漏洞分析

在“万物互联”的背景下，IoT设备应用日益流行，为应对潜在的网络安全风险，防患于未然，“奇安信技术研究院”团队近期开展了IoT安全的研究活动。研究人员在针对D-Link品牌旗下常见的DIR-823G、DIR-878等路由器的研究过程中（所研究设备对应的固件为最新版本，即FW1.02B03和FW1.12B01），累计挖掘了14个高危漏洞，可造成越权访问、DNS劫持、远程命令执行等严重危害。在此基础上，研究人员结合DNS Rebinding技术，实现了穿透攻击处于内网的路由器。

报告总结了7大类容易出错的 CORS误配置安全问题。通过对CORS实际部署情况的大规模测量，我们发现开发者对CORS的安全性问题并未充分理解，27.5%的CORS网站存在不安全的配置问题，部分问题源于开发者的疏忽、部分也源于CORS协议自身设计与实现的不规范。

从The DAO被盗取6000万美元开始，到EOS漏洞允许恶意合约穿透虚拟机攻击，“智能合约”俨然成为区块链的安全重灾区。通过持续攻研，研究人员开发了针对智能合约整数型溢出漏洞的自动化漏洞挖掘工具，近期发现了多个新型整数溢出漏洞，可造成超额铸币、超额购币、随意铸币等严重危害。