官方发布了一个针对uTorrent的安全漏洞无用补丁 (www.linuxprobe.com)

【简介】

早在 1 月份，Google Project Zero 研究员 Tavis Ormandy 就透露了 BitTorrent 应用程序传输中的一个漏洞，并解释其他客户端也可能存在类似的问题。在本周的一份新报告中，Ormandy 在 uTorrent 中发现了类似的安全漏洞，这是目前最受欢迎的 BitTorrent 客户端之一。

点击查看原文 >>

由 @Linux就该这么学 2018-03-01 08:24 / 0个评论
赞过的人： @Linux就该这么学
要不要再学学下面的文章？
被忽视的暗面：客户端应用漏洞挖掘之旅 (gh0st.cn)
客户端应用漏洞是许多人在进行漏洞挖掘和安全测试时容易忽视的领域。随着技术的更迭和攻防手段的升级，客户端应用漏洞也逐渐出现在大众视野中（APT攻击、攻防赛事等等），在本次议题中，我们将重点关注PC侧的客户端应用程序，如即时通讯、远程服务、视频软件等应用，探索其中存在的漏洞和潜在的安全风险。
by @技术头条 2024-01-17 23:06 查看详情
深入 Android 可信应用漏洞挖掘 (paper.seebug.org)
重点介绍了主流厂商的TEE环境中的TA实现以及常见的攻击面并分享了一些针对TA做安全研究的技巧与方法，比如如何尽可能快速的拥有一台具备Root权限的手机用于研究与测试。同时还介绍了如何实现对TA进行模拟以及使用到的Fuzzing技术和部分调优策略。
by @技术头条 2023-10-30 23:40 查看详情
浅谈基于深度学习的漏洞检测 (insights.thoughtworks.cn)
深度学习在图像处理、视频实体识别、自然语言处理等领域中已经取得了长足的发展和突出的成果，这自然驱使着安全研究员们将神经网络引入到安全领域中。
by @Thoughtworks 2023-04-06 10:43 查看详情
避坑指南：常见合约安全漏洞盘点 (blog.nsfocus.net)
相较于传统合约，智能合约不仅解决了信任问题，还承载着巨额数字资产交易。伴随着过去十年智能合约的爆发式增长，智能合约安全问题引发的各类安全事件层出不穷，据统计，目前因智能合约编码不当和安全漏洞造成的经济损失每年高达数十亿美元。因此，本文以以太坊智能合约为例，选取了一些常见合约安全漏洞，并结合过往发生的安全事件对其进行回顾分析，想以此来警醒各位读者，重视合约安全，避免漏洞“踩坑”。
by @技术头条 2023-02-27 23:13 查看详情
一种 Foxit Reader 漏洞利用思路探索 (paper.seebug.org)
在 Adobe Reader 以及旧版本的 Foxit Reader 中，通常会利用 JS 的 ArrayBuffer 来布局内存并最终实现任意代码执行。然而，最新版本 Foxit Reader 中的 ArrayBuffer 已经被禁用，这导致漏洞利用的难度很大，目前还未见到网上有公开的漏洞利用方案。

这篇文章主要总结我在研究 Foxit Reader 漏洞利用的过程中积累的一些经验，从 Foxit Reader 的一套内存管理机制的角度出发，探索潜在的漏洞利用方式，为大家提供一些可能的思路。
by @技术头条 2023-02-12 14:15 查看详情
基于代码属性图的自动化漏洞挖掘实践 (paper.seebug.org)
应用程序分析技术挖掘应用漏洞一直以来都是学术界和工业界的研究重点之一。从最初的正则匹配到最近的代码属性图挖掘方案，国内外有很多来自不同阶段的安全工具或商业产品来发掘程序代码的安全问题。在 Java 语言方面，业界已经有了不少出色的产品，如 CodeQL 等，但是，多数产品考虑的角度是从甲方视角或开源视角出发的，也就是产品的输入大部分是以源码为主。然而，我们安全研究人员更多面对地是编译后的项目，比如编译后的 WAR、第三方依赖 JAR 等形式。对于此类形式目标的漏洞挖掘，当前存在的审计产品或多或少都有一些限制，比如最近几年很火的 CodeQL 就无法直接处理此类形式的目标代码。当前，安全研究人员大多以人工或一些辅助工具来完成此类形式项目的漏洞挖掘。很明显，这种方式审计效率是非常低的，而且，审计结果也很容易遗漏。为此，需要一款能解决此类问题的工具。
by @技术头条 2023-02-12 14:12 查看详情
【公益译文】了解、预防、修复：开源漏洞讨论框架 (blog.nsfocus.net)
开源软件的安全性引起了业界关注，这并不奇怪。在实施相关安全方案时，需要对过程中的挑战与合作达成共识。这个问题很复杂，涉及方方面面：供应链、依赖关系管理、身份和构建管道。问题捋清后，解决方案也就呼之欲出。为方便业界讨论开源软件中的漏洞以及首要着眼点，我们提出了一个框架（“了解、预防、修复”），内容包括：

• 元数据和身份标准共识：行业需要就解决这些复杂问题的基本原则达成共识。在元数据细节和身份方面统一看法后，将推动自动化，减少更新软件所需的工作量，并将漏洞的影响降至最低。

• 提高关键软件的透明度，加强对这些软件的审查：对于对安全至关重要的软件，我们需要就开发过程达成一致，确保充分审查，过程透明，避免单方面更改，最终产生语义清晰的可验证官方版本。
by @技术头条 2022-12-24 23:34 查看详情
Docker镜像漏洞扫描工具Trivy (www.ipcpu.com)
Trivy是一个简单易用并且全面的容器漏洞扫描程序。
Trivy可检测操作系统软件包（Alpine，RHEL，CentOS等）和应用程序依赖项（Bundler，Composer，npm，yarn等）的漏洞。
Trivy很容易使用，只要安装二进制文件，就可以扫描了。扫描只需指定容器的镜像名称。与其他镜像扫描工具相比，例如Clair，Anchore Engine，Quay相比，Trivy在准确性、方便性和对CI的支持等方面都有着明显的优势。
by @技术头条 2022-07-31 23:59 查看详情
微软发布的免费文件恢复工具 (mp.weixin.qq.com)
误删文件这事相信大家都碰到过，比如不小心误删了一个重要的文件，一不留神就把自己的硬盘清空了，或者是面对已经被误删的文件手足无措......以前碰到这种情况，有实力的程序员们就靠实力恢复误删的文件，像猿妹这样没实力的，网上购买个小工具也可以帮我恢复，就是费钱。
by @code小生 2022-06-19 13:33 查看详情
谷歌 Android 12 Go 正式发布！ (mp.weixin.qq.com)
12 月 15 日，谷歌发布了适用于小型或廉价智能手机的 Android 12 Go 版本操作系统。全新登场的 Android 12 Go 版本更流畅、更省电、更安全。
by @code小生 2021-12-19 19:46 查看详情
使用微博登录，分享你的文章到本站