其他
给思科跪了：思科修复漏洞的方法真是思路清奇
去年秋季安全研究人员在思科某型号的企业级路由器中发现安全漏洞，攻击者利用此漏洞可完全控制路由器。
研究人员将漏洞提交给思科后也迅速获得思科公司的确认，接下来就是思科公司花时间修复并发布新版固件。
到今年年初思科发布新版固件对这个安全漏洞进行修复，但研究人员发现思科的修复方法无法完全避免攻击。
于是研究人员又再次将漏洞提交给思科并提交概念验证，然后又收到思科确认并等待思科发布新版固件修复。
只是思科使用的修复方法实在无法理解：
据研究人员透露提交给思科的概念验证使用的是cURL命令，这是在Linux系统进行综合文件传输的一种方式。
经研究人员测试思科使用的修复办法竟然是: 直接在路由器配置文件中将cURL 的代理字符串(UA) 彻底屏蔽。
于是研究人员再尝试使用 cURL 命令进行渗透时就会被直接拒绝，看起来似乎已经完全将这个漏洞给修复了。
然而实际情况是只需要稍加改变命令避免被屏蔽这个代理字符串即可恢复攻击，思科修复方法几乎没有意义。
这个修复方法让研究人员无法接受：
研究人员更换代理字符串后又毫无阻拦的成功控制路由，这也证明思科的修复方法只是在表面上把问题修复。
在此期间思科长时间未给研究人员更新修复进度直到研究人员发信咨询，然后思科又要求延迟漏洞公开时间。
不过最终研究人员拒绝思科的要求延迟漏洞细节的公布时间，日前关于此漏洞的利用方法等已经被完全公开。
书籍推荐：《奔跑吧 Linux内核》