信息來(lái)源：游俠網(wǎng)

摘要: 一些招聘平臺(tái)存在漏洞,隨機(jī)編造姓名也可通過(guò)驗(yàn)證 近日，大學(xué)生李文星在招聘平臺(tái)BOSS直聘應(yīng)聘，落入傳銷(xiāo)窩點(diǎn)后身亡一事引發(fā)關(guān)注。8月9日，北京市網(wǎng)信辦、天津市網(wǎng)信辦開(kāi)展聯(lián)合執(zhí)法專(zhuān)項(xiàng)行動(dòng)，就BOSS直聘發(fā)布違法違規(guī)信息、用戶(hù)管理出現(xiàn)重大疏漏等問(wèn)題，依法聯(lián)...

一些招聘平臺(tái)存在漏洞,隨機(jī)編造姓名也可通過(guò)驗(yàn)證

        近日，大學(xué)生李文星在招聘平臺(tái)BOSS直聘應(yīng)聘，落入傳銷(xiāo)窩點(diǎn)后身亡一事引發(fā)關(guān)注。8月9日，北京市網(wǎng)信辦、天津市網(wǎng)信辦開(kāi)展聯(lián)合執(zhí)法專(zhuān)項(xiàng)行動(dòng)，就BOSS直聘發(fā)布違法違規(guī)信息、用戶(hù)管理出現(xiàn)重大疏漏等問(wèn)題，依法聯(lián)合約談BOSS直聘法人，并下達(dá)行政執(zhí)法檢查記錄，責(zé)令網(wǎng)站立即整改。據(jù)媒體報(bào)道，某大數(shù)據(jù)人力資源公司合伙人劉先生表示，網(wǎng)站對(duì)招聘企業(yè)的審核完全依賴(lài)營(yíng)業(yè)執(zhí)照，但是可以提供復(fù)印件甚至是照片，給造假者提供了很大的空間和漏洞。如果通過(guò)某種渠道去辦理假的營(yíng)業(yè)執(zhí)照，基本也不會(huì)有平臺(tái)去查你的真實(shí)性。

參考來(lái)源：http://tech.sina.com.cn“

橙風(fēng)單車(chē)” 投用次日遭黑客攻擊 5000臺(tái)車(chē)被迫停工

冰城多名市民向記者反映，剛剛投用的“橙風(fēng)單車(chē)”不能使用了。記者采訪得知，由于這些單車(chē)投用第二天就遭到黑客攻擊，導(dǎo)致系統(tǒng)癱瘓，用戶(hù)無(wú)法正常體驗(yàn)、使用。9日，記者了解到，目前投放單車(chē)的哈爾濱市跨越科技有限公司已經(jīng)向警方報(bào)案。記者了解到，8日該公司已向松北區(qū)祥安派出所報(bào)警，因該公司服務(wù)器在沈陽(yáng)，同日位于沈陽(yáng)的后臺(tái)管理中心，也向當(dāng)?shù)鼐綀?bào)了案。據(jù)松北區(qū)祥安派出所李警官介紹，8日夜間哈爾濱市跨越科技有限公司報(bào)警稱(chēng)，該公司服務(wù)器遭遇黑客攻擊。由于該公司服務(wù)器在沈陽(yáng)，按照規(guī)定，由沈陽(yáng)警方處理后續(xù)事宜。

參考來(lái)源：https://www.77169.com

全球保衛(wèi)數(shù)據(jù)隱私之戰(zhàn)再升級(jí)，數(shù)據(jù)安全監(jiān)管亟待完善

      最近，數(shù)據(jù)泄露事件再次引起公眾關(guān)注。瑞典遭遇史上最嚴(yán)重的數(shù)據(jù)泄露事件，印度電信運(yùn)營(yíng)商Jio一億多用戶(hù)信息“裸奔”。在英國(guó)新數(shù)據(jù)法案下，掌握大量數(shù)據(jù)和用戶(hù)信息的谷歌、臉譜等公司已接到重罰警告。全球保衛(wèi)數(shù)據(jù)隱私之戰(zhàn)進(jìn)一步升級(jí)。數(shù)據(jù)泄露事件頻發(fā)，暴露出互聯(lián)網(wǎng)時(shí)代的治理漏洞，也暴露出互聯(lián)網(wǎng)時(shí)代中數(shù)據(jù)隱私的保護(hù)與監(jiān)管、保護(hù)與共享等諸多矛盾，對(duì)各國(guó)相關(guān)法律法規(guī)的制定和實(shí)施提出了更高要求。

