2010年6月份十大重要安全漏洞
数据安全十大经典案例
数据安全十大经典案例
1. 2013年美国国家安全局(NSA)前承包商爱德华·斯诺登揭露了美国政府大规模监控计划PRISM，引发了全球范围的数据安全担忧。
2. 2014年，美国零售巨头Target遭遇黑客攻击，导致超过1亿名顾客的信用卡和个人信息被窃取。
3. 2015年，美国政府办公人员人事管理局（OPM）遭到黑客攻击，导致超过2200万名联邦雇员的个人信息被窃取。
4. 2016年，雅虎披露了两起大规模黑客攻击事件，共计约30亿用户的账户信息被盗取。
5. 2016年，Uber遭到黑客攻击，导致约5700万名用户和600万名司机的个人信息被窃取。
6. 2017年，美国信用报告机构Equifax遭到黑客攻击，导致约1.4亿名顾客的个人信息被窃取。
7. 2017年，世界最大的航空公司之一德国汉莎航空公司遭到黑客攻击，导致超过9000万名乘客的个人信息被窃取。
8. 2017年，医疗保险公司安盛（Anthem）遭到黑客攻击，导致约7800万名顾客的个人信息被窃取。
9. 2018年，Facebook爆发了剑桥分析公司丑闻，该公司在未经用
户同意的情况下获取了约8700万名用户的个人信息。
10. 2019年，资讯网站Flipboard遭到黑客攻击，导致超过5亿名用户的个人信息被窃取。
大数据安全的典型案例
大数据安全的典型案例大数据安全是指在大数据的采集、存储、处理和传输过程中，对数据进行保护和防护，以确保数据的完整性、可用性、保密性和可靠性。
随着大数据的快速发展，大数据安全问题成为了亟待解决的重要问题。
下面列举了10个典型的大数据安全案例。
1. 个人隐私数据泄露在大数据时代，个人隐私数据成为了最宝贵的资产之一。
然而，由于数据泄露事件的频发，很多个人隐私数据被非法获取和利用。
例如，2018年Facebook Cambridge Analytica事件中，个人隐私数据被用于操纵选民意识，引起了广泛的关注和讨论。
2. 数据篡改大数据中的数据篡改是指对于已经存储的数据进行恶意修改，从而导致数据的不完整或虚假。
例如，银行系统中的数据篡改可能导致账户余额错误或交易记录被篡改。
3. 数据丢失大数据系统中的数据丢失是指数据在存储、传输或处理过程中意外丢失或损坏。
数据丢失可能会导致业务中断、损失巨大。
例如，2017年的WannaCry勒索软件攻击，导致许多机构和企业的数据被加密，无法正常使用。
4. 数据滥用大数据中的数据滥用是指未经授权的个人或组织利用大数据进行商业和非商业目的，可能导致用户权益受损。
例如，一些公司未经用户同意，将用户的个人信息用于广告推送等商业目的。
5. 数据泄露大数据系统中的数据泄露是指未经授权的个人或组织获取到重要的敏感数据。
例如，2014年美国零售商Target遭受的数据泄露事件，导致超过1亿用户的信用卡信息被窃取。
6. 数据备份不完善大数据系统中的数据备份是保障数据可用性和恢复能力的重要手段。
然而，如果数据备份不完善或不及时更新，一旦发生数据丢失或系统故障，将无法及时恢复数据。
例如，2017年亚马逊AWS云服务的故障，导致一些客户的数据无法及时恢复。
7. 数据访问控制不严格大数据系统中的数据访问控制是保护数据安全的重要措施。
然而，如果数据访问控制不严格，未经授权的人员可能获取到敏感数据。
APT使用的10类安全漏洞
APT使用的10类安全漏洞■刘锲APT攻击，即：高级持续性威胁（Advanced Persistent Threat）是利用先进的攻击手段对特定目标进行长期持续性网络攻击的攻击形式。
APT攻击的原理相对于其他攻击形式更为高级和先进，其主要体现在精确的信息收集、高度的隐蔽性以及使用各种复杂的目标系统或应用程序漏洞等方面。
为了能够更加全面的了解全球APT研究的前沿成果，360威胁情报中心对APT攻击中最重要的部分（APT组织所使用的安全漏洞）进行了梳理，结合360威胁情报中心对APT 攻击这类网络战的理解，筛选出近年来APT组织所使用的10类安全漏洞。
1.防火墙设备漏洞防火墙作为网络边界设备，通常不属于攻击者攻击的目标，尤其在APT领域中针对防火墙设备的漏洞就更为少见，直到2016年第一批Shadow Broker泄露的工具中大量针对防火墙及路由设备的工具被曝光，某些组织多年来直接攻击边界设备的活动才被彻底曝光，此处我们选择CVE-2016-6366作为这类漏洞的典型代表。
（1）漏洞概述2016年8月13日黑客组织ShadowBrokers声称攻破了为NSA开发网络武器的黑客团队Equation Group，并公开其内部使用的相关工具，EXBA-extrabacon工具，该工具基于0-day漏洞CVE-2016-6366，为Cisco防火墙SNMP服务模块的一处缓冲区溢出漏洞。
