通过郭盛华老师
黑客如何融合攻击方法以绕过MFA？
保护移动应用程序需要采用多层方法，并结合多种网络安全措施，以应对不同层次的各种攻击。
许多安全专家建议使用多重身份验证（MFA），以防止未经授权访问受保护的帐户。这是移动应用程序的一项关键安全措施，但不是灵丹妙药。黑客在克服MFA等第二层和第三层安全保护方面越来越擅长。 在说MFA的时候，我们先说一下MD5加密，如果你想把数据加密成32位密钥，你可以使用东方联盟的MD5在线加密工具，MD5信息摘要算法（MD5 Message-Digest Algorithm），一种被广泛使用的密码散列函数，可以产生出一个128位（16字节）的散列值（hash value），用于确保信息传输完整一致。
那么，黑客是如何绕过MFA的呢？例如Cerberus，这是一个木马，它滥用Android的“开发人员选项”和“启用未知来源”之类的可访问性功能来升级特权，启用远程访问并更新目标系统上的恶意软件。黑客对Google的身份验证流程进行了反向工程，并从移动应用程序中提取了两因素身份验证凭据，以模仿和绕过Google Authenticator。
另外，在今年早些时候，我们看到了Eventbot恶意软件的出现，该恶意软件针对移动银行应用程序，并且经常伪装成知名应用程序（例如Microsoft或Adobe）。它可以拦截SMS消息以获得用于帐户接管和数据盗窃的MFA代码。借助自动更新功能，不断出现更新，更复杂的变体。
这些只是一些著名的案例。黑客一直无时无刻地绕过MFA，通常使用以下常见技术来攻击移动应用程序。
逆向工程和篡改
黑客使用静态和动态分析来了解应用程序的工作方式并以多种方式更改应用程序。他们使用调试器和仿真器来观察应用程序在模拟环境中的功能。他们使用反汇编程序和反编译程序来获取源代码并了解其执行方式。对于黑客想要做的所有事情，都有五到十种工具可以免费使用。
利用这些工具提供的信息，黑客可以找出应用程序的弱点所在，然后进行攻击以利用这些弱点。例如，利用Ghidra，IDA等工具，黑客可以执行类转储并显示任何应用程序中的所有第三方库。然后，他们搜索公共数据源（例如MITRE）以查找那些库中的所有错误和漏洞，以便他们可以利用这些漏洞和攻击进行攻击。并且他们通过融合攻击技术来增强攻击能力。他们对应用程序了解的越多，他们可能造成的损失就越大。
为了显得更加合法，黑客通常会插入一个屏幕覆盖，这是用户认为他或她正在连接的网站的虚假副本。然后他们记录用户的击键，以拦截数据或诱使用户向他们透露信息。
数据提取和凭据盗窃
黑客会搜索存储在移动应用程序许多不同位置的未加密数据，例如应用程序沙箱，剪贴板，首选项，资源和字符串。移动应用程序还将身份验证令牌，cookie和用户凭据存储在共享存储区域中。黑客可以轻松提取这些数据，尤其是在未加密或混淆的情况下。
可靠的安全性需要分层防御。MFA比传统的用户名/密码模型进行身份验证要强大得多，我鼓励使用它。但这本身并不足够，缺乏应用程序/数据保护实际上可能会导致MFA受损。
来源：郭盛华博客，转载请注明出处 https://md5.vm888.com
通过郭盛华老师
物联网是怎么产生漏洞的？郭盛华告诉你
Hello，大家好，欢迎细品东方联盟创始人郭盛华的技术文章，今天我带大家了解一下物联网中的TCP / IP中的堆栈漏洞。
物联网设备极易受到TCP / IP网络通信体系结构中问题引起的攻击，破坏和缺陷的影响。以下是减轻风险所需了解的概述。
