每日安全动态推送(06-06)

Xuanwu Lab Security Daily News

• * [ Android ]  Android 6 月安全公告发布：

  https://source.android.com/security/bulletin/2018-06-01

  
  

• * [ Browser ]  Chrome 68 在检查更新时不再使用 HTTP 缓存：

  https://developers.google.com/web/updates/2018/06/fresher-sw

  
  

• * [ Browser ]  通过Chrome扩展应用 Read&Write 的同源策略绕过漏洞读取用户电子邮件，约 800 万用户受此影响： 

  https://thehackerblog.com/reading-your-emails-with-a-readwrite-chrome-extension-same-origin-policy-bypass-8-million-users-affected/index.html

  
  

• * [ Browser ]  A Methodical Approach to Browser Exploitation，Pwn2Own 2018 Safari 漏洞利用开发记录系列： 

  https://blog.ret2.io/2018/06/05/pwn2own-2018-exploit-development/

  
  

• * [ Data Breach ]  据报道提供 DNA 检测服务的 MyHeritage 公司泄露了 9200 万客户的用户数据: 

  https://threatpost.com/dna-testing-service-myheritage-leaks-user-data-of-92-million-customers/132528/

  
  

• * [ Hardware ]  安全处理器 Part 1：Secure Enclaves 及 Intel SGX 介绍与分析： 

  https://people.csail.mit.edu/devadas/pubs/part_1.pdf

  
  

• * [ Hardware ]  安全处理器 Part 2：对 Intel SGX 的安全分析及 MIT Sanctum 处理器的介绍： 

  https://people.csail.mit.edu/devadas/pubs/part_2.pdf

  
  

• * [ Industry News ]   macOS 10.14 Mojave 从 Mac App Store 中删除了软件更新选项并将其移回系统首选项：

  https://www.macrumors.com/2018/06/05/macos-mojave-software-update-in-system-preferences/

  
  

• * [ Industry News ]  苹果将在2018年底在所有 TLS 连接中强制验证证书透明度： 

   https://support.apple.com/en-us/HT205280

  
  

• * [ iOS ]  由于 getvolattrlist 未对范围进行检查，导致 MacOS/iOS 内核堆溢出(CVE-2018-2380)： 

  https://bugs.chromium.org/p/project-zero/issues/detail?id=1564

  
  

• * [ Linux ]  Linux Kernel < 4.16.11 - 'ext4_read_inline_data()' 内存破坏漏洞披露(CVE-2018-11412): 

  https://www.exploit-db.com/exploits/44832/

  
  

• * [ MachineLearning ]  为 SOC 建立机器学习模型：https://www.fireeye.com/blog/threat-research/2018/06/build-machine-learning-models-for-the-soc.html

  
  

• * [ macOS ]   MPTCP 中的边界检查错误导致 XNU 内核堆溢出(CVE-2018-4241)：

   https://bugs.chromium.org/p/project-zero/issues/detail?id=1558

  
  

• * [ Malware ]  Avast 发布了一系列固件中含有恶意软件的手机型号：

  https://docs.google.com/spreadsheets/d/1RXkReFfgyBhri-B5ZFsTPk8asRLi_MKtFQnbDYhpf50/edit#gid=0

  
  

• * [ MalwareAnalysis ]  针对 trojan banker 的详细分析：

  http://www.blackstormsecurity.com/docs/FOAATTB.pdf

  
  

• * [ Others ]  从网络钓鱼泄漏的数据寻找到基础设施：

  https://www.riskiq.com/blog/interesting-crawls/linking-infrastructure-phishing/

  
  

• * [ ReverseEngineering ]  逆向工程 VM Crackme：

  https://secrary.com/CrackMe/VM_1_MalwareTech/

  
  

• * [ SecurityProduct ]   F-Secure 反病毒软件受 7-Zip 漏洞影响导致的远程代码执行漏洞分析与利用:  

  https://landave.io/2018/06/f-secure-anti-virus-remote-code-execution-via-solid-rar-unpacking/

  
  

• * [ Tools ]  IoTSecurity101 - IoT 渗透测试方向资源收集仓库:

  https://github.com/V33RU/IoTSecurity101

  
  

• * [ Tools ]  Fuzzlyn - 针对 .NET toolchains 的模糊测试工具：

  https://github.com/jakobbotsch/Fuzzlyn

  
  

• * [ Tools ]  frida-scripts - 用于 Android 应用 hook 的 Frida 脚本收集：

  https://gitlab.com/roxanagogonea/frida-scripts

  
  

• * [ Tools ]  openzeppelin-solidity - 一个开源库，用于在 Ethereum 上编写安全的智能合约：

   https://github.com/OpenZeppelin/openzeppelin-solidity

  
  

• * [ Tools ]   如何将 Docker 镜像反转为 Dockerfile：

  https://samaritan.ai/blog/reversing-docker-images-into-dockerfiles/  

  GitHub:https://github.com/P3GLEG/WhaleTail

  
  

• * [ Tools ]  awesome-security - 网络安全方向的优秀资源收集仓库：

  https://github.com/sbilly/awesome-security

  
  

• * [ Tools ]  xxer - XXE 盲注辅助程序，使用 HTTP 和 FTP 来提取信息：

  https://github.com/TheTwitchy/xxer

  
  

• * [ Virtualization ]  基于虚拟化安全(VBS) 的内存飞地：通过隔离实现数据保护，来自 Windows Defender Security Intelligence：

  https://twitter.com/i/web/status/1004037648602845185

  
  

• * [ Vulnerability ]   Zip Slip 漏洞分析： 

  https://snyk.io/research/zip-slip-vulnerability

  
  

• * [ WirelessSecurity ]  Android Bluetooth RCE 漏洞(CVE-2018-9355) POC 发布：https://github.com/ScottyBauer/Android_Kernel_CVE_POCs/commit/2e2f6568701c6c064d5167a41a1c8bc18dfd837e

  
  

• * [ WirelessSecurity ]   hacking RFID/NFC 实践指南：https://www.slideshare.net/SlawomirJasek/a-2018-practical-buide-to-hacking-rfidnfc

  
  

• * [ Popular Software ]  Cisco Talos 披露视频管理软件 Ocularis Recorder 存在拒绝服务漏洞（CVE-2018-3852）：

• https://blog.talosintelligence.com/2018/06/vulnerability-spotlight-talos-2018-0535.html

  
  

• * [ iOS ]  iOS 流量监控分析: 

  https://juejin.im/post/5b1602906fb9a01e3542f08c

  
  

• * [ Windows ]  CVE-2018-8120 在 Windows 7 x64 环境下的漏洞利用分析：

   https://paper.seebug.org/614/

  
  

• * [ IoTDevice ]  智能家居设备的另一种打开方式——如何控制局域网中的小米设备: 

  http://blog.nsfocus.net/xiaomi/

  
  

* 搜索历史推送，请用 Google 以 site 关键词限定搜索，如： site:xuanwulab.github.io android fuzz

* 按天查看历史推送内容： https://xuanwulab.github.io/cn/secnews/2018/06/06/index.html

* 新浪微博账号： 腾讯玄武实验室（http://weibo.com/xuanwulab）