鬼仔's Blog

来源：网络巡警的博客

2007年度，网页木马层数不穷（其实从来也没少过），与以往稍微不同的是，在“黑客”玩烂经典网马漏洞了MS0-014和MS07-017之后，在使用了各种加密，跳转，框架包含之后，随着用户安全意识的提高（稍微高了那么一点点，知道打补丁了），系统漏洞的已经被最大限度地使用了，今年随着WEB讯雷惊暴漏洞之后，雅虎通漏洞，百度搜霸漏洞，PPStream ，暴风影音II，QQ场景，新浪UC ，MSN Messenger 视频漏洞，联众世界游戏大厅，各主流应用软件仿佛赶集似的出现0-Day漏洞，而且都以迅雷不及掩耳盗铃之势被病毒作者利用，往日为我们工资、学习和娱乐带来便捷和快乐的软件，仿佛一夜之间变得青面獠牙，成为病毒传播的快速通道！
阅读全文 »

作者：Priscilla Oppenheimer(CCNP、CCDP)
翻译：dragoncsc
修补：freedemon

>>0.<< 序言
很多人对于FTP的工作原理的认识存在着许多误区。本白皮书的目的是简要地描述一下FTP原理
并消除大家对FTP认识的误区。

FTP是早期互联网协议(注：IP协议组)中的一个，FTP协议是设计用在当时还比较封闭的互联网
上传输文件，当时互联网只是互连了一些大学、政府机构和设计该互联网模型的一些商业公司
。FTP在当今网络上，特别是在安全问题比较严重的网络上（如互联网Internet）的行为模式
是有一些问题的，本白皮书也提供了一些理论背景知识，这些知识可以帮助你在一个有防火墙
或者使用NAT的网络上正确实施FTP。

FTP协议早在Client/Se 阅读全文 »

鬼仔注：前段时间玩一些塔防的flash游戏时遇到过这样的问题。

作者：tombkeeper
来源：tombkeeper的和谐Blog

在某网站上看到一个flash，觉得可以作为讲课时的演示，于是想保存下来。没想到保存之后再打开flash就不能正常播放了。

我记得san以前学英语的时候搞过一批新东方的flash，于是找到他当时写的文档看了一下。这才知道，原来flash也是可以反编译的。

用SWF Decompiler打开flash一看，发现里面果然有两个Action判断了自身所在的位置。伪代码如下：
if (target._url.indexOf("somenonexistenthost.com") !=-1 || (target._url.indexOf("somestrings") 阅读全文 »

by superhei
2008-01-01
http://www.ph4nt0m.org

About XSS Worm

axis的一个tips:XSS Worm Defense[1]写到:

1. 断其源头
XSS WORM的必要条件是网站存在XSS 漏洞，而且这个XSS漏洞必须是 persistent (或者叫做 store)类型的XSS，该漏洞必须与网站的其他用户发生交互。

其实要实现XSS Worm不一定要"persistent (或者叫做 store)类型",其实XSS Worm的传播很大部分要看原程序的一些功能,对于非"persistent (或者叫做 store)类型",我们可以结合csrf/社工一样可以实现worm.

方式1:比如get类型的xss,我们可以把代码写在 阅读全文 »

by axis
2007-12-29
http://www.ph4nt0m.org

近日XSS WORM愈演愈烈，随着AJAX技术的发展，这种XSS的高级攻击技巧已经成为了当今的热点。

在圣诞节，baidu个人空间遭受了一次前所未有的XSS WORM攻击，在短短时间内，8700个博客页面被修改，并进行传播，baidu在26日fix了该漏洞，并发了一个公告

http://hi.baidu.com/%B0%D9%B6%C8%BF%D5%BC%E4/blog/item/0e3433fa69eeb61aa8d3110f.html

对于该次WORM攻击，在剑心的blog上有完整的技术分析:
http://www.loveshell.net/blog/blogview.asp?logID=283

对比以前的myspace的XSS 阅读全文 »

来源：amxku's blog

有些特殊部门不允许使用移动存储设备，接受检查的时候可以用这招。
删除
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\DeviceClasses\{53f56307-b6bf-11d0-94f2-00a0c91efb8b}下的所有项
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\USB 下所有Vid开头的项
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\USBSTOR 下的所有Disk&Ven开头的项
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\UsbFlags 下所有项
c:\windows\setupapi.log 文件

鬼仔注：仔细看看能学到很多东西。

信息来源：邪恶八进制信息安全团队（www.eviloctal.com）
文章作者：fhod

说明：文章已发表于黑客X档案2007年第12期，转载请注明出处！
本文首发邪恶八进制.如需转载请注明出处!

PS:因为事搁很久..有些细节和证据已经无法拿出来了..所有以下有部分是根据我的回忆来陈述的..喜欢社工的朋友边看边想也许就知道我是否在编造故事了..如果你是刚入门对社工并不了解的朋友就暂且把他当成是一个小说来看好了..

事情起因
一个偶然的机会..在一次帮助朋友盗一人的QQ的时候..查到此号码是另一人所赠送..也就是她现在的男朋友..通过查看某女QQ空间的留言肯定了QQ号码为198***2就是她男朋友..当时一看跟我QQ一样是生日号..然后就看了下资料 阅读全文 »

作者：wuyanfeng
来源：驱动开发网（www.zndev.com）

icesword . exe 在执行的时候会放出一个驱动程序 ispubdrv . sys .
icesword . exe 装载 这个驱动，这个驱动安装后就不会卸载。直到系统重新启动。这可能是因为驱动中调用了
PsSetCreateThreadNotifyRoutine 函数 . 下面是这个函数在 ddk 中的介绍。

///////////////////////////////////////////////
PsSetCreateThreadNotifyRoutine registers a driver – supplied callback that is subsequently notified 阅读全文 »