跨站攻击

据国外媒体报道，因受到DDoS攻击影响，NeuStar公司的UltraDNS DNS管理服务在本周二瘫痪了数小时。

在默默感染全世界超过1500万台电脑之后，被微软研究人员戏称为“蠕虫模范”的Conficker蠕虫病毒即将露出其狰狞的面目。昨日，网络安全厂商360安全中心发布预警称，Conficker蠕虫病毒的作者很可能在4月1日起发动一场史无前例的全球性网络攻击。

随着网络与人们的生活的关系越来越密切，每个人电子身份的数量日益增多起来，但是与之相伴的是危险也呈上升趋势。面对这些，我们该怎么办呢？简单的身份信任架构能帮助解决这个问题吗？人们是否应该减少这些密码的数量？

在加拿大温哥华举行的CanSecWest安全会议上，同时举行了第三届Pwn2Own黑客竞赛，今年的目标是网络浏览器和智能手机。在竞赛的第一天，苹果的Safari、Mozilla的Firefox和微软的IE都显露了众多的安全漏洞而被黑客们成功攻破。

今年3月16日到20日在加拿大温哥华举行的CanSecWest安全会议上，将举行第三届的Pwn2Own黑客竞赛，今年的目标是网络浏览器和智能手机。成功攻破目标的参赛者除了得到高额奖金之外，还将直接获得自己攻陷的笔记本或手机。

在历年来开源的Web程序中，被披露最多最严重的安全漏洞一直是SQL注射，为了减少SQL注射漏洞对各大网站造成的安全威胁，web安全研究组织80SEC在2008年编写了国内第一个脚本类IDS - MysqlIds，使用MysqlIds可以更好的、更有效率的帮助网站管理员和程序员抵御和检测Sql注射漏洞。

FireEye恶意软件智能实验室的Alex Lanstein，指出了去年10月被关闭的Intercage/Atrivo之后的恶意网络情形，其中，包括有臭名昭著的McColo——它是世界上许多垃圾邮件的发源地。他现已确认，这些恶意网络的“姐妹组织”仍在一些地方(比如乌克兰)运行。

针对卡巴斯基美国网站遭遇黑客攻击一事，卡巴斯基实验室官方网站10日发表声明，称此次某些黑客宣称的所谓攻击并未成功，黑客最终以失败告终。

像西部牛仔英雄一样，黑客实际上也有白帽和黑帽之分，白帽黑客是合法的黑客，其现实生活中的身份就是安全专业人士，他们的工作是寻找、测试和修补危机计算机的漏洞，让狂野的互联网更加安全。

面对各种木马攻击热潮，众多杀毒软件显得格外疲惫，很难招架如此猛烈的攻击。于是笔者从网上找到了一款比冰刃更加优秀的反病毒辅助查杀工具，它就是集成最为流行的HIPS主动防御功能的天琊。

曾几何时，冲击波病毒在一周内攻击了全球%60的Windows用户，使受害者电脑反复重起。而如今Ms08-067漏洞的出现，很有可能会赶超冲击波病毒，目前有不少菜鸟也已开始对其漏洞实施攻击了，因此受此漏洞危害的用户将会越来越多，下面笔者将会客串一把黑客，来玩玩这风靡全球的Ms08-067漏洞，同时还将会把其防御措施“奉贤”给大家，以免我们自己因其漏洞而被他人入侵。

XSS(Cross-site scripting)攻击是最常见的Web攻击之一，和其它Web攻击类似的是，XSS也是利用Web页面编码的不严谨，和SQL注入漏洞所不同的是，XSS漏洞更加难以发现避免。就连McAfee、Symantec、VeriSign这种专业安全公司，也在2008年1月的XEED.com报告中被爆出官网存在XSS漏洞。

根据一项最新调查，相比去年，今年针对ISP及其客户发动的分布式DoS攻击，规模几乎获得了成倍增长。

最近笔者在网上看到一个新文章《JSESSIONID Regeneration in Struts 2》，讲的是一段代码，在STRUTS 2框架中，防御Session Fixation攻击。笔者比较老土，看不懂英文，还好能看懂代码，发现这是一种平时开发中(至少自己是这样)，从来没注意过的攻击。

对于中小型企业来说病毒问题，黑客问题越来越让网络管理员烦恼，网络中充斥着简单容易用的黑客攻击攻击，很多人都通过漏洞扫描工具实现攻击企业内部计算机和服务器的目的，甚至一些内部无聊者也会没事用扫描器扫扫内部网段，访问别人的隐私。目前来说使用IPS类入侵防御系统往往可以有效的追踪入侵者的足迹，正巧笔者所在公司购买了一套价格高昂的IPS入侵防御硬件系统，接下来笔者就将自己在日常维护与管理过程中遇到的几次真实的追踪入侵者的经历写出来和各位IT168安全频道的读者分享。

2008注定是不平凡的一年，在网络安全界也是一样。2008年初，SQL群注事件使得SQL注入重新成为网络安全界的一个关注焦点，机械化的注入工具出现，数以十万计的网站在数天内被攻击。

安全专家最近发现，著名社交网站Facebook的用户有可能会被黑客利用，将其计算机加入到僵尸网络中，进而发起拒绝服务攻击。

近日一个IT专家表示，不同国家必须联合起来反对日益增多的网络恐怖袭击安全威胁，使人想起最近发生的俄罗斯黑客针对格鲁吉亚的“网络战”。

单单2008年第一季度，就有1474个不同的软件脆弱点报告上来，只有64个发布了相应的解决方案。也就是说解决率大约只有4%。由于软件和系统安全方面议论纷纷，计算机业界似乎完全处于一片混乱之中，这让许多人问道：“我的系统有多脆弱？”

早在几天前，听到同事说“朋友msn发来一个网页，自己输入了密码，结果过了几天后，MSN密码错误，可能是被盗了。”当时还问同事要地址，他却说找不到地址了。几天后朋友说看到幻影发出了msn跨站代码，于是自己下载exp研究半天，终于利用成功。