最近Hacking Team被黑客入侵,近400GB的资料泄漏,在安全界炒的沸沸扬扬.其中泄漏的资料包括:源代码，0day，资料入侵项目相关信息，相关的账户密码，数据及音像资料，办公文档，邮件及图片。

Hacking Team在意大利米兰注册了一家软件公司，主要销售入侵及监视功能的软件。其远程控制系统可以监测互联网用户的通讯，解密用户的加密，文件及电子邮件，记录各种通信信息，也可以远程激活用户的麦克风及摄像头。其产品在几十个国家使用

我们发现Linux/ Mumblehard的原因来自于某天某网管联系我们，他的服务器因为不断发送垃圾邮件被列入了黑名单。我们dump了服务器上其中一个奇怪进程的内存，这玩意连接到了一个不同的SMTP服务器，并发送垃圾邮件。dump下来的内存显示这玩意是一个，唔，perl解释器，随之我们在/tmp目录发现了一个相关的可执行文件，并且立即开始着手分析，为了方便我们给这玩意起名Mumblehard。

[email protected]于其它国产ELF DDos恶意软件，Linux/XOR.DDoS更具威胁性，而且它仍在扩散中。最近我收到一个很好的问题（一个受到感染的研究人员问的）：为什么找到的恶意二进制文件跟首次执行的恶意二进制文件不一样？非常好！这篇文章比较短，只包含这个问题的答案。但那些可能对缓解/检测病毒的重要信息和技术我会分享给NIX的小伙伴们，因此文章中还包含了我对ELF恶意软件进行逆向，调试和取证的三个过程。最后，请原谅我糟糕的措辞，因为我几乎没有时间去检查和校验这篇文章。

对于一些攻击者而言，exp能稳定的利用是很重要的。换言之，exp在运行特定flash版本的特定平台的系统上，exp要每次都能导致代码执行。编写这种高质量的exp的途径之一就是利用高质量的bug(也就是主动因素都利用编写稳定利用的exp).此文讨论的就是利用一个这种类型的bug,并讨论它适合编写稳定利用的exp的因素。

作者：Francisco Falcón

地址：https://blog.coresecurity.com/2015/03/25/exploiting-cve-2015-0311-part-ii-bypassing-control-flow-guard-on-windows-8-1-update-3/

三月初我们发布了一篇分析CVE-2015-0311（Flash Player的UAF）的博文，我们概述了如何在Windows 7 SP1上进行利用。我们在博文的末尾提到，该博文叙述的利用过程并不适用于较新版本的Windows，如Windows 8.1 Update 3，原因是新操作系统平台所采用的的漏洞利用缓解技术---|控制流防护（CFG）。

Qualys公司在进行内部代码审核时，发现了一个在GNU C库(glibc)中存在的__nss_hostname_digits_dots函数导致的缓冲区溢出漏洞。这个bug可达可以通过gethostbyname *()函数来触发，本地和远程均可行。鉴于它的影响，我们决定仔细分析它。分析完成后，我们也决定以“幽灵”(GHOST)命名此漏洞。

今天看到zone里有同学发帖说了探测支付宝登录状态的帖子：http://zone.wooyun.org/content/17665

由此我想到了我们parsec的@/fd 半年前提到的一个思路，当时他给出了一个探测twitter是否登录的页面，可是我那个时候才疏学浅，好像一直没理解。这时候返回去看看，就有了这篇文章。

最近黑产利用腾讯邮箱的漏洞组合，开始频繁的针对腾讯用户实施攻击。

其利用的页面都起名为godlike.html，所以我们把这起攻击事件命名为godlike。

主要被利用的漏洞有3个, 一个 URL 跳转, 一个 CSRF, 另外一个就是 XSS

目前WIFI WPA破解主要 以“aircrack-ng”为代表，运行于Linux系统( 如Kali Linux )，Windows系统比较少见，主要是Windows系统下WIFI网卡收发原始包比较困难，且缺少有主流WIFI网卡开源代码可参考。因此WPA破解通常流程是先在Linux机器（或Linux虚拟机）在抓取WPA 四次握手包，然后再通过以“Elcomsoft Wireless Security Auditor”为代表的密码字典爆破软件在Windows下进行破解。

前几天我们分析了Hacking Team泄露数据中的3个exploit，包括一个flash 0day，一个flash nday和一个windows字体提权0day。昨天Adobe在发布了最新的flash版本（18.0.0.203），修补了其中的flash 0day（CVE-2015-5119）。然而今天twitter上面又有研究者爆猛料，称Hacking Team泄露数据中还有一个未修补的flash 0day，在最新的flash版本中仍然可以触发。Adobe随后也发布了对应的安全公告APSA15-04，漏洞的CVE编号为：CVE-2015-5122。影响Windows、MacOSX和Linux平台上的IE、Chrome浏览器等主流浏览器。

文章讲得所有内容都是用的DNS本身设计的功能，但是没有想到可被利用的地方。
讨论的范围仅是利用DNS本身攻击。
所以不会讨论下面的DNS攻击，如：
DNS污染 DNS错误配置（域传送等） DNSSec

RC4是美国密码学家Ron Rivest在1987年设计的密钥长度可变的流加密算法。它加解密使用相同的密钥，因此也属于对称加密算法。RC4曾被用在有线等效加密（WEP）中，但由于其错误的使用的方式已被有效破解，而如今，它又被TLS协议所放弃。

昨天又是忙碌的一天，因为我获知近期有破壳漏洞利用攻击，所以我们团队集合起来对所有近期的捕获到的互联网交叉流量中的ELF文件威胁 (ELF threats)进行检测。我查看了一套shell脚本的命令部分，立刻就知道它基本上就是Linux/XOR.DDoS木马。我又检查了payload，并且深入查看了细节。最终确定这就是Linux/XOR.DDoS。

相信曾经与黑色产业打过交道的同鞋们对这个话题并不陌生。赃款转移，是黑色产业链中最重要的一环，因为这一环直接与黑阔们的收入息息相关。赃款转移地太过安全，容易产生巨额手续费/汇率而导致收入减少。赃款转移不够安全，容易导致水表被查，也就是那句：有命赚钱没命花钱。

现成的工具没一个好用的，包括metasploit自带的模块。本扫描器支持CIDR格式输入IP地址段，支持任意线程扫描，支持自定义端口列表或端口段，可以自动在开了常见HTTP服务的端口把网页内容抓下来，并且判断并提示一些重要管理应用。可以将扫描结果按照端口号来生成不同的文件，方便测试弱密码。