CIMB has issued a statement with regards to the security concerns raised by a number of its users alleging that the bank’s online banking portal and app are exposed to security vulnerabilities.

The statement is published here in verbatim:

CIMB Bank Berhad (“CIMB” or “the Bank”) would like to address recent

social media news on the alleged insecurity of its online banking portal, CIMBClicks.

Please take note that our CIMBClicks system remains secure and all customers’ transactions continue to be protected.

The bank would like to inform that it had, over the weekend, introduced a few additional measures to enhance the security of its CIMBClicks transactions.

Apart from ensuring that the system is now able to accommodate passwords longer than eight (8) characters and up to 20 characters, we have also added the reCaptcha security measure on CIMBClicks to

ensure the user is not a bot.

Statement from CIMB

We’ll continue to update this story as more information becomes available.

近年来，全球范围医疗机构屡屡发生信息盗取、网络攻击行为，医疗行业IT团队面临的网络威胁环境发生很大的变化，医疗信息系统的故障很大程度上影响医患矛盾发生的概率。为应对各类潜在的网络风险，厦门市儿童医院（复旦大学附属儿科医院厦门分院）采用了锐捷安全态势感知解决方案，并全面发挥其核心组件“RG-BDS大数据安全平台”的技术优势，结合医院现有的防火墙、入侵防御等一系列网络安全设备，构建了集“可发现”、“可协同”、“可预测”、“可度量”等特性的安全网络防护体系。

厦门儿童医院

医疗信息化不能“折翼”

厦门市儿童医院（复旦大学附属儿科医院厦门分院）系厦门市卫生和计划生育委员会管理的全民事业单位，是厦门市委、市政府重大民生工程项目，建设发展目标是建成集医疗、教学、科研、预防保健为一体的海峡西岸一流的三级甲等儿童专科医院。医院于2014年6月1日正式运营，围绕“互联互通、闭环管理、互联网+、创新应用、便民惠民”的思路开展“智能智慧”儿童医院信息化建设。按照互联互通测评、电子病历等级评价、JCI＆HIMSS评审认证标准与管理需求，建立信息集成平台、医疗云平台、三级安全等保体系、业务全流程监控平台、无线网络平台、远程医学平台及各类应用系统“七位一体”的数字化医院网络信息系统。

医疗服务质量的提升离不开信息化的助力，而应用体验与安全保障更是信息化的“一体两翼”。虽然近些年来以云计算、大数据、物联网、移动互联网、人工智能等为代表的新兴技术为医疗行业带来业务流程的再造与转型，但也产生网络安全边界弱化、黑客攻击手段多元化等一系列信息安全风险。特别是2017年爆发的WannaCry勒索病毒，对医疗行业危害巨大，这也直接暴露出传统信息安全防御体系在防护能力上的不足。为此，厦门市儿童医院开始利用网络安全态势感知技术，积极探索下一代安全防护体系。

医院信息中心应用了数据融合、数据挖掘、智能分析和可视化等新技术，直观显示网络环境的实时安全状况，为网络安全提供保障。同时，医院信息中心提出了兼容性需求，负责平台建设项目的工程师表示：“态势感知已经成为网络安全领域聚焦的热点，也成为网络安全技术、产品、方案不断创新、发展、演进的汇集体现，更代表当前网络安全攻防对抗的最新趋势。打个比方，态势感知系统相当于人类的神经中枢，防火墙、入侵检测系统等相当于神经元，而安全事件的处置过程则相当于神经传导与处理过程。因此，态势感知系统的建立并不是要一切推到重来，而是要与原有系统融为一体，类似‘脑力’升级。”

携手锐捷构架“态势感知”平台

在经过一系列的技术评估和综合测试之后，医院信息中心最终确定采用锐捷安全态势感知解决方案，利用其核心组件“RG-BDS大数据安全平台”实现核心能力升级。同时，锐捷网络充分结合医院现有的防火墙、入侵防御等一系列安全设备，为医院构建了集“可发现”、“可协同”、“可预测”、“可度量”四大特性的安全网络防护体系。

图2：安全态势感知核心能力

攻击行为可发现

医院信息中心利用RG-BDS大数据安全平台，通过对基础网络、中间件、业务系统、终端、安全设备等多维度安全攻击感知信息采集，结合深度分析、机器学习等关键技术，实现对用户网络中攻击行为的及时发现和精准定位，并通过攻击溯源、归并告警等多种方式进行可视化呈现，让网络中的攻击行为无处可藏。

图3：厦门市儿童医院网络设备接入一览

安全防护可协同

医院信息中心通过大数据安全平台的云端智能分析系统、安全知识库体系、安全专家咨询和工单跟踪闭环等机制，构建“人+平台+设备”的立体化主动防御安全体系，建设可协同防御的安全网络。

图4：安全知识库

威胁态势可预测

医院信息中心通过外部威胁情报同步、攻击趋势分析、业务曲线学习等机制，对未来威胁态势进行提前预判，同时结合预警发布、专家咨询服务等功能，实现网络未来威胁态势预测，并制定针对性安全防护解决方案。

图5：基于大数据统计的威胁态势预测

安全状态可度量

医院信息中心根据安全日志、漏洞、风险、脆弱性等权重综合评判现网安全状态，量化全网及业务的安全评分，并通过安全评分趋势、告警和工单处理等趋势图直观的呈现安全建设业绩，建设出可度量的安全网络。

图6：全网安全情况量化评分和大屏展示

“安全+运维”，IT建设迈向新阶段

医院信息中心林主任指出：“网络安全无小事，运维责任重如山，运维管理与网络安全是息息相关、密不可分。为进一步提高信息化管理效率、，我院将现有的IT综合运维管理平台(RG-RIIL)和大数据安全平台(RG-BDS)联动整合，在一个平台上实现从业务健康度、繁忙度、安全度等多层面进行统一监控和管理，真正构建“安全+运维”的一体化管理防护体系，大幅提升了整体信息化管理水平，让传统的运维管理工作焕然一新，助力医院信息化建设迈向新阶段。”

图7：IT运维驾驶舱

FIT中国首席信息安全官高峰论坛是CodeSec互联网安全创新大会（FIT 2019）的闭门高峰论坛。今年「智慧赋能安全变革」为主题，聚焦企业安全建设、物联网安全、人工智能安全、网络安全法等年度热点话题，深入探讨企业信息安全技术与实践应用。

本次的CSO高峰论坛精心准备了大量精华分享，让每一位前来的朋友都不虚此行。2018年12月11日，FIT 2019中国首席信息安全官高峰论坛圆满结束，作为一个小范围的闭门论坛，每一位嘉宾、听众都需要经过邀请方能参加，因此这满场知识点的重要性也不言而喻，虽然CSO高峰论坛并不似FIT大会一般高调，但其中也是干货满满。接下来，就让我们一起回顾一下这一场大会前瞻活动吧。

论坛伊始，斗象科技联合创始人兼CEO 谢忱（Thanks）登台发表开幕致辞，引出本次高峰论坛《智慧赋能安全变革》的主题。同时谢忱表示，CSO高峰论坛的意义在于， 众多安全负责人、业内精英齐聚一堂， 在一年的工作结束之际，共同探讨在工作中遇到的问题，具有年度框架性，专业性，拒绝天马行空， 注重实践精神，脚踏实地。

率先登场的是思科大中华区安全业务技术总监 徐洪涛，为现场带来了开场演讲――《浅谈企业入侵应对就绪》。再一次来到现场，徐洪涛回顾了上一次的分享并且对当前的企业网络安全发展趋势做出了展望，同时对思科前CEO钱伯斯先生致敬。

当企业遭到入侵成为了常态，作为企业该如何应对？徐洪涛认为，作为安全从业者，需要随时为不可避免的事情做好准备。在企业安全层面，安全的访问互联网是第一道防线，保护终端则是最后一道防线。在黑客到来之前，需要未雨绸缪，提前制定应急响应计划。并且提出了以“人”、“技术”、“流程”三点为核心的紧急事件响应关键组件，同时表示，在未来的安全领域中，零信任将会是非常关键的影响因素。

安全防护与攻击是一对矛盾体，二者几乎同时出现，共同发展，但安全防护手段往往滞后于攻击手段。随着攻击产业链日趋成熟，网络安全建设逐渐成为企业运营的掣肘时，该如何实现二者兼顾？斗象科技技术安全顾问 张志鹏带来《智慧运营-纵深监测与响应》主题分享。从企业安全纵深监测运营与响应的视角出发，结合大数据分析、机器学习等技术，提出安全解决方案。

从企业角度来说，如何快速的定位、解决问题，了解企业真正的痛点是什么，是当前安全领域的关注重点之一。多年的安全工作经验，以及工作中团队的研究成果，让张志鹏对企业安全有着独到的见解，他主张将安全旧思路与现下的数据整合、关联分析，形成新思维，帮助企业构建安全智慧运营。

著名经济学家薛兆丰曾经说过，经济学是研究“事与愿违”的规律的，而本次论坛中带来安全运维工作中“事与愿违”的分享的是央视网网络安全专家 黄乐，通过对现实世界的安全工作分享，给现场带来了不同于一般企业的安全角度和思路。

黄乐认为当前的企业安全，可以用两句话来概括：安全已经做的很好的企业不需要我们过多的关注，我们更应该关注的是处于刚起步阶段的；探索前沿的、艰深的技术是非常必要的，但是如何完美的实现“拿来主义”是很关键的因素。

黄乐表示，在安全这个圈子，这么多年过来已然知道了什么叫做“想象很美好，现实很残酷”。体系不完善、设备没配置、数据没人看等众多问题仍旧困扰着企业安全。他认为，清楚的了解行业现状，明确自身需求，抵挡新名词诱惑可以说是解决当前企业安全问题的破解之法，企业不要成为“事前成本太高，事后为时已晚”的样子。

业务压力大、缺钱少人、运维管理难度大等等众多问题，传统企业大规模数字化，但中小银行在信息建设方面仍存在不少的门槛，银行业务涉及的敏感数据越来越多，攻击也逐渐多样化，如何在人力、资金有限的情况下制定合理的安全策略，已是多数银行面临的问题。因此，江苏银行安全部经理 王心玉从实地出发，根据自身经验，带来《中小银行互联网安全防护》的主题分享。

王心玉通过自己在银行业的切身体验，分析了互联网安全的现状、困惑以及痛点，提出安全从业者应当像医生一样思考，主张有效防护、适度安全的理念，在合适的情况下合理借助外部资源。并且对业务线上化、线上移动化的互联网场景做出了分析与探讨。

无独有偶，本次参与论坛的还有另一位银行业大佬――来自恒丰银行信息安全中心的张爽，带来《可信安全众测在金融行业的探索与实践》主题分享。作为银行安全领域摸爬滚打十四载的资深从业人员，张爽表示自己见证了安全行业的发展趋势，从外患（如DDoS攻击）转变为（内忧）的历程。

张爽认为，当前的金融机构，尤其是涉及到互联网安全的企业，普遍处于缺人的状态。并通过对安全众测现状的分析，发现大多数金融机构都对众测持观望态度，对模式表示认可但出于安全考虑所以会拒绝众测方案。同时他还表示，持续的探索和落地的实践才能使得企业成长的更快。

2018年，全球互联网数据进一步呈现指数级增长之势，传统金融行业数字化转型基本完成。大大小小的安全问题也接踵而来，因此，CodeSec安全研究院与众多合作伙伴一起，通过大量的调研与分析，精心整理出年度的《金融行业应用安全态势报告》，并在本次大会的CSO高峰论坛上首次曝光。由斗象科技能力中心（TCC）负责人徐钟豪亲自讲解，为在长各位进行金融行业动态解读。

金融报告对一年以来的金融行业出现的各类安全事件进行统计，详细的指出了存在的问题，包括热门漏洞、经典案例、解决方式等。金融报告由行业专家和专业安全团队以及分析小组一起，对海量数据进行研究分析，深入了解金融行业面临的问题及成因。继“黑镜调查”、“短视频黑灰产”、“薅羊毛产业链”、“DDoS威胁与黑灰产”以及“网络博彩黑灰产”等报告后，CodeSec研究院又一份重磅调研正式发布。

经过业内专家与企业大佬的分享，本次活动的压轴环节到来――由数位行业精英组成的圆桌论坛，围绕《企业安全运营最佳实践与探索》展开讨论，企业安全领袖们汇聚一堂，开放头脑，共同探索企业安全运营中未知的部分。参与圆桌讨论的成员分别是：顺丰集团信息安全与内控负责人-刘新凯，卓越教育集团CTO-黄杰文，猎豹移动安全负责人-林鹏，思科大中华区安全业务技术总监-徐洪涛，知道创宇CSO兼404实验室总监-周景平（黑哥），以及浩鲸科技系统集成与专有云产品总监-张正锋。

近几年来，“智慧”、“智能”这些词汇在网络安全领域已是司空见惯，在日常企业安全运营中，如何将高新科技落地应用在安全工作中，是大家共同关注的问题。现场参与讨论的CSO们也都从安全领域的设计者、变革者以及创新者的角度谈到了自己理解下的企业安全。

企业安全运营既是工程科学，也是艺术创作，对于企业安全建设运营，如何分层设计或架构？由斗象科技COO同时也是主持人的Ruby率先抛出问题。“再大数据层面建立集中分析的平台”，“从传统防黑客的手段来进行安全体系的建设，落实安全制度需要相应的技术作为支撑”，“所在企业的文化，决定了安全团队独特与否，能够契合企业，做到最好的结果，利用力所能及的资源把事情做到最好”，“安全防护讲究料敌之先”，“平台自身内嵌的因素对网络基础架构的不同影响”，“零信任架构、AI技术”，“在网络安全领域大规模应用情报技术”……

每一位大咖都从自身的经验出发，对当前网络安全局势、企业安全状态发表见解，通过实例做出对比，甲方、乙方、技术人员、管理人员，每一位参与者都能够抒发胸臆，犹如百家争鸣、百花齐放。

短短一个下午，精彩纷呈，本次FIT 2019中国首席信息安全官高峰论坛圆满结束，同时也为FIT 2019互联网安全创新大会打好了一个完美的开局。不知道其他人是什么感受，在现场近距离聆听诸位业内大咖分享议题，近距离围观圆桌论坛，让小编意犹未尽，同时也对众多安全从业者怀有了更高的敬意。

本次大会还有更多的精彩内容，相信我，一定让你不虚此行。

*本文作者：Karunesh91，转载请注明来自CodeSec.Net

美国众议院能源和商业委员会发布报告，指出网络安全事件预防与缓解策略。作为众议院监督与调查委员会工作的一项总结，该报告囊括了来自众多简报、听证会、信件、报告和圆桌会议的结论，提出了改善漏洞防护的6项重点工作。

有效网络安全集成并未跟上互联网的快速发展，监督与调查委员会为期一年的分析发现了数种无关行业、规模和复杂程度的通用模式。

随着网络安全事件数量的增长，传统信息技术策略眼看着无法有效应对，监督与调查委员会聚焦网络安全事件两大根源，着眼找出公司企业可如何强化其网络安全能力的方法。

在新发布的报告中，委员会提出了6个应对网络安全事件的核心内联概念：

概念1：未知的未知总会存在。 概念2：你无法保护自己都不知道的所有物。 概念3：软件不再是编写出来的，而是集成的。 概念4：必须有一种通用的网络安全语言。 概念5：数字资产比实体资产衰老的速度更快，也更难预测。 概念6：网络安全需要动员“全社会”。

这6个概念引出了解决网络安全问题的6个重点：

重点1：广泛采纳协同披露项目。 重点2：实现联网技术软件材料清单。 重点3：支持与稳定开源软件生态系统。 重点4：保持通用漏洞与暴露(CVE)项目健康。 重点5：实现技术产品全生命周期支持策略。 重点6：强化公-私合作模式。

该报告对每个概念和重点都做了详尽的解释，也提供了委员会过去几年来一直关注的相关产品，可供作为实现这些策略的初始步骤使用。然而，正如委员会指出的，还有很多工作等待完成。

报告总结道：

每个概念和重点都代表着涵盖更广的一项网络安全挑战。单独实现其中一组概念-重点无疑能在某种程度上改善社会的整体网络安全状况，但委员会多年来的工作表明，每一组概念-重点互为补充，相互倚赖。

网络安全策略报告原文地址：

https://energycommerce.house.gov/wp-content/uploads/2018/12/12.07.18-Cybersecurity-Strategy-Report.pdf

Security Tokens are the latest hot topic in the craziness of the cryptocurrency ecosystem. Not only in the press, but also among investors who are savvy to find “the next killer application on the blockchain”. At TenX ( www.tenx.tech ), we recently announced our TenX reward token as a mix of a traditional and innovative investment vehicle. While defining this token both from a legal and regulatory perspective however, we did find several challenges that might make a scalable breakthrough for security tokens not as easy as hoped. So, let’s step into Alice’s crypto shoes and climb down the rabbit hole.

