- 資訊安全：
1.安卓预装插件“证书门”漏洞分析还原 by Freebuf
一些OEM厂商在定制自己的rom的时候，将一些Remote Support Tool (mRST)插件，比如TeamViewer的QS Add-On: Samsung打包进了/system/priv-app/，这样这些插件拥有了系统级的权限，而这些插件导出了服务供外部使用，但是在连接的时候没有正确的校验调用者的身份（或是说被绕过了），导致用户可以悄悄的使用这些远程控制功能。
其实整个过程是第三方软件漏洞+OEM厂商的错误使用，所以google也将这个责任推给了第三方，毕竟不是自己的源代码出现了问题。
2.如何hack掉一台正在飞行的parrot无人机 by 360安全播报
瑞安Satterfield Zuda公司的安全专家演示了一个可拆卸的Parrot A. R. Drone无人机，通过利用无人机的内置wifi，然后访问无人机Telnet端口开放的BusyBox操作系统。专家通过开放端口连接到无人机，获得root后，访问控制器，然后杀死用来控制无人机飞行的进程。
3.Wordpress4.2.3提权与SQL注入漏洞(CVE-2015-5623)分析 by phithon
这个漏洞有两个核心点，一是利用一个竞争条件逻辑错误，造成的一个越权漏洞；二是利用一个三次操作，导致最后的SQL注入漏洞。
另外，该SQL注入有一个不得不说的鸡肋点，在污染数据第一次入库的时候，数据库中保存这个数据的字段只有20字符长度，所以导致最后我们的注入点是一个“存在长度限制”的注入点。
虽然存在长度限制，但因为注入点出现在update语句的评论表中，所以通过这个漏洞，可以将一整个站的评论全部置为0，对于像社交性质的网站来说危害还是巨大的。
一些OEM厂商在定制自己的rom的时候，将一些Remote Support Tool (mRST)插件，比如TeamViewer的QS Add-On: Samsung打包进了/system/priv-app/，这样这些插件拥有了系统级的权限，而这些插件导出了服务供外部使用，但是在连接的时候没有正确的校验调用者的身份（或是说被绕过了），导致用户可以悄悄的使用这些远程控制功能。
其实整个过程是第三方软件漏洞+OEM厂商的错误使用，所以google也将这个责任推给了第三方，毕竟不是自己的源代码出现了问题。
2.如何hack掉一台正在飞行的parrot无人机 by 360安全播报
瑞安Satterfield Zuda公司的安全专家演示了一个可拆卸的Parrot A. R. Drone无人机，通过利用无人机的内置wifi，然后访问无人机Telnet端口开放的BusyBox操作系统。专家通过开放端口连接到无人机，获得root后，访问控制器，然后杀死用来控制无人机飞行的进程。
3.Wordpress4.2.3提权与SQL注入漏洞(CVE-2015-5623)分析 by phithon
这个漏洞有两个核心点，一是利用一个竞争条件逻辑错误，造成的一个越权漏洞；二是利用一个三次操作，导致最后的SQL注入漏洞。
另外，该SQL注入有一个不得不说的鸡肋点，在污染数据第一次入库的时候，数据库中保存这个数据的字段只有20字符长度，所以导致最后我们的注入点是一个“存在长度限制”的注入点。
虽然存在长度限制，但因为注入点出现在update语句的评论表中，所以通过这个漏洞，可以将一整个站的评论全部置为0，对于像社交性质的网站来说危害还是巨大的。
- 自我成長：
1.立即活用勤練習 by 何飛鵬
所有的學習，不只在增進知識，更重要的是，要造成行為的改變，進而提升自己的技能，改善自己所處的情境。
讀書學習應強調轉化、活用，在閱讀的當刻就嘗試轉化到實際生活、現實世界的印證，如果能找到案例，就為已知的事實找到理論基礎。
不只是在閱讀中印證，更重要的是在閱讀後，把書中的知識活用在現實生活與工作中，如果可能就訂下新的工作、生活行為準則，嘗試讓自己的行為改變，這才真正達到看書學習的目的。
2.安倍談話的德國觀點 by 蔡慶樺
安倍晉三於8月14日，在演講中為了日本引發的戰爭的恐怖曾造成無數無辜者—包括台灣—的巨大苦痛而道歉，但沒有直接承認日本對慰安婦的責任。他同時強調，日本未來一代不應該不停謝罪，但是日本仍應該記取歷史教訓，以確保區域和平穩定。
只是可惜的是，終戰70周年是一個很好的歷史契機，安倍可以好好把握，全面反省日本的戰爭責任，進而確立他在世界史中的定位。然而他失去了機會，在慰安婦問題、戰爭罪責問題上未能確實清楚呈現日本的政治倫理角色，南韓總統已公開批評安倍的間接態度令人不滿。
在歷史中，有些時刻的聲明、演講、決斷，能夠區分出好的政治家以及偉大的政治家，而安倍所錯過的，正是這樣的歷史時刻。相對於德國，在二戰結束40年時，曾有一個這樣的時刻，一個總統，針對一個國家的侵略者角色、政治倫理、和平責任，發表了一篇演說，改變了這個國家的命運。
