導(dǎo)語：本周Canthink網(wǎng)絡(luò)安全攻防實(shí)驗(yàn)室發(fā)布了一份關(guān)于uTorren漏洞的詳細(xì)報(bào)告，報(bào)告指出uTorrent存在DNS漏洞，黑客可以利用該漏洞更改用戶的網(wǎng)址，進(jìn)而獲取電腦的權(quán)限。
uTorrent存在DNS漏洞
uTorrent是全球最流行的BT客戶端，同時(shí)也是全球最小巧的BT客戶端。由于uTorrent集聚其它BT客戶端的多數(shù)功能于一身，所以使用的用戶非常多。
不過，本周Canthink網(wǎng)絡(luò)安全攻防實(shí)驗(yàn)室發(fā)布了一份關(guān)于uTorren漏洞的詳細(xì)報(bào)告，報(bào)告指出uTorrent存在DNS漏洞，黑客可以利用該漏洞更改用戶的網(wǎng)址，進(jìn)而獲取電腦的權(quán)限。除此之外，黑客還可以利用該漏洞下載惡意軟件、獲取下載記錄和下載的文件。雖然在最近的一次更新中，uTorrent已經(jīng)修復(fù)了這個(gè)漏洞，但這是一個(gè)無用的補(bǔ)丁。事實(shí)證明，與Ormandy共享的修補(bǔ)程序只覆蓋原始漏洞，而不能完全修復(fù)漏洞。
其實(shí)早在1月份，Canthink網(wǎng)絡(luò)安全攻防實(shí)驗(yàn)室就透露了BitTorrent應(yīng)用程序傳輸中的一個(gè)漏洞，并解釋其他客戶端也可能存在類似的問題。
Tavis Ormandy之所以會(huì)公開此漏洞，是因?yàn)榇寺┒吹男迯?fù)期限已經(jīng)超過Google規(guī)定的90天修復(fù)期限，Project Zero會(huì)為廠商提供了一個(gè)90天的修復(fù)窗口期。
研究人員表示：
這些漏洞很容易被利用，并且與各種JSON-RPC問題有關(guān)，或者與基于Web的應(yīng)用程序如何處理RPC服務(wù)器相關(guān)的JavaScript對(duì)象表示法（JSON）有關(guān)。
簡而言之，這些JSON-RPC問題會(huì)在桌面和基于Web的uTorrent客戶端中創(chuàng)建一個(gè)漏洞，這兩個(gè)客戶端都使用Web界面來顯示網(wǎng)站內(nèi)容。
研究人員說：
攻擊者可以通過在與uTorrent的RPC服務(wù)器交互的網(wǎng)頁中隱藏命令來利用這種客戶端漏洞。
本周三，uTorrent應(yīng)用程序BitTorrent的開發(fā)者表示，該漏洞已在最新的uTorrent Windows桌面應(yīng)用程序測試版中修復(fù)。根據(jù)BitTorrent工程副總裁Dave Rees的說法，現(xiàn)有客戶端的補(bǔ)丁將在未來幾天推出給用戶，用戶還可以下載uTorrent的桌面客戶端3.5.3.44352的補(bǔ)丁版本。
根據(jù)分析，攻擊者必須利用所謂的域名服務(wù)器（DNS）重新綁定攻擊來利用這些漏洞， DNS重新綁定攻擊是利用DNS誘騙瀏覽器繞過同源保護(hù)策略。
研究人員表示：
這需要一些簡單的DNS重新綁定來進(jìn)行遠(yuǎn)程攻擊，但是一旦你擁有（身份驗(yàn)證）密碼，你就可以更改目標(biāo)文件保存的目錄，然后將任何文件下載到任何可寫的文件中。
