網站設計,網頁設計靜德科技-Dchsoft

微軟：駭客針對IE6和IE7漏洞進行攻擊[資訊安全]

Diamond@Dchsoft.com (Snoopy) — Thu, 11 Mar 2010 00:00:00 +0800

（法新社舊金山9日電）微軟今天警告，有駭客針對較早期版本的IE瀏覽器（Internet Explorer）新漏洞，進行攻擊。
微軟說，目前遭受攻擊的是IE6和IE7兩版本，公司正在調查哪裡出漏洞。
微軟在其定期公佈的視窗與Office軟體補強佈告欄上建議：「目前我們獲悉這個漏洞會成為攻擊目標，我們會繼續監控這個威脅，情勢若有轉變，會在佈告欄上公告。」
根據微軟，駭客可能利用這個漏洞，遠端控制電腦。新的IE8和舊的IE5版本則不受影響。
不到2個月內，微軟就公佈兩起駭客攻擊IE瀏覽器事件。上一次是中國網路間諜利用IE6的漏洞攻擊谷歌（Google）等公司。
不論使用哪個版本的網路瀏覽器，定時更新都可以強化防堵駭客攻擊。（譯者：中央社賴秀如）

走讀台灣正式上線記者發布會[網站設計]

Diamond@Dchsoft.com (Snoopy) — Fri, 29 Jan 2010 00:00:00 +0800

走讀台灣正式上線記者發布會[網站設計] 相關文章教育部部長吳清基，文化總會會長劉兆玄皆出席. 教育部與國家文化總會共同策劃的《走讀台灣》系列叢書，由知名作家親自走訪6縣市，精選近百條優質路線、數百個私房景點及超過兩千幅照片，深入解說台灣的文化景點，除了實體書之外，還有電子書可上網瀏覽，可作為校外教學路線，也適合民眾深度旅遊參考。《走讀台灣》系列叢書目前已經有16個縣市內容出版，包括：連江縣、澎湖縣、苗栗縣、台東縣、及新竹縣市等6個縣市，除了紙本書籍外，首度推出電子書，網站也結合部落格、及Google Map等，教育部長吳清基表示，這套《走讀台灣》叢書從95年起規劃，每年都邀請熱愛台灣的老師、文史工作者，編寫有關台灣各景點的文史風情，讓學生校外教學有尋根的依據，將推薦給學校師生使用，希望有更多人透過親自造訪，體會台灣自然人文之美。國家文化總會會長劉兆玄表示，今年《走讀台灣》的電子書也參加國際書展，除了已完成的16個縣市書籍外，未來將繼續延伸到台北市、基隆市、台南縣市等9個縣市，也透過網站(http://www.walkingtaiwan.com/index.asp)開放圖文下載，作為學校教學等非營利用途，並鼓勵師生或民眾上網分享走讀心得。

走讀台灣隨身google[網站設計]

Diamond@Dchsoft.com (Snoopy) — Fri, 29 Jan 2010 00:00:00 +0800

NOWnews【生活新聞】教育部與國家文化總會共同策劃的《走讀台灣》系列叢書，由知名作家親自走訪6縣市，精選近百條優質路線、數百個私房景點及超過兩千幅照片，深入解說台灣的文化景點，除了實體書之外，還有電子書可上網瀏覽，可作為校外教學路線，也適合民眾深度旅遊參考。《走讀台灣》系列叢書目前已經有16個縣市內容出版，包括：連江縣、澎湖縣、苗栗縣、台東縣、及新竹縣市等6個縣市，除了紙本書籍外，首度推出電子書，網站也結合部落格、及Google Map等，教育部長吳清基表示，這套《走讀台灣》叢書從95年起規劃，每年都邀請熱愛台灣的老師、文史工作者，編寫有關台灣各景點的文史風情，讓學生校外教學有尋根的依據，將推薦給學校師生使用，希望有更多人透過親自造訪，體會台灣自然人文之美。國家文化總會會長劉兆玄表示，今年《走讀台灣》的電子書也參加國際書展，除了已完成的16個縣市書籍外，未來將繼續延伸到台北市、基隆市、台南縣市等9個縣市，也透過網站(http://www.walkingtaiwan.com/index.asp)開放圖文下載，作為學校教學等非營利用途，並鼓勵師生或民眾上網分享走讀心得。圖說：教育部長吳清基推薦《走讀台灣》叢書，希望大家一起來體會台灣之美。

中國最大搜索引擎百度12日上午7時起遭到駭客攻擊

Diamond@Dchsoft.com (Snoopy) — Wed, 13 Jan 2010 00:00:00 +0800

（中央社台北12日電）中國最大搜索引擎百度今天上午7時起遭到駭客攻擊，長時間無法正常登入。瑞星反病毒專家分析，這次攻擊百度的駭客疑似來自境外，利用DNS（DomainNameSystem「網域名稱系統」）記錄篡改的方式。新華社報導，這是百度成立以來，遭遇的歷時最長、影響最嚴重的駭客攻擊，網友登入百度時，會被定向到一個位於荷蘭的IP地址，百度旗下所有子域名都無法正常登入。瑞星反病毒專家表示，發生駭客攻擊的根本原因，在於目前網際網路域名的DNS管理服務器安全性未受到應有的重視。目前絕大多數域名都有類似安全風險，使得DNS存在很多安全隱患。專家說，在這次事件中，駭客繞開百度本身的安全保護，攻擊DNS管理服務器，導致攻擊的嚴重後果。 Twitter網站在去年12月18日也遭到駭客攻擊，首頁一度被篡改，駭客攻擊方法和無法訪問的現象與這次百度被駭類似。專家提醒各大網路公司及相關域名管理機構，應採取兩項措施防範：一、使用安全可靠的DNS服務器管理域名，並注意跟進DNS的相關漏洞資訊，更新最新補丁，加固服務器；二、保護重要機密資訊安全，避免域名管理許可權被竊取。

