V2EX = way to explore
V2EX 是一个关于分享和探索的地方
现在注册
已注册用户请  登录
exploreexe
V2EX  ›  信息安全

看了 AK 电玩科技 YouTube 被盗的经历,越来越对使用 Windows 恐惧

  •  
  •   exploreexe · 2022-08-20 18:35:34 +08:00 · 22259 次点击
    这是一个创建于 649 天前的主题,其中的信息可能已经有所发展或是发生改变。

    简单概括下载了钓鱼邮件的木马程序,自己的 Windows 电脑没装杀毒软件,扫描了谷歌账号的 cookie ,利用 cookie 登录了账号,然后 YouTube 直播投流进行虚拟货币诈骗。

    https://www.bilibili.com/video/BV1sP411j77v

    结合前几天 V 站网友的帖子,现在对使用 Windows 更加恐惧了,这要是中了个免杀木马,加上 chrome 的密码保存机制,不一锅端了么。。。

    chrome 密码泄漏了, 才知道用 chrome 保存密码等于裸奔 https://www.v2ex.com/t/872745

    193 条回复    2022-11-14 17:31:49 +08:00
    1  2  
    GhostiKing
        1
    GhostiKing  
       2022-08-20 18:50:51 +08:00 via Android   ❤️ 2
    第一步就是很大的问题吧
    steveshi
        2
    steveshi  
       2022-08-20 18:55:22 +08:00   ❤️ 8
    这跟一个人的安全意识关系更大
    dcty
        3
    dcty  
       2022-08-20 18:58:47 +08:00 via Android   ❤️ 41
    黑客:我们对 Mac OS 用户的目标是开发者,比如提供 xcode 高速下载服务。
    cxtrinityy
        4
    cxtrinityy  
       2022-08-20 19:03:17 +08:00   ❤️ 2
    放心, 你用 macOS 或者 Linux 这么勇也是一个下场:doge
    nyanyamilk
        5
    nyanyamilk  
       2022-08-20 19:06:42 +08:00
    windows defender 也是杀毒软件
    louiswong2099
        6
    louiswong2099  
       2022-08-20 19:12:17 +08:00
    我一直都是用 chrome 的隐身模式,已经习惯了。
    paradoxs
        7
    paradoxs  
       2022-08-20 19:13:02 +08:00
    @dcty 黑客:我们对 Mac OS 用户的目标是开发者,比如提供 xcode 高速下载服务。
    ----------------
    优秀的开发者,完全有能力做到从 app store 高速下载软件。
    flashlight
        8
    flashlight  
       2022-08-20 19:16:09 +08:00 via iPhone
    @paradoxs +1 怎么也想不到要从第三方下载的需求
    qq316107934
        9
    qq316107934  
       2022-08-20 19:26:19 +08:00 via iPhone   ❤️ 12
    @paradoxs 优秀的网民也不会下载并执行钓鱼邮件的可执行程序,不能假定所有人都是优秀的。
    agagega
        10
    agagega  
       2022-08-20 19:29:54 +08:00 via iPhone
    @paradoxs
    有一说一,从 App Store 下 Xcode 的坑挺多的。不过现在 Xcode 非 App Store 的包也有签名了
    agagega
        11
    agagega  
       2022-08-20 19:31:03 +08:00 via iPhone
    我觉得现代操作系统应该提供一种 GUI 层面的容器机制。Sandbox 似乎不够,Hyper-V 又太重了些
    whywaoxaks
        12
    whywaoxaks  
       2022-08-20 19:39:48 +08:00   ❤️ 1
    从不用盗版,从不从来路不明的网站上下载应用,win 与 macos 都已安全裸奔 10 年了。
    EpeiusPWN
        13
    EpeiusPWN  
       2022-08-20 19:44:55 +08:00 via Android
    Windows 背锅
    arch9999
        14
    arch9999  
       2022-08-20 19:45:35 +08:00   ❤️ 34
    蠢人用什么 OS 都会被盗。
