【阿里聚安全·安全周刊】Intel处理器安全漏洞事件跟踪|星巴克挖矿事件分析-低调大师

【阿里聚安全·安全周刊】Intel处理器安全漏洞事件跟踪|星巴克挖矿事件分析

2018-01-11 756

关键词：阿里云Intel漏洞公告丨星巴克挖矿丨阿里工程师丨杭特丨苹果更新丨iOS内核调试丨WPA3 Wifi标准|平昌奥运会|比特币钱包|PHP 7.2.1

本周资讯top3

【安全漏洞公告】Intel处理器Meltdown和Spectre安全漏洞公告

北京时间2018年01月03日，Intel处理器芯片被爆出存严重安全漏洞，该漏洞事件源于芯片硬件层面的设计BUG，可导致操作系统内核信息泄露、应用程序越权访问系统内核数据等问题。
漏洞披露前，阿里云已与Intel同步关键安全信息，并持续就修复方案做验证。

阿里云已经启动了云平台底层基础架构的漏洞修复更新，会根据批次依次修复，最迟于北京时间1月12日24点之前完成。

http://jaq.alibaba.com/community/art/show?articleid=1310

【技术分享】星巴克挖矿事件分析：黑客是如何黑掉WiFi并将挖矿代码注入到HTML页面的？

2017年12月，星巴克集团就确认顾客在其布宜诺斯艾利斯的分店联网时，首次连接WiFi时会有一个10秒左右的延迟，在这个空隙间，黑客可以在用户毫无察觉的情况下挖掘数字货币。
不过目前仍未弄清谁是幕后的操作者，其中所涉及的恶意软件已经被植入了多久，以及有多少用户受到影响都尚不明确。
所以本篇文章就试图分析黑客是如何通过实施MITM攻击并在html页面注入一些javascript，从而强制连接到WiFi网络的所有设备进行挖矿。

http://jaq.alibaba.com/community/art/show?articleid=1312

【阿里工程师】还有这种操作？既是黑客又是居家男的阿里安全工程师

耀刺是谁？他是阿里安全潘多拉实验室负责苹果iOS系统的“越狱小能手”。前段时间，苹果发布iOS 11.2系统后不久，耀刺就将其拿下；而在iOS 11.2.1系统发布数小时内，耀刺又将其攻破。而且，与一般的越狱不同，耀刺的这些操作都是妥妥的“完美越狱”。

http://jaq.alibaba.com/community/art/show?articleid=1321

资讯篇

【网络安全】网络钓鱼盯上平昌奥运会：窃取敏感信息

据外媒1月7日报道，McAfee 安全研究人员报告称黑客组织已经针对韩国平昌奥运会部署了鱼叉式网络钓鱼攻击，可能会涉及到财务以及其他敏感信息。
目前许多与平昌奥运相关的组织都收到了钓鱼信息，并且相关专家预测未来针对类似平昌奥运这样的体育赛事的攻击会越来越多。

http://jaq.alibaba.com/community/art/show?articleid=1314

【安全圈】阿里安全资深专家杭特谈安全圈之“怪现状”

在国家和企业的重视和关注下，我们看到越来越多优秀的技术人才涌出，信息安全已成为各高校中炙手可热的专业，安全人才就业率也在逐年增加，各行各业的信息安全爱好者也投入其中，“挖掘漏洞”成了一件很“极客”，很有挑战并且很有成就感的事情。但渐渐的，我们也发现了安全圈的一个怪现象，那就是：“攻多防少”、“野战军远远大于正规军”、“安全人才结构不合理”。

在本次的采访中，阿里安全资深专家杭特就此问题阐述了自己的一些独特想法。

http://jaq.alibaba.com/community/art/show?articleid=1319

【安全更新】苹果公司发布了针对Spectre CPU漏洞的安全更新

苹果发布了安全更新，以减轻“Spectre”漏洞的影响。该漏洞会影响到苹果设备，如智能手机、平板电脑和台式电脑。
“Spectre”涉及两个安全漏洞(cve - 2017-5753和cve - 2017-5715)。
苹果发布了macOS High Sierra 10.13.2、iOS 11.2.2和Safari 11.0.2，以减轻幽灵漏洞的影响。

http://jaq.alibaba.com/community/art/show?articleid=1316

【WPA3 Wifi】修复KRACK漏洞，WPA3 Wifi标准即将到来

几个月前，WPA2安全协议被曝存在高危漏洞，容易遭受KRACK攻击，这几乎影响了所有的WIFI设备。为了从根本上解决这一问题，也促使新的WIFI网络保护协议WPA3的诞生。