（2）漏洞详情CVE-2016-6366（基于Cisco防火墙SNMP服务模块的一处缓冲区溢出漏洞），目标设备必须配置并启用SNMP协议，同时必须知道SNMP的通信码，漏洞执行之后可关闭防火墙对Telnet/SSH的认证，从而允许攻击者进行未授权的操作。
（3）补丁及解决方案及时更新网络边界设备固件，软件厂商思科已经发布了漏洞相应的补丁：https:///security/shadow-brokers。
2.SMB通信协议漏洞SMB（Server MessageBlock）通信协议是微软和英特尔在1987年制定的协议，主要是作为Microsoft网络的通讯协议。
近年来国内网络安全现状调查与分析
近年来国内网络安全现状调查与分析1.网络信息安全概述随着Internet的迅速发展，网络将越来越深刻的影响社会的政治、经济、文化、军事和社会生活的各个方面。
网络信息安全也已成为世界关注的焦点。
有效地保护重要的信息数据、提高网络系统的安全性，已成为网络应用必须解决的问题。
从本质上讲，网络安全就是网络上的信息安全，之网络系统的硬件、软件及其系统中的数据受到保护，不受偶然或恶意原因而遭到破更改和泄露，系统连续可靠正常的运行，网络服务不中断。
不同环境和应用中的网络安全主要包括：①运行系统安全：保证信息处理和传输系统的安全；②网络上信息内容的安全，侧重于保护信息的保密真实性和完整性，避免攻击者利用系统的安全漏洞进行窃听、冒充、诈骗等有损于合法用户的行为；③网络上系统信息的安全：包括用户口令鉴别、用户存取权限控制、数据存取权限、方式控制、安全审计、安全问题跟踪、计算机病毒防治、数据加密等；④网络上信息传播的安全：指信息传播后的安全，包括信息过滤等。
1·1网络信息安全的特征Internet是一个开放的全球网络，其网络结构错综复杂，威胁主要来自病毒的侵袭、黑客的入侵、拒绝服务、密码破解、网络窃听、数据篡改、垃圾邮件、恶意扫描等，因此安全防护方式截然不同。
Internet的安全技术设计传统的网络安全技术和分布式网络安全技术，主要用来解决如何利用Internet进行安全通信，同时保护内部网络免受外部攻击。
网络信息安全具有以下5个方面的特征：①机密性：保护数据不受非法截获和未经授权浏览。
对于面干数据的传输尤为重要，同时也是通信网络中处理用户的私人信息所必须的②完整性:能保障被传输、接收或存储的数据是完整的和未被篡改的特性。
对于保护重要数据的精确性犹未关键③可控性：保证信息和信息系统的授权认证和监控管理。
可确保某个实体的身份的真实性，也可确保执政者对社会的执法管理行为。
④可用性：尽管存在可能的突发事件如供电中断、自然灾害、事故或攻击等，但用户依然可得到或使用数据，服务也处于正常运转状态。
2006年网络安全十大事件
2006年网络安全十大事件据调查显示，2006年我国网络信息安全形势依然严峻，病毒危害正在不断加剧，同时，隐藏和逃避技术更加高级、金钱利益成为更大的驱动力、隐私和机密数据面临风险提高。
而且，安全威胁已经不限于删除数据，更多的是以金钱为目标的犯罪行为;安全攻击也不再一味追求大规模、大范围，而是向小型化发展，且大多是钓鱼欺骗、数据窃取和犯罪行为。
尤其需要强调的是僵尸网络，因为这已经成为散布垃圾邮件和钓鱼信息、传播间谍软件和广告软件、集体攻击组织团体、盗取机密信息的重要手段。
一、微软WMF漏洞被黑客广泛利用，多家网站被挂马Windows在处理图元文件时存在问题，可以导致远程代码执行，如果用户使用Windows图片传真查看程序打开恶意WMF文件，甚至在资源管理器中预览恶意WMF时，也都存在代码执行漏洞。
没有安装杀毒软件的电脑用户点击其中任意链接即中毒.二、恶意软件和钓鱼式攻击的不断升级让人头疼不已如果说2005年是攻击者由好玩心重的业余爱好者向更具犯罪思想的专业人员过渡的一年，那么2006年则显示出这种经过更好支援、更好训练培养出来的不法分子会带来多大致命的损害。
他们的恶意软件更具倾向性也更鬼祟，能深入操作系统和应用程序中挖掘出保密信息。
同时，越来越精密的钓鱼式攻击也将目标锁定在更小型的企业身上。
如：病毒名为“敲诈者”(Trojan/Agent.bq)，该病毒可恶意盗取或隐藏用户文档，并借修复数据之名向用户索取钱财三、2006年是“流氓”的天下“流氓软件”，这个中国网络发展的害虫，将间谍软件( Spyware )、恶意共享软件( Malicious Shareware )、恶意广告软件( Adware )集于一身的杀手，在电脑使用者不知情的情况下，在用户电脑上安装“后门程序”的软件，从实际行为上和理论基础上都已经和木马类病毒没有区别了，利用“后门程序”捕获用户的隐私数据和重要信息，将这些信息将被发送给互联网另一端的操纵者（插件的制作者），这都造成了“僵尸网络”有增无减的古怪现象。