賀!國家文化總會走讀台灣網站設計靜德科技得標[網站設計]

Diamond@Dchsoft.com (Snoopy) — Thu, 10 Dec 2009 00:00:00 +0800

賀!靜德科技在經過2輪的評選中擊敗眾多廠商，被國家文化總會評選為走讀台灣網站製作廠商.
展現了靜德科技專業的優勢，客戶的肯定，是我們努力的原動力! 國家文化總會（National Cultural Association）於民國80年3月，由前文復會（中華文化復興運動推行委員會）依法改組設立中華文化復興運動總會，並推舉李前總統膺任會長，為全國性社團法人，民國95年改名為國家文化總會。現任會長為劉兆玄先生，現任祕書長為楊渡（楊炤濃）先生。本會的工作任務，在整合政府與民間，協調文化機構、社會團體、企業界等，經由策略聯盟方式，共同推展思想研究與文化藝術活動，以創造優質的國家文化環境與內涵，提昇國家文明素質。現任會長:馬英九副會長:蕭萬長

賀!靜德科技資訊安全成為IBM Partner[資訊安全]

Diamond@Dchsoft.com (Snoopy) — Thu, 10 Dec 2009 00:00:00 +0800

賀!靜德科技成為IBM Partner 主要合作區塊為Rational系列 Appscan 關於Rational系列的介紹 http://www-01.ibm.com/software/tw/rational/products/testmanager/

2010新版OWASP Top10出爐[資訊安全]

Diamond@Dchsoft.com (Snoopy) — Tue, 24 Nov 2009 00:00:00 +0800

OWASP（Open Web Application Security Project）大會本月初在美國華盛頓舉辦，會後公開2010年初版OWASP Top10。資料隱碼攻擊(Injection)把「跨網站攻擊程式」(XSS，Cross Site Scripting)擠下，從第2名躍升至首位。

新增的網站安全組態設定缺失( Security Misconfiguration)是由原本Insecure config. management更名而來，而未驗證的網頁重導向(Unvalidated Redirects and Forwards)則是新增項目。此外，雖然惡意檔案執行(Malicious file execution)與資訊洩漏／不當錯誤處理(Malicious file execution)被踢出榜外，但他們仍是很重要的安全議題。遭破壞的鑑別與連線管理(Broken Authentication and Session Management)從2007年的第7名上升至第3名，顯見安全威脅的嚴重性倍增。
OWASP Top10常被業界拿來作為網站安全參考標的之一，企業透過參考OWASP Top 10可更了解目前所遭遇的網站風險，進而透過技術與管理層面，降低問題與風險的發生。新版的風險評比方式，是依威脅、攻擊方式、脆弱度到偵測性、技術與營運的衝擊等網站安全項目作量化評比。
此Top10名單出爐，推估相關網站與企業資安管理與服務商，將引發新一波改版更新潮，將新榜的名單納入其功能更新的項目中。

日本賽門鐵克被入侵使用工具是靜德科技SQL Injection工具[資訊安全]

Diamond@Dchsoft.com (Snoopy) — Tue, 24 Nov 2009 00:00:00 +0800

http://www.lengmo.net/post/1394/ 日本賽門鐵克被入侵居然工具是使用靜德科技的SQL Injection工具...

慶豐銀行的Web ATM site被駭掉了[資訊安全]

Diamond@Dchsoft.com (Snoopy) — Tue, 24 Nov 2009 00:00:00 +0800

「慶豐銀行的 Web ATM site被黑掉了，使用者請多加注意。」一位網友Zero在網路上分享了這樣的一則訊息，而在資安人網站首頁的烽火台單元及Zone-H亦有相關的資料批露。

「linuXploit_crew was here by _Seri4l_Kill3r_...reason for the attack?: we need peace...contact: seri4l_kill3r@post.com we are: _Seri4l_Kill3r_ - Thund3rC4sh and MeC」在https://ebank.chinfonbank.com.tw/的網頁上，入侵者留下了這樣的訊息。

慶豐銀行初步推測這是一個自動化的程式，在網路上搜索漏洞進行攻擊。該行人員表示，約莫半年前也曾出現過網頁被置換成一個血手印圖案上面寫著「Save the Child」，當時認為是屬於一次性的惡意攻擊，便將圖片拿掉，然後更改該伺服器主機上面的IIS設定。慶豐表示那是一台前端的伺服器，上面有3、4種銀行業務以及發送簡訊等服務，由於是對外的服務，有些port是不得已被打開的，但其實重要的交易皆已拉至後台。

資安專家表示，這並不是單純被置換網頁的事件而已，以這種程度看來，代表駭客已經可以拿到控制網站的權限，專家推測這是網站常遇見的安全問題－SQL Injection攻擊，使用程式自動檢查到有漏洞的網頁，然後手動埋入，也就是說這是網頁程式的問題，而非IIS 6伺服器的問題，IIS 6已經比IIS 5的安全性改善很多，許多不必要的method（被允許的傳輸）都已經預設為關閉，只要管理者有定期更新的習慣，較難直接被寫入惡意網頁。由於根本的源頭－不安全的網站程式碼，依然存在，才會使得問題一而再的發生。

其實還是有不少銀行網頁有SQL Injection的問題，只是可能權限設定比較嚴謹，只能允許「讀取」。而慶豐這次的狀況，顯然是銀行的伺服器權限設定已經到達可以「寫入」，視該台伺服器提供的服務，以及銀行整體的資訊基礎架構而定。攻擊者其實是可以寫入後門程式(Web Shell)到前台伺服器，將之當作跳板，就能連結到後台的資料主機，並且悄悄、持續將資料送出，至於送出的是何種資料，對該行客戶的影響就可大可小。
此次事件對該銀行系統資料可能造成的實際影響，還需經進一步調查才能得知。
該銀行也表示會再掃瞄看看，是否有木馬或側錄程式等，並且監控該網站活動記錄，針對記錄再判斷應該如何處理。

