[資安小常識] IE9 可成功阻擋 99% 來自社交網站惡意軟體的攻擊

作者:資安顧問 Taien 跨網站指令碼 (Cross-Site Script, XSS) 在之前[資安小常識]什麼是跨網站指令碼 XSS 攻擊?介紹過,Cross-Site Script 按造縮寫我們知道是 CSS,為什麼不叫 CSS 呢?第一個原因當然是因為它跟網頁設計常用的串接樣式表 (Cascading Style Sheets, CSS) 同名,那為什麼要改 XSS 呢?主要原因就是邪惡的東西通常用 X 來表示,所以造成了 XSS 這個大家熟悉的名稱。 為什麼又要老生常談這個攻擊呢?因為今年開始各手機廠商已經進入戰國時代,手機商為了要與眾不同可以看到現在紛紛推出了社群網站專用機,而社群網站與 Web2.0 平台就是最容易遇到所謂的 XSS 攻擊,可以遇見的是在手持裝置支援越來越多,XSS 也將更無遠弗屆,你也許覺得這個東西離你很遠,那就讓我們來回顧一些相關的新聞: 2006/11/21 無名小站遇「駭」 個資流入中國 2007/07/03 Yahoo! 郵件 (XSS 攻擊) – 影片 2009/04/11 17 歲少年:Twitter 的 XSS 蠕蟲是我做的 2009/06/22 FB HIveg 聲稱破解 Facebook 可以讀取設定不共享資料用戶的資料 2009/06/27 誰在看我的噗?第一回:DOM…


[資安小常識] 什麼是ARP 偽造攻擊?

ARP 偽造攻擊  近來在許多安全案例中,不斷看到這種偽造手法出現,導致企業或使用者受到損失,到底甚麼是 ARP 偽造攻擊? 首先說明甚麼是 ARP,ARP (Address Resolution Protocol) 是負責將 IP 位址轉換成 MAC 位址的一種網路通訊協定,當你要連接另外一台電腦時,您的電腦就會先發出 ARP 封包,詢問網路上有哪台機器對應到這個 MAC 位址,才會進行後續的資料傳送;而這次所討論的 ARP 偽造攻擊就是使用者所連線的網路中,有蓄意的攻擊者發出偽造的 ARP 資訊,導致原本應該直接傳送的資訊,會轉向到攻擊者的機器,這樣的詐騙手法雖然已經出現很久,但是因為遭攻擊時特徵不明顯,且需要相當技術程度之管理者才會發現,因此仍持續受到惡意攻擊者的喜好。 圖中,電腦 B 要存取電腦 A 時,會先確認電腦 A 的 MAC 位置與 IP 訊息,當攻擊者比電腦A更早回應電腦 B 的連線申請時,攻擊者就可以搶劫連線,讓電腦 B 優先連到攻擊者電腦,才將資料回到電腦 A,也因此所有電腦 B 到電腦 A 的資訊就完全被截取。   想獲得更多資訊?參考更多資安小常識 讓我們瞭解一下資安小常識對您的幫助,請按下面的星星評分。