学术研究

SSL MITM Attacks

版权声明:可以任意转载,转载时请务必以超链接形式标明文章原始出处和作者信息

最早了解到这个漏洞的话题是7月2号在securityfocus的邮件列表里看到有人问SSLv2的漏洞攻击demo,直到后来在大风的blog里看到了这篇《谁动了我的SSL》,才意识到这个漏洞比以往的几次SSL协议漏洞攻击更贴近实用,且真正撼动了SSLv2的协议安全性根基!

漏洞原理我就不多说了,正好今天在研究一个东西的时候查到了其他的一些SSL漏洞攻击的资料,索性一起整理打包到这篇blog里,权当存档一下。

剔除证书

Sniffing SSL Traffic using SSLStrip

Moxie MarlinSpike在Blackhat 09上演示了一种攻击SSL安全性的方法:把页面中的所有https://链接的URL替换成http://,然后通过中间人攻击转发服务器和客户端之间的通信数据。其关键要点是攻击者和客户端之间使用http明文协议,而攻击者和服务器之间使用https加密协议,因而攻击者就可以窃听到所有的客户端发送的数据。Moxie MarlinSpike的报告视频可以看这里,PPT在slideshare上也有。

其实在具体的攻击过程中还用到了一些看似不起眼的猥琐小技巧,比如favicon.ico替换、利用idn合法字符伪造钓鱼URL(例如:https://www.gmail.com/accounts/ServiceLogin?!f.ijjk.cn会被域名解析为:www.google.xn--comaccountsservicelogin-5j9pia.f.ijjk.cn)等等。

SSLstrip Tutorial: http://securitytube.net/SSLstrip-Tutorial-video.aspx

替换证书

利用的是CA注册机制的流程漏洞,小资金投入即可实现伪造证书的合法化。主要可以用于钓鱼攻击。当然了,如果你控制了代理服务器的话,则可以完美的实现中间人攻击。

http://wuhongsheng.com/it/2009/09/ssl-hijack/

强制减弱SSL加密算法强度

详细见邮件列表里的讨论:http://www.securityfocus.com/archive/101/512221/30/0/threaded。和基本中间人攻击法相比,我想主要优势在于客户端用户更不容易察觉到被人偷窥和做了手脚!

无线环境下的中间人攻击

通过域名污染、ARP污染的方式替换服务器证书。

http://www.slideshare.net/SecurityTube.Net/ssl-mitm-attack-over-wireless


btw: securitytube和slideshare真是好地方,各种教学、demo视频和PPT让人留连忘返。



Moxie MarlinSpike


原创文章,转载请注明: 转载自猪在笑 [ http://www.huangwei.me/blog/ ]
本文链接地址: http://www.huangwei.me/blog/2010/07/29/ssl-mitm-attacks/