WEB安全性-2010_OWASP_TOP10
OWASP TOP 10-2010开放式Web应用程序安全项目（OWASP，Open Web Application Security Project）是一个组织，它提供有关计算机和互联网应用程序的公正、实际、有成本效益的信息。
其目的是协助个人、企业和机构来发现和使用可信赖软件。
OWASP发布了最新的Web应用脆弱性的top 10，这是继2007年OWASP对TOP10进行修订后进行的又一次更改，该版本暂定为OWASP TOP 10- 2010。
在新版本的OWASP TOP10中主要由以下变化：1. Top10的命名发生了变化。
原先的Top10全称为“The top 10 most critical web application security vulnerabilities”，即“Web应用的十大关键脆弱性”，现在Top10的全称为“The top 10 most critical web application security risks”，即“Web应用的十大关键风险”2. OWASP Top 10的风险评估方法此次Top 10的评估是依据OWASP的风险评估方法来对OWASP TOP10排序的。
3. 替换了2个风险此次Top 10与2007年的Top 10相比，在内容上去掉了“Malicious File Execution”(恶意文件执行)和“Information leakage and improper error handling”(信息泄露及不恰当的错误处理)，增加了“Security misconfiguration”(错误安全配置)和“Unv alidated redirects and forwards”(未验证的重定向和传递)。
OWASP TOP10 2007 OWASP TOP10 2010A2-注入 A1-注入A1-跨站脚本（XSS） A2-跨站脚本（XSS）A7-错误的认证和会话管理 A3-错误的认证和会话管理A4-不正确的直接对象引用 A4-不正确的直接对象引用A5-伪造跨站请求（CSRF） A5-伪造跨站请求（CSRF）A6-安全性误配置A10-限制远程访问失败 A7-限制远程访问失败A8-未验证的重定向和传递A8-不安全的加密存储 A9-不安全的加密存储A9-不足的传输层保护 A10-不足的传输层保护A3-恶意文件执行A6-不安全的通讯OWASP风险评估方法OW ASP所选取的10大风险是依据OW ASP的风险评估方法，我们从标准的风险模型开始，即风险=可能性*后果，下面我们以以下步骤来说明某个风险的严重程度：第一步：识别风险识别风险作为评估的第一步，我们必须找到与这个风险相关的威胁、相应的攻击方法、隐含在里面的脆弱性以及最终可能造成的后果，当然可能存在多种攻击方法和多种后果，在评估时我们往往会采用最坏选择，这样就能更客观的反应该风险的最终评级；第二步：考虑影响可能性的因素通常，我们不可能很精准的说出某个风险的可能性数值，所以我们一般用高、中、低来表示，而且影响某个风险的可能性的因素有很多，对于每个因素我们用0到9的数值来表示。
黑客攻与防第一讲
10.安全行业掀起并购狂潮 越来越多的IT公司意识到安全的重要性，安全领域 并购潮一触即发。在短短的六个月时间内，这些企业 并购支出将近100亿美元：赛门铁克公司(Symantec)拿 下了VeriSign，PGP和GuardianEdge;IBM收购了BigFix， OpenPages和PSS Systems;惠普购买了Fortify 和 ArcSight;CA吞并了Arcot。
2011年十大IT安全事件
1.索尼又是“第一” 索尼公司今年发生的安全事故绝对是其历史上 难以洗刷的耻辱。。。。。 索尼还承认数据库中的1200个未加密的信用卡 信息也很容易被读取。网站恢复后，索尼不得 不要求网站用户重设密码，还遭到了数十人的 集体起诉。为此索尼至少失损失了1.78亿美元。
黑客精神
要成为一名好的黑客，需要具备四种基本素质：“Free”精神、探索与创新精神、 反传统精神和合作精神。 1、“Free”(自由、免费)的精神
需要在网络上和本国以及国际上一些高手进行广泛的交流，并有一种奉献精神，将自己 的心得和编写的工具和其他黑客共享。Leabharlann 2、探索与创新的精神
所有的黑客都是喜欢探索软件程序奥秘的人。他们探索程序与系统的漏洞，在发现问题 的同时会提出解决问题的方法。
全球软件业龙头微软怀疑被一伙藏在 俄罗斯圣彼得堡的电脑黑客入侵
可能窃取了微软一些最重要软件产品的源 代码或设计蓝图。
罗伯特•莫里斯
