【阿里聚安全·安全周刊】Python库现后门可窃取用户SSH信息|Facebook再曝300万用户数据泄露-低调大师

【阿里聚安全·安全周刊】Python库现后门可窃取用户SSH信息|Facebook再曝300万用户数据泄露

2018-05-17 635

本周七个关键词：Python库现后门丨Facebook再曝数据泄露丨加密协议被曝严重漏洞丨英国报摊将出售“色情通行证”丨HTTPS的绿色锁图标丨机器学习和预测应用的API丨Eclipse Che 6.5.0

-1- 【python】Python库现后门可窃取用户SSH信息

来源：嘶吼

------------------------------------------------------

以色列开发者Uri Goren开发的处理SSH连接的Python模块存在后门。本周一，另一位开发者注意到多个SSH decorate模块含有收集用户SSH，并发送数据到远程服务器的代码。其中远程服务器的地址位于：http://ssh-decorate.cf/index.php。

在注意到这个问题后，Goren回应说后门并不是他故意留的，而是被黑的结果。

如果你仍在使用SH Decorator（ssh-decorate）模块，那么最新的安全版本是0.27。0.28版本到0.31版本都是恶意版本。

http://jaq.alibaba.com/community/art/show?articleid=1692

-2- 【数据泄露】Facebook再曝300万用户数据泄露与性格测试类app密切相关

来源： cnbeta.com

------------------------------------------------------------------

在政治咨询公司“剑桥分析”的数据收集丑闻曝光之后，Facebook 无疑面临着越来越大的舆论压力，因为研究人员 Aleksandr Kogan 分享了他通过一款性格测试（personality quiz）应用收集到的信息。

据 New Scientist 周一报道：剑桥大学的研究人员们，已经向一个分享门户上传了 300 万 Facebook 用户的数据。

另有研究团队通过一款名叫“我的个性”（myPersonility）的应用收集了用户信息，然后将之放到了一个 Web 门户上。

http://jaq.alibaba.com/community/art/show?articleid=1694

-3- 【漏洞】邮件形同裸奔，PGP 与 S/MIME 加密协议被曝严重漏洞

来源：FreeBuf.COM

------------------------------------------------------------------------------

由9名学者组成的团队向全世界发出警告，OpenPGP和S / MIME电子邮件加密工具中的严重漏洞。该研究小组称，这个代号为EFAIL的漏洞如果被利用，将允许攻击者从发送或接收的消息中提取明文内容。

EFF的研究人员也证实了这些漏洞的存在，他们建议用户卸载Pretty Good Privacy和S / MIME应用程序，直到发布修复补丁为止。

http://jaq.alibaba.com/community/art/show?articleid=1697

-4- 【数据保护法】根据新法律英国报摊将出售“色情通行证”以验证年龄

来源： cnbeta.com

------------------------------------------------------------------------------

据外媒The Verge报道，去年英国批准了《2017年数字经济法》，其中包括有关访问色情网站的严格新规。当这项法律在今年晚些时候生效时，监管机构建议用户可以从他们当地的报摊购买所谓的“色情通行证”，以验证他们的年龄。

英国文化、媒体和体育部一位发言人表示，该部门正在“实施世界上最严格的一些数据保护法”，并且验证方案的范围将不得不遵守这些标准。

http://jaq.alibaba.com/community/art/show?articleid=1690

-5- 【网络协议】 注意！HTTPS的绿色锁图标并不代表绝对安全

来源：嘶吼

-------------------------------------------------------------------------------------

HTTPS是HTTP协议的一个变种，给传输的数据增加了一个安全层，这个安全层是通过SSL或TLS实现的。SSL是来确保不安全网络中网络应用客户端和服务器的安全连接的网络协议。

SSL证书越来越廉价，许多企业提供给用户免费的SSL证书，但并不去验证是谁在用这些证书。

研究人员发现有钓鱼网站和恶意网站也在使用SSL证书，所以绿色的HTTPS图标并不一定安全。

http://jaq.alibaba.com/community/art/show?articleid=1699

-6- 【机器学习】50多种适合机器学习和预测应用的API，你的选择是？（2018年版本）

来源：云栖社区

--------------------------------------------------

本文盘点了2018年以来人脸和图像识别、文本分析、自然语言处理、情感分析、语言翻译、机器学习和预测这几个领域常用的API，读者可以根据自己需求选择合适的API完成相应的任务。

http://jaq.alibaba.com/community/art/show?articleid=1689

-7- 【下载】Eclipse Che 6.5.0 发布，在线集成开发环境

来源：开源中国社区

--------------------------------------------------------------------------

Eclipse Che 是一个高性能的基于浏览器的集成开发环境，通过提供结构化的工作区、项目输入、模块化扩展插件来支持 Codenvy 的引擎，采用 Java 开发，支持 Windows、Linux 和 OS X 系统。