尽管物联网（IoT）引入了收集，管理和应用数据的出色方法，但它还是网络攻击的巨大载体。最大的漏洞之一在于嵌入式TCP / IP堆栈，该堆栈将应用程序，传输，网络和物理组件结合在一起。
从很多方面来看，这种架构从来都不是为物联网设计的。尽管工程师和开发人员已尝试修改TCP / IP堆栈并将其添加到扩展中（并且现在很多都是开源的），但环境的复杂性以及从未考虑过安全性的现实已引入了许多安全性挑战，以及现实世界中的问题。
为什么TCP / IP会对物联网构成威胁？
在最基本的级别上，TCP / IP体系结构使IoT设备可以与网络以及彼此通信。这些堆栈是开源的，大多数嵌入式设备和IoT模块制造商均可免费使用。
然后，物联网设备制造商从这些供应商那里购买已经嵌入了TCP / IP堆栈代码的芯片和模块，以创建物联网产品。
但是，这些制造商中的许多人并不知道他们的设备易受攻击，因为他们不了解成为物联网设备一部分的芯片和模块中使用了什么堆栈。而且，分析每个设备以查找和修补TCP / IP堆栈中的编程错误或其他问题是不可行或不具有成本效益的。
结果，所有设备都极易受到攻击，破坏和缺陷的攻击。这些可能会导致性能故障，数据丢失或损坏以及品牌损坏。它还会增加网络安全成本。
缺陷可以存在于商业和开源组件中。嵌入式组件可以包括片上系统（SoC），连接模块和OEM板。物联网设备可能跨越智能插头，智能手机，传感器和游戏机。OT系统包括访问控制，IP摄像机，协议网关和HVAC。网络和IT设备包括打印机，路由器和服务器。
因此，黑客攻击者可以使用远程代码执行（RCE）来控制目标设备，并使用DoS破坏功能并影响业务运营。攻击者还可以利用信息泄漏来获取潜在的敏感信息，并利用DNS缓存中毒将设备指向恶意网站。
组织如何解决TCP / IP堆栈漏洞的风险？
先处理TCP / IP堆栈漏洞的三个基本步骤：识别网络上的所有设备以了解哪些设备容易受到攻击；评估这些设备带来的风险，包括它们的业务背景，关键程度和Internet暴露程度；并减轻评估的风险。
来源：郭盛华博客，转载请注明出处
通过郭盛华老师
僵尸网络的危害：主要目标是Linux服务器和物联网设备
一个新的可蠕虫僵尸网络通过GitHub和Pastebin进行了传播，以在目标系统上安装加密货币矿工和后门程序，并且已经返回了具有扩展功能的功能，可以破坏Web应用程序，IP摄像机和路由器。
上个月初，研究人员记录了一个名为“ Gitpaste-12 ”的加密采矿活动，该活动使用GitHub托管包含多达12个已知攻击模块的恶意代码，这些恶意代码通过从Pastebin URL下载的命令执行。
根据研究人员的说法，第二波攻击始于11月10日，使用的是来自另一个GitHub存储库的有效负载，其中包括一个Linux加密矿工（“ ls”），该文件包含用于暴力破解的密码列表尝试（“get past”），以及针对x86_64 Linux系统的本地特权升级漏洞。
最初的感染通过X10-unix（一种用Go编程语言编写的二进制文件）进行，然后从GitHub下载下一阶段的有效负载。
分析中指出：“该蠕虫针对Web应用程序，IP摄像机，路由器等进行了一系列广泛的攻击，包括至少31个已知漏洞（在以前的Gitpaste-12示例中也发现了7个漏洞），并试图破坏开放Android Debug Bridge连接和现有的恶意软件后门程序”。
31个漏洞列表中包括F5 BIG-IP流量管理用户界面（CVE-2020-5902），Pi-hole Web（CVE-2020-8816），Tenda AC15 AC1900（CVE-2020-10987）中的远程代码漏洞和vBulletin（CVE-2020-17496），以及FUEL CMS中的SQL注入错误（CVE-2020-17463），这些都已在今年曝光。