1988年，莫里斯蠕虫病 毒震撼了整个世界。由 原本寂寂无名的大学生 罗伯特· 莫里斯（22岁） 制造的这个蠕虫病毒入 侵了大约6000个大学和 军事机构的计算机，使 之瘫痪。此后，从CIH 到美丽莎病毒，从尼姆 达到红色代码，病毒、 蠕虫的发展愈演愈烈。
2013年国内网络安全领域十大事件
盘点2013年国内网络安全领域十大事件不亚于斯诺登"棱镜门"在即将结束的2013年里，国内网络安全领域硝烟四起，互联网巨头纷纷投身安全领域，网络安全事故也是隔三岔五曝出，其猛烈程度丝毫不亚于斯诺登引爆的“棱镜门”。
更值得关注的是，很多网络安全事故本身就出自各大巨头后院起火。
接下来让我们一起回顾下，2013年业界发生的十大安全事件。
一、7000多万QQ群数据公开泄露11月20日，国内知名漏洞网站乌云曝光称，腾讯QQ群关系数据被泄露，在迅雷上很容易就能找到数据下载链接。
据测试，该数据包括QQ号、用户备注的真实姓名、年龄、社交关系网甚至从业经历等大量个人隐私。
数据库解压后超过90G，有7000多万个QQ群信息，12亿多个部分重复的QQ号码。
随后腾讯公司回应称，此次QQ群泄露的只是2011年之前的数据，黑客攻击的漏洞也已经修复。
不过这么大规模数据在网上公开，由此引发的后遗症很难消除。
目前已有网站打出“精准营销”的旗号，根据QQ用户的真实姓名、爱好、经历、从业特征发送垃圾邮件；更让人担心的是，这些数据可能被不法分子利用进行诈骗。
如果一个人的真实姓名和QQ号、群关系都在网上暴露出来，诈骗信息将更加难以防范。
二、12306新版上线就曝漏洞为配合新一轮的春运工作，新版中国铁路客户服务中心12306网站两天前正式上线试运行。
不过，就在上线第一天（12月6日），擅长“挑刺”的IT高手们就发现12306新版网站存在漏洞。
漏洞发现者指出，12306网站漏洞泄露用户信息，可查询登录名、邮箱、姓名、身份证以及电话等隐私信息。
另一个漏洞的发现者也曝出“新版12306网站存在多个订票逻辑漏洞”，该漏洞可能导致后期订票软件泛滥，造成订票不公。
铁路总公司对此回应，“上线当晚漏洞已经弥补”，但12306的安全性也由此被人们打上一个大大的问号。
三、伪基站致各地垃圾短信肆虐今年9月工信部颁布了《电话用户真实身份信息登记规定》和《电信和互联网用户个人信息保护规定》，按这一规定用户办理移动电话卡入网时，必须进行实名制登记。
2011年5月份十大重要安全漏洞分析
危害： 击者成 功利 用该 漏洞可 能执行 攻 任意代码。
●
ＣＶＥ Ｉ ＣＶＥ ２ １ １２ ～ＣＶ － ０ １ ７ ５ Ｄ： － ０１— ７ ８ Ｅ ２ １—１３
ＣＩＥ ＣＶＥ ２ １ ２ ９ＣＶＥ ２ １ ２ ０ ｖ Ｉ Ｄ： 一 ０１—１ ６ 一 ０１—１ ７
漏洞 （ 如路 由器 、交换 机等 ）和安全 产 品漏洞 （ 如防火 墙、入侵检 测 系统等 ） 。
Ｃ ＶＤ收集整理 的漏洞 中，应用程 序漏 Ｎ
３漏 洞 数 据 分 析
３１漏洞总体情 况 ．
／ ｉｓ Ｐ ｏｒ／ ｅ ｈ Ｐ ｏ ｔ Ｄｏ ｕ ｔ ｂ ｚ ｕ Ｐ Ｔ ｃ Ｓｕ Ｐ ／ ｃ ｍｅｒ ｔ ｒ ｌ
综述： Ｍ ｕ ａ公司发布更新修复了旗下软件 的多个漏洞，其中包括对象释放再利用漏洞、远 程代码执行漏洞等，涉及 Ｍｏｉ ｉｂ ｚａＦｅ ｘ３５ ９之 ｌ ｒ ｌ １ 前的 ３ ． ５ｘ版本，３６ ７之前的 ３ ．． １ ． ６ｘ版本，４ ０１ 之前的 ４ｘ 版本， ｈ ｎ ｅｂｒ ３ Ｔ ｕ ｄ ｒｉ ． Ｏ之前的版本 ｄ １ １ 以及 Ｓ ａ ｎｅ ２ １ ｅ Ｍｏ ｋｙ ０ ４之前的版本等。应对措施
版本 ，１ ．． ＯＯ３之前 的 １ ． 版本中存在漏洞 ， ０ｘ 攻击 者 可以通 过 未指 明的 向量 执行 任 意代 码或者引起拒绝服务。该漏洞主要影响 的操 作系统包括 Ｗｉｄ ｗｓ Ｍａ ， 目 ｎｏ 和 ｃＯＳＸ 前 厂商 已经发布 了安全补丁。应对措施详见参
考链 接。
ｉ２ ３ ７ ｄ ４ ６０ ／
目
ｃｖＥＩ ＣＶＥ ２ １ － ０ ５ＣＶＥ ２ １ － ０ ６ Ｄ： － ０１０ ６ － ０１０ ６
2010年中国互联网发展大事记
2010年中国互联网发展大事记1、百度遭黑客攻击2010年1月12日，中文搜索引擎“百度”遭到黑客攻击，长时间无法正常访问。
影响范围涉及北京、四川、广东等国内大部分省市。
2、国务院推动三网融合2010年1月13日，国务院总理温家宝主持召开国务院常务会议，决定加快推进电信网、广播电视网和互联网三网融合。
6月30日，国务院三网融合工作协调小组审议批准，确定了第一批三网融合试点地区（城市）名单，这标志着三网融合试点工作正式启动。
