W co można zainwestować niewiele jako kraj i wyciągnąć z tego miliardy? Tak, tak – to ofensywne zdolności cyber. Reuters donosi właśnie o hackerskich operacjach Korei Północnej, które przyniosły temu krajowi około 2 miliardów USD, zainwestowanych następnie prace nad bronią masowego rażenia. The experts said they are investigating “at least…
Czytaj dalej »
Jeśli ktoś uważa, że SQL injection ciężko jest znaleźć w obecnych czasach, myli się. W opisywanym przypadku zaczęło się od enumeracji ciekawych poddomen (mamy o tym osobny rozdział w naszej książce) – udało się znaleźć niezbyt skomplikowane miejsce z możliwością anonimowego uploadu pliku XML. Po niewyłączonych komunikatach błędów było jasne,…
Czytaj dalej »
Cała pula do wypłaty to kilkaset tysięcy euro – a w programie uczestniczy kilkanaście projektów Free/OpenSource, z których korzystają kraje EU. Są tam m.in: Drupal, Putty, 7-zip, Tomcat, Notepad++ czy KeePass. Kryterium doboru było głosowanie, którego wyniki dostępne są tutaj (część projektów była już „maglowana” we wcześniejszych edycjach – np. serwer…
Czytaj dalej »
Wpis opisuje jak udało się obejść mechanizm uwierzytelniania w aplikacji opartej o NodeJS w jednym z prywatnych programów bug bounty. Zaprezentowano metodologię stosowaną w przypadku podobnych sytuacji, która bardzo często pozwala na znalezienie luki (bądź luk) w aplikacjach z pozoru wyglądających na takie, które nie zawierają żadnej funkcjonalności do “złamania”.
Czytaj dalej »
Ministerstwo Cyfryzacji opublikowało właśnie dokument: „Strategia Cyberbezpieczeństwa Rzeczypospolitej Polskiej na lata 2017 – 2022„. Rzeczywiście w dokumencie jest mowa o bug bounty – ale o tym za moment. Niedługo uczestniczę w panelu dyskusyjnym – m.in. z minister cyfryzacji Anną Streżyńską – jeśli podrzucicie ciekawe pomysły / rozwiązania czy ogólnie komentarze do…
Czytaj dalej »
Dla nielubiących marn^H^H^H^H spędzania czasu przez TV – dwie ciekawe listy programów bug bounty na początek: hackerone i bugcrowd. –ms
Czytaj dalej »
Z bezpieczeństwem OVH bywało różnie… dziwi więc, że dopiero teraz uruchamiają program bug bounty. Nagrody oscylują w granicach 50 – 10 000 EUR, a sam na szybko mam już do zgłoszenia jednego buga ;-) Poczytajcie o scope i do dzieła. –ms
Czytaj dalej »
Departament Obrony Stanów Zjednoczonych ogłosił właśnie uruchomienie inicjatywy „Hack the Pentagon”, która na wzór znanych już od wielu lat w sektorze prywatnym programów bug bounty ma pomóc wojskowym w lepszym zabezpieczeniu własnych systemów.
Czytaj dalej »
Dwójka cyber-oficerów w US Army, ogłosiła projekt programu bug bounty – jeśli całość uda się oficjalnie zatwierdzić, to przy pewnych rozsądnych założeniach będzie można zupełnie legalnie zgłaszać błędy bezpieczeństwa w systemach wojskowych USA.
Czytaj dalej »
Po fali krytyki, jaka przelała się przez Internet w związku z mizerną nagrodą przyznaną za błędy znalezione w systemach Yahoo, nie trzeba było długo czekać na reakcję amerykańskiej korporacji.
Czytaj dalej »
Pozytywna informacja w świecie bezpieczeństwa IoT – firma Netgear ogłasza program bug bounty z całkiem wysokimi nagrodami: $15 000 kosztuje np. taki błąd: Remote Unauthorized access to administer another NETGEAR customer’s router (via the publicly accessible internet – e.g. not on the same LAN) Są też i mniejsze kwoty – $ 750…
Czytaj dalej »
Apple słynął raczej z niemiłego traktowania ludzi zgłaszających im błędy bezpieczeństwa. Po wielu latach poszedł jednak po rozum do głowy i na koniec roku odpala program bug bounty: Apple today announced that it would be starting up a bug bounty program in the fall. The program will reward security researchers…
Czytaj dalej »
Kliiiiikbait – bo sposób nie był banalny! A nie, czekaj, sposób był banalny, jak już się wiedziało co i jak. No dobra, nie taki banalny. Ech… zobaczmy o co chodziło w bugu, który został wykorzystany bojowo 3 lata temu i nieco później załatany. Idąc od końca, efekt na koncie gracza-hackera…
Czytaj dalej »
Zazwyczaj firmy które prowadzą programy bug bounty starają się umniejszyć znaleziskom, w tym przypadku było jednak inaczej :) Zaczęło się od „zabawy” ze Spark AR Studio. W trakcie testów Andres Alonso, 14-latek z Brazylii, zmienił nazwę (file_name) na taką zawierającą cudzysłowy Spowodowało to pojawienie się w pewnym miejscu tagów <meta>…
Czytaj dalej »
Opis podatności tutaj. W skrócie – można importować listę własnych adminów (mając dostęp do swojego firmowego konta), przy czym… istniała możliwość zaimportowania adminów do dowolnego konta firmowego, podając po prostu jego ID i zaimportować siebie: There is a call to import admins to a business account. The call at the…
Czytaj dalej »