木馬程式容易被防毒、防間諜等軟體掃到，但後門程式不太會被讀取到，就不易被找到，一般來說，都是後端資料庫已經被偷得差不多了，利用價值殆盡，才放木馬到網頁上，感染來瀏覽網頁的人。企業IT人員對SQL Injection問題不應輕忽。

Facebook遭踢爆有安全漏洞[資訊安全]

Diamond@Dchsoft.com (Snoopy) — Mon, 09 Nov 2009 00:00:00 +0800

驚！Facebook遭踢爆有安全漏洞　網友資料可能早已外洩？
更新日期:2009/11/09 09:47

受到數億人歡迎的Facebook傳出，在過去一直存在有一重大安全漏洞！發現此狀況的一名應用程式開發人員Yvo Schaap說，雖然官方已經緊急修補該漏洞，但是可能已驚讓駭客取得使用者的賬戶個資、照片以及所有發佈在社交網路上的資料。
Yvo Schaap在個人MySpace部落格文章點名Facebook及MySpace含有重大安全漏洞，Schaap指出，Adobe推出crossdomain.xml以讓特定網域能夠存取其他網域的資料，在Facebook則不然，即使透過crossdomain.xml，仍舊禁止非Facbook網域的Flash程式存取主要網域資料；可是Facebook卻允許任何flash應用程式存取子網域的資料，而該子網域竟然儲存所有Facebook的資產，包括Facebook用戶程序。 Schaap表示，這也就是說，如果使用者是採用自動登入Facebook的模式，就能透過在用戶程序看到使用者的全名，還可利用使用者的憑證執行Facebook上的功能；而更嚴重的狀況是出在，大多數的Facebook用戶都啟動自動登入功能。此外，MySpace也有類似的漏洞。因此，駭客很容易利用此漏洞，讓瀏覽器自動載入cookie及一個含有惡意Flash檔案的URL，此用戶會在不知情的情況下，帳戶再次自動登錄，而當用戶處理自動更新的時候，惡意代碼和病毒就會自動透過代為張貼使用者訊息，散佈給好友，同時，駭客在竊取資料時，不會在伺服器留下任何痕跡。 Yvo Schaap的發現對Facebook和MySpace是一個嚴重的打擊，雖然Facebook及MySpace迅速修補此漏洞，但是由於這兩個網站曾經多次被發現存在嚴重的安全問題，Schaap與外就普遍認為，應該已有其他開發人員已經發現此一漏洞，只是一直未被揭發而已，而使用者的資料可能早就外洩了。
本則新聞由NOWnews提供 2009/11/09

賀!法鼓山評選靜德科技為僧伽大學網站改版製作廠商[網站設計]

Diamond@Dchsoft.com (Snoopy) — Fri, 16 Oct 2009 00:00:00 +0800

賀!靜德科技在被某個廠商惡意詆毀之下仍然從容不迫擊敗眾多廠商，被法鼓山評選為法鼓山僧伽大學網站改版製作廠商展現了靜德科技專業的優勢，客戶的肯定，是我們努力的原動力!

靜德科技推出資安駐點服務[資訊安全]

Diamond@Dchsoft.com (Snoopy) — Mon, 12 Oct 2009 00:00:00 +0800

靜德科技在廣大客戶的要求下
推出資安駐點服務
所謂資安駐點服務包括

服務內容	備註
維護保養	(一) 外觀檢測 (二) 系統功能檢測 (三) 網路功能檢測 (四) 資料備援(每天)
故障處理	報修後的立即連線檢修，視檢修情形決定是否需到達設備所在地檢修機器設備。
諮詢服務	提供不限次數電話、電子郵件諮詢服務包括相關網路系統、網路設備規劃問題等等
特徵資料庫更新	病毒碼，以及本公司開發之漏洞檢測軟體，木馬檢測軟體等資料庫
資料庫檢查	檢查資料庫是否被入侵，資料是否被惡意竄改
文件比對	對於伺服器上運作的程式檢測是否被竄改
弱點掃描	每個禮拜對伺服器進行進行最新的弱點掃描並出報告
伺服器資訊安全處理	不定期對伺服器進行資訊安全設定(一開始會把已知問題修復若爆發有機會有0day攻擊存在時第一時間進行設定)
日誌分析	分析伺服器日誌找尋可疑日誌

每周按照客戶需求次數365*24全天候的到府服務機制
詳情歡迎來電洽詢

Dchsoft靜德科技發表瞬間破解Md5工具[資訊安全]

Diamond@Dchsoft.com (Snoopy) — Sat, 26 Sep 2009 00:00:00 +0800

Md5加密是我們常見的一種加密模式之前通常我們在破解MD5的時候是通過暴力破解方式(產生字元去逐一比對)或者通過網路MD5密碼查詢方式前者破解速度慢(不管是用CPU或者是GPU去破解) 後者局限於Md5 code是否在該網站的資料庫內且許多是需要付費的日前靜德科技研究出Md5瞬間破解工具可以在很短的時間內1~3秒破解60%以上1~25位數字+字母+符號的Md5 code 破解Md5密碼只要3秒例如 1qazxsw21 abcdefghijklmnopqrstuvwxyz diam0nd !@#$%^&* ......... 歡迎來信索取更多相關內容

賀!中華電信數據中心Hinet 購買靜德產品

Diamond@Dchsoft.com (Snoopy) — Wed, 05 Aug 2009 00:00:00 +0800

中華電信數據中心Hinet 購買靜德產品Dchsoft SQL Injection 注入工具用來對旗下網站進行防護

用友遠程接入2009讀取任意檔漏洞(0day)[資訊安全]