3、四海商舟成立2010年2月起江苏科泰集团于2009年在国内首推以电子商务为载体的海外营销整体解决方案正式定名为“四海商舟”（BizArk），旨在帮助有进取心的外向型企业扎根海外市场，实现其海外本土化营销、打造本土品牌的战略目标。
4、QQ同时在线用户超过一亿2010年3月5日，即时通信工具腾讯QQ的同时在线用户数突破1亿，显示了中国互联网企业在海量用户运维上已达到国际领先水平。
5、团购网站大规模兴起从2010年3月起，团购网站在中国逐渐兴起，网络团购以价格折扣低、小额支付等优势吸引了众多网民参与，成为2010年热点互联网应用之一。
6、首批互联网电视牌照发放2010年4月，国家广播电影电视总局发放首批三张互联网电视牌照。
获得牌照的企业将具备在数字电视网、通信网和互联网上开展跨网跨屏融合新业务的条件。
7、《网络商品交易及有关服务行为管理暂行办法》出台2010年6月1日，国家工商行政管理总局正式公布《网络商品交易及有关服务行为管理暂行办法》。
这是我国第一部促进和规范“网络商品交易及有关服务行为”的行政规章。
8、人民网股份有限公司成立2010年6月20日，人民网股份有限公司正式挂牌成立，标志着人民网转企改制迈出了关键性的一步。
这将对中央重点新闻网站体制机制创新以至整个网络宣传事业繁荣发展起到示范和带动作用。
9、央行出台管理办法规范非金融机构支付服务2010年6月21日，中国人民银行出台《非金融机构支付服务管理办法》。
十大常见web漏洞及防范
⼗⼤常见web漏洞及防范⼗⼤常见web漏洞⼀、SQL注⼊漏洞SQL注⼊攻击（SQL Injection），简称注⼊攻击、SQL注⼊，被⼴泛⽤于⾮法获取⽹站控制权，是发⽣在应⽤程序的数据库层上的安全漏洞。
在设计程序，忽略了对输⼊字符串中夹带的SQL指令的检查，被数据库误认为是正常的SQL指令⽽运⾏，从⽽使数据库受到攻击，可能导致数据被窃取、更改、删除，以及进⼀步导致⽹站被嵌⼊恶意代码、被植⼊后门程序等危害。
通常情况下，SQL注⼊的位置包括：（1）表单提交，主要是POST请求，也包括GET请求；（2）URL参数提交，主要为GET请求参数；（3）Cookie参数提交；（4）HTTP请求头部的⼀些可修改的值，⽐如Referer、User_Agent等；（5）⼀些边缘的输⼊点，⽐如.mp3⽂件的⼀些⽂件信息等。
常见的防范⽅法（1）所有的查询语句都使⽤数据库提供的参数化查询接⼝，参数化的语句使⽤参数⽽不是将⽤户输⼊变量嵌⼊到SQL语句中。
当前⼏乎所有的数据库系统都提供了参数化SQL语句执⾏接⼝，使⽤此接⼝可以⾮常有效的防⽌SQL注⼊攻击。
（2）对进⼊数据库的特殊字符（’”<>&*;等）进⾏转义处理，或编码转换。
（3）确认每种数据的类型，⽐如数字型的数据就必须是数字，数据库中的存储字段必须对应为int型。
（4）数据长度应该严格规定，能在⼀定程度上防⽌⽐较长的SQL注⼊语句⽆法正确执⾏。
（5）⽹站每个数据层的编码统⼀，建议全部使⽤UTF-8编码，上下层编码不⼀致有可能导致⼀些过滤模型被绕过。
（6）严格限制⽹站⽤户的数据库的操作权限，给此⽤户提供仅仅能够满⾜其⼯作的权限，从⽽最⼤限度的减少注⼊攻击对数据库的危害。
（7）避免⽹站显⽰SQL错误信息，⽐如类型错误、字段不匹配等，防⽌攻击者利⽤这些错误信息进⾏⼀些判断。
（8）在⽹站发布之前建议使⽤⼀些专业的SQL注⼊检测⼯具进⾏检测，及时修补这些SQL注⼊漏洞。
盘点2010-2014年重大网络安全事件
2013年安全问题
• 1.匿名黑客组织开展“Operation Last Resort”黑客 行动 美国联邦政府无力招架
• 2.脸谱网“shadow profiles”出现漏洞 公众表示愤 怒
• 3.在Windows和Mac操作系统上，如何禁用浏览器 Java控件
• 4.匿名黑客组织公开4000多位美国银行家登录账 户和证书等信息
2010年十大安全事件
“极光”漏洞导致谷歌受攻击
所谓极光攻击事件指，谷歌在一月份承认他们的许多重要知识财产在 去年十二月份被网络非常入侵所窃取。与此同时，另外还有十二家高 科技和业内公司受到了同样的攻击。
中国ISP劫持互联网
一家名为IDC China Telecommunication的小型中国网络服务供应商首 先发出了错误的路由数据，然后经过中国电信的二次传播，扩散到了 整个互联网，这一事件导致全球的服务提供商都受到了影响。该事件 被列入到今年十一月份向美国国会提交的2010年美中经济和安全审议 委员会报告中。报告中称，今年4月8日，由于中国电信发出错误的路 由信息，导致美国参议院、国防部以及国家航空及太空总署(NASA)等 许多网站的电子邮件全部“绕道”中国传输，整个过程持续了18分钟。 中国电信对此表示，四月份的信息重新定向是一起事故。
