【阿里聚安全·安全周刊】Python库现后门可窃取用户SSH信息|Facebook再曝300万用户数据泄露-低调大师

【阿里聚安全·安全周刊】Python库现后门可窃取用户SSH信息|Facebook再曝300万用户数据泄露

2018-05-17 612

本周七个关键词：Python库现后门丨Facebook再曝数据泄露丨加密协议被曝严重漏洞丨英国报摊将出售“色情通行证”丨HTTPS的绿色锁图标丨机器学习和预测应用的API丨Eclipse Che 6.5.0

-1- 【python】Python库现后门可窃取用户SSH信息

来源：嘶吼

------------------------------------------------------

以色列开发者Uri Goren开发的处理SSH连接的Python模块存在后门。本周一，另一位开发者注意到多个SSH decorate模块含有收集用户SSH，并发送数据到远程服务器的代码。其中远程服务器的地址位于：http://ssh-decorate.cf/index.php。

在注意到这个问题后，Goren回应说后门并不是他故意留的，而是被黑的结果。

如果你仍在使用SH Decorator（ssh-decorate）模块，那么最新的安全版本是0.27。0.28版本到0.31版本都是恶意版本。

http://jaq.alibaba.com/community/art/show?articleid=1692

-2- 【数据泄露】Facebook再曝300万用户数据泄露与性格测试类app密切相关

来源： cnbeta.com

------------------------------------------------------------------

在政治咨询公司“剑桥分析”的数据收集丑闻曝光之后，Facebook 无疑面临着越来越大的舆论压力，因为研究人员 Aleksandr Kogan 分享了他通过一款性格测试（personality quiz）应用收集到的信息。

据 New Scientist 周一报道：剑桥大学的研究人员们，已经向一个分享门户上传了 300 万 Facebook 用户的数据。

另有研究团队通过一款名叫“我的个性”（myPersonility）的应用收集了用户信息，然后将之放到了一个 Web 门户上。

http://jaq.alibaba.com/community/art/show?articleid=1694

-3- 【漏洞】邮件形同裸奔，PGP 与 S/MIME 加密协议被曝严重漏洞

来源：FreeBuf.COM

------------------------------------------------------------------------------

由9名学者组成的团队向全世界发出警告，OpenPGP和S / MIME电子邮件加密工具中的严重漏洞。该研究小组称，这个代号为EFAIL的漏洞如果被利用，将允许攻击者从发送或接收的消息中提取明文内容。

EFF的研究人员也证实了这些漏洞的存在，他们建议用户卸载Pretty Good Privacy和S / MIME应用程序，直到发布修复补丁为止。

http://jaq.alibaba.com/community/art/show?articleid=1697

-4- 【数据保护法】根据新法律英国报摊将出售“色情通行证”以验证年龄

来源： cnbeta.com

------------------------------------------------------------------------------

据外媒The Verge报道，去年英国批准了《2017年数字经济法》，其中包括有关访问色情网站的严格新规。当这项法律在今年晚些时候生效时，监管机构建议用户可以从他们当地的报摊购买所谓的“色情通行证”，以验证他们的年龄。

英国文化、媒体和体育部一位发言人表示，该部门正在“实施世界上最严格的一些数据保护法”，并且验证方案的范围将不得不遵守这些标准。

http://jaq.alibaba.com/community/art/show?articleid=1690

-5- 【网络协议】 注意！HTTPS的绿色锁图标并不代表绝对安全

来源：嘶吼

-------------------------------------------------------------------------------------

HTTPS是HTTP协议的一个变种，给传输的数据增加了一个安全层，这个安全层是通过SSL或TLS实现的。SSL是来确保不安全网络中网络应用客户端和服务器的安全连接的网络协议。

SSL证书越来越廉价，许多企业提供给用户免费的SSL证书，但并不去验证是谁在用这些证书。

研究人员发现有钓鱼网站和恶意网站也在使用SSL证书，所以绿色的HTTPS图标并不一定安全。

http://jaq.alibaba.com/community/art/show?articleid=1699

-6- 【机器学习】50多种适合机器学习和预测应用的API，你的选择是？（2018年版本）

来源：云栖社区

--------------------------------------------------

本文盘点了2018年以来人脸和图像识别、文本分析、自然语言处理、情感分析、语言翻译、机器学习和预测这几个领域常用的API，读者可以根据自己需求选择合适的API完成相应的任务。

http://jaq.alibaba.com/community/art/show?articleid=1689

-7- 【下载】Eclipse Che 6.5.0 发布，在线集成开发环境

来源：开源中国社区

--------------------------------------------------------------------------

Eclipse Che 是一个高性能的基于浏览器的集成开发环境，通过提供结构化的工作区、项目输入、模块化扩展插件来支持 Codenvy 的引擎，采用 Java 开发，支持 Windows、Linux 和 OS X 系统。