    ncepuzs
        15
    ncepuzs  
       2022-08-20 19:47:03 +08:00   ❤️ 10
    我不知道怎么就把锅扣到操作系统的头上了……
    404neko
        16
    404neko  
       2022-08-20 19:51:43 +08:00   ❤️ 17
    高度怀疑做视频没素材了
    paradoxs
        17
    paradoxs  
       2022-08-20 19:53:10 +08:00
    @qq316107934 优秀的网民也不会下载并执行钓鱼邮件的可执行程序,不能假定所有人都是优秀的。
    ----------------
    是的,这是 windows 在作恶。 不应该把选择权交给没有选择能力的人。
    Mr54
        18
    Mr54  
       2022-08-20 20:14:20 +08:00   ❤️ 1
    下载了木马和 window 有什么关联吗 , macos 下了木马就不会被干烂? , 你这种症状感觉还得 360 来保护保护
    shadeofgod
        19
    shadeofgod  
       2022-08-20 20:14:51 +08:00   ❤️ 7
    估计很多人没看视频,那个钓鱼邮件是伪装成一个视频编辑软件厂商专门发给 YouTuber 这样的 up 主聊商务合作的事情,希望他们使用自己的视频编辑软件然后打个广告,装得还挺像的,我觉得一般人,甚至懂开发的人都会非常容易上钩
    xvnehc
        20
    xvnehc  
       2022-08-20 20:33:20 +08:00   ❤️ 7
    省流:他 Win 没装杀软!没装杀软!没装杀软!
    就没人完整看完那条视频吗,快结尾的时候不是说了他常年 macOS ,Win 只是作为游戏机,什么防护措施都没有,就裸奔的。后来卡巴一装上不就报浏览器窃取攻击了吗?
    shadeofgod
        21
    shadeofgod  
       2022-08-20 20:37:26 +08:00   ❤️ 1
    好久没用过 win 了,好奇系统自带的 defender 没这个能力的吗
    HeyWeGo
        22
    HeyWeGo  
       2022-08-20 20:38:05 +08:00 via Android
    剪辑视频不都是用 macos 的么,钓鱼的人不用心啊!
    alsas
        23
    alsas  
       2022-08-20 20:45:56 +08:00
    完全是怪自己 第一步都能上当
    Tezos
        24
    Tezos  
       2022-08-20 20:46:28 +08:00
    初级社工 只能说安全意识薄弱。
    Kiriya
        25
    Kiriya  
       2022-08-20 20:47:53 +08:00
    他这完全是被钓鱼了,非正规网站下载的文件不扫描病毒直接运行,和电脑小白的做法没区别
    melsp
        26
    melsp  
       2022-08-20 21:02:48 +08:00 via Android
    不至于,一个基本环境下的 windows 确实有很多漏洞,难道 linux 就不会嘛?
    usbusbc
        27
    usbusbc  
       2022-08-20 21:07:21 +08:00
    还是微信 电脑 web 端登陆要手机扫码安全?
    pepsiwant
        28
    pepsiwant  
       2022-08-20 21:10:21 +08:00
    这跟 windows 有什么关系
    oneisall8955
        29
    oneisall8955  
       2022-08-20 21:18:58 +08:00 via Android
    这能怪 OS ?意识问题
    mmxq
        30
    mmxq  
       2022-08-20 21:19:30 +08:00   ❤️ 2
    这个和安全意识有关。
    大家都知道工地里要戴安全帽,Windows 可能是个塑料玩意,聊胜于无。macos 就像带了个钢盔,安全不少。但这不是你进工地就可以仗着自己头上的玩意随便浪的理由。
    就像这位视频主,钢盔带习惯了,觉得自己是天选之人,忘了自己有时候带的是塑料玩意,于是因为安全意识不到位吃了亏。
    好头盔固然重要,但意识可以完全规避被砸的风险,比头盔可靠多了。
    ras014
        31
    ras014  
       2022-08-20 21:20:21 +08:00   ❤️ 16
    这种账户上个谷歌高级保护 ( https://landing.google.com/advancedprotection ),用物理密钥( Yubikey/Feitian )也能防住。当然谷歌体系之外的账户就不好说了,二步验证也不一定只有物理密钥。

