万达春晚提前泄密

悄悄拍到了万达人自编自导自演自己看的新春联欢会带妆彩排画面!啥也不说了,哥悄悄的拍完悄悄的剪到现在已经没力气敲字了,都在视频里了。

践行行业责任 保障移动支付安全-55家单位在京发布自律宣言

#注意1分35秒#
浙江龙盛(600352)融资融券信息(12-27)
看完投个票吧,哥根据票数决定要不要在此发布万达春晚完整视频

韩日缔结军事情报保护协定
激光入侵企业系统 《烧脑24小时》揭秘网络攻击新形势

中国企业应该更加重视他们对员工的教育和流程的管理,从而更好地实现安全技术投资应该带来的价值。
万达春晚,将于1月14日16:40正式上演.
微信扫一扫关注该公众号

安全能否跟上技术的前进步伐呢?这个问题值得深思。需要保护的不仅仅是网站,还有你的客户应用程序、后台办公系统、桌面和可移动设备、闪盘以及云环境。

猜您喜欢

模块化安全意识培训课程
中国顶级黑客关注安全意识培训
简单三步,轻松实现全员EHS意识教育
春节临近 这8个好消息 个个影响你的钱袋子!
XCADR WILSONSAUCTION
网络安全公益短片防范外国情报机构聘用的军事间谍活动

FBI网站被黑致数据泄露,Plone官方回应:我们的系统没有0day漏洞!

【新朋友】点击标题下面蓝字「皮鲁安全之家」关注
【老朋友】点击右上角,分享或收藏本页精彩内容
【公众号】搜索公众号:皮鲁安全之家,或者ID :piluwill
著名黑客CyberZeist最近入侵了FBI网站(FBI.gov),并将几个备份文件(acc_102016.bck,acc_112016.bck,old_acc16.bck等)公布在了Pastebin,数据内容包括姓名、SHA1加密密码、SHA1盐和电子邮件等。
CyberZeist这名黑客颇有名气,他曾是Anonymous的一员,2011年有过黑入FBI的经历。除此之外,巴克莱、特易购银行和MI5都曾是他手下的受害者。

入侵的具体时间是在2016年12月22日——CyberZeist利用Plone内容管理系统(CMS)的0-day漏洞侵入了FBI.gov。Plone的内容管理系统被认为是迄今为止最安全的CMS,很多高级部门使用这个CMS,其中就包括FBI。
CyberZeist解释说,他所利用的这个0-day不是他发现的,他只是想用FBI的网站测试一下这个漏洞,结果就成了。其他网站同样可能遭受相同的0-day攻击,比如说知识产权协调中心以及欧盟网络信息安全机构。
德国和俄罗斯的媒体相继报道了此次黑客入侵事件,而美国的许多主流媒体却刻意忽视了这件事。
FBI在得知了CyberZeist的入侵后,就立即指派安全专家展开修复工作,但是仍未修复Plone内容管理系统的0-day漏洞。CyberZeist发现了FBI的修复工作后,并发了一条具有嘲讽性质的的推特。
他对这条推特进行了补充:
我当然没有得到root权限(这明显嘛),但是我就是能知道他们在跑6.2版本的FreeBSD,这份数据最早可以追溯到2007年。他们最后的重启时间是2016年12月15日晚上6:32。
CyberZeist透露说:
这个0-day漏洞是他从tor网络上买到的,而卖家不敢侵入FBI.gov这种网站。现在已经停止出售,我会在推特上亲自放出这个0-day漏洞。
该漏洞目前仍存在于CMS的某些python模块中。
点击这里可以看到CyberZeist在Pastebin之上的动态。
后续更新Plone安全团队看到CyberZeist这样黑Plone的CMS系统,他们当然坐不住了。于是Plone发了一篇博客全盘否认了CyberZeist的“发现”。
“Plone的安全团队已经看到了CyberZeist的犯罪声明,并对此Plone进行了检测,事实证明‘FBI被黑’是一个骗局。无论是Plone还是在基于Plone的系统都不存在0-day漏洞。”
小编看到这篇博客的时候表情是这样的。哇,好足的底气。你这不光打了CyberZeist的脸,还留下一个懵逼的小编。让我们继续往下看。
Matthew Wilkes(Plone安全团队的成员)解释了为什么他们的团队认为‘FBI被黑’和‘Plone存在0-day漏洞’是骗局的原因。
原因一 ——版本不对Plone是用python语言写的且运行在Zone的上层。Zone是一个基于python的网页应用服务器。而在CyberZeist的推特中,他是这么写的“我当然没有得到root权限(这明显嘛),但是我就是能知道他们在跑6.2版本的FreeBSD”。你们造吗,FreeBSD 6.2只支持Python2.4和2.5版本,但是Plone并不能在这种老版本上跑。
原因二——哈希值、盐值不一致CyberZeist所泄露的数据的密码哈希值、盐值与Plone将生成的值不一致。这表明这些泄露的数据使在另一台服务器上批量生成的。值得一提的是,CyberZeist泄露的这些FBI邮箱在几年前就曾公之于众。(嘿嘿,就算FBI真的被黑了,也不是Plone的锅)
原因三——文件名称不符CyberZeist声称他在含有.bck扩展文件的网页服务器的中发现了备份文件里的登录信息。但是,Plone数据库备份系统不会生成含有.bck扩展名的文件,而且Plone生成的备份存储在web服务器目录之外。
Wilkes说:
“修改这种行为方式很难,而且对于他来说没有任何好处。”