Eclipse Che 6.5.0 已发布（可下载）。

http://jaq.alibaba.com/community/art/show?articleid=1696

——————————————————————————————

以上是本周的安全周刊，想了解更多内容，请访问阿里聚安全官方博客

微信关注我们

原文链接：https://yq.aliyun.com/articles/594221

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

Java Token的原理和生成使用机制

在此之前我们先了解一下什么是Cookie、Session、Token 1、什么是Cookie？ cookie指的就是浏览器里面能永久存储数据的一种数据存储功能。cookie由服务器生成，发送给浏览器，浏览器把cookie以kv形式保存到某个目录下的文本文件内，下一次请求同一网站时会把该cookie发送给服务器。由于cookie是存在客户端上的，所以浏览器加入了一些限制确保cookie不会被恶意使用，同时不会占据太多磁盘空间，所以每个域的cookie数量是有限的。 Cookie有什么功能特点呢？在同一个页面中设置 Cookie，实际上是按从后往前的顺序进行的。如果要先删除一个 Cookie，再写入一个 Cookie，则必须先写写入语句，再写删除语句，否则会出现错误。 Cookie是面向路径的。缺省路径 (path) 属性时，Web 服务器页会自动传递当前路径给浏览器，指定路径强制服务器使用设置的路径。在一个目录页面里设置的 Cookie 在另一个目录的页面里是看不到的。 Cookie 必须在 HTML 文件的内容输出之前设置；不同的浏览器 (Netscape Navigat...

2018-05-18

568

1、隐式锁对称线程同步 synchronized 用法：1、在方法声明时使用；2、修饰代码块中使用隐式规则 1、当两个并发线程访问同一个对象object中的synchronized(this)同步代码块时，一个时间内只能有一个线程得到执行 2、当一个线程访问object的一个synchronized(this)同步代码块时，其他的线程可以访问该object中的非synchronized(this)同步代码块 3、synchronized(this)设置的对象锁中，当一个线程访问获取到锁，其他线程对object中相同对象锁的代码块都无法访问性能和执行效率：同步方法体<同步代码块 <synchronized(this)<同步代码块（byte锁）如图1-2 图1-2 关于效率高低的判断，其实记住一点，锁时一个对象，加锁和释放锁都需要资源，对象越小效率越高 2、显式锁Lock和ReentrantLock Lock只是一个接口，它规定了锁的基础操作规范如图2-1所示图2-1 1、Lock()方法，线程获取锁，如果...

2018-05-18

661

资源下载

更多资源

优质分享App

近一个月的开发和优化，本站点的第一个app全新上线。该app采用极致压缩，本体才4.36MB。系统里面做了大量数据访问、缓存优化。方便用户在手机上查看文章。后续会推出HarmonyOS的适配版本。

Mario

马里奥是站在游戏界顶峰的超人气多面角色。马里奥靠吃蘑菇成长，特征是大鼻子、头戴帽子、身穿背带裤，还留着胡子。与他的双胞胎兄弟路易基一起，长年担任任天堂的招牌角色。

Spring

Spring框架（Spring Framework）是由Rod Johnson于2002年提出的开源Java企业级应用框架，旨在通过使用JavaBean替代传统EJB实现方式降低企业级编程开发的复杂性。该框架基于简单性、可测试性和松耦合性设计理念，提供核心容器、应用上下文、数据访问集成等模块，支持整合Hibernate、Struts等第三方框架，其适用范围不仅限于服务器端开发，绝大多数Java应用均可从中受益。

Sublime Text

Sublime Text具有漂亮的用户界面和强大的功能，例如代码缩略图，Python的插件，代码段等。还可自定义键绑定，菜单和工具栏。Sublime Text 的主要功能包括：拼写检查，书签，完整的 Python API ， Goto 功能，即时项目切换，多选择，多窗口等等。Sublime Text 是一个跨平台的编辑器，同时支持Windows、Linux、Mac OS X等操作系统。