旧泄露永不消亡:9300 多个 AWS 密钥仍然有效,而 dump 商店知道这一点
Truffle Security 重新验证了四年来公开泄露的 AWS 账户密钥,发现 88% 仍然有效,其中 768 个可完全控制企业账户。这对拥有 onion 基础设施的自托管者意味着什么。
安全
71 篇帖子关于不被钓鱼的简短实用笔记。不贩卖恐慌,只有清单。
最新笔记
最新优先供应链投毒波及 Rust 与 npm:两小时内出现在 build 脚本中的后门
被攻陷的维护者账户推送了恶意 crate 版本,其构建脚本会在编译时执行恶意软件;与此同时被投毒的 npm 包则投递了 AI 辅助的 Linux 后门。这类攻击如何运作,以及 lock 文件为何重要。
ToxicPanda 2.0 扩张至 349 个应用,并借 VPN 权限封死 Google Play
Android 银行木马 ToxicPanda 更新了 167 条外部命令、针对 349 个金融应用的覆盖层钓鱼,以及一个在激活期间切断受害者 Google Play 的 VPN 服务花招。
Zombie Card Attack:研究人员让过期 Visa 卡复活进行非接触支付
研究人员展示,中间人可以重写 POS 终端从过期 Visa 卡读取的有效期,让死卡完成真实购物。我们解释其机制、carding 圈如何注意到它,以及攻击的边界在哪里。
在信任一个 .onion 地址之前,如何正确验证它
onion 地址不是名字 - 它是公钥。错一个字符,你就坐到了陌生人的服务器前。关于验证,研究人员与运营者都说了什么。
假查封横幅:当警方通告成为骗局的一部分
假查封横幅为 exit scam 与钓鱼套件供料。AlphV 恶作剧的内幕、克隆 takedown 页面的解剖,以及能戳穿摆拍突袭的核对方法。
Playpen 与 NIT:重写 tor browser 安全的 FBI 那次入侵
2015 年,FBI 运营了 13 天 dark web 站点 Playpen,并用一个浏览器 exploit 揭开了 1000 多名访客的身份。NIT 是如何工作的。
一步一步验证 PGP 签名:导入、核对、识破伪造
一次 PGP 签名验证的实践巡游:安装 GnuPG、导入与核对密钥、验证 detached 与 clearsigned 消息 - 以及要避开的典型新手错误。
钓鱼镜像为什么有效:darknet 最可靠骗术的心理学与机制
假镜像窃取登录与充值,因为它们利用紧迫感、品牌信任与被投毒的链接列表。骗术如何运作 - 以及哪些习惯能击败它。
clipboard 劫持者:悄悄调换你加密地址的恶意软件
clipboard 劫持者守候复制的加密地址,并在毫秒间完成调换。为什么只看首尾字符已不再够用。
address poisoning 解析:相似地址如何掏空加密钱包
address poisoning 往你的交易历史里播种相似的地址,守候一次疏忽的复制粘贴。骗局如何运作、受害者失去了什么,以及为什么保存的地址簿会赢。
错一个字符:onion typosquatting 如何把用户送进冒名服务器
改掉 .onion 地址中的一个字符,tor 就会把你连到另一台完全不同的服务器。我们重新审视有据可查的相似域名活动,以及那些站得住的验证习惯。