一周安全要聞：思科IP電話曝漏洞 安全公司爭相IPO
原創近日，Cisco小型商業電話的固件曝高危漏洞，攻擊者可通過該漏洞監聽私人電話以及進行遠程撥打電話，而且這一系列惡意行為都不需要任何身份驗證。該漏洞(CVE-2015-0670)的存在實際上是由于某些Cisco IP電話的默認配置中含有了一些不恰當的設置。它允許攻擊者通過向受影響的設備發送特殊的XML請求來控制該設備。該漏洞影響到Cisco小型商業SPA300以及SPA500 IP電話且運行的固件版本為7.5.5。然而，Cisco發出警告稱在7.5.5后的版本也可能會受到該漏洞影響。
電腦在工作時會因為其工作內容的不同而產生不同的熱量，除了CPU、圖形處理單元以及其他主板組件外，系統下載文件、視頻或者上網時都會通過消耗電能而產生能量。電腦內部會內置許多溫度傳感器來檢測熱波動并觸發內部風扇冷卻系統的開啟或關閉。而黑客正是使用這些傳感器來發送命令或者獲取數據的。該方法類似于摩爾斯電碼，黑客可以通過控制熱量增加來利用目標電腦的溫度傳感器，檢測溫度并將其轉換為“0”或“1”然后進行通信。
鼎鼎大名的SQL注入漏洞在服務器上的殺傷力不用多說，可惜虎落平陽被犬欺，SQL注入漏洞在Android平臺長期處于比較雞肋的狀態。雖然Android平臺大量使用SQLite存儲數據導致SQL注入很常見，而SQL注入的發現也相對簡單，但其危害十分有限：在無其他漏洞輔助的情況下，需要在受害者的手機上先安裝一個惡意APP，通過這個惡意載體才可能盜取有SQL注入漏洞的APP的隱私數據。很多人會說，都能夠安裝惡意APP了，可以利用的漏洞多了，還要你SQL注入干嘛。正是因為這個原因，導致SQL注入漏洞一直不被大家所關注。
一段時間以來，索尼、摩根大通和Anthem等公司網絡遭黑客入侵導致數據失竊，這些事件促使企業增加投資，確保計算機網絡安全。在這種情況下，最近幾個月已經上市的網絡安全公司股價表現超出了市場平均水平。據消息人士透露，Rapid7、LogRhythm和Mimecast等多家網絡安全公司計劃在2015年IPO(首次公開募股)，希望抓住一系列黑客攻擊事件發生之后投資者對這個領域的濃厚興趣。
“越獄了的蘋果不安全”，這是不少“果粉”的慣常想法，不過沒有越獄的蘋果手機也有危險了。近日，國內漏洞發布平臺烏云網發布消息，蘋果iOS系統存在漏洞，這一漏洞可導致非越獄iOS設備的賬號、密碼等敏感信息被黑客竊取，發布者稱支付寶、微信等手機應用都可能會因此“中招”。
安全工具：
pymsf是著名安全研究團隊Spiderlabs實現的一個Python與Metasploit msgrpc進行通信的python模塊，通過它，你可以利用Python玩轉滲透測試框架Metasploit。
3vilTwinAttacker可以幫助滲透測試人員建立一個虛假的釣魚WiFi，表面上這是一個提供上網服務的正常AP(網絡接入點)，而實際上它卻在不知不覺嗅探獲取網絡流量。
釣魚Wi-Fi及嗅探測試工具:3vilTwinAttackerphper
加密解密：
