各位 Buffer 周末好，以下是本周「FreeBuf周报」，我们总结推荐了本周的热点资讯、安全事件、一周好文和省心工具，保证大家不错过本周的每一个重点！

热点资讯

1. 奖金最高15000美元！微软宣布Bing AI漏洞赏金计划

近日，微软宣布了一项新的人工智能赏金计划，重点关注Bing AI的体验，奖金达到了15000美元。

2. 巴以冲突舆论、网络战同时开打，多国黑客组织下场

在双方热战的同时，巴以双方的舆论战及网络战也同时打响。

3. 自 2021 年以来美国人因社交媒体诈骗损失超27亿美元

美国联邦贸易委员会（FTC）10月6日发布调查数据，显示自 2021 年以来，美国人因社交媒体诈骗损失了至少 27 亿美元。

4. NSA 和 CISA 联合揭露当下十大网络安全错误配置

美国国家安全局 (NSA) 和网络安全与基础设施安全局 (CISA) 公布了十大目前最常见的网络安全错误配置，这些错误由红蓝团队在大型组织网络中发现。

5. 欧盟委员会要求社交平台迅速处理涉巴以冲突的虚假信息

巴以冲突爆发后，大量虚假、暴力及仇恨内容在海外社交平台泛滥。本周，欧盟委员会 (EC) 向 X（Twitter）、Facebook、TikTok 发出要求，督促对相关非法内容进行删除。

安全事件

1. 数据泄漏被传输境外后擅自删库！某科技公司被上海市网信办依法处罚

上海市网信办在工作中发现，上海市某科技公司相关数据库存在未授权访问漏洞，部分数据被窃并传输到境外。

2. 巴以冲突中暴露的摄像头正对安全构成威胁

巴以冲突爆发后，许多配置不当的安全摄像头正暴露给黑客活动分子，使其周遭人员面临巨大安全风险。

3. 网络犯罪分子正在利用 WordPress 后门劫持网站

某新型恶意软件冒充合法缓存插件来攻击 WordPress 网站，允许威胁攻击者创建管理员账户控制网站的活动。

4. 利用HTTP2，新型DDoS攻击峰值破纪录

亚马逊、Cloudflare 和谷歌周二联合发布消息称，一种依赖于 HTTP/2 快速重置技术的攻击行为对它们造成了破纪录的分布式拒绝服务 (DDoS) 攻击。

5. 利用主流路由器漏洞传播，Mirai DDoS 恶意软件持续活跃

基于 Mirai 的 DDoS 恶意软件僵尸网络 IZ1H9 近期又开始活跃，为 D-Link、Zyxel、TP-Link、TOTOLINK 等 Linux 路由器“添加”了 13 个新有效载荷。

一周好文共读

1. APP Store也无法幸免，恶意软件是如何绕过应用商店的安全检查？

Google Play和APP Store作为我们日常生活中最耳熟能详的两大应用商店，在提供便利的同时，也藏匿着诸多安全风险。Google Play因其宽松的网络环境，成为了恶意软件繁育的温床。而苹果生态虽然是出了名的“干净”，但也难逃恶意软件的伪装。【阅读原文】

2. 杭州亚运会大火背后，是网安和黑产的疯狂对抗

近年来，大型世界级赛事与网络结合日益紧密，赛事期间的网络安全无疑充满着诸多考验。本文将简要盘点近年来各类大型赛事期间所遭遇的典型网络安全事件，并以我国成功举办的北京冬奥会、成都大运会以及本次杭州亚运会为例，看看这些网安“幕后健儿”与各类安全风险进行了哪些较量。【阅读原文】

3. 数据泄露境外擅自删库了事？盘点典型数据安全处罚案例

数据泄漏问题呈现日益严峻的趋势，并且正在给企业带来严重的创伤。 Ponemon 《2022 年数据泄露成本报告》显示，数据泄漏成本平均损失高达 435 万美元，创下历史新高，数据泄露问题已然成为实体组织经营生产难以逾越的“鸿沟”之一。本文就带大家盘点一下典型的数据泄露处罚案例。【阅读原文】

省心工具

1. PrivKit：一款专门检测Windows提权漏洞的Beacon对象文件工具

PrivKit是一款功能强大的Windows操作系统权限提升漏洞检测工具，该工具本质上是一个Beacon对象文件，可以帮助广大研究人员以高效且快速的方式检测Windows操作系统上由错误配置所导致的提权漏洞。【阅读原文】

2. Wifite2：一款功能强大的无线网络安全审计与渗透测试工具

Wifite2是一款功能强大的无线网络安全审计与渗透测试工具，该工具基于wifite进行了重构，并使用Python进行编码。该工具可以帮助广大研究人员自动化执行现有的无线网络审计工具，而无需我们再去输入或记忆那些繁杂的命令参数。【阅读原文】

3. 如何使用SleuthQL通过解析Burp历史来寻找潜在的SQL注入点

SleuthQL是一款针对SQL注入漏洞的安全工具，该工具基于纯Python 3开发，可以帮助广大研究人员通过解析Burp历史来识别包含类似SQL语法的参数和值，识别成功之后，SleuthQL将在识别的SQL语句/变量的每一个参数中注入SQLMap识别符（*）。【阅读原文】