手機軟體還是要小心使用為妙

今天看到Cnet的一則報導，標題為：US-CERT warns about free BlackBerry spyware app，

大意是美國電腦危機回應小組提出警告，有些免費的黑莓機軟體可能會是間諜軟體，允許別人遠端竊聽你的手機對話。

眼見現在iPhone、Smart Phone、Antroid手機到處沸沸揚揚，我想以後這應該是駭客活動的主要戰場吧，安全軟體廠商可以趕快搶攻這塊處女地囉!

又有教會網站被駭！

這次受害的是「中華基督教木柵便以利教會」，受害的網址連結在此。

比較值得注意的是，這次受害的是Linux主機，這點倒是挺耐人尋味的，一般說來，Linux上的主機弱點比較少，所以從Linux系統上取得特殊權限是有難度的。

由於沒有該主機的Log，所以這邊只能瞎猜駭客得逞的手法。

加上今天看到以下兩個報導：Researchers See Gumblar Attacks Surge Again，意思是Gumblar這個專門搞別人網站的攻擊手法似乎又捲土重來。

http://blogs.iss.net/archive/GumblarReloaded.html

http://www.pcworld.com/businesscenter/article/173954/researchers_see_gumblar_attacks_surge_again.html

所以我的第一個猜想，就是負責管理該網站的人員，他的電腦開啟了夾帶惡意連結或程式的Adobe檔案（PDF、Flash），然後被植入木馬，被竊走FTP的帳號密碼。於是，駭客便可以利用這個帳號密碼，透過SSH、FTP，將不當的資料放到網站當中。

第二個猜想，就是原來教會的網站有輸入資料的欄位，處理輸入欄位資料的網頁程式可能有SQL Injection的問題，於是被入侵破壞。

總之，教會網站是連結弟兄妹的一個重要位置，希望教會的弟兄姊妹都能重視資訊安全的問題，避免類似的事再度發生，特別是負責網站的同工。

難得來寫個跟資安無關的東西，今天介紹的是一套做資料庫設計的工具: Mysql Workbrench

這個工具可以幫助你設計資料庫，製作ER圖。甚至可以連到MySQL的資料庫，幫你把已經存在的資料庫（資料表）做反向工程，讓你得知已存在資料庫內的各個欄位屬性。

最重要的是這套軟體：免費！

雖然介面是英文的，一開始以為輸入中文字有bug顯示不出來，結果是字型的設定問題，請先選擇【Tools】->【Preferences...】

然後在【Appearance】頁籤中將Font字型改成：MINGLIU，這樣你輸入中文字才能比較正確的顯示出來。（這代表還是有地方中文字只會出現方框）

暴風影音的軟體不要用！

看到這篇報導，內容大致是說，發生在今年5月19號中國大陸的大斷網事件，罪魁禍首是暴風影音的軟體，藏有不當的程式，會透過已安裝的用戶電腦，幫暴風影音公司去自動點擊廣告來欺騙廣告商的費用，所以，當解析暴風影音的廣告伺服器DNS出了問題時，由於使用者數量實在龐大，便形成另類的DDOS攻擊，在當時造成網路大癱瘓。形成一個網路上的大「暴風」。