    这也 win 也没太大关系,没有网络安全意识用哪个系统都一样,脱机状态的也有信息泄露的案例。

    题外话,ak 也是没什么活了。说难听一点,一个所谓的“科技博主”这最最基本的安全意识都没有,还自信的到自己的观点都是唯一正确的,别人提出一点点异议就直接删评,更甚直接置顶挂人开喷,让粉丝们集体围攻,很难不流汗黄豆。
    1042
        32
    1042  
       2022-08-20 21:20:37 +08:00 via Android   ❤️ 2
    视频我看了,其实就是没有安装安全软件,属于安全意识缺失导致的意外
    7zlid
        33
    7zlid  
       2022-08-20 21:21:18 +08:00 via Android   ❤️ 1
    和何同学一样的赛博丁真
    本站很多人安全意识比他强多了
    agegcn
        34
    agegcn  
       2022-08-20 21:23:55 +08:00
    自己没安装杀毒软件,而且直接运行木马,这也能甩锅到 windows 上吗???你这贴活该被喷
    paradoxs
        35
    paradoxs  
       2022-08-20 21:31:18 +08:00
    @1042 视频我看了,其实就是没有安装安全软件,属于安全意识缺失导致的意外
    ------------------
    确定装杀软有用吗? 这不是破坏电脑的木马,而是扫描浏览器 session 后发出去哦。 杀软不一定能识别的了。
    Windn0
        36
    Windn0  
       2022-08-20 21:33:58 +08:00 via iPhone   ❤️ 2
    不是,session cookie 被窃,再进行修改密码和手机验证的时候,为什么二步验证会失效。我不懂这个逻辑。
    paradoxs
        37
    paradoxs  
       2022-08-20 21:34:23 +08:00   ❤️ 1
    真有意思


    一个要“更高的安全意识”的
    一个要“装杀软的”
    一个要“把开启 google 的最高级别安全防护的”


    这 TM 是我玩电脑还是电脑玩我, 感情这是供了个祖宗啊?
    paradoxs
        38
    paradoxs  
       2022-08-20 21:35:43 +08:00
    修正为 → 一个要“开启 google 最高级别安全防护的”
    yanqiyu
        39
    yanqiyu  
       2022-08-20 21:35:57 +08:00
    哪怕带着大厂数字签名的二进制我都要三思才执行,邮件收到精心包装过的病毒我只能说太不小心了
    paradoxs
        40
    paradoxs  
       2022-08-20 21:37:02 +08:00   ❤️ 2
    还好这帖子不是讨论安卓系统的

