分类目录归档：IT圈内

2014
12-12

Web安全实战

前言本章将主要介绍使用Node.js开发web应用可能面临的安全问题，读者通过阅读本章可以了解web安全的基本概念，并且通过各种防御措施抵御一些常规的恶意攻击，搭建一个安全的web站点。在学习本章之前，读者需要对HTTP协议、SQL数据库、Javascript有所了解。什么是web安全在互联网时代，数据安全与个人隐私受到了前所未有的挑战，我们作为网站开发者，必须让一个web站点满足基本的安全三要素：（1）机密性... 继续阅读 >
2014
12-12

Heartbleed 心脏出血

BruceSchneierHeartbleed(心脏出血)是OpenSSL中一个灾难性的bug：任何能上网的人都可以通过这个“心脏出血(Heartbleed)”bug读取你的服务器的内存信息——只要你的系统是用这个有漏洞的OpenSSL软件做安全保护的。它会泄露用来认证服务提供商和用来加密内容传输的密钥，还会泄露用户的用户名和密码，以及用户正在使用的内容信息。黑客能利用这个漏洞窃听你和服务器交流的信息，直接窃取你和服务器的... 继续阅读 >
2014
12-12

漫画解释 openSSL 的 heartbleed 漏洞

前几天openSSL的「滴血之心」漏洞造成的恐慌几乎席卷全球，国内外白帽子黑帽子疯狂刷数据刷积分，各大网站的安全部门也是遇到了从未有过的危机。虽然大家都讨论的很热烈，但对于用户们来说，只关心一件事情：我们支付宝里的钱还安全么。除此以外，好奇的人们或许更想知道openSSL的程序员到底犯了什么错误，好在有xkcd这样的geek网站，用最最通俗易懂的方式，向大家展示了这个漏洞的原理和可爱之处。还不明白的同... 继续阅读 >
2014
12-12

许多设备永远都不会修复心脏出血漏洞

本文为作者TomSimonite 发表在TechnologyReview网站上的《ManyDevicesWillNeverBePatchedtoFixHeartbleedBug》一文，主要通过讲述OpenSSL漏洞一事提起了许多联网设备因为缺乏必要的安全管理和软件更新，可能永远都无法修复这一安全漏洞，看似不会造成威海，但却存在非常高的安全风险。本周最受关注的安全问题莫过于 OpenSSL“心脏出血”漏洞，这一漏洞将影响超过2/3网站，几乎所... 继续阅读 >
2014
12-12

全HTTPS时代来临？

Heartbleed动摇了人们对互联网安全的信心，但是如果没有这些加密软件，我们生活的世界会变得比现在更加糟糕。也许我们是时候朝新的方向展望——让加密无所不在。大多数大型网站的加密方式无非两种要么是SSL，要么是TLS，两种安全协议都可以保护用户的密码安全和信用卡信息安全，保证信息在个人用户浏览器和服务器之间传输时的安全。鉴别网站是否使用这两种加密协议，只要看网址开头是不是HTTPS，如果是，说明... 继续阅读 >
2014
12-12

黑客如何入侵你的路由器？

一段时间以前一位从事信息安全的朋友请我做一件奇怪的事情。让我黑掉他的路由器。我们可以叫他bill，出于保护隐私的原因，其它的名字和地点都会有所改变。但是供应商的名字会被保留。入侵一个大公司很容易(也许吧)。他们的信息资源可能分布在全球各地，尽管他们会投资各种各样的防护技术，但这也仅仅是让我们很难追踪他们所有的东西而已。他们得日复一日的为所有资产严格地执行扫描-修补-重启流程，不容有失。但是... 继续阅读 >
2014
12-12

黑客获取数据信息的目的和进攻手段 推荐

一般来讲，黑客执行下一步的网络攻击都需要非静态数据，而进攻取证是一种捕获这种非静态数据的黑客攻击技术”，计算机取证和电子搜索公司LLC伯克利分校研究小组的首席研究员JoeSremack表示。在进攻取证过程中，黑客捕捉内存中的非静态数据用以获取密码、加密密钥以及活跃网络会话数据，这些都可以帮助他们不受任何限制地访问宝贵数据资源。为了说明这一点，举一个进攻取证攻击的简单例子。进攻取证攻击过成功中黑客... 继续阅读 >
2014
12-12

代码审查是如何抹杀开发者积极性的？

代码审查，本身应该是一个相互合作，相互学习，整合团体动力，最终却以消极和敌意为代价向前发展。这种现象是如何造成的，我们又该如何克服呢？原文作者ErikDietrich给出了一些见解。译文如下：前不久，我收到一封有关讨论代码审查的邮件，对方对其抱着无所谓的态度，我想这可能是大部分人持有的态度，这也一直是大多数的代码审查的面临的尴尬状况，但不是全部。与其冒着把孩子与洗澡水一起倒掉的风险，那不如干脆不要... 继续阅读 >
2014
12-12

