Aggregator

VirusTotal Finds 44 Undetected SVG Files Used to Deploy Base64-Encoded Phishing Pages

不安全
10 months ago
研究人员发现了一种新型恶意软件活动,该活动利用Scalable Vector Graphics (SVG) 文件进行网络钓鱼攻击,伪装成哥伦比亚司法系统的官方页面。这些 SVG 文件通过电子邮件分发,并嵌入 JavaScript 有效载荷,以下载一个伪装的 HTML 页面,该页面模拟政府文件下载过程,同时在后台秘密下载 ZIP 文件。此外,针对 Apple macOS 系统的信息窃取器 Atomic macOS Stealer (AMOS) 也在通过破解版软件和 ClickFix 式策略传播,进一步威胁企业安全。

VirusTotal Finds 44 Undetected SVG Files Used to Deploy Base64-Encoded Phishing Pages

The Hackers News
10 months ago
Cybersecurity researchers have flagged a new malware campaign that has leveraged Scalable Vector Graphics (SVG) files as part of phishing attacks impersonating the Colombian judicial system. The SVG files, according to VirusTotal, are distributed via email and designed to execute an embedded JavaScript payload, which then decodes and injects a Base64-encoded HTML phishing page masquerading as a
The Hacker News

英特尔研发支出超英伟达和 AMD

Solidot
10 months ago
数据显示，英特尔研发支出远超竞争对手英伟达和 AMD：2024 年英特尔的研发支出为 165.46 亿美元，比英伟达的 129.14 亿美元高 28%，比 AMD 的 64.56 亿美元高 156%。芯片巨人大部分的研发支出都投入到芯片设计、制造技术以及即将推出的新 Nova Lake 架构上。英特尔研发支出占到其净收入的 31%，AMD 为 26%，而英伟达和三星分别仅为 10% 和 4%。另外值得注意的是，英特尔是有晶圆厂的，它的很大部分研发支出是投入在晶圆厂上面，而英伟达和 AMD 都是无晶圆厂半导体公司，使用台积电等公司为其代工芯片，台积电在 2024 年的研发支出接近 64 亿美元。

Your Domain, My Playground: Hijacking Your Link Previews ‍

不安全
10 months ago
文章揭示了Firebase动态链接的安全漏洞：攻击者可利用该功能生成看似合法的短链接，并操控其元数据（如标题、描述和缩略图），使其看起来可信。尽管Google通过允许域名列表缓解了部分风险，但攻击者仍能绕过限制，在目标域名下创建恶意链接。由于这些链接不会出现在Firebase控制台中，域名所有者无法检测或撤销它们。这可能导致品牌滥用、网络钓鱼或其他诈骗行为。

Your Domain, My Playground: Hijacking Your Link Previews ‍

不安全
10 months ago
Firebase动态链接（FDL）的安全漏洞允许攻击者生成看似合法的短链接，并通过自定义元数据（如标题、描述和图片）伪装成可信内容。尽管Google引入了“允许域名”列表以限制重定向目标域，但攻击者仍可利用该功能创建看似来自受信任域的恶意链接。由于Firebase控制台无法显示通过API生成的链接，域名所有者无法监控或撤销这些恶意链接。此漏洞可能导致品牌滥用、诈骗或声誉损害。

☕ Web Cache Poisoning — How to Trick the Internet’s Memory and Serve Everyone Your “Special Recipe”

不安全
10 months ago
文章介绍了网络缓存中毒攻击（Web Cache Poisoning），解释了其原理及危害，并提供了识别和防御方法。攻击者通过利用HTTP头和无键参数注入恶意内容至缓存服务器，导致所有用户访问被污染资源。危害包括XSS漏洞、钓鱼攻击及品牌受损等。防御需严格控制缓存策略并验证输入数据。

☕ Web Cache Poisoning — How to Trick the Internet’s Memory and Serve Everyone Your “Special Recipe”

不安全
10 months ago
Web Cache Poisoning是一种网络攻击手段，攻击者通过欺骗网站缓存存储恶意内容（如JavaScript或钓鱼链接），导致所有访问者获取被污染的内容。这种攻击利用缓存机制放大影响，危害包括跨站脚本（XSS）、钓鱼、品牌篡改等。防范措施包括验证请求头、设置私有缓存策略、过滤不受信任的参数等。

VulnHub CTF - Moria 1.1

不安全
10 months ago
通过对目标虚拟机的端口扫描、服务枚举和字典攻击，成功获取FTP访问权限，并通过目录遍历发现隐藏页面。利用提取的用户名和密码尝试SSH登录失败后，通过破解MD5哈希获得多个用户凭证。最终使用Ori用户的凭证登录SSH，并利用其私钥提升权限至root，成功获取flag。

10. Hunting for IDORs: The Most Underrated Vulnerability

不安全
10 months ago
文章探讨了IDOR（Insecure Direct Object References）漏洞的普遍性和严重性，并分享了作者作为网络安全爱好者和漏洞赏金猎人的经验。文章旨在帮助读者从零开始了解并掌握这一常见且高风险的安全问题。

10. Hunting for IDORs: The Most Underrated Vulnerability

不安全
10 months ago
文章介绍了IDOR（不安全直接对象引用）这一常见且高风险的网络安全漏洞，并通过实际案例说明其危害性。作者Abhijeet Kumawat分享了自己从零开始学习网络安全和参与漏洞赏金计划的经历，并强调识别和利用此类漏洞的重要性。

From image Upload to Workspace Takeover: Deconstructing a Critical Stored XSS Attack

不安全
10 months ago
攻击者通过上传伪装成图片的HTML文件并利用Dust平台的安全漏洞，成功获取管理员权限并控制整个工作区。该漏洞源于文件类型验证不足和同源托管问题，导致恶意脚本在管理员浏览器中执行。防范措施包括隔离用户内容、强制下载提示、验证文件真实类型及配置严格CSP策略。

From image Upload to Workspace Takeover: Deconstructing a Critical Stored XSS Attack

不安全
10 months ago
Dust平台因文件上传功能中的存储型XSS漏洞被攻击者利用，导致工作区被完全接管。攻击者通过上传伪装成图片的HTML文件，并利用同源托管机制，在管理员点击链接后执行恶意脚本，提升自身权限并控制整个工作区。此事件凸显了用户生成内容隔离、严格验证文件类型及配置CSP等安全措施的重要性。

How to reclaim control over your online shopping data

Help Net Security
10 months ago

Online shopping is convenient, saves time, and everything is just a click away. But how often do we stop to think about what happens to the data we leave behind, or the risks that might come with it? Where shopping data goes Retailers often store purchase histories, addresses, and account details for years, sometimes longer, unless legal requirements or customer requests mandate deletion. They may also share customer information with third-party companies for marketing or … More →

The post How to reclaim control over your online shopping data appeared first on Help Net Security.

Sinisa Markovic

Managed ad