• 思科Cisco Live 2010年会参会者名单被黑事件
虽然并不是什么重要数据，但是这一事件对于希望被全球认为是 安全领域领军企业的思科十分尴尬。有人通过攻击获得了Cisco Live 2010会议的参加者名单。这个安全突破使思科不得不一一通知 客户和合作伙伴。尽管思科对其中的细节保持沉默，但是有厂商
• ２０１１年底，ＣＳＤＮ中文ＩＴ社区、天涯 等众多互联网公司的账户密码信息被公开下载。 国家互联网应急中心通过公开渠道获得疑似泄 露的数据库有２６个，涉及账号、密码２．７ ８亿条，这些信息均为黑客攻击商业网站后窃 取并泄露。
10大信息安全事件
1.D-Link路由器被曝重大漏洞近日，国内安全专家发现友讯集团（D-Link）新产品“云路由”使用的固件系统中存在漏洞，黑客可轻易攻破路由器后台，获取用户网银密码等隐私。
漏洞涉及17个型号，预计全球受影响用户高达300万。
此次受影响的路由器系列为D-Link新推出的产品云路由，与传统路由器相比，云路由相当于一个小型的家庭控制中心。
此次漏洞，黑客只需要向路由器提交几个“指令”便可以拿到路由器权限，获取权限后，除了可以借此推送广告、获取推广佣金、劫持正常网站到钓鱼挂马网站外，还可以通过获取用户的上网流量，解析出用户的所有上网信息，获取用户的宽带账号密码，网银、支付宝等账号密码2.十大酒店泄露大量房客开房信息2月11日，据漏洞盒子白帽子提交的报告显示，知名连锁酒店桔子、锦江之星、速八、布丁；高端酒店万豪（丽思卡尔顿酒店等）、喜达屋（喜来登、艾美酒店等）、洲际（假日酒店等）网站存在高危漏洞——房客开房信息大量泄露，一览无余，黑客可轻松获取到千万级的酒店顾客的订单信息，包括顾客姓名、身份证、手机号、房间号、房型、开房时间、退房时间、家庭住址、信用卡后四位、信用卡截止日期、邮件等等大量敏感信息。
3.机锋被曝泄露2300万用户信息用户信息安全遭威胁1月5日，就在机锋科技二度易主仅半月后，机锋科技旗下机锋论坛被曝出存在高危漏洞，多达2300万用户的信息遭遇安全威胁。
这也成为2015年国内第一起网络信息泄露事件。
据知情人士称，机锋论坛泄露的2300万用户数据包括用户名、注册邮箱、加密后的密码等信息，由于机构数据库对用户密码仅使用了简单的MD5（计算机安全领域广泛使用的一种散列函数）加密，黑客能够快速破解出绝大部分明文密码。
对此，机锋方面通过微博回应称，技术部门已展开深入调查，“目前初步判断是2013年泄露的老数据”，并强调，“机锋所有用户密码均为多次加密的非明文转换码，网上泄露的用户信息并不能破解密码并盗取用户账号”。
2010年11月份十大重要安全漏洞分析
３ ５条 ，漏洞 总数 比上 月增 长 了 ５ １ ９ ％。能 够从远程 进 行攻 击的漏 洞 占绝 大 多数 ，这使 得攻 击者利 用相 应漏 ６
ｖ ｌ ｅ ａ ｉ ｔ， ｎ ｏ ｅｆ ｅ ｄ ｙ ｖ ｌｅ ａ ｉ ｔ ｆＡｄ ｂ ｌｓ ｌｙ ｒ ｓ Ｎ１ Ｃ ｗｏ ｌ ｅ ｏ ｕ ｎ ｒ ｂ ｌ ｙ ａ ｄ Ａｄ ｂ ｘ ｄ ａ ０ ａ ｕ ｎ ｒ ｂ ｌ ｏ ｏ ｅ Ｆ ａ ｈ Ｐ ａ ｅ． ｏ ＮＣ Ｐ ｕ ｄ ｒ ｃ ｍｍｅ ｄ ｔ ａ ｉ ｉ ｉ ｙ ｎ ｔ ｈ
１ 条。可见，能够从远程进行攻击的漏洞 占绝大多数 ，这使得攻击者利用相应漏洞发动攻击更 为容易。本月微 软发布 ３个安全公
告，其 中 １ 个为严重等级，２ 个为重要等级，共修复 ｌ 个 安全漏洞 ，受影 响的操作系统和软件有 Ｏ ｆｃ ０ ３ ０ ７ ０ ０以及 １ ｆｉｅ２ ０ 、２ ０ 、２ １ Ｍｃ ａ 操作系统上的 Ｏ ｃ ０ ４ ０ ８ ０ 等。此外，Ｍ ｚ ｌＦｒ ｏ 修复了一个可远程执行代码的零 日漏洞，Ａ ｏｅ ｉ ２ ｆ ｅ ０ 、２ ０ 、２ １ １ ｏｉａ ｉ ｆｘ ｌ ｅ ｄ ｂ 发布安全公 告 （ ＰＢ０ ２ ） Ａ Ｓ １— ６ 修复了Ａ ｏ ｅ ｌ ｈＰａｅ上发现的一个零 日漏洞，微软公司发布安全通告通报了 ｌｔ ｎｔ ｘｌ ｅ￣ 的一个零 日 ｄｂ ａ ｌ ｒ Ｆ ｓ ｙ ｎｅ ｅ Ｅ ｐｏ ｒ ２ ｒ ｒ
２ ｌ ．２ Ｏ Ｏ１
■ ｄ ｉ１ ９ ９ｊｓ ｎ１ ７ —１ ２ ２ １ ２ ０ ５ ｏ： ０３ ６ ／ｉ ６ １１ ２ ０ ０１ ２ ｓ
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
Ｍ Ｓ１ ０－０ ３４． ｓ ｘ ｍ ｐ
ｖ Ｏ６ 和 Ｍ ｉｒｓ ｆ Ｗ ｉｄ ｗｓ 系统 。 Ｓ ｆｒ １． ｃｏ ｏｔ ｎ ｏ ａａ ｉ
４． 用于 Ｍａ １适 ｃ０ＳＸｖ ０４系统 。 ｌ ． 危害： 攻击者利用这些 漏洞可能导致应