Diamond@Dchsoft.com (Snoopy) — Thu, 16 Jul 2009 00:00:00 +0800

用友遠程接入2009讀取任意檔漏洞（0day）
Posted 星期三， 07/08/2009 - 18:58
發佈日期：2009-07-09
受影響的軟體及系統：
====================
用友遠端接入系統2009
異速聯(E-SoonLink)
綜述：
====================
用友的遠端接入系統是OEM了金萬維的異速聯產品，如下是官方對產品的介紹：
金萬維異速聯(E-SoonLink)是具有自主智慧財產權的應用交付平臺，該系統基於伺服器計算架構(Server-based Computing)開發，它將應用程式的顯示邏輯和計算邏輯分離，在伺服器上100%地安裝、管理、支援和執行應用程式，只有鍵盤資訊、滑鼠點擊和螢幕刷新資訊在客戶機和伺服器之間傳輸。它將C/S架構轉化成B/S架構，降低了對網路頻寬的要求。同時，避免在每台電腦的重複安裝、調試、更新應用軟體，從而降低企業資訊化成本，提升工作效率，大大簡化部署與管理複雜的計算環境。
客戶機可以通過WEB方式訪問部署在伺服器上的應用程式、檔文檔、桌面等，客戶機與伺服器之間的通信採用SSL128位元加密技協議，同時，由於所有資料都在伺服器上，PC機中毒對資料中心沒有任何影響，充分保證資訊傳輸的安全性。異速聯應用交付平臺的優勢主要表現在方便快捷地部署各種應用系統、確保分支機搆的互聯性、移動辦公的靈活性、資料的安全性等四個方面。
在我們使用JSky對某客戶進行安全評估掃描的過程中，JSky告警提示目標存在讀取任意檔的漏洞，進過測試發現該漏洞不需要進行任何的身份認證，且程式以服務運行，許可權較高。攻擊者有可能利用該漏洞獲取目標伺服器的完全控制許可權。
特警告各採用了用友遠端接入系統或者異速聯產品的公司聯繫官方修復該漏洞。
分析：
====================
在漏洞平臺中對某些資源採用檔的方式調用，在提示某些資訊（如錯誤資訊）時會直接訪問系統檔。攻擊者可以通過精心構造的檔請求來讀取系統任意檔。
廠商狀態：
====================
2009.07.09 0day
聲明
====================
本安全公告僅用來描述可能存在的安全問題，諾賽科技不為此安全公告提供任何保證或承諾。由於傳播、利用此安全公告所提供的資訊而造成的任何直接或者間接的後果及損失，均由使用者本人負責，諾賽科技以及安全公告作者不為此承擔任何責任。諾賽科技擁有對此安全公告的修改和解釋權。如欲轉載或傳播此安全公告，必須保證此安全公告的完整性，包括版權聲明等全部內容。未經諾賽科技允許，不得任意修改或者增減此安全公告內容，不得以任何方式將其用於商業目的。
參考
====================
http://www.ufida.com.cn
http://www.qnway.com

MSN 即日起在中國停用[資訊安全]

Diamond@Dchsoft.com (Snoopy) — Tue, 30 Jun 2009 00:00:00 +0800

更新日期:2009/06/30 11:47

微軟正式宣布，傳統的即時訊息客戶端軟體Messenger自6月30日將在中國停止提供服務，取代的是「Windows Live Hotmail」服務，好處是讓玩家在使用沒有安裝 MSN 的電腦時，只用瀏覽器就可以上線跟朋友哈啦、交換訊息，但是缺點是缺少MSN可視訊聊天的功能。「Windows Live Hotmail」讓用戶只要登入Hotmail，即使所使用的電腦沒有安裝Messenger軟體，也能瀏覽好友的上線狀態，透過Hotmail傳送即時通訊息。 Hotmail網頁版Messenger的主要功能包括：不需安裝Messenger軟體，即使是公眾電腦，只要能上網，就可以在Hotmail中與連絡人對話。此外，連絡人上線狀態會分別以綠色、黃色與紅色顯示線上、離開與忙碌，只要對方是綠色線上狀態，即可直接展開對話。而收發Hotmail時，可分別從郵件或連絡人清單上點選談話對象進行對話，不需切換到另一個網頁。
此外，微軟還說，雖然MSN在中國無法登入，但是Windows Live Messenger Web Toolkit仍可以訪問微軟的即時訊息網路；如果使用者的Live ID不使用Hotmail作為其電子郵件，也可以通過Windows Live People以同樣的方式訪問即時訊息服務。本則新聞由NOWnews提供 2009/06/30

賀!靜德科技被EMC(Electro Magnetic Compatibility )行銷公司亞捷國際行銷選為台灣地區資料庫系統開發廠商[網站設計]

Diamond@Dchsoft.com (Snoopy) — Wed, 17 Jun 2009 00:00:00 +0800

賀!靜德科技被EMC(Electro Magnetic Compatibility )行銷公司亞捷國際行銷選為台灣地區資料庫系統開發廠商 http://www.reg-tw.com/list.html

微軟發布IIS安全警報[資訊安全]

Diamond@Dchsoft.com (Snoopy) — Thu, 11 Jun 2009 00:00:00 +0800

微軟發布IIS安全警報

文/陳曉莉 (編譯) 2009-05-20

新發現的IIS漏洞主要帶來的是資訊外洩威脅。微軟仍在研究是否有其他攻擊可能性，目前認為在預設的狀況下，駭客無法上傳或變更伺服器上的網頁。

微軟警告，在Windows Internet Information Services（IIS）中發現一新漏洞，駭客可趁機擴張權限，並存取伺服器上的資料。

IIS主要為視窗伺服器系統提供網路代管服務的元件，此外，包括Windows XP專業版及Vista的三個高階版本（商用版、企業版及旗鑑版）都含有IIS元件。

微軟說明，該漏洞的發生是因為WebDAV extension未能妥善處理請求的URL，駭客可藉由打造特殊的HTTP請求，以存取原本要求授權的區域。雖然該漏洞已被公開，但迄今尚未發現有實際攻擊行動。該漏洞影響IIS 5.0、IIS 5.1及IIS 6.0，最新的IIS 7.0則未受到波及。