WPA3 WiFi认证协议的首个正式草案将于今年晚些时候正式发布，但WiFi联盟已公布了四项主要功能。

http://jaq.alibaba.com/community/art/show?articleid=1317

【安全漏洞】大量比特币钱包暴露，开发商Electrum紧急修复漏洞

外媒1月10日消息，知名钱包开发商 Electrum 近期针对其比特币钱包的 JSONRPC 接口漏洞发布了安全补丁。
据悉，该漏洞允许托管 Electrum 钱包的恶意网站通过 Web 浏览器窃取用户的加密货币，研究人员猜测这可能与 JSONRPC 接口中的密码暴露有关。
此外，攻击者还可以利用该漏洞获得私人数据，例如比特币地址、交易标签、地址标签、钱包联系人等信息。
目前该漏洞影响了几乎所有平台上的 Electrum 2.6 – 3.0.4 版本。

http://jaq.alibaba.com/community/art/show?articleid=1323

技术篇

【技术分享】iOS内核调试教程

由于iOS内核是一个非常复杂的系统，所以必须要使用调试器才能很方便地进行调试，这样，你就可以很轻松地分步执行代码，设置断点，读取和写入内存和寄存器。

鉴于调试器的便利性，苹果工程师自己也开发了一个内置调试协议。不过，该工具的安装和运行有点复杂，所以我特此进行以下调试介绍。

http://jaq.alibaba.com/community/art/show?articleid=1320

【下载】PHP 7.2.1 正式版发布

PHP 7.2.1 正式发布了。（附下载地址）

http://jaq.alibaba.com/community/art/show?articleid=1311

-------------------------------------------------------

以上是本周的安全周刊，想了解更多内容，请访问阿里聚安全官方博客

微信关注我们

原文链接：https://yq.aliyun.com/articles/351799

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

Visual Studio 2017报表RDLC设计器与工具箱中Report Viewer问题

原文:VS2017入门 RDLC入门之01 本系列所有内容为网络收集转载，版权为原作者所有。 VS2017初始安装后和VS2015一样，都没有ReportDesigner/ReportViewer ReportViewer 1.在 Nuget 下载 Microsoft.ReportingServices.ReportViewerControl.Winforms https://docs.microsoft.com/zh-cn/sql/reporting-services/application-integration/integrating-reporting-services-using-reportviewer-controls-get-started 2.工具箱中点右键，选择“选择项”，在.net framework组建选项卡中选择“浏览”，然后在你的工程根目录下的“\packages\Microsoft.ReportingServices.ReportViewerControl.Winforms.140.1000.523\lib\net40”目录下选择“Microsoft.R...

2018-01-11

646

昨天测试的是uwsgi，为了能运行在alphine的docker上面， (听说uwsgi正在改进不是基于于gcc库的应用), 改进一下gunicorn的配置，来实现跟昨天同样的多站点配置。其实，在配置gunicorn时，它本身的配置不用变，只要更改nginx为其增加多一级目录即可。 gunicorn.conf bind = "0.0.0.0:9090" workers = 12 #workers是工作线程数，一般设置成：2 * 服务器CPU个数 + 1 errorlog = '/var/log/xxx/gunicorn.error.log' accesslog = '/var/log/xxx/gunicorn.access.log' #loglevel = 'debug' #proc_name = 'gunicorn_xxx' nginx.conf upstream xxx_host { server ip:9090; } server { listen 80; server_name localhost; location /prism/ { # include uwsgi_p...

2018-01-11

704

资源下载

更多资源

Nacos

Nacos /nɑ:kəʊs/ 是 Dynamic Naming and Configuration Service 的首字母简称，一个易于构建 AI Agent 应用的动态服务发现、配置管理和AI智能体管理平台。Nacos 致力于帮助您发现、配置和管理微服务及AI智能体应用。Nacos 提供了一组简单易用的特性集，帮助您快速实现动态服务发现、服务配置、服务元数据、流量管理。Nacos 帮助您更敏捷和容易地构建、交付和管理微服务平台。

Spring

Spring框架（Spring Framework）是由Rod Johnson于2002年提出的开源Java企业级应用框架，旨在通过使用JavaBean替代传统EJB实现方式降低企业级编程开发的复杂性。该框架基于简单性、可测试性和松耦合性设计理念，提供核心容器、应用上下文、数据访问集成等模块，支持整合Hibernate、Struts等第三方框架，其适用范围不仅限于服务器端开发，绝大多数Java应用均可从中受益。

Sublime Text

Sublime Text具有漂亮的用户界面和强大的功能，例如代码缩略图，Python的插件，代码段等。还可自定义键绑定，菜单和工具栏。Sublime Text 的主要功能包括：拼写检查，书签，完整的 Python API ， Goto 功能，即时项目切换，多选择，多窗口等等。Sublime Text 是一个跨平台的编辑器，同时支持Windows、Linux、Mac OS X等操作系统。

WebStorm

WebStorm 是jetbrains公司旗下一款JavaScript 开发工具。目前已经被广大中国JS开发者誉为“Web前端开发神器”、“最强大的HTML5编辑器”、“最智能的JavaScript IDE”等。与IntelliJ IDEA同源，继承了IntelliJ IDEA强大的JS部分的功能。