XSS Cheatsheet - 2021

以前有整理過各種 XSS 和安全性的文章,詳可見:

XSS 的防範要做完太難了,來看看 2021 又有哪些新要注意的地方~

閱讀全文〈XSS Cheatsheet - 2021〉

CVE-2021-3156 Sudo 安全漏洞

Linux 的 sudo 安全漏洞的問題,這次比較麻煩,只要能登入本機的,都有可能能得到 root 的權限。

  • sudo 影響的版本
    • Sudo versions 1.8.2 through 1.8.31p2 and 1.9.0 through 1.9.5p1 are affected.

閱讀全文〈CVE-2021-3156 Sudo 安全漏洞〉

Apple 與 Cloudflare 打造新 DNS:ODoH 來保護用戶隱私

現在網路上的資料幾乎都走 https 了,不過那些是資料面的,但是自己去看哪些網站,由 DNS 端還是可以洩漏出去(ISP 還是可以看到),於是 AppleCloudflare 打造新的 DNS 標準,來避免 ISP (網際網路服務供應商) 可以記錄看過哪些網站的資訊。

閱讀全文〈Apple 與 Cloudflare 打造新 DNS:ODoH 來保護用戶隱私〉

MySQL 使用 LOAD DATA INFILE 遇到 duplicate 與 secure-file-priv 解法

MySQL 想要 Import 大量資料進去資料庫,很常遇到 CSV 的資料需要做這種動作,MySQL 預設就可以使用 LOAD DATA 的方式來達成。

  • 註:此篇的 CSV 是使用 Tab 分隔的。

閱讀全文〈MySQL 使用 LOAD DATA INFILE 遇到 duplicate 與 secure-file-priv 解法〉

Docker Hub 有很多 Docker Image 可能有安全性問題

Docker Hub 是存放、分享 Docker Image 的地方,但是隨著 Docker Image 的數量越來越多,有很多會都有安全 性問題 (例如:超過400天沒有更新的套件),要使用的時候,需要多加注意。

閱讀全文〈Docker Hub 有很多 Docker Image 可能有安全性問題〉

Intel、AMD 處理器晶片的安全性漏洞 - 2020

CPU 的兩大品牌 Intel 和 AMD 近日都被爆出有漏洞,不過這些漏洞看來影響都還不算太嚴重。

  • 註:Intel 的 CSME 和 AMD Take A Way 的漏洞一起發布,然後昨天 Intel 又一個旁路攻擊(LVI) 發布。

閱讀全文〈Intel、AMD 處理器晶片的安全性漏洞 - 2020〉

使用 Cron 埋入後門 來執行 DNS 查詢的攻擊模式

現在入侵機器後,攻擊模式越來越多元了,連要做什麼事情的程式(一般至少會寫要去哪抓程式),都不直接寫在裡面了...

閱讀全文〈使用 Cron 埋入後門 來執行 DNS 查詢的攻擊模式〉

Warp:Cloudflare 提供 VPN 服務來 加速連線 和 安全性

Cloudflare 去年有在 Android、iOS 推出 1.1.1.1 的 App,可以讓使用者更快速的切換 DNS 設定,並保護隱私資訊。

現在推出 Warp 不只是要保護隱私,還希望可以加速連線 + 減少電量消耗(手機快速移動,多基地台切換,會快速消耗手機的電量)

閱讀全文〈Warp:Cloudflare 提供 VPN 服務來 加速連線 和 安全性〉

富士通 LX901 無線鍵盤 的資安漏洞

無線鍵盤通常都是在電腦接上 USB 2.4G 的接收器,相同規格的產品,就有可能可以遠端操作系統~

第一次看到無線鍵盤引發的漏洞,蠻新奇的~~ (這年頭連鍵盤滑鼠都得要注意安全.. XD)

此次漏洞還可以 replay,可以重播密碼。

閱讀全文〈富士通 LX901 無線鍵盤 的資安漏洞〉

利用作業系統 Page Cache 的旁路攻擊 - 2019

去年公佈 CPU Meltdown 與 Spectre 的攻擊手法,是利用 CPU 資料快娶的時間安排而可能造成資料外洩的情況,此手法(利用 Cache (此篇使用 Page Cache 分頁快取))在作業系統也是有可能會發生。

閱讀全文〈利用作業系統 Page Cache 的旁路攻擊 - 2019〉