微軟認為有許多條件限制了該漏洞的嚴重性，包括系統上仍設有檔案系統存取清單（File system ACLs），就算駭客透過漏洞入侵該系統，也僅限於匿名使用者權限；而且系統預設匿名使用者只能讀取並無法寫入檔案；另外，受影響的WebDAV元件在 IIS 6.0中的預設值是關閉的。

微軟安全回應中心工程師Jonathan Ness指出，該漏洞主要帶來的是資訊外洩威脅。微軟仍在研究是否有其他攻擊可能性，目前認為在預設的狀況下，駭客無法上傳或變更伺服器上的網頁。

在微軟尚未發表修補程式前，Ness建議網站管理人員關閉WebDAV功能、更改filesystem ACL設定以拒絕匿名存取，並利用URLScan工具防堵惡意請求，以避免相關的安全威脅。（編譯/陳曉莉）
Microsoft Security Advisory (971492)
Internet Information Services Could Allow Elevation of Privilege
http://www.microsoft.com/technet/securi ... 71492.mspx

駭客利用WebDAV漏洞將美國印第安那州立巴爾大學的伺服器攻破了

Cisco 也發表了同樣的安全警告，他們在一份發表在自己官方網站的安全警告中表示，那些使用了 IIS6 WebDAV 技術，並且網站中有重要檔案的網站管理員應該採取措施，因為攻擊代碼已經被公佈 How to disable WebDav?

IIS5.x:
Set the following registry key value to 1. HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W3SVC\Parameters\DisableWebDAV
Deny Permissions for everyone on %windir%\System32\Inetsrv\httpext.dll.
Use URLScan to disable WebDav by restricting the verbs the server can process.

IIS6.0:
Set the following registry key value to 1. HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W3SVC\Parameters\DisableWebDAV
Deny Permissions for everyone on %windir%\System32\Inetsrv\httpext.dll.
In the Web Service Extensions snap in， prohibit WebDav.
Use URLScan to disable WebDav by restricting the verbs the server can process.

References:
How to disable WebDAV for IIS 5.0 (Operating System : Windows 2000)， http://support.microsoft.com/default.as ... -US;241520
Enabling Web Service Extensions (IIS 6.0)， http://www.microsoft.com/technet/prodte ... x?mfr=true

靜德即日起提供網站安全測試服務[資訊安全]

Diamond@Dchsoft.com (Snoopy) — Tue, 26 May 2009 00:00:00 +0800

靜德即日起提供網站安全測試服務
測試內容包含Owasp 2007 年度 Top 10的部分 2007年Top 10內容簡介: 1. Cross-Site Scripting：中文翻譯為跨站腳本攻擊。Web應用程式直接將來自使用者的執行請求送回瀏覽器執行，使得攻擊者可擷取使用者的Cookie或Session資料而能直接登入成使用者 2. Injection Flaw：Web應用程式執行來自外部包括資料庫在內的惡意指令，SQL Injection， Command Injection等攻擊包括在內 3. Malicious File Execution：Web應用程式引入來自外部的惡意檔案並執行檔案內容 4. Insecure Direct Object Reference：攻擊者利用Web應用程式本身的檔案讀取功能任意存取檔案或重要資料，案例包括http://example/read.php?file=../../../../../../../c:\boot.ini 5. Cross-Site Request Forgery (CSRF): 已登入Web應用程式的合法使用者執行到惡意的HTTP指令，但Web應用程式卻當成合法需求處理，使得惡意指令被正常執行，案例包括社交網站分享的QuickTime、Flash影片中藏有惡意的HTTP請求 6. Information Leakage and Improper Error Handling：Web應用程式的執行錯誤訊息包含敏感資料，案例包括:系統檔案路徑 7. Broken Authentication and Session Management：Web應用程式中自行撰寫的身份驗證相關功能有缺陷 8. Insecure Cryptographic Storage：Web應用程式沒有對敏感性資料使用加密、使用較弱的加密演算法或將金鑰儲存於容易被取得之處 9. Insecure Communication：沒有在傳送敏感性資料時使用HTTPS或其他加密方式 10. Failure to Restrict URL Access：某些網頁因為沒有權限控制，使得攻擊者可透過網址直接存取，案例包括允許直接修改Wiki或Blog網頁內容

人體工程學猜測密碼[資訊安全]

Diamond@Dchsoft.com (Snoopy) — Mon, 25 May 2009 00:00:00 +0800

人體工程學猜測密碼
如果你設定密碼會怎麼設定?
1.生日<---太常見了大多數人的銀行卡密碼就是這個
2.最在乎的日子
3.喜歡的人的名字
4.自己的名字
5.電話
6.注音輸入的人名中文組合
7.以上任意組合

以上都是一些關聯
你要知道他這個人的喜好和周圍的事情然後去做猜測命中率會比較高
所以建議使用短句變形
例如:Who Can know That?
改成:Wh0.c@n.kn0w.th@t/
或者:xip.dbm.lmpy.uibu?

