关于SSH加密和连接的若干事儿

概述

SSH全称secure shell,是一种网络传输协议,是最常用的安全管理远程服务器的协议和工具集。SSH协议中使用多种加密技术保证在用户终端和服务器之间建立加密安全连接,连接双方通过互相握手验证,并通过加密的通道传递管理命令和执行结果。

本文中,虫虫将以此为话题和大家一起学习下SSH协议中涉及的基础加密技术以及怎么利用这些技术构建安全的通讯。此信息可用于了解各种常见的加密技术,SSH加密层、安全连接构建步骤以及双方互相验证步骤能内容。

继续阅读

挥手OpenSSL,谷歌公开其取代软件Tink

 

1.jpg

要说一个软件对IT和互联网业界影响力,恐怕OpenSS要算上一个。一个主要版本还不到V1.2的软件(V1.1.1为刚刚发布的LTS长期支持版本),占据了整改互联网底层安全核心。SSH、HTTPS,还有其他很多软件的安全加密算法都是离不开OpenSSL。

但是这么一个非常重要的基础软件,却在管理上和经费上曾爆出问题,以至于当2014年爆发心脏出血时候,整个业界,整个互联网、技术圈内的,甚至非技术圈内的也都震动了,其余波到现在还有影响。

2.jpg

为了克服OpenSSL带来的问题,OpenBSD Fork了一个新的软件LibreSSL,以确保SSL的库不会再出问题,基于OpenBSD的二十年积累下来的安全口碑,虫虫认为这是一个非常好的替代。同时各大公司也推出自己的SSL安全库,比如亚马逊的s2n。

继续阅读

爱上命令行并深入

命令行是一个强大的工具,而我们大多数却都不会用,可以说没有命令行的世界等于你失去了一多半的乐趣和技能。

本文虫虫和大家一起来聊聊命令行,并教大家一起来学习命令,不管你是运维、开发、测试、DBA,甚至是项目经理、PM都能通过命令行获得很大的裨益。当然我们主要是以开发了主要受众来举例子说明。

继续阅读

是时候迁移到Java 11了,Java 8到11迁移实战

是时候迁移到Java 11了,Java 8到11迁移实战

JDK 8将停止支持

是时候迁移到Java 11了,Java 8到11迁移实战

Oracle JDK 8将于2019年1月(从现在起153天)停止发布公共更新,时间不多了,所以虫虫认为现在是最好的时机迁移到最新版JDK版本,享受新版本的各种黑魔法和新功能了。

另外,在虫虫以前的文章中也提到过,从JDK 11开始,其发布周期变为每6个月一个新版本,每3年发布一个新的LTS版本(下一个是JDK 11)。

值得一提的是,发布的公开使用的Oracle JDK将支持OpenJDK源代码进行编译而无需更改。

继续阅读

微软如何让我对C 和.NET 重拾旧爱

“为什么你会想要使用ASP.NET,还活90年代?”,几年前,当我提出考虑要在一个项目中使用ASP.NET时候,我的一位老同事的回应。当时我很大程度上认同他的看法。微软雇佣了一个伟大的程序员,开发了一个伟大的语言,创建了一个伟大的Web框架和IDE工具,但人们仍然不太满意。那次我们最终没有为该项目使用ASP.NET的主要原因是因为语言和框架的封闭模式。使用ASP.NET意味着为我们的服务器必须支付Windows服务器许可证费用,或者为了让我们的C#应用程序跑在Linux上,我们就必须的使用Mono,一个漏洞百出,需要填很多的坑的不成熟的玩具。

继续阅读

Window远程桌面(RDP)安全基线审计

对于IT人员和Windows用户,Windows远程桌面协议(RDP)是常用的便利工具,可以交互式使用或管理远程Windows的服务器。然而这也是一扇被有心人惦记着的大门,如果管理不当,你的系统轻则被攻陷丢失信息,文件勒索,甚者被当做肉鸡去Ddos攻击别人,当做跳板去干别的坏事。

Window远程桌面(RDP)安全基线审计

继续阅读

Perl 6 发布新版本 Rakudo Star 2018.01

1 月 29 日,Rakudo 和 Perl 6 开发组在官方博客 http://rakudo.org/ 发布消息,宣布 Rakudo Star 2018.01 生产版本正式发布。其源码包已经可下载,

下载地址:https://rakudo.perl6.org/downloads/star/

Windows 二进制安装包,MAC 二进制安装包稍后会在同一地址提供下载。

继续阅读

linux Libc Realpath缓冲区下溢漏洞(CVE–2018–1000001)预警

最近OSS-SEC邮件组披露,Linux基准Libc函数库中的Realpath函数存在缓冲区下溢漏洞,CVE编号为CVE-2018-1000001。漏洞的产生是由于GNU C库没有正确处理getcwd()系统调用返回的相对路径,并且没有对缓冲区边界进行检查,其他库也很可能受此影响。

该漏洞为高风险漏洞,可直接用于Linux本地提权,目前已经有攻击EXP公开,相关机器应尽快完成相应更新。

继续阅读

关于Mysql CVE-2018-2696,CVE-2018-2591,CVE-2018-2562 漏洞的预警

Oracle官方近日发布安全公告 ,公告修复MySQL服务25个安全漏洞,在这些安全漏洞中,影响较大的CVE-2018-2696漏洞可以在无需认证的条件下,远程利用导致拒绝服务攻击。本次安全公告披露的安全漏洞数量较多,建议用户关注。

继续阅读

关于Android WebView跨域访问(“应用克隆”)漏洞

据腾讯玄武实验室研究,市面上 200 多款安卓应用中,27款 App 有此漏洞。漏洞列表及影响如下,其中18个可被远程攻击,9个只能从本地攻击。根据国家信息安全漏洞共享平台(cnvd)披露 ,截止到2018年1月9日,有11个 App 进行了修复,但其中3个修复存在缺陷。

攻击者利用该漏洞,可远程获取用户隐私数据(包括手机应用数据、照片、文档等敏感信息),还可窃取用户登录凭证,在受害者毫无察觉的情况下实现对App用户账户的完全控制。由于该组件广泛应用于安卓平台,导致大量App受影响,构成较为严重的攻击威胁。该“应用克隆”的移动攻击威胁模型是基于移动应用的一些基本设计特点导致的,所以几乎所有移动应用都适用该攻击模型。在这个攻击模型的视角下,很多以前认为威胁不大、厂商不重视的安全问题,都可以轻松“克隆”用户账户,窃取隐私信息,盗取账号及资金等。

继续阅读