【知识】1月15日 - 每日安全知识热点

热点概要：如何通过注入javascript窃取pdf、利用绕过AngularJS沙盒的反射型xss获取McDonald's 用户的密码、Web中的密码学、mongoDB被大规模勒索后，Elasticsearch再度被盯上

国内热词(以下内容部分摘自http://www.solidot.org/)：

---

特朗普网络安全顾问的网站被发现安全性极差

汉语拼音之父周有光去世，享年112岁

Google在Google+中使用 RAISR 技术压缩图像减少最多75%的带宽

资讯类：

---

WhatsApp漏洞可能允许Facebook和其他人阅读你的信息

https://www.grahamcluley.com/vulnerability-allows-facebook-others-to-read-your-whatsapp-messages/

即mongoDB被大规模勒索后，Elasticsearch再度被盯上(目前列表中已有1963)

http://www.zdnet.com/article/first-came-mass-mongodb-ransacking-now-copycat-ransoms-hit-elasticsearch/

https://docs.google.com/spreadsheets/d/1-txUnn6HFuETgN1mQwI4g_Rk5SY0LEkjgOX8sG0KaFY/

Kapustkiy黑客攻击委内瑞拉政府的网站抗议尼古拉斯马杜罗的独裁

http://securityaffairs.co/wordpress/55312/hacking/kapustkiy-hacked-government-of-venezuela.html

技术类：

---

Cisco Firepower管理控制台6.0允许www用户创建后门账户

https://www.exploit-db.com/exploits/41041/

https://blog.korelogic.com/blog/2016/10/10/virtual_appliance_spelunking

Web中的密码学

http://106.14.61.185/2016/12/08/WebCrypt/

由whatsapp事件讨论：密钥轮换，用户体验和加密报告

https://tonyarcieri.com/key-rotation-user-experience-crypto-reporting

p0wnedShell：一个PowerShell运行空间开发工具包

https://github.com/Cn33liz/p0wnedShell

如何通过注入javascript窃取pdf

http://insert-script.blogspot.in/2016/10/pdf-how-to-steal-pdfs-by-injecting.html

使用WebAssembly和Web Workers在浏览器中以毫秒为单位执行数百万条SQL语句

https://hackernoon.com/execute-millions-of-sql-statements-in-milliseconds-in-the-browser-with-webassembly-and-web-workers-3e0b25c3f1a6

通过树莓派打造你自己的智能手机

https://hackaday.io/project/19035-zerophone-a-raspberry-pi-smartphone/log/51839-project-description-and-frequently-asked-questions

快捷方式扫描器防止恶意软件利用快捷方式

https://www.phrozensoft.com/2017/01/shortcut-scanner-20

利用绕过AngularJS沙盒的反射型xss获取McDonald's 用户的密码

https://finnwea.com/blog/stealing-passwords-from-mcdonalds-users

由MurmurHash2 算法碰撞引起的Redis DDos 攻击漏洞

http://paper.seebug.org/180/

启用SELinux阻止docker 0 day

http://rhelblog.redhat.com/2017/01/13/docker-0-day-stopped-cold-by-selinux/

r2m2一款开源的逆向工程平台现已发布docker镜像

https://hub.docker.com/r/guedou/r2m2/

Mozilla Firefox < 50.1.0 – Use After Free漏洞PoC

https://cxsecurity.com/issue/WLB-2017010092

通过json规则定制java字节码分析器

http://www.kitploit.com/2017/01/custom-bytecode-analyzer-java-bytecode.html