12/31 晨摘

• 資訊安全：

1.谷歌瀏覽器插件AVG Web TuneUp曝多個高危漏洞，影響900萬用戶 by Freebuf

谷歌瀏覽器插件AVG Web TuneUp被暴露出多個漏洞，由於該插件活躍用戶約900萬，所以影響範圍非常廣。

這個插件添加了很多的api用來操作谷歌瀏覽器，比如可以輕易的劫持搜索框和新標籤頁。而由於其安裝過程十分複雜，所以能夠逃避谷歌惡意軟件的檢查，特別是能夠逃避谷歌瀏覽器“阻止濫用擴展的API”的檢查。

事實上其中的很多api是有問題的，攻擊者可以通過構造payload成功盜取用戶在avg.com上的cookie，還可以獲取用戶的瀏覽記錄以及其他的私人數據，甚至有可能成功實施任意命令執行。

2.新一代強悍web蠕蟲被捕獲，已感染千餘網站 by Freebuf

最近，一個很新穎而且強大的web蠕蟲被捕獲，它功能上相當於一個綜合漏洞掃描器。該蠕蟲主要利用一些web程序的高危漏洞進行傳播，其中包括phpmyadmin，wordpress，joomla，magento等等知名網站app的漏洞，還有破殼漏洞，ssh弱口令，sql注入,自動提權。

感染後的bot會從服務端接收指令，進行ddos攻擊，漏洞掃描感染其他主機，作為http proxy，生成irc服​​務端等等。

3.Android惡意軟件使用內置防火牆屏蔽安全軟件 by

賽門鐵克發現的最新案例是針對中國Android用戶的一款惡意軟件，賽門鐵克將其命名為Android.Spywaller。

這個惡意軟件的獨特之處在於，感染目標設備後，它會查找奇虎360使用的UID(唯一標識符, unique identifier)​​，之後它會加載DroidWall程序，這是Android平台上一款強大的防火牆前端軟件，由UNIX iptable包修改而來。

為了感染用戶，這款惡意軟件還會把自己偽裝成Google應用“Google Service”，這正是利用了大部分中國手機都不安裝Google Play商店的特點。

Android.Spywaller通過非官方的Andr​​oid應用商店傳播，欺騙用戶授予它大量權限，之後它就會繼續在後台工作，並從設備中竊取信息，上傳至它的一個C&C服務器。

• 自我成長：

1.下班前的五分鐘 by EMBA雜誌編輯部

問自己三組問題：

（1）這一天如何？我獲得了什麼成功？面對了什麼挑戰？

（2）我學到了什麼，關於我自己或別人？我計畫明天有什麼一樣的做法，什麼做法不同？

（3）我和誰互動了？我需要聯繫誰，感謝誰，和誰分享資訊，問誰問題？

2.四大步驟，把該做的事做完 by EMBA雜誌編輯部

（1）評估：設定目標、關鍵的成果數據等，列出待辦事項

（2）選擇：把沒必要立刻做的事，甚至根本沒必要做的事丟出腦外，讓自己不會覺得好多事情都還沒做，反而產生會拖垮生產力的焦慮感

（3）聚焦：透過設定完成時間，強迫自己集中注意力

（4）追蹤

3.拿掉一點工作壓力 by EMBA雜誌編輯部

（1）尋找穩定與安全的工作或職務
（2）建立良好的人際關係
（3）跟直屬上司好好相處
（4）保持正面的態度
（5）從工作上獲得滿足

如欲閱讀更多文章摘要，請見 每日晨摘