Vista首爆重大漏洞多家网站被植入相关病毒

在安全性上被寄予很大希望的Vista操作系统，近日爆出首个重大漏洞。3月29曰，瑞星反病毒专家发现该漏洞已经开始被黑客利用，使用Windows Vista和XP的用户．在访问带毒网站时会被威金病毒、盗号木马等多种病毒感染。据监测，国内已有近十个网站被黑客攻陷。     

Web渗透实例分析与实践

由于Web存有大量的安全隐患问题,本文为此提出Web渗透实例分析与实践研究。以某医疗Web为例,对其进行渗透测试分析。运用NMAP和Burpsuite等工具对Web进行扫描,检测出Web存有注入类漏洞;通过Appscan、Wireshark等工具对Web找回密码过程发送的HTTP请求进行抓包,发现Web存有脚本类漏洞;通过X-Scan扫描器扫描,发现Web服务器中web.coinsdf明文存储了数据库的账户连接信息,证明Web存在配置类漏洞;经渗透测试,表明该医疗Web以注入漏洞、失效身份认证、跨网站脚本(XSS)三种问题漏洞数量最多。Web渗透实践过程中需要经历目标搜索、信息收集、漏洞探索、漏洞利用、内网转发、内网渗透、痕迹清除、撰写测试等流程,以此来能保证渗透结果的有效性。     

自己动手打造 全能Web漏洞利用工具

“动力系统文件上传漏洞”和“动网论坛文件上传漏洞”这类Web脚本漏洞最近闹得热火朝天。一些会VB编程的朋友都制作了对应的漏洞利用工具，使得大量的Web网站被攻击。至于如何利用VB来编写工具实现对漏洞的利用，我想很多朋友都希望知道。只有了解漏洞的原理与利用方法。才能够对自己的Web网站进行更好的防御。下面我将带领大家领略全能Web脚本上传漏洞制作全过程。不精通VB编程的朋友也可以轻松制作出一款漏洞利用工具。     

木马 别和我玩躲猫猫

以前，我曾认为只要不随便运行网友发来的文件就不会中病毒或木马，但后来出现了利用漏洞传播的冲击波，震荡波，以前，我曾认为不上小网站就不会中网页木马，但后来包括国内某知名游戏网站在内的多个大网站均在其首页被黑客挂上了木马。从此，我知道，安全，从来没有绝对的。     

抽检2714个政府网站超半数存在安全隐患

2013年，病毒中心抽取全国2714个政府网站，就网站存在的安全漏洞和被挂马情况进行专项检查。检查发现1367个网站存在安全隐患，占全部被抽检政府网站数量的50.4%，高中低风险漏洞共21265个，平均每个网站存在15.6个风险漏洞。其中，高风险漏洞占漏洞总数的4.9%，低风险漏洞占漏洞总数的49.4%。     

浅析电视台网站安全的构建

本文以某地区电视台网站为例.分析Web应用系统的安全威胁,探讨了网站的安全问题.介绍了网站程序代码设计和服务器存在的一些安全性漏洞,最后给出了解决方案.     

黑客入侵企业网站疯狂传播木马，欲建僵尸网络

近日,江民公司反病毒中心监测到,国内有黑客入侵某知名公司网站种植PCSHARE后门木马,如果用户IE浏览器存在HHCTRL漏洞,访问该公司页面即会感染后门病毒。感染病毒后,用户计算机可能被黑客完全控制,黑客可以利用大量染毒电脑组建成僵尸网络,从而对互联网发起拒绝服务攻击或是租借他人从中牟利。据江民反病毒专家何公道介绍,PCSHARE病毒系一     

半月病毒播报

病毒名称:Hack.Exploit.Swf.a病毒类型:后门木马Hack.Exploit.Swf.a 是一种利用最新 Flash 漏洞溢出的攻击型病毒程序,通常被植入人气旺盛的网站。当用户浏览该网站时,此病毒将尝试攻击用户电脑,打开漏洞之后,方便其他病毒、木马的侵入。此时,瑞星杀毒软件的文件监控会自动过滤拦截这种攻击程序,随后弹出相应提示。当用户看到弹出查杀 Hack.Exploit.Swf.a 病毒提示时,说明杀毒软件已经成功拦截了利用Flash 漏洞溢出的攻击程序,此时该电脑并未中毒。由于带毒网站的病毒无法被本机上的杀毒软件清除,当用户再次访问该网站时,杀毒软件会再次拦截并提示。     

“XP帮助”莫名其妙弹出？瑞星专家：这是遭最新漏洞攻击

近日,WindowsXP系统被爆出最新0adv漏洞（CVE-2010-1885）,黑客可借此入侵网站,在网站服务器的ASX文件中嵌入漏洞代码,当用户浏览这些网站时,其个人电脑就会被木马侵入继而自动下载多种盗号木马、恶性病毒等。在此挂马过程中,用户系统的“帮助和支持中心”会主动弹出。     