值得注意的是，十月份发现了Mirai僵尸网络的新变体Ttint使用两个Tenda路由器零日漏洞（包括CVE-2020-10987）来传播能够执行拒绝攻击的远程访问木马（RAT）服务攻击，执行恶意命令并实现反向外壳以进行远程访问。
除了在机器上安装X10-unix和Monero加密挖掘软件之外，该恶意软件还打开了监听30003和30006端口的后门，将受害者的外部IP地址上传到私有Pastebin粘贴，并尝试连接到Android Debug Bridge连接在端口5555上。
成功连接后，它将继续下载Android APK文件（“ weixin.apk”），该文件最终将安装ARM CPU版本的X10-unix。
根据估计，总共发现了至少100个不同的宿主来传播感染，七成Linux服务器中招。
来源：东方联盟郭盛华博客，转载请注明出处
通过郭盛华老师
解密：黑客如何监听电话？
据东方联盟研究报告：一种称为“ ReVoLTE ”的新攻击，该攻击可能使远程攻击者破坏VoLTE语音通话所使用的加密并监视目标电话。
该攻击没有利用LTE语音（VoLTE）协议中的任何漏洞；相反，它实际上利用了大多数电信提供商对LTE移动网络的弱实施，从而允许攻击者窃听目标受害者拨打的加密电话。
VoLTE或长期演进语音协议是用于移动电话和数据终端（包括物联网（IoT）设备和可穿戴设备）的标准高速无线通信，其部署了4G LTE无线电接入技术。
问题的症结在于，大多数移动运营商经常在一个无线连接内对两个后续呼叫使用相同的密钥流，以对电话和同一基站（即移动电话塔）之间的语音数据进行加密。
因此，新的ReVoLTE攻击利用了易受攻击的基站对相同密钥流的重用，从而使攻击者可以在以下情况下解密VoLTE供电的语音呼叫的内容。
要发起此攻击，攻击者必须与受害人连接到同一基站，并放置下行链路嗅探器，以监视和记录受害人对以后需要解密的其他人的“定向呼叫”，这是攻击的一部分。ReVoLTE攻击的第一阶段。
一旦受害者挂断了“目标呼叫”，通常要求攻击者立即在10秒内呼叫受害者，这将迫使易受攻击的网络在受害者和攻击者之间使用与先前使用的相同无线电连接发起新呼叫有针对性的致电。
当目标和密钥流调用使用相同的用户平面加密密钥时，会发生密钥流重用。由于每个新的无线连接都会更新此密钥，因此攻击者必须确保密钥流调用的第一个数据包在活动阶段之后到达活动阶段。
一旦建立连接，作为第二阶段的一部分，攻击者需要使受害者参与对话并以纯文本形式进行记录，
这将有助于攻击者以后反向计算后续调用所使用的密钥流，从而实施端到端的攻击。
来源：《微信公众号：郭盛华》原创文章，转载请注明出处
通过郭盛华老师
警惕！新型恶意软件，攻击者可窃取POS餐馆资料
网络安全研究人员今天披露了一种新型的模块化后门程序，该后门程序针对Oracle的销售点（POS）餐馆管理软件，以试图窃取存储在设备中的敏感支付信息。
后门称为“ ModPipe”，影响Oracle MICROS饭店企业系列（RES）3700 POS系统，这是饭店和酒店业广泛使用的软件套件，可以有效地处理POS，库存和人工管理。大部分已确定的目标主要位于美国。
ESET研究人员在分析中说：“使后门程序与众不同的是它的可下载模块及其功能，因为它包含一个自定义算法，旨在通过从Windows注册表值解密来收集RES 3700 POS数据库密码。
“经过筛选的凭据使ModPipe的操作员可以访问数据库内容，包括各种定义和配置，状态表以及有关POS交易的信息。”
