全球动态

1. 英国多地议会遭网络攻击，部分在线服务被迫关闭

英国的三个议会宣称遭到网络攻击，导致其多项在线服务被迫关闭。坎特伯雷市的规划部门、在线表格和地图，多佛区的在线表格以及萨尼特区的规划部门和在线表格，都已临时下线。英国国家网络安全中心的一位发言人表示，他们正在与受影响的地方当局合作，以充分了解此次事件的影响。【

靶场主页

应用层加固

应用层的攻击：

1、针对应用层协议的攻击：HTTP攻击、DNS攻击、电子邮件攻击等，利用应用层协议的漏洞，构造恶意数据包，是目标服务器执行恶意代码或暴露敏感信息

HTTP攻击：XSS、CSRF、HTTP头注入攻击、Cookie攻击和重定

这是一个文件上传的逻辑漏洞，造成了容易文件上传可以getshell。

0x00漏洞信息

影响范围
Struts 2.0.0-2.3.37
Strust 2.5.0-2.5.32
Strust 6.0.0-6.3.0
这个漏洞需要使用struts2 来实现上传action，如果实现的上传方法没有加任何的Fi

2024年1月24日， FreeBuf咨询正式发布《CCSIP（China Cyber Security Industry Panorama）2023中国网络安全行业全景册（第六版）》。本次全景册面向广大国内安全厂商，由厂商自主申报并填写信息征集表，

Bleeping Computer 网站消息，澳大利亚、美国和英国政府宣布对俄罗斯人 Aleksandr Gennadievich Ermakov 实施制裁。据悉，该男子被认为是 2022 年 Medibank 攻击事件的幕后黑手，也是 REvil 勒索软件组织的重要成员。

Therecord网站披露，黑客因频繁利用多个新发现的漏洞发起攻击吸引了美国网络安全专家们的高度关注，专家们担心这些漏洞可能会被网络犯罪组织和其他各国政府用于不法目的。

过去一周，美国网络安全专家和网络安全与基础设施安全局（CISA）等政府机构已经关注到了影响苹果、VMware、Atlassian、Fortra、Apache等科技巨头的漏洞。

进入 2024 年，Gcore 发布了最新的2023 年第三、四季度（Q3-Q4） DDoS 攻击趋势报告，指出 DDoS 攻击的规模和复杂性都有了惊人增长。

Gcore发现，过去三年，DDoS 峰值攻击流量每年的增幅都超过了100%，2021年DDoS攻击峰值流量为300Gbps，2022 年增至650 Gbps，2023 年 Q1-Q2 季度再次增至800 Gbps，2023

近日，威立雅北美公司披露了一起勒索软件攻击事件，此次攻击影响了其市政水务部门的部分系统，并破

分享议题

数字银行安全体系实践

分享人简介

全球动态

1. 网络安全SaaS服务欧美市场保持增长

行业领先的B2B SaaS公司计费和财务运营平台Maxio在最新一期的《订阅业务增长状态》报告中提出，对2,400多家公司的计费数据的分析表明，B2B企业的增长率在整个2023年保持稳定。【

虚拟现实（VR，Virtual Reality）可以提供沉浸式和互动性体验，且无需地理限制。此外，人们普遍认为它通过物理隔离增强了个人隐私的保护。本文展示了VR无法免受窃取私人信息的侧信道攻击。这种漏洞正是源于VR的最大优点—即其沉浸性和互动性。

本研究设计了一系列共享虚拟环境中的按键推理攻击，攻击者（VR用户）可以通过观察另一VR用户的虚拟形象来恢复其输入的内容。尽管虚拟形象显

“2023年又拿下了什么成就，可以说说吗？”

麻省理工学院计算机科学和人工智能实验室（CSAIL）的一项研究论文显示，Android 和 iPhone 手机的环境光传感器可以变成摄像头，让攻击者可以探测用户行为及其周围环境。

1月22日，工信部信息通信管理局发布《关于侵害用户权益行为的APP（SDK）通报（2024年第1批，总第36批）》。

工信部高度重视用户权益保护工作，依据《个人信息保护法》《网络安全法》《电信条例》《电信和互联网用户个人信息保护规定》等法律法规，持续整治APP侵害用户权益的违规行为。近期，工信部组织第三方检测机构对用户反映突出的开屏弹窗“乱跳转”、“关不掉”以及违规收集使用个人信

Bleeping Computer 网站消息，安全研究人员近日观察到一些威胁攻击者正在试图针对 CVE-2023-22527 远程代码执行漏洞“做文章”，以发起大规模网络攻击活动。

苹果公司近日发布了安全更新，以解决今年首个可能影响 iPhone、Mac 和 Apple T

刚刚过去的2023年，无论是信息技术领域、网络安全领域，乃至“人人都是自媒体时代”的内容创作领域，以生成式AI为代表的人工智能迎来了真正意义上的爆发，基于海量数据的反哺、再生，AI的角色往往已不局限于“工作助手”，利用与滥用的界限正变得模糊。

正如前序文章《马斯克也曾被骗，AI虚假内容太“真实”了》所述，无数凭空捏造、移花接木般的深度伪造内容正层出不穷，不仅充斥着舆论场，迷惑大众

前言

目前越来越多的企业对互联网公开服务的数据报文进行流量加密的方式进行传输。但是不管是Web端还是APP端,只要是采用对称加密算法进行加密的话，那么攻击者在用户端在代码中是一定能够获取密钥的。

因此现在有一些应用采用类似HTTPS的方式对数据报文进行加密处理。即，利用随机数函数生成一个随机数,然后使用随机数作为对称加密的密钥对数据报文进行加密