Tym razem w akcji persistent XSS. Można było przygotować odpowiednio maila, który po przeczytaniu w webmailu Yahoo powodował automatyczne wykonanie JavaScriptu w przeglądarce ofiary. Odkrywca błędu w ramach PoC przygotował stosowną wiadomość: As a proof of concept I supplied Yahoo Security with an email that, when viewed, would use AJAX to…
Czytaj dalej »
Konkretny przepis oraz przykładowy jpeg znajdziecie na blogu twórców narzędzia Burp Suite. Co daje tego typu sztuczka? Choćby możliwość omijania mechanizmu CSP. Jeśli możemy uploadować na serwer pliki jpeg – to możemy umieścić tam nasz JavaScript, a stąd już krok do odpalenia XSS-a. –ms
Czytaj dalej »
Rozbudowany poradnik o samym mod_security mamy na sekuraku. Przypominam – to bezpłatny web application firewall – do instalacji na Apache/IIS/Nginx.
Czytaj dalej »
W wersji podstawowej, jest to program pośredniczący w ruchu HTTP i HTTPS, pozwalający zatrzymywać, edytować i odrzucać wysyłane żądania z przeglądarki internetowej. Niezwykle przydatny do sprawdzania zachowania web aplikacji, po wysłaniu danych innych, niż pozwala użytkownikowi jej frontend. Można to robić w czasie rzeczywistym (czyli zatrzymać żądanie, zmodyfikować i przesłać…
Czytaj dalej »
Na sekuraku staramy się utrzymywać wysoki poziom merytoryczny i w podobny sposób staramy się prowadzić nasze warsztaty z bezpieczeństwa.
Czytaj dalej »
SHP nawiedziło ~200 osób, rozdaliśmy ok 10 różnych TP-Linków, 20 koszulek i masę gadgetów sekuraka. Część osób była zdziwiona, że gadgety można brać za darmo, a hacking party jest bezpłatne :]
Czytaj dalej »
Google wydało narzędzie o nazwie CSP Evaluator. Jak sama nazwa wskazuje służy ono do oceny przyjętej polityki CSP (Content Security Policy). Pozwala na wskazanie błędnych konfiguracji oraz stwierdzenie, czy przyjęte reguły są w stanie powstrzymać ataki XSS, Clickjacking i inne złośliwe skrypty. Aktualnie XSS jest najczęściej wybieranym wektorem ataku na…
Czytaj dalej »
Zapisy na październikowe Sekurak Hacking Party, wstęp wolny, hacking gwarantowany ;-)
Czytaj dalej »
W artykule przedstawiamy kilka podstawowych zasad, których stosowanie pozwala niskim kosztem zwiększyć ogólny poziom bezpieczeństwa aplikacji webowej.
Czytaj dalej »
Wykorzystanie Race Condition, to metoda ataku polegająca na wykonaniu zapytania w czasie krótszym niż trwa weryfikacja warunków danej akcji aplikacji, np. podczas wgrywania plików na serwer, czas między zapisaniem pliku na dysku a weryfikacją jego typu czy rozszerzenia, pozwala na wykonanie zapytania do zapisanego zasobu.
Czytaj dalej »
Dzisiaj krótko – o samym szkoleniu z bezpieczeństwa frontendu aplikacji webowych pisaliśmy niedawno… Co poskutkowało tym, że na najbliższą edycję we wrześniu jest już pełna grupa. Kolejne terminy mamy ogłoszone na początek listopada (Kraków) i grudzień (Warszawa), jeśli chcielibyście inne miasta lub może interesowałoby Was szkolenie zamknięte (w siedzibie firmy,…
Czytaj dalej »
Jeśli pracujesz z co najmniej jedną z technologii: HTML/CSS/Javascript/jQuery/AngularJS/React – mamy dla Ciebie świetnie szkolenie. Startujemy z 2-dniowym kursem prowadzonym przez Michała Bentkowskiego, zajmującego obecnie 11 miejsce w globalnym rankingu Hall of Fame Google – Application Security.
Czytaj dalej »
Instalacja, konfiguracja i integracja ze Splunk narzędzia mod_security. A wszystko w służbie bezpieczeństwa aplikacji webowych.
Czytaj dalej »
Relative Path Overwrite (lub – jak w tytule – Path–Relative Style Sheet Import), jest nowym rodzajem ataku, w którym wykorzystuje się nietypowe zachowania serwerów aplikacyjnych oraz aplikacji webowych w zakresie mechanizmów przetwarzających względne adresy URL. Jak dużym zagrożeniem jest RPO/PRSSI i w jaki sposób podejść do pisania exploitów dla tej podatności? Odpowiedzi na te pytania znajdziecie w tej publikacji.
Czytaj dalej »
Mechanizm Service Workers został wprowadzony w najnowszych wersjach przeglądarek internetowych, by rozwiązać problem, z którym świat aplikacji webowych boryka się od dawna – mianowicie: jak aplikacja powinna się zachowywać w przypadku utraty połączenia z Internetem. Niniejszy artykuł ma na celu przybliżenie zasad działania Service Workers oraz wskazanie największych zagrożeń związanych z tym mechanizmem, którymi w szczególności powinni być zainteresowani twórcy stron internetowych.
Czytaj dalej »