动方式是非常不同的。同样,用你的右手拇指按下 1 将比按下 9 时阻挡更多的光线。” 当系统根据传感器的反应猜测四位数的 PIN 时,在解锁使用 50 个最常用 PIN 之一的电话时,准确率为 99.5 %(不超过三次尝试)。 Bhasin 认为,可以想象的是,人们可能会不知不觉地利用技术将恶意软件下载到手机上。在访问手机的传感器和获取用户的 PIN 后,程序会将信息传输给能够解锁手机的人。 为了防止这种情况发生,他建议手机操作系统限制对手机传感器的访问,以便用户只能授予可信任应用程序的权限。 关于这项研究的一篇论文最近在《 Cryptology ePrint Archive 》杂志上发表。 稿源:cnBeta,封面源自网络;

“雷鸟”安全飞行:Mozilla 修复 Thunderbird 高危漏洞

据外媒 12 月 26 日报道,Mozilla 近期为其流行的开源  Thunderbird (”雷鸟 “)电子邮件客户端发布了重要安全更新,解决了其 RSS 和客户端中的缓冲区溢出漏洞、用户信息泄露、假冒邮件地址等问题。 Mozilla 于 12 月份发布了五个漏洞修补程序,以下内容为漏洞的具体信息。 CVE -2017-7845(危急) 运行在 Windows 操作系统上的 Thunderbird 的关键缓冲区溢出漏洞,是五个漏洞中最为严重的一个。Mozilla 公告显示,在使用 Direct 3D 9 和 ANGLE 图形库(用于 WebGL 内容)绘制和验证元素时会发生缓冲区溢出,因为检查期间在库中传递的值不正确导致了潜在可利用的崩溃。不过这一漏洞仅影响 Windows 操作系统,其他系统不受影响。 CVE-2017-7846(高危) 存在于雷鸟 RSS 阅读器中。通过网站查看 RSS Feed 时,例如通过 “View – > Feed article – > Website” 或标准格式的 “View – > Feed article – > default format”查看内容时,可以在解析的 RSS Feed 中执行 JavaScript 代码 。 CVE-2017-7847(高危) 在 RSS Feed 中制作的 CSS 可能会泄露并显示包含用户名的本地路径字符串。 CVE-2017-7848(中等) RSS 字段可以在创建的电子邮件结构中注入新行,修改消息正文。。 CVE -2017-7829(低) 假冒发件人的电子邮件地址,向电子邮件收件人显示任意的发件人地址。Mozilla 解释若在显示字符串中以空字符开头,那么真正的发件人地址将不会被显示出来。 今年早些时候,Mozilla 表示将更新雷鸟的用户界面,并将其与 Firefox 浏览器更加紧密地结合,逐步取消对 XUL 和 XPCOM api 上构建的传统组件的支持。 消息来源:threatpost,编译:榆榆,校审:FOX; 本文由 HackerNews.cc 编译整理,封面来源于网络。 转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。

三年后的今天,数百网站仍潜伏着 WordPress 恶意插件

据外媒 12 月 26 日报道,WordPress 团队于 2014 年发现并删除的 14 个 WordPress 恶意插件如今仍然被数百个网站使用。这些恶意插件可能允许攻击者远程执行代码,导致网站信息泄露。目前,WordPress 团队已经提供了应对措施。 WordPress 团队 2014 年初披露 14 个 WordPress 插件存在恶意代码,能够允许攻击者在被劫持的网站上插入 SEO 垃圾邮件链接,从而通过邮件获得该网站的 URL 和其他详细信息。直至 2014 年底,官方才从目录中删除了这些恶意插件。 WordPress 恶意插件死灰复燃 WordPress 团队最近发现官方插件目录被人为更改,导致原本已屏蔽的旧插件页面仍然可见,并且所有插件都包含有恶意代码的页面。这表明在官方删除恶意插件的三年后仍有数百个站点还在使用着它们。 为了保护用户免受恶意插件的侵害,一些专家曾建议 WordPress 团队从官方插件目录中删除恶意插件时提醒网站所有者,但这一想法被 WordPress 团队以“可能致使站点面临更大安全风险”的由否定。这个建议争议的地方在于,它造成了一种道德和法律上的两难境地:删除插件能够保护网站免受黑客攻击,但同时也可能对网站一些功能造成破坏。 目前,为了抵御一些主要的安全威胁,WordPress 开发人员在发现被感染的插件后会将其回滚到最后一个“干净”的版本,并将其作为一个新的更新强制安装在所有受影响插件的站点上。这样既能删除恶意代码、维护网站安全,同时也能保证网站功能不受影。 消息来源:Bleeping Computer,编译:榆榆,校审:FOX; 本文由 HackerNews.cc 编译整理,封面来源于网络。 转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。