【四维创智】-专研智能,智汇安全-网络攻防-渗透测试-web安全-无线安全-内网安全 资讯中心 – 【四维创智】

四维资讯中心

关注最新行业动态,洞悉安全态势,做行业领跑者!创造属于我们自己的故事!

愚人节不 “愚”丨干货分享! TXPortMap实用型免费渗透测试工具

在渗透测试的端口扫描阶段,相信很多人遇到的问题是nmap太慢,masscan不准确。 所谓工欲善其事,必先利其器,TXPortMap为天象渗透测试平台后端使用的端口扫描和指纹识别模块,采用Golang编写,以期在速度与准确度之间寻找一个平衡。下面和小编一起来探究工具的使用过程。

 

工具名称:TXPortMap

 

./TxPortMap -h
新增加彩色文字输出格式 对http/https协议进行title以及报文长度打印,获取title失败打印报文前20字节。
新增日志文件以及扫描结果文件。

TxPortMap 会直接扫描top100 加上t1000参数会扫描top1000,txportmap单ip top1000识别耗时5秒,可以通过-p 指定端口,分号指定多个。



下图1:TxPortMap时间:20.171秒
下图2:nmap 2分51.89秒
图1
图2

作为一个宽泛且深入的渗透测试人员怎么能允许自己没有TXPortMap呢 ?
下载地址:https://github.com/4dogs-cn/TXPortMap
此工具开源后希望大家可以一起完善指纹和提交优化建议,快快加入TXPortMap交流群。

4月 1,2021 by admin

聚焦3·15丨谁在“偷”我的脸,我该怎样保护?

近几年,人脸识别“黑科技”已经在越来越多的领域被广泛使用,刷脸支付、刷脸打卡、刷脸开门……大家在感受到科技便利的同时,殊不知,一些商家也在利用这些“黑科技”,偷偷精准抓取消费者的人脸信息。在中央电视台3·15晚会上,不法商家非法获取消费者人脸信息,并肆意滥用的行为被曝光。
 

宝马汽车 4S 店、Max Mara 专卖店、科勒卫浴,江苏大剧院、喜茶、老百姓大药房、良品铺子、水星家纺、九芝堂、晨光玩具……

 

很少有消费者能想到,自己在进入店门的那一刻,最先“盯上”自己的不是服务员或者导购,而是配备了人脸识别技术的摄像头,并将自己的人脸信息牢牢记下储存起来,而这一切,都是在自己毫不知情的情况下发生的。

 

各门店纷纷表示,对于该设备的使用,仅作到店人数统计;对该设备所采集的信息不做保存、分析及转移。被曝光的企业陆续发表声明致歉。
人脸信息不单是生物识别信息,也是个人敏感信息,我国规定组织收集个人信息,应该取得个人信息主体的同意。但现实中,不法商家商业利益,基本不会提示和取得消费者同意,忽视了对消费者权益的保护。
 
国家市场监管总局发布的《个人信息安全规范》明确规定,收集人脸信息时应获得个人信息主体的授权同意。人脸信息属于个人独有的生物识别信息,一旦泄露,将严重威胁用户的财产安全、隐私安全等。

 

要想有效保护好人脸信息,三方主体的保护责任,一个都不能少。

 

其一,有关机关应当尽快明确人脸识别技术的行业标准,对收集、存储、保护、使用等严格规范。加大对相关App和软件的监管,对违规收集使用人脸信息的运营商严肃查处,加大处罚力度。加快个人信息保护法的立法进度,进一步界定因公共安全需要收集人脸信息的行为和其他商业行为,明确责任。

 

其二,有关平台要加强自律,尽可能减少不必要的个人信息收集,对已收集的个人信息要妥善保护,建立完备的保护机制,规范有关信息的使用。坚决杜绝违法违规违约使用有关个人信息。在人脸识别行业标准出台前,鼓励有能力的企业牵头制定有关诚信规范。

 

其三,用户个人要注意对个人信息的保护,注意使用经正规渠道认证的App,发现个人信息被违法售卖或使用时应当及时报案,并注意保留有关证据。对涉嫌违规收集个人信息的软件也要及时向有关部门举报。

3月 17,2021 by admin

喜讯!四维创智两款产品荣获“北京市新技术新产品(服务)”认定

近日,由北京市科委、市发改委、市经信局、市住建委、市市监局和中关村管委会六大部门联合组织的2020年第二批(总第十三批)北京市新技术新产品(服务)认定正式颁奖。四维创智(北京)科技发展有限公司自主研发的“小智-智能渗透测试机器人”、“天象综合渗透测试平台”两款产品荣获“北京市新技术新产品(服务)证书”。
 

 

