点评：首席网络安全专家在信息安全行业声称的哈希算法的漏洞发现以前一年多可能成为Web上最危险的安全漏洞。在2010 RSA大会，白帽首席安全技术官Jeremiah Grossman正式提出了十大网络黑客的攻击在过去的一年。一月，格罗斯曼上市的第四年在其博客首次





信息安全行业的首席Web安全专家说，一年多前发现的哈希算法可能是Web上最危险的安全漏洞。
在2010 RSA大会，白帽首席安全技术官Jeremiah Grossman正式提出了十大网络黑客的攻击在过去的一年。一月，格罗斯曼上市第四年的名单上，他的博客首次。他试图阐明那些不会引起人们注意的攻击，但意义重大。
这个清单的首要任务是创建流氓认证机构，它有效地破坏了因特网的信任基础设施，使用户很难知道哪些网站和证书是可信的。
该漏洞最初是由安全研究小组发现，包括独立的研究员Alex Sotirov，在2008年底。这次袭击是针对MD5哈希算法的脆弱性和在特殊情况下，它可以在复制伪造的数字指纹形式的攻击。
格罗斯曼说，现在一些CA（证书颁发机构）仍然使用MD5，但它已被更安全的SHA-1哈希函数没有这个缺陷逐渐被淘汰。
列表中的第二个列表是一种污染HTTP参数的技术。向网站发送多个请求，可以绕过输入验证检查和Web应用程序防火墙，然后修改Web页面内容和客户端应用程序行为。
Ldquo；您可以通过使用同名的多个URL参数来改变后端行为，这也可能导致用户破坏自己的雅虎邮箱帐户。
格罗斯曼没有详细说明黑客技术的每一个细节，但他强调一些黑客技术，带来特殊风险，包括DNS重新绑定内网。。有这攻击通道的几种技术，基本攻击DNS服务器，通过浏览器获取IP地址，允许攻击者访问的安全区。
格罗斯曼说，尽管DNS重新绑定已存在多年，它已或多或少完全恢复。hellip；hellip；它可以使浏览器在网络代理执行攻击者的指令。这是一个非常猖獗的进攻方式。
同样，rfc-1918也可以允许攻击者通过中间人攻击的方式获得可信内网，包括iframe注入定向非公开的IP地址。
格罗斯曼说：您可能突然将他们的浏览器存储在Javaｓｃｒｉｐｔ恶意软件上，即使受害者关闭了浏览器，它也会永久存储在那里，因为攻击者在流中。
达拉斯工程公司Huitt佐拉斯格伦里德诺，在满足目前信息技术总监说，格罗斯曼谈论的并非新技术，但攻击者可以访问网络的脆弱性，确实让人感到不安，因为攻击者可以利用这个漏洞很容易在机器之间来回切换。
Ridnour说，我们花大量的时间建立防火墙和过滤，但这种进攻方式并不被所有的其他因素的影响。
格罗斯曼在会议上的演讲的主要主题是：成功地保护网站的Web漏洞不仅需要安全的浏览器，而且还需要一个安全的网站基础设施。
网站必须能够抵御恶意的用户攻击，而且浏览器必须能够防范恶意网页，就像你不能只用一个翅膀飞行一样，


（这篇文章是由责任编辑PASU编译）