计算机软件漏洞分析研究

<正>引言计算机软件漏洞是指可以发展成为被人恶意利用的软件缺陷。软件漏洞是网络入侵与攻击行为的主要根源之一,漏洞分析技术是指利用一定的软硬件工具搜集、发现计算机软件漏洞的过程。近年来,网络安全环境不断恶化,美国花旗银行证实在2011年6月由于黑客利用软件漏洞入侵导致近36万北美地区的英航卡用户姓名、账号等信息被泄露。2011年底,CSDN用户名密码泄漏事件导致600万用户邮箱和其对应的明文密码被泄露。美国的软件漏洞分析技术一直处于国际领先地位,加州大学、斯坦福大学等著名院校进行了大量的研究工作,而微     

“心脏出血”警示信息安全

<正>4月上旬,全球许多知名网站被爆存在一个名为"心脏出血"的安全漏洞,这被称为史上最严重的网络安全漏洞。这个漏洞使得用户在许多互联网应用,包括网银中的账号、口令等重要信息会被人轻易窃取。"心脏出血"漏洞是怎么产生的?我们应如何应对?为此,本刊专访了中国科学院信息工程研究所信息安全国家重点实验室常务副主任林东岱研究员。     

治理社交网络乱象,应寻求全球共识

1月6日,大批示威者闯入美国国会,导致严重骚乱,社交媒体被认为在这起暴力事件中发挥了重要作用。1月8日,脸书公司宣布将无限期冻结时任美国总统特朗普的脸书和Instagram账号,随后推特公司以“存在进一步煽动暴力行为的风险”为由宣布对特朗普账号进行永久封禁,并关闭了上千个被认为是“若翼宣传平台”的账号。     

黑客“下海”

人人都不免陷入两难境地.假如你是个电脑黑客,你发现了某个软件中有个程序上的漏洞,如果这个漏洞被某些别有用心的人知道后,他们就有可能利用它来窃取钱财或个人信息.这项发现对你来说是件很值得炫耀的事,但是这种荣耀却不能给你带来财富,很多黑客因此而陷入了尴尬的境地.     

新媒体时代下的柬埔寨政坛博弈

正2015年9月,柬埔寨首相办公厅发布新闻公告称,为了加强与民众的互动,洪森首相开设脸书(facebook)官方账号"Samdech Hun Sen,Cambodian Prime Minister(洪森亲王,柬埔寨首相)"。此后,洪森充分利用脸书这一社交平台,介绍自己在政治、社会领域的观点甚至私人生活的点滴,与网民频繁互动。截至2015年底,洪森脸书的"粉丝"人数已突破173万人,且被列为全球领导人十大脸书之一。而据有关调查显示,     

德国法院裁定母亲可继承已故女儿脸书账号

正德国联邦最高法院近日就一名母亲申请继承已故女儿脸书账号一案作出裁决。法官认为,死者与脸书的合同是其遗产的一部分,因而应由其母亲继承。据报道,此案中的女儿于2012年在柏林地铁站跌落站台被撞身亡,之后她的父母一直在争取获准进入女儿的脸书账号,以期找到女儿可能死于自杀的答案。但脸书锁定了该账号,并将死者的账号页面变为悼念页面。     

浏览器中用户隐私的泄露问题分析

在浏览器中,含有大量的隐私数据,包括用户密码信息、个人信息、网银支付信息,然而,浏览器在该地隐私保护技术的应用上还存在一系列漏洞,很容易受到病毒、木马以及恶意软件的威胁,增加了信息泄露的概率,一旦遭到不法分子的窃取,往往会造成严重损失,近年来,由于浏览器用户隐私泄露引起的损失十分常见。该文主要针对浏览器中用户隐私信息的泄露进行分析。     