參考網(wǎng)站：http://tech.sina.com

肯尼亞反對(duì)黨領(lǐng)導(dǎo)人稱(chēng)：選舉委員會(huì)被黑，黑客意圖操縱總統(tǒng)大選

國(guó)外媒體報(bào)道稱(chēng)，肯尼亞反對(duì)黨領(lǐng)導(dǎo)人表示，本周三黑客入侵肯尼亞選舉委員會(huì)數(shù)據(jù)庫(kù)，意圖操縱選舉結(jié)果。周二選民已經(jīng)針對(duì)現(xiàn)總統(tǒng) Uhuru Kenyatta 以及反對(duì)黨領(lǐng)導(dǎo)人 Raila Odinga 進(jìn)行投票，計(jì)票工作還在持續(xù)。Odinga 宣稱(chēng)黑客利用 IEBC 選舉委員會(huì)某個(gè)被殺員工的身份憑證入侵了電子投票系統(tǒng)，并啟用某種抬高 Kenyatta 選票的算法。Odinga 說(shuō)投票結(jié)果是假的，是欺騙。隨后他還公布了 IEBC 服務(wù)器的日志來(lái)支撐他的說(shuō)法，據(jù)說(shuō) Kenyatta 的總得票率因此抬高了 11%。從 92% 的投票站統(tǒng)計(jì)來(lái)看，IEBC 結(jié)果顯示 Kenyatta 得到 1300 萬(wàn)票，得票率 54.4%，而 Odinga 的得票率為 44.7%。Odinga現(xiàn)年72歲，已經(jīng)是第四次參與總統(tǒng)選舉。

參考來(lái)源：http://www.securityweek.com

      Cylance 的研究人員最近發(fā)現(xiàn)，近期針對(duì)朝鮮的兩波間諜行動(dòng)是存在關(guān)聯(lián)的，分別是 DarkHotel 攻擊和名為 KONNI 的惡意程序。KONNI 是個(gè) RAT 遠(yuǎn)程訪問(wèn)木馬，最早發(fā)現(xiàn)是在 3 多年以前，過(guò)去幾年一直在活躍中。這款?lèi)阂獬绦蚰軌蛴涗涙I擊、竊取文件、獲取截屏、收集數(shù)據(jù)——今年，思科 Talos 團(tuán)隊(duì)發(fā)現(xiàn)，這款?lèi)阂獬绦蛑饕糜诠艉统r有關(guān)的企業(yè)組織。卡巴斯基2014年11月最早曝光該組織。該組織以亞太地區(qū)的商務(wù)旅行人士為目標(biāo)——包括來(lái)自朝鮮、俄羅斯、韓國(guó)、日本、孟加拉、泰國(guó)、中國(guó)、印度、美國(guó)、印尼和德國(guó)等地的個(gè)人。而 Inexsmar 行動(dòng)以朝鮮的政府雇員為攻擊目標(biāo)。Cylance 發(fā)現(xiàn) KONNI 涉及的釣魚(yú)文檔實(shí)際上和 Inexsmar 行動(dòng)所用釣魚(yú)文檔很相似。包括所用的文檔標(biāo)題，文檔排版格式，還有作者署名。Cylance 仍在對(duì) KONNI 作深入分析，專(zhuān)家認(rèn)為該惡意程序作者未來(lái)還會(huì)發(fā)布新版變種，采用更復(fù)雜的混淆技術(shù)。

參考來(lái)源：http://www.securityweek.comvDos 

運(yùn)營(yíng)者正式被起訴，曾是全球最大規(guī)模 DDoS-For-Hire 服務(wù)

      以色列當(dāng)局最近正式起訴兩名年僅 19 歲的 vDos 服務(wù)運(yùn)營(yíng)者——關(guān)注 DDoS 的讀者應(yīng)該知道，vDos 是全球最大規(guī)模的 DDoS-For-Hire 平臺(tái)，該平臺(tái)已經(jīng)在去年秋季下線。vDos 服務(wù)運(yùn)營(yíng)從 2012 年就開(kāi)始了，最終于去年 9 月終結(jié)。vDos 先前提供的服務(wù)包括月度訂閱的“stresser service”服務(wù)，還有可租用僵尸網(wǎng)絡(luò)向目標(biāo)發(fā)動(dòng)攻擊。去年夏季， PoodleCorp 黑客組織租用了 vDos 的僵尸網(wǎng)絡(luò)，不過(guò) PoodleCorp 的 PoodleStresser 中存在漏洞，其它黑客或者安全專(zhuān)家能夠從其第三方僵尸網(wǎng)絡(luò)中獲取到數(shù)據(jù)。PoodleStresser 的源碼暴露了其與 vDos API 之間的關(guān)聯(lián)，隨后專(zhuān)門(mén)從事信息安全調(diào)查的記者 Brian Krebs 發(fā)現(xiàn)其中的蛛絲馬跡，并于去年 9 月刊文揭露 vDos 服務(wù)，及其運(yùn)營(yíng)者 Yarden “applej4ck” Bidani 和 Itay “p1st” Huri。很快，F(xiàn)BI 和以色列警方逮捕兩名嫌疑人，并令 vDos 服務(wù)下線。兩名犯罪嫌疑人利用一家英國(guó)皮包企業(yè)來(lái)洗錢(qián)。vDos 最知名的兩個(gè)客戶(hù) Lizard Squad 和 PoodleCorp 黑客組織間也的確存在關(guān)聯(lián)。