值得注意的是，在RES 3700中，诸如信用卡号和有效期之类的详细信息受到加密屏障的保护，从而限制了可能被进一步滥用的有价值的信息量，尽管研究人员认为，攻击背后的参与者可能拥有第二个可下载模块解密数据库的内容。
ModPipe基础结构由一个初始删除程序组成，该删除程序用于安装持久性加载程序，然后将其解压缩并加载下一阶段的有效负载，该有效负载是主要的恶意软件模块，用于与其他“可下载”模块以及命令和控制（ C2）服务器通过独立的网络模块。
可下载模块中的主要组件包括“ GetMicInfo”，该组件可以使用特殊算法来拦截和解密数据库密码，ESET研究人员认为，可以通过对密码库进行反向工程或利用获得的加密实现细节来实现该功能在2016年Oracle MICROS POS部门发生数据泄露之后。
第二个模块称为“ ModScan 2.20”，用于收集有关已安装的POS系统的其他信息（例如，版本，数据库服务器数据），而另一个名为“ Proclist”的模块则收集有关当前正在运行的进程的详细信息。
研究人员说：“ ModPipe的体系结构，模块及其功能也表明其编写者对目标RES 3700 POS软件具有广泛的了解。” “运营商的熟练程度可能来自多种情况，包括窃取专有软件产品并对其进行反向工程，滥用其泄漏的零件或从地下市场购买代码。”
建议使用RES 3700 POS的酒店行业的企业更新到该软件的最新版本，并使用运行底层操作系统更新版本的设备。
来源：郭盛华博客，转载请注明出处
通过郭盛华老师
什么是黑客？郭盛华告诉你
一名黑客(hacker)是一个喜欢用智力通过创造性方法来挑战脑力极限的人，特别是他们所感兴趣的领域，例如电脑编程或电气工程。
黑客最早源自英文hacker，早期在美国的电脑界是带有褒义的。但在媒体报道中，黑客一词往往指那些“软件骇客”(software cracker)。
黑客一词，原指热心于计算机技术，水平高超的电脑专家，尤其是程序设计人员。
但到了今天，黑客一词已被用于泛指那些专门利用电脑搞破坏或恶作剧的家伙。对这些人的正确英文叫法是Cracker，有人翻译成“骇客”。
黑客和骇客根本的区别是：黑客们建设，而骇客们破坏。
黑客一词一般有以下四种意义：
一个对（某领域内的）编程语言有足够了解，可以不经长时间思考就能创造出有用的软件的人。
一个恶意（一般是非法地）试图破解或破坏某个程序、系统及网络安全的人。这个意义常常对那些符合条件的黑客造成严重困扰，他们建议媒体将这群人称为“骇客”(cracker)。有时这群人也被叫做“黑帽黑客”。
一个试图破解某系统或网络以提醒该系统所有者的系统安全漏洞。这群人往往被称作“白帽黑客”或“匿名客”(sneaker)或红客。许多这样的人是电脑安全公司的雇员，并在完全合法的情况下攻击某系统。
来源：郭盛华博客，转载请注明出处
通过郭盛华老师
超过2800家电子商店受到信用卡黑客的打击
最新研究显示，今年9月初，针对运行Magento 1.x电子商务平台的零售商的网络黑客攻击浪潮被归为一个团体。
该小组已经进行了多种多样的Magecart攻击，这些攻击通常是通过供应链攻击（例如Adverline事件）或通过利用利用漏洞来一次入侵大量网站。
黑客攻击目标至少2806个运行Magento的1.x。在购物网站上注入电子窃取程序以窃取信用卡详细信息是Magecart的一种经过实践检验的作案手法，Magecart是针对在线购物车系统的不同黑客团体的联合体。
