Browse by Tags

瀏覽器XSS防身術比武大會

在噗浪上看到有人抓到了總統府網站的XSS漏洞，在新聞稿網頁嵌入了惡搞的奇笨呆兒脫衣舞男影片。無意發現，這個攻擊手法在IE8上會被擋下來! 之前微軟一再吹噓強調IE8相較於其他瀏覽器來得安全，索性就用這個案例讓五大瀏覽器比劃一下，看看IE8, Firefox, Chrome, Safari, Opera的XSS防身術功力高低: Chrome腹部挨了一拳! Firefox頭上被敲了一記悶棍! Safari背上中了一掌! Opera一個箭步，巧妙閃過! IE8秀了一記後空翻，躲開後還三聲狂笑: "哈哈哈，打不到! 打不到!" (Internet Explorer has...

公佈在黑暗執行緒 (Weblog) 由 Jeffrey 發表於 08-27-2009
多想兩分鐘，你可以不必教User關掉Vista UAC

三年前見識過WebATM網站"教導"使用者設定IE，允許執行所有不標示為安全的ActiveX控制項，我寫了這篇: 讓我們再創台灣的資安奇蹟。啊~~~ 福氣啦!! 前幾天我又發現另一椿資安奇蹟。話說Vista UAC 這份昂貴的保險，讓不少原本依賴管理者權限在Windows裡縱橫的程式紛紛中箭落馬(連Visual Studio 2005/2008都在名單上)，必須透過以管理者權限執行的做法克服問題。不過，像這樣教導使用者索性關閉UAC來個眼不見為淨，未免也太霸氣... 在這份說明裡完全沒提到關閉UAC可能衍生的風險，感覺上只想解決自家軟體的相容問題，力求少接幾通客服電話...

公佈在黑暗執行緒 (Weblog) 由 Jeffrey 發表於 05-20-2009
掃很大掃不用錢的全面式病毒檢測

雖然有點Lag，但我最近才知道有這種服務。當你發現一個懷疑內含病毒或木馬的檔案，上傳過去，就會有善心人士程式一口氣幫你用全世界的掃毒軟體掃過一輪，很美妙吧!? 今天遇到一台安裝Avast的XP在瀏覽某個JPG檔時彈出含毒訊息，但同一圖檔在我安裝AVG的Vista上卻沒警示。一時興起，剛好拿這個可疑檔案來練兵，於是連到 http://www.virustotal.com 上傳檔案後，耐心等候，網頁上開始一一浮現各家掃毒程式的檢查結果。結果是40種掃毒程式裡有9種說有毒。是否為誤判? 還是不得而知，但至少它畢其功於一役，讓全天下的掃毒程式舉手投票，最後再交給聰明的您做最後裁決。要防堵含毒JPG...

公佈在黑暗執行緒 (Weblog) 由 Jeffrey 發表於 05-03-2009
隱含殺機的GET式AJAX資料更新

jQuery的出現讓AJAX網頁的開發瞬間變簡單了。只要寫支簡單的ASPX，用Request["..."]接入前端用jQuery.ajax()傳來的參數，馬上就實現了AJAX式的資料查詢、新增、修改、刪除功能。但是，小心不要寫出如下的程式碼: protected void Page_Load( object sender, EventArgs e) { if (Request[ "mode" ] == "del" ) { try { CheckCookieForAuthentication(); CheckPermission(); Guid...

公佈在黑暗執行緒 (Weblog) 由 Jeffrey 發表於 04-15-2009
Live Messenger強迫換ID?

今早收到一個MSN訊息，寄送者署名Windows Live Messenger Service工作小組: 重要服務宣告: 因應近期系統增強的需要，您必須變更您的電子郵件地址以登入 Windows Live(TM) Messenger Service。若要確保您的存取權限不被封鎖或了解更多相關資訊，請移至 http://support.microsoft.com/gp/Messenger/zh-tw 連到 http://support.microsoft.com/gp/Messenger/zh-tw ，看沒有很懂，所以我切成英文 http://support.microsoft.com/gp/Messenger...

公佈在黑暗執行緒 (Weblog) 由 Jeffrey 發表於 04-07-2009
狗都嫌的Vista UAC，問題在哪裡?

