黑客在虛假HTTP 錯誤頁面中隱藏登陸頁面，獲取webshell 用於攻擊
內容提要：
1.黑客在虛假HTTP 錯誤頁面中隱藏登陸頁面，獲取webshell 用於攻擊
2.谷歌引入物理密鑰後，8.5 萬僱員都沒有再被成功釣魚
3. 電子郵件網路攻擊急劇上升，郵件安全風險增大
4.加密漏洞影響大量藍牙實現，主流廠商設備都受影響
5.Twitter 清理逾14.3萬款應用 防止劍橋分析式醜聞
6.藍牙加密配對漏洞曝光：請速更新操作系統或驅動程序
7.獎金10 萬美元 約翰·邁克菲招募黑客攻擊Bitfi數字錢包
8.Let』s Encrypt 保駕護航的HTTPS 網站數量已突破1億
9.提前發現高危漏洞，微軟、蘋果致謝支付寶安全實驗室
1.黑客在虛假HTTP 錯誤頁面中隱藏登陸頁面，獲取webshell 用於攻擊
安全研究人員發現，黑客在偽造的HTTP 錯誤頁面中隱藏登錄表單、獲取webshell 訪問許可權用於攻擊的行為近期有所增加。這些頁面假裝出現HTTP 錯誤，例如404 Not Found 或Forbidden，但實際上卻是登錄頁面，允許攻擊者訪問Web shell 以在伺服器上發出命令。利用webshell，黑客可以上傳惡意軟體、網路釣魚腳本或其他軟體。如果不慎點擊到頁面，就可能中招。這並非是一種新的攻擊技術，但近來越來越頻繁，容易讓不熟悉的人上當。
2.谷歌引入物理密鑰後，8.5 萬僱員都沒有再被成功釣魚
安全博客KrebsOnSecurity 報道，Google 從2017 年初開始要求所有僱員使用物理密鑰替代密碼，此後該公司8.5 萬名僱員沒有一位的工作相關帳戶被成功釣魚。物理安全密鑰是廉價的USB 設備，可作為雙重認證（2FA）的替代。當用戶登錄時，既需要提供密碼，還需要提供移動設備等物理安全密鑰。Google發言人稱，物理安全密鑰是訪問Google 所有帳戶的基礎，自推行物理安全密鑰以來，公司內僱員沒有再報告過賬號被接管的問題。
3.電子郵件網路攻擊急劇上升，郵件安全風險增大
網路安全公司Mimecast 近期發布了《2018 郵件安全現狀》報告，報告顯示，攻擊者持續針對終端用戶發起郵件攻擊，郵件攻擊數量急劇上升。在報告的受訪者中，將近40% 的C 端用戶都認為自己所在公司的CEO 是公司安全的薄弱環節；31% 的PC 端用戶都曾通過郵件不慎將敏感數據發送給無關人員。此外，2017 年有92% 的勒索軟體都是通過郵件分發，造成了較大危害。90% 的組織都表示郵件釣魚攻擊數量有所增長。但是，只有11% 的企業不斷培訓員工識別網路攻擊，而52% 的企業每年只組織一次培訓。Mimecast CEO 表示，電子郵件攻擊持續增長，除了常規的防禦之外，企業還需要採取其他應對措施來確保安全。
4.加密漏洞影響大量藍牙實現，主流廠商設備都受影響
近日，大量藍牙設備和系統被曝存在嚴重加密漏洞CVE-2018-5383，漏洞主要是因為支持藍牙的設備無法充分驗證「安全」藍牙連接期間使用的加密參數。這會導致配對減弱並導致遠程攻擊者獲取設備使用的加密密鑰，並恢復「安全」藍牙連接中的兩個設備之間發送的數據。目前，蘋果、博通、英特爾、高通等多家硬體廠商都確認其藍牙實現和操作系統驅動都受到影響。目前，蘋果、博通和英特爾已經發布了修復補丁。
5.Twitter 清理逾14.3萬款應用 防止劍橋分析式醜聞
鳳凰網科技訊 據《財富》北京時間7月25日報道，Twitter當地時間星期二表示，它在2018年4-6月期間對惡意應用進行了清理，共下架逾14.3萬款應用。Twitter曾在一篇博文中稱，它「不容忍利用我們的API（應用編程介面）製造垃圾信息、操控會話、藉助Twitter侵犯人們的隱私」。
6.藍牙加密配對漏洞曝光：請速更新操作系統或驅動程序
據外媒報道，最近曝出的一個加密錯誤（Crypto Bug），對蘋果、博通、英特爾、高通等硬體供應商的藍牙實施和操作系統程序都產生了較大的影響。其原因是支持藍牙的設備無法充分驗證「安全」藍牙連接期間使用的加密參數。更準確的說法是，配對設備不能充分驗證用在Diffie-Hellman 密鑰交換期間，生成公鑰的橢圓曲線參數。
7.獎金10 萬美元 約翰·邁克菲招募黑客攻擊Bitfi數字錢包
McAfee反病毒軟體創始人約翰邁克菲最近在社交媒體上高調招募黑客攻擊他公司新產品Bitfi數字錢包，他表示會給那些可以闖入Bitfi錢包的人提供10萬美元獎金。約翰邁克菲表示，對於那些聲稱沒有什麼設備是不可破解的人來說，Bitfi錢包真的是世界上第一個不可攻擊的設備，任何可以破解它的人都可獲得10萬美元的賞金。
8.Let』s Encrypt 保駕護航的HTTPS 網站數量已突破1億
備受歡迎的安全證書頒發機構Let』s Encrypt 宣布，當前它已經為超過1 億個網站保駕護航，而且這個數字還在持續增長。僅在上個月，使用HTTPS 保護的站點數量就增加了2400 萬。一天前，Google 剛剛宣布—— 從Chrome 68 開始，該瀏覽器將正式向所有不安全的HTTP 站點開炮。
9.提前發現高危漏洞，微軟、蘋果致謝支付寶安全實驗室
微軟和蘋果分別在官網發布安全公告，致謝螞蟻金服光年安全實驗室及時發現其平台上的高危漏洞，避免更多用戶中招。這兩個漏洞會導致用戶的主機被遠程控制。目前，微軟和蘋果已將漏洞修復。螞蟻金服光年安全實驗室已多次發現主流網路平台漏洞，上個月獲得谷歌致謝。
