SLocker勒索软件的源码目前已经在GitHub上泄露，其可被用于开发出更高级的或定制化的勒索软件变种来进行网络犯罪，而最近的六个月里，新版本的数量已经增长了六倍，这对安卓用户来说并不是个好消息。SLocker是一个加密文件+锁屏的勒索软件，它会加密用户手机上的文件并且通过Tor使用C&C通信，一旦文件加密完成，它就会劫持用户的手机，让用户完全不能使用并且威胁他们支付赎金来解锁。在2016年，SLocker因为感染成千上万的安卓设备而出名，而截至今年五月份，安全研究人员已经发现了超过4
近期，来自斗象科技（Tophant）的安全研究员icez发现Struts2 showcase应用中存在远程代码执行高危漏洞。Struts2官方已经确认该漏洞（漏洞编号S2-048，CVE编号：CVE-2017-9791），漏洞危害程度为高危(High)。漏洞编号CVE-2017-9791S2-048漏洞影响Struts 2.3.x系列中的Showcase应用值得一提的是，showcase指的是一个应用，通常在路径 \struts-2.3.x\apps\struts2-showcase.war 中
0x01 判断SSRF漏洞目标example.com，根据其中csrf_token的样式，我猜测其为flask开发（当然也可能是一个我不太熟悉的框架使用了和flaskwtf相似的代码）：开着代理浏览了一遍整个网站的功能，功能点不多，比较小众的一个分享型站点。偶然间在数据包里看到url=，看了一下发现是一个本地化外部图片这么一个功能。这种功能很容易出现两种漏洞：SSRF漏洞XSS漏洞SSRF漏洞就不用多说了，在拉取外部资源的时候没有检查URL，导致可以向内网发送请求；XSS漏洞容易被忽略，拉取到目
漏洞分析漏洞最初是由neex提交到HackerOne平台，并最终获得了1000$的奖励，原文链接为 https://hackerone.com/reports/226756 。根据作者所述，该漏洞利用了FFmpeg可以处理HLS播放列表的特性，而播放列表可以引用外部文件。通过在AVI文件中添加自定义的包含本地文件引用的HLS播放列表，可以触发该漏洞并在该文件播放过程中显示本地文件的内容。 随后，Corben Douglas根据neex的报告，实现了该漏洞POC利用
思科上周修复了三款产品中的三个漏洞。如这些漏洞被利用，会导致出现拒绝服务、崩溃甚至是任意和远程代码执行问题。思科在上周三发布的安全公告中指出，思科修复的这三个漏洞均被思科标记为“高危”。其中一个问题是XXE漏洞，存在于思科Prime Infrastructure软件产品1.1至3.1.6版本中。该漏洞依赖管理员导入一个恶意XML文件。在基于web的用户界面中这么做会导致未经验证的远程攻击者获取对存储在易受攻击系统中数据的读取和写入权限，或者执行远程代码。思科强调称攻击者必须要有有效的用户凭证才能
OpenVPN上周修复了影响多个版本的多个漏洞，其中包括能被远程利用的漏洞。其中四个问题是由研究员Guido Vranken通过模糊测试发现的。在分析OpenVPN 2.4.2版本时，他发现并报告了上周发布的OpenVPN 2.4.3和OpenVPN 2.3.17版本中解决的四个安全问题。这四个重要问题中最重要的一个是有缺陷的IPv6包上的可远程可触发的ASSERT()，它可被利用远程关闭OpenVPN服务器或客户端。该漏洞编号为CVE-2017-7508，如果启用了IPv6和---mssfix
来自国外媒体The Register刚刚的报道，Windows 10内部构建项目及部分核心源码在网上泄露。The Register宣称，多达32TB官方、非公开安装镜像和微软蓝图（被压缩至8TB后）上传到了betaarchive.com。不过Beta Archive的管理员已经将微软非公开组件及构建项目从其FTP服务器和论坛上移除。泄露了些什么？国外媒体报道称，这些数据可能是今年3月份从微软系统中获取到的。这件事可能也因此成为Windows产品历史上最大规模泄露事件之一。报道称，泄露的代码为微软
严重的错误链可用于危及Linux，FreeBSD，OpenBSD和Solaris。研究人员发现，流行的Linux和Unix系统中已经发现严重的漏洞，可用于分解根源的障碍。
根据安全公司Qualys，“堆栈冲突”是一个主要的bug，与其他不太突出的缺陷相联系，这些缺陷与第一个错误相结合，可以用来破坏Linux，OpenBSD，NetBSD，FreeBSD和Solaris的内存进程，在i386和amd64上执行任意代码。
缺陷是由于称为堆栈的PC RAM中的存储区域而发生的。随着堆栈内存
数据安全公司UpGuard证实，亚马逊的云空间上存在一个1.1tb的美国选民数据库，其中几乎包含了所有2亿美国登记选民的个人信息，包括姓名、生日、家庭住址、电话号码、选民登记信息、种族和宗教信仰等详细数据。这些数据的来源据说与共和党帮助特朗普赢得美国总统大选有关。2016年大选期间，共和党花费1亿美元聘请三家公司处理选举数据，以影响和预测潜在选民的倾向。几乎泄露了超过全美人口百分之六十一的个人信息。数据来源是共和党全国委员会聘请的公司TargetPoint Consulting 、 Deep R
维基解密又公布了新一轮的Vault 7文档，这次详细说明了CIA通过利用无线设备中的漏洞用于监控目标系统互联网活动的一个框架。这个框架是“樱花盛开 (Cherry Blossom)”，据称是CIA在美国非营利机构斯坦福研究所（SRI国际）的协助下设计的，且是“樱花炸弹”项目的一部分。“樱花盛开”本质上是无线网络设备的远程可控制框架植入。这些无线网络设备包括路由器和无线访问点，而植入会利用路由器漏洞获取未经授权的访问并随后用自定义的“樱花盛开”固件替代路由器固件。维基解密指出，“植入设备Flytr