一周安全要聞:支付寶實名認證現漏洞 綁定多個未知賬號
原創國慶前夕,有用戶的支付寶移動客戶端中不斷出現異地登錄的提醒,更改密碼或鎖定設備仍無法阻止其登錄,這引起了不少用戶的恐慌。然而,支付寶帶來的恐慌并未止于此。10月10日,某支付寶用戶又曝出實名認證漏洞,令用戶驚慌不已,紛紛檢查自己的賬號。
本周四,某支付寶用戶登陸支付寶后無意間打開支付寶實名認證頁面,發現如下情況:自己的實名認證信息下多出了5個未知賬戶。作為賬戶主體,該用戶完全不知道是在什么時間,就有了這5個綁定賬戶,也完全沒收到任何形式的確認或是告知信息,通知告知用戶,其實名認證賬戶下就被綁定了以上5個賬戶。
據美國科技新聞網站Engadget本周五報道,美國知名新聞媒體《華爾街日報》后臺系統目前遭到了黑客攻擊,導致大量訂戶和讀者的信息被盜取。
美國移動電話服務公司T-Mobile于周四(10月1日)發出通告說,為T-Mobile公司處理信用卡申請的益百利公司,其一個業務部門被黑客入侵,導致1500萬用戶個人信息泄露, 包括用戶姓名、出生日期、地址、社會安全號等。
美國TPP摘要提到,“TPP各方承諾,在保證合法公共政策(如個人信息保護)的前提下,確保全球信息和數據的自由流動,互聯網和數字經濟靠其驅動。”TPP文件電子商務部分的條款不僅禁止政府強制的數據主權規定,政府亦不可以要求查看在TPP地區注冊成立的公司的源代碼。
“機器人正在崛起——別以為是《終結者》中那些笨重的家伙,而是有能力更快更好地學習的智能機器人。”Gartner副總裁達里爾·普拉瑪在2015Gartner研討會/IT博覽會上說道,“這些將是會思考的機器,智能將無處不在。”
技術解析:
面對加固程序,當前比較流行和常用的脫殼方法主要是兩種方法。一種是靜態的逆向分析,其缺點也很明顯,難度大而且無法對抗變換算法。另一種主要是基于內存dump技術的脫殼。缺點在于需要考慮先bypass各種反調試的方法,同時還需要面對日益發展和新的層出不窮的反內存dump的各種技巧。
當路由器或者三層交換處于內網中,劫持能否使用,答案是可以的。通過建立七層應用層隧道(GRE為三層網絡層隧道),就像我們個人電腦一樣,穿過內網。或者直接同內網的一臺服務器建立連接,劫持數據(經過驗證,但是公網測試時,對端是一臺公網CISCO路由器2911,沒試過服務器,開發能力有限)。
為了攻擊并解密WhatsApp數據庫,攻擊者需要一個存在于數據文件夾中的密鑰文件,而訪問該文件的唯一途徑就是擁有root權限。此外,該密鑰文件是解密WhatsApp數據庫所必不可少的。
安全工具:
其他:


















