Feye近期检测到一起通过高度伪造的钓鱼邮件（鱼叉式钓鱼电邮）攻击，目标直指美国的金融机构。攻击中用到的恶意代码是由一个被作者出售的间谍和监视工具生成。此工具的功能很类似市面上常见的其他远控软件。同时，也发现了其他的攻击者把此工具的恶意代码嵌入到宏文本文件中用来攻击其他的目标，看上去更像是第二轮的撒网式钓鱼邮件攻击。

恐怕没有其他公司能够像Google一样对NSA获取数据的手法更为了解的了，Google在最近的几个月对其基础架构做了一系列的改变，使得其他人更难获取到用户的隐私数据，其中最大的一个变化就是本周四开始Gmail服务通信将全面转为HTTPS，强制Gmail的所有连接使用SSL加密。

在知乎专栏上看到一篇文章《WiFi里的猫腻》，作者继续之前宣传的路由威胁，在互联网上疯传，搞得周围好多不懂的朋友一直问：

我认为渗透测试的真正价值是能模拟现实世界的真实攻击行为，所以渗透测试人员应该尽量将自己的行为与那些攻击者靠拢。但是与真的攻击者不一样的是，我们还是应该对我们的目标系统保持一定的谨慎和敏感，而攻击者肯定不会去管这些。

在日常分析软件漏洞时，经常需要耗费比较长的分析时间，少则几小时，多则数天，甚至更久。因此，经常总结一些分析技巧是非常有必要的，针对不同的漏洞类型采取不同的分析思路和技巧，可以有效地提高分析速度。对于一些被曝出来的热门0day，网上一般都会有分析文章，但一般都是“结论性分析”，也就是直接帖漏洞代码，指出哪里出错，而非“思路性分析”。如果你经常分析漏洞的话，会发现占用你分析时间的往往不是分析漏洞代码，而是定位漏洞代码。所以说，调试分析漏洞有时就是看下断点下得准不，再加上一些胡猜乱想来推测，最后才是分析漏洞代码了，如果熟悉汇编指令，这个就不是问题了。

近日，360网站卫士安全团队近期捕获一个基于PHP实现的webshell样本，其巧妙的代码动态生成方式，猥琐的自身页面伪装手法，让我们在分析这个样本的过程中感受到相当多的乐趣。接下来就让我们一同共赏这个奇葩的Webshell吧。

第三方账号登陆也就是当你没有A网站的注册账号时，你可以使用该与A网站合作的第三方账号登陆A，在大多数情况下你会立即拥有与你第三方账号绑定的A网站会员，然后执行A网站的会员操作。这种场景常见于登陆团购、酒店住宿等网站，当人们没有该网站账号时，不少人会毫不犹豫地选择使用qq等登陆。以下的第三方账号就以qq为例吧

最近世界真是越来越不太平了，尤其是对于大部分普通人而言。昨天又传来噩耗，根据网络监测公司BGPMon，Google的公开DNS服务器 IP 8.8.8.8被劫持到了委内瑞拉和巴西超过22分钟。

Google DNS 服务器平均每天处理超过1500亿个查询，在被劫持的22分钟里起码几百万个查询包括金融系统，政府和个大商业网站的DNS查询流量都被劫持走了。

Pwn2Own大会已经尘埃落定，各大浏览器厂商针对大会上发现的漏洞都陆续推出了自家的补丁。谷歌也在周一针对大会发现的漏洞推出了一系列补丁，并针对windows，mac和linux分别发布了新版本的chrome。

华盛顿--有证据表明，马航的MH370的驾驶舱存在系统故障，而这正是导致MH370失联的主要原因。现在调查人员怀疑是否存在违规操作。
报道说，这架波音777客机的两个关键通讯和定位系统陆续被关闭，然后飞机在此之后仍继续飞行了数小时，这就证实了此飞机的通讯和定位系统是被人为关闭或者电子干扰。

新华网北京3月9日电（记者高立　侯丽军　叶前）信息技术高速发展，网络应用迅速普及，大数据时代已然来临。人们一边享受着信息的高效便捷，一边为信息安全隐患忧心忡忡。今年全国两会上，信息安全也成了人们关注的一大“热词”。记者了解到，目前已有全国人大财经委副主任委员吴晓灵、湖北省政协副主席吕忠梅、浪潮集团董事长孙丕恕、中国移动广东公司总经理钟天华等多位全国人大代表就信息安全问题提出建议。“随着信息大量集中以及个人隐私信息经济价值的提高

本报告仅代表个人观点，与所在公司、所属团队、所在职务无关。因考虑人身安全，本节选由wooyun知识库代为匿名发布；全文待咨询相关人士后再决定是否公布。

2013年8月，在一大型电商网购联想A820t（属移动定制机型号）行货后，发现预装应用出现了异常：按道理，该机器本应有可卸载的移动预装应用，但实际上并没有，而多出了许多无法卸载的其它应用。经过技术分析，发现和鼎开存在关联。在接下来的数周内，连续或零散进行了实体店和网络调查，并形成了约50页报告并持续反馈给CNVD。

在统计了Alexa top 100万网站的header安全分析之后（2012年11月 - 2013年3月 - 2013年11月），我们发现其实如何正确的设置一个header并不是一件容易的事情。尽管有数不胜数的网站会使用大量有关安全方面的header，但并没有一个像样的平台能够为开发者们提供必要的信息，以辨别那些常见的错误设置。或者说，即使这些安全方面的header设置正确了，也没有一个平台能够为开发者提供一个系统的测试方法，用来测试正确与否。

2012年，我在《攻击JAVA WEB》，文中提多关于“classLoader导致特定环境下的DOS漏洞”，当时并没有更加深入的说明，这几天struts官方修补了这个漏洞，本文是对这个漏洞的深入研究。

米特尼克刚到中国人生地不熟，想要找到一些中国的黑客朋友帮助他，他知道Capture The Flag夺旗竞赛是黑客云集的地方，于是也报名参加了中国第一次全国性的CTF大赛 @BCTF百度杯网络安全技术对抗赛。而要进入BCTF圈交流，米特尼克需关注并@BCTF百度杯网络安全技术对抗赛，才能找到一个密语。