 
北京市新技术新产品(服务)证书是认证北京市重点发展的先导技术和战略性新兴产业,以及符合构建“高精尖”经济结构的要求,具有潜在经济效益和较大市场前景的新技术、新产品,经认定的新技术新产品(服务),可享受政府采购和推广应用等政策支持。为企业创新和科研能力的提升提供动力,引导企业服务数字经济发展,具有极高的权威性。
 
此项认定的获得充分体现了四维创智在产品研发、技术创新等方面的核心竞争力。更是对我司自主创新实力和科技成果转化能力的肯定。未来四维创智将持续技术创新、深耕新技术与新产品的研发。以优质的产品及服务,为各行各业客户创造更大价值。
 
小智-智能渗透测试机器人:
 
“小智”是国内率先实现AI+网络安全检测的智能渗透测试机器人,打破传统检测平台针对威胁利用的单一性和不连贯性,在测试过程中对多个风险点进行智能化关联利用,支持持续性安全渗透检测并提供解决方案。可以自动完成复杂网络下的安全扫描、探测、利用等工作,具备全面、快速、低干扰的特点。通过对全系统模块进行7*24h的智能化渗透测试,能精准定级漏洞并实现经验转化,大大提升网络安全渗透和运维人员的工作效率。
 
天象综合渗透测试平台:
 
天象综合渗透测试平台是面向大型企事业单位的运维人员,专门针对web安全领域,融合四维创智安全人员多年的渗透经验和积累,集成一系列自主研发的高效的渗透测试工具,从而降低渗透测试门槛,帮助渗透测试人员快速完成web目标的渗透测试任务,降低IT运维成本。该平台覆盖整个渗透过程,从“信息收集”到“扫描探测”,再到“漏洞利用”,配套众多工具,中间获取的信息一目了然;自动化渗透测试,减少输入内容,优化配置项,整合渗透流程与信息,完成渗透任务;集成常用辅助工具,提高运维人员的工作效率。
 
四维创智以安全产品和服务为业务核心,荣获ISO9001企业质量管理体系认证、信息安全服务资质等多项资质证书,以及国家高新技术企业、信息安全联盟成员单位、中关村高新技术企业等多项殊荣,安全权威保障,为企业安全运维保驾护航!

3月 2,2021 by admin

四维创智春节假期安排

四维创智全体员工祝您:新年快乐,牛年大吉
 

24小时值班热线:010-59450966
 

2月 5,2021 by admin

人脸识别再曝安全漏洞,15分钟解锁19款安卓手机

​人脸识别最新漏洞曝光,测试的安卓手机无一幸免!

 

要说之前,拿着照片直接往前置摄像头怼,肯定不能解锁手机。
 

但现在,RealAI的团队有了一个办法,只需一副定制的“眼镜”,就可以秒秒钟破解手机的面部识别系统。
眼镜是这样式儿的。
 

 
所需的工具也很常见:一台打印机、一张A4纸、一副眼镜框。

 

通过AI算法绘制特殊花纹,打印下来裁剪成眼镜的形状,贴在眼镜框上,就可以破解了。

 

结果在15分钟内,除了一款iPhone 11,成功解锁了其余所有19部安卓机型。

 

这也就意味着,只要搭载了人脸识别功能的应用和设备,黑客都有可能利用这一漏洞,对用户的隐私安全和财产安全造成威胁。

 

那么具体是如何实现的呢?
 

安卓手机无一幸免

 

不同于以往在实验室中的测试,这场测试是在现实场景下的实打实“攻击”。

 

测试过程非常简单,只需要三个步骤。

 

首先,选取20款攻击对象。

 

除了一台iPhone 11,其余都是安卓机型。
 

这些手机涵盖了国内前五的手机品牌,覆盖了不同价位、不同型号,低端机到旗舰机都有。

 

甚至,连去年12月刚上市的手机也不放过。(Maybe大家可以猜猜是哪款,手动狗头)
 

第二步,录入人脸,也就是在20部手机里统一录入同一位测试人员的人脸验证信息。

 

第三步,定制“眼镜”。

 

拿到被攻击者的照片后,攻击者通过算法,在眼部区域生成干扰图案,然后打印出来裁剪成“眼镜”的形状,贴在镜框上。
 

 

这一“干扰图案”,看上去像是被攻击者的眼部图案,但其实是攻击者通过算法,计算生成的扰动图案。

 

△左一为被攻击对象的眼部图像,右一、右二为生成的对抗样本图案

 

这一技术叫做“对抗攻击”,其中生成的干扰图案,就是对抗样本。
 

简单来说,就是将攻击者的图像设定为输入值,被攻击者的图像设定为输出值。

 

算法会自动计算出最佳的对抗样本图案,保证两张图像的相似度最高。

 

最终,除了iPhone11幸免于难,其余手机全部成功解锁,且攻击难度上也几乎没有区分,都是秒级解锁。

 
除此之外,测试人员还发现:
 