Photo credit: http://www.disneystoryoriginspodcast.com/07a-alice-in-wonderland-part-1/

During events all around the world where I speak on the status quo of TenX, the future of blockchain and how to become #cryptofit, I ask the question, whether the audience knows what this new overly hyped thing called a crypto security token might be. Mostly, less than 10% in the room do. With that in mind let’s first get an overview, of what we are actually talking about here:

What is a crypto security token?

According to Wikipedia, a token is “a thing serving as a visible or tangible representation of a fact, quality, feeling, etc.” ( https://en.wikipedia.org/wiki/Token ). In crypto terms we mostly call things tokens when such a representation is not its entire own blockchain, such as we have in a cryptocurrency like Bitcoin, but rather when it is part of an ownership on top of another blockchain. The most famous example are tokens on the Ethereum blockchain defined by the ERC20 standard ( https://theethereum.wiki/w/index.php/ERC20_Token_Standard ). Here, any creator does not have to establish their own blockchain, but can use the Ethereum infrastructure by defining six simple functions to generate a new token within minutes.

https://github.com/ethereum/EIPs/issues/20

The next question is, what such a token does or represents. To date, the large majority of all ERC20 tokens created are utility tokens, meaning, these tokens are used for some kind of service. One such example is a loyalty program, which is what we at TenX are using our PAY token for right now ( https://coinmarketcap.com/currencies/tenx/ ), but they can take other forms like a fictional key to a lock or other claims.

How do tokens get created?

Mostly this happens during Initial Coin Offerings (ICOs), where a token issuer (the company) creates these tokens at almost no cost and sells them to the public. This method has allowed token issuers to earn billions of dollars to date. Since most companies create these tokens to raise funds, it begs the question on why these tokens are created with utility functions and not, instead like during an IPO ( https://www.investopedia.com/terms/i/ipo.asp ), with security like properties. A security is a tradable financial asset where its value is derived from a contractual claim, such as bank deposits, bonds, and stocks and are usually more liquid than other tangible assets, such as commodities or real estate, and may be traded on financial markets ( https://en.wikipedia.org/wiki/Financial_asset ). Going for an IPO is mostly too expensive for a small startup, but especially over the past two years more and more voices came up asking why not create a crypto token that does represent some kind of ownership, right or claim against the company. This is what the crypto community has coined as crypto security tokens.

The major problem with this idea? Just like 90% in a room full of crypto enthusiasts don’t know what a crypto security is, neither do most regulators. The concept of mixing the best out of both worlds, namely the low cost and ease of regulation of the crypto markets on one hand and the possibility of creating a financial security with all its claims on the other hand, does not exist in any legal system. It is an idea that we entrepreneurs came up with in order to drive innovation. While I am personally pro “less regulation” in general, I do see the point on why in this case, some rules are necessary, especially to protect investors’ hard earned money. I am part of many regulatory blockchain workgroups all around the world, and no regulator I have ever raised this to, has an answer to what such a hybrid of non-security and security should look like ― yet.

For almost two years “word on the crypto street” was, that this problem will get solved. But today, at the end of November 2018, we are not much further in legally defining this idea, than we were over a year ago. Some companies have been attempting to create security tokens, so why not “just do it”? Because we have to answer the following question first:

“How does a secondary market work with security tokens?”

The primary market is during the STO (Security Token Offering), when the company sells the tokens to the public. Nevertheless, anyone who buys such a token, wants to have an exit strategy ― a plan on how to actually benefit from the token. Something that is completely illiquid is not worth much as anyone whose frozen assets worth millions of dollars might confirm to you when he cannot cash out the funds. We need a secondary market to do so, and for this we have to solve some questions first ― five, to be exact:

Question 1: What are the rules to transfer a token from Person A to Person B?

In order to send bitcoins from one person to another, one just needs to send it to the other person’s address. The same applies to utility tokens. When it comes to securities however, we need to consider KYC/KYB (Know your Customer/Business), age, residency etc. For example, a twelve-year old is not allowed to buy securities in most jurisdictions. How would such limits of transfer be enforced in a system that is open-source, borderless and censorship resistant by design? If I wanted to transfer Apple shares to another person it gets registered in a central database ― this gets completely flipped on top of its head when this database is decentralized. But, there is light at the end of the tunnel (hopefully not an oncoming train though…): The ERC token standard 1400 and its sister 1462, which is also the standard we are using for the TenX token would allow whitelisting of addresses for transfers and could solve this problem to stay compliant ― maybe even within 2019.

ERC 1400: The transfer of security tokens can fail for various reasons in contrast to utility tokens, where in general a transaction only fails because of insufficient account balance.

https://github.com/ethereum/EIPs/issues/1411

Question 2: How would exchanges handle deposits & withdrawals?

Trading security tokens on an exchange is quite straight forward from a KYC/KYB perspective, since they could require any user to get registered and verified upfront, similar to what most crypto exchanges are doing already anyways. However, how do tokens get onto an exchange and how could a user withdraw them. At the end it is: NYKNYM ― Not Your Keys, Not Your Money ― and the crypto ecosystem participants like to stay in control of their own private keys, which means storage of tokens on an exchange where one does not control the private key is not a desired solution. So, how can I trade security tokens on an exchange but then withdraw and/or deposit them? Here, lots of uncertainties pop up in regards to “source of funds”. How did you get the tokens in the first place? What if there was no proper whitelisting done with your address? How can you prove ownership of a token? Only few of these questions have answers today. Furthermore, we at TenX contacted 23 crypto security token exchanges, that claimed that they are either live already or close to live, to see what their requirements for listing a security token is. The answer? The majority replied, that they are not ready (yet) ― but would be soon. The same answer I have received a year ago, when we contacted 9 crypto security exchanges to get further details. My prediction: Even in 2019 it will be very difficult to see progress here. Some sandboxes might pop up, like it is envisioned in Singapore, but not the all-access crypto-security-token exchanges that we would like to see.

Still, we are quite optimistic in that regard that we can trailblaze as a positive example in partnerships with exchanges.

Question 3: As a token holder, who do I bring a claim against?

The next challenge to tackle is to find an answer to the problem who to go to, when you are unhappy with your token. If you bought your token during the STO from the company, this answer is quite easy, since there is only you and the company. What to do however, when you buy the token on the open secondary market? If a trade doesn’t go as planned, is it the company’s fault? Probably not, rather the exchange or in an Over the Counter (OTC) trade, the other party. What if you are of the belief that the seller has overcharged you for the token? What if the token performance is not as planned? In unregulated utility token markets, which comprise 100% of all traded tokens as of now, the answers are quite clear: There are not many rules, hence the term unregulated. These tokens are not expected to bring any returns but rather serve a utility function, so there is not much of a claim against the issuing company. There is no insider trading and if something goes wrong with a trade, the only party to go to is the exchange ― who may or may not help you out. Then we have the exact opposite in regulated security markets like a stock exchange. Here we have clear rules on when to trade, when not to, what is allowed and what is not. Responsibilities are clearly defined. How could this work in a security token example? This is a heck of a problem because while we want as many freedoms as possible we also want as many certainties. Both stand at odds. For example, how is insider trading regulated? If I bought a token on the secondary market and I am unhappy with the token, who do I go to? These and many questions have yet to be answered. The hardest part here is, that the answers are very subjective and not as objectively solvable as the questions before. There is no right or wrong about who is responsible. Yes, while the exchange might be responsible, it could also be the seller or the company. It will be interesting to see if this gets solved in 2019 at all and if it does, how ― will a standard get established among various exchanges? Part of the answers will only be possible if the following two questions get answered.

Question 4: As a company issuing a Security Token, what do I have to report?

This question is targeted towards the company performing a STO and what reporting measures it has to perform afterwards. In most stock markets these reports happen on a quarterly basis and are completely standardized. In the crypto ecosystem so far they are pretty much nonexistent, since they are not required for issuing a utility token and no clear rules are established (yet) for security tokens. Even though we were not required to do so, we at TenX published a transparency report one year after our tokensale in order to inform the public about various topics like financials, further plans and challenges: https://blog.tenx.tech/tenx-transparency-report-q2-2018-98bb05dd98b8 To date only a handful of companies have followed suit, even though they have received billions of dollars in exchange for mostly close to worthless tokens. While I completely agree that strict reporting arrangements such as for mature publicly traded companies would be way too stringent and short-sighted for startups, some oversight is definitely necessary to provide transparency for investors. Yet, the devil lies in the details: Need such reports get audited? How detailed would they have to be? Is it fair to measure a startup that might take a decade to disrupt an industry on a quarterly or annual basis? These and many more questions are yet to be answered.

TenX Transparency Report ― Q2, 2018: https://blog.tenx.tech/tenx-transparency-report-q2-2018-98bb05dd98b8

TenX Transparency Report ― Q2, 2018: https://blog.tenx.tech/tenx-transparency-report-q2-2018-98bb05dd98b8 Question 5: What is the legal connection between token and underlying asset?

The fifth and final question surrounds the legal connection between controlling a token and having a valid claim against the underlying asset. A simple question on what ownership actually is, is not as easy to answer. With gold, ownership is owning the physical piece. With shares, it is having them registered to someone’s name. With real estate it is about having the title in your name. But on a blockchain? On these decentralized databases you cannot even own anything other than a private key that lets you add entries into the database. If you can prove ownership of the key, you can cryptographically prove ownership to the digital token. But this is a completely new concept and it has yet to be shown, if and how this would hold in court. Would a regulator accept a lawsuit based on a mathematical formula that shows, that yes, you do hold some security token to some company even though these tokens are not registered in anyone’s name? What if two or more people can prove ownership because they both know the private key? Liechtenstein seems to be the first country in the world to start tackling these difficult questions in a new blockchain law, that hopefully goes into effect in 2019: https://www.liechtenstein.li/en/news-detail/article/liechtenstein-preparing-blockchain-act/

It would lay the foundation on how a legal connection between ownership of a token and its underlying asset is truly established.

“Consultation launched on Blockchain Act” published by the Government Principality of Liechtenstein from 29th August,2018 Yay or Nay?

So, what does all that mean for security tokens as the next killer app on the blockchain? A famous quote that is rightly/wrongly attributed to Y-combinator Founder Paul Graham says: “If you want to know what tech play to invest into next, look at what kids and software developers are playing with!” Following this quote, you would have been right in 2011, when kids were playing with bitcoins to buy in-game items and you would have been right with Ethereum in 2015. However, I have yet to hear of a kid or software engineer that is playing with security tokens. Still, I do believe there is massive merit in crypto security tokens, especially in comparison to the utility token model, where investors don’t have many rights but lots of risks.

How do you see these challenges around security tokens? Will they get solved in 2019? If yes, how and if no, why not? Let me know in the comments below and I am looking forward to a fruitful discussion on this exciting topic in the future.

Follow me on Twitter ( www.twitter.com/julianhosp ) for more updates on this and many other topics.

― ― ―

Dr. Julian Hosp is the co-founder and president of the Singapore based company TenX ( www.tenx.tech ), a leading blockchain company that makes cryptocurrencies spendable anytime, anywhere in everyday life. To date, TenX has received over 100M USD in funding.

Prior to TenX, Julian was a 10-year professional athlete and a medical doctor. He co-authored COMIT ( www.comit.network ), an open-source protocol that allows interoperability between blockchains, connecting them to an agnostic network.

He is the author of several bestsellers such as Cryptocurrencies simply explained” and “Blockchain 2.0 ― more than just Bitcoin”, which have been translated into 15 languages and has sold over 100,000 copies.

He was named one of the world’s top Blockchain and Cryptocurrency experts and also works in blockchain groups with the European Union on topics such as regulation, social impact and economics.

As a Speaker of the Washington Speakers Bureau, he is frequently invited to global tech and entrepreneur events as well as government summits around the world and he is also a regular commentator in the media on current blockchain trends, the future of cryptocurrency and best practices.

Disclaimer : Article inspired from InWara . This is not financial advice.

STO: Security TokenOffering

Security token offering (STO) is a fundraising tool similar to an ICO, but with certain regulations that hold the token issuers accountable for their actions.

The relatively quick success of ICOs has established them as a viable method of crowdfunding. While ICOs have helped a lot of startups raise a great deal of money, the fundraising method also paved way for a variety of scams as there were little or no regulations involved.

Decoding Security Token Offerings (STOs)

Blockchain technology has been evolving ever since it has gained popularity which was mostly due to Bitcoin in the early stages. Now, with the developments in the smart contracts, security tokens have come into existence with the sole purpose of establishing themselves as the new use case for real-time digital assets that operate within the legal boundaries.

4 Layers inSTOs Blockchain Protocols

Security Tokens are not entitled to their own protocol technology. but are constructed on existing protocols with Etherum being the most popular in the space currently. However, it is not the only option as there are more protocols entering the space.

Smart Contracts

However spiffy the term might sound, this doesn’t have any relations whatsoever with smart contracts being the same as legal bonds. They are basically programming languages set by the blockchain protocol. Ideally, they are supposed to have a utility and therefore a value which is why they are named utility tokens .

Issuance Platforms

These platforms create and distribute the utility tokens and are also responsible for having compliant, regulated smart contracts for the token issuance.

Exchanges

The most essential component in the digital asset ecosystem as they facilitate trading, therefore, providing the liquidity in the equation. Without them, there is no worth of the token except if someone else is ready to pay for them.

Reason behind Regulations

SEC’s cracking down on fraudulent and non-compliant ICOs has initiated a shift in the fraternity from ICOs towards STOs .

STOs because of the underlying asset backing in the form of regulations and compliance’s in most jurisdictions and hold companies behind the projects accountable to their investors.

STOs swiftly replacing ICOs

Source: InWara’s STOdatabase

October 2018 has seen the most number of STOs than ever before. This noticeable shift from ICOs to STOs is largely driven due to the recent bottoming of the retail market (both Bitcoin and Ethereum) and softening demand from retail investors for ICOs.

The crackdown has also resulted in investor confidence erosion and this prompted the investors to change their preference to STOs.

STO Landscape

Number of STOs byindustry

Source: InWara’s STOdatabase

Investments and Trading takes the lead with the most number of STOs so far, contributing to over 20% of total STOs. Financial Services leads the pack in ICOs numbers but for STOs, the sector takes a step back.

STOs fueled an influx of investment into real off-chain businesses that provide equity/stake in exchange for capital.

Token standard followed bySTOs

Source: InWara’s STOdatabase

Ethereum’s ERC 20 is dominating the space with 68% token adoption by STOs.

Polymath, one of the first companies to bolster the notion of STOs takes the next biggest share of 23% with its ST-20 token standard.

Securitize has developed four digital security issuers namely Spice venture capital, Blockchain capital , 22X , and Augmate exclusively for STOs. The adoption of these tokens is not quite common in the space for now, but the growing rage for STOs can increase the adoption rate for Securitize tokens.

When it comes to digital currency investments, STOs are considered to have a low appetite for risk because of the diversity in the security token issuance Platforms when compared to ICOs. ERC 20 undeniably leads with over 90% tokens adoption rate in ICOs space which is why the market trend in ICOs is skewed due to the event like XRP overtaking ETH as the second largest alt coin in terms of total market capitalization.

Also, Ethereum is coming up with a unique token standard. ERC-1400 specifically for security tokens. It is currently under testing phase by the Ethereum community. The goal is to make Security Tokens more credible by having certain specifications added to the existing ones that will potentially make ERC-1400 comply with ERC-777 and ERC-20 standards.

Simple Agreement of Future Tokens(SAFT)

Source: InWara’s STOdatabase

The number of SAFT entries with SEC has been significantly rising with SEC’s actions against fraudulent issuers. Recent reports indicate that the SEC may be working on a systematic investigation of all projects working under the simple agreements for future tokens (SAFTs) framework.