    不然那些 “你怎么不把系统 ROOT 一下啊” 、 “你怎么不自己重新编译一下安卓?” 党,都要出来了

    反正就是无限抬高普通用户的使用成本
    admin601
        41
    admin601  
       2022-08-20 21:38:00 +08:00 via Android
    @paradoxs 没办法,防人之心不可无。
    yanqiyu
        42
    yanqiyu  
       2022-08-20 21:39:46 +08:00
    @paradoxs 真要是 Android 还好,Android 应用间数据有隔离,病毒大概率拿不到浏览器里面的 cookie
    QurakJaker
        43
    QurakJaker  
       2022-08-20 21:41:10 +08:00   ❤️ 8
    哇,一个技术类视频博主,竟然连登录商业账户的电脑防护都不开,某些人给他命名会翻墙的赛博何布斯真的有点东西。
    szzonly
        44
    szzonly  
       2022-08-20 21:50:29 +08:00
    话说我 windows 也是用自带的 wd 裸奔,反正主要用 windows 也就是编辑一下文档。不过也没人给我发 phishing email. 不过这个大学上了网络安全的课都应该知道的基本的东西啊,难道 AK 。。。
    ras014
        45
    ras014  
       2022-08-20 21:50:43 +08:00
    @paradoxs 我说的开高级安全防护也没什么不对的吧... 这种已经属于是定向攻击了,和那种广撒网的钓鱼邮件还不太一样,而且他自己也不能说是一般用户了。
    arthurxiao21
        46
    arthurxiao21  
       2022-08-20 22:04:18 +08:00
    这个和哪个操作系统没有关系,AK 自己都说了这是利用社会工程学,不是单纯靠技术手段
    xuanlangt
        47
    xuanlangt  
       2022-08-20 22:06:48 +08:00   ❤️ 2
    科技类博主过于自信继而翻车罢了
    ncepuzs
        48
    ncepuzs  
       2022-08-20 22:11:01 +08:00   ❤️ 10
    @paradoxs #17 #40
    正好昨天围观了你在 /t/873960 的发言,
    我好奇你是怎么做到一面在现实世界追求自由民主权利,
    一面在数字世界(操作系统)鼓吹 dictatorship ,崇尚 authoritarianism 的?
    leiletter
        49
    leiletter  
       2022-08-20 22:38:03 +08:00 via Android   ❤️ 6
    我觉得就着这个话题我可以水若干篇
    看了 AK 电玩科技 YouTube 被盗的经历,越来越对使用 google 的恐惧
    看了 AK 电玩科技 YouTube 被盗的经历,越来越对使用浏览器的恐惧
    看了 AK 电玩科技 YouTube 被盗的经历,越来越对使用两步验证的恐惧
    看了 AK 电玩科技 YouTube 被盗的经历,越来越对使用 cookie 的恐惧
    zxsa
        50
    zxsa  
       2022-08-20 22:52:20 +08:00
    挺好的,每个人都应该中一次恶性木马
    https://s1.ax1x.com/2022/08/20/vsz6Zq.jpg
    xiaomingVTEX
        51
    xiaomingVTEX  
       2022-08-20 23:04:14 +08:00
    没关注过这个博主,刚刚在 YouTube 看到视频;开头他提到的邮件里面的网站 https://web.archive.org/web/20220602103512/https://lightmoon.studio/ 这个网站比较简陋,比如下面的一些 News 都是没有内容的。顺便从截图中看到这个真实软件的是 Kenlive https://kdenlive.org/zh/ ;感觉吧,作为一个科技类博主照说不至于发生这种别人发个测评邮件就直接点进去下软件吧,比如至少也搜一下这个假软件名字 Lightmoon 就会发现根本网上根本没有这个软件的相关信息;可能还是太大意了
    docx
        52
    docx  
       2022-08-20 23:12:01 +08:00 via iPhone
    不装杀毒软件的情况下,还随便打开不明应用,用什么系统都一样
    docx
        53
    docx  
       2022-08-20 23:15:35 +08:00 via iPhone
    @leiletter #49

    看了 AK 电玩科技 YouTube 被盗的经历,越来越对使用电子邮件的恐惧

    应该换成微信,每次扫码登陆,安全多了(狗头
    imsoso
        54
    imsoso  
       2022-08-20 23:22:24 +08:00
    感觉不能裸奔了
    下了那个软件,windows defender 没反应
    打开联想的防护软件,手动扫描,也没识别
    准备下个火绒了
    cc666
        55
    cc666  
       2022-08-20 23:25:26 +08:00
    这和 windows 有什么关系?自己安全意识不到位,别屎盆子直接往系统上扣。单纯是因为 windows 占有量太大,这类简单的病毒基本都设计在 win 上运行。你放 Linux ,Mac OS 上事情一样发生,前提是他俩占有量上来再说。
    cc666
        56
    cc666  
       2022-08-20 23:25:52 +08:00
    @imsoso 联想的杀毒就是火绒
    felixcode
        57
    felixcode  
       2022-08-20 23:29:59 +08:00   ❤️ 10
    Mac 时间用长了不光是像 AK 一样安全意识会退化,
    还会像这里的果粉一样,逻辑能力退化。
    mschultz
        58
    mschultz  
       2022-08-20 23:43:10 +08:00 via iPhone
    @Windn0 #36 看完视频我也没明白。我自己即使在登录状态下,要修改 Recovery Email 也会让我再次两步验证。盗号者可以绕开这个吗
    ptyfork
        59
    ptyfork  
       2022-08-20 23:46:07 +08:00
    @mschultz #58