校园网中ARP攻击的分析及防御

近期校园网中频繁发现ARP欺骗和攻击行为,致使大面积的用户无法正常访问互联网,部分师生个人信息被窃取,针对此类问题,本文介绍了ARP协议固有的漏洞,分析了各种ARP欺骗和攻击方式的原理,并基于DHCP-Snooping和ARP-GUARD等技术,提出了一整套从网络接入层到核心层的防御办法。     

魔术师黑客——马斯克林

“黑客”指精通计算机技术,善于从互联网中发现漏洞并提出改进措施的人;也指通过互联网非法侵入他人的计算机系统查看、更改、窃取保密数据或干扰计算机程序的人。他们技术过硬、手段高超,有破解系统、网络及远程操控电脑的能力,有的让人爱,有的让人恨。历史上的首位黑客就让人又爱又恨。     

计算机网络中的用户口令保护

简要介绍了口令破解原理以及计算机网络系统中用户口令保护的技巧 ,并以LINUX系统为例 ,提出了口令保护策略 ,以提高计算机网络用户的安全意识 ,严防黑客的入侵。     

黑客雇佣军是耶?非耶?

数年以来,"好"黑客和"坏"黑客之间的界限一直很模糊。业内人士将黑客分为"黑帽"黑客和"白帽"黑客两种。黑帽黑客是那些攻入计算机系统,窃取机密信息,造成巨大破坏黑客,这些黑客从具有破坏性的活动中获取乐趣。而随着网络安全日益突出,计算机安全公司如雨后春笋般萌芽,它们开始雇佣白帽黑客作为安全顾问。黑客雇佣军开始形成。     

局域网的安全分析及防范措施

随着网络技术的普及,拥有局域网的单位增多,局域网可以实现与INTERNET连接,实现网络通信、资源共享和办公自动化.但由于局域网具有开放性、分布性等特征,任何人都可以通过计算机访问局域网络,这就可能有"黑客"攻击网络、破坏网络、传播计算机病毒,窃取保密的技术资料及数据等等,这样网络安全显得尤为重要.文章就局域网的安全性进行了分析,并提出了一些防范措施.     

ORACLE数据库用户口令和角色管理策略及改进

用户口令的保密性不高,造成口令的泄露以及在MIS系统中存在的应用系统和数据库系统用户权限管理不统一的问题,都给数据库的安全带来安全隐患。通过存储过程、函数、程序包和RBAC技术实现了ORACLE数据库用户口令的安全和前后台用户权限的统一。     

在无线网络中游走的黑客

在早期，黑客们会在公园、停车场转悠，甚至在电梯中徘以寻求无线网络的接口。在通常情况下，一旦某一黑客发现存在漏洞的网络之后，他就会在这家可怜的公司门外的人行道上用粉笔留下标记，这被称做“开战标记”，这样其他黑客就可以乘虚而入了。但是你知道这一游戏有多么危险吗？你又该如何自卫呢?     

Office XP惊现漏洞——黑客完全控制你的计算机

微软 (中国 )有限公司 2 0 0 1年 6月 19日在京宣布推出ＯｆｆｉｃｅＸＰ中文版 ,并且表示 ,它是该公司迄今为止功能最强大、最重要的ｏｆｆｉｃｅ产品。目前已受到越来越多的电脑使用者的喜爱 ,它的安全性也成为人们广泛关注的焦点 ,但是不尽人意的是 ,已有用户发现ＯｆｆｉｃｅＸＰ至少存在 2条重大漏洞 ,黑客可以利用他们完全控制用户的计算机。在此 ,作者愿与读者共同讨论 :1　在ＯｆｆｉｃｅＸＰ中编写的ＨＴＭＬ邮件中可以嵌入活动的内容 (包括对象和脚本 ) ,黑客可以利用这一功能攻击用户的计算机。这些包含在邮件中的脚本和嵌入对象将会在用户选择回复或转发该邮件时被激活 ,然后强迫用户访问特定互联网网站 ,这些网站很有可能包含不安全的代码。2　在微软传播表组件 (ｓｐｒｅａｄｓｈｅｅｔｃｏｍｐｏｎｅｎｔ)中有一个ｂｕｇ ,黑客可以利用它的帮助文件创建文件 ,或者使用Ｏｆｆｉｃｅ系统下任意一个打开的文件中的ｈｏｓｔ()函数的功能创建新文件 ,新创建的文件可以任意命名。这些新文件里面包含恶意代码。例如 ,黑客将可执行文件 ( .ｈｒａ)放入用户的启动组 ,借此可以获得用户的计算机上的完全控制权。由于该过程是一...     

