2009年09月《安全天下事之多事之秋》、2009年10月《安全天下事之聚合与离散》...

多事之秋

（2009年09月） 文/江海客

常言说“多事之秋”，立秋前后，一度平静的网络世界再起波澜。先是瑞星站点沦陷，之后则有搜狐、天涯、阿里巴巴等一线站点也先后被安全公司发现挂马。这一切都让人对网络世界信心进一步丧失，而江湖传言近期有一批0Day在流传，其中包含一个3389远程管理和一个IIS6的严重漏洞。

与上述顶风作大案者相异，近期监控到整体挂马事件数量略有下降趋势，这可能与公安部近期打掉一个涉案金额高达3000万的盗号集团有关。

与有关“大事件”相映成趣的是近期有3个值得关注的安全会议，分别是Blackhat、Defcon和国内的焦点峰会。

其中引起最大波澜的议题，就是针对SSL的攻击，一个名为Marlinspike的研究人员展示了其方法与成果。其利用的是一个古老的方法——中间人攻击，但无疑古老的方法通常是有效的，其中也应用了同样古老的方法——社会工程学的技巧。

一个伪造的小黄锁就这样颠覆了电子商务体系的安全基石。因此成为今年最震撼的议题。

但是，为公众所不了解的是，类似的攻击方法，据说已经被欧美安全机构广泛用于取证和监听一段时间，其实hack每一次的解密，带来的战栗不仅是留给公众的，也是留给自以为把持信息不对称者的战栗。

这个结果对密码学家们也是有趣的，他们总是假想着完备的城防，但却一次次看到攻击来自于地道。

焦点峰会今年的议题，比过去单纯的漏洞挖掘显得开阔，Rootkit依然是热点和主流，有关硬件安全也有两个议题，安天实验室直到登上讲台的最后一刻才揭开了自己议题的神秘面纱，那就是无线键盘的监听和破解。尽管没有黑帽大会用激光和电压探测输入那样新奇有趣，却揭示了一个真实有效的威胁。

聚合与离散

（2009年10月）文/江海客

本月，有用户可能重温被远程攻击导致蓝屏的情景，但受害对象不是9X、XP、2000等古老系统，而是以安全著称的Vista和Win7。一个SMB 2.0的协议漏洞，导致了445端口收到的特定数据包可以导致蓝屏。这次系Windows系统第三次面临大面积的远程蓝屏攻击威胁，此前是针对95系统的OOB（out of bind）和针对NT架构系统的SMBDIE。此前，微软曾声称SMB潜在的痼疾已经被解决。尽管如此，微软并没有打破补丁阶段性发布节奏突发补丁，也许微软认为，在当前利益驱动的威胁的时代。一个只有破坏性的漏洞，并不会被太多的攻击者关注，也许在这种夹缝中才会偶然显露，PFW获HIDS还有一些残存的价值。
但不论如何远程蓝屏只是一个插曲，注入才是主流，浏览器的攻防的焦点地位依然坚固，本月在中国校园网安全论坛COST论坛本期技术沙龙在重庆召开，议题依然围绕着高校网页防挂马进行探讨，会议意义围绕着利用蜜罐分析恶意链接；旁路环节、客户端环节和主动抓取环节如何配合；以及校内2级站点治理问题展开讨论。一向被认为是病毒泛滥重灾区的教育网，也期待完成自我救赎。
网络上IIS 6存在0Day的传言由来已久，月初一个疑似的漏洞浮出水面，但则是针对IIS的FTP服务的，且似乎适用性有限，不知所谓的0Day是否另有真凶。而微软对此复杂的操作系统版本的支持则也感觉疲惫不堪，据说微软已经拒绝修复2000系统的一个严重的漏洞，因为这会让微软的工程师们去重写一些“古老的代码”。
可以想象在10月的黄金周里，国内安全公司会开始对病毒和攻击的严防死守，因为这个时间段往往是病毒的高发期，但对普通用户来说，与其在家中与病毒斗争，还不如去真正享受“采菊东篱，悠然南山”的日子。