Posts written by: 漏洞应急响应中心

基于 CVE-2016-0703 分析 DrownAttack对OpenSSL的危害

1.什么是Drown Attack

Drown 是一次跨协议的攻击,通过利用SSLv2漏洞攻击TLS,实际上就是中间人攻击的进一步利用。中间人攻击简单举例:比如劫持用户的流量HTTP。但是有些服务器与客户端通信是加密的,比如TLSSSL。这里Drown attack利用SSLv2的漏洞,这里需要不同服务使用RSA key exchange技术,这个情况不同服务的private key会一样 ,此时就可以利用这个漏洞去解密TLS或者SSLv3的连接,然后进行一些中间人攻击,比如管理员的session的被劫持到了,危害可想而知。

drownattack1

 

2. 如何准确测试Drow[......]

Read more

Safing multimedia with help of ASAN

 

文/ 阿尔法实验室 陈钦

当你在视频,音频,文本等的海洋或天空中遨游和飞翔的时一定不想遇见臭虫和鲨鱼。如你所愿。我们最近对解码器做了一些测试。

Openjpeg是一款jpeg解码器,ASAN是内存错误检测工具。内存错误包含缓冲区溢出,堆溢出等。

valgrind,boundschecker等也都是高效的工具。论文下载:AddressSanitizer

 

在过去的一段时间的动静态测试中(2015.12月),我们发现了openjpeg 整形溢出(已修复)

https://github.com/uclouvain/openjpeg/[......]

Read more

Glibc’s DNS getaddrinfo 函数错误(CVE-2015-7547)

文/ 阿尔法实验室 陈钦

A.概述

Glibc被广泛使用在Debian,Red Hat,CentOS以及更多其它 Linux 发行版.漏洞可导致通过恶意构造的DNS包使linux主机或客户端被远程代码执行.

发现的过程如下:Google工程师发现他们的ssh客户端每次试图连接到一个特别的主机时都会段错误,通过深入的分析和与REDHAT工程师的合作.发现了这段2008年引入的错误代码。与2015年的Glibc的GHOST漏洞所在函数gethostbyname不同,这次的问题出在getaddrinfo函数.

topsec

 

B.成因和攻击界面

网络攻击界面[......]

Read more

IE漏洞攻防编年简史

本文对历史上的微软IE 浏览器的影响较大0day做了梳理,讨论了IE漏洞在攻击防御技术上的进化,以及记录了此类漏洞前人们在历史上遗留下来的对抗经验和足迹。在IE浏览器攻防已经白热化的进入到第三个阶段的时候笔者才进入到IE浏览器攻防方面的研究学习。此时代号’Project Spartan’的微软的Edge浏览器从IE11手中接过windows默认浏览器的重担,使得服役将近20年的IE浏览器定格11这个历史的大版本号上面,自觉对IE浏览器漏洞的历史研究应有一篇简记,可供后来的初入行的安全研究者有所参考,故成此文,疏漏之处再所难免,敬请指正。

更新记录

2016年01月08日 – 撰写初[......]

Read more

BlackEnergy攻击致乌克兰停电事件分析

A 事件简述

2015 年 12 月 23 日,乌克兰电力网络受到黑客攻击,导致伊万诺-弗兰科夫斯克州数十万户大停电,1 个月后,安全专家表示,证实这起停电是遭到黑客以恶意软件攻击电网所造成,2016 年 1 月 4 日时,安全公司 iSight Partners 宣布已经取得用来造成该起大停电的恶意程序码,由于过去从来未曾有黑客攻击造成电网大规模停电的纪录,iSight Partners 认为这起攻击是电网资安史上的里程碑。

B 入侵路径和恶意组件分析

本次APT的攻击路径为

Office类型的漏洞利用(CVE-2014-4114)–>邮件–>下载恶意组件Blac[......]

Read more

趋势科技密码管理程序任意命令执行漏洞验证

文/图  阿尔法实验室 kernux

趋势科技杀毒软件套装windows版本中,包含一个密码管理程序,该程序也在官网提供了单独下载的连接,是一个免费的服务。默认安装最新的TRAND Micro:

1

图1

可以在数据安全中找到这个密码管理程序,默认就是开启的,可以看到在本地进行端口监听:

2

图2

监听的端口是49153,google分析中给出是49155,看来这个端口应该是在一个范围内。这个服务是node.js开发的http server程序,在这个url处存在任意命令执行漏洞:

https://localhost:49153/api/openUrlInDefaultBr[......]

Read more

天融信获得CNVD漏洞报送突出贡献单位荣誉称号

国家信息安全漏洞共享平台(CNVD)网站消息,北京天融信网络安全技术有限公司等8家技术支撑成员单位获得2015年度漏洞报送突出贡献单位的光荣称号。以下是奖牌图片
topsec_vul_2015

这个评选活动是两年举办一次,在前次活动中,天融信公司也获得了同样的荣誉:
topsec_vul_2013-1

天融信继两年前获得“漏洞报送突出贡献单位”称号后再次蝉联,这是CNVD对天融信在公开漏洞信息的收集能力和积极报送态度
的肯定。

阿尔法实验室针对典型钓鱼攻击的溯源与反控制

近来,我们收到了一些针对天融信公用邮箱的鱼叉式定点攻击邮件,这些邮件五花八门,但是最终的目的还是要诱骗出邮箱的登录口令,从这一点来看,就可以轻松识别出钓鱼邮件。以下是钓鱼邮件的实例:

一、钓鱼邮件

 

图片1

识别要点:

  1. 发件人并非本公司的邮箱;
  2. 收件人的邮箱与收件人不匹配,仔细观察,发现管理员administrator,成为了admlnistnator,这也是一个钓鱼邮件的细节;
  3. 更重要的是这里出现了要求填写个人各种信息的内容,更加明确了这就是一封垃圾邮件。

图片2_meitu_1

这封邮件的欺骗程度更高!

  1. 仔细观察发件人的邮箱是某地方银行监督委员会的,它对于某[......]

Read more

2015年第52周安全通报

1 总体情况

1.1 本周漏洞情况

  • 本周统计CVE漏洞62个,其中高危漏洞24个,中危漏洞36个,低危漏洞2个。漏洞数与前一周环比减少了58.7.0%,与去年同比减少了53%;
  • 本周记录了思科公司发布的多个漏洞,涉及的产品有IOS XE、无线路由器、FireSIGHT管理中心、Prime 控制器等,漏洞类型主要是代码执行、信息泄露、安全机制绕过、拒绝服务等,在本周增加的漏洞数量中,按公司累计排名,思科公司最新发布的漏洞数量位居第一;还记录了Adobe公司的产品Acrobat Reader的一个基于堆的缓冲区溢出漏洞;另外还记录了IBM、EMC、Xen、Motorola、SAP等公[......]

Read more

Juniper ScreenOS认证后门简析

1 ScreenOS后门漏洞背景介绍

之前也多次爆出过路由器的后门漏洞,但大都是厂商故意为之并且厂家的开发人员也都是知情的。一般来说一些网络设备,如交换机或者路由器等设备,开发人员为了方便自身验证,日后的程序升级或者输出观察调试日志可能会在网络设备上预留一个万能密码或者在固件中内置一个TFTP或者FTP的服务。通过更改http发包数据中的User-Agent值或者直接使用万能密码即可登录该网络设备,这次暴露出ScreenOS的后门便属于一个万能密码类型的后门。

12月18日Juniper发了一个报告,由 Juniper Networks 销售的部分型号的防火墙的中出现的漏洞,具体表现为[......]

Read more