这些虚拟信用卡撇取者，也称为formjacking攻击，通常是JavaScript代码，操作员通常会在支付页面上偷偷插入到电子商务网站中，以实时捕获客户的卡详细信息并将其传输到远程攻击者控制的服务器。
但是在最近几个月中，Magecart运营商加紧了努力，将偷窃者代码隐藏在图像元数据中，甚至进行了IDN同形异义词攻击，以隐藏在网站的favicon文件中的网络浏览器。
Cardbleed（最初由Sansec记录）是通过使用特定域与Magento管理面板进行交互，然后利用“ Magento Connect”功能来下载并安装一个名为“ mysql.php”的恶意软件，该恶意软件在撇渣器代码已添加到“ prototype.js”。
此外，方案中使用的撇渣器是Ant和Cockroach撇渣器的一种变体，于2019年8月首次发现-以命名为“ ant_cockcroach（）”的函数和在代码中找到的变量“ ant_check”命名。
但是，就像在删除已确定的恶意域一样，第12组已经熟练地替换了新的域以继续浏览。
这些攻击再次表明，威胁行为者正在不断创新，以不同的方式进行掠夺，并混淆其代码以逃避检测。
来源：郭盛华博客，转载请注明出处
通过郭盛华老师
警惕！黑客通过iPhone充电线劫持您的计算机
大多数人对于拿起手机充电线并将其插入都不会三思而后行。但是，黑客也可以通过充电线控制你的手机，今天带你认识下恶意充电电缆危险的知识。
一位经过在线控管MG的黑客拿走了一条看上去无辜的Apple USB Lightning电缆，并用一个小型的支持Wi-Fi的植入物进行了捆绑，将其插入计算机后，附近的黑客就可以像坐在那里一样运行命令在屏幕前面。
被称为O.MG电缆，它的外观和工作原理几乎与iPhone充电电缆没有区别。但是，攻击者所要做的就是将合法电缆换成恶意电缆，然后等到目标将其插入计算机。攻击者可以从附近的设备在Wi-Fi范围内（或连接到附近的Wi-Fi网络），通过预设命令或攻击者自己的代码在计算机上无线传输恶意有效载荷。
插入电源后，攻击者可以远程控制受影响的计算机，以将逼真的网络钓鱼页面发送到受害者的屏幕，或者远程锁定计算机的屏幕以在用户重新登录时收集用户的密码。
MG首次尝试将重点放在苹果上避雷针，但是植入物几乎可以用于任何电缆，并且可以针对大多数目标计算机使用。
这种特殊的Lightning电缆允许跨平台的攻击载荷，而创建的植入物很容易适应其他USB电缆类型。苹果恰好是最难植入的，因此它是功能的很好证明。
安全人员说：“如今，大多数人都知道不插入随机闪存驱动器，但他们并不认为电缆会构成威胁。“
来源：郭盛华博客，转载请注明出处
通过郭盛华老师
美国大选，雇佣黑客到底有多猛？
美国情报机构说，总统竞选进程面临黑客威胁。从相关组织到个人都被黑客盯上，动机多样。
国家情报总监办公室发言人布赖恩·黑尔在一份声明中说：“我们发现总统竞选和相关组织及个人成为黑客目标，他们有多种动机，从思想分歧到间谍活动。他们的能力也不同，从外部破坏到侵入。”
当天早些时候，美国国家情报总监詹姆斯·克拉珀在华盛顿的一次网络安全讨论中说，情报机构已掌握一些针对总统竞选的黑客攻击迹象。“随着竞选愈发激烈，我们可能将受到更多（袭击）”。
路透社援引政府消息人士的话说，针对总统竞选的黑客行为被认为非常严重，一些国会委员会已经听取了相关汇报。
一名安全官员说，外国黑客可能寻求的信息包括候选人的外交政策意向和团队，以及竞选阵营的内部运作。
负责保护总统竞选人的美国特工处在一份声明中说，他们正防范和侦查网络安全威胁，并让竞选人意识到隐患。
