22 行 JS 黑掉英国航空，38 万乘客受害；公有云被频繁用于 DDoS 攻击

（点击上方蓝字，快速关注我们）

转自：开源中国、solidot、cnBeta、腾讯科技等

0、仅有 22 行的 JS 脚本让 38 万英国航空客户成为受害者

根据RiskIQ的报告，英国航空公司遭遇的数据泄露事件暴露了大约38万客户的支付卡详细信息，这似乎是Magecart网络犯罪集团的杰作。在对黑客事件进行内部调查后，英国航空公司披露他们的移动应用程序及其网站受到影响，所有付款在8月21日至9月5日期间的付款客户受到影响。

英国航空公司报告提到他们的其他服务，服务器或数据库都没有受到影响，这导致安全研究团队得出结论，支付服务是数据泄露的唯一罪魁祸首，这是Magecart熟知的专业领域。众所周知，这些骗子使用基于网络的卡片撇取器作为窃取信用卡支付数据的手段，这是经典的卡片撇取器的在线版本。

在深入研究英国航空公司网站内网络犯罪分子注入的代码之后，RiskIQ研究人员发现仅有22行JavaScript代码是英国航空公司受该黑客攻击，导致38万名客户数据被盗的罪魁祸首。英国航空公司移动应用程序也受到改变的Modernizr JavaScript库的影响，因为它调用了网站使用的相同脚本资源，以允许客户进行付款。

研究人员表示，这次攻击再次向我们展示了黑客的高水平的规划和对细节的关注，这次攻击简单有效。研究人员还发现，所有被盗数据都被发送到位于罗马尼亚的服务器上的baways.com域，其IP地址为89.47.162.248，由立陶宛VPS（虚拟专用服务器）提供商Time4VPS提供。

此外，为了使baways.com域更可信，骗子使用了由COMODO CA发行的付费SSL证书，而不是购买免费的LetsEncrypt版本。 最近英国航空公司的数据泄露事件表明，Magecart威胁行动者仍然是一个非常活跃的犯罪集团，据称他们已经在2015年开始活动并成功攻击了Ticketmaster和Inbenta等目标。

1、瞄准工业智能化市场，MIT 让 AI 教机器人操纵物品

MIT 计算机科学与人工智能实验室（CSAIL）的研究人员发明了一种名为 DON 的密集视觉对象网，让机器人能学会独立观察、理解并操作它们从未见过的物体。研究人员们计划今年 10 月在瑞士的机器学习大会上展示他们的新发明。DON 是一种模仿大脑神经元功能的分层算法，可以训练机器人用精确坐标的形式来描述物体。在训练结束后，DON 能够自主地挑选出参考框架。

2、Spring Boot 1.5.16 发布，Bug 修复和改进

Spring Boot 1.5.16 已发布，Spring Boot 1.5.16 包含 27 项修复、改进和依赖更新，包括：

● Tomcat 8.5.34

● Spring Security 4.2.8.RELEASE

● Spring Amqp 1.7.10

● ......（详情：https://spring.io/blog/2018/09/11/spring-boot-1-5-16）

3、Apache Tomcat 9.0.12 和 8.5.34 版本发布

Apache Tomcat 是一个免费的开放源代码的 Web 应用服务器。Apache Tomcat 9.0.12 和 8.5.34 两个版本的更新内容基本一致，主要包括：

● Fix multiple issues associated with using the asynchronous Servlet API in combination with HTTP/2.

● Add recursion to rewrite substitution parsing.

● Expand the information in the documentation web application regarding the use of CATALINA_HOME and CATALINA_BASE. 

● ......（详情：http://tomcat.apache.org/tomcat-9.0-doc/changelog.html#Tomcat_9.0.12_(markt）

4、DDoS 研究报告：公有云服务被频繁用于发动 DDoS 攻击

来自反 DDoS 公司 Link11 的研究表明，在2017年7月至2018年6月的12个月内，欧洲四分之一的 DDoS 攻击使用了基于公有云服务器的僵尸网络，而前12个月的数据为 18.5%。

微软的 Azure 云服务平台是这一时期被频繁用于 DDoS 攻击的云服务，据统计平均有 38.7% 的此类攻击使用了 Azure 服务器。而亚马逊的 AWS 此数据为 32.7%，阿里巴巴的阿里云为 17.9%。谷歌服务器被滥用的比例低得多，仅占了 10.7%。

5、Zerodium 公开 Tor Browser 0day 漏洞

购买和出售流行软件漏洞的 Zerodium 公司通过 Twitter 公开了 Tor Browser 的一个 0day 漏洞。该漏洞能绕过 Tor/NoScript 最高安全级别的保护，允许恶意代码在浏览器上运行。漏洞影响 Tor Browser 7.x，但不影响刚刚发布的 Tor Browser 8.0。NoScript 作者 Giorgio Maone 称该漏洞是 NoScript 屏蔽内置 JSON 查看器使用的变通方案导致的。

6、OpenSSL 1.1.1 LTS 版本发布，支持 TLS v1.3

OpenSSL 1.1.1 已发布，这是新的长期支持版本（LTS），开发团队承诺至少提供五年支持。自 1.1.0 发布以来，已有超过 200 位个人贡献者提交了近 5000 个 commits。OpenSSL 1.1.1 最重要的变化就是添加对 TLS v1.3 (RFC8446) 的支持。（详情：https://www.openssl.org/blog/blog/2018/09/11/release111/）

7、甲骨文最新推出的 Java 微服务框架 Helidon：轻量简单

据外媒报道，甲骨文在上周五宣布推出了 Helidon 的第一个版本，这是一个用于编写微服务的 Java 开源库，并且正式加入了 Eclipse MicroProfile。

Helidon 是一个开源的 Java 微服务框架，旨在运行在快速的 Netty 内核上。它支持 MicroProfile 1.1 并提供了开发者熟悉的 API，例如 JAX-RS, CDI 和 JSON-P/B。该公司的 MicroProfile 实现在自己的 Helidon Reactive WebServer 上运行。

觉得这些资讯有帮助？请转发给更多人

关注 技术最前线 ，看 IT 要闻