參考來(lái)源：http://www.securityweek.com

一家神秘公司發(fā)布高額漏洞獎(jiǎng)勵(lì)計(jì)劃，25 萬(wàn)美元找虛擬機(jī)逃逸漏洞

      Bugcrowd 漏洞眾測(cè)平臺(tái)最近出現(xiàn)一個(gè)為期 8 周、僅邀請(qǐng)挖洞的漏洞獎(jiǎng)勵(lì)計(jì)劃，從 9 月開(kāi)始持續(xù)到 10 月份，這個(gè)項(xiàng)目標(biāo)價(jià) 25 萬(wàn)美元，目標(biāo)是找虛擬機(jī)逃逸漏洞。Bugcrowd 表示這是目前其第三方平臺(tái)最大規(guī)模的漏洞獎(jiǎng)勵(lì)項(xiàng)目。這次的“超級(jí)機(jī)密”漏洞獎(jiǎng)勵(lì)計(jì)劃要求參與的白帽首先提交一份報(bào)告，包括他們打算怎么做和各種相關(guān)信息。這家神秘公司在聲明中提到，排在前 5 的報(bào)告，即便最終沒(méi)有找到漏洞，只要能展示出專(zhuān)業(yè)實(shí)力和努力，就能獲得 1 萬(wàn)美元獎(jiǎng)金。當(dāng)前已經(jīng)有 27 名參與者加入到項(xiàng)目中。除了最高 25 萬(wàn)美元的獎(jiǎng)勵(lì)之外，該項(xiàng)目也針對(duì)泄露內(nèi)存和代碼的漏洞，獎(jiǎng)金10萬(wàn)美元；還有針對(duì)相關(guān)未經(jīng)授權(quán)網(wǎng)絡(luò)訪問(wèn)的漏洞，提供 25000 美元獎(jiǎng)金。實(shí)際上，微軟上個(gè)月公開(kāi)的升級(jí)版 Windows 漏洞獎(jiǎng)勵(lì)計(jì)劃就為白帽提供最高 25 萬(wàn)美元的獎(jiǎng)金，主要針對(duì) Hyper-V 中發(fā)現(xiàn) hypervisor 和主機(jī)內(nèi)核遠(yuǎn)程代碼執(zhí)行漏洞。

參考來(lái)源：https://threatpost.com

Java反序列化危機(jī)已過(guò)，這次來(lái)的是.Net反序列化漏洞

      自2011年開(kāi)始，攻擊者就開(kāi)始利用反序列化問(wèn)題發(fā)起攻擊。2015年上半年，兩名研究員 Chris Frohoff 和 Gabriel Lawrence 發(fā)現(xiàn) Apache Commons Collection 中的反序列化漏洞后，這個(gè)問(wèn)題才真正開(kāi)始讓每個(gè)開(kāi)發(fā)者頭疼。在2015年年底，F(xiàn)oxglove Security 的安全研究員，揭開(kāi)了攻擊者如何利用 Java 程序中的反序列化漏洞進(jìn)行攻擊。序列化過(guò)程很能影響產(chǎn)品的安全性的，開(kāi)發(fā)時(shí)需要注意不能使用未加驗(yàn)證的數(shù)據(jù)。反序列化問(wèn)題并非只出現(xiàn)在 Java 序列化之中，或者如 JSON，XML 之類(lèi)特定的 .NET 數(shù)據(jù)格式中。所有序列化操作后都會(huì)重新創(chuàng)建對(duì)象，攻擊注入的代碼即可能被其他方法調(diào)用，觸發(fā)任意代碼執(zhí)行。

參考來(lái)源：https://www.77169.com

鎖定硬盤(pán)的勒索病毒Mamba卷土重來(lái)？卡巴斯基發(fā)出警告

      早在 2016 年 9 月，Morphus Labs 安全研究人員發(fā)現(xiàn)了一種名為“曼巴（Mamba）”的勒索病毒，這是一種典型的加密惡意軟件，其攻擊對(duì)象大多為預(yù)先確定的較大片存檔區(qū)域，并鎖定整個(gè)硬盤(pán)驅(qū)動(dòng)器。還將操控操作系統(tǒng)的啟動(dòng)過(guò)程，最后導(dǎo)致計(jì)算機(jī)無(wú)法正常開(kāi)機(jī)。根據(jù)國(guó)外媒體消息，該惡意軟件背后的網(wǎng)絡(luò)犯罪嫌疑人似乎又有所行動(dòng)，根據(jù)安東·伊萬(wàn)諾夫（Anton Ivanov）和卡巴斯基實(shí)驗(yàn)室惡意軟件分析師奧爾坎·馬梅多夫（Orkhan Mamedov）的一篇博文指出，巴西和沙特阿拉伯目前受到最新一輪的攻擊，曼巴仍然使用合法的開(kāi)源程序 DiskCryptor 來(lái)鎖定計(jì)算機(jī)中的整個(gè)硬盤(pán)。不幸的是目前還沒(méi)有有效地方法來(lái)解密曼巴鎖定的文件和驅(qū)動(dòng)器，卡巴斯基稱(chēng)其擁有強(qiáng)大的加密算法，并建議用戶(hù)謹(jǐn)慎上網(wǎng)，遠(yuǎn)離惡意網(wǎng)站，以降低重要文件被鎖定的風(fēng)險(xiǎn)。

參考來(lái)源：http://www.cnbeta.com