    看完视频了,同样有这个疑问啊,修改二次验证的东西之前难道不会触发二次验证?
    kakukaiki
        60
    kakukaiki  
       2022-08-20 23:47:48 +08:00
    第一步,你下载了个什么乱七八糟的东西
    第二步,劫持了你的浏览器
    第三步,你莫名其妙又重新登录一遍浏览器
    第四步,生成一个含 cookie 的证书返回指定地址

    没八年脑血栓干不出这个事
    jousca
        61
    jousca  
       2022-08-20 23:57:49 +08:00   ❤️ 1
    裸奔就是原罪,你就是不想安装杀毒软件,微软自己都带了一个给你。不管你啥系统,人家要搞你,都能中招。

    自己用机习惯不良,就会留下隐患。
    nguoidiqua
        62
    nguoidiqua  
       2022-08-21 00:02:50 +08:00   ❤️ 2
    这就是典型的过度保护效应,被过度保护的人最终会失去基本的自我保护能力。

    所谓的封闭保护,只是让用户越来越缺乏安全意识,最终连识别老掉牙的木马攻击的能力都没有了。

    世界永远都是充满恶意和危险的,要变强大而不是躲进围墙。
    Jojoy
        63
    Jojoy  
       2022-08-21 00:18:12 +08:00
    众所周知,无论你用什么系统,都可以使用的一个安全措施,叫做「二次验证」;

    如果有必要,你甚至可以选用硬件密钥。
    wyfyw
        64
    wyfyw  
       2022-08-21 00:53:34 +08:00
    @usbusbc Google 登陆也要在手机上打开 gmail 找到提示邮件点击确认。还不如扫码
    exploreexe
        65
    exploreexe  
    OP
       2022-08-21 01:29:47 +08:00   ❤️ 3
    @agegcn #34 知道免杀么?不懂的话了解下再说。

    @paradoxs #37 其实可以这么理解,Windows 系统就是个祖宗,得供着用。当年没有 360 之前,杀毒软件可都是要花钱买的。

    @mschultz #58 其实作案手法视频里都介绍了,就是盗取的登录状态的 cookie 。

    @xiaomingVTEX #51 社会工程学就是利用这些东西。

    @cc666 #55 在安全方面 Windows 还真就是个屎盆子,经常看到别人用 Windows 被黑的,很少听说个人用户用 Mac 和 Linux 被黑的,当然那种架设了服务的 Linux 服务器另说。


