2021-10-14

2021-10-14

(地點：線上 Discord 伺服器)

  • jeffgen0x4
  • RJ
  • Mat
  • Thinker
  • dreamerc
  • ®madelynn
  • PerfectLaugh

jeffgen0x4

場地 https://goo.gl/maps/j2oGYDXe4ZpB9RZM8

Caddy Server 簡介

黑暗執行緒 資安隨筆

【資安隨筆】我一直有個自以為不錯的資安心法 - 「永遠假設別人可以拿到你的原始碼，所以別把解密關鍵寫在程式碼裡」，所以要把系統設計成演算法公開也無妨，解密密碼或金鑰務必另外保存，尤其不能跟執行檔或原始碼放在一起，以免一次被人端走直接裸奔。 以 Windows 為例，有幾個不錯的選擇用來儲存解密關鍵，像是 Registry、Windows 認證管理員C# 小技巧：使用 Windows 認證管理員記憶帳號密碼、金鑰容器 RSA 非對稱金鑰加解密與數位簽章筆記，讓攻擊者不要只靠偷到檔案就輕鬆解密，至少多費點手腳也好。 最近學到這概念其實有個學術說法 - 柯克霍夫定理 Kerckhoffs’s Principle，而 埃里克·雷蒙 的延伸主張更酷 - 這世界上沒有所謂的封閉原始碼，想像你寫的所有程式都是 Open Source 來設計加密機制就對了。

標題：電腦一開機就先從 UEFI 執行惡意程式的攻擊手法，並被用於間諜攻擊

寫在前面： 統一可延伸韌體介面 (Unified Extensible Firmware Interface，縮寫UEFI) 是一種個人電腦系統規格，用來定義作業系統與系統韌體之間的軟體介面，目前作為 BIOS 的替代方案。 之前的案例： 防盜軟體遭改造為UEFI Rootkit惡意程式，入侵主機板韌體且難以移除 https://www.ithome.com.tw/news/126208 中國駭客利用改造UEFI bootkit攻擊多國官員及NGO成員 https://www.ithome.com.tw/news/140369 摘要： 資安業者ESET於 10/5 揭露新的惡意軟體ESPecter，它藉由EFI系統磁區（EFI System Partition，ESP），而能持續在受害電腦運作，讓攻擊者得以繞過Windows的驅動程式強制簽章機制（DSE），進而載入未簽章的驅動程式，以便進行其他攻擊行動。 根據他們的調查，ESPecter的攻擊最早可追溯到2012年，而當時是以BIOS啟動套件的方式執行，但這個惡意軟體發展至今，已能植入UEFI韌體的電腦。 究竟ESPecter背後的攻擊者身分為何？ESET表示並不清楚，但根據用戶端元件的訊息裡含有簡體中文，他們認為也許與使用簡體中文的駭客有關。 原始資料： https://www.welivesecurity.com/2021/10/05/uefi-threats-moving-esp-introducing-especter-bootkit/ 引用來源： https://www.ithome.com.tw/news/147200

mac 硬碟問題

https://www.youtube.com/watch?v=UJIfJ30Qlf8

資訊人權貴分享

關於此事： @ivanusto - 簡單說，微軟與業界就是叫你換新電腦啦~ 如同 ivanusto 大大所說， TPM 是計畫報廢的一環。 還不只，它也是用來限制用戶選擇作業系統的機制： Can You Trust Your Computer? - GNU Project - Free So… 禁止選用自由的 OS 除了可以幫微軟維持壟斷之外， 還可以實現 DRM 防盜版 不僅是 Windows 11 安裝條件！「TPM 2.0」將用於防盜版、遊戲作弊 - 自由電子報 3C科… 「信賴平台模組」 的真實意義： 用戶會盜版，不可信賴。 自由軟體作業系統 (例如 GNU/linux) 可以拿來繞過 DRM、 捍衛用戶的合理使用權 (所以也可以用來盜版)， 不可信賴。 禁用自由的 OS 與 app ， 用戶才不會盜版， 才可以被著作權人信賴。 Will your computer’s “Secure Boot” turn out to be “R…

微軟的 GitHub 說明文件提到 然後就 XSS 自己了

標題：中國監視攝影設備大廠海康威視（Hikvision）修補可讓攻擊者接管攝影機設備、存取內部網路的遠端程式碼執行（RCE）漏洞。

摘要： 海康威視（Hikvision）修補的 CVE-2021-36260，是由安全廠商 Watchful_IP 所發現。 遠程代碼執行 (RCE) 漏洞 (CVE-2021-36260)： https://watchfulip.github.io/2021/09/18/Hikvision-IP-Camera-Unauthenticated-RCE.html

它是位於海康威視（Hikvision）韌體中的指令注入漏洞，研究人員並未提供說明細節，僅指出，該漏洞可讓攻擊者透過SSH連線，繞過Hikvision web portal驗證，下達不受限的根shell指令，接管整合設備，或是存取持有人才有權存取的資訊。 這項漏洞影響今年6月以前眾多版本的Hikvision韌體，波及的設備包括IP 攝影機及PTZ攝影機70餘款，以及部分網路監控主機（NVR）。 海康威視（Hikvision）公告： https://www.hikvision.com/en/support/cybersecurity/security-advisory/security-notification-command-injection-vulnerability-in-some-hikvision-products/

引用來源： https://www.ithome.com.tw/news/146985

NFT 暘暘程式頻道

本文作者認為 NFT project 只是科技菁英們的多層式傳銷 透過創造社群共同認同感 以及拉新下線來不斷炒高 NFT 價格 我自己認為 早期的 PFP NFT 專案可能確實比較有類似的性質 但如果有實際看過一些近期的 NFT 專案 其實有越來越多的商業模型及線上線下結合模式 藝術的展現方式也越來越多元 不只是單純的 overpriced jpgs 覺得作者可以放下成見去看看比較新的一些專案 或許可以發現一些有趣的模型 不過身為一個原本對區塊鏈有很深成見的人來說 可以理解對現在很多人來說 NFT 就是一個炒作工具 畢竟他確實有不少炒作跟詐騙成份 加入一些 NFT server 之後我大概每天會收到至少五封詐騙呢

NFT Projects are just MLMs for Tech Elites

Bitcoin.org hackers steal $17,000 in ‘double your cash’ scam

https://www.bleepingcomputer.com/news/security/bitcoinorg-hackers-steal-17-000-in-double-your-cash-scam/

https://www.facebook.com/ExWareLabs/posts/4521329197930919

NISRA discord server 轉分享線上活動

資安領域太廣泛，工作不知道可以做什麼？要學的東西太多，到底方向要訂哪裡？ 沒事沒事，珣詢來跟大家介紹資安領域的各種工作狀況，想了解資安可以做怎樣的工作嗎？那就千萬不要錯過這堂課啦～ 2021 / 10 / 05 (二) 19:00 ~ 21:00 YouTube 直播 講者：珣珣 Discord：https://discord.gg/RGqpdPBPNm ( 詳情請見伺服器內公告 )