[原创Zotero系列教程之四]奇技淫巧

版权声明:可以任意转载,转载时请务必以超链接形式标明文章原始出处和作者信息

以下结合自己的实践,分享我的一些Zotero使用技巧和经验,并将持续更新之。

  1. Zotero数据库同步
    虽然Zotero从2.0版本开始就已经有了数据库同步功能,但是官方的免费存储空间仅有100MB,从实用角度来看实在是不够。尽管Zotero也支持自建WebDAV服务器同步功能,但是说句实在话,我还是不太放心它的同步算法。建议使用Dropbox来进行数据库文件夹的同步,关于Dropbox的优点,月光博客已经有了一个较为全面的介绍。
  2. 导入/导出
    除了通过Zotero的菜单进行选择性的导入/导出之外,还可以直接拷贝整个Zotero数据库文件夹。建议采用压缩包的方式来进行整体搬迁,避免小文件太多,影响拷贝效率。
  3. 直接从网页中拖拽链接到Zotero
    我们经常会遇到Zotero无法识别网页文献中的附件链接或无法自动下载文献附件(通常是PDF文档)的情况,这个时候推荐使用Google Scholar ,当然直接Google也未尝不可。Google通常会收录和关联一些作者的个人站点或学校站点上的文献正文全文,从而免费获取文献全文。
  4. 使用CTRL+ALT+C或拖拽方式快速复制文献的引用
    快捷键是可以在Zotero的首选项中定制的,默认输出格式也同样在Zotero的首选项(导出->默认输出格式)中定制。
  5. 让Zotero索引PDF文档内容
    详细内容请参见Zotero官方文档pdf fulltext indexing的说明。通过索引PDF文档内容,可以让我们在Zotero中对数据库中的PDF文档进行全文检索
  6. 通过”激活高级检索
    默认情况下,Zotero的快速检索功能在文件夹中文献数量较大时会反应非常慢。而先输入”,在输入检索词进行检索将大大提高检索速度!
  7. 快速定位文献所属分类(Collection)
    鼠标选中文献,在Windows下通过按住CTRL键,在Linux下通过按住ALT键可以快速在Zotero的左侧导航窗口高亮显示当前文献所属的分类。
  8. 巧用检索保存功能
    检索保存是一个非常赞的设计!经常使用Google Docs的人应该了解这个功能的妙处。我一般常用的两个检索保存应用,一个是“最近N日內新添加的文献”,另一个是“XX作者发表的所有文献”。前者可以让我保持文献管理的持续性,保证所有添加的文献得到及时整理和阅读。后者可以方便了解某领域內的一些前沿大牛的研究趋势和方向。
  9. 一次标记多个文献
    确保Zotero左侧导航窗口的标签选择器可见,在Zotero主窗口中通过CTRL键或SHIFT键选中多个文献,拖拽到想要批量添加的标签上即可。类似的方法可以一次将多个文献加入到一个分类中。
  10. 使用一个独立文件夹存放信息不完整的文献
    每次新增加文献时,不要直接加入到某一个分类(文件夹)中,而是使用一个独立的分类来存储所有需要后续完善和整理的文献。类似的,还可以建立一个专门的toread文件夹,用于收集所有近期待阅文献。如果需要将一个文献移出一个分类,而保留在其他分类中,切记要使用“移除所选条目”。
  11. 获取文献的被引用次数
    通常,我们认为一个文献被引用次数越多,说明该文献具有越高的重要性,许多经典文献的引用次数都是成百上千的!为了不错过本学科内的一些重要文献,我们一般会重点研究一下这些高引用次数文献。Zotero Scholar Citations就是提供这项功能的一个Zotero插件!该插件支持对Zotero中已经存档的文献实时更新被引用次数(通过后台查询Google Scholar获得统计数据)。由于Zotero在设计时并未考虑“被引用次数”这个字段,因此Zotero Scholar Citations的作者使用了Zotero中的一个保留字段:“Call Number(编目号码)”来记录“被引用次数”。

原创文章,转载请注明: 转载自猪在笑 [ http://www.huangwei.me/blog/ ]
本文链接地址: http://www.huangwei.me/blog/2010/02/21/zotero-tips/



2010 CWE TOP 25

版权声明:可以任意转载,转载时请务必以超链接形式标明文章原始出处和作者信息

一年一度的CWE TOP 25又更新了,今年的CWE TOP 25进行了重大改进,抛弃了2009版中的按照“弱点”分组、无排名先后顺序的组织方式,引入了新的“票选”机制,引入排名,去除了大量过于抽象的CWE编目,强调可操作性和安全改进建议的一致性、细节和可理解性等。

2010版CWE TOP 25排名表格

Rank Score  CWE-ID      Name
[1]      346    CWE-79      Failure to Preserve Web Page Structure (‘Cross-site Scripting’)
[2]      330    CWE-89      Improper Sanitization of Special Elements used in an SQL Command (‘SQL Injection’)
[3]      273    CWE-120    Buffer Copy without Checking Size of Input (‘Classic Buffer Overflow’)
[4]      261    CWE-352    Cross-Site Request Forgery (CSRF)
[5]      219    CWE-285    Improper Access Control (Authorization)
[6]      202    CWE-807    Reliance on Untrusted Inputs in a Security Decision
[7]      197    CWE-22      Improper Limitation of a Pathname to a Restricted Directory (‘Path Traversal’)
[8]      194    CWE-434    Unrestricted Upload of File with Dangerous Type
[9]      188    CWE-78      Improper Sanitization of Special Elements used in an OS Command (‘OS Command Injection’)
[10]    188    CWE-311    Missing Encryption of Sensitive Data
[11]    176    CWE-798    Use of Hard-coded Credentials
[12]    158    CWE-805    Buffer Access with Incorrect Length Value
[13]    157    CWE-98      Improper Control of Filename for Include/Require Statement in PHP Program (‘PHP File Inclusion’)
[14]    156    CWE-129    Improper Validation of Array Index
[15]    155    CWE-754    Improper Check for Unusual or Exceptional Conditions
[16]    154    CWE-209    Information Exposure Through an Error Message
[17]    154    CWE-190    Integer Overflow or Wraparound
[18]    153    CWE-131    Incorrect Calculation of Buffer Size
[19]    147    CWE-306    Missing Authentication for Critical Function
[20]    146    CWE-494    Download of Code Without Integrity Check
[21]    145    CWE-732    Incorrect Permission Assignment for Critical Resource
[22]    145    CWE-770    Allocation of Resources Without Limits or Throttling
[23]    142    CWE-601    URL Redirection to Untrusted Site (‘Open Redirect’)
[24]    141    CWE-327    Use of a Broken or Risky Cryptographic Algorithm
[25]    138    CWE-362    Race Condition