STOs going strong with a success rate of 99% sofar

Source: InWara’s STOdatabase We are now witnessing an increasing number of STOs as the there are over 60% STOs that are either active or upcoming. Also, the companies intending to raise funds are starting to realize that the interests of a sophisticated and/or accredited investors and funds are mo

个人信息保护法

驱动中国2018年12月17日消息 随着互联网应用的普及和人们对互联网的依赖，个人信息安全问题日益凸显，恶意程序、各类钓鱼和欺诈继续保持高速增长、超9成APP过度获取用户信息、信息泄露导致网络诈骗高发频发，在“个人隐私裸奔”的当下，人们强烈呼吁个人信息保护法的到来。

互联网公司获取个人信息的限度标准是什么？个人信息泄露事件发生该由谁来承担责任？由于个人信息保护法尚未完善，当用户遇到“隐私泄露”事件后并不知如何来维权，也无法定位信息泄露的源头，可以说用户是处在相当被动且不利的位置。延烧数日的花总“个人信息遭泄露”维权难事件，就是很好的说明。

如今，个人信息泄露已经成为互联网行业始终无法解决的顽疾，据中国互联网协会发布的《中国网民权益保护调查报告2016》显示，当时近一年时间国内6.88亿网民因垃圾短信、诈骗信息、个人信息泄露等造成的经济损失估算达915亿元。

此外，据360互联网安全中心发布的《2017年中国手机安全状况报告》显示，仅2017年360手机卫士便为用户标记各类骚扰电话约2.42亿个，拦截骚扰电话380.9亿次。

不过，好在个人信息保护法即将到来。 今年9月10日，中国人大网公布《十三届全国人大常委会立法规划》，个人信息保护法是第61个项目。在11月初的世界互联网大会上，这一消息再次被确认。另据《法制日报》消息，本届世界互联网大会“大数据时代的个人信息保护”分论坛上透露，个人信息保护法已经列入本届全国人大常委会立法规划。

The disruptive technological ideas behind the blockchain applications gives the possibility to design better middleware frameworks as well for business logic. An architecture might have the following proprieties:

- Elements of the business logic are separated into transactions an atomic processing units.

- Transactions are signed by end-users providing authentication and maybe privacy in the whole system.

- Processed transactions are signed by the processing units as well providing a defense mechanism against tampering.

- Processing units can be configured with different combinations, like on the same computer or on different machines.

- Processing units can be configured with different scaling strategies, like scaling for performance, or scaling for security, like having different Byzantine fault tolerant algorithms.

- Service level agreement for a service should be defined and measured as well.

- Processing of a processing unit might be guaranteed by security deposit, that can be somehow automatically payed out if the service level agreement is not matched.

- Special consideration has to be taken for processing units making serialization, like writing something into a database or ledger.

很多防护黑客攻击行为都可以用到修改注册表配置实现，但这些配置发布在注册表的各个角落，如果是手工配置就比较烦杂。而组策略则将系统重要的配置功能汇集成各种配置模块，供管理人员直接使用，从而达到方便管理计算机的目的。

简单点说，组策略就是修改注册表中的配置。当然，组策略使用自己更完善的管理组织方法，可以对各种对象中的设置进行管理和配置，远比手工修改注册表方便、灵活，功能也更加强大。

所以今天我们就分享一下windows组策略的基本作用、常规功能实现的配置方法，以及如何利用组策略的安全设置防护黑客入侵。

一、 Windows组策略的基本作用 基本作用： 1、日常工作中，在windows单机模式下，组策略中有很多比较有用的功能，例如，本地安全策略。

本地安全策略是对登陆到计算机上的账号定义一些安全设置，在没有活动目录集中管理的情况下，本地管理员必须为计算机进行设置以确保其安全。例如，限制用户如何设置密码、通过账户策略设置账户安全性、通过锁定账户策略避免他人登陆计算机、指派用户权限等。这些安全设置分组管理，就组成了的本地安全策略

2、组策略在windows域中的作用

组策略是管理员为用户和计算机自定义并控制程序、网络资源及操作系统行为的主要工具。通过使用组策略可以设置各种软件、计算机和用户策略。例如，可使用"组策略"为网络用户分发软件、设定用户可以运行的程序、自定义"开始"菜单并简化"控制面板"。此外，还可添加能在计算机上(在计算机启动或停止时，以及用户登录或注销时)自动运行的脚本，甚至可配置Internet Explorer。组策略的优点是可以让系统管理员灵活控制Windows网络的客户端环境，更加方便地管理整个网络。但伴随着灵活性而来的是复杂性。如何熟悉、熟练应用组策略是系统管理员必须解决的一个问题。如果能够正确、灵活地运用组策略，就能使Windows系统发挥出更加强大的功能，为个人用户和企业用户带来更大的利益。

二、 常用的Windows组策略配置方法

单机模式下的常用组策略：

(一) 访问组策略

有两种方法可以访问组策略：一是通过gpedit.msc命令直接进入组策略窗口;二是打开控制台，将组策略添加进去。

1. 输入gpedit.msc命令访问 选择"开始"→"运行"，在弹出窗口中输入"gpedit.msc"，回车后进入组策略窗口。组策略窗口的结构和资源管理器相似，左边是树型目录结构，由"计算机配置"、"用户配置"两大节点组成。这两个节点下分别都有"软件设置"、"Windows设置"和"管理模板"三个节点，节点下面还有更多的节点和设置。此时点击右边窗口中的节点或设置，便会出现关于此节点或设置的适用平台和作用描述。"计算机配置"、"用户配置"两大节点下的子节点和设置有很多是相同的，那么我们该改哪一处?"计算机配置"节点中的设置应用到整个计算机策略，在此处修改后的设置将应用到计算机中的所有用户。"用户配置"节点中的设置一般只应用到当前用户，如果你用别的用户名登录计算机，设置就不会管用了。但一般情况下建议在"用户配置"节点下修改，本文也将主要讲解"用户配置"节点的各项设置的修改，附带讲解"计算机配置"节点下的一些设置。其中"管理模板"设置最多、应用最广，因此也是本文的重中之重。

2. 通过控制台访问组策略 单击"开始"→"运行"，输入"mmc"，回车后进入控制台窗口。单击控制台窗口的"文件"→"添加/删除管理单元"，在弹出窗口单击"添加"，之后选择"组策略"并单击"添加"，在下一步的"选择组策略对象"对话框中选择对象。由于我们组策略对象就是"本地计算机"，因此不用更改，如果是网络上的另一台计算机，那么单击"浏览"选择此计算机即可。另外，如果你希望保存组策略控制台，并希望能够选择通过命令行在控制台中打开组策略对象，请选中"当从命令行开始时，允许更改'组策略管理单元'的焦点"复选框。最后添加进来的组策略。

(二) 任务栏和"开始"菜单项目设置

本节点允许你为开始菜单、任务栏和通知区域添加、删除或禁用某一功能项目。依次展开"用户配置"→"管理模板"→"任务栏和'开始'菜单"，在右边窗口便能看到"任务栏和'开始'菜单"节点下的具体设置，其状态都处在"未被配置"。

1. 给"开始"菜单减肥

Windows XP的"开始"菜单的菜单项很多，可通过组策略将不需要的删除掉。以删除开始菜单中的"我的文档"图标为例看看其具体操作方法：在右边窗口中双击"从'开始'菜单上删除'我的文档'图标"项，在弹出对话框的"设置"标签中点选"已启用"，然后单击"确定"，这样在"开始"菜单中"我的文档"图标将会隐藏。

2. 防止隐私泄漏

在开始菜单中有一个"我最近的文档"菜单项，别人可通过此菜单访问你最近打开的文档，为安全起见，可删除此菜单项，并设置不保存最近打开的文档记录。双击"不要保留最近打开文档的记录"、"退出时清除最近打开的文档记录"、"从'开始'菜单上删除'文档'菜单"3项，在弹出对话框中点选"已启动"并确定即可。

3. 禁止随意修改任务栏和"开始"菜单

为保护自己好不容易设置好的任务栏和"开始"菜单，可双击启用下列各设置。 "阻止更改'任务栏和'开始'菜单 '设置"：即从"开始"菜单的"设置"菜单项中删除"任务栏和'开始'菜单"项目，这个设置也可阻止用户打开"任务栏属性"对话框。"阻止访问任务栏的上下文菜单"(上下文菜单即单击右键弹出的快捷菜单)：当鼠标右键单击任务栏及任务栏上项目时隐藏菜单，例如"开始"按钮、时钟和任务栏按钮，但不能禁止用户在其他地方更改。"锁定任务栏"：启用此设置，可阻止用户移动任务栏或调整任务栏的大小，但自动隐藏和其他任务栏选项仍然在"任务栏属性"中可用。

4. 去掉Windows XP"开始"菜单中的图形化设置

Windows XP的"开始"菜单增添了许多图形化设置，其实可在组策略中将这些功能关闭。"关闭个性化菜单"：Windows XP会自动将最近使用的菜单项移动到开始菜单顶部，并且隐藏最近没有使用的菜单项，以此实现个性化菜单，启用此设置将关闭个性化菜单。"强制典型菜单"：启用此设置，开始菜单就以Windows 2000样式显示典型的开始菜单，并且显示标准桌面图标。

5. 禁止"注销"和"关机"

进行三维动画设计和视频处理的朋友经常会为导出一个大型动画、视频文件而花几个小时，这时如果有人重新启动电脑或注销用户，那么前面所做的工作就会白白浪费，因此有必要禁止"开始"菜单中的"注销"、"关机"菜单项。你只需双击启用"删除'开始'菜单上的'注销'"和"删除和阻止访问'关机'命令"两项即可。后一设置不仅将从"开始"菜单中删除"关闭计算机"项，而且还会禁用"Windows 任务管理器"对话框中的"关机"选项。

(三) 桌面项目设置

在"组策略"的左窗口依次展开"用户配置"→"管理模板"→"桌面"节点，便能看到有关桌面的所有设置。此节点主要作用在于管理用户使用桌面的权利和隐藏桌面图标。

1. 隐藏不必要的桌面图标

桌面上的一些快捷方式我们可以轻而易举地删除，但要删除"我的电脑"、"回收站"、"网上邻居"等默认图标，就需要依靠"组策略"了。例如要删除"我的文档"，只需在"删除桌面上的'我的文档'图标"一项中设置即可。

2. 禁止对桌面的改动

利用组策略可达到禁止别人改动桌面某些设置的目的。"禁止用户更改'我的文档'路径"项可防止用户更改"我的文档"文件夹的路径。"禁止添加、拖、放和关闭任务栏的工具栏"项可阻止用户从桌面上添加或删除任务栏。双击启用"退出时不保存设置"后，用户将不能保存对桌面的更改。最后，双击启用"隐藏和禁用桌面上的所有项目"设置项，将从桌面上删除图标、快捷方式以及其他默认的和用户定义的所有项目，连桌面右键菜单都将被禁止。

3. 启用或禁止活动桌面

"Active Desktop"项，可根据自己的需要设置活动桌面的各种属性。"启用活动桌面"项可启用活动桌面并防止用户禁用它。"活动桌面墙纸"项可指定在所有用户的桌面上显示的桌面墙。而启用"不允许更改"项便可防止用户更改活动桌面配置。

(四) 隐藏或禁止控制面板项目

这里讲到的控制面板项目设置是指配置控制面板程序的各项设置，主要用于隐藏或禁止控制面板项目。在组策略左边窗口依次展开"用户配置"→"管理模板"→"控制面板"项，便可看到"控制面板"节点下面的所有设置和子节点。

1. 隐藏或禁止"添加/删除程序"项

展开"添加/删除程序"项：双击启用"删除'添加/删除程序'程序"设置项后，控制面板中的"添加/删除程序"项将被删除。此外在"添加或删除程序"对话框中共有3个页面："更改或删除程序"、"添加新程序"以及"添加/删除Windows组件";而当你进入"添加新程序"页面时，会发现有3个选项："从CD-ROM或软盘添加程序"、"从 Microsoft添加程序"以及"从网络中添加程序"，如果你想这些具体页面或选项隐藏，可直接在组策略"添加/删除程序"项中将相应隐藏功能启用。

2. 隐藏或禁止"显示"项

展开"显示"项，发现这一项和上一项一样，可隐藏"显示属性"对话框中的选项卡。这里就不细讲了，例如双击启用"隐藏'桌面'选项卡"后，"显示窗口"中将不再出现"桌面"项。此外，在这里用户还可启用"删除控制面板中的'显示'"，这样在控制面板中双击打开"显示"项时，就会弹出一个对话框提示你：系统管理员禁止使用"显示"控制面板。

3. 其他

依次展开"显示"→"桌面主题"项，双击启用"删除主题选项"、"阻止选择窗口和按钮式样"、"禁止选择字体大小"项后，可阻止他人更改主题、窗口和按钮式样、字体。展开"打印机"项，双击启用"阻止添加打印机"或"阻止删除打印机"可防止别的用户添加或删除打印机。最后，直接在"控制面板"一项下启用"禁止访问控制面板"，控制面板将无法启动。

(五) 系统项目设置

这一项在"用户配置"→"管理模板"→"系统"中设置。组策略中对系统的设置涉及到登录、电源管理、组策略、脚本等很多项目，下面把和我们联系紧密的部分清理出来分类列举如下：

1. 登录时不显示欢迎屏幕界面

Windows 2000和Windows XP系统登录时默认情况下都有欢迎屏幕，虽然漂亮但也麻烦且延长登录时间，通过组策略便可将其除去。双击启用"系统"节点下的"登录时不显示欢迎屏幕"，则每次用户登录时欢迎屏幕将隐藏。

2. 禁用注册表编辑器

为防止他人修改注册表，可在组策略中禁止访问注册表编辑器。双击启用"系统"节点下的"阻止访问注册表编辑器"项后，用户试图启动注册表编辑器时，系统将提示：注册编辑已被管理员停用。另外，如果你的注册表编辑器被锁死，也可双击此设置，在弹出对话框的"设置"标签中点选"未被配置"项，这样你的注册表便解锁了。如果要防止用户使用其他注册表编辑工具打开注册表，请双击启用"只运行许可的Windows应用程序"。

3. 关闭系统自动播放功能

一旦你将光盘插入光驱中，Windows XP就会开始读取光驱，并启动相关的应用程序。这样虽然给我们的工作带来了便利，在某些时候也带来了不少麻烦。在"系统"节点下有一项为"关闭自动播放"设置项，双击其并在弹出对话框的"设置"标签中点选"已启用"，在"关闭自动播放"框中选择"CD-ROM启动器"或"所有驱动器"项即可。

4. 关闭Windows自动更新

每当用户连接到Internet，Windows XP就会搜索用户计算机上的可用更新，根据配置的具体情况，在下载的组件准备好安装时或在下载之前，给用户以提示。如果你不喜欢比尔老大这种自作主张的态度，可通过组策略关闭这一功能。只须双击"系统"节点下的"Windows自动更新"设置项，在弹出来的对话框中点选"已禁用"并确定即可。

5. Ctrl+Alt+Del选项

若Windows XP用户已取消"使用欢迎屏幕"项，若同时按下"Ctrl+Alt+Del"键，便会弹出一个"Windows安全"对话框，此对话框中有"锁定计算机"、"注销"、"关机"、"更改密码"、"任务管理器"、"取消"6个功能按钮。大家都知道这里的每个按钮对系统都起着关键的作用。为了阻止别人操作，可通过组策略屏蔽这些按钮。 找到"系统"下的"Ctrl+Alt+Del选项"，双击启用"删除任务管理器"、"删除'锁定计算机'"、"删除改变密码"、"删除注销"项便能屏蔽掉"Windows安全"对话框的"任务管理器"、"锁定计算机"、"更改密码"、"取消"4个功能按钮。 注意："注销"、"关机"两个菜单项的屏蔽，在"用户配置"→"管理模板"→"任务栏和'开始'菜单"节点下。

(六) 隐藏或删除Windows XP资源管理器中的项目

一直以来，资源管理器就是Windows系统中最重要的工具，如何高效、安全地管理资源也一直是电脑用户的不懈追求。依次展开"用户配置"→"管理模板"→"Windows组件"→"Windows资源管理器"项，可以看到"Windows资源管理器"节点下的所有设置。下面就来看看怎样通过组策略实现资源管理器个性化。