发工具 存在 一个远 程代码执 行漏洞， 攻击 者 通过 “ 损坏系统状 态”相关 的攻击向量利 用该 漏 洞 可 以 执 行 任 意 代 码 。 危害 ： 击者 利用该漏洞可能执行 任意 攻 代码。 参 考 链 接 ： ｔｐ／ｗ ｗｗ ． ｉ ｓ ｆ ． ｈｔ ： ／ ｍ ｃｏ ｏ ｔ ｒ
参 考 链 接 ： ｔｐ／ｗｗ ｗ ｄ ｂ ． ｏ ｌ ｈ ｔ： ／ ａ ｏ ｅｃ ｒ ａ
ｓ ｐ ｏ ｔ ｅ ｕ ｉ ／ ｕｌｔ ｓａ ｓ ｌ — ４ ｈ ｍｌ ｕ ｐ ｒ ｓ ｃ ｒ ｖｂ ｌ ｉ ／ｐ ｂ ０ １ ．ｔ ／ ｔ ｅｎ
ＣＶＥ ２ １ － ６ ￣ＣＶＥ ２ １ ＿ １ ７ － ０ ０ ２１０ ＿ ０ ０ ２ ６ ＣＶＥ ２ １ － － ００
助 和 支 持 中 心” 应 用 程 序 远 程 代码 执 行
Ｃ ＶＥ Ｃ 一２ Ｏ １ ９Ｃ Ｉ ＶＥ ０１ － ８７ ＶＥ一 ０１ —１ ８ Ｄ： ２ ０ ８０ ＣＶＥ Ｉ ＣＶＥ Ｄ： 一２０１ ５ ８８ ０—１
未授权信息访 问漏洞等。 危害： 攻击者 利用这些漏 洞可以获取权 限提 升。 参 考 链 接 ： ｔｐ／ｗ ｗｗ． ｉｃ ．ｏｍ／ ｈｔ ： ／ ｃｓ ｏ ｃ
版本 、 １ ｌ ． Ｏ１ ３６ ５ ４之 前 １． ０ｘ系列 版本 、Ａ ｏ ｅ ｄ ｂ ＡＩ ．．． ６ ０之前 版本 存在 多个 远程 代 码执 Ｒ２ ２２ １ ０ １
行 漏洞 。
Ｐａ ｅ ｌｙ ｒ插 件、文件夹 管理器、 帮助 显 示程
序 、ｉｈ ｔ ｍａ ｅＯ、Ｋ ｒｅｏ 、Ｉ ｃ ｒ 网 Ｃ ａ、Ｉ ｇ ｝ ｅｂ ｒｓ Ｊ ｕｌ ｂ 、
用 户 相 同 的用 户权 限 。 危害 ： 击 者 利 用 这 些 漏 洞 可 能 远 程 执 攻 行 任 意代 码 。
参 考 链 接： ｔｐ／ｗｗｗ． ｃ ｏ ｏ ｔ ｈｔ ： ／ ｍｉ ｓ ｆ ｒ
ＣＶＥ Ｄ：ＣＶＥ Ｉ －２０ ０－１ ９７ １ ２
综述：帮助和 支持 中心”是 Ｍ ｓ ｆ “ ｉｒ ｏ ｔ Ｃｏ Ｗ ｉｄ ｗｓ操 作 系 统 中 的一 项 功 能 ，用 于 提 ｎｏ 供 有关 各种主题 的帮助信息。通 过在 ＵＲＬ 链 接 中使 用 “ ｃ ： ” 用 户 可 以 获 取 帮助 。 ｈ ｐ／ ， ／ 如 果 用 户 受骗 使 用 Ｗ ｅ ｂ浏 览 器 访 问特 制 网 页，可能导致攻击者 利用该漏 洞远程执行任 意代码 ，控制用户系统。 危害： 攻击者 利用该 漏洞可能远 程执行 任 意代 码 。
用程 序崩溃或执行任 意代码。 参 考 链 接 ： ｔ ｐＩＩ ｔ ．Ｐ Ｉ． ｏ ｈ ｔ ： ｉ ｓａ Ｐｅ ｃ ｍ／ Ｉｓ
ａ ｃ ｉ ｅ ／ ｅ ｕ ｉｙ ａ ｎ ｕ ｃ ／ Ｏ ０ Ｊ ｎ ｒｈｖ ｓ ｓ ｃ ｒ — ｎ ｏ ｎ ｅ ２ １ ／ ｕ ／ ｔ
ｍｓ ｇ
２ １ — ６ １ Ｍｉｒｓ ｆ Ｗ ｉｄ ｗｓ“ ０ ０ — ０ ５ ｃｏ ｏｔ ｎ ｏ 帮
综 述 ： ｐｅＳ ｆ ５０和 Ａｐ ｌ ａａｉ Ａｐ ｌ ａａｉ ． ｒ ｐｅＳ ｆｒ
参 考 链 接 ： ｔｐ／ｗｗ ｗ ｄ ｂ ｃ ｍ／ ｈｔ： ／ ａ ｏ ｅ．ｏ
ｓ ｐ ｏ ｔ ｅ ｕ ｉ ／ ｕｌｔ ｓａ ｓ ｌ — ３ ｈ ｍＩ ｕ ｐ ｒ ｓ ｃ ｒ ｙ ｂ ｌ ｉ ／ ｐ ｂ ０ １ ．ｔ ／ ｔ ｅｎ
ｃ、 Ｑ ／ １０ — ，Ｉ Ｅ Ｄ： Ｅ ０ ８ Ｑ ／ ００ — ７ ３ Ｅ ９ ３ ９ ＣＶＥ一２ ０—０ ３４ ＣＶＥ一 ０１ —０５ ＣＶＥ一 ０１ ７ ２ ０ ４１ ２ ０— ３ ３～ＣＶＥ一 １ ０１ １ ７ ２０ ０—１ ７７ ＣＶＥ－２ ０— ３ ０１ １ ７ ～ ，．２ １ １ Ｂ ３ ９ ｏ Ｅ ００－ ３ ２ －
ｗａ ｐ ｐ ｂ ｉ ／ ０ ／ ｉ ｃ ｓ 一 ０ ０ ５ ６ ／ ｕ ｌ ７ ７ ｃ ｓ ｏ— ａ ２ １ ０ ２ － ｒ ｃ
ｍｅｄａ ｏ ．ｈ ｍ Ｉ ｉｔ ｒｓ ｔ
综述： ｃｏ ｏ ｔ ｉｄ ｗｓ媒体 解压缩 Ｍｉｒｓ ｆ Ｗ ｎ ｏ 存 在两个 漏洞 ，如 果用户打 开一 个 特 制的 媒体 文件或从网站或提供 Ｗｅ 内容的任何 ｂ 应用程序接收特制 的流式 内容 ，可能导致攻 击 者 利 用 该 漏 洞 执 行 任 意 代 码 获 得 与 本 地
到 总量 的 ４ ． ％，从 漏洞 利用方 式来看 ，远程 攻击 的有 ４５条 ，本地攻 击的有 ３ 条 ，局域 网攻击的 有 ７条 ，综 上可知互联 网威胁 ７５ ４ ０ ９ 系数 比较 高，用户需要提 高安全防 范意识 并采取一些安 全防范措施 。本 月微软发 布 ６ 月份 １ 个安全补 丁 ，其 中 ３个为严重等级 ，７ （ ） 个 为重要 等级 ，共修复 ３ ４个安 全漏洞 ，受影响 的 系统有 Ｗｉ ｏ ｓＥ 岱 ｅ ｎ ｗ 、ｏ ｃ、Ｗｉ ｏ ｅ ｅ等。此 外，Ａ ｏｅ ｐｌ ｉｏ等 ｄ Ｉ ｎ ｗ Ｓｒ ｒ ｄｓ ｖ ｄｂ、Ａ ｐ 、Ｃｓ ｅ ｃ 商也发布 了相 关产品的安全更新 ，建议广 大用户及 时打补丁 ，增强 系统安全性 ，做好安 全防范工作 ，保证 信息 系统安 全。