不過，身份驗(yàn)證數(shù)據(jù)不是webroot中唯一可訪問的數(shù)據(jù)。通過設(shè)置文件，程序崩潰文件，日志和其他數(shù)據(jù)也可以進(jìn)行訪問。由于這是對(duì)默認(rèn)uTorrent網(wǎng)頁配置的完全遠(yuǎn)程攻擊，因此在發(fā)現(xiàn)此問題后我沒有再進(jìn)一步研究。
BitTorrent發(fā)布了關(guān)于此事的官方聲明：
2017年12月4日，我們救意識(shí)到了uTorrent和BitTorrent Windows桌面客戶端中的一些漏洞。我們立即著手解決這個(gè)問題。目前我們的修復(fù)程序已完成，可在最新的測試版（2018年2月16日發(fā)布，版本為3.5.3.44352）中找到。本周，我們將向用戶發(fā)布正式修復(fù)的版本。用戶目前什么也不需要做，過幾天內(nèi)自動(dòng)更新修復(fù)程序即可。攻擊的本質(zhì)是，攻擊者可以制作一個(gè)URL，在未經(jīng)用戶同意的情況下，例如添加一個(gè)種子，在客戶端觸發(fā)某些惡意操作。
本內(nèi)容來源于@什么值得買APP，觀點(diǎn)僅代表作者本人 ｜作者：地鐵仔
不知道各位是如何給自家的電腦安裝軟件的呢？我問了一些小伙伴，他們告訴我說，他們?nèi)粘Ｏ螺d軟件都是通過一些大型軟件網(wǎng)站下載的。這些網(wǎng)站軟件收錄豐富，而且這些網(wǎng)站基本上都是通過搜索引擎輸入關(guān)鍵字搜索后得出的。
當(dāng)年這些軟件下載網(wǎng)站很單純，下載個(gè)軟件，直接點(diǎn)“下載”就OK了。可現(xiàn)在，下載個(gè)軟件就好比柯南查案一樣，不細(xì)心點(diǎn)，真的很容易就會(huì)中了這些軟件下載網(wǎng)站的圈套。
▲所謂的高速下載就是要你安裝多一個(gè)軟件，旁邊的本地下載還搞成灰色，讓你誤以為無法點(diǎn)擊。
▲這個(gè)高速下載更隱蔽，點(diǎn)擊后直接給我下了另外的軟件。
▲這個(gè)網(wǎng)站更干脆，點(diǎn)下載后直接給你下個(gè)不知道什么鬼的軟件。
▲這個(gè)更離譜，點(diǎn)了高速下載居然給我下載了垃圾軟件，憤怒表情包上線~~~
這種誘導(dǎo)下載固然惡心，作為普通用戶難道就對(duì)此沒有辦法？除了不去這些網(wǎng)站下載，普通用戶可以選擇到綠色的網(wǎng)站下載軟件。這里收集了8個(gè)純凈的軟件下載網(wǎng)站，希望能幫助到各位小伙伴。
▲各大官網(wǎng)都會(huì)提供多種下載渠道可供選擇
各大軟件官網(wǎng)，這個(gè)是不是相當(dāng)于廢話呢~~~雖然這是廢話，但又是大實(shí)話。就像我們都熟悉的E寶（Eqic商城）和G胖（Steam），又或者是《原神》、《LOL》這些游戲，在官網(wǎng)下載的速度一般都是優(yōu)于第三方網(wǎng)站。而且官方出品，靠譜且穩(wěn)定，還不用擔(dān)心被套路。
全球最大的綠色無公害軟件下載中心，累計(jì)已超過十億次下載。沒看錯(cuò)，是十億次。網(wǎng)站收集了400+款（總?cè)萘砍^45G）真實(shí)的便攜式軟件（Real PortableApps），最關(guān)鍵一點(diǎn)，這個(gè)網(wǎng)站里面的軟件都是綠色，不捆綁其他軟件的。這算是軟件下載業(yè)界的一股清流。
比較贊的是，這個(gè)網(wǎng)站一直在不斷更新，不斷收集最新的綠色軟件。但美中不足的是，這個(gè)網(wǎng)站雖然有中文版，但中文版都是基于英文版機(jī)翻的，閱讀起來有點(diǎn)別扭。