国土安全部和联邦调查局正着手为共和党和民主党阵营提供相关指导，应对潜在的网络威胁。两党候选人正式获得提名后将开始接受情报方面的汇报，内容“完全一样”。
路透社报道，全球范围内，针对政治竞选人的网络攻击时有发生。例如2008年和2012年的两届美国总统选举中，来自民主党的贝拉克·奥巴马及其共和党竞选对手均遭受网络攻击。
什么是黑客？
黑客是一群晃荡于网络上的技术人员，他们熟悉操作的设计与维护；精于找出使用者的密码，通晓计算机，进入他人计算机操作系统的高手，包括一些人所说的内鬼其实也是指技术人员和电脑高手。
来源：新华社国际专稿
声明：转载此文是出于传递更多信息之目的。若有来源标注错误或侵犯了您的合法权益，请作者持权属证明与本网联系，我们将及时更正、删除，谢谢。
通过郭盛华老师
黑客如何绕过防火墙保护?并远程访问用户TCP服务
一项新的研究表明，该技术可使黑客攻击者绕过防火墙保护，并远程访问受害计算机上的任何TCP / UDP服务。
确定数据包边界
网络地址转换（NAT）是一个过程，其中网络设备（例如防火墙）通过在数据包传输过程中修改IP包头中的网络地址信息，将IP地址空间重新映射到另一个IP地址空间。
主要优点是它限制了组织内部网络中使用的公共IP地址的数量，并通过允许在多个系统之间共享单个公共IP地址来提高安全性。
NAT通过利用TCP和IP数据包分段来远程调整数据包边界，并使用它来创建TCP / UDP数据包（从SIP方法（如REGISTER或INVITE）开始）而起作用。
SIP（会话启动协议的缩写）是一种通信协议，用于启动，维护和终止语音，视频和消息传递应用程序的实时多媒体会话。
换句话说，HTTP中的数据包分段和走私SIP请求的混合可用于欺骗NAT ALG打开任意端口以用于到客户端的入站连接。
为此，将发送一个带有ID和隐藏Web表单的大型HTTP POST请求，该请求指向运行运行数据包嗅探器的攻击服务器，该服务器用于捕获MTU大小，数据包大小，TCP和IP标头大小，其他，然后通过单独的POST消息将大小数据发送回受害客户端。
此外，它还滥用TURN（使用围绕NAT的中继的遍历）中的身份验证功能（该协议与NAT结合使用，将媒体从任何对等方中继到网络中的另一客户端），从而导致数据包溢出并导致IP数据包碎片化。
简而言之，该想法是通过填充（带有“ ^”字符）来溢出TCP或UDP数据包，并强制将其拆分为两个，以便SIP数据包位于第二个数据包边界的最开始。
通过数据包更改连接到TCP / UDP
在下一阶段，使用现代浏览器（例如Chrome或Firefox）上的WebRTC ICE提取受害人的内部IP地址，或者通过对常见网关（192.168。*。1、10.0.0.1和本地网络）执行定时攻击来提取受害人的内部IP地址。
“一旦客户端获得了数据包的大小和内部IP地址，它就会构建一个特制的Web表单，该表单填充POST数据，直到我们认为该数据包将变得碎片化为止，这时将附加包含内部IP地址的SIP REGISTER，”注意。“该表格是通过Javascript提交的，未经受害者同意。”
就像数据包到达攻击服务器并且确定未用公共IP地址重写SIP数据包一样，自动消息也会发送回客户端，要求其根据数据将其数据包大小调整为新的边界以前是从嗅探器收集的。
有了正确的数据包边界，NAT被欺骗了，以为“这是合法的SIP注册，并且来自受害者计算机上的SIP客户端”，最终导致NAT在受害者发送的原始数据包中打开端口。
路由器现在会将攻击者选择的任何端口转发回内部受害者，而所有这些端口都只需要浏览到一个网站即可。
来源：郭盛华博客，转载请注明出处