网格中通过认证密钥交换协议实现的权限管理系统

网格中的授权管理有多种结构形式,本文利用基于口令的三方认证密钥交换协议（GPAKE）,实现了基于口令的授权访问控制协议,完成用户向资源管理员提出访问请求,直至获得访问权限进行安全访问的过程．整个系统中不使用证书机制,完全基于用户口令,为用户提供了最大的使用便利．这样的系统提供的安全强度低于GSI等基于证书的架构,面临了字典攻击、猜测口令攻击等威胁,但由于系统的灵活性和便利性,可作为证书系统的补充应用于轻型网格等体系中．     

基于属性加密的匿名数据溯源方案研究

云存储的出现和发展为广大用户提供了数据存储的便利,然而在云存储的模式下数据存储在远程服务器上,用户对自己的数据缺乏访问控制能力,这给用户的数据隐私带来极大的安全风险:访问权限的控制不当、云存储服务器遭到黑客攻击、服务商内部恶意员工窃取等原因都有可能导致用户数据泄露,而用户却不能及时了解到数据泄露情况。针对以上可能出现的问题,提出了一种基于属性加密的数据溯源方法,不仅为数据提供了安全可靠的加密机制,而且增加了细粒度的访问控制,支持数据拥有者的匿名性和可溯源性,能够在未知数据拥有者身份的前提下保证解密顺利进行,能够在不泄露数据拥有者身份信息的前提下对其进行合法身份的验证,并能够在必要情况下,由授权中心对数据进行溯源得到其拥有者的身份。     

基于状态机的移动应用越权访问漏洞检测方法

为了解决移动应用平台缺乏权限验证所导致的越权访问问题,研究了一种基于状态机的移动应用越权访问漏洞检测方法。该文为不同角色的用户分别建立各自的有限状态机,并合成出移动应用的完整状态机。在此基础上,通过对完整状态机中的每个请求进行动态重构和执行结果分析实现越权访问漏洞的高效完备测试。选择企业内部移动应用进行实验,结果表明该方法能发现了隐藏的越权访问漏洞。检测方法能被用于准确地识别出越权访问漏洞。     

一种改进的跨域口令密钥交换协议

跨域的端到端的口令认证密钥交换(C2C-PAKE)协议,可实现不同区域的两个客户通过不同的口令协商出共享的会话密钥.首先对Byun2007的C2C-PAKE协议进行了描述,并针对其安全性进行了分析,发现该协议易遭受口令泄露伪造攻击的安全漏洞,提出了一种高效的改进的跨域口令认证密钥交换协议.该协议引入公钥密码体制能够有效抵抗口令泄露伪造攻击和不可检测在线字典攻击,且只需要6步通信.安全性分析表明该协议是安全有效的.     

全面分析黑客常用九种攻击方法

许多上网的用户对网络安全可能抱着无所谓的态度,认为最多不过是被"黑客"盗用账号,他们往往会认为"安全"只是针对那些大中型企事业单位的,而且黑客与自己无怨无仇,不可能轻易攻击自己。其实,在一无法纪二无制度的虚拟网络世界中,现实生活中所有的阴险和卑鄙都表现得一览无余。在这样的信息时代里,几乎每个人都面临着安全威胁,都有必要对网络安全有所了解,并能够处理一些安全方面的问题,只有这样,当威胁来临时,才能避免付出惨重的代价。