尽管普遍来看低端机识别安全性要更差一些,但抵御攻击性能的强弱似乎与手机是否高端机型并无直接联系。比如说,有一款2020年12月最新发布的的旗舰机,多次测试下来发现,基本都是“一下子”就打开了。

 

“如果开源,黑客一张照片就可破解”
 

其实,对抗攻击技术算不上新颖。

 

2019年8月份,AI算法就在现实世界中首次实现攻击。

 

来自莫斯科国立大学、华为研究者们曾发布,在脑门上贴一张对抗样本图案,能让公开的 Face ID 系统识别出错。

 

去年7月,微软旷视开发了一套算法,只在照片上做了小改动,就有如穿上「隐身衣」,导致人脸识别系统无法破解。
 


 
但这些攻击,仅仅只是让识别系统识别不出目标,并没有完成破解。
 

如今,RealAI团队真正实现了破解过程,且整个操作时长不到15分钟,这一方面证实了对抗样本攻击在现实生活中能够带来安全威胁。
 

另一方面也印证了人脸识别系统背后的隐忧。正如团队里的一个成员所说:
 

如果有黑客恶意开源这一算法的话,上手难度就被大大降低了,剩下的工作就只是找张照片。
 

言外之意就是,只要能拿到被攻击对象的1张照片,就能很快制作出犯罪工具,实现破解。
 

这也给一些企业带来了全新的安全挑战。

1月 26,2021 by admin

网络安全演练十大好处

没有什么方法比进行常规安全演练更能确定公司企业的安全强弱了。
 
即使资源丰富,保证信息安全仍是一项艰难的任务。任天堂、推特、万豪和Zoom等大公司最近都深陷大型数据泄露之苦,网络罪犯的魔爪无孔不入是很明显的事实。虽然大多数公司企业都知道需要构筑防御和制定策略,来降低网络攻击的风险和潜在影响,但很多公司企业未能严格测试自身防御措施。
 

 
网络安全演练是针对特定网络攻击场景的有效仿真模拟,公司企业可以借助网络安全演练获得关于真实响应的宝贵洞察。从基础的小规模简单测试到复杂的大规模持续攻击,网络安全演练能够验证公司企业的防御策略是否有效,能够凸显需要立即采取措施的防御漏洞。
 
然而,尽管网络安全演练如此重要,仍有74%的ISF Benchmark受访者声称,不会对自身关键系统执行网络攻击模拟或演练。这可能是由于他们认为网络安全演练不仅耗时又昂贵,还可能会造成系统中断。但只要安排得当,以上这些都不成其为理由。网络安全演练确实能够带来一些实打实的好处,比如下面这10个典型益处:
 
发现优势
 
网络安全演练中有太多目光放在了暴露弱点与问题上,但发现自身安全措施的长处同样很有价值。健壮的措施可以在别的地方照此实施,精巧的策略可以用作模板,高效的员工能够帮忙培训其他人。
 
改善响应
 
执行网络攻击演练最明显的好处,或许就是让你有机会改善响应,能够更好地应对未来的攻击。网络攻击演练可以提供证据,支持你现有防御策略背后的理论,或者指出更新防御方法的必要性。无论如何,网络攻击演练都能够促使你做出改善。
 
训练人员
 
实践经验无可替代。网络攻击演练能够赋予员工处理攻击的实践经验,提升他们对各种可能性的认知,教会他们正确的响应方式。实践出真知,实际演练一番通常是学习的最佳途径。
 
确定成本和时间表
 
攻击应对准备中需要做出很多假设和预测,假定处理不同场景分别需要用到哪些资源,预测遭受攻击后恢复正常运营需要多长时间。网络攻击演练能够描绘出更为细致的成本与时间表,提供切实的数据辅助构建更好的恢复力,或者在必要时用作合理化开支的理由。
 
确定外部需求
 
即使对很多大型企业而言,维护一支无需外部辅助就能应对任何攻击场景的安全团队都是不现实的。哪些攻击场景需要外部帮助?外部专家最快什么时候赶到?费用大概要多少?执行安全演练就能回答上述问题。
 
收集指标
 
制定安全策略时非常重要的一环,就是设置对攻击各方面应对速度和防御动作有效性的预期。但只有攻击真正发生之时,或者执行安全演练,你才能证明能够达到这些预期。这一数据应该支持未来安全策略的制定,指导公司的安全方法。
 
发现漏洞
 
无论是潜伏在网络上的技术漏洞,还是安全控制措施中的弱点,网络安全演练都能够暴露出来。网络安全演练还能够揭示培训或人才引进的需求。发现特定漏洞有助于制定修复计划和立即加以改善。
 
更新策略
 
如果当前策略、标准和指南无效,那就是时候重新审视一番了。有效事件响应策略能够大幅降低网络攻击可能造成的潜在破坏和中断。定期策略修正很重要,而安全演练能够提供指导策略修正的有用根据。
 