2009版CWE TOP 25的思维导图

2009 CWE TOP 25 思维导图

点击看大图

2010版CWE TOP 25相比2009版的主要改动

2009              2010
CWE-20       high-level root cause; now covered in Monster Mitigations
CWE-116     high-level root cause; now covered in Monster Mitigations
CWE-602     high-level root cause; now covered in Monster Mitigations
CWE-250     high-level root cause; now covered in Monster Mitigations
CWE-119     high-level class; replaced with lower-level CWE-120, CWE-129, CWE-131, and CWE-805
CWE-259     Replaced with higher-level CWE-798
CWE-73       high-level root cause; now covered in Monster Mitigations
CWE-642     high-level root cause; now covered in Monster Mitigations
CWE-94       high-level; CWE name and description also caused improper interpretation of the types of issues it intended to cover.
CWE-404     high-level; replaced by children CWE-772 and CWE-672
CWE-682     high-level; replaced by children CWE-131 and CWE-190
CWE-319     replaced with its parent, CWE-311

参考文献

[1]http://cwe.mitre.org/top25/pdf/2009_cwe_sans_top_25.pdf
[2]http://cwe.mitre.org/top25/archive/2010/2010_cwe_sans_top25.pdf


原创文章,转载请注明: 转载自猪在笑 [ http://www.huangwei.me/blog/ ]
本文链接地址: http://www.huangwei.me/blog/2010/02/20/2010cwe25/



[原创Zotero系列教程之三]整理和检索文献

版权声明:可以任意转载,转载时请务必以超链接形式标明文章原始出处和作者信息

本文将介绍在Zotero中进行文献的整理、组织和检索的方法,通过合理的利用Zotero提供的文献组织方法可以极大的提高我们文献检索的效率、精度和广度,而根据不同的检索需求采用合适的检索方法可以方便我们在写作论文时节省大量的论文印证查找时间。

Zotero支持两种主要的文献组织方式:分类(Collection)和标签(Tag)。分类支持层次化组织,因此从形式上更像是传统的目录结构。但和目录不同的是,一个文献可以同时属于多个分类,而在Zotero的本地SQLite数据库中只存储一份物理文件,所有的文件在默认没有分类的情况下都隶属于“我的书库”(My Library)。标签是对文献的一种标记命名,一个文献可以有多个标签,也可以没有标签。在Zotero的左侧窗口中可以按照标签进行文献的快速过滤筛选。

在Zotero中,一个文献可以添加多个附件、笔记。附件的类型包括4种:

  • 附加当前页的快照:类似“网页另存为”功能,保存后无需联网即可本地查看当前网页。
  • 附加当前页的链接:类似收藏夹功能,保存的只是当前网页的链接。需要查看时,必须联网。
  • Attach stored copy of File…:直接在本地存储文件,该文件会存储在Zotero数据库所在目录中。可以在本地文件系统上找到。
  • Attach Link to File…:类似收藏夹功能,保存的只是当前文件的URL地址。因此,一旦文件移动,则无法打开文件。

当然也可以在Zotero中直接存储网页快照、网页链接、任意文件附件、文件的链接地址,但是对于文献管理来说,通常还是以文献+附件的方式更利于后期在写作过程中的文献印证。

Zotero从2.0版本开始,支持富文本编辑功能的笔记记录。

Zotero对所存储的文献支持单条件排序、按文献名的基本检索和任意条件组合的高级检索。值得一提的是,Zotero支持将高级检索的检索条件进行保存,方便今后随时查阅。因此,也可以把这种查询条件保存功能看作是第三种文献组织方式。当然,我个人还是比较推崇分类方式来组织文献,其次是使用标签,最后才是使用高级检索条件的保存功能。