1. 删除"文件夹选项"

"文件夹选项"是资源管理器中一个重要的菜单项，通过它可修改文件的查看方式，编辑文件类型的打开方式。我们自己对其设定好后，为了防止他人随意更改，可将此菜单项删除，你只须双击启用"从'工具'菜单删除'文件夹选项'菜单"便能完成这一设置。

2. 隐藏"管理"菜单项

在资源管理器中右键单击"我的电脑"出现的快捷菜单中有一个"管理"菜单项，通过此菜单项，可以打开一个包含"事件查看器"、"本地用户和组"、"设备管理器"、"磁盘管理"等众多工具的"计算机管理"窗口。为了保障你的计算机免受他人无意破坏，可通过双击启用"隐藏Windows资源管理器上下文菜单上的'管理'项目"项来屏蔽此菜单项。

3. 其他项目的隐藏

此外通过启用"隐藏'我的电脑'中的这些指定的驱动器"可隐藏你指定的驱动器。还可通过启用"'网上邻居'中不含'整个网络'"屏蔽掉"整个网络"项。双击启用"删除CD烧录功能"删除Windows XP自带的光盘刻录功能。双击启用"不要将已删除的文件移到'回收站'"则以后删除文件时将不进入回收站直接删除掉。当然还有不少项目这里没有讲到，大家可根据需要自行探讨，进行适当的配置。

(七) IE浏览器项目设置

在组策略左边窗口中依次展开"用户配置"→"管理模板"→"Windows组件"→"Internet Explorer"项，在右边窗口中便能看到"Internet Explorer"节点下的所有设置和子节点。IE是Windows XP自带的网页浏览器，也是大多数用户采用的浏览器，但其安全性也为人所诟病，下面就通过组策略来对其进行"改造"。

1. 在IE工具栏添加快捷方式

不知道大家注意到了没有，不少软件在安装完之后都会在IE工具栏上添加图标，单击其便能启用相应程序。其实用组策略可以在IE工具栏上为任何程序添加快捷方式，这里举例说明如何添加一个ICQ的启动图标。展开"Internet Explorer维护"下的"浏览器用户界面"，双击"浏览器工具栏自定义"设置项，在弹出来的对话框中单击"添加"按钮，在"浏览器工具栏按钮信息"对话框的"工具栏标题"中输入：ICQ，在"工具栏操作"中输入D:FunICQLiteICQLite.exe，然后再随便选择一个"颜色图标"和"灰度图标"，当然你也可以用ExeScope等来提取ICQ的图标)。单击"确定"后IE工具栏中便多了一个ICQ图标!

2. 让IE插件不再骚扰你

我们平常上网浏览网页时，总会弹出一些诸如"是否安装Flash插件"、"是否安装3721网络实名"的提示，就像广告窗口一样烦人。实际上我们可在组策略中通过启用"Internet Explorer"节点下的"禁用Internet Explorer组件的自动安装"来禁止这种提示的出现。不过有时这一功能也是很用的，所以在禁止此功能之前请稍加考虑。

3. 保护好你的个人隐私

一般通过单击IE工具栏上的"历史"按钮，便可了解以前浏览过的网页和文件。为保密起见，你可以通过双击启用"Internet Explorer"节点下的"不要保留最近打开文档的记录"和"退出时清除最近打开的文档记录"两个设置项，这样再单击IE工具栏上的"历史"按钮，你访问过的历史网页记录将全部消失。

4. 禁止项

如果不希望他人对你的主页进行修改，可启用"Internet Explorer"节点下的"禁用更改主页设置"设置项禁止别人更改你的主页.你也可通过访问"浏览器菜单"，启用其中的设置项对IE浏览器的若干菜单项进行屏蔽。最后，在"Internet控制面板"节点下，你还可对"Internet选项"对话框中的部分选项卡进行隐藏.

域环境下常用的组策略：

1、 域控下更改客户端桌面壁纸

前提：确保网络是可通达，防火墙处于关闭状态，图片格式为.jpg，共享目录应为域控C盘。步骤：(1)在域控C盘建立共享文件夹desk,为可读模式，将共享图片desk.jpg存放在共享目录下。(2)开始菜单→管理工具→组策略管理→找到对应的组织单位→创建相应OU→命名为"壁纸"→右击编辑→用户下配置→策略→管理模板→桌面→Active Desktop→启用Active Desktop、启用不允许更改、启用桌面墙纸(墙纸名称为\192.168.200.20deskdesk.jpg)→强制刷新组策略(gpupdate /force)→重新启动客户端生效。

2、发布通告信息

前提：在AD用户与计算机中将Computer中的计算机移动到与其相对应的组织单位中。

步骤：开始→管理工具→组策略管理→找到对应的组织单位→创建相应OU→命名为"通告"→右击编辑→计算机配置下→策略→windows设置→安全设置→本地策略→安全选项→交互式登陆：试图登陆的用户的消息标题、消息文本→输入要求内容→强制刷新组策略(gpupdate /force)→重新启动客户端生效。

3、禁用命令行

步骤：开始→管理工具→组策略管理→找到对应的组织单位→创建相应OU→命名为"禁用命令行"→右击编辑→用户配置下→策略→管理模板→"开始"菜单和任务栏→从开始菜单中删除"运行"菜单→强制刷新组策略(gpupdate /force)→重新启动客户端生效。

注意事项：此操作不收computer下计算机是否在用户组织单位下影响。

4、发布办公室软件

步骤：(1)下载office (寻找PRO11.MSI)→cmd→msiexec -a+(拖拽第一步的路径)→Enter→弹出管理员安装→填写产品秘钥→放在C盘下共享文件夹下。(2)开始→管理工具→组策略管理→找到对应的组织单位→创建相应OU→命名为"禁用命令行"→右击编辑→用户配置下→策略→软件设置→软件安装→右击新建→数据包→网络(此路径必须为网络)→源PC→找到共享文件夹下的.MSI软件→打开→已分配(分配为强制安装，发布时客户端具有自主性)。

5、更改客户端用户密码策略

步骤：开始→管理工具→组策略管理→找到对应的组织单位→创建相应OU→命名为"禁用命令行"→右击编辑→计算机配置→策略→windows设置→安全设置→账户策略→密码策略、密码长度最小值等，可依据需要定制→在AD用户与计算机→找到相应计算机重置密码。

6、文档共享

步骤：(1)在域控C盘下新建共享文件夹"文档共享"→右击共享→给everyone读写权限→开始→管理工具→AD用户与计算机→选中需要漫游用户→右击属性→配置文件→配置文件路径：\192.168.1.10文档共享%username%→应用确定→刷新组策略。(2)进入C盘下→右击"文档共享"文件夹→属性→安全→高级→所有者→编辑→选中Administrator和(替换子容器和对象的所有者)→应用确定，重启客户端。(3)进入"共享文档"→右击用户文件夹→属性→安全→编辑→添加→高级→立即查找→选中对应的客户端→确定一键到底→刷新组策略(guupdate /force),重启客户端，此时，域内添加到漫游中的可以脱离物理机，文件随账号漫游。

7、文件夹重定向

步骤：(1)在域控C盘下新建共享文件夹"文件"→右击共享→给everyone读写权限→开始→管理工具→组策略管理→找到对应的组织单位→创建相应OU→命名为"文件夹重定向"→右击编辑→用户配置下→策略→windows设置→文件夹重定向→文档→右击属性→目标下设置行：基本--将每个人的文件夹重定向到同一个位置(注意在右面设置选项下含增加兼容性操作)→目标文件夹位置行：在根目录路径下位每一用户创建一个文件夹→根路径行：浏览(注意此处应为网络路径)应用、确定→刷新组策略。(2)进入C盘下→右击"文件"→属性→安全→高级→所有者→编辑→选中administrator和替换子容器和对象的所有者→确定。再次进入"文件"→访问用户文件夹→右击My Documents→右击属性→安全→编辑→添加→高级→立即查找→添加相应的用户→给完整权限→确定到底。

8、禁止所有用户加入域,只允许主管可以将计算机加入域

步骤:(1)开始→管理工具→ADSI编辑器→右击ADSI编辑器→连接到→勾选"选择或键入域服务器(s)"：lv.com(域控的域名)→确定→点击"默认命名上下文"→右击"DC=lv,DC=com"→属性→将"ms-DS-MachineAccountQuota"→"10"修改成"0".(2)AD用户与计算机→右击"市场部"(组织单位)→委派控制(E)→下一步→添加→高级→立即查找→王经理(主管)→确定→下一步→勾选要委派的任务→创建、删除和管理用户账户、重置用户密码并强制在下次登录时更改密码、读取所有用户信息→下一步→完成→强制刷新组策略→重新启动客户端。

9、禁用客户端ip功能

步骤：开始→管理工具→组策略编辑→Default Domain Policy 右击→编辑→计算机配置→策略→windows设置→安全设置→系统服务→Network Connections→改成自动→编辑安全设置→删除所有组或用户名→添加→Domain Admins、Everyone→前者给完整权限，后者给读取权限→应用，确定→刷新全区策略，重启客户端。

10、设置客户端IE主页及其相应权限设置

步骤：(1)开始→管理工具→组策略管理→找到对应的组织单位→创建相应OU→命名为"修改主页"→右击编辑→用户配置下→策略→windows设置→Internet Explor 维护→URL→重要URL→自定义主页：http//www.google.com.hk(公司主页)→应用，确定，刷新组策略。(2)开始→管理工具→组策略管理→找到对应的组织单位→创建相应OU→命名为"修改主页"→右击编辑→计算机配置下→管理模板→windows组件→Internet Explorer→Internet 控制面板→Internet 区域→安全页→Internet 区域→允许下载等设置。

11、限制软件使用

步骤：(1)开始→管理工具→组策略管理→找到对应的组织单位→创建相应OU→命名为"修改主页"→右击编辑→用户配置下→策略→管理模板→系统(在最右侧寻找策略)→不要运行指定的windows应用程序→启用→显示→添加应用程序的启动项名称(192.168.200.20/pub/sample/cal.exe)→应用，确定，刷新策略，重启客户端。(2)开始→管理工具→组策略管理→找到对应的组织单位→创建相应OU→命名为"修改主页"→右击编辑→计算机配置下→策略→windows设置→安全设置→软件限制策略→右击创建→安全级别→设置"不受限"为默认→进入"其他规则"→右击新建哈希规则、路径规则→确认到相同路径下的软件即可。

12、禁用注册表编辑器、命令提示符

步骤：开始→管理工具→组策略管理→找到对应的组织单位→创建相应OU→命名为"修改主页"→右击编辑→用户配置下→策略→管理模板→系统(在最右侧寻找策略)→系统阻止访问注册表编辑工具、命令提示符→启用→刷新组策略，重新启动客户端。

三、利用组策略的安全设置防御黑客入侵

(一)、给我们的IP添加安全策略

在"计算机配置"→"Windows设置"→"安全设置"→"IP 安全策略，在本地计算机"下与有与网络有关的几个设置项目。如果大家对Internet较为熟悉，那也可以通过它来添加或修改更多的网络安全设置，这样在Windows上运行网络程序或者畅游Internet时将会更加安全。

小提示 :由于此项较为专业，其间会涉及到很多的专业概念，一般用户用不到，在这里只是给网络管理员们提个醒，因此在此略过。

(二)、隐藏驱动器

平时我们隐藏文件夹后，别人只需在文件夹选项里显示所有文件，就可以看见了，我们可以在组策略里删除这个选项：选择"用户配置→管理模板→Windows组件→Windows资源管理器"。

(三)、禁用指定的文件类型

在"组策略"中，我们可以禁用SHS、MSI、BAT、CMD、COM、EXE等程序文件类型，而且不影响系统的正常运行。这里假设我们要禁用注册表的REG文件，不让系统运行REG文件，具体操作方法如下：

1. 打开组策略，点击"计算机配置→Windows设置→安全设置→软件限制策略"，在弹出的右键菜单上选择"创建软件限制策略"，即生成"安全级别"、"其他规则"及"强制"、"指派的文件类型"、"受信任的出版商"项。

2. 双击"指派的文件类型"打开"指派的文件类型属性"窗口，只留下REG文件类型，将其他的文件全部删除，如果还有其他的文件类型要禁用，可以再次打开这个窗口，在"文件扩展名"空白栏里输入要禁用的文件类型，将它添加上去。

3. 双击"安全级别→不允许的"项，点击"设为默认"按钮。然后注销系统或者重新启动系统，此策略即生效，运行REG文件时，会提示"由于一个软件限制策略的阻止，Windows无法打开此程序"。

4.要取消此软件限制策略的话，双击"安全级别→不受限的"，打开"不受限的 属性"窗口，按"设为默认值"即可。

如果你鼠标右键点击"计算机配置→Windows设置→安全设置→软件限制策略→其他规则"，你会看到它可以建立哈希规则、Internet 区域规则、路径规则等策略，利用这些规则我们可以让系统更加安全，比如利用"路径规则"可以为电子邮件程序用来运行附件的文件夹创建路径规则，并将安全级别设置为"不允许的"，以防止电子邮件病毒。

提示：为了避免"软件限制策略"将系统管理员也限制，我们可以双击"强制"，选择"除本地管理员以外的所有用户"。如果用你的是文件类型限制策略，此选项可以确保管理员有权运行被限制的文件类型，而其他用户无权运行。

(四)、未经许可，不得在本机登录

使用电脑时，我们有时要离开座位一段时间。如果有很多正在打开的文档还没有处理完成或者正在下载东西、挂POPO等等，为了避免有人动用电脑，我们一般会把电脑锁定。但是在局域网中，为了方便网络登录，我们有时候会建立一些来宾账户，如果对方利用这些账户来注销当前账户登录到别的账户，那就麻烦了。既然我们不能删除或禁用这些账户，那么我们可以通过"组策略"来禁止一些账户在本机上登录，让对方只能通过网络登录。

在"组策略"窗口中依次打开"计算机配置→Windows设置→安全设置→本地策略→用户权限分配"，然后双击右侧窗格的"拒绝本地登录"项，在弹出的窗口中添加要禁止的用户或组即可实现。 如果我们想反其道而行之，禁止用户从网络登录，只能从本地登录，可以双击"拒绝从网络访问这台计算机"项将用户加上去。

(五)、给"休眠"和"待机"加个密码

只有"屏幕保护"有密码是远远不够安全的，我们还要给"休眠"和"待机"加上密码，这样才会更安全。让我们来给"休眠"和"待机"加上密码吧。在"组策略"窗口中展开"用户配置→管理模板→系统→电源管理"，在右边的窗格中双击"从休眠/挂起恢复时提示输入密码"，将其设置为"已启用"，那么当我们从"待机"或"休眠"状态返回时将会要求你输入用户密码。

(六)、自动给操作做个记录

在"计算机配置→Windows设置→安全设置→本地策略→审核策略"上，我们可以看到它可以审核策略更改、登录事件、对象访问、过程追踪、目录服务访问、特权使用等。这些审核可以记录下你某年某月某日某时某分某秒做过了什么操作：几时登录、关闭系统或更改过哪些策略等等。

我们应该养成经常在"控制面板→管理工具→事件查看器"里查看事件的好习惯。比如，当你修改过"组策略"后，系统就发生了问题，此时"事件查看器"就会及时告诉你改了哪些策略。在"登录事件"里，你可以查看到详细的登录事件，知道有人曾尝试使用禁用的账户登录、谁的账户密码已过期……而要启用哪些审核，只要双击相应的项目，选中"成功"和"失败"两个选项即可。

注意：Windows XP Home Edition没有"组策略"，只有Windows XP Professional版本才有"组策略"，这一点注意。

(七)、限制IE浏览器的保存功能

当多人共用一台计算机时，为了保持硬盘的整洁，需要对浏览器的保存功能进行限制使用，那么如何才能实现呢?具体方法为：选择"用户设置"→"管理模板"→"Windows组件"→"Internet Explorer"→"浏览器菜单"分支。双击右侧窗格中的"'文件'菜单：禁用'另存为…'菜单项"，在打开的设置窗口中选中"已启用"单选按钮。 提示 :我们还可以对"'文件'菜单：禁用另存为网页菜单项"、"'查看'菜单：禁用'源文件'菜单项"和"禁用上下文菜单"等策略项目进行修改，这样我们的IE将会安全一些。