還有一點，大多數人的密碼喜歡用同一組千萬不要這樣哦~
如果是不重要的東西可以都設定同一組密碼.
可是呢如果重要的東西，建議設定不同組.應為你無法保證你什麼時候密碼會外洩
導致你其他的東西都被了解例如你在A網站設定的密碼跟郵箱密碼一樣，那麼如果我今天Hack到A網站那麼就有機會得到你的郵箱密碼
這個問題呢，很少人注意到，不過還是有大約30 percent 的人會去注意這個問題.當然剩下70 percent 的人只有自求多福了

以上為史先生的拙見

賀!靜德科技關鍵字"資訊安全公司"被Google以及Yahoo收錄第一頁網站[網站設計]

Diamond@Dchsoft.com (Snoopy) — Thu, 30 Apr 2009 00:00:00 +0800

賀!靜德科技關鍵字"資訊安全公司"被Google以及Yahoo收錄第一頁網站

台灣實體通路販賣盜版品比例竟高達三成

Diamond@Dchsoft.com (Snoopy) — Fri, 24 Apr 2009 00:00:00 +0800

軟體老大哥微軟這一回可能真的要發飆了！台灣微軟統計指出，台灣實體通路販賣盜版及仿冒微軟產品的比率竟高達三成，且有九成以上的消費者是在「不知情」的狀況下，買到盜版軟體；這些仿冒軟體可能暗藏間諜軟體或其他惡意軟體的程式碼，造成用戶重要個人資料外洩，不可不防。景氣差，連軟體都出現高級盜版品！台灣微軟23日表示，「台灣接單，大陸製造出貨，全球販售」，史上規模最大、侵權金額超過新台幣百億的跨國軟體仿冒集團日前已由台北地方法院做出有罪判決，該犯罪集團仿冒的微軟軟體的擬真度非常高，除了產品彩盒幾可亂真之外，防偽雷射標籤用肉眼無法辨識，要靠機器才能辨識出真偽。自Windows 98、Windows ME、Windows XP和Windows Vista，盜版的精細度越來越高，許多消費者可能在不知情的情況下，購買了非正版產品，根據微軟調查顯示，購買到盜版軟體的消費者中，有九成以上的消費者是在不知情的狀況下購買，而在台灣實體通路販賣盜版及仿冒微軟產品的比率高達三成。根據IDC的調查，仿冒軟體可能暗藏間諜軟體或其他惡意軟體的程式碼，除了容易導致系統執行失誤外，更可能因為安全防護機制的缺失將企業或個人重要資料外洩，影響之大，消費者不可不慎。 Windows XP盜版彩盒。（圖微軟提供）本則新聞由NOWnews提供 2009/04/24

Dchsoft SQL Injection 注入工具全台開賣[資訊安全]

Diamond@Dchsoft.com (Snoopy) — Mon, 20 Apr 2009 00:00:00 +0800

Dchsoft SQL Injection 注入工具全台開賣

Dchsoft 與ZwelL合作開發 SQL Injection 注入工具(Pangolin 2.0)
Pangolin 不是一個普通的注入工具
Pangolin是一款幫助滲透測試人員進行SQL注入測試的安全工具。
所謂的SQL注入測試就是通過利用目標網站的某個頁面缺少對使用者傳遞參數控制或者控制的不夠好的情況下出現的漏洞，從而達到獲取、修改、刪除資料，甚至控制資料庫伺服器、Web伺服器的目的的測試方法。Pangolin能夠通過一系列非常簡單的操作，達到最大化的攻擊測試效果。它從檢測注入開始到最後控制目標系統都給出了測試步驟。
過去有許多Sql注入工具，不過有些功能不完全，支援的資料庫不夠多，或者是速度比較慢。但是，在Pangolin發佈以後，這些問題都得到了解決。Pangolin也許是目前已有的注入工具中最好的之一。
支援:Access，DB2，Informix，MSSQL 2000 with Error，MSSQL 2000 Blind，MSSQL 2005 with Error，MSSQL 2005 Blind，Mysql，Oracle，PostgreSQL，Sqlite3，Sybase等資料庫
關於Pangolin
Pangolin 軟體截圖
立即下載 Pangolin 免費版本(目前版本:v2.0.2.826)
進入Pangolin專題網站

Windows 7最終RC版5月發佈不限產品金鑰數？

Diamond@Dchsoft.com (Snoopy) — Wed, 15 Apr 2009 00:00:00 +0800

微軟在今年1月29日釋出Windows 7全民測試版後，最終的RC版（release candidate）的官方發佈日期不是先前外傳的4月10日，最新的消息是，微軟TechNet網站上Windows 7 RC下載頁面顯示，該版軟體將於2009年5月發佈。根據Ars Technica網站公開的該網頁資訊還顯示，將公佈的Windows 7 RC版不限產品金鑰數量，直到今年6月底皆可提供使用者下載，該版本會在明年6月1日過期。該網頁並列出Windows 7 RC版的系統需求，包括要1 GHz以上處理器、1GB以上記憶體空間、16GB的硬碟空間等；Windows 7 RC版支援英語、德語、日語、法語、西班牙語，分為32位和64位兩種版本。不過，並未提到俄語與中文版。而微軟官方並沒有對此資訊的準確性發表評論。到目前為止，微軟仍然堅持2010年第一季出貨Windows 7，根據報導，beta版目前測試穩定，優於Vista，因此市場仍預估，Windows 7 RTM正式版將於今年底前上市，最快是在聖誕購物旺季前發布。此外，有網友使用Windows 7測試版後發現，Windows 7使用者帳戶管理系統（UAC）其中的一個訊息管理功能存有安全漏洞問題，可輕易被惡意程式以Visual Basic編碼發送假按鍵訊息的方式來開啟UAC介面，然後可關閉保護設定，甚至重新開機，進而取得系統帳戶最高權限。不過，微軟的回應是，這是從Vista使用UAC以來的更新，原本設計概念就是如此，並非所謂的安全漏洞，如果要如其所指那樣可不知不覺地關閉UAC，那麼駭客必須已經透過其他漏洞入侵電腦並植入惡意程式。本則新聞由NOWnews提供 2009/04/06

