域名系统（Domain Name System）几乎和互联网一样古老。它的特殊结构也使它早就成为黑客的利用对象。在这篇短文中，我将详细描述DNS反射的原理，为什么黑客喜欢使用它，以及你为什么要用它。让我们想象一个网络场景，某道防火墙仅允许内网和Linux软件安装包存储库以及DNS服务器进行通信。这意味着从攻击者的计算机发送的数据包到达不了受害者的服务器，反之亦然。为了突破防御，我们需要“篡改”..

大家好！Cloudflare内部的轻量级网络漏洞扫描器——Flan Scan于此刻正式开源！Flan Scan是一种基于Nmap的扫描器，我们把这个知名流行的开源工具转换成一个漏洞扫描器，并提供很多新特性，非常易于部署。在两次尝试使用符合“行业标准”的扫描器进行合规性扫描但失败后，我们创建了Flan Scan。一年多以前，我们为某家大型厂商的漏洞扫描器支付了一大笔钱，而到后来，我们意识到这是我..

OpenBSD是一个以安全为目的而开发的开源操作系统，但近期却被曝出四个高危级别的漏洞，其中一个涉及BSD授权框架中的身份认证绕过。其他三个漏洞和非法提权有关，可让本地用户或某些恶意软件获得某个组乃至root用户的权限。这些漏洞是本周早些时候由Qualys Research Labs发现并报告的，在不到40小时之内，OpenBSD的开发人员就发布了针对OpenBSD 6.5和OpenBSD ...

最近，一起和云有关的大型数据泄露事件成了头条新闻。美国的Capital One银行由于“服务器配置错误”，被某个黑客窃取了上亿张信用卡数据以及十多万社保号码。目前，有关此次泄露事件中涉及的技术和黑客的各类分析报告都已出炉，让我们看看到底是什么原因导致了这起事件的发生。危险一直在身旁让黑客有可乘之机的是一个常见的云安全问题：云上基础设施资源的错误配置使得未经权限验证的用户非法提升自己的权限，从...

海量智能设备，尤其是使用高通芯片组的Android智能手机和平板电脑，或遭受一系列潜在漏洞的影响。根据网络安全公司CheckPoint发布的安全报告的内容，这些芯片漏洞可能会让攻击者窃取存储在安全区域的敏感数据，而这些安全区域本应该是智能设备中最安全的部分。这些漏洞存在于高通芯片的Secure Execution Environment（QSEE）中，这是一种基于ARM TrustZone技...

智能家居制造商Wyze Labs证实，从12月4日到12月26日这超过三个多星期的时间内，超过240万用户的数据暴露在存在未授权缺陷的Elasticsearch中。该公司是在12月26日上午9点21接收到IPVM记者的联系，从而发现这一起数据泄露的。不过，IPVM随后立即在“9点35分”发表了一篇文章，报告这个由安全咨询公司Twelve Security所发现的安全事件。Wyze的联合创始...

一个新发现的影响Citrix Application Delivery Controller（NetScaler ADC）和Citrix网关（NetScaler Gateway）的漏洞可能会威胁8万多家公司的网络安全。Citrix即美国思杰公司，是一家致力于云计算虚拟化、虚拟桌面和远程接入技术领域的高科技企业。现在流行的BYOD（Bring Your Own Device自带设备办公）就是C...