一周安全要闻：Pwn2Own黑客大赛喜报频传

回顾上周，最大的事件当属在加拿大温哥华举办的Pwn2Own大赛，它是全世界最著名、奖金最丰厚的黑客大赛。比赛当日，各路顶尖高手们齐聚，并对苹果Safari、微软Edge、谷歌Chrome等三大浏览器，Adobe Flash插件，VMware虚拟机等常用软件发起攻击，争取获得最高积分拿下比赛。参赛的中国军团佳绩频传!Flash、Safari、Chrome均被中国战队秒破。

[[164278]]

黑白帽：

Pwn2Own最新战况： Flash、Safari、Chrome均被中国军团秒破

17日凌晨，全球顶级破解大赛Pwn2Own最新战况出炉，中国军团佳绩频传!腾讯安全联队Sniper战队3秒攻破Flash插件，实现系统级访问，拿到5万美元奖金和该项目全额积分13分。腾讯安全联队Shield战队5秒攻破苹果Safari浏览器，获得Roor权限，拿到4万美元，成功获得该项目全额积分10分。360 Vulcan Team 战队11秒攻破谷歌Chrome浏览器，并成功获得系统最高权限，到手5.25万美元奖金，这是中国安全团队在Pwn2Own历史上首次攻破Chrome。

揭秘0CTF线上赛国内强队——四川无声PKAV战队

四川无声-PKAV战队?他们是谁?他们来自哪里?这支起源于四川无声双螺旋研究院的年轻团队，别名“PKAV”，建议大家读的时候中间稍作停顿，“PK AV”。为什么这样读呢，因为这样你就能读出这个名字的真谛：“誓与AV抢宅男”!他们呼吁有志男青年们加入他们的行列，研究技术是很有意思的事情，相比……

传奇黑客McAfee:人生就是个大写的“作死”

正当苹果公司与FBI因iPhone手机解密问题闹得不可开交之时，有个人缓缓走过来说：三周内如果我破解不了这部手机，就在电视直播现场吃掉自己的鞋子!这么一本正经的玩笑，奈何出自传奇黑客、安全公司McAfee创始人、百万富翁、2016美国总统候选人——John McAfee之口，所以大家认真了。

美国总统大选，黑客组织“匿名者”也来凑热闹

法网恢恢：当年的iCloud艳照门涉案黑客，现已认罪伏法

恶意软件：

云恶意软件是小题大做还是真的邪乎?

虽然云应用本身很少遭泄露或直接感染恶意软件，但云访问安全代理Netskope公司表示云应用被证明是攻击者瞄准的重要资产，因为他们试图感染尽可能多的用户和企业。Netskope公司首席科学家Krishna Narayanaswamy表示，当恶意文件或代码感染单个用户的客户端设备并能够快速通过云服务进行扩展。

银行大盗“Carbanak”木马的攻击目标正移至中东

根据最新信息显示，Carbanak组织主要针对中东、美国等地区的银行开展网络攻击。一年前，卡巴斯基实验室曾发出警告：小心网络罪犯采用具有政府背景的APT工具和策略抢劫银行。当时除了该组织之外，还发现两个分别名为Metel和GCMAN的攻击组织利用同样的攻击方式打劫银行。

云安全：

云安全联盟：2016年的十二大云安全威胁

云计算的共享特性和按需定制本质除了给企业带来效率上提升，也引入了新的安全威胁，有可能使企业得不偿失。之前云安全联盟(CSA)的报告便指出，云服务天生就能使用户绕过公司范围内的安全策略，建立起自己的影子IT项目服务账户。新的安全控制策略必须被引入。

云访问安全代理的“真正”价值

在2016年RSA大会上，企业首席信息安全官探讨了云访问安全代理(CASB)的价值，他们认为CASB模式是全面云安全的关键。在Garter公司副总裁兼分析师Neil MacDonald主持下，由首席信息安全官和安全主管组成的专题小组探讨了为什么他们部署CASB以及他们如何使用CASB。

确保AWS安全：避免犯常见错误

如果想要确保AWS的安全性，那么第一步就是要知道应避免犯哪些错误。所以，如果想要迈出正确的一步，那么就应从常见的AWS安全性失误前车之鉴中学得一二。云计算和软件即服务(SaaS)已经改变了IT安全领域，但并不是所有运行AWS环境的人员都能够在第一时间了解到这一点的。

技术解析：

流量劫持攻击之链路劫持剖析

链路劫持属于流量劫持攻击的一种，在电商领域较为常见，网络上也有不少案例。有用户反馈访问公司部分业务的URL时被重定向至公司其他业务的URL，导致用户无法请求所需的服务，严重影响了用户体验以及用户利益。

如何使用Burpsuite破解Webshell密码

Burp Suite 是用于攻击web 应用程序的集成平台。它包含了许多工具，并为这些工具设计了许多接口，以促进加快攻击应用程序的过程。所有的工具都共享一个能处理并显示HTTP 消息，持久性，认证，代理，日志，警报的一个强大的可扩展的框架。

OpenSSH后门获取root密码及防范研究

相对于Windows操作系统，Linux操作系统的密码较难获取，而很多Linux服务器都配置了Openssh服务，在获取root权限的情况下，可以通过修改或者更新OpenSSH代码等方法，截取并保存其SSH登录账号密码，甚至可以留一个隐形的后门，达到长期控制linux服务器的目的。