Aktualności

O co chodzi w imprezie? Są to nasze praktyczne pokazy hackowania „różnych rzeczy” i całość będzie zapewne przydatna również dla osób, które jeszcze nie mają doświadczenia w bezpieczeństwie (nie są to warsztaty), choć jednak dobrze mieć pojęcie o IT :-) Termin: 14.06.2019 r. Miejsce: Warszawa, Polsko-Japońska Akademia Technik Komputerowych, ul. Koszykowa 86, Duża…

Wszystkie te rzeczy zobaczycie w tym opracowaniu (łącznie z opisem narzędzi działających on-line czy offline – raptem kilka z nich: Impacket, Mimikatz, Rubeus, PsExec). Jeśli ktoś chce zapoznać się z teorią dotyczącą Kerberosa (i toną dodatkowych linków – warto zerknąć tutaj). Zainteresowanych tematyką odsyłam również do naszego nowego szkolenia – praktyczne bezpieczeństwo Windows. –ms…

Mamy nową kampanię mailową, będącą odmianą akcji z podawaniem prawdziwych haseł „ofiar”, do których celowane były maile. Tym razem nie ma hasła, jest za to pełen bełkotu słowotok („podatność na zranienie” – ach!) kończący się próbą wymuszenia okupu za niepublikowanie „kompromitujących informacji” o ofierze. Dla porządku przytaczamy ten ewidentny scam:…

W Rekomendowanych ustawieniach dotyczących bezpieczeństwa Windows 10 i Windows Server 2016: „Security baseline (FINAL) for Windows 10 v1903 and Windows Server v1903” Microsoft napisał tak: Dropping the password-expiration policies that require periodic password changes.  Dalej czytamy wyjaśnienie: When humans pick their own passwords, too often they are easy to guess…

Podatność CVE-2018-15664 została upubliczniona przez jednego z inżynierów SUSE Linux. W pewnym uproszczeniu chodzi o podatność klasy race condition z użyciem linków symbolicznych. Z drugiej strony to podatność klasy TOCTOU. Np. jakaś operacja tworzy link symboliczny, jest on rozwiązywany na odpowiednią ścieżkę w kontenerze, w tym momencie go szybko podmieniamy na…

Czy chcielibyście zobaczyć coś praktycznego w kontekście bezpieczeństwa Windows? Nudzą Was przegadane dokumentacje Microsoftu? Wpadnijcie na nasze praktyczne szkolenie.

Kolejna faza batalii Google ze społecznością tworzącą rozszerzenia. Tym razem gigant ogłosił, że w nowej wersji API dostępnej dla rozszerzeń nie będzie w ogóle możliwości blokowania wysyłania żądań HTTP z przeglądarki, chyba że dla wersji enterprise Chrome: Chrome is deprecating the blocking capabilities of the webRequest API in Manifest V3,…

W skrócie, zobaczcie na to szkolenie wprowadzające do tematyki bezpieczeństwa IT (2 dni, praktyczne pokazy). Na najbliższą edycję w tym roku (Warszawa,10-11.06.2019) możecie się zapisać korzystając aż z 50% rabatu (cena to 999 PLN netto), jeśli spełnicie dowolny z trzech warunków poniżej: Skondensowane informacje o szkoleniu można znaleźć tutaj (ulotka…

Często spotykamy się z pytaniem: jak ustalić imię i nazwisko osoby przy pomocy numeru telefonu. Sprawa nie jest taka prosta, ponieważ wraz z wprowadzeniem w życie ustawy o ochronie danych osobowych większość popularnych i sprawdzonych metod umożliwiających to zadanie przestało działać. Co działa? Jedyną wyszukiwarką, która działa sensownie w tym…

O problemie pisaliśmy niedawno – w skrócie, bez uwierzytelnienia można wykonać kod w systemie operacyjnym (uprawnienia SYSTEM) poprzez odpowiednio złośliwą komunikację RDP. Od tego czasu mamy skaner wykrywający podatność (rdpscan), dość szczegółową analizę podatności, a także około miliona maszyn dostępnych bezpośrednio z Internetu, które nie są załatane. Lepiej się pospieszcie z…

Uruchomiliśmy nowe 1-dniowe szkolenie: Praktyczne wprowadzenie do SDR (Software Defined Radio). Temat podjęliśmy bardziej hobbystycznie (dla naszej wewnętrznej ekipy), więc liczba miejsc jest ograniczona. Szkolenie robimy w dość kameralnych grupach – 10-12 osób. Agenda: Transmisja radiowa – teoria (prezentacja – wykład) Czym w ogóle jest radio: fale elektromagnetyczne Pierwsze radio –…

Pierwsza podatność wygląda mało zabawnie – zmiana haseł innym użytkownikom…: An Improper Authorization vulnerability in the SSL VPN web portal may allow an unauthenticated attacker to change the password of an SSL VPN web portal user via specially crafted HTTP requests. Podatne systemy: FortiOS 6.0.0 to 6.0.4 FortiOS 5.6.0 to…

Po raz drugi w historii pojawimy się w Gdańsku. Na wydarzenie zapraszamy programistów, testerów, adminów oraz wszystkie osoby które chcą spotkać się z żywym bezpieczeństwem IT :) Termin: 06.06.2019 r. Miejsce: Uniwersytet Gdański – Wydział Nauk Społecznych Audytorium S-208, ul. Jana Bażyńskiego 4, 80-309 Gdańsk Rozpoczęcie: 18:00 (można być już 17:30)….

130-letni gigant – First American Financial Corp.- (18 000 pracowników) działający w obszarze nieruchomości, miał gigantyczną podatność. Zmieniając numer ID w pewnym linku, można było uzyskać dostęp do poufnych dokumentów: The digitized records — including bank account numbers and statements, mortgage and tax records, Social Security numbers, wire transaction receipts, and…

To zapis jednego z wykładów które prowadziłem niedawno: Jeśli ktoś potrzebuje się z kolei dowiedzieć więcej (w tematach związanych z bezpieczeństwem API) – zapraszam na moje szkolenie: bezpieczeństwo API REST. –ms