(八)、禁止修改IE浏览器的主页

如果您不希望他人或网络上的一些恶意代码对自己设定的IE浏览器主页进行随意更改的话，我们可以选择"用户配置"→"管理模板"→"Windows 组件"→"Internet Explorer"分支，然后在右侧窗格中，双击"禁用更改主页设置"策略启用即可。

1、提供了更改历史记录设置、更改颜色设置和更改Internet临时文件设置等项目的禁用功能。如果启用了这个策略，在IE浏览器的"Internet 选项"对话框中，其"常规"选项卡的"主页"区域的设置将变灰。

2、如果设置了位于"用户配置"→"管理模板"→"Windows 组件"→"Internet Explorer"→"Internet 控制面板"中的"禁用常规页"策略，则无需设置该策略，因为"禁用常规页"策略将删除界面上的"常规"选项卡。

3、逐级展开"用户设置"→"管理模板"→"Windows组件"→"Internet Explorer"分支，我们可以在其下发现"Internet控制面板"、"脱机页"、"浏览器菜单"、"工具栏"、"持续行为"和"管理员认可的控件"等策略选项。利用它可以充分打造一个极有个性和安全的IE。

(九)、把Administrator藏起来

Windows系统默认的系统管理员账户名是Administrator。因此，为了避免有人恶意破解系统管理员Administrator账户的密码，我们可以将Administrator改为其他名字以加强安全。点击"开始→运行"，输入gpedit.msc，打开"组策略"，如图9所示，选择"计算机配置→Windows设置→安全设置→本地策略→安全选项"，在右边窗格里双击"账户：重命名系统管理员账户"项，在上面输入你想要的用户名。重新启动计算机后，输入的新用户名即刻生效。如果再新建一个Guest用户，用户名为Administrator，然后再加上十分复杂的密码就更安全。

提示：为了避免让人在Windows的登录框中看到曾经登录过的用户名，就要双击"交互式登录：不显示上次的用户名"子项，选择"已启用"将该策略启用。这样上次登录到计算机的用户名就不会显示在Windows的登录画面中。

(十).禁用IE组件自动安装

选择"计算机配置"→"管理模板"→"Windows组件"→"Internet Explorer"项目，双击右边窗口中"禁用Internet Explorer组件的自动安装"项目，在打开的窗口中选择"已启用"单选按钮，将会禁止 Internet Explorer 自动安装组件。这样可以防止 Internet Explorer 在用户访问到需要某个组件的网站时下载该组件，篡改IE的行为也会得到遏制!相对来说IE也会安全许多!

一、样本静态分析

最近有位同学发了一个样本给我，主要是有一个解密方法，把字符串加密了，加解密方法都放在so中，所以之前也没怎么去给大家介绍arm指令和解密算法等知识，正好借助这个样本给大家介绍一些so加密方法的破解，首先我们直接在Java层看到加密信息，这个是这位同学直接告诉我这个类，我没怎么去搜了：

这个应用不知道干嘛的，但是他的防护做的还挺厉害的，之前我们介绍过小黄车应用内部也用了这种中文混淆变量和方法等操作，这里就不多解释了，这里主要看那个加密算法：

看到这里有一个加解密方法，传入字符串字节，返回加解密之后的字节数据，我们直接用IDA打开这个libwechat.so文件：

这里可惜没有收到Java_xxx这样的函数，说明他可能用了动态注册，所以就去搜JNI_OnLoad函数，所以这里注意大家以后如果打开so之后发现没有Java_xxx这样的函数开头一般都是在JNI_OnLoad中采用了动态注册方式，所以只需要找到JNI_OnLoad函数，然后找到RegisterNatives函数即可，不过在这个过程中我们需要转换JNIEnv指针信息：

这里大家如果看到类似于vXX+YY这样的，选中vXX变量，然后按Y按键，然后替换成JNIEnv*即可，我们如果手动注册过Native方法，都知道RegisterNatives函数的三个参数含义：

jint RegisterNatives(jclass clazz, const JNINativeMethod* methods, jint nMethods) 第一个参数：需要注册native函数的上层Java类 第二个参数：注册的方法结构体信息 第三个参数：需要注册的方法个数

这里当然是重点看第二个参数，这里当然也需要知道方法结构体信息：

typedef struct {
const char* name;
const char* signature;
void* fnPtr;
} JNINativeMethod;

结构体包含三部分分别是：方法名、方法的签名、对应的native函数地址；那么这里我们肯定重点看第三部分，因为要找到具体的解密函数，这时候我们需要去对RegisterNatives函数查看他的实参值：

这里选中RegisterNatives函数名，然后右键选择Force call type即可：

这时候就看到了RegisterNatives的三个参数值，其实这里看到是四个，这个主要是调用方式的区别，因为我们还会看到有这种调用方式：(*JNIEnv)->RegisterNatives(JNIEnv env…)，所以第一个参数其实是JNIEnv变量，这里就看第三个参数的地址就是需要注册方法的结构体信息，点击进入查看：

这里看到了方法名，方法签名以及对应的具体函数，这里主要看解密函数，找到decryptData即可，然后点击进入查看：

按下F5查看C语言代码：

继续点击进入查看：

这里就是实际的解密算法的地方了，大致看一下其实还是很简单的，就是有一个AES_CBC_128算法加解密的，我们用过这个算法都知道需要key和iv值，因为是128位的，所以这两个值肯定是16(128/8)个字节，这个是基础知识也是非常关键的知识，知道是16个字节对于后面分析破解非常关键。然后需要从解密之后的字节数组的最后一位获取实际字节的长度，最后构建byte数组返回给Java层即可。所以这里我们看到最重要的是如何获取aes解密的key和iv值。这里有很多种方式可以动态调试，可以hook。但是我们先不介绍这两种解密方式，我们先来看看另外一个问题。

二、调用so功能函数(修改指令)

我们在之前是不是有时候解密一个so算法，其实没不要真的知道他的解密算法，而是可以调用他的so然后直接解密出来数据即可，所以我们本文也来尝试做一下，为什么这么做因为在这个过程中我想给大家介绍一些知识点比如修改arm指令等，我们把这个应用的so拷贝到项目中，然后构建一个native类和方法，最后调用解密方法，发现调用直接出现崩溃信息：这时候我们发现在进入JNI_OnLoad挂了，说明JNI_OnLoad中做了一些东西检测：

看到JNI_OnLoad函数中有这两个函数调用，第一个我们都知道为了防止自己的进程被人恶意附加，就自己先占坑，这样别人就附加失败了，第二个看似也是类似功能，不过不用关心内部实现，我们为了后面动态调试成功，这里还是先把这两个函数干掉吧，这里干掉简单直接改成NOP空指令就可以了，就相当于没调用了。因为这两个函数的执行逻辑和返回结果和后面的逻辑是没任何关系的，所以可以这么做，如果有关系那只能修改返回值了。修改指令之前其实介绍过了，很简单先找到指令对应的偏移地址：

然后用010Editor工具打开so文件，找到这个地址：

怎么修改成NOP指令呢？有一个牛逼的网站在线转换arm为hex值： http://armconverter.com ：

这里看到转换BLX指令的HEX正好和上面看到的HEX值对应上了，这里修改NOP指令：

看到NOP指令对应的HEX值是C046，那就修改吧：

这里注意需要把那两条指令的所有HEX全部改成NOP指令，保存再用IDA打开查看：

修改成功，这两个函数就等于没调用了，在运行调用so还是崩溃，这时候需要想到的是有签名校验，而巧合的是在搜索JNI的时候无意发现了这个函数：

当然如果大家想知道so中有没有签名校验，可以直接Shift+F12查找字符串内容”signatures”:

一般有这类字符串信息都有签名校验功能了，我们继续看上面那个签名校验函数：

果然这里会获取签名信息，然后比对返回1表示正确的签名信息，这里我们不要直接修改返回值和那个v5变量值，因为我们知道strcmp函数执行的结果是-1,0,1；这里明显是需要让返回值是0才可以，那不如直接修改v3的初始值为1即可，修改方法和上面的指令修改类似：

记住这个便宜地址，然后去010Editor工具中查看：

然后把赋值修改成1：

然后去010Editor修改即可：

修改之后保存，用IDA打开so：

看到已经修改成功了，然后在F5查看伪代码：

这里不管签名对不对，都直接返回1了，修改了之后我们在运行发现还是报错，这个需要再去看JNI_OnLoad函数了：

这里需要获取一个Java层的类，所以我们在工程中新建这个类即可，这个类可以没有任何方法：

然后运行成功，看看解密之后的内容是啥：

看到解密之后的内容是个字符串version内容，到此我们就成功的过掉了so中的一些检测调用so解密出来内容了，那么在这个过程中我们依然可以学到很多东西：

第一、修改指令，如果不想让一个函数执行，只需要把跳转指令修改成NOP空指令即可，前提是这个函数的执行结果和后面的逻辑没有半毛钱的关系，如果有那么就需要修改函数的返回值，一般需要修改跳转指令之后的MOVS指令的寄存器值，如果简单点可以直接修改变量的初始化值，比如这里的过掉签名校验。 第二、如果快速的知道so中是否有签名校验功能，可以直接在字符串列表中搜索”signatures”即可，现在也有很多应用会在so中调用Java层的类信息，所以需要去看JNI_OnLoad中arm指令，或者直接搜索字符串列表，因为一般Java层类信息，都是xxx/yyy/zzz/MMM这样的字符串格式，通过肉眼排查也是可以的。 三、动态调试so获取解密算法

虽然我们成功的调用了so解密出内容了，但是这个不是本文的重点，本文的重点是把这个解密算法弄出来，不过在之前已经分析了大概，我们只需要弄到aes的key和iv值即可，这里有两种方式一种是用Frida进行hook操作，一种是动态调试，这里动态调试非常简单，前提是用我们上面已经修改过指令的so包，不然内部有一些反调试检测。为了方便用我们的demo工程进行动态调试即可：

第一步：运行手机端的android_server

第二步：端口转发 adb forward tcp:23946 tcp:23946 第三步：调试运行程序 adb shell am start -D -n cn.wjdiankong.awwechathack/.MainActivity 第四步：打开IDA附加进程

2018年12月14日下午我司监测到“驱动人生”病毒大规模爆发，此病毒仅仅在数小时内即感染超过十万台电脑。

在接到深圳市公安局网警支队协查要求后，我司技术人员第一时间赶往驱动人生公司现场配合深圳市公安局网警支队进行了应急处置以及技术分析。通过现场技术分析我们发现驱动人生某服务器被黑客利用漏洞入侵后，黑客更改了驱动人生升级服务器上获取更新软件的配置URL地址，并将其指向境外病毒服务器。该升级服务器仅作老版本软件的更新使用，涉及软件服务仅占驱动人生全部软件服务的5%。

病毒被下载到本地执行后会继续释放病毒模块，新病毒模块利用永恒之蓝漏洞对局域网内所有电脑展开攻击并回传被感染电脑的IP地址、CPU型号等信息。同时病毒还会随机向外网的IP段进行扫描和攻击，每台被感染的电脑都成为节点继续向外展开攻击，如果这些被扫描的电脑没有修复永恒之蓝漏洞，随之它们也将会被感染。同时此病毒感染后会加载云端控制模块，攻击者可以下发命令加载其他病毒进行攻击。

据我司分析，黑客团伙于12月14日晚间关闭了病毒远程控制服务器，目前此次事件的危害程度已经降低。到目前为止未发现黑客团伙向病毒被控电脑下发任何攻击命令，但不排除黑客团伙随时重开病毒远程控制服务器继续发起攻击的可能性。

对此事件我司建议如下：

使用相关杀毒软件对已被感染或怀疑被感染的电脑进行查杀和排查；

手工查看系统目录C:\windows\SysWOW64(system32)/下是否存在svhost.exe/svhhost.exe文件；

通过Windows 系统自带的regedit工具查找注册表中是否存在名为“Ddriver”服务，通过杀软清除；

及时更新系统补丁，防止被公开漏洞攻击利用；

若不能即使更新相关补丁，建议可先关闭135、139、445端口。

就此事件驱动人生发布正式公告如下：

公 告

关于驱动人生升级模块被利用的情况说明

因12月14日我公司旗下部分产品的早期版本中的升级模块，被不法分子利用“永恒之蓝”漏洞传播木马一事，数万驱动人生用户受到影响，为此我们深感自责，并会进行深刻的反省。

在获知此事件的第一时间，我司当即联系安全软件公司了解情况，并立即开始自查工作。初步认定是我们部分产品的早期版本升级模块漏洞被不法分子利用所导致，未升级的早期版本客户端数占用户量的百分之五左右。15日，我司随即跟各安全软件公司沟通，并协助各安全软件公司进行事故根源追查，并安排技术人员排查核心服务器，同时立即向所在辖区的高新派出所报案，取得报案回执；随后向深圳网警和深圳互联网应急中心寻求协助。15日晚，在深圳网警同志的彻夜努力排查之下，初步定位此次事件的原因是驱动人生早期版本更新服务器(IP: 103.56.xx.xx)被不法分子非法侵入，篡改了升级域名，使早期版本用户下载安装了不法分子的含有木马更新文件。

虽然我们目前认为只有一台服务器被侵入，但为了充分保障用户安全，减少对用户可能造成的损失，我司经过讨论后决定：暂时关闭旗下所有服务器。

随后我司将对所有服务器进行彻底排查，每排查完毕一台，上线一台，在此期间，会导致用户无法正常使用驱动人生系列产品中需要联网的功能，其中包括了驱动查询、驱动下载等核心服务。由此对用户造成的不便和损失，我们深表歉意！但我们相信，给用户一个更加安全的驱动下载和安装环境，是我们应负的责任。

最后感谢各安全软件在最后一道防线上有效的保护用户的电脑，避免了用户的损失，感谢深圳网警和深圳市网安计算机安全检测有限公司的有力帮助，在以后的工作中，我们会把网络安全放在首要地位，加强公司员工的安全意识，给用户一个安全，便捷的使用环境。

深圳市驱动人生科技股份有限公司

2018年12月16日

声明：本文来自深圳网安检测，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如需转载，请联系原作者获取授权。

*本文作者：si1ence，本文属 CodeSec 原创奖励计划，未经许可禁止转载。

前言

大佬随手给我一个叫cr.sh的恶意脚本让我分析分析，毕竟是大佬安排的活不想干也要干。原本以为只是个普通的安全事件，定睛一看发现是一个做工精良的挖矿脚本套装，后续跟踪发现可能与国内某知名的挖矿团伙有关系，遂有此文。

0×1 过程分析 cr.sh内容如下：

通过执行系统命令ps ax、netstat、crontab、ps、top收集系统信息保存成tmp2.txt内容后上传到黑客指定的服务器 http://46.249.38.186/rep.php

之后定义了curl与wget的命令简单的换成了LDR，检查程序当中是否运行tmp/java、w.conf应该是挖矿的配置文件，猜测java应该是挖矿主体。之后从互联网拖一个zz.sh的文件下来之后执行。

zz.sh的内容就丰富的多了，看起来这个玩意才是重头戏。

第一步：

先用pkill -f 干掉一些常规的挖矿进程、-f参数表示正则表达式模式将执行与完全进程参数字符串 (从/proc/nnnnn/psinfo文件的pr_psargs字段获得)匹配，此处主要依据挖矿的路径和进程名。

然后在根据挖矿的conf文件再干掉一批。

通过外联的挖矿矿池地址再干掉一批。

随便查了一个地址看到这个url和3333端口就感觉八九不离十了。

第二步：

删除挖矿进程，主要还是集中在var/tmp下的文件和/tmp目录下的文件。

第三步：

检查/tmp/java的md5值是否与b00f4bbd82d2f5ec7c8152625684f853与71849cde30470851d1b2342ba5a5136b匹配，如果不匹配就直接rm -rf 干掉也没有忘了w.conf，如果目录不存在则用mkdir建一个。

