首页 文章 精选 留言 我的

精选列表

搜索[热点技术征文第九期],共10000篇文章
优秀的个人博客,低调大师

黑客攻击的下一个热点:路由器和NAS漏洞

随着全球远程办公的常态化,BYOD大行其道,路由器和NAS等家庭数码设备正在成为黑客重点关注的突破口。在近日举行的Pwn2Own东京2020黑客大赛上,参赛的漏洞赏金猎人们在第一天就成功入侵了NETGEAR路由器和西部数据的NAS存储设备(编者:这也是NAS设备首次参加Pwn2Own大赛)。 今年的Pwn2Own Tokyo由加拿大多伦多的ZDI协调组织,由于冠状病毒大流行,比赛变成了虚拟比赛,参与者在远程演示攻击。 在活动的第一天,网件(NETGEAR)的高端路由器Nighthawk R7800受到了包括Black Coffee团队、Flashback团队以及网络安全公司Starlabs和Trapa Security团队的“围攻”。 Flashback团队因结合了两个漏洞成功实施了通过WAN端口的远程代码执行利用,斩获了网件的2万美元的奖金。 而Starlabs团队(上图)通过结合两个漏洞实现了任意代码执行,获得了5,000美元的奖金。Trapa Security团队使用命令注入缺陷来控制路由器后,同样获得了5000美元奖金。 西部数据的存储产品,My Cloud Pro系列PR4100 NSA设备受到了Trapa Security团队的攻击,该团队结合身份验证旁路漏洞和命令注入漏洞成功获取root权限(上图),斩获西部数据的2万美元奖金,而84c0团队则成功展示了远程代码执行漏洞,但是他们的成功并不完美,利用了以前已知的漏洞。 在Pwn2Own Tokyo 2020上,黑客入侵路由器和NAS设备的最高奖励为20,000美元。对于路由器,WAN攻击的奖励更高(威胁更大),而对于LAN攻击,参与者最多可以赚到5,000美元。 同在第一天,Viettel网络安全团队将三星智能电视作为目标,尽管他们成功入侵并在设备上安装了反向shell,但由于使用了已知漏洞,因此没有获得任何奖金。(编者:多个送测设备依然存在已知漏洞,这本身就是个大问题。) 在活动的第二天,Flashback团队使用三个漏洞在TP-Link AC1750智能WiFi路由器上通过WAN端口成功执行任意代码,又赚了2万美元,两天来的奖金达到了4万美元。这也使他们以4分的总积分成为Pwn大师的领先者。 作为第二天的“压轴戏”,DEVCORE团队针对Synology DiskStation DS418Play NAS的攻击颇具戏剧性。DEVCORE的第一次尝试以失败告终,而第二次尝试则花费了三分半多的时间,之后终于通过堆栈溢出获取了对服务器的根访问权限并斩获了2万美元奖金和2个Pwn积分。 在活动的第三天,如果DEVCORE能够成功利用西部数据的NAS设备,则有望在积分上追平Flashback战队。 以下是活动第二日结束时的Pwn大师积分排名: 据悉,在Pwn2Own Tokyo接下来数日的活动中,参与者的重点依然是路由器、NAS和智能电视。 今年的Pwn2Own Tokyo活动由Facebook赞助,Facebook还邀请研究人员入侵其Oculus和Portal等设备。但是,目前来看,Pwn2Own Tokyo 2020参赛者的焦点依然是奖金较低的路由器、NAS产品和电视,而不是奖金更高的智能手机(通过浏览器入侵iPhone的奖金高达16万美元)、可穿戴设备(Facebook Oculus Quest VR头盔的奖金高达8万美元、苹果Apple Watch远程代码执行奖金同样高达8万美元)和智能家居(Ring和Arlo摄像头奖金为4万至6万美元)。这说明家庭WiFi路由器、NAS存储设备和智能电视的漏洞更加丰盛和容易得手。 在去年的Pwn2Own Tokyo上,参与者共披露了18个不同的漏洞,总计获得了31.5万美元奖金。 【本文是51CTO专栏作者“安全牛”的原创文章,转载请通过安全牛(微信公众号id:gooann-sectv)获取授权】 戳这里,看该作者更多好文

优秀的个人博客,低调大师

Flink SQL 功能解密系列 —— 解决热点问题的大杀器MiniBatch

阿里巴巴实时计算团队-墨简 在Blink的流式任务中,State相关的操作通常都会成为整个任务的性能瓶颈。实时计算部-查询和优化团队开发了MiniBatch功能,大幅降低了State操作的开销,在今年的双11中,几乎所有适用的任务都启用了MiniBatch功能。 MiniBatch的一个典型场景-无限流上的GroupBy 在Blink-SQL中,通常会使用无限流的GroupBy来完成去重或者聚合计算,一个简单的例子如下 SELECT a, count(b) FROM dual GROUP BY a 标准实现的计算方式 MiniBatch实现的计算方式 StateBackend的Batch操作 从上图可知,开启MiniBatch之后要求State能支持Batch读写,目前默认的RocksDBStateBackend暂时不支持,Batch的读写实际是