如果該篇報導的內容屬實，更可惡的事情還在後頭，就是該公司後來宣稱新版的軟體內已修復造成問題的程式，但經過反組譯後，卻發現根本是在說謊！

這種沒有誠信的公司所作出來的山寨軟體，奉勸各位避免使用為妙，網路上還有K-lite系列的Codec可以用！

10個維護資訊安全的基本觀念

參考國外一流駭客的建議，做以下的歸納：

1. 備份重要資料。最近很多人買1TB的硬碟，但是也聽到不少朋友買到的硬碟掛點，心血白流，所以不要鐵齒，重要值得珍藏的資料，還是找個好一點的片子燒出來吧。

2. 選擇很難猜的密碼。絕對不要跟自己的資料有關，長度最少8碼，大小寫加數字符號都有最棒！還有要隔一陣子換掉。

3. 安裝防毒軟體。雖然不是100%有效，也不可能，但是至少擋下9成以上流行的病毒。

4. 作業系統或主要應用軟體要做更新。微軟、Adobe的產品是攻擊的目標，用這些公司的軟體要常常更新修補程式。

5. 使用瀏覽器看網站要保持清醒的頭腦。不要亂點連結並關閉彈出視窗，也最好避免用IE，建議用Chrome或Firefox上網。

6. 善用加密軟體。特別透過郵件寄送個人重要資料時，一定要加密。也可以利用先前介紹過的Truecrypt對整個硬碟加密，這樣陳冠希的事件就不會在你的電腦上演。

7. 安裝反木馬軟體。彌補防毒軟體的不足，避免變成殭屍電腦，被人操縱。

8. 安裝個人防火牆軟體。嚴防軟體未經允許對外傳遞訊息，也避免駭客從外部連進你的電腦。

9. 關閉不用的系統服務。例如：假設你家只有一台電腦，網路芳鄰就不需要了。遠端桌面連線、VNC等更是沒事就關閉。

10. 不要相信無線網路。在開放的空間，避免使用無線網路。家裡的AP密碼要用WPA，WEP有設跟沒設一樣。

Google Chrome Frame for IE

Google這次撈過界，直攻對手的瀏覽器，推出了Google Chrome Frame, 這邊有詳細的介紹。

但是微軟一定會生氣，反擊Google的這種作法會帶來安全上的問題，請看以下報導：

新聞來源: ITHOME

Google發言人對媒體表示，Chrome Frame帶給IE的還有安全功能，例如它提供IE6所欠缺的沙箱技術以及網釣與惡意程式的保護。文/陳曉莉 (編譯)

Google於上周發表了IE的外掛程式Chrome Frame，把Chrome的先進功能帶到微軟的IE中。隨後微軟表示這將添增IE的安全風險，不過Google則認為Chrome Frame反而強化了IE的安全。

讓其他瀏覽器業者透過外掛程式來改善IE的效能著實讓微軟面子掛不住。根據Computerworld的測試，IE8的SunSpider再加上Chrome框架讓IE的執行速度達到原先的9.6倍，具備與Chrome一致的效能。

但微軟指出，有鑑於一般外掛程式所會產品的安全風險，Google Chrome Frame會讓惡意程式可駐足的面積加倍，同時會破壞IE的隱私模式，一旦使用者安裝了該框架，就無法使用IE的隱私功能，此外亦影響了IE的歷史紀錄刪除功能。

不過，eWeek及Computerworld詢問Google對微軟此一聲明的看法，Google發言人則表示，Chrome Frame帶給IE的還有安全功能，例如它提供IE6所欠缺的沙箱技術以及網釣與惡意程式的保護。

Google表示，Chrome Frame一開始設計就嵌入了安全性，雖然他們鼓勵使用者使用更現代化及符合標準的Firefox、Safari、Opera或Chrome等瀏覽器而非安裝外掛程式，但對於那些不想改用瀏覽器的使用者，Chrome Frame可提供更好的效能、更健全的安全性，以及更多選擇。

Google Chrome Frame主要提供了Chrome的WebKit網頁呈現引擎與V8 JavaScript引擎，並讓IE可以支援HTML5的離線技術、cavnas及CSS等最新網路技術標準，該框架適用於IE6、IE7及IE8。主要目的是讓IE可以執行Google即將展開大規模測試的Google Wave服務。（編譯/陳曉莉）

微軟釋出免費的防毒軟體

今天看到國外的報導, 強大的微軟帝國終於將魔爪伸進了防毒軟體領域，並且提供免費的白老鼠版本給大家試用。

如果作業系統設計得當的話，還需要設計防毒軟體來抵擋惡意程式嗎？這是一個挺有趣的問題。

官方網站很奇怪的連到中國大陸的分站，連下載回來的軟體安裝時的介面也是簡體的。

要下載還得有MS live ID的帳號，安裝時還先檢查你的Windows是否為正版才讓你安裝....