微軟宣布停止Office 2003與Windows XP免費服務

Diamond@Dchsoft.com (Snoopy) — Wed, 15 Apr 2009 00:00:00 +0800

微軟6日宣布，Office 2003與Windows XP將於今年4月14日進入「半退休狀態」，停止對此二大產品的免費技術支援服務，但是，微軟仍然為XP專業版提供付費的延期支援服務到2014年4月8日，對Office 2003的延期服務將於2012年8月4日正式中止。據報導，微軟宣布放棄「主流支援(Mainstream Support)」的對象包括，XP家庭版以及專業版以及Office 2003，Office 2003上一次重大更新是在2007年9月，當時推出了SP3更新。同時，Windows 2000:付費服務將於2010年7月13日結束；XP SP1不再會得到任何支援，XP SP2將會於2010年7月13日退休，XP SP3會在2014年的4月終止服務。根據微軟標準政策，主流支援向每一個用戶提供免費更新，修複安全漏洞和軟體瑕疵，而在延期技術支援中，僅服務付費給與微軟簽署技術支援合約的企業。此外，微軟於今年4月2日曾發佈警告，指出有駭客一直在利用Office 2003中PowerPoint 2003的一個未修複的嚴重安全漏洞進行攻擊，但是，微軟還沒有提供修復這個安全漏洞的時間表。本則新聞由NOWnews提供 2009/04/07

Dchsoft提供網站安全空間[資訊安全]

Diamond@Dchsoft.com (Snoopy) — Thu, 09 Apr 2009 00:00:00 +0800

Dchsoft開始提供網站安全空間
我們提供安全主機代管以及安全網站空間服務
目前提供Microsoft 的平台
支援Asp，Asp.Net，Microsoft SQL Server，Access
在您的網頁程式要進入這個空間之前
我們會提供資訊安全檢測
以及漏洞修補的工作

使得您的網站在進入我們空間之後是屬於安全的狀態
另外會加設入侵監視器來幫助監視是否有人嘗試入侵您的網站

報價以及規格請詳見 HostSpecifications.doc 下載

賀!靜德科技關鍵字"網站設計安全"以及"安全網站設計"被Google,Yahoo收錄第一頁

Diamond@Dchsoft.com (Snoopy) — Thu, 09 Apr 2009 00:00:00 +0800

賀!靜德科技關鍵字 "網站設計安全" "安全網站設計 " 被Google，Yahoo收錄第一頁我們會不斷為網站安全盡一份力

SQL Injection 入侵監視器畫面放出

Diamond@Dchsoft.com (Snoopy) — Thu, 09 Apr 2009 00:00:00 +0800

詳情請洽 Dch 的資訊安全實驗室 http://safe.dchsoft.com/content/download/downloadconts3.asp

恭喜 SQL Injection 檢測工具開始開放索取

Diamond@Dchsoft.com (Snoopy) — Thu, 09 Apr 2009 00:00:00 +0800

Dchsoft SQL Injection 檢測工具開始開放索取
數量有限動作要快喔~

另外推出免費SQL Injection測試

請來信洽詢

Dchsoft資訊安全網開張嚕

Diamond@Dchsoft.com (Snoopy) — Thu, 09 Apr 2009 00:00:00 +0800

Dchsoft資訊安全網開張嚕 http://safe.dchsoft.com/ 這裡面我們會介紹以及收錄關於資訊安全的問題. 包括台灣網站淪陷資料庫，資訊安全常用工具，以及網站安全相關問題.希望大家來參觀嚕

無障礙更新！Freego 3.1 推出

Diamond@Dchsoft.com (Snoopy) — Thu, 09 Apr 2009 00:00:00 +0800

修正12.6檢測碼，判斷FOR與ID屬性值時，值取出不正確的問題。
修正12.6檢測碼，更精確的判斷TYPE屬性，將原本同一行存在有TEXT關鍵字時，會誤判　 TYPE為TEXT的錯誤修正。
修正12.6檢測碼，更精確的排除掉TYPE為HIDDEN、RADIO、CHECKBOX、SUBMIT、RESET屬性。
加入更多排除檔案類型，檔案類型包括：
DOC、 DOCX、XLS、XLSX、PPT、PDF、TXT、JS、CSS、XML、JAVA、RTF、RAR、ZIP、ACE、LZH、ARJ、ICO、 FLA、FLV、JPG、JPEG、GIF、BMP、PNG、WMV、WMA、RM、7Z、RMVB、RA、MP3、ASF、SWF、AVI、MPG、 MPEG、TIF、TTF、TGA、PL、MSO、EMZ、WMZ、PPS、COM、EXE、JAR。
修正檢測網址為IP時，若末碼為個位數及二位數時，會檢測到近似的IP，例如：檢測192.168.0.2時，會檢測到近似的192.168.0.21、192.168.0.245。
修正單一網頁檢測報告中，部份內容文字出現亂碼的情況。
修正10.4檢測碼單一網頁檢測報告中，範例連結失效的問題。
修正全網站檢測報告中，部份內容文字出現亂碼的情況。
修正使用單機版檢測工具進行標章登錄時，上傳檢測報告未包含檢測工具版本的問題。
修正檢測UTF-8編碼網站時，UTF-8編碼的中文網址連結會變成亂碼而產生無效連結的問題。
修正使用修正工具在修正包含JavaScript網站時，會出現CSS語法不正確的錯誤訊息問題。
修正使用修正工具在修正1.2機器檢測錯誤時，檢測碼說明文字亂碼的問題。

