Najnowszy dokument dostępny jest tutaj. W największym skrócie jest to duża checklista podzielona na obszary (architektura, walidacja wejścia, uwierzytelnienie, obsługa błędów, …). W każdej z nich znajdziecie masę zaleceń służących zwiększeniu bezpieczeństwa aplikacji webowej. Co zmieniło się w porównaniu do poprzednich wersji? Jak sami autorzy dość górnolotnie piszą: New in…
Czytaj dalej »WooCommerce z 22% światowego rynku e-commerce (pod względem liczby „dostarczanych” sklepów) – brzmi nieźle: WooCommerce is a free eCommerce plugin that allows you to sell anything, beautifully. Built to integrate seamlessly with WordPress, WooCommerce is the world’s favorite eCommerce solution that gives both store owners and developers complete control. W…
Czytaj dalej »Ghidra do pobrania jest tutaj. Jest to w zasadzie jedyna konkurencja dla drogiej IDA Pro. Niektórzy wspominają nawet, pod pewnymi względami może być one nawet lepsze (mamy tutaj realizowany widok dekompilacji do języka C – nie tylko surowy kod assemblera – jak w IDA). Dobre jest też to, że dostajemy w…
Czytaj dalej »Jesteśmy patronem medialnym tegorocznego Semafora (na którym pojawi się od nas Michał Bentkowski z XSS-ową prezentacją). Poniżej informacje od organizatorów. Zapraszamy do udziału w Konferencji SEMAFOR – wydarzeniu skierowanym do praktyków bezpieczeństwa i audytu IT w Polsce! Już 14-15 marca 2019 r. na PGE Narodowym w Warszawie XII edycja, podczas…
Czytaj dalej »Pewnie nie jeden z Was spotkał się z Coinhive, który reklamuje się tak: Monetize Your Business With Your Users’ CPU Power. Czyli parafrazując moglibyśmy na sekuraku dorzucić skypcik, który zjadałby Wam 100% procesora a my zarabialibyśmy na kopanej w ten sposób kryptowalucie. Nieładnie? No właśnie, dlatego nie robimy tego w…
Czytaj dalej »Ten sam badacz który zlokalizował niedawno otwartą bazę Mongo zawierającą dane z chińskiego systemu monitorującego obywateli, poszedł trochę dalej i namierzył takie coś: CPR-1000 to chiński reaktor (moc 1000 megawatów). Co może oznacząć ‚CGNPC.CPR-1000 remote access console’ ? Nic? Dane logowania do systemu zarządzania systemem? Tylko wpis zupełnie informacyjny? Honeypot?…
Czytaj dalej »Być może jest to w ostatnim czasie najskuteczniejszy skuteczny „przekręt” kończący się kradzieżą pieniędzy. Tym razem Sylwia skarży się na SMS-a od otomoto, w którym czytamy: Wczoraj wystawiłam samochód na otomoto.pl dzisiaj dostałam SMS do zapłaty jeszcze 76groszy po wpłaceniu z konta ściągnęli mi 3500,76 zł . Podali się za…
Czytaj dalej »Wireshark jak to Wireshark – służy do analizy komunikacji sieciowej i nowa wersja tego nie zmienia ;-) Największe zmiany to pewne odświeżenie interfejsu użytkownika, czy obsługa masy nowych protokołów. Pełen changelog możecie zobaczyć tutaj. Z podobnych narzędzi polecam też scapy, lub ewentualnie już bardziej odległe funkcjonalnie narzędzie – NetworkMiner. –ms
Czytaj dalej »Tutaj film przygotowany na ostatnie sekurak hacking party przez Michała Bentkowskiego. Całość trwa niecałe 7 minut + czas potrzebny na myślenie (spacją możecie odpalać kolejne sekwencje). Zobaczycie realny przykład appki chatu (od Google) napisanej z wykorzystaniem Electrona. Klikacie na coś z chatu, a tu bum – wykonuje się kod na…
Czytaj dalej »
Mowa o sprzęcie izraelskiej firmy Cellebrite. Tego typu urządzenia są sprzedawane w cenie $6 000+ i służą do zapewnienia dostępu do telefonów, które zostały odebrane np. osobom podejrzanych o przestępstwa. Ale jeśli powiedzmy odpowiednim służbom znudzi się używanie sprzętu – sprzedają je na eBay…
Czytaj dalej »Artur Czyż to człowiek, który zaskarbił Wasze serca na ostatnim sekurak hacking party – prezentacją na żywo w temacie: wysyłam SMS-a, a kolejnym SMS-em podmieniam tego pierwszego. Jak to zrobić? Artur tłumaczył, że to wszystko jest w dokumentacji i wskazywał dokładnie co to jest to ‚wszystko’. Przy okazji zerknijcie na…
Czytaj dalej »Temat problemów bezpieczeństwa formatu plików phar, został uznany tutaj za jeden z 10 najbardziej innowacyjnych hacków 2018 roku. W czym problem? Sam dostęp do pliku złośliwego phar, np. w ten sposób: file_get_contents('phar:///tmp/phartest.jpg/'); powoduje wykonanie złośliwego kodu po stronie odczytującej. Dlaczego? W pliku phar, można umieścić zawartość zserializowaną, która przy odczycie jest…
Czytaj dalej »Zazwyczaj nie zajmujemy się tego typu sprawami, ale historia może mieć jeszcze ciekawe reperkusje i finalne zakończenie. Pierwszy skazany to Siergiej Michajłow w randze pułkownika, były zastępca szefa jednostki zajmującej się cyberbezpieczeństwem w FSB – 22 lat więzienia. Rusłan Stojanow – były pracownik Kaspersky Lab – 14 lat więzienia. Rosyjski sąd skazał…
Czytaj dalej »
TLDR: podłączasz urządzenie do portu USB-C… ktoś może mieć roota (admina) na Twoim systemie. A to tylko przykład – możliwe jest czytanie ruchu VPN (w plaintext) czy dostęp do naciskanych na komputerze klawiszy. Mimo łat producentów OS (problematyczne okazały się w zasadzie wszystkie systemy: Windows, Linux, OS X, FreeBSD), autorzy badania dają tylko jedną radę na najlepsze zabezpieczenie…
Czytaj dalej »Czasem pojawia się pytanie – nie będę zabezpieczał swojej aplikacji, ale skonfiguruję WAF-a. Czy mój system jest bezpieczny? To zależy – czasem bezpieczeństwo wzrasta, a czasem drastycznie spada. Ktoś znajdzie jedno ciekawe obejście i bum, słowa pana sprzedawcy-marketingowca są nic nie warte. WAF dał nam mylne poczucie bezpieczeństwa – z…
Czytaj dalej »