盘点史上最大胆又阴险的十二大软件后门

在信息时代，要保护个人数据和隐私安全似乎正越来越变成一件艰难的事情。如果软件的创造者或者一些未知的第三方已经悄悄在你的电脑里埋下了后门软件，要确保您正在使用的软件是安全的，则更是难上加难。 下面我们就来盘点一下历史上12大最大胆又艰难棘手、令人讨厌的的软件后门程序。史上十二大软件后门盘点（图：163.com）1.BackOrificeBackOrifice是一个用于揭示微软Windows操作系统安全隐患的roo... 继续阅读 >
2014
12-12

老板 我们的网站又挂了——漫谈 DDoS 攻击

本文作者JohnEllis为Akamai亚太暨日本地区企业安全总监。DDoS工具套组、DDoS-for-hire、比特币、匿名邮件、TOR连线、及形形色色的攻击动机，皆让网络攻击行动之于个人、骇客组织、网络罪犯都变得更加容易。最新的数据显示，DDoS的攻击频率、发展成熟度、及规模都呈现成长的趋势。根据Prolexic发表的2014年第一季全球DDoS攻击报告，DDoS的攻击量与去年同期相比呈现47%的成长，而攻击目标所处的产业也变... 继续阅读 >
2014
12-12

如何用你家的猫黑掉邻家的无线网络

上月月底，华盛顿特区的郊区，一只叫Coco的暹罗猫在社区里游荡。它花了三个小时遍历了附近邻家的后院。它杀死了一只老鼠，然后得意的把死老鼠带回它80岁的老主人南希的家里。Coco在外闲逛时，顺便对附近街坊的无线路由器做了些调查，发现，其中4家路由器是老式的，很容易破解，还有4家根本没有密码。Coco不知道，它脖子上的项圈是南希孙女婿、安全研究员Bransfield设计的。Bransfield在项圈里安装了一个SparkCore芯片... 继续阅读 >
2014
12-12

GitHub上的十一款热门开源安全工具

作为开源开发领域的基石，“所有漏洞皆属浅表”已经成为一条著名的原则甚至是信条。作为广为人知的Linus定律，当讨论开源模式在安全方面的优势时，开放代码能够提高项目漏洞检测效率的理论也被IT专业人士们所普遍接受。恶意软件分析、渗透测试、计算机取证——GitHub托管着一系列引人注目的安全工具、足以应对各类规模下计算环境的实际需求。GitHub上的十一款热门开源安全工具作为开源开... 继续阅读 >
2014
12-12

黑客攻击我们的11步详解及防御建议

安全公司Aorato的一项新研究显示，个人可识别信息（PII）和信用卡及借记卡数据在今年年初的Target数据泄露实践中遭到大规模偷窃后，该公司的PCI合规新计划已经大幅降低了损害的范围。利用所有可用的公开报告，Aorato的首席研究员TalAorato‘ery及其团队记录了攻击者用来攻击Target的所有工具，并创建了一个循序渐进的过程，来讲述攻击者是如何渗透到零售商、在其网络内传播、并最终从PoS系统抓取信用卡数据的。关... 继续阅读 >
2014
12-12

超级黑客的传奇事件

随着手机隐私的泄漏，人们对于网络安全和个人隐私的关注越来越高，黑客利用iPhone的iCloud存储服务可以获得众多用户的个人信息，也让人们对黑客这一群体充满了恐惧与好奇。下面就为大家介绍一些“声名远播”的黑客与他们的传奇事迹。弗雷德•科恩：计算机病毒之父弗雷德·科恩创造了计算机病毒，而他又教人们如何战胜病毒。从1983年他创造计算机病毒之后，31年来无数的公司和个人虽然付出了巨... 继续阅读 >
2014
12-12

10大最常见的数据库安全问题

数据库作为非常重要的存储工具，里面往往会存放着大量有价值或敏感信息，这些信息包括金融财政、知识产权、企业数据等方方面面的内容。因此，数据库往往会成为黑客们的主要攻击对象。网络黑客们会利用各种途径来获取他们想要的信息，因此，保证数据库安全变得尤为重要。尽管意识到数据库安全的重要性，但开发者在集成应用程序或修补漏洞、更新数据库的时候仍然会犯一些错误，让黑客们乘虚而入。本文列出了数据库系统10... 继续阅读 >
2014
12-12

这样设置路由：99.9%的黑客都攻不破

路由安全，是个大话题。路由器的后台设置项太过专业，蹭网卡风靡一时，传说中的黑客似乎厉害的没影......看起来家里这台路由器根本就没得救了。只要有位稍懂的黑客盯上，分分钟被攻破。宅客君（公众号『Letshome』）之前曾从多个角度探讨这个话题，包括技术分析、测试、协议规范溯源等等。但这些东西里边，都没有谈过路由本身多年发展的安全机制。我们忽略了最重要的东西：其实通过路由本身的安全防护，已经可以做... 继续阅读 >
2014
12-12