第四步：

定义了二个download的函数主要功能是从远程服务器上下载样本回来，还是一个https的站点主要保存成了二个文件pscf3、java。

主要url为： https://bitbucket.org/zrundr42/mygit/raw/master/x_64 。

下载回来之后检查一下Md5:71849cde30470851d1b2342ba5a5136b。

本质上就是一个xmrige 2.8.1的linux版 在2018年11日18日编译生成。

第五步：

万事具备只欠东风了，从互联网上面下载自己的挖矿conf文件启动后开始挖矿然后删除这个conf文件。同时在写入定时任务，防止过程中出现问题之后还能继续挖矿不间断, http://46.249.38.186/cr.sh 终于还是出现了。

conf的文件内容如下：

矿池地址：

stratum+tcp://163.172.205.136:3333

钱包地址：

46CQwJTeUdgRF4AJ733tmLJMtzm8BogKo1unESp1UfraP9RpGH6sfKfMaE7V3jxpyVQi6dsfcQgbvYMTaB1dWyDMUkasg3S（与国内8220挖矿团伙钱包地址一致）

目前已经挖了37个约1.1W RMB。

看到这个8220感觉似曾相识，google一下疑是国内某挖矿团伙。

0×3 总结

1. 入侵网络服务器植入挖矿木马的攻击事件越来越频繁，各位企业应提高警惕。

2. 通过web命令执行漏洞拿到服务器的权限之后，黑客完全可以轻轻松松一键挖矿这一类的安全漏洞还是尽快修复的好。

3. 与360发现的8220挖矿团伙发现的样本相比，xmrige为最新编译的2.8.1、下载路径更新为： https://bitbucket.org 、钱包地址保存一致、未发现windows模块、部分功能有变化。

*本文作者：si1ence，本文属 CodeSec 原创奖励计划，未经许可禁止转载。

集合github平台上的安全行业从业者自研开源扫描器的仓库，包括子域名枚举，数据库漏洞扫描，弱口令或信息泄漏扫描，端口扫描，指纹识别以及其他大型扫描器或模块化扫描器。

项目地址：https://github.com/We5ter/Scanners-Box

子域名枚举扫描器或爆破工具 https://github.com/lijiejie/subDomainsBrute(lijiejie开发的一款使用广泛的子域名爆破枚举工具) https://github.com/ring04h/wydomain (猪猪侠开发的一款域名收集全面，精准的子域名枚举工具) https://github.com/le4f/dnsmaper (子域名枚举爆破工具以及地图位置标记) https://github.com/0xbug/orangescan(提供web界面的在线子域名信息收集工具) https://github.com/TheRook/subbrute(高效精准的子域名爆破工具，同时也是扫描器中最常用的子域名API库) https://github.com/We5ter/GSDF (基于谷歌SSL透明证书的子域名查询脚本) https://github.com/mandatoryprogrammer/cloudflare_enum (使用CloudFlare进行子域名枚举的脚本) https://github.com/guelfoweb/knock(Knock子域名获取，可用于查找子域名接管漏洞) https://github.com/exp-db/pythonPool/tree/master/Tools/DomainSeeker(多方式收集目标子域名信息) https://github.com/code-scan/BroDomain(兄弟域名查询) https://github.com/chuhades/dnsbrute (高效的子域名爆破工具) https://github.com/yanxiu0614/subdomain3(一款高效的子域名爆破工具) https://github.com/michenriksen/aquatone (子域名枚举，探测工具。可用于子域名接管漏洞探测) https://github.com/evilsocket/dnssearch (一款子域名爆破工具) https://github.com/reconned/domained (可用于子域名收集的一款工具) https://github.com/bit4woo/Teemo (域名收集及枚举工具) https://github.com/laramies/theHarvester(邮箱，服务器信息收集及子域名枚举工具) https://github.com/swisskyrepo/Subdomino(子域名枚举，端口扫描，服务存活确认) 自动爬虫实现的子域名收集工具 https://github.com/aboul3la/Sublist3r (快速子域枚举工具) https://github.com/jonluca/Anubis (子域名枚举及信息搜集工具) https://github.com/n4xh4ck5/N4xD0rk (子域名查询工具) https://github.com/infosec-au/altdns(一款高效的子域名爆破工具) https://github.com/FeeiCN/ESD (基于AsyncIO协程以及非重复字典的子域名爆破工具) https://github.com/giovanifss/Dumb (快速而灵活的子域名爆破工具) https://github.com/UnaPibaGeek/ctfr (通过域名透明证书记录获取子域名) https://github.com/caffix/amass(Go语言开发的子域名枚举工具) https://github.com/Ice3man543/subfinder (继承于sublist3r项目的模块化体系结构，一个强劲的子域名枚举工具) 数据库类漏洞扫描器或爆破工具 https://github.com/0xbug/SQLiScanner(一款基于SQLMAP和查尔斯的被动SQL注入漏洞扫描工具) https://github.com/stamparm/DSSS(99行代码实现的sql注入漏洞扫描器) https://github.com/LoRexxar/Feigong(针对各种情况自由变化的mysql注入脚本) https://github.com/youngyangyang04/NoSQLAttack(一款针对MongoDB中的攻击工具) https://github.com/Neohapsis/bbqsql(SQL盲注利用框架) https://github.com/NetSPI/PowerUpSQL(攻击SQLSERVER的Powershell的脚本框架) https://github.com/WhitewidowScanner/whitewidow(一款数据库扫描器) https://github.com/stampery/mongoaudit(MongoDB审计及渗透工具) https://github.com/torque59/Nosql-Exploitation-Framework(NoSQL扫描/爆破工具) https://github.com/missDronio/blindy(MySQL盲注爆破工具) https://github.com/fengxuangit/Fox-scan(基于SQLMAP的主动和被动资源发现的漏洞扫描工具) https://github.com/NetSPI/PowerUpSQL(用于SQL Server审计的powershell脚本) https://github.com/JohnTroony/Blisqy(用于http header中的时间盲注爆破工具，仅针对MySQL / MariaDB) https://github.com/ron190/jsql-injection(Java编写的SQL注入工具) https://github.com/Hadesy2k/sqliv (基于搜索引擎的批量SQL注入漏洞扫描器) https://github.com/s0md3v/sqlmate(在sqlmap基础上增加了目录扫描，hash爆破等功能) https://github.com/m8r0wn/enumdb(Mysys以及mssql爆破脱裤工具) https://github.com/9tail123/wooscan (批量查询网站在乌云是否存在忽略的sql注入漏洞并自动调用sqlmap测试) 弱口令/弱用户名扫描器或爆破工具 https://github.com/lijiejie/htpwdScan(一个简单的HTTP暴力破解，撞库攻击脚本) https://github.com/ysrc/F-Scrack(对各类服务进行弱口令检测的脚本) https://github.com/Mebus/cupp(根据用户习惯生成弱口令探测字典脚本) https://github.com/netxfly/crack_ssh(Go写的协程版的ssh \ redis \ mongodb弱口令破解工具) https://github.com/LandGrey/pydictor (暴力破解字典建立工具) https://github.com/shengqi158/weak_password_detect(多线程探测弱口令) https://github.com/s0md3v/Blazy (支持测试CSRF，Clickjacking，Cloudflare和WAF的弱口令探测器) https://github.com/MooseDojo/myBFF (对CiscoVPN，Citrix Gateway等各类服务进行弱口令检测的脚本) 物联网设备识别工具或扫描器 https://github.com/rapid7/IoTSeeker (物联网设备默认密码扫描检测工具) https://github.com/shodan-labs/iotdb (使用nmap扫描IoT设备) https://github.com/googleinurl/RouterHunterBR(路由器设备漏洞扫描利用) https://github.com/scu-igroup/telnet-scanner(Telnet服务密码撞库) https://github.com/viraintel/OWASP-Nettacker(自动化信息搜集及渗透测试工具，比较适用于IoT扫描) https://github.com/threat9/routersploit(嵌入式设备漏洞扫描及利用工具) 反射型或基于DOM的XSS扫描器 https://github.com/shawarkhanethicalhacker/BruteXSS(一款XSS扫描器，可暴力注入参数) https://github.com/1N3/XSSTracer (小型XSS扫描器，也可检测CRLF，XSS，点击劫持的) https://github.com/0x584A/fuzzXssphp(PHP版本的反射型xss扫描) https://github.com/chuhades/xss_scan (批量扫描XSS的python脚本) https://github.com/BlackHole1/autoFindXssAndCsrf(自动化检测页面是否存在XSS和跨站请求伪造漏洞的浏览器插件) https://github.com/shogunlab/shuriken(使用命令行进行XSS批量检测) https://github.com/s0md3v/XSStrike (可识别和绕过WAF的XSS扫描工具) https://github.com/stamparm/DSXS (支持GET，POST方式的高效XSS扫描器) 企业资产管理或信息泄露搜集工具 https://github.com/ysrc/xunfeng (网络资产识别引擎，漏洞检测引擎) https://github.com/laramies/theHarvester (企业被搜索引擎收录敏感资产信息监控脚本：员工邮箱，子域名，主持人) https://github.com/x0day/Multisearch-v2(Bing，google，360，zoomeye 等搜索引擎聚合搜索，可用于发现企业被搜索引擎收录的敏感资产信息) https://github.com/Ekultek/Zeus-Scanner(能成抓取搜索引擎隐藏的url，并交由sqlmap，nmap扫描) https://github.com/0xbug/Biu-framework(企业内网基础服务安全扫描框架) https://github.com/metac0rtex/GitHarvester(github Repo信息搜集工具) https://github.com/shengqi158/svnhack(.svn文件夹泄漏利用工具) https://github.com/repoog/GitPrey(GitHub敏感信息扫描工具) https://github.com/0xbug/Hawkeye(企业资产，敏感信息GitHub泄露监控系统) https://github.com/lianfeng30/githubscan(根据企业关键词进行项目检索以及相应敏感文件和文件内容扫描的工具) https://github.com/UnkL4b/GitMiner(github敏感信息搜索工具) https://github.com/lijiejie/GitHack ( .git文件夹泄漏利用工具) https://github.com/dxa4481/truffleHog(GitHub敏感信息扫描工具，包括检测提交等) https://github.com/1N3/Goohak(自动化对指定域名进行Google hacking搜索并收集信息) https://github.com/UKHomeOffice/repo-security-scanner(用于搜索git的承诺中的敏感信息，例如密码，私钥等的客户端工具) https://github.com/FeeiCN/GSIL(Github敏感信息泄露扫描) https://github.com/MiSecurity/x-patrol(Github泄露巡航工具) https://github.com/1N3/BlackWidow(Web站点信息搜集工具，包括邮箱，电话等信息) https://github.com/anshumanbh/git-all-secrets (集合多个开源GitHub敏感信息扫描的企业信息泄露巡航工具) https://github.com/s0md3v/Photon (可以提取网址，电子邮件，文件，网站帐户等的高速爬虫) webshell的检测或木马分析工具 https://github.com/he1m4n6a/findWebshell(一款简单的webshell检测工具) https://github.com/Tencent/HaboMalHunter(哈勃分析系统，linux系统病毒分析及安全检测) https://github.com/PlagueScanner/PlagueScanner(使用python实现的集成ClamAV，ESET，Bitdefender的反病毒引擎) https://github.com/nbs-system/php-malware-finder (一款高效率PHP-webshell扫描工具) https://github.com/emposha/PHP-Shell-Detector/(测试效率高达99%的webshell检测工具) https://github.com/erevus-cn/scan_webshell(一款简洁的的Webshell扫描工具) https://github.com/emposha/Shell-Detector(Webshell扫描工具，支持php / perl / asp / aspx webshell扫描) https://github.com/m4rco-/dorothy2 (一款木马，僵尸网络分析框架) https://github.com/droidefense/engine (高级安卓木马病毒分析框架) 内网渗透或扫描工具 https://github.com/lcatro/network_backdoor_scanner (基于网络流量的内网探测框架) https://github.com/fdiskyou/hunter (调用windows API枚举用户登录信息) https://github.com/BlackHole1/WebRtcXSS (自动化利用XSS入侵内网) 中间件扫描器或指纹识别工具 https://github.com/ring04h/wyportmap (目标端口扫描+系统服务指纹识别) https://github.com/ring04h/weakfilescan(动态多线程敏感信息泄露检测工具) https://github.com/EnableSecurity/wafw00f(WAF产品指纹识别) https://github.com/rbsec/sslscan(SSL类型识别) https://github.com/urbanadventurer/whatweb(Web指纹识别) https://github.com/tanjiti/FingerPrint(Web应用指纹识别) https://github.com/nanshihui/Scan-T(网络爬虫式指纹识别) https://github.com/OffensivePython/Nscan (基于Masscan和Zmap的网络扫描器) https://github.com/ywolf/F-NAScan (网络资产信息扫描，ICMP存活探测，端口扫描，端口指纹服务识别) https://github.com/ywolf/F-MiddlewareScan(中间件扫描) https://github.com/maurosoria/dirsearch(web路径收集与扫描) https://github.com/x0day/bannerscan(C段横幅与路径扫描) https://github.com/RASSec/RASscan (端口服务扫描) https://github.com/3xp10it/bypass_waf(waf自动暴破) https://github.com/3xp10it/xcdn (尝试找出cdn背后的真实ip) https://github.com/Xyntax/BingC (基于Bing搜索引擎的C段/旁站查询，多线程，支持API) https://github.com/Xyntax/DirBrute (多线程WEB目录爆破工具) https://github.com/zer0h/httpscan(一个爬虫式的网段Web主机发现小工具) https://github.com/lietdai/doom(Thorn上实现的分布式任务分发的ip端口漏洞扫描器) https://github.com/chichou/grab.js (类似zgrab的快速TCP指纹抓取解析工具，支持更多协议) https://github.com/Nitr4x/whichCDN(CDN识别，检测) https://github.com/secfree/bcrpscan (基于爬虫的web路径扫描器) https://github.com/mozilla/ssh_scan (服务器ssh配置信息扫描) https://github.com/18F/domain-scan (针对域名及其子域名的资产数据检测/扫描，包括http / https检测等) https://github.com/ggusoft/inforfinder (域名资产收集及指纹识别工具) https://github.com/boy-hack/gwhatweb(CMS识别python gevent实现) https://github.com/Mosuan/FileScan (敏感文件扫描/二次判断降低误报率/扫描内容规则化/多目录扫描) https://github.com/Xyntax/FileSensor (基于爬虫的动态敏感文件探测工具) https://github.com/deibit/cansina(web路径扫描工具) https://github.com/0xbug/Howl (网络设备web服务指纹扫描与检索) https://github.com/mozilla/cipherscan (目标主机服务ssl类型识别) https://github.com/xmendez/wfuzz(Web应用fuzz工具，框架，同时可用于web路径/服务扫描) https://github.com/s0md3v/Breacher (多线程的后台路径扫描器，也可用于发现重定向漏洞后执行) https://github.com/ztgrace/changeme (弱口令扫描器，不仅支持普通登录页，也支持ssh，mongodb等组件) https://github.com/medbenali/CyberScan(渗透测试辅助工具，支持分析数据包，解码，端口扫描，IP地址分析等) https://github.com/m0nad/HellRaiser (基于nmap的扫描器，与cve漏洞关联) https://github.com/scipag/vulscan (基于nmap的高级漏洞扫描器，命令行环境使用) https://github.com/jekyc/wig(web应用信息搜集工具) https://github.com/eldraco/domain_analyzer (围绕web服务的域名进行信息收集和“域传送”等漏洞扫描，也支持针对背后的服务器端口扫描等) https://github.com/cloudtracer/paskto (基于Nikto扫描规则的被动式路径扫描以及信息爬虫) https://github.com/zerokeeper/WebEye(快速识别WEB服务器类型，CMS类型，WAF类型，WHOIS信息，以及语言框架) https://github.com/m3liot/shcheck(用于检查web服务的http header的安全性) https://github.com/aipengjie/sensitivefilescan(一款高效快捷的敏感文件扫描工具) https://github.com/fnk0c/cangibrina(通过字典穷举，google，robots.txt等途径的跨平台后台管理路径扫描器) https://github.com/n4xh4ck5/CMSsc4n(常规CMS指纹识别) https://github.com/Ekultek/WhatWaf(WAF指纹识别及自动化绕过工具) https://github.com/dzonerzy/goWAPT(网络应用模糊工具，框架，同时可用于网络路径/服务扫描) https://github.com/blackye/webdirdig(web敏感目录/信息泄漏扫描脚本) https://github.com/GitHackTools/BillCipher (用于网站或IP地址的信息收集工具) https://github.com/boy-hack/w8fuckcdn(通过扫描全网获得真实IP的自动化程序) https://github.com/boy-hack/w11scan (分布式WEB指纹识别平台) https://github.com/Nekmo/dirhunt (爬虫式web目录扫描工具) 专用(即特定性针对某些组件)扫描器 https://github.com/blackye/Jenkins(Jenkins漏洞探测，用户抓取爆破) https://github.com/code-scan/dzscan (首款集成化的Discuz扫描工具) https://github.com/chuhades/CMS-Exploit-Framework (一款简洁优雅的CMS扫描利用框架) https://github.com/lijiejie/IIS_shortname_Scanner(IIS短文件名暴力枚举漏洞利用工具) https://github.com/riusksk/FlashScanner(flashxss扫描) https://github.com/coffeehb/SSTIF(一个起毛服务器端模板注入漏洞的半自动化工具) https://github.com/epinna/tplmap (服务器端模板注入漏洞检测与利用工具) https://github.com/cr0hn/dockerscan(Docker扫描工具) https://github.com/m4ll0k/WPSeku (一款精简的wordpress扫描工具) https://github.com/rastating/wordpress-exploit-framework (集成化wordpress漏洞利用框架) https://github.com/ilmila/J2EEScan(用于扫描J2EE应用的一款burpsuite插件) https://github.com/riusksk/StrutScan (一款基于perl的strut2的历史漏洞扫描器) https://github.com/D35m0nd142/LFISuite(本地文件包含漏洞利用及扫描工具，支持反弹shell) https://github.com/0x4D31/salt-scanner (基于Salt Open以及Vulners Linux Audit API的linux漏洞扫描器，支持与JIRA，slack平台结合使用) https://github.com/tijme/angularjs-csti-scanner (自动化探测客户端AngularJS模板注入漏洞工具) https://github.com/irsdl/IIS-ShortName-Scanner(Java编写的IIS短文件名暴力枚举漏洞利用工具) https://github.com/swisskyrepo/Wordpresscan (基于WPScan以及WPSeku的优化版wordpress扫描器) https://github.com/CHYbeta/cmsPoc(CMS渗透测试框架) https://github.com/rudSarkar/crlf-injector(CRLF注入漏洞批量扫描) https://github.com/3gstudent/Smbtouch-Scanner (自动化扫描内网中存在的由影子经纪人泄露的ETERNAL系列漏洞) https://github.com/utiso/dorkbot (通过定制化的谷歌搜索引擎进行漏洞页面搜寻及扫描) https://github.com/OsandaMalith/LFiFreak (本地文件包含漏洞利用及扫描工具，支持反弹shell) https://github.com/mak-/parameth (用于枚举脚本的GET / POST未知参数字段) https://github.com/Lucifer1993/struts-scan(struts2的漏洞全版本检测和利用工具) https://github.com/hahwul/a2sv(SSL漏洞扫描，例如心脏滴血漏洞等) https://github.com/NullArray/DorkNet(基于搜索引擎的漏洞网页搜寻) https://github.com/NickstaDB/BaRMIe(用于攻击爆破Java Remote Method Invocation服务的工具) https://github.com/RetireJS/grunt-retire (扫描js扩展库的常见漏洞) https://github.com/kotobukki/BDA(针对的hadoop /火花等大数据平台的的漏洞探测工具) https://github.com/jagracey/Regex-DoS(RegEx拒绝服务扫描器) https://github.com/milesrichardson/docker-onion-nmap(使用NMAP扫描的Tor网络上隐藏的“洋葱”服务) https://github.com/Moham3dRiahi/XAttacker(Web CMS Exploit工具，包含针对主流CMS的66个不同的漏洞利用) https://github.com/lijiejie/BBScan(一个迷你的信息泄漏批量扫描脚本) https://github.com/almandin/fuxploider (文件上传漏洞扫描器及利用工具) https://github.com/Ice3man543/SubOver (子域名接管漏洞检测工具，支持30+云服务托管检测) https://github.com/Jamalc0m/wphunter(WordPress的漏洞扫描器，同时也支持敏感文件泄露扫描) https://github.com/retirejs/retire.js (检测网站依赖的javascript库中存在的已知通用漏洞) https://github.com/3xp10it/xupload (自动检测上传功能是否可上传webshell) https://github.com/mobrine-mob/M0B-tool(CMS指纹识别及自动化渗透测试框架) https://github.com/rezasp/vbscan (论坛框架vBulletin黑盒漏洞扫描器) https://github.com/MrSqar-Ye/BadMod(CMS指纹识别及自动化渗透测试框架) https://github.com/Tuhinshubhra/CMSeeK(CMS漏洞检测和利用套件) https://github.com/cloudsploit/scans(AWS安全审计工具) https://github.com/radenvodka/SVScanner (针对wp，magento，joomla等CMS的漏洞扫描器及自动利用工具) https://github.com/rezasp/joomscan(OWASP旗下joomla漏洞扫描项目) https://github.com/6IX7ine/djangohunter (用于检测因错误配置导致敏感信息暴露的Django应用程序) 无线网络(审计)扫描器 https://github.com/savio-code/fern-wifi-cracker/ (无线安全审计工具) https://github.com/m4n3dw0lf/PytheM(Python网络/渗透测试工具) https://github.com/P0cL4bs/WiFi-Pumpkin (无线安全渗透测试套件) https://github.com/MisterBianco/BoopSuite(无线网络审计工具，支持2-5GHZ频段) https://github.com/DanMcInerney/LANs.py(ARP欺骗，无线网络劫持) https://github.com/besimaltnok/PiFinger (检查wifi是否是“大菠萝”所开放的热点，并给予网络评分) https://github.com/derv82/wifite2 (自动化无线网络攻击工具wifite的重构版本) 局域网络(本地网络)扫描器 https://github.com/sowish/LNScan (基于BBScan via.lijiejie的本地网络扫描) 你自己网络扫描 https://github.com/SkyLined/LocalNetworkScanner(基于JavaScript的的本地网络扫描) 自由软件网址：地址端口扫描 代码审计工具或扫描器 https://github.com/wufeifei/cobra (白盒代码安全审计系统) https://github.com/OneSourceCat/phpvulhunter (静态PHP代码审计) https://github.com/Qihoo360/phptrace (跟踪，分析PHP运行情况的工具) https://github.com/ajinabraham/NodeJsScan(的NodeJS应用代码审计) https://github.com/shengqi158/pyvulhunter(Python应用审计) https://github.com/presidentbeef/brakeman(Ruby on Rails应用静态代码分析) https://github.com/python-security/pyt(Python应用静态代码审计) https://github.com/m4ll0k/WPSploit(WordPress插件代码安全审计) https://github.com/emanuil/php-reaper (用于扫描PHP应用程序中可能存在SQL漏洞的ADOdb代码) https://github.com/lowjoel/phortress (用于检测潜在安全漏洞的PHP静态代码分析工具) 模块化设计扫描器或漏洞检测框架 https://github.com/az0ne/AZScanner(自动漏洞扫描器，子域名爆破，端口扫描，目录爆破，常用框架漏洞检测) https://github.com/blackye/lalascan (集合owasp top10漏洞扫描和边界资产发现能力的分布式web漏洞扫描框架) https://github.com/blackye/BkScanner(BkScanner分布式，插件化web漏洞扫描器) https://github.com/ysrc/GourdScanV2(ysrc出品的被动式漏洞扫描工具) https://github.com/netxfly/passive_scan(基于http代理的web漏洞扫描器) https://github.com/1N3/Sn1per (自动化扫描器，包括中间件扫描以及设备指纹识别) https://github.com/RASSec/pentestEr_Fully-automatic-scanner(定向全自动化渗透测试工具) https://github.com/3xp10it/3xp10it(自动化渗透测试框架，支持cdn真实ip查找，指纹识别等) https://github.com/Lcys/lcyscan(蟒插件化漏洞扫描器，支持生成扫描报表) https://github.com/Xyntax/POC-T (渗透测试插件化并发框架) https://github.com/v3n0m-Scanner/V3n0M-Scanner(支持检测SQLI / XSS / LFI / RFI等漏洞的扫描器) https://github.com/Skycrab/leakScan(Web图形化的漏洞扫描框架) https://github.com/zhangzhenfeng/AnyScan(一款网络化的自动化渗透测试框架) https://github.com/Tuhinshubhra/RED_HAWK(一款集成信息收集，漏洞扫描，指纹识别等的多合一扫描工具) https://github.com/Arachni/arachni (高度集成化的Web应用漏洞扫描框架，支持REST，RPC等api调用) https://github.com/infobyte/faraday(集成化渗透测试辅助平台及漏洞管理平台) https://github.com/juansacco/exploitpack(渗透测试集成框架，包含超过38,000+攻击) https://github.com/swisskyrepo/DamnWebScanner(基于铬/歌剧插件的被动式漏洞扫描) https://github.com/anilbaranyelken/tulpar(支持多种网络漏洞扫描，命令行环境使用) https://github.com/m4ll0k/Spaghetti(web应用扫描器，支持指纹识别，文件目录爆破，SQL / XSS / RFI等漏洞扫描，也可直接用于struts，ShellShock等扫描) https://github.com/Yukinoshita47/Yuki-Chan-The-Auto-Pentest (集成子域名枚举，nmap，waf指纹识别等模块的web应用扫描器) https://github.com/0xsauby/yasuo (使用ruby开发的扫描网络中主机存在的第三方web应用服务漏洞) https://github.com/hatRiot/clusterd(Web应用自动化扫描框架，支持自动化上传webshell) https://github.com/erevus-cn/pocscan (一款开源Poc调用框架，可轻松调用Pocsuite，Tangscan，Beebeeto，Knowsec老版本POC，可使用docker部署) https://github.com/TophantTechnology/osprey (斗象能力中心出品并长期维护的开源漏洞检测框架) https://github.com/yangbh/Hammer(Web应用漏洞扫描框架) https://github.com/Lucifer1993/AngelSword(Web应用漏洞扫描框架，基于python3) https://github.com/secrary/EllaScanner (被动式漏洞扫描，支持历史cve编号漏洞识别) https://github.com/zaproxy/zaproxy(OWASP ZAP核心项目出品的综合性渗透测试工具) https://github.com/sullo/nikto(Web服务综合型扫描器，用于指定目标的资产收集，安全配置缺陷或者安全漏洞扫描) https://github.com/s0md3v/Striker (一款多方位信息收集，指纹识别及漏洞扫描工具) https://github.com/dermotblair/webvulscan (一款web应用漏洞扫描器，支持扫描反射型以及存储型xss，sql injection等漏洞，支持输出pdf报告) https://github.com/alienwithin/OWASP-mth3l3m3nt-framework(渗透测试辅助工具，综合利用框架) https://github.com/toyakula/luna (基于被动式扫描框架的自动化web漏洞扫描工具) https://github.com/Manisso/fsociety (渗透测试辅助框架，包含信息搜集，无线渗透，网络应用扫描等功能) https://github.com/boy-hack/w9scan(内置1200+插件的web漏洞扫描框架) https://github.com/YalcinYolalan/WSSAT(Web服务安全评估工具，提供基于windows操作系统的简单.exe应用) https://github.com/AmyangXYZ/AssassinGo(使用去开发的可扩展以及高并发渗透测试框架) https://github.com/jeffzh3ng/InsectsAwake (基于Flask应用框架的漏洞扫描系统) https://github.com/m4ll0k/Galileo (一个操作上类似metasploit的web应用安全审计框架) https://github.com/joker25000/Optiva-Framework (一款web应用漏洞扫描器，支持扫描反射型以及存储型xss，sql injection等漏洞) https://github.com/theInfectedDrake/TIDoS-Framework (集成104个模块的Web应用程序渗透测试框架) 高级持续性威胁(APT)相关工具 https://github.com/Neo23x0/Loki (一款APT入侵痕迹扫描器) 工控系统及大型网络相关安全工具 https://github.com/w3h/icsmaster/tree/master/nse(ICS设备nmap扫描脚本) https://github.com/OpenNetworkingFoundation/DELTA(SDN安全评估框架) 收集目的

