Lawrence的清单 071516

注意： 本博客中提到的技术和工具可能已过时，不适用于当前环境。但本文仍可作为学习机会，并可能集成到现代工具和技术中。

嘿，我回来了！假期很棒。上周部分时间我在岛上，所以没能及时跟进媒体动态。现在回来后，我抽空整理了本周看到的一些内容。

打印机水坑攻击。如果你有推特并关注安全人士，可能已经听说过这种攻击。本质上，人们希望无需联系系统管理员就能访问打印机。因此，政策允许在没有警告的情况下以系统权限安装打印机特定驱动程序。这对黑客来说是绝佳机会。阅读详情：http://blog.vectranetworks.com/blog/microsoft-windows-printer-wateringhole-attack

MIT本周关于Riffle的精彩文章和研究论文。我们已经多次看到TOR存在一些弱点（每个系统都有，这很重要），而MIT提出了一个可能的替代方案。该方法围绕一种流量洗牌概念， mathematically provable to the receiving client。简单来说：只要“混合网络”中有一个服务器未被入侵，用户就能保持匿名。http://news.mit.edu/2016/stay-anonymous-online-0711

AWS安全是我一直在关注的领域，因为我计划在“云”中进行一些未来工作（我设法打字时没有咒骂）。为此，这里有一系列关于在被入侵的AWS账户中保持持久性的文章：

• https://danielgrzelak.com/disrupting-aws-logging-a42e437d6594#.pfrt7rbc4
• https://danielgrzelak.com/exploring-an-aws-account-after-pwning-it-ff629c2aae39#.ns0wk01r4
• https://danielgrzelak.com/backdooring-an-aws-account-da007d36f8f9#.5ws8kwr8o

BSides Philly征文。这不算新闻，因为BSides的征文一直都有，毕竟有很多BSides会议。为什么我在这里提到它？因为我已经参加过几次BSides会议，并可以给予认可。我喜欢BSides会议的运作方式。它们遍布各地，你可以参加附近的会议，我参加的BSides演讲都非常出色。如果你有兴趣就研究内容进行演讲，BSides是绝佳的起点，相比其他会议，入选机会更大。http://www.bsidesphilly.org/cfp

Linus再次因咒骂上新闻。我是程序员，我理解，像注释格式和变量命名方式这样的事情，我们大多数人都有很强的意见。为那些认为Linus只是 abusive 的人提供另一个视角：当有人为Linux内核编写代码时，它必须经过审查，有时由数十人进行。它还必须被维护，有时长达数十年。它可能有一天需要被抽象、扩展、复制或泛化。编写代码时，我们知道编译器不关心注释的样子，我们是为那些不得不阅读代码的数十人写的。Linus花大量时间阅读他人的代码。对于那些必须阅读 rant 的人：http://lkml.iu.edu/hypermail/linux/kernel/1607.1/00627.html