网站入侵

前言 开发网站登录功能时，如何保证密码在传输过程/储存的安全? 相信不少前后端的朋友，在面试时都会被问到类似的问题。 在我对密码学一无所知时，也仅会回答：“MD5加密啊。” 诸不知，密码学在网络七层模型，甚至web开发中的应用比我想象得多得多。 1. 什么是密码学? 密码学是各种安全应用程序所必需的，现代密码学旨在创建通过应用数学原理和计算机科学来保护信息的机制。但相比之下，密码分析旨在解密此类机制，以便获得对信息的非法访问。 密码学具有三个关键属性：

本文尝试一步步还原HTTPS的设计过程，以理解为什么HTTPS最终会是这副模样。但是这并不代表HTTPS的真实设计过程。在阅读本文时，你可以尝试放下已有的对HTTPS的理解，这样更利于“还原”过程。 我们先不了聊HTTP，HTTPS，我们先从一个聊天软件说起，我们要实现A能发一个hello消息给B： 如果我们要实现这个聊天软件，本文只考虑安全性问题，要实现：A发给B的hello消息包，即使被中间人拦截到了，也无法得知消息的内容。 如何做到真正安全 这个问题，很多人马

这是一篇很长的文章，因为就网络安全新闻来说，2019 年就是一场灾难，每周都会有一个或多个重大事件发生。 以下是按月组织的过去 10 个月安全灾难的摘要。 一月 Apple FaceTime 中的严重漏洞：Apple FaceTime 应用程序中的一个错误使攻击者可以在不与被呼叫者进行任何用户交互的情况下呼叫并自行应答 FaceTime 呼叫，从而为进行秘密监视打开了大门。 在通过 Skype 面试后，朝鲜黑客渗透到智利的 ATM 网络：该文章的标题不言而喻，值得你花时间阅读该故事。 黑客破

曾几何时，Telnet是我最喜欢的远程登录协议! 当年还年轻，还在H公司做网络测试的工作，天天千方百计的找路由器和交换机的BUG，总想给开发人员添堵，总想搞事情、不想让版本正常发布：)，现在回想起来，那真是一段单纯而美好的时光! 为了对交换机和路由器进行管理，当时我们都是使用Telnet登录的，各种命令敲的很High。突然有一天，我们的部门经理(现在担任H公司高管)专门把我们召集起来，让我们以后登录设备时，禁止使用Telnet，要切换为SSH，自动化平台的连接也要全部换成SSH! 这让我们很惊讶

如果说攻击者所依赖的是什么，那就是进入组织内部并避免发现。在网络内部发现恶意活动类似于在针堆中找到特定的针。组织努力获取对内部“东西向”流量的可见性以进行威胁检测。有些开始于在网络内部部署IDS以检测恶意流量，而另一些则使用内部防火墙阻止它。诸如UEBA之类的解决方案尝试分析收集的数据并识别可疑或恶意活动，而EDR解决方案则锁定端点以获取可见性并拒绝攻击者立足。这些方法存在错误性警报问题，并且无需进行任何调整即可消除它们。 此外，这些解决方案还可以从直接分析中提取实际的

【51CTO.com原创稿件】传统的网络安全架构把不同的网络划分为不同的区域，不同区域之间使用防火墙进行隔离。每个区域都被授予某种程度的信任，它决定了哪些网络资源允许被访问。这种安全建设思路提供了非常强大的纵深防御能力。 但是，随着云计算、移动互联网等技术的快速发展，企业数字化转型进程的不断推进，传统的内外网边界模糊，企业已经无法基于传统的物理边界进行安全建设。传统的安全建设思路已经很难去适应企业的快速成长和业务的快速变化。例如在移动办公场景下，员工、供应商、合作伙伴需要从全球各个位置安全地接入

新的连续自动渗透和攻击测试(CAPAT)工具将帮助首席财务官(CISO)更好地了解自身的薄弱点并先后采取最重要的补救措施。 与两年前相比，如今组织的网络风险管理更加困难。最近展开的ESG调研中有73%的安全专业人员这样表示。为什么会这样呢?受访者指向了一系列因素，如攻击面越来越大，软件漏洞数量不断增加，网络攻击者的技术实力也在不断提高。 那么组织如何减轻日益增长的网络风险呢?一种常见的方法是通过红队测试(red teaming)和渗透测试等演练更好地利用现有网络防御的力量。 许多组织已经进行了

概述 勒索圈有个任性的病毒家族Satan，无论比特币价格如何波动，解密要价都是1 BTC。此次，趁着比特币价格回暖，Satan勒索病毒推出了最新的变种，通过勒索提示信息，可以发现该变种实现了更完整的国产化，作者会提示用户通过火币网购买比特币，或者安装lantern在LocalBitcoins上进行购买，通过这些迹象猜测，Satan团伙中可能加入了某些中国黑客。 被加密的文件后缀为[密钥].session。 病毒母体为c.exe，文件编译的时间为11月3号。 勒索追踪 病毒运行后，通过抓包

若建立在可满足所有利益相关者信息需求的成熟基本目标之上，若其输出能够绑定企业目标，若能够减少企业的总体风险，那么企业的漏洞管理项目就能发挥出其全部潜力。 此类漏洞管理技术能够检测风险，但需要人与过程的基础以确保项目成功。 漏洞管理项目有四个阶段： 确定资产关键性、资产拥有者、扫描频率，以及确立修复时间线; 发现网络上的资产，并建立清单; 识别已发现资产中的漏洞; 报告并修复已识别漏洞。 第一阶段关注可衡量、可重复过程的建立。第二阶段就第一阶段的四个重点执行该

2020年及以后，安全和风险专业人士将发现，网络安全决策会具备前所未有的社会影响力。我们生活、学习和社交都越来越依赖于技术，而这种依赖性也使技术成为攻击目标。 由于我们在做出关键决策时对数据的依赖日益增加，这导致恶意行为者更有动机使用勒索软件来限制对大型数据池的访问。而人口数据的武器化将使专断的政府和空壳组织有更大的能力操纵地缘政治，扩大其在境外的影响力。过去几年对人工智能和机器学习(ML)所做的改进将导致改会提高网络安全，但同时也将帮助攻击者。 这些趋势背景下，为2020年的三个网络安全预测