被指性骚扰遭遇网络暴力后 星河创服COO选择辞职

原因四-截图有破绽CyberZeist在推特上上传的某些截图迫使FBI.gov暴露部分源代码。然而此类攻击通常是针对PHP应用程序的,对于没使用cgi-bin扩展类型的Python网站是不可能成功。
有一张截图显示的是邮件信息,这些信息很有可能是从FBI服务器的邮箱日志里提取的。
涉密网络通常与互联网进行了物理隔绝,针对涉密网络的攻击需要跳板,技术上得注意U盘,手机等移动设备接入涉密网络,更重要的是加强人员的安全意识教育。
“这很有可能是他自己的服务器日志,他虽然把这个服务器日志名称改得和FBI一样,但是却忘记把邮件显示的时区从印度标准时间到东部标准时间”
原因五-CyberZeist有“造假”前科没错,CyberZeist在这之前曾有“造假”记录。而伪造这次攻击的目的,可能是为了捞钱。FBI.gov作为一个使用Plone的知名网站,成功侵入它对于其他黑客来说具有很大的吸引力,很多黑客自然会到Tor网络上去买这个实际上不存在的0-day漏洞。要知道这个0-day的售价是8比特币,约9000美金。
在CyberZeist的“谣言”传出之前,Plone已经宣布了将在1月17日之前发布新的安全补丁,新的补丁与此次的0-day无关,旨在修复次要,低危的安全问题。
参看来源:http://securityaffairs.co/wordpress/55042/data-breach/fbi-hacked.html、http://www.networkworld.com/article/3155104/security/plone-dismisses-claim-that-flaw-in-its-cms-was-used-to-hack-fbi.html#tk.rss_all 来自Freebuf
之前的报道: FBI 网站被入侵,数据被公开后遭黑客嘲讽
近日,FBI 遭遇黑客打脸,不仅网站被黑,网站数据被直接公布在网上,而且入侵者还通过社交网络公开表达了自己略带嘲讽的“新年问候”。
据雷锋网了解,泄露出来的数据为网站的几个备份文件,目前已经被公布在Pastebin 网站上,其中包括FBI网站的用户名、电子邮件地址、经过SHA1算法加密后的密码以及加密用的盐值。
此次入侵者 CyberZeist 入侵的手法主要是利用了FBI 网站 所使用的 CMS 内容管理系统的一个零日漏洞,而这个名为 Plone 的系统被公认为有史以来最安全的CMS内容管理系统。
据悉,入侵者 CyberZeist 曾经是“匿名者”黑客组织 Anonymous 的一员,其本人在业界也可谓“臭名昭著”。2011年,他就曾经入侵过FBI的相关机构,除此之外,还黑过巴克莱、特易购银行以及 MI5(没错,就是 你在 特工007电影里看到的那个“军情五处”)
如何防范假冒WiFi热点
当雷锋网编辑尝试访问 CyberZeist 的推特时,他正在发起一个公开投票,让所有人来帮他确定下一个网络入侵的目标,里面有四个选项:政府组织、银行机构、军方、其他。
看到该页面,雷锋网编辑仿佛听到了 黑客 CyberZeist 内心的嘶吼:“还有谁!?”
然而,虽然 CyberZeist 是入侵者,但其入侵 FBI 时利用的零日漏洞并不是他自己发现的。CyberZeist 对外表示:
我并不是这个漏洞的发现者,只是拿着这个漏洞去FBI的网站试了一下,没想到居然成了!
CyberZeist 透露,该漏洞是他从匿名网络 Tor 上买来的,漏洞存在于 Plone 内容管理系统的某些 python 模块中,卖家并不敢利用该漏洞来入侵 FBI 的网站(但是他敢),目前已经停止出售。但 CyberZeist 表示自己之后会在推特上公布该漏洞。
FBI 在得知了 CyberZeist 的入侵消息后,立即指派安全专家展开修复工作,但目前 Plone 内容管理系统的 0-day 漏洞仍未被修复,对此 CyberZeist 还发布过一条具有嘲讽性质的的推特。
除此之外,CyberZeist 还对 FBI 在安全方面的疏忽表达了强烈不满,他表示,自己原本就是担心黑客利用该漏洞对FBI进行攻击,出于安全测试的目的才将在FBI网站上尝试,结果发现 FBI 的网站管理员犯下了一些低级错误,他们将大量备份文件直接暴露在同一台服务器上,最终导致CyberZeist 成功访问到这些文件。
此后,CyberZeist 又发布了一条消息,表示国际特赦组织的网站也收到此漏洞的影响,该消息得到了对方的证实。

银湖网接入“无忧存证” 全面升级数据安全

据雷锋网了解,只要该漏洞仍未被修复,所有使用该系统的网站都可能面临相同风险,其中包括欧盟网络信息与安全机构以及知识产权协调中心等等。
来自:雷锋网

国家互联网金融安全技术联盟在爱投资进行网络安全监测试点

回复
获得以下图文等信息
论坛
可进入微论坛畅谈
任意
官方机器人陪聊
首页
查看技术文档(逐步更新中)
留言
进入留言板
相册
国内外大牛真容
该文章作者已设置需关注才可以留言
微信扫一扫关注该公众号

搞信息化时,首先要问问:是内部开发、外部采购,还是使用开源系统?它们各有利弊,除了根据现状做出最佳选择外,在后期的工作中如何扬长补短也是认真需要考虑和实践的。

猜您喜欢

安全人,这八个危机意识帮你绷紧弦!
再谈信息安全意识推广计划
企业安全意识之歌
河北邢台一对夫妻在拆迁工地纵火被抓
PIENSOYJUEGO JKLASKQW
年度安全会议上的老问题与新战略