以下继续使用屏幕操作录像的方式详细介绍“在Zotero中进行文献的整理、组织和检索的方法”。

全屏观看演示地址


[原创Zotero系列教程之二]获取文献的方法

版权声明:可以任意转载,转载时请务必以超链接形式标明文章原始出处和作者信息

关于Zotero获取文献的方法,Zotero官网上已经有了一些视频教程,但这些视频在中国大陆地区可能会访问不稳定。国内也有一些网友写了一些关于Zotero的使用心得和教程,但数量较少。本文将通过一个操作录像来完整介绍一下Zotero获取文献的方法。

全屏观看演示地址


[原创Zotero系列教程之一]基本功能和安装

版权声明:可以任意转载,转载时请务必以超链接形式标明文章原始出处和作者信息

基本功能

Zotero是一个Firefox扩展,用来收集管理引用你的研究资源。具体功能和特性列表如下:

Features

  • 自动捕获引用(Automatically capture citations
  • 远程备份和同步你的图书馆(Remotely back up and sync your library
  • 存储PDF文档、图片和网页(Store PDFs, images, and web pages)
  • Word和OpenOffice中交叉引用 Cite from within Word and OpenOffice
  • 支持任何语言的富文本笔记(Take rich-text notes in any language)[2.0版本引入的新特性]
  • 广泛的导入/导出选项(Wide variety of import/export options
  • 免费开源可扩展Free, open source, and extensible
  • 群组图书馆协作(Collaborate with group libraries
  • 按照集合和标签组织(Organize with collections and tags
  • 从任何地方访问你的图书馆(Access your library from anywhere
  • 自动从PDF中获取元信息(Automatically grab metadata for PDFs
  • 支持上万种参考文献样式Use thousands of bibliographic styles
  • 即时搜索PDF文档和笔记(Instantly search your PDFs and notes
  • 高级搜索和数据挖掘工具(Advanced search and data mining tools
  • 多语言界面支持超过30种语言(Interface available in over 30 languages
  • 推荐引擎和RSS订阅(Recommendation engine and RSS feeds

同类软件

安装


Get Zotero

推荐从官方网站上下载最新的2.0版本,不要去Mozilla的扩展更新主页上下载旧版本。安装过程和其他的Mozialla扩展安装方法无异。

插件目录

Linux: /home/当前登录用户名/.mozilla/firefox/随机8位数字和英文字母组合.default/extensions/zotero@chnm.gmu.edu

Windows:C:\Documents and Settings\当前登录用户名\Application Data\Mozilla\Firefox\Profiles\随机8位数字和英文字母组合.default\extensions\zotero@chnm.gmu.edu

本地数据库存储位置配置

Zotero的首选项配置->高级->自定义:选择“存储位置”,建议多系统用户可以选择一个都可以访问的分区上的目录来共享Zotero的数据库。

参考资料

推荐阅读官方网站上的丰富文档,同时还有很多视频教程在官方网站上供观看。


i.e? e.g?

版权声明:可以任意转载,转载时请务必以超链接形式标明文章原始出处和作者信息

刚才在写paper时突然脑子眩晕,搞不清i.e和e.g到底有什么区别了,感觉都是“例如”的意思。e.g.没有问题,肯定是例如了。但i.e.呢?不敢含糊,Google了一下,bingo! I came across with this post.

摘录其中几段关键的分析记录一下:

I.e. and e.g. are both abbreviations for Latin terms. I.e. stands for id est and means roughly “that is.” E.g. stands for exempli gratia, which means “for example.” “Great. Latin,” you’re probably thinking. “How am I supposed to remember that?”

But by now, I’m sure you know that I’m not going to ask you to remember Latin. I’m going to give you a memory trick! So here’s how I remember the difference. Forget about i.e. standing for “that is” or whatever it really means in Latin. From now on, i.e., which starts with i, means “in other words,” and e.g., which starts with e, means “for example.” I = in other words. E= example.