    我不想讨论 AK 人品怎么样,V 站网友之前发帖讨论过了,只是觉的被盗的过程还是让我有点意外,有一说一,抛开对 AK 的成见,这期视频还是挺有科普意义的。

    在结合之前关于谷歌浏览器密码安全的讨论,只要中招,基本所有的密码都泄露了,这样一想不觉的可怕么?
    pluvet
        66
    pluvet  
       2022-08-21 01:44:28 +08:00   ❤️ 1
    等 Linux 用户多起来,病毒也得考虑一下跨平台了哈哈哈
    qcgzxw
        67
    qcgzxw  
       2022-08-21 01:46:03 +08:00
    确实觉得 Windows 安全堪忧,挂个卡巴斯基,chrome 浏览网站经常能看到突然什么玩意被拦截了
    congjinyebaiya
        68
    congjinyebaiya  
       2022-08-21 02:10:54 +08:00 via Android   ❤️ 21
    还科技博主呢,这不傻逼吗
    V20190710
        69
    V20190710  
       2022-08-21 02:40:33 +08:00
    @shadeofgod 所以这个理由就可以让他从第三方下载软件然后不查杀就直接运行?
    dingwen07
        70
    dingwen07  
       2022-08-21 03:04:39 +08:00 via iPhone   ❤️ 2
    不安全? Windows 修 0day 可比 macOS 快多了……
    mcdagou
        71
    mcdagou  
       2022-08-21 03:08:32 +08:00 via Android
    我给所有喷 ak 的点赞
    minami
        72
    minami  
       2022-08-21 03:33:07 +08:00   ❤️ 2
    #果粉舞台剧大赏。其实 AK 就是个纯正的果粉,更有节目效果了哈哈
    respawn
        73
    respawn  
       2022-08-21 05:37:49 +08:00   ❤️ 6
    角度清奇,作为一名非安全从业者,看到这讯息,第一反应是骇客真可怕,视频制作者损失惨重好可怜。

    按照帖子描述,排除人的因素从软件层面讲,这似乎更应该是 chrome 浏览器的锅。用 Firefox 还没出过

    打开视频,开头看到这一句“结合过往一些网络安全方面的经验”,果断关掉视频,没有继续看的必要。邮件安全老生长谈的话题,这种低级把戏也能入套,真是应了那句话,当局者迷,旁观者清。

    天下熙熙皆为利来,天下攘攘皆为利往。

    这算是一次事件营销么?
    lookStupiToForce
        74
    lookStupiToForce  
       2022-08-21 05:58:29 +08:00   ❤️ 4
    愈发怀疑苹果在这个坛子有营销导流 KPI
    为什么这都能怪到系统上去,是 linux 上软件漏洞看太少了,还是 windows 让你损失几个小目标了?啊?
    crab
        75
    crab  
       2022-08-21 06:26:00 +08:00   ❤️ 1
    下载运行不明文件,同告诉别人银行卡密码没区别。
    components
        76
    components  
       2022-08-21 07:06:23 +08:00
    这跟个人使用习惯有关,用不安全的方式去使用,无论是用什么 OS ,下场都不会太好。
    测试来历不明软件,经历使其运行在虚拟机中
    FrankHB
        77
    FrankHB  
       2022-08-21 07:11:25 +08:00
    @paradoxs “真有意思”,然而几个回复下来,也没看你说清楚“意思”在哪。是在说“我是阿 Q”么?

    用户要是真当做供了祖宗被电脑玩了,说不定还能挽回点实际损失,也不算被白嫖;反过来,要是拿你的话当真,结果什么都不会变,单纯看你一个劲儿地无能狂怒浪费时间罢了。或者加入你一同无能狂怒来互舔伤口?
    为了消除我浪费时间的不快,我不得不承认看你表演,倒的确是有意思的。
    ETiV
        78
    ETiV  
       2022-08-21 07:18:51 +08:00 via iPhone
    我觉得核心问题还是想恰饭,于是就冲动了…😂
    c6h6cl6
        79
    c6h6cl6  
       2022-08-21 07:19:13 +08:00   ❤️ 4
    与其听随机的 V2 网友在这里说,不如看看安全行业从业者是怎么说的:

    Kaspersky claims Apple is '10 years behind Microsoft' on security

    卡巴斯基声称苹果在安全性方面“落后微软 10 年”

    https://www.theverge.com/2012/4/26/2976422/eugene-kaspersky-apple-security-behind-microsoft-10-years
    ragnaroks
        80
    ragnaroks  
       2022-08-21 07:23:52 +08:00   ❤️ 2
    这菜逼正常操作,给王思聪装 dashboard 闹的笑话也不少
    mschultz
        81
    mschultz  
       2022-08-21 07:26:38 +08:00 via iPhone   ❤️ 1
    @exploreexe #65 我知道是盗取登录状态的 Cookie 啊,我不明白的点是:

    比如我拿了别人的 Cookie ,于是我可以做到让自己浏览器里登录着别人的 Google 账号,可以顶着别人的 Google 账号搜索、看视频等等。但是,如果此时我想修改别人 Google 账号的 Recovery Email/Phone ,点击修改按钮之后,Google 难道不会要求我重新输入密码吗?