优秀的个人博客,低调大师

半年16家云公司融资成功 私有云混合云成投资热点

私有云、混合云市场非但还没有形成寡头,而且存在着非常多的可以纵深切入的方向,成为云创业和云投资的重点领域。 时至今日,云计算成为未来主流IT基础设施已不再是悬念,中国云产业市场正在走向纵深,云公司领域的投资风向正在发生剧烈变化。 近日,云计算服务商青云QingCloud宣布获10.8亿元人民币的D轮融资,本轮投资方包括招商证券国际、招商致远资本等多家机构,蓝驰创投、光速中国等早期投资方跟投。 不仅青云,截至6月,在2017年上半年的中国云计算市场,已经发生了至少16起大笔投资,对外公布的融资总额超过了50亿元人民币,被投企业包括华云数据(F轮)、青云(D轮)、UCloud(D轮)、金山云(C轮)、星环科技(C轮)、EasyStack(C轮)、驻云科技(C轮)、SpeedyCloud迅达云(B轮)、BoCloud博云(B轮)、数人云(A+轮)、ZStack(A轮)、Hyper(A轮)、犀思云(A轮)、数梦工场(A轮)、有容云(Pre-A)、北森云(公开市场)等。 16家被投创业公司中,金山云和UCloud是较为纯粹的公有云服务提供商,北森云是已经登录新三板的SaaS软件服务商,其他厂商的主营业务则多聚焦在私有云、混合云领域。 融资成功的公司多分布在私有云和混合云领域,这并非一个巧合。 IDC 最新公布的2016中国公有云IaaS市场份额统计报告显示,2016年中国公有云IaaS市场容量为100亿元人民币,市场份额排名前四的厂商分别是:阿里云(40.67%)、中国电信(8.51%)、腾讯云(7.34%)、金山云(6.02%)。 从投资角度来看上述榜单,排名靠前的公有云服务公司大多是不差钱的“富二代”,投资机构无从介入,目光转向私有云混合云领域的创业公司亦在情理之中。 ZStack创始人兼CEO张鑫等多位行业人士告诉《财经》记者,中国公有云市场格局基本已定,但私有云和混合云市场还远远没有形成寡头。 但对于未来在该领域存在的创业机会和投资机会,业界有两种争锋相对的看法。 部分行业人士认为,私有云混合云领域除了上述已经闯荡出一些名头的创业公司,还有华为新华三等传统IT公司,同时阿里云腾讯云等公有云厂商也在努力切入这块市场,留给后来者的时间窗口已基本关闭。 但有云计算资深行业观察人士告诉《财经》记者,如果一个企业业务有互联网化的需求,那么他们眼里的私有云和混合云根本不是简单的“虚拟化+”,而是要用互联网的那一套软件体系架构去重构传统IT,这里面机会很多。 公有云、私有云长期并存的混合云时代还只是刚刚开始。 据悉,青云等公司已经开启IPO征程,UCloud创始人兼CEO季昕华在微信朋友圈公开寻求“一靠谱董秘”。 青云、华云是最有可能率先在国内上市的云计算公司。青云2016年实现了千万级人民币净利润,是中国云计算市场里首家宣布实现盈利的云计算公司,华云数据“出身IDC,做利润不愁”。 我国证券法规定,在主板和中小板上市的公司,最新3个会计年度净利润均为正,且累计超过人民币3000万元。 本文转自d1net(转载)

资源下载

更多资源
腾讯云软件源

腾讯云软件源

为解决软件依赖安装时官方源访问速度慢的问题,腾讯云为一些软件搭建了缓存服务。您可以通过使用腾讯云软件源站来提升依赖包的安装速度。为了方便用户自由搭建服务架构,目前腾讯云软件源站支持公网访问和内网访问。

Nacos

Nacos

Nacos /nɑ:kəʊs/ 是 Dynamic Naming and Configuration Service 的首字母简称,一个易于构建 AI Agent 应用的动态服务发现、配置管理和AI智能体管理平台。Nacos 致力于帮助您发现、配置和管理微服务及AI智能体应用。Nacos 提供了一组简单易用的特性集,帮助您快速实现动态服务发现、服务配置、服务元数据、流量管理。Nacos 帮助您更敏捷和容易地构建、交付和管理微服务平台。

Spring

Spring

Spring框架(Spring Framework)是由Rod Johnson于2002年提出的开源Java企业级应用框架,旨在通过使用JavaBean替代传统EJB实现方式降低企业级编程开发的复杂性。该框架基于简单性、可测试性和松耦合性设计理念,提供核心容器、应用上下文、数据访问集成等模块,支持整合Hibernate、Struts等第三方框架,其适用范围不仅限于服务器端开发,绝大多数Java应用均可从中受益。

Sublime Text

Sublime Text

Sublime Text具有漂亮的用户界面和强大的功能,例如代码缩略图,Python的插件,代码段等。还可自定义键绑定,菜单和工具栏。Sublime Text 的主要功能包括:拼写检查,书签,完整的 Python API , Goto 功能,即时项目切换,多选择,多窗口等等。Sublime Text 是一个跨平台的编辑器,同时支持Windows、Linux、Mac OS X等操作系统。

用户登录
用户注册