《電子技術應用》
您所在的位置:首頁 > 通信與網絡 > 設計應用 > 移動和Web安全將成黑帽大會熱門話題
移動和Web安全將成黑帽大會熱門話題
網界網
波波編譯
摘要: 安全研究人員將在本屆黑帽大會上披露可影響移動和Web技術的最新發(fā)現(xiàn)的漏洞,。
Abstract:
Key words :

【CNW.com.cn獨家譯稿】黑帽USA 2012安全大會將于本周三到本周四舉行,據悉安全研究人員將會披露關于近場通信(NFC),、移動基帶固件,、HTML5和Web應用等的最新漏洞,。

黑帽USA大會今年是第15屆,屆時將會有數(shù)千位安全熱衷者和IT專業(yè)人士將會聚首在拉斯維加斯舉辦的年度安全會議,,觀看安全行業(yè)一些最頂尖的研究人員展示他們的最新發(fā)現(xiàn),。
隨著智能手機的迅速普及,移動技術已成為安全研究的一個重要內容,。今天的很多手機實際上都是微型計算機,,其上存有大量敏感數(shù)據,這也使得它們成了攻擊者攻擊的目標,。
一些智能手機廠商已經實施了NFC技術,,可以讓智能手機完成無接觸移動支付。用戶只須在有NFC功能的設備上晃動手機便可完成交易,。
著名的蘋果黑客Charlie Miller在安全咨詢公司Accuvant擔任首席研究咨詢師,,他研究了現(xiàn)有NFC實現(xiàn)的安全性,發(fā)現(xiàn)了一些可以濫用NFC技術的方法,,控制一些智能手機在未經用戶允許的情況下便可進行盜取文件,、打開網頁等動作。
在某些情形下,,攻擊者可通過NFC完全控制手機,,讓它們盜取照片、聯(lián)系人,、發(fā)送文本短信,,甚至自行撥打電話,。在今年的美國黑帽大會上,Miller展示其最新發(fā)現(xiàn)一事有可能是本屆大會最值得期待的內容之一,。
在另一場移動安全展示中,,盧森堡大學的研究人員Ralf-Philip Weinmann將討論針對基帶處理器——即負責與蜂窩網絡通信的手機微處理器——的攻擊。
去年,,Weinmann展示了如何利用基帶處理器的漏洞把手機變身為遠程間諜設備,,欺騙手機用戶與一個流氓GSM基站——一個瘦身版的手機基站——通信。該基站可使用一些現(xiàn)成的硬件和開源軟件構建,。
今年,,Weinmann計劃展示這些流氓基站甚至不必去主動發(fā)起攻擊便可得逞,因為一些基帶漏洞可通過IP網絡加以利用,。
Weinmann在其演示文件中描述道,,如果對運營商網絡的某些組件按某種方式進行配置,便可同時攻擊大量的智能手機,。
移動惡意軟件的威脅正在日益增長,,尤其是針對安卓平臺的惡意軟件威脅。為了保護安卓用戶,,防范惡意應用上傳至谷歌Play,,谷歌創(chuàng)建了一個自動的惡意軟件掃描服務,叫做Bouncer,。
在黑帽大會上,,來自Trustwave的安全研究員Nicholas Percoco和Sean Schulte將介紹一種技巧,該技巧可讓他們避開Bouncer的檢測,,讓一個惡意應用在谷歌Play上已經駐留了數(shù)周,。
Percoco稱,這個上傳到谷歌Play上的應用開始時是良性的,,但是隨后的升級可為其增加惡意功能,。最終結局將是一個可盜取照片與聯(lián)系人的應用,操控手機去訪問一些網站,,甚至可發(fā)起DoS攻擊,。
 
在黑帽大會上做展示之前,,Percoco不愿探討這一技巧的細節(jié),,不過他指出,這一技巧并不需要跟用戶有任何互動,。Percoco稱,,該惡意應用如果從谷歌Play上下載后就沒用了,所以試驗期間不會有用戶受感染,。
在今年的黑帽大會上,,在一些新的Web技術中出現(xiàn)的Web攻擊和漏洞也將成為重要議題,。
網絡犯罪分子正越來越多地依賴所謂路過式下載攻擊,利用一些廣泛流行的瀏覽器插件,,如Java,、Flash播放器或Adobe Reader等的已知漏洞制作惡意軟件感染計算機。
惠普DVlabs的安全研究人員Jason Jones計劃展示對一些最常用Web漏洞工具包,,如Blackhole或Phoenix的分析,。
Jones在Web漏洞工具包的開發(fā)中觀察到了一些趨勢,包括對Java漏洞利用程序的日益依賴,,以及與新漏洞工具更快的集成,。
在過去,Web漏洞工具包針對的是一些補丁已經發(fā)布了6個月以上甚至一年以上的漏洞,。而這些工具包的創(chuàng)建者們如今可以集成這些工具以便更快地發(fā)現(xiàn)漏洞,,一般只需要在補丁發(fā)布一兩個月后便可發(fā)現(xiàn),甚至可以發(fā)現(xiàn)廠商尚未發(fā)布補丁的漏洞,,Jones說,。
對于網站的防御而言,網站管理員可利用Web應用防火墻(WAF)探測并阻止一些已知的攻擊技巧,,如SQL注入,、目錄遍歷和其他技巧等。
安全廠商Qualys的工程主任Ivan Ristic也是頗受歡迎的ModSecurity Web應用防火墻的最初作者,,他將在黑帽大會上討論協(xié)議級逃避技巧,,該技巧可以讓攻擊者繞過WAF。
Ristic將發(fā)布一個工具,,該工具經過約150次試探便可確定一個Web應用防火墻是否存在漏洞,,可用他所研制的技巧進行躲避。
Ristic希望網站管理員可以用他的工具檢測其WAF產品,,并將他們所發(fā)現(xiàn)的漏洞報告給WAF廠商,。該工具的目的并不是想讓攻擊者更強大,而是想在WAF廠商,、客戶和安全研究人員中間發(fā)動一場關于協(xié)議級躲避技巧的更開放的討論,。
一些新的Web技術的安全問題,如HTML5的安全問題,,也將在黑帽大會上討論,。
應用安全廠商Blueinfy的創(chuàng)始人Shreeraj Shah會演示如何利用HTML5技術發(fā)動秘密攻擊以及悄然利用漏洞的內容。
此外,,Qualys的軟件工程師Sergey Shekyan和Vaagen Toukharian將討論利用一個HTML5技術,,即WebSockets的可能攻擊腳本。
Shekyan和Toukharian稱,,WebSockets的最大問題之一就是大多數(shù)防火墻和網絡層安全系統(tǒng)無法及時檢測到這類流量,。這意味著惡意軟件所盜取的信息可使用WebSockets與其命令與控制服務器進行通信,,而且不會被檢測到。
除了移動和Web安全外,,黑貓大會還將討論影響工業(yè)控制系統(tǒng),、智能儀表和嵌入式設備的各種安全問題和攻擊技巧。

 
此內容為AET網站原創(chuàng),,未經授權禁止轉載,。