暴露不合规风险
 
即使是无意的,违反法律、监管或合同要求的代价也十分巨大。暴露合规问题很难,但这并不意味着这些问题不存在。网络安全演练有助于暴露出不合规的地方,给你一个修复的机会,避免不必要的法律和财务风险。
 
提升威胁感知
 
从初级员工到董事会层次,缺乏对网络攻击本质及威胁范围的感知都是灾难性的。未能识别风险并据此反应,通常都会加剧问题,导致问题恶化。
 
实践出真知大家都认为排练是为真实事件做准备的重要部分。网络攻击无可避免,但你如何响应,决定着你的业务会受到何种影响。网络安全演练不仅有助于摸清公司安全状态,还能测试防御措施,发现应该继续发扬的长处和需要弥补的弱点,并提供宝贵的实践经验。

1月 14,2021 by admin

这63款侵害用户权益行为APP你有吗?

关于侵害用户权益行为的APP通报(2020年第七批)

  依据《网络安全法》《电信条例》《电信和互联网用户个人信息保护规定》等法律法规,按照《关于开展纵深推进APP侵害用户权益专项整治行动的通知》(工信部信管〔2020〕164号)工作部署,我部近期组织第三方检测机构对手机应用软件进行检查,督促存在问题的企业进行整改。截至目前,尚有63款APP未完成整改(详见附件),上述APP应在12月28日前完成整改落实工作。

 

此次检测发现,APP未经用户同意,私自收集设备MAC地址信息;将用户个人信息发送给第三方SDK的问题较多。部分头部企业APP检测仍发现问题,且未按我部要求时限整改完成。部分应用商店及移动应用分发平台对利用技术对抗、更换“马甲”等方式故意逃避我部监管的企业,监测发现和处置力度不够。后续我部将对上述问题突出、有令不行、整改不彻底的相关企业,采取全面下架、停止接入、行政处罚以及纳入电信业务经营不良名单或失信名单等措施,依法严厉处置。

 

附件:存在问题的应用软件名单(2020年第七批)

工业和信息化部信息通信管理局

2020年12月21日

存在问题的应用软件名单(2020年第七批)

12月 22,2020 by admin

四维创智支撑丨国网北京市电力公司2020年网络安全攻防技术大赛今天圆满落幕

2020年12月4日国网北京市电力公司2020年网络安全攻防技术大赛圆满落下帷幕,本次大赛由国网北京市电力公司互联网部、国网北京市电力公司电力调度控制中心主办,国网北京市电力公司电力科学研究院、北京市电力公司党校(人才服务公司)承办、四维创智技术支撑。
 

 
此次竞赛主要目的在于练习团队配合默契,增强团队成员的实战能力,同时就竞赛中发现的难点,四维创智技术专家,开展了有针对性的特训工作。决赛以团队作战形式比拼,环境目标靶机为高度仿真的北京公司外网网站系统;学员在城市数字电网仿真环境场景下进行真攻真实防。
 

 
大赛期间四维创智安全团队为攻防比赛提供了量身搭建、运行稳定的比赛环境,在整个比赛过程中设备运行流畅,获得参赛选手的一致好评。
  
四维创智一直配备专业的技术团队提供攻防竞赛支撑服务,凭借专业的技术能力和丰富的支撑经验天幕网络攻防平台系统受到客户高度好评,多年来为政府、公安、电力、金融、等行业提供大型竞赛方案及服务,受到各行各业认可。

12月 4,2020 by admin

特斯拉 Model X 遭遇黑客中继攻击 3 分钟可开走汽车

一名黑客成功地为特斯拉汽车开发了一种新的密钥克隆“中继攻击”(Relay Attack),并在特斯拉Model X电动汽车上进行了演示。报道称,特斯拉被告知了这一新的攻击,目前准备为其推出新的补丁。
 

在北美,特斯拉汽车被盗相当罕见。但在欧洲,有一些老练的窃贼,他们通过“中继攻击”,盗窃了不少特斯拉汽车,其中大多数都没有被找回。
 

为了应对这些攻击,特斯拉之前已经推出了额外的安全保护措施,配备了改进的密钥卡和可选的“PIN to Drive”功能。但如今,一位安全研究员声称,他组织了一系列新的攻击,可以绕过密钥卡中新改进的加密技术。
 

安全研究员表示,他只需大约90秒的时间,即可进入特斯拉汽车。一旦进入车内,为了能开走汽车,还需要进行第二步攻击。大概1分钟左右的时间,他就可以注册自己的汽车钥匙,然后把车开走。
 

目前还不清楚,“PIN-to-Drive”功能能否让沃特斯的第二步攻击失效,该功能要求司机输入PIN后,才能让车辆进入驾驶状态,而不管密钥卡是什么。

11月 26,2020 by admin