“看看那些無知的消費者，為一個所謂的新技術就能夠那么興奮，然后欣然地為之買單。”但是，在約翰·?？撕退耐械难劾铮切┒际恰靶〔艘坏?。約翰·埃克平常的身份是美國加利福尼亞州蒙特里海軍研究生學校的一名學生，而在這次全美黑帽安全大會上，他是一位剛剛入行的優(yōu)秀黑客。
全美黑帽安全大會一貫以披露軟件中的安全缺陷和共享黑客工具為主要議題。在黑客們的心目中，一年一度的大會是同行們切磋技藝的節(jié)日，來自世界各地的電腦高手紛紛奉獻自己的發(fā)現(xiàn)，并從中獲得樂趣。
對于電腦軟件廠商們來說，這個節(jié)日卻是他們的“世界末日”，總有許多知名軟件或者程序被黑客們認定為“不安全的”。今年也不例外。
無線網(wǎng)絡有漏洞
在某互聯(lián)網(wǎng)公司任安全系統(tǒng)工程師的大衛(wèi)·馬伊諾是約翰·?？说暮门笥?，也是“好伙伴”。8月3日，兩人在黑帽安全大會上做了利用無線網(wǎng)漏洞入侵計算機的演示。演示證明，他們發(fā)現(xiàn)了一種利用無線系統(tǒng)設備驅動程序中的漏洞來獲取筆記本電腦控制權的方法。即使電腦沒有連在網(wǎng)絡上，上網(wǎng)密碼、銀行賬戶的詳細資料和其他敏感信息也可能被盜走。
他們使用的是一個名為“LORCON”（多點連接）的黑客工具軟件，其方法是將超大量的無線信息包發(fā)送到不同的無線網(wǎng)卡上，并僅用了大約1分鐘的時間就完全控制了蘋果（美國著名電腦制造商）的MacBook電腦，這種電腦安裝有被認為安全性能更好的蘋果操作系統(tǒng)。馬伊諾說，裝有Windows和Linux操作系統(tǒng)的電腦同樣難以幸免。
馬伊諾能夠在這臺電腦上創(chuàng)建、讀取和刪除文件。更可怕的是，當筆記本電腦斷開網(wǎng)絡連接以后，馬伊諾還可以做同樣的事情。
另外，馬伊諾說，這種信息包是一個幾乎無法被發(fā)現(xiàn)的程序，犯罪分子可用它盜取登錄密碼，獲取敏感信息。
馬伊諾表示，設備驅動程序破解是一項技術難題，但這項領域已變得越來越吸引人，因為困難程度正在逐步降低。“這要部分歸功于新的工具軟件，比如知名的像腳本工具軟件等，它使得黑客所需要的專業(yè)知識更少，而實現(xiàn)目的也更容易?！?/FONT>
互聯(lián)網(wǎng)2．0時代更便于黑客“發(fā)揮”
互聯(lián)網(wǎng)在經(jīng)過多年發(fā)展之后，現(xiàn)在被認為正在進入Web2.0時代，網(wǎng)站更具互動性是Web2.0的主要特色，使用者可以像布置自己的電腦桌面一樣布置經(jīng)常瀏覽的網(wǎng)站。Ajax技術是實現(xiàn)這些新應用的重要技術之一。在使用者和服務器之間引入的Ajax引擎，能帶給網(wǎng)絡使用者更多的自由空間，并能提高訪問速度。
但是，在美國黑客霍夫曼看來，Ajax技術的“功能”不只是把網(wǎng)頁變得更互動而已，它也提供黑客整垮Web服務器、攻擊使用者的渠道。
8月4日，霍夫曼在黑帽安全大會上播放了自己通過Ajax技術實現(xiàn)攻擊計算機的視頻錄像。他說：“傳統(tǒng)網(wǎng)站好比一幢沒有窗子、只有一扇門的房子，而Ajax網(wǎng)站則是一個有數(shù)不清窗子和旋轉門的房子，盡管你在前后大門上加了最安全的鎖，但我還是可以從窗口鉆進去?！?/FONT>
“以這種新技術開發(fā)的網(wǎng)站可攻擊面積更大，因為它和瀏覽器有更多互動，而且可以在用戶端PC上執(zhí)行JavaScript?！被舴蚵ΨQ。JavaScript是常見的描述性語言。
Ajax也增加了跨網(wǎng)站指令碼（Cross－SiteScripting）的可能性，如果網(wǎng)站源代碼撰寫不留意就可能發(fā)生。專家指出，攻擊者可以利用這項弱點盜取使用者賬號、詐騙私人信息，或甚至把惡意源代碼下載到使用者電腦中。一些知名公司像微軟、eBay、雅虎與Google等網(wǎng)站都曾出現(xiàn)跨網(wǎng)站指令碼的漏洞。
波蘭女黑客當眾羞辱微軟
為了擺脫安全漏洞帶來的困擾，全球最大的軟件生產(chǎn)商美國微軟公司出人意料地出現(xiàn)在今年的黑帽安全大會上，并于8月 2 日發(fā)布了一個Vista （下一代Windows操作系統(tǒng)）的測試版本，邀請安全界專家為其查找漏洞。
但是，結果證明，微軟是在自取其辱。
