黑客大赛获奖者拒绝向微软苹果提供漏洞详情
【菜科解读】
已连续三年在Pwn2Own黑客大赛获奖的黑客查理 米勒(Charlie Miller)周四表示，他不会向微软、苹果及Adobe提供自己所发现相应软件漏洞的技术细节信息，而会向这些厂商提供自己查找软件漏洞的 思路 ，以促使微软等厂商自行提高软件的安全性能。
米勒此前陆续在苹果Mac OS操作系统、微软Office办公套件以及adobe reader(PDF文件阅读器)等软件中发现了一些技术漏洞，漏洞数量达20个。
他表示，仅经他本人发现的技术漏洞就高达20个，说明各大软件开发商重 视软件安全的力度还远远不够。
在周三于加拿大温哥华市举行的2010年度 Pwn2Own大赛上，米勒对一台苹果MacBook Pro笔记本发起攻击， 并攻破该笔记本所预装Snow Leopard操作系统中的Safari浏览器。
米勒因此获得了1万美元奖金，所攻破笔记本也归他本人所有。
这也是米勒连续三次在Pwn2Own大赛上获奖。
他曾于2008年和2009年Pwn2Own大 赛上攻破苹果Mac机。
在米勒之前，还从未有任何参赛者在Pwn2Own大赛上连续三次获奖。
在去年的Pwn2Own大赛中，他仅用了10秒钟时间，就成 功攻破大会主办方提供的MacBook Pro笔记本。
不愿提供信息
米勒周四表示： 我们发现一个漏洞，他们(指软件开发商)就发 布一个补丁程序，如此周而复始。
这种方式并不会使软件安全性能得以提高。
不可否认，通过这种打补丁方式，相应软件安全性能确实也有所提高，但这些软件性能 应该有更大程度的改善和提高。
我却无法使他们做到这一点。
米勒使用仅有数项代码的 检测工具，通过插入数据方式，以检测相关软件是否存在技术漏洞。
不仅外部研究人员使用此类工具，软件开发商在调试软件过程中，也经常使用这种检测方式。
虽 然这些软件在出厂前已经经过了大量技术测试，但米勒还是找出了苹果Mac OS、微软Office以及Adobe Reader等软件共计20个技术漏洞。
米勒将在本年度CanSecWest安全大 会(注：与Pwn2Own大赛在同一时间和地点举行)上发表演讲，他希望苹果、微软和Adobe等厂商认真听取他如何查找软件漏洞的思路和方法。
米勒说： 由于我不愿向厂商提供技术漏洞的详细信息，外界可能将指责我人品有问题。
但我个人看法 是，本来就不应该将这些漏洞细节提供给他们。
我会说出自己如何查找漏洞的方法，这样就能促使软件开发人员进行更多技术测试工作。
轻松查找漏洞
米勒还表示，自己查找软件漏洞非常容易，这本身就说明软件开发商对软件安全性能重视程度还远远不 够， 或许有人说我是在吹牛，我其实也没有那么聪明，但只要进行少量工作，我仍能发现软件漏洞。
我能够查找出大量漏洞，这种情况令人感到沮丧。
米勒认为，如果微软、苹果及Adobe等软件厂商重视软件安全性能，只要多进行软件测试工作，这 些厂商原本自己就能发现大量技术漏洞，而无需等到外部研究人员来查找相应漏洞， 我并不是说这些软件厂商没有做这方面的工作，而是说他们没有将这些工作做好。
米勒最后指出，由于自己不会向微软等厂商提供所发现漏洞技术详情，各软件厂商 将被迫依照他的思路来还原这些漏洞的生成机制，从而最终促进各软件开发商进一步重视产品安全性能。
黑客,大赛,获奖者,拒绝,向,微软,苹果,提供,已,
从黑客常用攻击手段分析WEB应用防护
黑客们普遍使用Web进行攻击的做法是有原因的： 1. 服务器漏洞 由于存在漏洞和服务器管理配置错误，Internet Information Server(IIS)和Apache网络服务器经常被黑客用来攻击。
2. Web服务器虚拟托管 同时托管几个甚至数千个网站的服务器也是恶意攻击的目标。
3. 显性/开放式代理 被黑客控制的计算机可以被设置为代理服务器，躲避URL过滤对通信的控制，进行匿名上网或者充当非法网站数据流的中间人。
4. HTML可以从网页内完全不同的服务器嵌入对象 用户可以从特定网站请求浏览网页，只自动地从Google分析服务器等合法网站下载对象、广告服务器、恶意软件下载网站、或者被重新导向至恶意软件网站。
5. 普通客户机可能是黑客的试水石 Internet Explorer、Firefox等各种浏览区以及Windows操作系统中包含了很多可以被黑客利用的漏洞，特别是在用户经常不及时安装补丁的情况下。
黑客会利用这些漏洞在不经用户同意的情况下自动下载恶意软件代码 也称作隐藏式下载。
因此他们可能经常变成被黑客控制的傀儡，在访问您网站的同时，给您的Web应用带来风险。
6. 各种移动代码、跨站脚本在网站上被广泛使用 在浏览器中禁用JavaScript、Java applets、.NET应用、Flash或ActiveX似乎是个好主意，因为它们都会在您的计算机上自动执行脚本或代码，但是如果禁用这些功能，很多网站可能无法浏览。
这为编码糟糕的Web应用开启了大门，它们接受用户输入并使用Cookies，就像在跨站点脚本(XSS)中一样。
在这种情况下，某些需要访问与其他开放页面的数据(Cookies)Web应用会出现混乱。
任何接受用户输入的Web应用(博客、Wikis、评论部分)可能会在无意中接受恶意代码，而这些恶意代码可以被返回给其他用户，除非用户的输入被检查确认为恶意代码。