本仓库收集的初衷是为向各类企业安全从业人员提供在企业信息安全防护体系建设过程中可以参考的开源安全扫描工具，以期望企业能够利用这些扫描器对自身业务进行自检，从而提高自身业务安全性。

网络安全公司 McAfee 或再遭出售 私募或超 42 亿美元接手

据外媒报道，据知情人士透露，私募公司Thoma Bravo正在就从德太投资（TPG）和英特尔手中收购安全软件公司McAfee的事宜进行初步讨论，收购价格远高于该公司在2016年时42亿美元的估值。这些人士说，谈判可能仍会破裂，预计不会很快宣布交易。由于讨论是私下的，他们要求不具名。McAfee由约翰迈克菲（John McAfee）于1987年创立，为个人计算机和服务器开发网络安全软件，保护用户免受恶意软件和其他病毒的侵害。这种类型的计算机安全可防止对个人设备的攻击。最近，McAfee的业务扩展到移动设备和云计算，而这正是黑客迁移的地方。

参考来源：

https://new.qq.com/cmsn/20181215/20181215002028.html

美国防部检察长办公室发现导弹防御系统的网络漏洞

美国国防部检察长办公室（Office of Inspector General ，OIG）12月10日公布的一份审计报告显示，美国陆军、海军和导弹防御署（MDA，Missile Defense Agency）未能采取基本的网络安全措施来确保美国弹道导弹防御系统的信息不会落入不法之手。调查人员访问了五个管理弹道导弹防御系统及技术信息的地址，在公开发布的报告中，这些控制系统的名称被删除了。解密版的审计报告里提到“美国陆军、海军和MDA未能成功保护存储和传输导弹防御技术信息的网络及系统免受未经授权的访问和使用。这些缺陷可能让美国的对手绕过导弹防御能力，使美国容易受到导弹攻击”。

参考来源：

https://www.secrss.com/articles/7142

Cloudflare 疑因为恐怖组织网站提供 DDoS 保护服务遭抨击

据外媒报道，就在网络言论自由和温和政策比以往任何时候都更具争议期间，Cloudflare因为恐怖组织提供网络安全保护而面临指控。据悉，该机构被指至少有在为7个恐怖组织提供网络安全服务，对此一些法律专家认为这种情况可能会使其面临法律风险。Cloudflare面向市场提供了一系列对运营现代网站的重要服务，比如DDoS保护。这是一家宣称可以处理10%互联网请求的庞大组织，据称它还准备进行35亿美元的IPO。然而在周五，《赫芬顿邮报》指出，通过对大量有恐怖组织运营网络的审查以及与四名国家安全与反极端主义专家的合作，他们发现这些网站受到了来自Cloudflare的网络安全服务保护。

参考来源：

https://www.cnbeta.com/articles/tech/798909.htm

“脸书”涉泄 680 万用户照片，或面临 16 亿美元罚款

据外媒报道，美国社交网站“脸书”(Facebook)又出现安全漏洞，导致第三方应用软件获取用户未公开的私人照片，初步估计，有多达680万用户受影响。目前，欧洲隐私管制机构爱尔兰数据保护委员会已着手调查，“脸书”或因此被罚款超过16亿美元。14日，“脸书”公司发表声明说，“脸书”系统出现程序漏洞，导致大约1500个应用软件在今年9月13日至25日期间，能够获取用户未分享的照片。“脸书”表示，如果用户曾使用“脸书”账号登录第三方应用软件，并授权软件存取照片，那用户的私人照片可能已经外泄，其中包括没有公开分享的照片。

参考来源：

http://tech.caijing.com.cn/20181216/4546711.shtml

工信部：明年在全国正式提供手机卡异地销户服务

工信部已经要求三家基础电信企业最迟于2018年11月1日试行手机卡异地销户服务，2019年1月1日在全国正式提供手机卡异地销户服务。截至2018年11月1日，三家基础电信企业均已试行手机卡异地销户服务。目前，部分营业厅已开设此业务，还有部分营业厅已可以代用户申请办理异地销户。

参考来源：

http://www.nbd.com.cn/articles/2018-12-16/1282442.html

巴西 1.2 亿纳税人信息遭泄露

一台配置错误的服务器于未知的时间暴露了1.2亿巴西公民的纳税人身份证号(Cadastro de Pessoas Fisicas，简称CPFs)。巴西国民需要在开立银行账户、创建企业、纳税或获取贷款之前，先申请到CPF号码，号码会与所有者的个人和财务信息绑定，此类信息被泄露/公开，无疑是一种巨大的风险。根据InfoArmor的最新研究，2018年3月，一个Apache web服务器被发现配置不当，暴露了存储在其上的数据档案。默认情况下，Apache Web服务器返回名为index.html的默认文件的内容（如果存在）。如果该名称的文件不存在且目录列表已启用，它将显示所请求文件夹中包含的文件和文件夹，并允许用户下载。

