Dołączacie zewnętrzne pliki JavaScript do swojej strony? Co wtedy może pójść nie tak? Np. ktoś może podmienić ten zewnętrzny JavaScript i w ten sposób atakować osoby odwiedzające waszą stronę. Taka historia właśnie miała miejsce w przypadku systemu statcounter[kropka]com. Według doniesień atak był targetowany na giełdę kryptowalut gate.io. Atak jest o tyle…
Czytaj dalej »
Trzecia część serii o rekonesansie infrastruktury IT. Poznajemy takie narzędzia jak crt.sh, VirusTotal czy RiskIQ.
Czytaj dalej »
Budując naszą obronę przed tego typu atakami, powinniśmy przede wszystkim poznać i, co najważniejsze (a jednocześnie najtrudniejsze), nauczyć się kilku podstawowych technik wpływu na zachowanie drugiego człowieka, aby w momencie kiedy zostaniemy zaatakowani zauważyć ten fakt i zdążyć się przed nim obronić.
Czytaj dalej »
Ciekawy przypadek opisuje Brian Krebs – w wyniku ataku na jeden z banków w USA wykradziono około 2,4 miliona dolarów. Sam atak był phishingiem i bazował na odpowiednio spreparowanym dokumencie Worda. Co ciekawe w dwóch całkiem sporych odstępach czasu była zaatakowana ta sama stacja robocza, a finalnie atakujący uzyskali dostęp…
Czytaj dalej »
TLDR: zhackowany router w oddziale -> dostęp do sieci LAN -> atak na system zarządzania przelewami -> zlecenie lewych przelewów -> wypłata pieniędzy z bankomatów. Game Over.
Czytaj dalej »
Chińczycy nieco przekomarzają się z mediami, które z jednej strony sceptycznie były (są?) nastawione do „sensacji”, z drugiej otrzymały w odpowiedzi np. taki film: Jeśli broń (czyli trzykilowy ZKZM-500) rzeczywiście istnieje, to nie ma raczej parametrów wizualnych znany ze Star Wars… po pierwsze promień jest niewidoczny dla ludzkiego oka. To…
Czytaj dalej »
Polska (ale nie tylko) strona Wikipedii na znak protestu przeciw „podatkom” od hiperlinków i mechanizmowi umożliwiającemu cenzurę treści w Sieci nie udostępnia treści. Tymczasem Julia Reda donosi o fakcie, że dopiero niedawno pokazała się pełna treść tekstu, nad którym głosowała ostatnio komisja prawna EU – przegłosowując proponowane zmiany. Za co ma…
Czytaj dalej »
W ostatnim czasie zbiegły się ze sobą dwa wydarzenia, mające ze sobą jeden szczegół – czyli ukryte znaki dodawane na wydrukach przez drukarki – a mające na celu zidentyfikowanie urządzenia, które zostało wykorzystane do wydruku.
Czytaj dalej »
Cenimy Wasz czas. Więc maksymalna kondensacja: Aplikacja mobilna sparowana z kamerą IP firmy Swann ma możliwość podglądnięcia obrazu na żywo „ze swojej kamery”. Szkoda tylko, że nie zawsze „ze swojej„: jedna z użytkowniczek nagle dostała dziwne alerty ruchu w appce, czyli coś pojawiło się w kamerze. Okazało się, że jest…
Czytaj dalej »
Co dopiero pisaliśmy o możliwości łatwego łamania PIN-ów na urządzeniach Apple, a wczoraj zaprezentowano coś, czego nie widzieliśmy dawno: exploit na domyślną przeglądarkę Safari i połączenie go z pełnym jailbreakiem. Warto dodać, że całość działa na najnowszym iOS 11, ale również na najnowszej becie tego systemu (iOS 12). Z jednej strony to…
Czytaj dalej »
W telegraficznym skrócie: Ostrzeżenie o możliwości kradzieży środków przez API działające na porcie 8545 (niedomyślna konfiguracja; „This is not a bug, but a misuse of JSON-RPC.”) Pierwsze próby. Po paru miesiącach: Remember this old twitter we posted? Guess how much these guys have in their wallets? Check out this wallet address https://www.etherchain.org/account/0x957cd4ff9b3894fc78b5134a8dc72b032ffbc464#transactions……
Czytaj dalej »
Proste pytanie: „czy SSL szyfruje URL-e?” i prosta odpowiedź: tak. Nieco bardziej rozbudowane rozważania w tym temacie – w dalszej części tekstu.
Czytaj dalej »
Kilka dość wymownych cytatów sprzed chwili: Visa’s payment network has crashed across the UK and Europe, sparking chaos as transactions are failing or being denied. More than 10 (transactions) have failed. One lady had to call her bank and was quite upset, but most people have a MasterCard as well or…
Czytaj dalej »
TL;DR – jesteś programistą i chciałbyś nauczyć się atakować aplikacje webowe? To świetnie trafiłeś :) Poszukujemy junior pentesterów / osób na staż. Nie wymagamy doświadczenia, ale potrzebujemy solidności i sporych zdolności uczenia się. Pisz na praca@securitum.pl – przesyłając swoje CV. Gdzie? Co? Jak? W Securitum realizujemy około 300 testów bezpieczeństwa…
Czytaj dalej »
W skrócie – jedna z japońskich giełd kryptowalutowych posiadała błąd, umożliwiający kupienie bitcoinów za darmo. Mimo że problem istniał tylko 18 minut, ktoś spróbował go wykorzystać. Swoją drogą prawdopodobnie podatność usunięto właśnie dzięki osobie, która chciała wykorzystać owego „exploita życia”, czyli sprzedać za darmo nabyte bitcoiny…: As at least one…
Czytaj dalej »