Eclipse Che 6.5.0 已发布（可下载）。

http://jaq.alibaba.com/community/art/show?articleid=1696

——————————————————————————————

以上是本周的安全周刊，想了解更多内容，请访问阿里聚安全官方博客

微信关注我们

原文链接：https://yq.aliyun.com/articles/594221

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

Java Token的原理和生成使用机制

在此之前我们先了解一下什么是Cookie、Session、Token 1、什么是Cookie？ cookie指的就是浏览器里面能永久存储数据的一种数据存储功能。cookie由服务器生成，发送给浏览器，浏览器把cookie以kv形式保存到某个目录下的文本文件内，下一次请求同一网站时会把该cookie发送给服务器。由于cookie是存在客户端上的，所以浏览器加入了一些限制确保cookie不会被恶意使用，同时不会占据太多磁盘空间，所以每个域的cookie数量是有限的。 Cookie有什么功能特点呢？在同一个页面中设置 Cookie，实际上是按从后往前的顺序进行的。如果要先删除一个 Cookie，再写入一个 Cookie，则必须先写写入语句，再写删除语句，否则会出现错误。 Cookie是面向路径的。缺省路径 (path) 属性时，Web 服务器页会自动传递当前路径给浏览器，指定路径强制服务器使用设置的路径。在一个目录页面里设置的 Cookie 在另一个目录的页面里是看不到的。 Cookie 必须在 HTML 文件的内容输出之前设置；不同的浏览器 (Netscape Navigat...

2018-05-18

591

1、隐式锁对称线程同步 synchronized 用法：1、在方法声明时使用；2、修饰代码块中使用隐式规则 1、当两个并发线程访问同一个对象object中的synchronized(this)同步代码块时，一个时间内只能有一个线程得到执行 2、当一个线程访问object的一个synchronized(this)同步代码块时，其他的线程可以访问该object中的非synchronized(this)同步代码块 3、synchronized(this)设置的对象锁中，当一个线程访问获取到锁，其他线程对object中相同对象锁的代码块都无法访问性能和执行效率：同步方法体<同步代码块 <synchronized(this)<同步代码块（byte锁）如图1-2 图1-2 关于效率高低的判断，其实记住一点，锁时一个对象，加锁和释放锁都需要资源，对象越小效率越高 2、显式锁Lock和ReentrantLock Lock只是一个接口，它规定了锁的基础操作规范如图2-1所示图2-1 1、Lock()方法，线程获取锁，如果...

2018-05-18

681

资源下载

更多资源

Mario

马里奥是站在游戏界顶峰的超人气多面角色。马里奥靠吃蘑菇成长，特征是大鼻子、头戴帽子、身穿背带裤，还留着胡子。与他的双胞胎兄弟路易基一起，长年担任任天堂的招牌角色。

腾讯云软件源

为解决软件依赖安装时官方源访问速度慢的问题，腾讯云为一些软件搭建了缓存服务。您可以通过使用腾讯云软件源站来提升依赖包的安装速度。为了方便用户自由搭建服务架构，目前腾讯云软件源站支持公网访问和内网访问。

Nacos

Nacos /nɑ:kəʊs/ 是 Dynamic Naming and Configuration Service 的首字母简称，一个易于构建 AI Agent 应用的动态服务发现、配置管理和AI智能体管理平台。Nacos 致力于帮助您发现、配置和管理微服务及AI智能体应用。Nacos 提供了一组简单易用的特性集，帮助您快速实现动态服务发现、服务配置、服务元数据、流量管理。Nacos 帮助您更敏捷和容易地构建、交付和管理微服务平台。

Rocky Linux

Rocky Linux（中文名：洛基）是由Gregory Kurtzer于2020年12月发起的企业级Linux发行版，作为CentOS稳定版停止维护后与RHEL（Red Hat Enterprise Linux）完全兼容的开源替代方案，由社区拥有并管理，支持x86_64、aarch64等架构。其通过重新编译RHEL源代码提供长期稳定性，采用模块化包装和SELinux安全架构，默认包含GNOME桌面环境及XFS文件系统，支持十年生命周期更新。