Category Archives: Security

又是 ImageMagick 出包...

ImageMagick 的 information leaking,然後 Yahoo! 很無奈的中獎,然後被稱為 Yahoobleed:「Yahoo! retires! bleeding! ImageMagick! to! kill! 0-day! vulnerability!」。發現問題的作者把問題寫在「*bleed continues: 18 byte file, $14k bounty, for leaking private Yahoo! Mail images」這邊。 作者利用 ImageMagick 的不當處理,取得 uninitialized memory 的資訊,藉以取得可能是上次轉檔的記憶體內容。而這個 jpeg 只有 18bytes (所以作者戲稱每個 byte 價值 USD$778): A … Continue reading

Posted in Computer, Library, Mail, Murmuring, Network, Security, Software | Tagged , , , , , , , , , , , , | Leave a comment

HP 的 audio driver 內含 Keylogger

HP 被發現 2015 年簽出來的 audio driver 內含 keylogger (yeah,因為有數位簽名,所以賴不掉...):「[EN] Keylogger in Hewlett-Packard Audio Driver」。完整的報告在「modzero Security Advisory: Unintended/Covert Storage Channel for sensitive data in Conexant HD Audio Driver Package. [MZ-17-01]」這邊。 keylogger 記錄後會寫到 local file 裡。來拉板凳...

Posted in Computer, Murmuring, Security, Software | Tagged , , , , , , , , | Leave a comment

IE 與 Edge 推出更新,阻擋 SHA-1 憑證

微軟這幾天推出更新,IE 與 Edge 將不會接受 SHA-1 憑證:「Microsoft Makes it Official, Cuts off SHA-1 Support in IE, Edge」。微軟的公告則是在「Deprecation of SHA-1 for SSL/TLS Certificates in Microsoft Edge and Internet Explorer 11」這邊。 根憑證不受影響 (所以企業自己產生的 Root CA 也不受影響): Beginning May 9, 2017, Microsoft released updates … Continue reading

Posted in Browser, Computer, IE, Murmuring, Network, Security, Software, WWW | Tagged , , , , , , , , , , , , , , | Leave a comment

OpenSSL 1.1.1 將支援 TLS 1.3

OpenSSL 的文章「Using TLS1.3 With OpenSSL」提到了: The forthcoming OpenSSL 1.1.1 release will include support for TLSv1.3. 另外也提到了 TLS 1.3 的標準是 blocker,在 TLS 1.3 沒出來前不會出 OpenSSL 1.1.1: OpenSSL 1.1.1 will not be released until (at least) TLSv1.3 is finalised. OpenSSL 實做的 TLS … Continue reading

Posted in Computer, Murmuring, Network, Security, Software, WWW | Tagged , , , , , , , , , , , , | Leave a comment

PHP 的主力版本進入 7.0 與 7.1 了...

在「PHP Versions Stats - 2017.1 Edition」這邊分析了 Packagist 上的 access log 而得到的: 可以看到 PHP 7.0 與 7.1 總算是慢慢爬上來了... 另外一個頗有趣的數字是在 comment 提到的 HHVM: @ocramius: These numbers ignore Travis CI and other CI systems that set the "CI" env var in their workers. … Continue reading

Posted in Computer, Murmuring, Network, Programming, Security, Software | Tagged , , , , , | Leave a comment

肥大的 DISQUS

在「Replacing Disqus with Github Comments」這邊看到作者抱怨 DISQUS 的肥大,然後作者自己寫了一個用 GitHub 當後端的 comment system XDDD 先看沒有 DISQUS 的: 然後把 DISQUS 掛進來 XDDD:(不得不說 uBlock Origin 與 Disconnect 是你的好朋友...)

Posted in Computer, Murmuring, Network, Programming, Security, Social, Software, WWW | Tagged , , , , , , | Leave a comment

利用手機的 sensor 取得 PIN 碼

把 side-channel information 配合上統計方法就可以達到 74% 的正確率:「Phone Hack Uses Sensors To Steal PINs」。 透過 browser 的 javascript 就可以拉出這些資料,然後利用這些資料去猜你的手機 PIN 碼: Researchers from U.K.-based Newcastle University created a JavaScript app called PINlogger.js that has the ability to access data generated by the … Continue reading

Posted in Browser, Computer, Firefox, GoogleChrome, Hardware, Murmuring, Network, Programming, Safari, Security, Software, WWW | Tagged , , , , , , , , , , , , , , , , , | Leave a comment

BitTorrent 對 SHA-1 的改善計畫?

最新一版的 Tails 不再支援透過 BitTorrent 下載,會被導去「Biterrant attack」這邊的連結,裡面有一些關於在 SHA-1 打穿後要怎麼判斷。 BitTorrent 的討論 (包括 BitTorrent 發明人 Bram Cohen 的參與) 則是在 GitHub 上:「Transitioning to stronger hash function · Issue #58 · bittorrent/bittorrent.org」,不過看起來連要用什麼 hash algorithm 的定案都還沒有啊... 而且二月底比較熱鬧一點,三月後都沒什麼動作了。 看起來短時間也不會有動作了...

Posted in Computer, Murmuring, Network, P2P, Security, Software | Tagged , , , , , , , , , , , , | Leave a comment

用 Amazon Elasticsearch 看 VPC Flow Logs

在「How to Visualize and Refine Your Network’s Security by Adding Security Group IDs to Your VPC Flow Logs」這篇雖然是講特定功能,但還是把怎麼架設從頭到尾都講了一次... 比較特別的幾張圖: 然後再回來看怎麼串:

Posted in AWS, Cloud, Computer, Murmuring, Network, Search Engine, Security, Software | Tagged , , , , , , , , , , , , , | Leave a comment