参考来源：

https://www.hackeye.net/securityevent/17901.aspx

SQLite 被曝存在漏洞，所有 Chromium 浏览器受影响

SQLite 被曝存在一个影响数千应用的漏洞，受害应用包括所有基于 Chromium 的浏览器。据 ZDNet 报导，该漏洞允许攻击者在受害者的计算机上运行恶意代码，并在危险较小的情况下泄漏程序内存或导致程序崩溃。由于 SQLite 嵌入在数千个应用程序中，因此该漏洞会影响各种软件，包括物联网设备、桌面软件、Web 浏览器、Android 与 iOS 应用。如果底层浏览器支持 SQLite 和 Web SQL API，那么将漏洞利用代码转换为常规 SQL 语法也可以通过访问网页等操作远程利用此漏洞。Chromium 浏览器引擎支持此 API，这意味着像 Chrome、Vivaldi、Opera 和 Brave 等浏览器都会受到影响，而 Firefox 和 Edge 由于不支持此 API，因此不受影响。

参考来源：

https://www.oschina.net/news/102738/sqlite-bug-impacts-thousands-of-apps

关于安全帮

安全帮，是中国电信北京研究院旗下安全团队，致力于成为“SaaS安全服务领导者”。目前拥有“1+4”产品体系：一个SaaS电商(www.anquanbang.vip) 、四个平台（SDS软件定义安全平台、安全能力开放平台、安全大数据平台、安全态势感知平台）。

译者：价值区块链SallyQi

黑客们发明了一种新的方法来窃取你的加密货币。这一次，他们正在进行一场大规模的黑客活动，以找出具有特定漏洞的以太坊钱包和矿工。

根据ZDNet上的报告，加密货币领域的黑客正将以太坊钱包和端口为8545的挖矿设备作为攻击目标。这是JSON-RPC接口的标准端口 ，位于本地设备上的编程API，可用于查询与挖矿相关的信息。

以太坊的开发人员曾警告用户，在使用挖矿设备和以太坊软件时，暴露JSON-RPC接口是有危险的，黑客指示用户为接口启用密码或激活防火墙以过滤进入易受攻击端口的互联网流量。

根据设计，JSON-RPC接口没有默认密码。用户可以自己设置一个密码，而他们很少这样做。对于以太坊钱包或其端口暴露在互联网上的挖矿设备，黑客可以向API发送命令，并从钱包中远程转移资金。

报告指出，挖矿设备制造商和以太坊钱包开发人员已经通过警告用户设置自己的密码，来降低这个有问题的界面给用户造成的损害。其他公司则采取了极端的方式，完全删除了接口，但由于这不是一个统一的工作，问题仍然存在。

虽然在过去的两年中有大量的以太币扫描活动，但这是首次在熊市中报告这种活动。事实上，该报告引用了Bad Packets LLC的联合创始人Tory Mursch的数据。Mursch对《纽约时报》表示，与上月价格稳定时相比，扫描活动在去年12月增加了两倍。

“尽管加密货币价格暴跌，但免费糖果仍然可以领取，尽管金额不大”。

令人难以置信的是，通过一个暴露的端口8545，可以如此容易就获得开发以太坊客户端所需的工具。根据报告，超过4,700台设备（主要由Geth采矿设备和Parity钱包组成）最易受到黑客的攻击。

去年，黑客通过Parity流行的多重签名钱包中的一个漏洞偷走了价值3200万美元的以太币，导致开发团队指示在其Parity钱包中持有以太币的用户将他们的资金转移到安全地址。

译者：价值区块链SallyQi 文章来源：http://www.blockvalue.com/news/27537.html 原文链接：https://www.ccn.com/psa-if-you-mine-ethereum-youre-a-target-for-crypto-hackers/ 原文作者：Jimmy Aki

特别申明：

区块链行业ICO项目鱼龙混杂，投资风险极高；各种数字货币真假难辨，需用户谨慎投资。blockvalue.com只负责分享信息，不构成任何投资建议，用户一切投资行为与本站无关。

Home News Your Personal Data Being Sold for Just Rs 3,500 on Dark Web

Your Personal Data Being Sold for Just Rs 3,500 on Dark Web

According to cyber security firm Kaspersky Lab, your personal data may be up for sale onDark Web for as low as Rs 3,500 that includes stolen social media accounts, banking details and credit card information from sites like Uber as well as gaming and porn websites, a new research has warned.

Kaspersky Lab investigated Dark Web markets to find out how much personal data is worth , and reports that cyber criminals can sell someone’s complete digital life for less than $50 (nearly Rs 3,500).

“This can include data from stolen social media accounts, banking details, remote access to servers or desktops, and even data from popular services like Uber,Netflix, andSpotify, as well as gaming websites, dating apps, and porn websites which might store credit card information.”

The Dark Web, also referred to as the Dark Net, is an encrypted portion of the internet that is not indexed by search engines.

The Kaspersky researchers found that the price paid for a single hacked account is lower, with most selling for about $1 per account and with criminals offering up discounts for bulk-buying.

“It is clear that data hacking is a major threat to us all, and this applies at both an individual and societal level, because stolen data funds many social evils,” said David Jacoby, Senior Security Researcher at Kaspersky Lab.

Data stolen due to people’s lax security may have limited resale value, but can be put to many uses.

“This can cause huge problems for an individual victim, who may lose money and their reputation, find themselves being chased for debt that somebody else has incurred in their name, or even suspected of a crime that somebody else has committed using their identity as a cover,” said researchers.

The most common way criminals steal this sort of data in the first place is via spear phishing campaigns or by exploiting a web related security vulnerability in an application’s software.

After a successful attack, the criminal gets password dumps which contain a combination of emails and passwords for the hacked services.

“With many people using the same password for several accounts, attackers might be able to use this information to access accounts on other platforms too,” said Kaspersky Lab.

Interestingly, some criminals selling data even provide their buyers with a lifetime warranty, so if one account stops working, the buyer will receive a new account for free.

“There are steps we can take to prevent it, including by using cybersecurity software, and being aware of how much data we are giving away for free particularly on publicly available social media profiles, or to organisations,” Jacoby noted.

Your Personal Data Being Sold for Just Rs 3,500 on Dark...

IANS - Dec 17, 2018

All Realme Phones Will Get Android Pie Update by Q2 2019

Karthik Iyer - Dec 17, 2018

Goverlan Reach: An All-in-One Tool for Remote IT Support and Management

Partner Content - Nov 14, 2018

One thing predicted for 2018 that did not happen

We predicted that attackers might target cyber insurance firms to learn who had pay-out policy coverage in order to infect them with ransomware . This did not happen at all.

One thing that happened in 2018 that was not predicted

We did not predict that there would be a big increase on cryptomining malware especially web-based cryptojackers but this emerged as one of the most popular cyber criminal activities in 2018. We were close in that we had a cryptocurrency -based prediction for 2018, which suggested that hackers would exploit a cryptocurrency based vulnerability and cause that currency to crash, but it was not around the increase in cryptominers.

One thing that should happen in 2019 but probably will not happen

Every company, regardless of size from the smallest to largest enterprise should adopt multifactor authentication (MFA) in 2019. This definitely should happen for their own protection, but I suspect there will be many laggards, despite the fact that today’s MFA solutions are much easier and less expensive.

CW Security Think Tank contributors’ wish list for 2019 Let’s get back to basics in 2019 . Align security strategy to business objectives . Put collaboration on 2019 security agenda .

由国家级知识产权平台首次举办的“中国好专利”12月16日给出最终结果，在上万件参评的专利中，360的一件网络安全专利是唯一获奖的互联网专利。

此次评选由国家知识产权运营公共服务平台联合中国知识产权发展联盟共同主办，经过初审、专家评审、大众评审以及网络公选，历时8个月，最终从企业申报的专利与大数据工具推选出来的上万件专利一起，评选出 “中国好专利”和“中国好专利”提名。

海尔、格力、360、京东、汉王和商汤等13家企业获颁了“中国好专利”奖，其中360的“基于机器学习的程序识别方法及装置”是唯一获奖的互联网专利。

360集团总法律顾问张帆介绍，该专利属于互联网安全领域的核心基础性专利，以此技术为基础，360推出了杀毒引擎QVM。

360QVM是全球首个采用人工智能和机器学习技术的反病毒引擎，今天处理的样本量达到了180亿。

考察一个反病毒引擎的核心指标是误报率，360QVM借助人工智能等技术，未知恶意软件检出率超过99%，误报率已做到了小于0.01%。

2017年，WannaCry勒索蠕虫爆发后，QVM在1个多小时内便找出了它的数百个变种--这显然只能依靠人工智能算法进行匹配，人力早已望尘莫及。

值得一提的是，智能查杀引擎QVM，也是360安全大脑的一个典型应用场景。它指向了一个问题的两个方面，即升级的网络安全威胁，和同样需要升级的网络安全防护理念与技术。

“安全大脑”是为了应对大安全时代错综复杂的网络威胁和挑战，360集团综合运用十多年来积累的海量数据和4000多项大数据和人工智能专利技术，构建起来的一个具有感知、学习、推理、预测和决策能力的全球最大的智能安全防御系统。

张帆表示，目前360已经不止在做传统的病毒查杀、软件安全防护，在全球网络安全进入“大安全”时代后，360已经开始涉猎家庭安防、城市安防、社会安防，“360安全大脑”就是其技术保障，它能够实现更加智能化、整体化的安全防护。

值得注意的是，周鸿yN也是这项专利的发明人之一，这位一直讲自己最适合做的是产品经理的CEO，在360已经拥有的上万件专利中，他发明的专利有60余件。

创始人对技术研发的重视直接引领一个企业的技术创新风格。去年360花在研发上的费用达24.2亿元。研发投入可以直接帮助企业形成专利和技术壁垒，截至2018年6月末，360集团专利申请总量超过11,000件，其中发明申请总量超万件；授权专利总量超过3,200件，其中发明授权总量超2,500件。

雷锋网版权文章，未经授权禁止转载。详情见 转载须知 。

随着互联网技术的发展，信息数据的传递、利用越来越便捷多样，在提升社会生产、生活效率的同时，也带来了诸多安全隐患。如何运用密码学基础理论，探索信息安全技术，保障网络空间安全，已成为当前政府、学术界、工业界共同关注的焦点。

2018年12月15日，第十四届信息安全与密码学国际会议（Inscrypt 2018）在福州正式开幕。本届会议由信息安全国家重点实验室、福州师范大学主办，福建省网络安全与密码技术重点实验室承办，矩阵元作为会议唯一工业界合作伙伴，将对为期两天的会议提供多方位支持，并继续推动密码学理论的工程化实践与落地应用。

Inscrypt 2018以“信息安全与密码学”为主题，围绕可证明函数、布尔函数、安全多方计算、哈希函数、数字签名、公钥加密、密钥协商、身份认证、隐私计算等相关热点议题进行深入交流和探讨。矩阵元CEO孙立林受邀出席会议，做了《Web3.0时代隐私计算的实践与思考》专题报告。

孙立林指出，Web3.0面临着两个主要挑战：扩展性和隐私性。其中，最重要的是隐私性问题。数据的挖掘利用给人们带来了极大便利，而一系列数据泄露事件的发生，也引起了从用户到政府对隐私保护的担忧。

矩阵元一直在对密码学理论进行研发投入和工程化实践，力图通过以安全多方计算（MPC）为核心的隐私计算技术来解决隐私保护难题，让数据在无需归集、隐私不被泄露的前提下，通过协同计算来实现数据的共享利用，充分发挥数据应有的价值。

“除安全多方计算（MPC）外，我们基于密码学研发的新型隐私安全技术和算法还有代理重加密(PRE)、零知识证明（ZKP）、同态加密 (HE)等。”孙立林如是说。

关于隐私计算的应用，孙立林表示，矩阵元已与合作伙伴，在医疗、保险、征信、广告、AI机器学习等领域，逐步实现了基于数据隐私保护的多样化跨机构数据统计分析、多源数据模型训练和图像身份认证等落地实践，并在物联网、车联网等领域进行了深入探索。

报告最后，孙立林强调，在密码学理论研究、解决方案工程实践及复合人才培养方面，矩阵元会继续坚定地去投入、探索和超越。“十分荣幸能够成为Inscrypt 2018的合作伙伴，也衷心地欢迎更多密码学领域人才加入到我们队伍，一起去开拓隐私计算的美好未来！”

After struggling with every combination of your name and your birth year for the perfect username, you’re probably used to this welcoming you on every website you join:

Password must contain:

One aquatic animal Your favorite color Three uppercase letters minus the number of lowercase letters, unless it’s Tuesday Your mother’s maiden name Take the number of siblings in your family divided by two and add special characters to it The name of the restaurant you ate at after winning the science fair

Let’s face it, like the AMC Gremlin and not putting seat belts in cars, passwords are outdated. The first computers did not have passwords. Tomorrow’s computers won’t have them, either. And good riddance.

We have come a long way in the development of computer systems and hardware. The first computers were in controlled locations and were only available to an elite handful of people. While the combination of physical and implicit social control was enough at first, as the number of users grew, connections weakened and the incentive to abuse the system grew. And so birthed the password. But just like with baby names, the chances of two people picking the same password was relatively high, and simply identifying people by them wasn’t enough. This is where those (sometimes embarrassing, always telling) usernames came into play, offering a unique “combination lock” on any computer or internet user’s personal information.

Enter Your Password

Computer passwords were introduced in 1960 , when no one was trusting a machine to authenticate anything, not even MIT. However, computers and systems continue to advance and, while there was a time when password systems had a hard physical limit to how often a person could try to guess, now we have computers that can try to enter passwords on other computers, automatic and form fill-in apps, and more.

Reset Your Password

Computers and services have become ubiquitous. We’ve tried to take back control by way of setting various passwords for various different platforms. This has left us with an average of 191 passwords per person. Even if you are geeky enough to know about passphrases and the XKCD comic, remembering 191 passwords is an unreasonable task. Most people have found themselves repeating the same bad habit of reusing them. As a consequence, if those passwords are lost or stolen, every service they are being used for is now at risk. But, every problem presents a business opportunity―in this case, for the rise of password managers to cache all usernames and passwords and lock them behind a single, all-encompassing password. The obvious downside? If your manager gets compromised, so do all your accounts. This master pass phrase is very valuable. But, at least you only have one. And from a security perspective, it is far better than reusing passwords. Besides, how many times can you reconfigure your mom’s birthday and the street you grew up on?

We can either change people:

Or, we can all brace ourselves for the inevitable and accept that the current model is broken and beyond repair.

Information technology has undergone truly radical changes since usernames and passwords were invented. Are they really the best solution? Is “Well, that’s the way we’ve always done it” a compelling reason not to do better? After all, that was the same logic applied to VHS tapes and shag carpeting, and look where those ended up.

Forget Your Password

Today, most people have more than one computer, far more powerful than any earlier machine―computers so powerful that they are capable of inventing passwords better than any human can come up with, making the chance of two computers creating the same one virtually impossible.

We carry these devices on us at all times, whether we’re using our smartwatches, smartphones or tablets. The problem with so-called 2FA is that it makes our passwords and usernames less user-friendly. So what about this: What if we do away with the old song and dance that is our existing model as we know it and let our devices do the authentication? Well, this the very premise of key-based authentication.

Essentially, key-based authentication is what it sounds like. Think of your server a locked door. If a password is a traditional metal key, then key-based authentication is a passcode on the door. Using asymmetric cryptography algorithms , key-based authentication confirms your identity from this series of algorithms.

Key-based authentication = NO. MORE. PASSWORDS.

“What about theft?” I’m glad you asked. A simple PIN in this scenario will suffice, since with most devices there is physical control over the actual number of attempts someone can make. Furthermore, every device will generate its own unique key, like a thumbprint! No two devices are the same. Every key will be less valuable in the best of all ways: They can be revoked when necessary and regenerated upon demand.

The result is security far beyond what is commonplace today, but with dramatically improved usability. All it takes is for the industry to finally take the step and let usernames and passwords rest in peace.