魏茨澤克以總統之姿，對因為二戰而犧牲的各種受難者道歉，並毫不保留地籲請德國人民必須記住德國人曾經犯下的罪行，他說，記憶，才是唯一通向和解的道路。當然他知道，下一代的德國人未參與戰爭，厭倦了承擔父輩祖輩的罪行，他也認為以「集體罪責」加在全體德國人身上，並不恰當，但是，所有德國人確實都承受了先人所留下來的「沉重的遺產」，這是不可能擺脫的，所有德國人都必須接受德國的陰暗面，直面並處理這一段歷史。
3.當社運與政黨走得太接近──美國反戰運動的啟示 by 何明修
在近年來台灣重大的社運事件中，政黨與社會運動的關係經常受到關注。從去年的太陽花運動到今年的反課綱調整，受到挑戰的國民黨常用的反制手段即是宣稱這些抗議運動是民進黨所背後指使的。彷彿只要沾染上一點政黨色彩，無論抗爭的訴求再怎麼合情合理，這樣的指控就足於摧毀整個運動的正當性。
在現實情況下，運動者或許抱持著「政黨中立」的信念，但是在實際過程中，卻不可能不與政黨打交道，畢竟在民主政治中，真正掌握權力是政治人物及其政黨。從另一個角度來看，在激烈的政黨競爭下，一旦某項社運議題浮現成為公眾關注焦點，也有可能吸引政治人物的主動介入，無論其意圖為何。簡而言之，社運要真實現其目標，就得要靠近權力，影響政治人物；但是如果一不小心走得太近，那麼他們就很容易被政黨吞噬，反而更不容易落實其主張。
在台灣，既有的政黨體制並不是那麼容許社運採取「政黨之內」的策略。舉個明顯的例子，國民兩黨在接下來的2016年大選中，不約而同都採取了「全民調」來決定其區域立委候選人，因此完全排除了黨員的參與。儘管如此，一旦社運與政黨走得走太接近，所可能導致的負面後果將會是非常類似的，無論是美國亦或是台灣。
所有的學習，不只在增進知識，更重要的是，要造成行為的改變，進而提升自己的技能，改善自己所處的情境。
讀書學習應強調轉化、活用，在閱讀的當刻就嘗試轉化到實際生活、現實世界的印證，如果能找到案例，就為已知的事實找到理論基礎。
不只是在閱讀中印證，更重要的是在閱讀後，把書中的知識活用在現實生活與工作中，如果可能就訂下新的工作、生活行為準則，嘗試讓自己的行為改變，這才真正達到看書學習的目的。
2.安倍談話的德國觀點 by 蔡慶樺
安倍晉三於8月14日，在演講中為了日本引發的戰爭的恐怖曾造成無數無辜者—包括台灣—的巨大苦痛而道歉，但沒有直接承認日本對慰安婦的責任。他同時強調，日本未來一代不應該不停謝罪，但是日本仍應該記取歷史教訓，以確保區域和平穩定。
只是可惜的是，終戰70周年是一個很好的歷史契機，安倍可以好好把握，全面反省日本的戰爭責任，進而確立他在世界史中的定位。然而他失去了機會，在慰安婦問題、戰爭罪責問題上未能確實清楚呈現日本的政治倫理角色，南韓總統已公開批評安倍的間接態度令人不滿。
在歷史中，有些時刻的聲明、演講、決斷，能夠區分出好的政治家以及偉大的政治家，而安倍所錯過的，正是這樣的歷史時刻。相對於德國，在二戰結束40年時，曾有一個這樣的時刻，一個總統，針對一個國家的侵略者角色、政治倫理、和平責任，發表了一篇演說，改變了這個國家的命運。
魏茨澤克以總統之姿，對因為二戰而犧牲的各種受難者道歉，並毫不保留地籲請德國人民必須記住德國人曾經犯下的罪行，他說，記憶，才是唯一通向和解的道路。當然他知道，下一代的德國人未參與戰爭，厭倦了承擔父輩祖輩的罪行，他也認為以「集體罪責」加在全體德國人身上，並不恰當，但是，所有德國人確實都承受了先人所留下來的「沉重的遺產」，這是不可能擺脫的，所有德國人都必須接受德國的陰暗面，直面並處理這一段歷史。
3.當社運與政黨走得太接近──美國反戰運動的啟示 by 何明修
在近年來台灣重大的社運事件中，政黨與社會運動的關係經常受到關注。從去年的太陽花運動到今年的反課綱調整，受到挑戰的國民黨常用的反制手段即是宣稱這些抗議運動是民進黨所背後指使的。彷彿只要沾染上一點政黨色彩，無論抗爭的訴求再怎麼合情合理，這樣的指控就足於摧毀整個運動的正當性。
在現實情況下，運動者或許抱持著「政黨中立」的信念，但是在實際過程中，卻不可能不與政黨打交道，畢竟在民主政治中，真正掌握權力是政治人物及其政黨。從另一個角度來看，在激烈的政黨競爭下，一旦某項社運議題浮現成為公眾關注焦點，也有可能吸引政治人物的主動介入，無論其意圖為何。簡而言之，社運要真實現其目標，就得要靠近權力，影響政治人物；但是如果一不小心走得太近，那麼他們就很容易被政黨吞噬，反而更不容易落實其主張。
在台灣，既有的政黨體制並不是那麼容許社運採取「政黨之內」的策略。舉個明顯的例子，國民兩黨在接下來的2016年大選中，不約而同都採取了「全民調」來決定其區域立委候選人，因此完全排除了黨員的參與。儘管如此，一旦社運與政黨走得走太接近，所可能導致的負面後果將會是非常類似的，無論是美國亦或是台灣。
如欲閱讀更多文章摘要，請見 每日晨摘
沒有留言:
張貼留言