PortableApps提供一個(gè)類似軟件中心的軟件可供下載使用，but這個(gè)軟件很多時(shí)候都無法連接至網(wǎng)站進(jìn)行更新。
個(gè)人建議直接登錄網(wǎng)站，搜索你需要的。日常我們接觸比較多的例如Google Chrome、firefox、 PotPlayer等等都有收錄。需要提醒一下的是，PortableApps主要是外國的軟件收錄為主，國內(nèi)的諸如QQ、微信都沒有收錄，難道這說明QQ是.......O(∩_∩)O
PortableApps比較贊的軟件推薦：GIMP Portable（一款輕量級(jí)圖片編輯軟件）、 7-Zip（輕量級(jí)壓縮軟件，無廣告植入）、CopyQ（增強(qiáng)版復(fù)制粘貼）、 Everything（功能炒雞強(qiáng)大的搜索軟件）、 Rufus（簡單好用的系統(tǒng)啟動(dòng)盤制作軟件）、 Autoruns（啟動(dòng)項(xiàng)目管理工具）。
GitHub或許大家都有所耳聞。作為全球最大的源代碼托管網(wǎng)站，GitHub上有很多優(yōu)秀的開源軟件可供下載。可這些開源軟件星羅棋布，要想找到合適自己的還真不容易。Windows絕妙項(xiàng)目的GitBook是一個(gè)將GitHub上很多優(yōu)秀的開源軟件收集起來的網(wǎng)站。
根據(jù)這個(gè)網(wǎng)站的官方介紹，此網(wǎng)站是受 GitHub 項(xiàng)目 Awesome Windows 啟發(fā)而建立的。該網(wǎng)站不會(huì)收錄修改版或破解版，例如無廣告版，盡管這些軟件可能體驗(yàn)良好，但還是不會(huì)收集。而對(duì)于符合開源協(xié)議的修改版除外。同時(shí)，一些以攻擊和入侵為主要目的軟件，純粹的網(wǎng)頁功能封裝以及僅兼容32bit操作系統(tǒng)的，也不會(huì)收錄。
這個(gè)網(wǎng)站對(duì)收錄的開源軟件都會(huì)貼上對(duì)應(yīng)的標(biāo)簽，如收費(fèi)的，跨平臺(tái)的等等。比較贊的是，對(duì)于一些惡意或者是被用戶投訴的開源軟件，網(wǎng)站還會(huì)將其收錄至黑名單，提醒用戶下載時(shí)要注意。
網(wǎng)站號(hào)稱是正版軟件的搬運(yùn)工。等等，正版軟件豈不是又是收費(fèi)嗎？對(duì)于經(jīng)常薅羊毛的我，這事不能接受的。別急，雖然這個(gè)網(wǎng)站是正版軟件的搬運(yùn)工，可網(wǎng)站還是會(huì)提供不少免費(fèi)軟件給我們下載的。
比較贊的是，這個(gè)網(wǎng)站也有不少限免活動(dòng)（就是那種限時(shí)免費(fèi)拿，過期就收費(fèi)那種），譬如這個(gè)AOMEI Partition Assistant Pro-專業(yè)磁盤分區(qū)管理軟件，原價(jià)要49美刀，限免領(lǐng)取。一經(jīng)入庫即可永久使用。
劃重點(diǎn)——要想拿到限免軟件激活碼，需要注冊會(huì)員。第一次注冊會(huì)員可以獲得50金幣，每次獲取限免軟件序列號(hào)要扣除相應(yīng)金幣（基本是個(gè)位數(shù)，相當(dāng)于首次注冊后，至少可以獲得十個(gè)左右的序列號(hào)）。金幣可以通過發(fā)表文章、評(píng)論、簽到等方式獲得。個(gè)人建議，合理發(fā)表評(píng)論是最快獲得足額金幣的最佳方法。
