FreeBuf周报 | 游戏巨头暴雪再遭DDoS攻击；苹果紧急更新修复零日漏洞

各位FreeBufer周末好~以下是本周的「FreeBuf周报」，我们总结推荐了本周的热点资讯、优质文章和省心工具，保证大家不错过本周的每一个重点！

热点资讯

1. 加拿大空军关键供应商遭勒索攻击，疑泄露 44GB 内部数据

2. 游戏巨头暴雪再遭DDoS攻击，多款热门游戏掉线

3. 意大利多个重要政府网站遭新型DDoS攻击瘫痪，该国CERT发布警告

4. NSA 表示美国新加密标准没有后门

5. 苹果紧急更新修复零日漏洞，黑客可用于攻击苹果电脑和手表

6. Conti勒索团伙放话要“推翻哥斯达黎加政府”

7. 智能汽车曝出重大漏洞，黑客10秒开走特斯拉

8. 美国警告朝鲜黑客冒充 IT 自由职业者

9. 西班牙警方捣毁了清空银行账户的网络钓鱼团伙

10. 谷歌因违反 GDPR 被西班牙监管机构处以千万欧元罚款

优质文章

1. Cisco RV340命令执行漏洞（CVE-2022-20707）及关联历史漏洞分析

本篇文章主要是对Cisco RV340命令执行漏洞(CVE-2022-20707)进行的研究分析，尽管利用此漏洞需要身份验证，但可以通过CVE-2022-20705绕过现有的身份验证机制实现无条件的命令执行。历史相关的漏洞还包括：CVE-2020-3451、CVE-2021-1473、CVE-2021-1472。

2. 360高级攻防实验室郑同舟：知白守黑，用手中的矛铸心中的盾

“知己知彼，百战不殆。”正因知其白，方能守其黑。他们用锋利的矛刺向坚固的盾，最终目的并非仅仅是击穿盾牌，而是找到盾牌的薄弱点，让盾牌更加坚固；攻防转换之间，提升的却是整个网络安全产业的水准和实力。

3. “安全能力服务化（Saas）”的技术和商业逻辑

有一种云安全产品目前已逐渐形成稳定品类，叫做安全能力服务化（Saas）产品，这也是目前云安全公司的大颗粒收入产品之一。Saas安全产品，全称“Security as a service”，安全即服务，也可以叫“无接触”的安全产品。举例来说，云清洗、云监测、云WAF，都属于这个分类。

4. 关于PHP不死马和Python内存马的分析与总结

内存马是无文件攻击的一种常用手段，随着攻防演练热度越来越高：攻防双方的博弈，流量分析、EDR等专业安全设备被蓝方广泛使用，传统的文件上传的webshll或以文件形式驻留的后门越来越容易被检测到，内存马使用越来越多。

5. 从0到1完全掌握 CSRF

如果我们用非常通俗的语言讲的话，CSRF 更像是钓鱼的举动，是用户攻击用户的；而对于 SSRF 来说，是由服务器发出请求，用户日服务器的。

CSRF（Cross-site request forgery）跨站请求伪造：攻击者诱导受害者进入第三方网站，在第三方网站中，向被攻击网站发送跨站请求。利用受害者在被攻击网站已经获取的注册凭证，绕过后台的用户验证，达到冒充用户对被攻击的网站执行某项操作的目的。

省心工具

1.Lupo：一款功能强大的恶意软件IoC提取器

Lupo是一款功能强大的恶意软件IoC提取工具，可以帮助广大研究人员在恶意软件分析自动化的任务场景下实现恶意代码分析和调试。

2. VulFi：一款针对源码漏洞扫描的IDA Pro插件

VulFi，全称为Vulnerability Finder，即“漏洞发现者”，它是一个IDA Pro插件，可以帮助广大研究人员在二进制文件中查找漏洞。VulFi的主要目标是在一个单一视图中给研究人员提供包含了各种函数交叉引用的相关信息。对于可以使用Hexrays反编译器的情况，该工具还可以尝试排除针对这些函数的调用。

3. IOSSecuritySuite：一款针对iOS平台的安全防篡改保护工具

IOSSecuritySuite是一款针对iOS平台的安全防篡改保护工具，该工具功能强大且易于使用，基于纯Swift开发。如果你正在开发iOS应用程序，并且想根据OWASP MASVS标准来保护你的iOS应用程序安全，那么IOSSecuritySuite绝对会成为你的得力助手。