[下載檔案]	Freego-windows-3.1.0.exe	Freego-linux-3.1.0.tar.gz

無障礙更新！Freego 3.0 推出

Diamond@Dchsoft.com (Snoopy) — Thu, 09 Apr 2009 00:00:00 +0800

1. 新增「多語系功能」，語系預設為中文語系，目前僅提供中、英文等2種語系，其他語系請參考操作手冊自行編譯。
2. 檢測工具的「設定(S)」選單功能，原設定alt+S快速鍵修正為ALT+C。
3. 新增「機關代碼」功能，提供申請標章的機關輸入機關代碼及名稱，及查詢機關代碼。
4. 調整5條檢測碼，項目如下：
* 5.6檢測碼，優先等級修改，原為第3優先等級，修正為第2優先等級。
* 8.1檢測碼，優先等級修改，原為第2優先等級，修正為第1優先等級。
* 9.1檢測碼，檢測狀態修改，原為「機器辨識/機器檢測」，修正為「機器辨識/人工檢測」，並取消檢測碼9.1修正工具功能。
* 12.6檢測碼，檢測狀態修改，原為「機器辨識/人工檢測」，修正為「機器辨識/機器檢測」，並新增12.6檢測碼之修正工具。
* 3.2檢測碼，檢測狀態修改，原為「機器辨識/機器檢測」，修正為「人工辨識/人工檢測」。
5. 檢測碼12.6，新增檢查使用input、select、textarea標籤之id屬性與label for屬性對應之判斷。
6. 修正檢測碼10.6，檢查相連的A標籤，帶有屬性之TD、SPAN標籤無法正確辨識之問題。
7. 將「全網站檢測報告」產出方式，原由輸出至瀏覽器，改為另開新視窗方式開啟。
8. 取消使用「本地端網址」進行檢測，通過檢測後「申請標章登錄」之功能。

恭喜靜德科技Dchsoft全新網站改版完成

Diamond@Dchsoft.com (Snoopy) — Tue, 24 Mar 2009 00:00:00 +0800

恭喜靜德科技Dchsoft全新網站改版完成. 我們會不斷的更新最新的案例以及新聞訊息

台北縣2010神明淨港[網站設計]

Diamond@Dchsoft.com (Snoopy) — Mon, 01 Feb 2010 00:00:00 +0800

台北縣2010神明淨港

A-AML活動禮品網站[網站設計]

Diamond@Dchsoft.com (Snoopy) — Thu, 21 Jan 2010 00:00:00 +0800

A-AML活動禮品網站 YAHOO 關鍵字禮品網第一頁

走讀台灣[網站設計]

Diamond@Dchsoft.com (Snoopy) — Thu, 10 Dec 2009 00:00:00 +0800

國家文化總會-走讀台灣地圖[正式上線] 從景點，歷史，人文等多方位角度介紹台灣網站功能，包括與Google Map結合介紹景點，真正可搜尋的電子書.
會員積點紅利機制，回文紅利機制，購物機制，行事曆，影像藝廊，資源下載，評論
另外網站在使用Ajax以及SEO之間取得平衡

PCBSHOP[網站設計]

Diamond@Dchsoft.com (Snoopy) — Mon, 12 Oct 2009 00:00:00 +0800

台灣電路板協會之PCBSHOP
廣告刊登互動
信息發布
媒體合作
並協助處理PCBSHOP網站安全維運
正式上線

陳光教育資源網[網站設計]

Diamond@Dchsoft.com (Snoopy) — Mon, 12 Oct 2009 00:00:00 +0800

陳光教育資源網系統包括線上報名預約報名課程報名會員機制電子報線上影音新書發表 Flash Game
正式上線中

1783 一起爬山 2009 臺北縣登山健行節

Diamond@Dchsoft.com (Snoopy) — Thu, 25 Jun 2009 00:00:00 +0800

1783 一起爬山 2009 臺北縣登山健行節

2009臺北縣貢寮海洋音樂祭[網站設計]

Diamond@Dchsoft.com (Snoopy) — Thu, 25 Jun 2009 00:00:00 +0800

2009臺北縣貢寮海洋音樂祭搖滾拾代

出租愛情人才招募網

Diamond@Dchsoft.com (Snoopy) — Mon, 11 May 2009 00:00:00 +0800

出租愛情正式上線

台北縣天下第一餃力賽[網站建置]

Diamond@Dchsoft.com (Snoopy) — Fri, 24 Apr 2009 00:00:00 +0800

台北縣餃子節所需要製作的宣傳網頁
一個可愛的餃子Flash

EMC總裁級資料庫保護研討會

Diamond@Dchsoft.com (Snoopy) — Tue, 14 Apr 2009 00:00:00 +0800

EMC總裁級資料庫保護研討會

EMC明日世界虛擬世界中心發表會

Diamond@Dchsoft.com (Snoopy) — Mon, 13 Apr 2009 00:00:00 +0800

EMC明日世界虛擬世界中心發表會

ETtoday新聞網站

Diamond@Dchsoft.com (Snoopy) — Thu, 09 Apr 2009 00:00:00 +0800

ETtoday新聞網站

東森yoyo台官網

Diamond@Dchsoft.com (Snoopy) — Thu, 09 Apr 2009 00:00:00 +0800

東森yoyo台官網

新光三越鑽石公主活動

Diamond@Dchsoft.com (Snoopy) — Thu, 09 Apr 2009 00:00:00 +0800

新光三越鑽石公主活動

東森戲劇台

Diamond@Dchsoft.com (Snoopy) — Thu, 09 Apr 2009 00:00:00 +0800

東森戲劇台

第七屆台北藝術節【東方前衛】

Diamond@Dchsoft.com (Snoopy) — Thu, 09 Apr 2009 00:00:00 +0800

第七屆台北藝術節【東方前衛】

愛女生2008春妝票選活動

Diamond@Dchsoft.com (Snoopy) — Thu, 09 Apr 2009 00:00:00 +0800

愛女生2008春妝票選活動

魔幻世界官方網站

Diamond@Dchsoft.com (Snoopy) — Thu, 09 Apr 2009 00:00:00 +0800

魔幻世界官方網站

余光音樂