每日安全动态推送(4-11)

渗透技巧 1年前 (2023) admin

364 0 0

Tencent Security Xuanwu Lab Daily News

• www.bleepingcomputer.com:
https://www.bleepingcomputer.com/news/security/exploit-available-for-critical-bug-in-vm2-javascript-sandbox-library/

・ VM2 JavaScript 沙箱库是一个 JavaScript 库，多个软件使用它在虚拟化环境中安全地运行代码。该库旨在在 Node.js 服务器上的隔离上下文中运行不受信任的代码。该库被爆出存在漏洞CVE-2023-29017，它允许绕过VM2沙箱。 – SecTodayBot

• ChatGPT Leaks Samsung Data After Permitting ChatGPT at Semiconductor Plants:
https://cybersecuritynews.com/chatgpt-leaks-samsung-data/

・ ChatGPT的试用导致三星的部分机密泄漏，针对此事，三星已经在研究针对chatGPT导致的数据泄露泄露的解决方案，这是一款识别内部机密数据泄露的工具 – SecTodayBot

• [Tools] Burp VPS Proxy: Easy Cloud Proxies for Burp Suite:
https://github.com/d3mondev/burp-vps-proxy

・ Burp VPS 代理是一个 Burp Suite 扩展，它允许从 BurpSuite 中自动创建和删除流行云提供商上游 SOCKS5 代理。它会自动将 Burp 配置为使用创建的代理，因此所有出站流量都来自云 IP 地址。这有助于防止我们的主要 IP 地址在执行渗透测试和漏洞赏金猎人时被流行的 WAF 列入黑名单 – SecTodayBot

• [Web] Self-Extracting Archives, Decoy Files and Their Hidden Payloads:
https://www.crowdstrike.com/blog/self-extracting-archives-decoy-files-and-their-hidden-payloads/?utm_medium=soc&utm_source=twtr&utm_term=spklr&utm_content=9388227764&utm_campaign=%5Bglobal%5D&utm_activation=corporate+blog

・自解压 (SFX) 存档文件是可执行文件，其功能是将要存档的内容附加到解压缩程序存根中，这是在运行文件时执行的内容，研究者发现SFX可用于做持续驻留并绕过部分安全软件。 – SecTodayBot

• With ICMP magic, you can snoop on vulnerable HiSilicon, Qualcomm-powered Wi-Fi:
https://go.theregister.com/feed/www.theregister.com/2023/04/07/wifi_access_icmp/

・在至少 55 款 Wi-Fi 路由器型号中发现可能会被不法分子利用来监视通过无线网络发送的受害者数据。该漏洞源自海思和高通NPU。 – SecTodayBot

• SushiSwap hacked, Head Chef says ‘revoke all chains’:
https://www.theblock.co/post/225473/sushiswap-hack

・ SushiSwap 已成为漏洞利用的受害者，导致至少一名用户（在 Twitter 上称为 0xSifu）损失超过 330 万美元。该漏洞涉及 RouterProcessor2 合约上与批准相关的错误——PeckShield 建议在所有链上撤销该错误 – SecTodayBot

• Taiwanese PC Company MSI Falls Victim to Ransomware Attack:
https://thehackernews.com/2023/04/taiwanese-pc-company-msi-falls-victim.html

・宏碁的勒索软件泄露了 160 GB 的机密数据一个月后，宏碁确认其自己的 160 GB 数据遭到破坏，该数据在现已解散的 BreachForum 上发布广告出售 – SecTodayBot

• [Tools] README.md:
https://github.com/user1342/Obfu-DE-Scate

・ ObfuDEscate 是一款用于 Android APK 的去混淆和相似度比较工具，它使用模糊比较逻辑来识别两个不同APK功能之间的相似性。 – SecTodayBot

• [Tools] GitHub – f/awesome-chatgpt-prompts: This repo includes ChatGPT prompt curation to use ChatGPT better.:
https://github.com/f/awesome-chatgpt-prompts

・ Awesome ChatGPT Prompts – 与 chatGPt 模型一起使用的提示示例集合 – SecTodayBot

• endext: extracting all the possible endpoints from the JS files:
https://securityonline.info/endext-extracting-all-the-possible-endpoints-from-the-js-files/

・ EndExt 是一个 .go 工具，用于从 JS 文件中提取所有可能的端点 – SecTodayBot

* 查看或搜索历史推送内容请访问：
https://sec.today

* 新浪微博账号：腾讯玄武实验室
https://weibo.com/xuanwulab