|
||
|
*停權中*
加入日期: Feb 2016
文章: 44
|
Windows及Chrome被爆有憑證外洩漏洞!
http://www.ithome.com.tw/news/114279
來自DefenseCode的資安工程師Stankovic本周披露，結合微軟Windows及Chrome的安全漏洞將允許駭客竊取Windows用戶的憑證。 這兩個漏洞皆與Windows及Chrome瀏覽器處理SCF檔案的方式有關。SCF為介殼命令檔（Shell Command File），主要用來開啟檔案總管或是顯示桌面，由於它也會存取圖示檔案，所以當有心人士建立一個惡意的SCF檔，並將圖示檔案置放在由駭客代管的遠端SMB伺服器上時，SMB伺服器即可藉由Windows的自動認證機制取得使用者的登入密碼。 Stankovic指出，若Windows 8或Windows 10用戶以微軟帳號（Microsoft Account ）作為系統的登入憑證，那麼該SMB伺服器等於一次就取得了登入OneDrive、Outlook.com、Office 365、Skype或Xbox Live的密碼。即使這些密碼是加密的，但駭客也能利用開放源碼工具加以解密。 至於惡意SCF檔案進入Windows的管道則是Chrome瀏覽器，因為SCF被Chrome視為安全的檔案，不需任何使用者互動即會自動下載，再加上有不少網站都含有反射性檔案下載（Reflected File Download）漏洞，在Chrome用戶造訪網站並不小心觸發該漏洞時，Chrome就會默默且自動地下載SCF檔案。 其實之前Windows中的捷徑檔（LNK）也曾出現類似的安全漏洞，還成為Stuxnet蠕蟲的攻擊途徑，微軟修補LNK漏洞的方式即是限制LNK只能自本地端載入圖示檔案，只是此一修補並未擴及SCF。 此外，除了Chrome之外，不論是IE、Edge、Firefox或Safari等瀏覽器都不會在未提醒使用者的狀況下直接下載SCF檔案，該漏洞影響所有的Windows版本以及最新的Chrome瀏覽器。 |
|||||||
2017-05-21, 12:08 PM
#1
|
|
|
*停權中*
加入日期: Feb 2016
文章: 44
|
如果要取代Chrome
有沒有推薦的 |
||
|
2017-05-21, 12:32 PM
#2
|
|
|
Golden Member
 
加入日期: Jul 2012
文章: 2,590
|
mac safari
__________________
公司用擋簽名檔帳號 |
|
2017-05-21, 12:33 PM
#3
|
|
|
*停權中*
加入日期: Feb 2016
文章: 44
|
Safari Windows版停止開發了
Firefox 好用嗎？ 此文章於 2017-05-21 12:43 PM 被 tohotsony 編輯. |
|
2017-05-21, 12:40 PM
#5
|
|
|
Major Member
加入日期: Jan 2016 您的住址: 臺北市
文章: 118
|
問題是出在微軟對微軟帳號的處理,
而不是Chrome吧. |
|
2017-05-21, 12:59 PM
#6
|
|
|
*停權中*
加入日期: Feb 2016
文章: 44
|
因為SCF被Chrome視為安全的檔案，不需任何使用者互動即會自動下載
再加上有不少網站都含有反射性檔案下載漏洞，在Chrome用戶造訪網站 並不小心觸發該漏洞時，Chrome就會默默且自動地下載SCF檔案 |
|
2017-05-21, 02:00 PM
#7
|
|
|
Master Member
  
加入日期: May 2001 您的住址: 風城
文章: 1,814
|
引用:
FF如果不好用 其他瀏覽器都要填海了  但有前提是 你要知道怎麼用………(擴充套件) 
__________________
數位流系統全部到位，好好聽音樂，音樂好好聽。  重機的奧妙之處，就是 在併排行駛、鑽車縫時，它視同機車… 在爭取路權時，它又視同汽車… 
|
|
|
2017-05-21, 02:59 PM
#8
|
|
|
Amateur Member
 加入日期: Mar 2010
文章: 48
|
引用:
如果不裝一堆擴展的話 edge其實很好用 而且現在edge也可以在市集裝不錯的擴展了 用Firefox網頁相容性出問題較大 我自己就用Firefox,因為很多擴展其他瀏覽器無法替代 但是還是有些網頁必須用到edge(不多但是有) |
|
|
2017-05-21, 03:12 PM
#9
|
|
|
Elite Member
加入日期: Jan 2005
文章: 4,855
|
引用:
雙槍不是比較方便嗎 不要說套件 要安全沒有 不能掛記憶體、RAMDISK 緩衝的 才要直接填海........
__________________
西岸北韓人精神分裂洗板假帳號集團: AirStorms、LDSKINGII、tvt、rcack、ankk、leeking、acmilan、 TACOCITY、YorkHapy、CPAP 三代、imggy、pcbd、 hill456789、lifaung、healthfirst.、chumowud、77a77 满朝文武藏绿卡，半壁江山养红颜 杀人放火金腰带，修桥补路�茪r骸 此生�荇洶J华夏，来世还做支那人 宁要社会主义的草，不要资本主义的苗 别看你今天闹得欢，小心今后拉清单 丧尽天良 还我器官 西南医院 �茖}黑店 苍天有眼，三年封控白费心机，一朝放开白肺心肌 口国人民已经组织起来了，是惹不得的，如果惹翻了，是不好办的。 陈平：中国2000块的工资，活得比美国3000美元还舒服得多 一问三傻 唐志紅 口罩充足 王晓东 人不传人是 高福 等待授权 周先旺 深感内疚 马国强 答非所问 蒋超良 可控可防 王广发 武汉加油 李克强 学习中国 谭德塞 亲自部署 习近平 不要核酸要吃饭，不要封控要自由， 不要谎言要尊严，不要文革要改革， 不要领袖要选票，不做奴才做公民 「罢课罢工罢免，独裁国贼习近平」 |
|
|
2017-05-21, 03:18 PM
#10
|
|