能存活19年的bug不是bug——有感于微软宣布修复了一个存在了19年的安全漏洞 推荐

近日，各大网站，包括新浪、腾讯、网易、搜狐都报道了一则关于微软宣布修复了一个存在了19年的安全漏洞的新闻，以腾讯科技为例，它的标题是《微软修复已存在19年的漏洞》。对于一个软件制造界外的人来说，这是一个大快人心的消息，就跟一个隐藏了19年的纳粹分子终于被抓住的新闻一样轰动。但以程序员为职业的我，听到这样一个消息，却有一种非常不解、甚至是荒谬、搞笑的感觉。从软件生产的角度讲，如果一个bug能存活19年，那... 继续阅读 >
2014
12-12

盘点互联网巨头奉献的十大开源安全工具

Facebook等大型互联网公司推动的服务器与数据中心、大数据工具的开源化项目类似，当大型互联网公司们在超大规模基础设施运营方面面临的挑战超出技术厂商的能力时，这些巨头就选择反客为主，成为创新技术的推动者和提供者。同样的情况也在信息安全领域中发生着。不少大型互联网公司经常会将自己开发的顶级安全工具开源，推动整个互联网的安全发展。本月早些时候安全牛曾介绍过Google开源的web安全测试工具FiringRange、... 继续阅读 >
2014
12-12

3 分钟视频讲解 SYN Flood 攻击原理

SYNFlood是一种广为人知的DoS（拒绝服务攻击）与DDoS（分布式拒绝服务攻击）的方式之一，这是一种利用TCP协议缺陷，发送大量伪造的TCP连接请求，从而使得被攻击方资源耗尽（CPU满负荷或内存不足）的攻击方式。SYNFlood或称SYN洪水、SYN洪泛是一种阻断服务攻击，起因于攻击者传送一系列的SYN请求到目标系统。当用户端试着与服务器间建立TCP连线时，正常情况下用户端与服务器端交换一系列的信息如下：用户端透过... 继续阅读 >
2014
12-12

我们常用的软件就是这样耍流氓的

你肯定有过这样一种经历，就是下载安装了某些软件之后，要么自己的使用习惯被恶意更改，要么是系统里莫名其妙多出奇怪的东西。技术稍微好点的朋友还能够通过查找问题源、把被修改的主页、修改的注册表再修复回来，不太懂的小白用户通常只能投靠“技术宅”，而如果任由情况不管，时间一长重装系统就是铁定的下场。那么常用的软件到底都是如何耍流氓的呢？今天我们就来聊聊这个话题。有提示和无提示的捆绑安装插... 继续阅读 >
2014
12-11

创业公司失败的20大原因 没市场需求排第一

美国科技市场研究公司CBInsights近期通过分析101科技创业公司的失败案例，总结出了创业公司失败的20大主要原因，包括融资烧完、竞争力不足、产品糟糕和商业模式不佳等。以下是这20个原因：1、没有分析需求就贸然开发产品42%的失败创业公司出现过这个问题。创始人执着于执行自己的创意，却没有弄清楚创意是否符合市场需求。PatientCommunicator的创始人对CBInsights说：“我意识到实际上我们没有客户... 继续阅读 >
2014
12-11

单身创业的迷思

2010年五月，我向公司申请了一个月的停薪留职，我计划用这整整一个月的时间去建立一个我自己的网站形式的创业公司。我的目标就是利用这一个月的假期，把自己关在屋里，编写一个月的代码，把网站的基本架构搭建好，使核心部分能够正常运转，能够创造利润。毋庸置疑，我没有实现原定目标，但是失败的原因并不是那些典型的缺陷，例如项目计划不切实际，没有重心，等等。不是这些原因，我失败的原因是，我只看到了那些成... 继续阅读 >
2014
12-11

决定创业起 两年的感想

木知科技到现在，虽然没有什么大的成就，但我总算做了自己希望做的事。只能说刚起步，在路上。这两年中，对我影响最大的人就是老罗，无论是曾经的老罗语录还是演讲，都让我明确应该以一个什么样的态度去看待这个社会，看待创业这件事。去试试钱钟书先生说:“年轻的时候，我们总是把创作冲动误以为是创作才华。”但不管怎样，不试怎么知道，万一真有才华呢？12年的我比11年更成熟，14年的我比1... 继续阅读 >
2014
12-11

马云：创业智慧！

1、马云：我最遗憾的错误01年，我犯了一个错误，我告诉我的18位共同创业同仁，他们只能做小组经理，而所有的副总裁都得从外面聘请。现在十年过去了，我从外面聘请的人才都走了，而我之前曾怀疑过其能力的人都成了副总或董事。我相信两个信条：态度比能力重要，选择同样也比能力重要！2、马云：不能统一人的思想，但可以统一人的目标千万不要相信你能统一人的思想，那是不可能的。30%的人永... 继续阅读 >