标签 ‘蠕虫’ 下的日志

利用Fly_Flash蠕虫攻击开心网

# 鬼仔:最近比较忙,所以更新比较少,抱歉。

来源:80sec

背景说明:开心网是SNS类型网站中做得非常成功的一个站点,拥有海量的用户群,提 供的服务包括照片存储与分享、日记分享、短消息与在线聊天等沟通手段、休闲游戏、在线音乐播放分享等,而其本身对安全也相对于其他网站来说有较多关注。 80sec发现开心网中的某些地方实现得并不好,存在一些安全漏洞,而某些安全漏洞却对于web安全非常具有代表性,在某些情况下可能造成比较大的影响, 本次攻击测试即是对问题的简单证明,同时后续会给出处理此类问题时的解决方案。
阅读全文 »

Tags: , , , ,

[翻译]”Psecudo-Reflective” 跨站蠕虫剖析

本文发表于《黑客防线》

作者:Kyran
译者:riusksk ( 泉哥 )

1.前言

XSS(Cross-Site Scripting )攻击主要有两种类型,一种叫永久型(persistent),它存储在服务端,只不过需要用户访问存在漏洞的页面;另一种叫反射型 (reflective),它存在URI中,需要用户点击链接才能触发。永久型XSS漏洞被认为更为危险,但反射型XSS漏洞更为普遍。大部分的 javascript worm都是使用永久型XSS漏洞进行攻击的。在“pseudo-reflective”蠕虫的第一版本诞生前,还没有一使用reflective payload 编写的XSS蠕虫的案例记载。本文将向您展示如何通过使用reflective payload来编写蠕虫以达到永久性传播的目的。
阅读全文 »

Tags: , , , , , ,

漏洞修補不完,Twitter 蠕蟲五度發威:詳探 Mikeyy (StalkDaily) 蠕蟲一代至五代細節

# 鬼仔:简体中文版请看这里

来源:阿碼外傳

在前幾波的Mikeyy蠕蟲攻擊結束後,平靜了不到一天,昨晚twitter上又出現第四代Mikeyy蠕蟲,twitter官網上宣布後,經過三小時努力,終於有效修改XSS跨網站(跨站腳本攻擊),停止了蠕蟲的散播。
上圖中,twitter先宣布:「謝謝各位的訊息,我們也知道第四代,並正努力解決問題」。三小時後,終於宣布:「我們相信情況已經控制住了,謝謝各位的耐心,我們會持續關注Mikeyy」。
阅读全文 »

Tags: , , , , ,

17歲少年:twitter XSS worm「stalkdaily worm」蠕蟲是我做的

# 鬼仔:简体中文版请看这里

来源:阿碼外傳

昨天晚上開始,twitter上以驚人的速度,不斷有人抱怨被「我被StalkDaily蠕蟲攻擊了!」Twitter很紅的介面之一TweetVisor也在畫面左邊顯示警告:
阅读全文 »

Tags: , , , , ,

CSRF蠕虫存在的可能性分析

作者:余弦

CSRF蠕虫顾名思义就是利用CSRF技术进行传播的Web蠕虫,前段时间我的这篇文章《译言CSRF蠕虫分析》说明了CSRF蠕虫存在的事实,译言网站(以下称这样的宿主为victim_site)的这个CSRF蠕虫是由用户驱动的,蠕虫的代码都存放于另外一个网站上(比如worm_site),在victim_site上需要用户驱动的就一个链接http://worm_site/,该链接指向CSRF蠕虫本身。

CSRF蠕虫如何就是一个蠕虫?我们写的代码其实没有表现出一个蠕虫本身要具有的所有性质。在这,最关键要解决的就是CSRF蠕虫的传播性,基于用户驱动 的传播性(主动或者被动)。当它可以传播了,我们就可以考虑为它增加其它的功能,比如利用CSRF技术删除、编辑某些内容、增加新的内容、添加好友等等。
阅读全文 »

Tags: ,

一个超级mail蠕虫的诞生

作者:war3apollo

Welcome!各位ScriptKid,欢迎来到脚本世界。

时隔2个月,终于进行到这一篇。有些标题党了,哈哈。其实我想通过这篇文章说明的是:做安全,真不容易啊。。。

这个蠕虫写于2006年中左右,为了演示XSS漏洞的危害。我记得当时在给公司的开发同事培训WEB安全时,有同事对我说:脚本是执行在客户端的,XSS漏洞关我什么事呀,又不会影响我的服务器和服务。

确实,给开发的同事和不大懂安全的BOSS们进行安全教育,解释什么叫网络安全,是个艰巨和长期的任务。往往一个真实的攻击实例演示,一次安全事件比你讲个几次课都管用。

很庆幸我的老大都是安全圈内的人,腾讯有一个比较懂安全的CTO。公司现在已经很少有人发出那些质疑的声音了。
阅读全文 »

Tags: ,