前幾天接獲一件案例，Vista x64連上健保局網站，由於需使用自然人憑證，要安裝ActiveX控制項，結果苦主將IE7的保護模式關閉、也設成信任的網站，反覆嘗試，耗了超過一個小時，仍不得其門而入，接獲報案後，以過來人的經驗建議改用Run As Administrator執行IE，問題迎刃而解。後續的說明中"不小心"提到Run As Administrator是解決大部分UAC障礙的大絕招(前題你要自行承擔該程式夾帶病毒、木馬等惡意程式的風險)。果不其然，在這個案例中又聽到再熟悉不過的評價: Vista的UAC真爛，難怪大家都把它關掉。想一想，我跟一般User的思維不同...

公佈在黑暗執行緒 (Weblog) 由 Jeffrey 發表於 03-15-2009
關於PDF JBIG2漏洞零時差攻擊

Adobe Reader及Acrobat最近傳出有漏洞(Adobe也已證實 )，同時已經有人利用此漏洞製作出黑心PDF檔，算是標準的零時差攻擊(漏洞發布的同時，病毒/木馬程式跟著一起上市)。使用Acrobat或Adobe Reader開啟黑心PDF檔時，其中包藏的惡意程式會利用類似溢位攻擊的方式取得控制權，進而執行夾帶的程式碼下載木馬及幹些見不得人的勾當。先前的認知是這波攻擊要透過Javascript才能生效，因此停用Javascript應具備阻擋攻擊的效果。很不幸地，既然是溢位攻擊，能搞的名堂可多了，幾乎可以為所欲為，已經有人研發出就算PDF停用Javascript也能發動攻擊的版本...

公佈在黑暗執行緒 (Weblog) 由 Jeffrey 發表於 02-25-2009
【茶包射手專欄】Vista Mandatory Integrity Level

不經一事，不長一智。從考完NT 4.0 MCSE後，我就鮮少在Windows上下苦功，都是抱持著用到哪學到哪的精神。今天在Windows 2008(有開UAC)上調 Trixie 設定時，發現設定結果無法儲存，沒彈出錯誤，但下次開IE就又回到修改前的樣子。我知道IE7啟用了所謂的 Protected Mode ，在存取本機資源時設下諸多限制，以防止透過瀏覽器發動的攻擊，這問題八成與權限有關。二話不說，召來茶包一哥進行偵察，果不其然，由Log來看就是權限設定問題。Trixie的設定要寫入Trixie.config.tmp時出現了Access Denied(下圖中紅色部分)。一般來說，利用Run...

公佈在黑暗執行緒 (Weblog) 由 Jeffrey 發表於 02-16-2009
Windows Update! 快!

接到微軟的緊急通知，微軟在12/18發佈了重大安全公告 MS08-078 ，主要是針對IE 5/6/7/8的弱點修補，關於此漏洞的細節可參考 Microsoft 安全性摘要報告 961051 。由摘要報告中指出的漏洞發佈時間是12/10，大約跟上回 IE7零時差攻擊的時點相近，後來發現該漏洞遍及IE6-IE8，並不限於IE7，並陸續提出用XML Island及OLEDB32 Row Position功能的暫代解決方案，最後於12/18提出修補程式。請大家快進行Windows Update或到 MS08-078 公告下載IE更新。據悉已有利用此漏洞的木馬程式( AZN Trojan )攻擊傳出...

公佈在黑暗執行緒 (Weblog) 由 Jeffrey 發表於 12-18-2008
你DEP了嗎?

阿碼科技非官方網站在日前公告了 IE 7 零時差攻擊(Zero Day Attack) 重大威脅警訊，剛剛讀到保哥的文章，提及昨日真的發現有客戶收到Mail，點擊連結就被植入木馬的情事(雖然無法證實是否就是利用該漏洞攻擊)，大驚! 零時差攻擊是指軟體被發現有漏洞後，在廠商還來不及出修補更新前，就有人開發針對該漏洞攻擊的病毒、蠕蟲、木馬等惡意程式。由於軟體在修補漏洞前尚無任何防備，惡意程式如入無人之境，得以為所欲為。聽來挺可怕的，不過光發抖也不是辦法，我們還是要有積極一點的作為。避用IE7是不錯的主意，不過我還是很有興趣了解這波攻擊的原理，面對可疑狀況時，比較能辨別是真的中鏢或另有原因...

公佈在黑暗執行緒 (Weblog) 由 Jeffrey 發表於 12-11-2008

第1頁，共4頁 (38個項目) 1 2 3 4 下一頁 >