这下好了,不会忘记了。


原创文章,转载请注明: 转载自猪在笑 [ http://www.huangwei.me/blog/ ]
本文链接地址: http://www.huangwei.me/blog/2010/02/02/i-e-e-g/



计算机类会议信息汇总整理

版权声明:可以任意转载,转载时请务必以超链接形式标明文章原始出处和作者信息

分享我的一些关于获取计算机类会议信息的渠道,帮助大家能够快速、全面的了解信息安全领域內的一些顶级会议、水会等等。

一、会议信息聚集网站列表

网站名称 URL 说明 综合评级
中国学术会议在线 http://www.meeting.edu.cn/ 教育部主办的网站,大杂烩,各个学科都有,不太适合快速提取信息 ★★★
WikiCFP http://www.wikicfp.com 国外的一个收集CFP的Wiki,信息更新频率很高,信息量太大 ★★★★
SemreX CFP http://grid.hust.edu.cn:8080/call/index.jsp 华中科技大学“服务计算技术与系统教育部重点实验室”开发的一个会议信息聚集网站,支持搜索、按会议时间、地点、主题的排序和过滤功能,重点推荐 ★★★★★

二、信息安全领域的顶级会议

以下表格摘自:http://faculty.cs.tamu.edu/guofei/sec_conf_stat.htm

Rank 1
S&P (Oakland)
IEEE Symposium on Security and Privacy
CCS ACM Conference on Computer and Communications Security
Crypto International Cryptology Conference
Eurocrypt European Cryptology Conference
Usenix Security Symposium
NDSS ISOC Network and Distributed System Security Symposium
Rank 2 ESORICS European Symposium on Research in Computer Security
RAID International Symposium on Recent Advances in Intrusion Detection
ACSAC Annual Computer Security Applications Conference
DSN The International Conference on Dependable Systems and Networks
CSF (CSFW) IEEE Computer Security Foundations Symposium.
Supersedes CSFW (Computer Security Foundations Workshop)
TCC Theory of Cryptography Conference
Asiacrypt International Conference on the Theory and Application of Cryptology and Information Security
IMC Internet Measurement Conference
Rank 3 SecureComm IEEE Communications Society/CreateNet Internation Conference on Security and Privacy for Emerging Areas in Communication Networks
DIMVA GI SIG SIDAR Conference on Detection of Intrusions and Malware and Vulnerability Assessment
AsiaCCS ACM Symposium on Information, Computer and Communications Security
ACNS International Conference on Applied Cryptography and Network Security
FC International Conference on Financial Cryptography and Data Security
SAC ACM Symposium on Applied Computing
ACISP Australasia Conference on Information Security and Privacy
ICICS International Conference on Information and Communications Security
ISC Information Security Conference
ICISC International Conference on Information Security and Cryptology
SACMAT ACM Symposium on Access Control Models and Technologies
CT-RSA RSA Conference, Cryptographers’ Track
SEC IFIP International Information Security Conference
WiSec
(WiSe, SASN)
ACM Conference on Wireless Network Security
Supersedes WiSe (ACM Workshop on Wireless Security) and SASN (ACM Workshop on Security of Ad-Hoc and Sensor Networks)
SOUPS Symposium On Usable Privacy and Security
IFIP WG 11.9 IFIP WG 11.9 International Conference on Digital Forensics
– Workshops below –
DFRWS Digital Forensic Research Workshop
FSE Fast Software Encryption workshop
PKC International Workshop on Public-Key Cryptography
NSPW New Security Paradigms Workshop
IH Workshop on Information Hiding
WSPEC Workshop on Security and Privacy in E-commerce
DRM ACM Workshop on Digital Rights Management
IWIA IEEE International Information Assurance Workshop
IAW IEEE SMC Information Assurance Workshop “The West Point Workshop”
CHES Workshop on Cryptographic Hardware and Embedded Systems
SRUTI USENIX Workshop on Steps to Reducing Unwanted Traffic on the Internet
HotSec USENIX Workshop on Hot Topics in Security
LEET
(HotBots,WORM)
USENIX Workshop on Large-scale Exploits and Emergent Threats
Supersedes HotBots (USENIX Workshop on Hot Topics in Understanding Botnets) and WORM (ACM Workshop on Recurring/Rapid Malcode)
Others (not ranked) ISPEC Information Security Practice and Experience Conference


  • GTalk with me!

  • 订阅我的博客

  •  

    2010年九月
    « 八    
     12345
    6789101112
    13141516171819
    20212223242526
    27282930  
  • Google朋友圈

  • 文章分类

  • 量子统计

  • Copyright © 1996-2010 猪在笑. All rights reserved.
    iDream theme by Templates Next | Powered by WordPress
    Page 1 of 11