基于规则库和网络爬虫的漏洞检测技术研究与实现

Web技术是采用HTTP或HTTPS协议对外提供服务的应用程序,Web应用也逐渐成为软件开发的主流之一,但Web应用中存在的各种安全漏洞也逐渐暴露出来,如SQL注入、XSS漏洞,给人们带来巨大的经济损失.为解决Web网站安全问题,文章通过对Web常用漏洞如SQL注入和XSS的研究,提出了一种新的漏洞检测方法,一种基于漏洞规则库、使用网络爬虫检测SQL注入和XSS的技术.网络爬虫使用HTTP协议和URL链接来遍历获取网页信息,通过得到的网页链接,并逐步读取漏洞规则库里的规则,构造成可检测出漏洞的链接形式,自动对得到的网页链接发起GET请求以及POST请求,这个过程一直重复,直到规则库里的漏洞库全部读取构造完毕,然后继续使用网络爬虫和正则表达式获取网页信息,重复上述过程,这样便实现了检测SQL注入和XSS漏洞的目的.此方法丰富了Web漏洞检测的手段,增加了被检测网页的数量,同时涵盖了HTTP GET和HTTP POST两种请求方式,最后通过实验验证了利用此技术对Web网站进行安全检测的可行性,能够准确检测网站是否含有SQL注入和XSS漏洞.     

CSRF攻击的原理解析与对策研究

跨站点请求伪造（CSRF）是一种广泛存在但是一直没有被网站开发人员和管理人员重视的网站漏洞．因此被称为”沉睡的巨人”。相比目前已经被广泛重视和研究的跨站脚本漏洞（XSS）,它更加难以防范。该文分析了现有的Web安全缺陷,深入阐述了跨站点请求伪造漏洞产生的原理,并与跨站脚本漏洞进行了对比。在服务器端和客户端分别提出针对此漏洞的应对策略。     

捷普网络脆弱性智能评估系统

Web的开放性广受大家的欢迎,与此同时,Web系统将面临着形形色色入侵攻击的威胁,针对Web应用安全漏洞的攻击也在逐渐成为主流的攻击方式。利用网站操作系统的漏洞和Web服务程序的SQL注入漏洞等,黑客能够得到Web服务器的控制权限,从而轻易篡改网页内容或者窃取重要内部数据,甚至在网页中植入恶意代码（俗称“网页挂马”）,使得更多网站访问者受到侵害。     

给网站做“体检”

Web漏洞、网页木马,如今的网站安全问题防不胜防,定期给网站做"体检"显得尤未必要。最近几天,某制造企业自设的B2B网站突然接到大量用户的投诉,说是只要登陆网站,就会遭到木马攻击。该企业经理半信半疑地自己登陆尝试,果然也遭到了木马攻     

网站服务器的安全维护

网络的飞速发展为经济和社会的发展带来了巨大的影响,不断完善的网络信息化,并且有效地提高了工作效率。不过,人们在享受着信息化成果的同时,也同样面临被网络攻击和网络危害的风险。作为网站管理者,如果能主动发现网站服务器漏洞和Web网站漏洞,并积极采取补救措施,就可以很大程度降低网站安全风险,减少损失。     

启明星辰推出远程网站安全检查服务产品

7月18日,国内信息安全领先企业启明星辰公司在京发布了一款专门针对网站安全的标准化服务产品——安星远程网站安全检查服务产品。Web漏洞、网页木马这些令网管员头疼的问题可以通过远程方式进行详细的检测,相当于对网站进行全面体检,     

Web前端常见安全问题及对策

介绍了近些年在Web安全方面常见的一些案例,然后介绍了Web前端安全方面常见的几种漏洞,以及在开发过程中采用何种策略规避这些Web漏洞,降低和避免Web网站受到攻击。     

360:Struts2漏洞拉响网站安全红色警报

360网站安全检测平台近日发布红色警报称,广泛应用在国内大型网站系统的Struts2框架正在遭到黑客猛烈攻击。利用Struts2"命令执行漏洞",黑客可轻易获得网站服务器ROOT权限、执行任意命令,从而窃取重要数据或篡改网页,目前国内至少有3500家网站存在该高危漏洞。据乌云漏洞平台显示,运营商及金融等领域大批网站,甚至包括政府网站均受Struts2漏洞影响。     

基于Web系统的文件上传漏洞解析

由于Web技术的迅猛发展,Web系统功能愈加丰富多彩,传统的Web系统仅用于信息发布,而如今的Web系统应用,如购物网站、论坛、微博功能愈加完善,不仅有信息发布,还有网民娱乐、购物、聊天等功能,功能的完善意味着这些网站安全问题的突出,许多网站存在头像上传、附件上传等功能,由此便产生了文件上传漏洞,安全管理者和安全运维者的责任则更加突出,安全问题亟待解决。     

黑客盯上物流行业相关网站频遭“挂马”

近日,国内知名物流公司申通快递网站首页“挂马”被清除。360安全中心提醒广大电脑用户。当前许多购物网站、物流网站普遍存在挂马网页、钓鱼网页等安全威胁。用户电脑中如果存在软件漏洞,就会被植入恶意代码．面临个人信息被盗的威胁。     

产品

【绿盟科技“极光V4”】7月11日,绿盟科技发布极光新版远程安全评估系统——“极光”V4。该产品的多级分布式部署、开放式平台、多任务、多用户能力有效地支持了运营商、部委等大型网络的需求。绿盟科技基于最新的“开放漏洞出了Web应用安全漏洞检测,通过对被检测站点进行深度内容分析,找出可被浏览的ASP、JSP、PHP、CGI等页面,同时可以分析被检测站点页面源代码,以检测网站是否存在SQL注入或输入验证信息泄露等漏洞。极光V4将漏洞评估、漏洞与风险分析、漏洞验证等漏洞管理工作流程自动化,同时将常用评估、报告和升级等任务自动化…