Żądny wiedzy? Wbijaj na Mega Sekurak Hacking Party w maju! -30% z kodem: majearly
Australia wprowadza nowe prawo (tzw. Access and Assistance Bill). Umożliwia ono wymiarowi sprawiedliwości na autoryzowany dostęp do danych / komunikacji sieciowej podejrzanego. To nowoczesny sposób zakładania legalnego podsłuchu – tyle że niemal w każdym systemie IT, którego używa podejrzany.
Czytaj dalej »Kasperski opisuje dość nietypową kampanię. Atakujący najpierw udawali kuriera, czy jeszcze lepiej – osobę szukającą pracy. Spotkanie jak to spotkanie – odbywa się często w sali konferencyjnej. A tam już blisko do urządzeń, które zna prawie każdy z nas: Na zdjęciu powyżej widać fragmenty cyrlicy – i jeśli zostało ono…
Czytaj dalej »
Troy Hunt donosi o nowym wycieku danych. Można się zastanawiać nad definicją opisywanego zdarzenia (nie doszło do włamania, nastąpił tzw. scrapping; Troy używa słowa 'breach’)
Czytaj dalej »SQL injection to podatność stara jak SQL i cały czas popularna jak smog w Polsce. Tutaj ciekawy przykład SQLi w serwisie hackerone (krytyczność: 10/10 w skali CVSS). Podatność istniała w zapytaniu GraphQL: $ time curl -X POST https://hackerone.com/graphql\?embedded_submission_form_uuid\=1%27%3BSELECT%201%3BSELECT%20pg_sleep\(5\)%3B–%27 {}curl -X POST 0.03s user 0.01s system 0% cpu 5.726 total $ time…
Czytaj dalej »Mamy dla Was kilka ciekawostek: kod sekurakolaj (działający na rozwal.to) – daje 14 dni darmowego dostępu – można go wpisać do 12.12.2018, dodaje dni od momentu wpisania. Jak ktoś jest sprytny – doszuka innego kodu, który niedawno publikowaliśmy na sekuraku (+7 dni) – kody łączą się! kod sekurakolaj – 50% off…
Czytaj dalej »0-day we Flashu. Flash zaszyty w dokumencie Worda, Word w archiwum RAR, w którym znajduje się też plik .jpg. W pliku .jpg zaszyty trojan, który odpalany jest z exploita na Flasha. Całość po to, żeby maksymalnie utrudnić ew. alerty systemów antymalware. Dla wzrokowców: Sam dokument wygląda tak: Ciekawostką są wskazania…
Czytaj dalej »Wpis jednego z bugbounterów. Billion laughs to jedna z klasycznych podatności typu DoS. Ten XML mówi sam za siebie ;) <?xml version=”1.0″?> <!DOCTYPE lolz [ <!ENTITY lol „lol”> <!ELEMENT lolz (#PCDATA)> <!ENTITY lol1 „&lol;&lol;&lol;&lol;&lol;&lol;&lol;&lol;&lol;&lol;”> <!ENTITY lol2 „&lol1;&lol1;&lol1;&lol1;&lol1;&lol1;&lol1;&lol1;&lol1;&lol1;”> <!ENTITY lol3 „&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;”> <!ENTITY lol4 „&lol3;&lol3;&lol3;&lol3;&lol3;&lol3;&lol3;&lol3;&lol3;&lol3;”> <!ENTITY lol5 „&lol4;&lol4;&lol4;&lol4;&lol4;&lol4;&lol4;&lol4;&lol4;&lol4;”> <!ENTITY lol6 „&lol5;&lol5;&lol5;&lol5;&lol5;&lol5;&lol5;&lol5;&lol5;&lol5;”> <!ENTITY…
Czytaj dalej »
Prawdziwa gratka dla fanów bezpieczeństwa bankomatów – tegoroczny raport firmy Positive Technologies. W badaniu wzięło 26 bankomatów. Zaprezentowano 6 klas ataków…
Czytaj dalej »Właśnie wyszła wersja 5.1 znanego łamacza/odzyskiwacza (niepotrzebne skreślić) haseł. W aktualizacji mamy wsparcie m.in dla nowych algorytmów – Apple File System, czy coś dla fanów Kerberosa (Kerberos 5 AS-REP). Jednak najwięcej wydarzyło się w temacie Veracrypt. Tutaj autor dodał wsparcie dla kilku nowych algorytmów dodając: We’re now VeraCrypt feature complete. Czy…
Czytaj dalej »Kubernetes generalnie uznawany jest za rozwiązanie bezpieczne (więcej o samym rozwiązaniu, dostępnych komponentach – tutaj). Rzeczywiście, historycznie nie było tutaj jakiejś ogromnej liczby bugów. A tymczasem użytkownicy mogą przejąć kontrolę nad całym systemem: An API call to any aggregated API server endpoint can be escalated to perform any API request against that…
Czytaj dalej »Edge w wielu kręgach użytkowników nie cieszy się zbytnim powodzeniem (wśród czytelników Sekuraka używa go mniej niż 2% czytelników). Z tego powodu tym bardziej nie dziwią doniesienia o przygotowaniu przez Microsoft nowej przeglądarki, bazującej na Chromium! Nie ma wprawdzie oficjalnego potwierdzenia, ale serwis Windows Central pisze tak: Codenamed Anaheim, this…
Czytaj dalej »Ostatnio jest dość gorąco w temacie wycieków danych. Niedawno sieć Marriott (ukradziono dane 500 milionów osób), teraz mamy duży wyciek z popularnego serwisu Quora. Sami poszkodowani piszą tak: On Friday we discovered that some user data was compromised by a third party who gained unauthorized access to one of our systems….
Czytaj dalej »Na różnych naszych konferencyjnych stoiskach udostępnialiśmy wydrukowane kolorowanki (wraz z czarnymi kredkami sekuraka). Tematyka jest stricte cyberawarenessowa. Materiały udostępniamy w PDF, do dowolnego wykorzystania komercyjnego lub niekomercyjnego. Ważne żeby materiały wykorzystywać bez nanoszenia żadnych zmian. Jeśli temat się Wam podoba – dorobimy więcej scenariuszy :-) kolorowanka-bankomat kolorowanka-malware kolorowanka-dowod-osobisty Fragment jednej…
Czytaj dalej »Mowa o projekcie: Mobile Security Testing Guide (MSTG). Właśnie wydano jego wersję 1.1 (dostępna wersja pdf + na czytniki mobilne). Znajdziemy tutaj m.in. takie elementy jak: składowanie danych na urządzeniach, rozmaite problemy kryptograficzne, testowanie uwierzytelnienia, reverse engineering aplikacji, narzędzia. Wszystko dla platform: Android oraz iOS. Całość to około 450 stron. Miłego…
Czytaj dalej »Można pewnie marudzić. że serwis nie ma wielu znanych wycieków. Z drugiej strony możemy całkiem dużą bazę (4,5 miliarda rekordów) ładnie posortować czy przeszukać. Np. tak jak poniżej (w bazie mamy przeszło 800 wycieków polskich baz): Część z nich jest mikroskopijna – np. krolikarzpolski (trzymający hasła w plaintext) ma ledwo…
Czytaj dalej »