2020年 第39周 微信公众号精选安全技术文章总览

洞见网安 2020-9-28

0x1 虚拟机逃逸问题分析与防范

中孚信息 2020-09-30T16:41:34 中孚信息

本文首先介绍了虚拟化技术的基本概念，包括其在硬件层上的实现方式，以及全虚拟化技术和半虚拟化技术的区别和代表产品。接着，文章分析了虚拟化技术引入的安全风险，指出虚拟机逃逸是其中最严重的问题，因为它可能使攻击者控制整个宿主机及其上的所有虚拟机。文章列举了多个虚拟机逃逸的案例，展示了主流虚拟化软件都曾受到过攻击。为了防范虚拟机逃逸，文章提出了多种措施：及时更新漏洞补丁以消除已知漏洞；通过地址空间布局随机化（ASLR）、非执行内存（NX）/数据执行保护（DEP）等缓解措施增加攻击难度；利用沙箱机制实施多级防护，限制攻击者的权限；通过用户行为分析拦截未知威胁。此外，文章还提到了其他一些防范措施，如BitVisor、Jakub Szefer的策略、Hypersafe和Cloudvisor的方法。总体而言，随着业界对虚拟机逃逸风险的关注和防护措施的不断完善，虚拟化环境的安全性将得到提升。

虚拟化技术 安全风险 虚拟机逃逸 漏洞利用 安全防护 云计算安全 Hypervisor 缓解措施 沙箱机制 行为分析

0x2 配置文件中的数据库连接串加密了，你以为我就挖不出来吗？

独立观察员博客 2020-09-30T09:06:56

本文探讨了在配置文件中对数据库连接串进行加密的做法的局限性。文章首先讲述了一个在调试物联网设备应用程序时遇到的加密连接串问题，并说明了手动解密和重新加密连接串的繁琐过程。接着，文章详细介绍了如何使用ILSpy反编译代码来获取明文数据库连接串，包括解密算法的使用和实现。随后，文章提出了几种可能的防范措施，如加壳、混淆、将解密算法放在服务器端等，并对这些方法的可行性进行了分析。最后，文章介绍了使用Windbg工具挖掘静态变量的方法，以及如何通过Windbg获取明文数据库连接串。文章强调了在应用程序中直接连接数据库的安全性风险，并建议通过远程API来获取数据，以增强安全性。

数据安全 加密技术 软件安全 代码审计 反编译技术 内存分析 安全防护

0x3 实践分享 | 红队视角下的防御体系突破

金盾信安 2020-09-29T16:23:54

实战攻防演习是网络安全保护的重要环节，通过模拟真实攻击检验信息系统安全性和运维有效性。近年来，演习范围、周期和规模不断扩大，攻防双方技术水平和对抗能力持续升级。红队作为攻击方，通常针对系统、人员、软件等进行多角度、混合对抗性攻击，旨在发现安全隐患。红队工作与渗透测试和黑客有显著区别，更注重全面攻防能力和遵守法律法规。红队攻击通常分为情报收集、建立据点和横向移动三个阶段，并常用弱口令、社工、旁路攻击等战术。文章通过多个实战案例，展示了红队如何利用钓鱼攻击、混淆流量、旁路攻击、秘密渗透等手法突破防御。最后，文章分析了各行业安全防护的弱点，如资产混乱、通用中间件漏洞、边界设备防护不足等。

0x4 记一次偶遇Adminer

蚁景网络安全 2020-09-28T11:11:43 Bughunter

本文讲述了作者一次偶然的网络安全探索经历。在扫描多个网站未发现漏洞后，作者尝试对某dedecms站点进行后台目录猜解，使用Python脚本遍历可能的后台路径，但最终发现后台地址为'dede'，访问却返回404。随后，作者意外发现该站存在adminer.php，通过读取配置文件尝试获取web路径，但未成功。转而尝试在F盘下读取文件，发现数据库账号为root。作者尝试通过开启general log模式写入shell，但被拦截。最终，作者使用注释换行绕过拦截，成功写入shell并连接，完成了对系统的控制。

漏洞利用 代码审计 渗透测试 信息收集 应急响应 Web安全

本站文章为人工采集，目的是为了方便更好的提供免费聚合服务，如有侵权请告知。具体请在留言告知，我们将清除对此公众号的监控，并清空相关文章。所有内容，均摘自于互联网，不得以任何方式将其用于商业目的。由于传播，利用此文所提供的信息而造成的任何直接或间接的后果和损失，均由使用者本人负责，本站以及文章作者不承担任何责任。