深度分析及防护——加密木马攻击,海莲花?

内容导读

随着匿名者攻击事件的跟踪分析走向深入,5月28日,又一系列针对中国的攻击行为浮出水面。这个被大家称为“海莲花”组织所实施的攻击,其攻击特性是怎样的,到底是单纯的木马,还是APT?随之而来的攻防思路会发生怎样的转变?用户又该如何应对?

本报告从此次攻击事件中截获的典型木马样本入手,分析其攻击行为,对比木马及APT的特性,为用户思考下一步的应对方案,给出了转变思路的攻防模型,提出未来攻防战中胜负判断标准及发展方向,并推荐了应对此次攻击的解决方案及实施步骤。

防护方案:匿名者攻击跟踪分析

We’re keeping, we’re watching

5月29日,接国家网络与信息安全信息通报中心(以下简称通报中心)通告。该监测工作随即升级为应急响应,绿盟科技威胁响应中心随即启动应急机制,响应工作随即启动。

28日,绿盟科技威胁响应中心接报,匿名者(Anonymous)发起Opchina的动作,信息监测升级;
29日,接通报中心通报,监测工作升级为应急响应,启动相关分析及数据汇总工作,云安全运营团队,服务团队与各行业客 户保持24小时候畅通;
30日,将线上及线下信息汇总形成报告,呈送CNCERT、通报中心及网信办;
1日,对各方面信息汇总,并发布防护方案。

绿盟科技威胁响应中心持续关注匿名者攻击事件的进展,如果您需要了解更多信息,请联系:

绿盟科技威胁响应中心微博 http://weibo.com/threatresponse
绿盟科技微博 http://weibo.com/nsfocus
绿盟科技微信号 搜索公众号 绿盟科技

网络安全应急响应的新常态

赵粮 博士 首席技术官

摘要:新一代威胁不仅传播速度更快,其所利用的攻击面也越来越宽广,可以覆盖移动、桌面、网络、Web和各种应用、社交网络等。这样,一方面留给应急响应的时间窗口越来越小,另一方面应急响应所需的威胁知识、专业技能、技术手段等却不断增加。专业化、系统化、自动化等越来越关键,大规模的安全情 报系统和专家社会网络系统相互融合,“天地人机”协同作战将会成为网络安全应急响应的新常态。


PHP远程DoS漏洞深入分析
及防护方案

2017最新注册送体验

5月14日,国内爆出php远程DoS漏洞,官方编号69364。利用该漏洞构造poc发起链接,很容易导致目标主机cpu的占用率100%,涉及PHP多个版本。绿盟科技威胁响应中心随即启动应急机制, 应急响应工作随即启动。

  1. 15日夜,启动漏洞分析工作,同步将分析结果发送产品团队;
  2. 16日,发布产品规则升级通告,绿盟科技RSAS产品升级相继就绪,客户通过在线及离线升级的方法,即可获得漏洞的检测能力;同时,在线漏洞检测引擎就绪;
  3. 17日,漏洞深入分析进行中。绿盟科技NIPS产品升级就绪,客户通过在线及离线升级的方法,即可获得漏洞的防护能力;
  4. 18日,我们回顾此次PHP漏洞的信息要点,从PHP漏洞防护的角度进行总结,为大家制定防御方案提供补充信息。

如果您需要了解更多信息,请联系:
绿盟科技威胁响应中心微博 :http://weibo.com/threatresponse
绿盟科技微博:http://weibo.com/nsfocus
绿盟科技微信号:搜索公众号 绿盟科技

业务设计缺陷分类

2014绿盟科技互联网金融安全报告

绿盟科技发布2014年互联网金融安全报告。报告收集了在2014年互联网金融行业中的134份安全漏洞,对互联网金融常见的安全漏洞进行了及深入分析,并从业务设计角度给出了防护方案,包括越权漏洞代码防护、任意用户密码修改、恶意注册代码防护、恶意短信代码防护等。报告对于互联网金融组织及从业人员具有参考价值。

“FREAK SSL Attack”科普版(2018年送彩金网站大全2015-0204)

FREAK是”Factoring RSA-EXPORT Key Attack”的缩写。

参看:

http://blog.cryptographyengineering.com/2015/03/attack-of-week-freak-or-factoring-nsa.html

这是个一群密码学家如何黑了NSA的故事,也是关于加密体系后门的故事。

一群来自INRIA、Microsoft Research和IMDEA的密码学家发现OpenSSL客户端(比如 Android系统)、Apple SSL/TLS客户端(比如Safari)存在某些漏洞,允许MITM攻击者 将受攻击的SSL/TLS会话所用的RSA算法更改成出口级RSA算法,后者意味着可以在可 接受的时间范围内对算法所用的模数进行素因子分解,从而最终解密SSL/TLS会话。

ElasticSearch 远程代码执行漏洞分析(2018年送彩金网站大全2015-1427)&高级利用方法

0x00 漏洞概述

要结合上一篇文章一起来看 我第一次知道2018年送彩金网站大全2015-1427这个漏洞是在2月13日(春节放假前一天),但是当时想着过年,而且觉得应该是Groovy自身的问题,就也没太在意。知道前两天兰少(lupin)问我有没有看这个漏洞,说他找到了绕过了沙盒的方法,才跑去看。

我跟lupin玩这个洞的思路不太一样,而且漏洞原理在他的文章里已经说的很清楚了,我这篇文章主要侧重这个漏洞利用的各种玩法。

剖析安卓木马Androrat(一)

0x00 前言

之前有一个想法,想通过学习Android木马的编写来了解Android程序的编写,刚好看到了Bincker给的一个《安卓木马编写教程》。刚照着教程写完了一个入门程序,就无意间在WooYun上发现了Androrat的这个木马,看上去功能挺强大的,就决定来看一看它都是怎么实现各种功能的。

这篇文章对于我整个分析过程的重新整理,一方面为了给自己做个记录,另一方面给想要涉及Android领域的同学先抛一块砖垫脚。

Drupal 7.x系列核心代码SQL注入漏洞分析

0x00 漏洞概述

2014年10月15日,德国安全2017最新注册送体验者Stefan Horst(SE大神)发布重磅消息,全球三大CMS之一的Drupal核心代码出现SQL注入漏洞。

本着朝圣的心态,我去深入的分析了这个漏洞的成因以及利用。个人感觉这个漏洞可以说是打开了SQL注入的一扇新的大门,因为它直接呈现出预编译方法,并非SQL注入的绝对防御。

而在利用方面,我找到了一种利用这个SQL注入轻松RCE的方法,只需要两个HTTP请求哦!

一次app抓包引发的Android分析记录

0x00 起因

最近想了解下移动端app是如何与服务端进行交互的,就顺手下了一个某app抓下http包。谁知抓下来的http居然都长这个模样:

POST /ca?qrt=***Login HTTP/1.1
Content-Type: application/x-www-form-urlencoded
Content-Length: 821
Host: client.XXX.com
Connection: Keep-Alive
c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b=AD178E267CA8666F636D6C54ADC1B3AEAD736574696950776D71A9BEACADA7A8727762A8C0AA67656172736A6D676F706E6369837F726C71A5AAA4756C656963ADC1A6797870615E676E7063666C756CAC7E&ext=&v=alex