● ｄ ｉ１ ９ ９ｊ ｓ ．６ １１２ ０ ００ ０ ｏ ・ ０３ ６ ／ｉ ｎ１ ７ －１ ２２ １ ７０ ３ ｓ
２ １ 年 ６月份十大 重要安全漏洞 ０ ０
（ 中国科 学院研究生院 国家计算机 网络入侵防范 中心，北京 １０ ４ ０ ０９）
２ １ 牟 ５月 ２ ００ １日至 ２１ 年 ６月 ２ ０１ ） ０日，国家计算机 网络入侵 防范 中心发布 漏洞总 条 目为 ４１ ，漏 洞总数 与 ５月相 比波动不 ５条 大。其 中威胁级 别为 “ 紧急 ”的有 １３条 ，“ ３ 高”的有 ８ 条 ，“ １ 中” 的有 ２７ ，“ １条 ） 低” 的有 ３ 条。威 胁级 别为 紧急 和 高的 漏洞 占 ０
元素内存损坏漏洞、Ｉ Ｅ未初始化内存损坏漏 洞 、ｌ 内存 损坏 漏 洞 。 Ｅ 危害： 攻击者利用这些漏洞可能远程执行 任意代码。 参 考 链 接 ： ｔｐ／ ｈｔ ：ｗｗｗ ｃｏ ｏｔ ｏ ／ ｍｉｒｓ ｆ． ｍ／ ｃ
ＣＶＥ ２ １ 一 ３ ５ＣＶＥ— ０ ０ １ ５ ＣＶＥ－ ０１— — ０Ｏ １８ ２ １—７Ｏ ２ ０ １ ８ ＣＶ Ｅ一 ３８ ２０１ ０—１ ４ ＣＶＥ一２ ０ １ ９ ３９ ０１ —１ １
综述 ： ｏ ｅ Ｐ ｏ ｏ ｈ ｐ ＣＳ ． Ａｄ ｂ ｈ ｔ ｓ ｏ ４ １ ０２ １
之 前 版 本 存 在 多 个 缓 冲 区溢 出漏 洞 ， 如 果 用
户受骗打 开特制 ． Ｌ ＡＢＲ ＧＲ ＡＳ 、． 、． Ｄ文件 可以触发该漏洞。 危害： 攻击者 利用该漏洞可能执行 任意
综 述 ： ｉ ｏＮｅｗｏｋＢ ｉｉｇＭｅ ｉ ｏ Ｃｓ ｔ ｒ ｕｌｎ ｄａ ｒ ｃ ｄ ｔ
是 一 个 智 能 互 联 建 筑 解 决 方 案。ＣＳ Ｏ ＩＣ Ｎｅｗｏ ｋＢｕｌｉｇ Ｍ ｅ ｉｔ ｒ 新 修 复 多 个 ｔ ｒ ｉ ｎ ｄａｏ 更 ｄ
安 全 漏洞 ，包 括 Ｃｉｃ ｅ ｗｏｒ ｉ ｉｇ ｓ ｏ Ｎ ｔ ＢｕＩ ｎ ｋ ｄ Ｍ ｅ ｉｔ ｒ 认 凭 据 漏 洞 、 Ｃ ｓ ｏ Ｎｅ ｗｏ ｋ ｄａｏ 默 ｉｃ ｔ ｒ
ＣＶＥ Ｉ ： Ｄ ＣＶＥ一２ ９６ ０１ ０—１ ２
Ｑ ，－ ＤＯ ７ ４Ｑ ，－ １ １２ ， ２ １ １４ Ｅ ２ １一１７ Ｅ ， ０＿４ ２ Ｅ－ ＤＯ－７ ９ Ｃ Ｖ Ｅ一２０１０—１ ３９５～Ｃ Ｖ Ｅ一２０１Ｏ一１ ４Ｏ６
ＣＶＥ— ０１ —４２ ＣＶＥ— １ — ４４ ． ２ ０— １ １ ． ２０ ０— ０５ ＣＶＥ— —
综 述： ｏｂ Ｉ ｓ Ｉ ｙ ｒ９ ０ ｘ 至 Ａｄ ｅ Ｆａ ｈ Ｐ ａ ｅ ． ．
９０２ ２版本 ， １ ． ．．６ ｘ至 １ ．．５２版本以及 ０ ０４ ． ０
Ａ ｏ ｅＲ ａ ｅ ｄ ｂ ｅ ｄ ｒ和 Ａｃｏ ａ ． ｒｂ ｔ９ｘ至 ９３２ 版 ．．
本 ａ ｔ ｐａ ．ｌ组件存在漏洞 ， 击者利用 ｕ ｈ ｌｙｄｌ 攻 该漏洞可以远程执行任 意代码。 危害： 攻击者 利用该漏洞 可能远 程执行 任意代码。
２１ ～ ， ＿ ０ Ｏ ２ ８ ６９ Ｅ ２ １ ． １ ９
综 述： ｄ ｂ ｌｓ ｌ ｅ ． ２ ７ Ａ ｏ ｅＦ ｈＰａ ｒ ０ ７ ａ ｙ ９ ０之前
综述 ： ｐｅ Ｍａ 更 新 修 复 涉 及 Ａｐ ｌ ｃ０ＳＸ
ＣＵ ＳＷ ｅ Ｐ ｂ界面 、 Ｄ ｓ ｔ ｐ ｅｖｃ ｓ Ｆ ｓ ｅ ｋｏ Ｓ ｒｉｅ 、 ｌ ｈ ａ
综 述 ： ｉｒｓ ｆ Ｉｔｒｅ ｘ ｌｒｒ Ｍ ｃｏ ｏｔｎｅ ｎ ｔＥ ｐｏｅ ８开
４ １ 新 修 复 了多 个 安 全 漏 洞。 其 中 Ｓａａ ｉ ．更 ｆ ｒ
５０ 适 用 于 Ｍａ ｌ ． 、Ｍ ａ ． ｃ ０Ｓ Ｘ ｖ ０ ５ ｃ ０Ｓ Ｘ
ｌ
Ｃ＝ＥＩ ＣＶ ２ １ —０ ９５一 Ｅ ２ １ 一 ６ ０ ＼ Ｊ Ｄ： Ｅ一 ０ ０ ５ ， ＣＶ － ０ ０ Ｏ Ｏ
ｃ ｍ／ ｈ ｎ ，ｅ ｈ ｅ ， ｅ ｕ ｉ ／ ｕ ｌ ｔｎ ｏ ｃ ｉ ａ ｔ ｃ ｎ ｔｓ ｃ ｔ ｂ ｌ ｉ／ ｒｖ ｅ
Ｍ Ｓ１ ０—０ ３３． ｓ ０１ ｍｓｐ ｍ ｐｘ ７． ｘ （ ＥＩ Ｃ Ｄ： ＶＥ－ ０Ｏ＿ ３ ０Ｃ ＿２ １ －０ ８ ２ １ １ ２ ＶＥ ０ ０ ２ ３
新修复 了Ｉ Ｅ浏览器如下 ６个漏洞 ：Ｉ Ｅ跨域信 息 泄露 漏 洞 、Ｉ ｏＳａｉ Ｈ ＭＬ信 息 泄露 漏 Ｅｔ ｔｔ Ｔ ｃ 洞 、Ｉ 初始 化 的 内存 损坏 漏 洞、 Ｉ Ｔ Ｌ Ｅ未 ＥＨ Ｍ