7. 对HTTP和HTTPS的普遍访问 访问互联网必须使用Web，所有计算机都可以通过防火墙访问HTTP和HTTPS(TCP端口80和443)。
可以假定所有计算机都能够访问外部网络。
很多程序都通过HTTP访问互联网，例如IM和P2P软件。
此外，这些被劫持的软件打开了发送僵尸网络命令的通道。
8.在邮件中采用嵌入式HTML 由于SMTP电子邮件网关会在一定程度上限制可以邮件的发送，黑客已经不经常在电子邮件中发送恶意代码。
相反，电子邮件中的HTML被用于从Web上获取恶意软件代码，而用户可能根本不知道已经向可以网站发送了请求。
从上面这些黑客常用的攻击方向中我们可以看到，为了避免使我们成为以上这些黑客关注的对象，我们需要一种专门针对Web应用进行全面防护的设备，部署一个立体防护的层次，使其能自动智能化地对黑客的这些攻击手段进行判别和防护。
而非使用一个或多个传统的只有固定策略或固定攻击特征库的被动防护网关来解决。
WEB应用防火墙的出现就是为了专门解决这方面难题的，应用防火墙通过执行应用会话内部的请求来处理应用层，它专门保护Web应用通信流和所有相关的应用资源免受利用Web协议或应用程序漏洞发动的攻击。
应用防火墙可以阻止将应用行为用于恶意目的的浏览器和HTTP攻击，一些强大的应用防火墙甚至能够模拟代理成为网站服务器接受应用交付，形象的来说相当于给原网站加上了一个安全的绝缘外壳。
从,黑客,常用,攻击,手段,分析,WEB,应用,防护,
解密-----黑客搜索引擎攻击之道
我们每天都会在互联网上发现众多利用最新新闻报道来传播病毒的恶性事件，尤其是那些报道与暴力及死亡有关的新闻。
对于当前这个日趋严重的问题，IT安全及数据保护公司 Sophos（守护使）发布了最新研究报告，以分析黑客们所惯用的Blackhat SEO自动化工具，防止滥用悲剧性和色情类新闻报道，阻断因私人目的而损害合法网站的行为。
在过去，社会名流的去世，例如迈克尔杰克逊、男孩地带组合的史蒂芬盖特利以及内塔莎理查森，还有桑德拉布洛克的婚变都为居心叵测且善于利用网络热门新闻的黑客提供非常丰富的作案内容。
就在上月，当莫斯科发生了两起导致39人死亡的自杀性爆炸事件后，Sophos（守护使）便警告说这样的恐怖事件新闻将会引发大量的Blackhat SEO和病毒攻击： 当类似的可怕灾难发生后，人们便会大量涌向网络来了解事情真相。
而这一切都会被SEO黑客们所利用， Sophos（守护使）首席病毒研究员Fraser Howard 说道： 当海洋世界的虎鲸驯兽师死亡后，黑客们便使用Blackhat SEO 技术在有相关内容的网页上设下陷阱。
这种谋利行为不仅会让人讨厌，而且还会带来极大地隐患。
在Sophos（守护使）的研究员Fraser Howard 和Onur Komili 所撰写的研究报告中，详细讨论了攻击者是如何使用惯用方式来攻击网络内容，以便通过各种不同的方式在网站中散布恶意程序的。
该研究报告名为《有害的搜索结果：黑客如何利用搜索引擎发动恶意攻击》，此报告可在http://www.sophos.com/sophos/docs/eng/papers/sophos-seo-insights.pdf 处下载 Blackhat的常用手段 伪装成防病毒程序：向用户发送大量的虚假安全警报，误导用户为虚假的安全产品付费，或安装恶意代码。
SEO页面：在页面内有意地填上大量错误的关键词，以获得更靠前的搜索排名，误导用户进入不良站点。
也称为SEO 有害网页。
Blackhat SEO工具：那些用来创建和管理SEO攻击的应用程序。
在SEO页面中使用能够影响搜索结果的搜索引擎爬行器，以便让用户误入那些恶意站点。
很多时候，这些工具可以通过对类似Google Trends这样的工具进行评估，并自动升级有关最新热门新闻报道的信息。
SEO毒害：欺骗搜索引擎，提高SEO页面在搜索页面中的排名。
这些人为干预出来的结果都被标记为 有毒 。
搜索引擎爬行器：Web Bot 或网络蜘蛛，根据某种结构方式来使用计算机程序对页面进行浏览。
以便对页面进行索引并收集那些容易被搜索到的数据。
任何Blackhat SEO 攻击的核心都是为搜索引擎爬行器提供内容，同时将那些误入这些页面的用户引至恶意站点。
大多数 Blackhat SEO 工具能够分辨出是搜索引擎在访问他们的站点以抓取内容，还是用户通过搜索引擎的链接来访问站点亦或是好奇的人直接访问他们的站点。
防御和保护 与这些Blackhat SEO 手段同时增长的是随之而出现的问题。
Sophos（守护使）相信IT和网络管理员完全能够应对这些挑战。
如同很多基于web的攻击一样，URL 过滤和内容检测技术能够有效地抵御大多数SEO攻击。
对任何一起主动的SEO攻击进行检测都能够收集其重定向网址，并将其适当地列入黑名单。
Howard 最终表示： 可以将通过SEO攻击来传播的恶意程序理解为非常简单的攻击，用户完全可以通过一些有效的方式来对自己进行保护。
通过对网络负荷的监测，频繁地监测和对进入网络的内容进行过滤，网络管理员完全可以在攻击到达用户前将其阻断。
对所有相关环节进行监测便可获得最有效的保护。
解密,-----,黑客,搜索引擎,攻击,之道,一项,