    而且视频里他说他觉得自己的明文密码没有泄露。

    有了 Cookie 真的可以为所欲为?不知道我理解的有没有问题。
    c6h6cl6
        82
    c6h6cl6  
       2022-08-21 07:36:44 +08:00
    @ncepuzs #48
    你会发现很多比较极端一点的果粉都是这样的
    rashawn
        83
    rashawn  
       2022-08-21 07:40:28 +08:00 via iPhone
    chrome 在允许其他程序在用户未授权的情况下直接读自己的数据?
    明显是用户给了权限
    rashawn
        84
    rashawn  
       2022-08-21 07:47:59 +08:00 via iPhone
    盗取账号的人上传视频到视频审核完成 他一条邮件都收不到吗 一次都没看过自己的 youtube 账户? 还是 YouTube 视频发的多了审核就变快
    ltkun
        85
    ltkun  
       2022-08-21 08:09:05 +08:00 via Android
    @c6h6cl6 12 年的新闻 赶了十年感受了应该 windows 原地踏步等着呢哈
    imsoso
        86
    imsoso  
       2022-08-21 09:02:44 +08:00
    下一期视频杀软广告植入
    yylzcom
        87
    yylzcom  
       2022-08-21 09:25:43 +08:00   ❤️ 7
    实际上只要看了他完整视频的, 应该都会有如下疑问:

    1. 仅仅 cookies 就能修改辅助邮箱, 电话号码? 各位可以自行尝试一下, 要修改辅助邮箱和电话号码是会触发再次验证的过程, 甚至查看 password manager 里保存的密码的都会触发.

    2. 他的找回过程也是匪夷所思, 看样子是"再次运行了一次木马将新帐号的 session 发送给攻击者, 攻击者尝试登陆的时候暴露登陆 IP, 然后就用这个 IP geo 位置相同的代理登陆辅助邮箱, 通过辅助邮箱收验证码找回了主邮箱"?! 结合他之前说的"密码,辅助邮箱,电话号码"都被修改, 从我目前的认知来看各种理解不了的东西.
    Windn0
        88
    Windn0  
       2022-08-21 09:32:45 +08:00 via iPhone
    @mschultz 思考了一下,可能连二步验证的邮箱 cookie 一起被盗了
    qcgzxw
        89
    qcgzxw  
       2022-08-21 10:01:14 +08:00
    @c6h6cl6 #79 发布时间 Apr 26, 2012, 5:25am EDT
    chenxytw
        90
    chenxytw  
       2022-08-21 10:24:47 +08:00
    就第一步这种操作,除非下载后永久物理断网,不然没救。

    另外就是,就现代操作系统和浏览器的代码规模,有漏洞是十分正常的事情。
    Windows 那边反正你已经知道是筛子了,我就不举例了。


    苹果上周还专门发了一个补丁修复两个漏洞。

    https://support.apple.com/en-us/HT213412
    https://support.apple.com/en-us/HT213413

    webkit + kernel 的通杀漏洞。
    rpish
        91
    rpish  
       2022-08-21 10:41:07 +08:00   ❤️ 2
    @exploreexe 有没有可能你看到很多人说用 Windows 被黑,是因为用 Windows 的人占桌面用户的绝大多数呢?
    就像这回的手法,针对的就是使用 Windows 的 YouTuber ,不过为什么他不是写一个针对 Mac 的木马?是出于用户体量的考量,还是说 Mac 更加安全技术上难以实现呢?
    这个视频确实挺有教育意义的,告诉我们硬核科技博主可能比电脑小白更容易被钓鱼邮件攻击。老掉牙的套路找准人性的弱点依旧可以奏效。
    Osk
        92
    Osk  
       2022-08-21 10:44:51 +08:00   ❤️ 1
    我个人认为现代桌面操作系统很需要沙盒机制了, 原因很多, 其中两个:
    - 开发者作恶的新闻越来越多;
    - 现代软件规模越来越大, 依赖越来越多, 很容易遭遇供应链攻击;

    尤其是第二个, 有些开发者并不会特别注意自己开发和编译环境的安全.