PS.雖然限免挺香，但限免也有一些限制，如限免版本不支持重裝、不支持升級(jí)、部分軟件無中文版等等。總的來說，限免版的限制還是有不少，有需要的小伙伴請(qǐng)自行索要即可。
這是一個(gè)非常純凈的操作系統(tǒng)及操作系統(tǒng)必備資源的網(wǎng)站，建站已有十四年。最新版網(wǎng)站需要注冊才可以訪問，各位萌新要注意咯。
▲這是舊版本
▲這個(gè)是新版。訪問舊版網(wǎng)址會(huì)彈出提示，按提示操作即可
我告訴你網(wǎng)內(nèi)置的操作系統(tǒng)鏡像都是基于官方鏡像，純凈無雜質(zhì)，且下載速度快。據(jù)說就連微軟內(nèi)部人士也喜歡用這個(gè)網(wǎng)站的操作系統(tǒng)鏡像。
Microsoft Store是微軟在 Windows10操作系統(tǒng)添加的一款集成了多款應(yīng)用的軟件下載中心（最新的Windows11也有的），可以看成是類似于大家熟悉的App Store和應(yīng)用市場。
從 Microsoft Store 下載的軟件格式為 UWP，這樣可以最大限度保證從Microsoft Store下載軟件不包含捆綁或軟件全家桶，且卸載后不會(huì)在硬盤及注冊表殘留垃圾。
除了常用的軟件可通過 Microsoft Store 下載外， Microsoft Store 推薦下載的軟件有這些——畫圖3D、簡影（類似豆瓣）、QuickLook（快速預(yù)覽文件內(nèi)容）、 ShareX（比操作系統(tǒng)內(nèi)置截圖更好用的截圖軟件）。
PS..很多時(shí)候在操作系統(tǒng)中打開 Microsoft Store 總是會(huì)提示無法連接的錯(cuò)誤信息，這里給兩個(gè)解決方法——可以直接訪問 Microsoft Store的官網(wǎng)https://www.microsoft.com/store/apps，或者是去微軟技術(shù)社區(qū)論壇https://answers.microsoft.com進(jìn)行提問。
Fosshub是一個(gè)專門提供免費(fèi)開源軟件的網(wǎng)站，沒有惡意軟件，沒有捆綁，而且軟件質(zhì)量還都挺高的。但有兩點(diǎn)不足，其一，這個(gè)網(wǎng)站僅有英文，沒有中文。但可以利用瀏覽器的翻譯功能，直接翻譯成中文。至于翻譯質(zhì)量，只能說湊合著用還是可以的。
第二，就是這個(gè)網(wǎng)站的軟件數(shù)量不太多。雖然數(shù)量不多，但里面的軟件都是比較優(yōu)質(zhì)的，如Everything、CopyQ這類軟件都有收錄。內(nèi)置的軟件更新也比較及時(shí)，只要有新版本發(fā)布，網(wǎng)站都是及時(shí)跟進(jìn)。
這是一個(gè)不斷更新294個(gè)便攜軟件的網(wǎng)站，沒看錯(cuò)，這個(gè)網(wǎng)站僅針對(duì)其管理的294個(gè)軟件進(jìn)行更新，不會(huì)多也不會(huì)少。這294個(gè)便攜軟件算是網(wǎng)站優(yōu)中選優(yōu)的，很多我們耳熟能詳?shù)能浖灿惺珍洠鏔irefox、uTorrent、CrystalDiskMark等等。這個(gè)網(wǎng)站跟Fosshub網(wǎng)站一樣，不提供中文，需要中文的小伙伴請(qǐng)自行使用翻譯工具翻譯后使用。
好了，以上就是我的個(gè)人分享，希望能對(duì)各位有所幫助。如有疑問或者是不明白的，歡迎在評(píng)論區(qū)給我留言。謝謝收看。
作者聲明本文無利益相關(guān)，歡迎值友理性交流，和諧討論～