Upload pliku na serwer za pomocą JS inject poprzez podatność XSS w popularnej wtyczce do WordPressa? To możliwe, o czym przekonał się największy katowicki dostawca usług internetowych — Systel. Strona tej firmy jest oparta na najpopularniejszym systemie CMS, czyli WordPress. Zaletą tego rozwiązania jest bardzo łatwe zarządzanie (zwłaszcza blogami) oraz…
Czytaj dalej »
O co chodzi w imprezie? Są to nasze praktyczne pokazy hackowania „różnych rzeczy” i całość będzie zapewne przydatna również dla osób, które jeszcze nie mają doświadczenia w bezpieczeństwie (nie są to warsztaty), choć jednak dobrze mieć pojęcie o IT :-) Termin: 14.06.2019 r. Miejsce: Warszawa, Polsko-Japońska Akademia Technik Komputerowych, ul. Koszykowa 86, Duża…
Czytaj dalej »
Po raz drugi w historii pojawimy się w Gdańsku. Na wydarzenie zapraszamy programistów, testerów, adminów oraz wszystkie osoby które chcą spotkać się z żywym bezpieczeństwem IT :) Termin: 06.06.2019 r. Miejsce: Uniwersytet Gdański – Wydział Nauk Społecznych Audytorium S-208, ul. Jana Bażyńskiego 4, 80-309 Gdańsk Rozpoczęcie: 18:00 (można być już 17:30)….
Czytaj dalej »
Rejestracja tutaj, z kodem MP_SEKURAK otrzymujecie -20%. Uwaga: do poniedziałku (29.05) obowiązuje jeszcze niższa cena biletów. Agenda wydarzenia dostępna jest tutaj. Z ekipy Sekuraka / Securitum będziemy mieć kilka prezentacji: dwa na głównym tracku – będzie można zobaczyć tutaj m.in. bezprzewodowy atak na popularny presenter Logitecha (można bezprzewodowo wstrzyknąć dowolne klawisze na…
Czytaj dalej »
Kolejne sekurak hacking party mamy we Poznaniu. Zapraszamy!
Czytaj dalej »
Kolejne sekurak hacking party zaplanowaliśmy we Wrocławiu. Termin: 20.05.2019 r. Miejsce: Wrocław, Multikino, Pasaż Grunwaldzki, plac Grunwaldzki 22, 50-363 Wrocław
Czytaj dalej »
Podczas pracy pentestera aplikacji internetowych można spotkać się z wieloma ciekawymi przypadkami błędów popełnianych przez twórców oprogramowania. Kategorie wykrywanych błędów są bardzo różne, począwszy od brakujących nagłówków bezpieczeństwa, aż po dramatyczne dla właściciela usługi zdalne wykonanie kodu.
Czytaj dalej »
Zebranych 1300 osób i cały dzień praktycznych prezentacji. Dłuższa relacja dostępna jest w tym miejscu. Linki do (prawie wszystkich) prezentacji: https://sekurak.pl/mshp/gyn-hacking/gyn-hacking.pdf https://sekurak.pl/mshp/gyn-programowanie/gyn-programowanie.pdf https://sekurak.pl/mshp/klawiatura/ https://sekurak.pl/mshp/ddos/ https://sekurak.pl/mshp/magia-xssow/ https://sekurak.pl/mshp/ssrf/ https://sekurak.pl/mshp/oauth2/ Kolejna „duża” impreza hacking party za rok (luty 2020), jest też pewna szansa na organizację większego wydarzenia (anglojęzycznego) w Katowicach (w tym roku,…
Czytaj dalej »
Rozwiązania z dziedziny bezpieczeństwa starają mitygować zagrożenia, które pojawiają się w świecie aplikacji internetowych. Jednym z przykładów takich działań jest możliwość dodania do ciasteczek HTTP flagi SameSite. Sprawdźmy, jak działa SameSite oraz przed jakimi niebezpieczeństwami może nas ochronić.
Czytaj dalej »
TLDR: zalogowany admin WordPressa, wchodzi w innym tabie przeglądarki na odpowiednio spreparowaną stronę i w tym momencie temat się kończy – tj. atakujący ma dostęp do WordPressa / na serwer (czyli ma zuploadowanego webshella z uprawnieniami web serwera). W czym tkwi problem? Po pierwsze mamy podatność CSRF – czyli można…
Czytaj dalej »
WooCommerce z 22% światowego rynku e-commerce (pod względem liczby „dostarczanych” sklepów) – brzmi nieźle: WooCommerce is a free eCommerce plugin that allows you to sell anything, beautifully. Built to integrate seamlessly with WordPress, WooCommerce is the world’s favorite eCommerce solution that gives both store owners and developers complete control. W…
Czytaj dalej »
Jesteśmy patronem medialnym tegorocznego Semafora (na którym pojawi się od nas Michał Bentkowski z XSS-ową prezentacją). Poniżej informacje od organizatorów. Zapraszamy do udziału w Konferencji SEMAFOR – wydarzeniu skierowanym do praktyków bezpieczeństwa i audytu IT w Polsce! Już 14-15 marca 2019 r. na PGE Narodowym w Warszawie XII edycja, podczas…
Czytaj dalej »
Zapraszamy na tegoroczną konferencję SEMAFOR. Sekurak jest patronem medialnym wydarzenia. Na miejscu Michał Bentkowski od nas pokaże w praktyce czym może grozić podatność XSS. Poniżej informacje od organizatorów: W czasie dwóch dni konferencji zaplanowaliśmy około 50 prelekcji opartych o case studies i 4 ścieżki tematyczne: Audyt IT, Techniczne aspekty bezpieczeństwa, Zarządzanie…
Czytaj dalej »
To niby zwykły XSS w kliencie chata Steam (samo rozwiązanie można zobaczyć tutaj). Czyli można wykonać JavaScript w przeglądarce ofiary. Ale czy na pewno tylko JavaScript? Wskazany wyżej błąd (krytyczność 9.3/10 w skali CVSS) umożliwiał uruchomienie absolutnie dowolnej binarki z komputera ofiary, a to wszystko po przesłaniu takiego niewinnego linka za…
Czytaj dalej »
Tylko konkretna wiedza, nowe prezentacje, pokazy hackowania na żywo, brak prelekcji reklamowych, a do tego unikalne miejsce całego wydarzenia. To nasze MEGA sekurak hacking party, na które zapraszamy każdego, kto ma jakiekolwiek doświadczenie w IT.
Czytaj dalej »