大西瓜的杂货铺

请拭目以待，个人推断。

from：大风

21号出来的paper，讲Firefox 扩展(Extension)的安全问题

Cross Context Scripting with Firefox

Exploiting Cross Context Scripting Vulnerabilities

第一篇是whitepaper，第二篇是讲实际案例。

从许多角度论述了Firefox Extension 和页面交互时存在的一些问题。

可以预见，未来找扩展、插件的漏洞，会有些类似今天找桌面漏洞一样。

我以前也研究过一点Firefox 扩展的开发，还贴过一篇Firefox 插件木马的文章，感觉这里面还是有很多东西可以挖的。有兴趣的朋友可以搜搜我的blog，关键词：Firefox.

1、Pwn2Own安全大会果然没让我们失望，iPhone被毫无悬念地攻破，黑客还获得了iPhone的SMS数据库，甚至还包含一些被删 除的短信。
来自卢森堡大学的32岁黑客Weinmann和Zynamics 22岁的研究人员Iozzo合作，通过最薄弱环节—iPhone上的Safari成功实现入侵，利用特别设计的页面让Safari崩溃，从而攻入 iPhone 3GS的最新固件3.1.3，拿走1.5万美元的现金奖励，当然，该漏洞目前为止都还未被修补。

2、Windows 7的DEP和ALSR被绕过

温哥华Pwn2Own黑客挑战赛又有猛料爆出，德国黑客“Nils”迅速攻破了Mozilla Firefox在64位系统上的运作，并实现了对64位Windows 7的完全控制。
更为令人震惊的是，他利用一些技巧绕过了Windows 7的DEP和ALSR，加载了目标计算机上的可执行文件，同时还计划攻击苹果的Safari浏览器，可惜查理·米勒提前拿下了该项目，因此他没有得到奖 金。

ASLR技术+ DEP被视作Windows最新版本重要的安全路障，但比赛结果显示，只要有足够的动力（奖金？）和资源，技术高超的黑客可以绕过这些限制。

按照 比赛规则，他不能透露有关Firefox的漏洞细节，TippingPoint拥有该信息的独占权。

Mozilla基金会当地时间周四发布了Firefox 3.6。这也是Mozilla基金会自去年6月份以来首次对Firefox 浏览器升级。
之前，Mozilla基金会已经发布了4个测试版本的Firefox 3.6。Firefox 3.6内置支持Personas皮肤，支持CSS、DOM和 HTML 5，以及全屏视频播放和开放源代码的“Web开放字体格式”。另外，Firefox 3.6还增添了一项新的安全功能，可以检查Flash Player和QuickTime等插件版本，确保它们是最新版本，屏蔽存在安全问题的插件，并提醒用户更新插件。

Mozilla 基金会还提高了Firefox 浏览器总体性能，减少了启动时间。Mozilla基金会Firefox 项目总监迈克·贝尔兹纳(Mike Beltzner)表示，与3.5版相比，Firefox 3.6执行JavaScript代码的速度提高约12%，部分网页加载速度提高20%。

阅读全文

===8<=================== Original Nachrichtentext ===================
________________________________________________________________________

              From the very-low-hanging-fruit-department
                   Firefox Denial of Service (KEYGEN)
________________________________________________________________________

Release mode: Forced release.
Ref         : [TZO-27-2009] - Firefox Denial of Service (KEYGEN)
WWW         : http://blog.zoller.lu/2009/04/advisory-firefox-denial-of-service.html 
阅读全文

本消息来自支付宝官方博客，作者为西毒与支付宝产品技术部安全研发组。我上次也发布了他们的内测消息，具体见：Linux平台下支付宝的Firefox的支持已经在内部测试。而自从上次支付宝在官方网志上宣布将支持 Firefox 浏览器后，已经有很多用户询问什么时候能够支持 Linux 平台下的 Firefox ，现在是可以做出回答的时候了：尽管该安全控件(针对 Linux 下 Firefox 的安全控件)还没有正式在官方网站上发布，本 Blog 用户可以提前体验啦。

下载: 支付宝安全控件 for Linux 平台 的 Firefox ( MD5:02240053d32688ed996e3a4788042801 )

使用方法：下载上述链接的文件，解压缩成两个文件:

阅读全文

新闻来源:阿里blog
首先预祝大家中秋快乐! 在下周，支付宝（中国）网络技术有限公司(Alipay.com)将正式发布针对 Firefox (火狐浏览器) 的支持环境。
可能还有用户记得，支付宝在 2007 年 7 月 31 日发布了一则《关于关闭 Firefox 等浏览器访问支付宝网站权限的通知》，这是出于安全方面的考虑不得不做出痛苦的决定，当时也引起了很多热心用户的关注。很多用户可能忽略了其中的一句话：

我们也会尽快解决 Firefox 与支付宝安全控件的兼容问题…

这是支付宝对 Firefox 用户的承诺。这一年多来，我们一直没有忘记这一承诺，也没有无视来自 Firefox 用户的更强烈呼声，我们一直在努力。可爱的工程师进行了艰苦的技术攻关，解决了众多技术难题。在进行了相对比较长的内部测试之后，我们终于可以宣布支付宝支持 Firefox 了!

阅读全文