    但沙盒意味着限制, 目前操作系统的沙盒感觉就是一刀切, 搞的很无语, 比如安卓, 虽然有专门的 API 来给应用选择文件, 但它不, 反而 app 各种途径逼你给权限, 或者钻空子.

    我个人觉得, 要想真的有效, 就得添加虚假同意这样的选项. 但这意味着不懂的用户会很难用, 无法理解为何我同意了软件, 还是读不到数据.


    -----------------------
    回到本题, 个人反而在某些情况下更放心 Windows, 原因是 Windows 到处都有签名机制, exe, appx, msi, cab, ps1 脚本, 安装镜像.

    linux 一团散沙, 靠自觉, 靠自己用 pgp/hash 验证. Android apk 虽然有签名, 但它可以自签, Android 系统本身也不是很注重签名信息, 导致很容易下到被篡改的 apk.


    所以双击 exe 时验证签名了吗?
    CatCode
        93
    CatCode  
       2022-08-21 10:49:26 +08:00   ❤️ 2
    这个油管博主上次账号就已经被盗过一次了。还能再被盗一次,只能说是安全意识实在是有问题。
    adm7n
        94
    adm7n  
       2022-08-21 10:51:14 +08:00   ❤️ 3
    "越来越对使用 Windows 恐惧"这句话挺蠢的,借用 14 楼的回复"蠢人用什么 OS 都会被盗。"
    ZC3746
        95
    ZC3746  
       2022-08-21 10:51:54 +08:00
    z 至少装个火绒啊。
    Baoni
        96
    Baoni  
       2022-08-21 11:00:45 +08:00   ❤️ 1
    一般人都不会遇到的情节,科技博主却能遇到?
    会不会是自导自演?
    可以“无责任”发币圏广告,可以装 b 自己比黑客更厉害,可以引发全网讨论提高视频热度。
    一举至少三得。
    Felldeadbird
        97
    Felldeadbird  
       2022-08-21 11:02:12 +08:00
    linux 更可怕呢。直接给你全局加密,挖矿,肉鸡。唯一解决办法只有重装。
    bakaft
        98
    bakaft  
       2022-08-21 11:06:30 +08:00   ❤️ 1
    个体行为请勿上升到 OS
    exploreexe
        99
    exploreexe  
    OP
       2022-08-21 11:19:15 +08:00 via iPhone
    @respawn @respawn 弱小和无知不是生存的障碍,傲慢才是。 总有人觉得自己比别人聪明。

    讲个故事吧,我亲身经历,我之前在群里讨论 csdn 密码泄露问题影响很大,一个人站出来说,傻子才用 csdn ,我密码为啥没泄露呢?我不下载陌生的软件运行,各种装逼,还怼我菜。这家伙还复旦毕业的。

    为了给他上一课,我直接把他密码发群里了,这家伙吓坏了,赶紧私信问我怎么知道他的密码,我说我会心灵感应。哈哈哈
    learningman
        100
    learningman  
       2022-08-21 11:25:47 +08:00
    @exploreexe #99 "为了给他上一课,我直接把他密码发群里了"
    要不你去 B 站发个视频吧,他们就喜欢这一套,黑客大佬太厉害了
    1  2  
    关于   ·   帮助文档   ·   博客   ·   API   ·   FAQ   ·   实用小工具   ·   1032 人在线   最高记录 6679   ·     Select Language
    创意工作者们的社区
    World is powered by solitude
    VERSION: 3.9.8.5 · 33ms · UTC 19:38 · PVG 03:38 · LAX 12:38 · JFK 15:38
    Developed with CodeLauncher
    ♥ Do have faith in what you're doing.