Aktualności

Jeden obraz wart jest więcej niż tysiąc słów. Patrzcie więc…:

Ciekawy projekt na Kickstarterze. Popatrzysz przez takie okulary na ekran telewizora i … będzie on wyglądał jak wyłączony. Działają tutaj prawa fizyki: By flattening and rotating the polarized lens 90 degrees, light emitted by LCD/LED screens is blocked, making it look like the TV or computer in front of you…

Jesteś podłączony do niezabezpieczonej sieci WiFI, może lepiej szyfrować całą swoją komunikację? Tego typu automatyczne rekomendacje (plus uruchomienie VPN-a prawdopodobnie testuje właśnie Mozilla: Jak widzicie, może to być współpraca z ProtonVPN. Zbyt piękne żeby było prawdziwe? No więc jest też duży (ale chyba nieodłączny) minus całego pomysłu, usługa ma być sprzedawana…

Wsparcia dla PHP w wersji 5.x nie mamy od jakiegoś czasu, ale od 2019 roku nie będą pojawiać się łaty bezpieczeństwa: Jakie mogą być tego konsekwencje? Najpoważniejszy problem to przypadek gdy pokaże się zdalnie wykorzystywana krytyczna podatność, dająca np. dostęp na poziomie systemu operacyjnego. Takie podatności (nie wymagające dodatkowych warunków)…

Nie jest to jakiś zaawansowany atak związany np. z problemami kryptograficznymi. Tym razem jeden pan chodzi dookoła domu z „tabletem” (szukając dobrego sygnału z kluczyka bezprzewodowego), wzmacnia go i przesyła do telefonu drugiego złodzieja, który znajduje się blisko samochodu. Po krótkim „rekonesansie” auto się otwiera ale atakujący mają przez dłuższy…

18-stego października zorganizowaliśmy pierwsze w Gliwicach Sekurak Hacking Party. Zapisało się 311 osób (przyszło około 85-90%). Z głównych tematów – mieliśmy okazję posłuchać świeżą prezentację Michała Bentkowskiego o XSS-ach (była również prezentacja nowego narzędzia, umożliwiającego np. przejęcie i interaktywną kontrolę przeglądarki znajdującej się fizycznie w intranecie (poza naszą bezpośrednią kontrolą)…

Jak wiemy mechanizmy uploadu to jedno z najniebezpieczniejszych miejsc w aplikacjach. Czasem po prostu wystarczy wgrać webshella (dającego już dostęp na poziomie systemu operacyjnego), czasem trzeba się bardziej namęczyć – np. przygotowując odpowiedniego zip-a. Ten pierwszy wariant był cały czas możliwy w popularnym pluginie jQuery File Upload (podatny jest kod po…

Mamy tutaj w pigułce obecny model tworzenia aplikacji mobilnych. Szybko, tanio, niebezpiecznie. Choć zaraz, o bezpieczeństwie czy niebezpieczeństwie często nikt kompletnie nie myśli. No więc: dekompilacja aplikacji (androidowa .apk), łatwe zlokalizowane backendu (firebase), i zupełnie niezabezpieczony dostęp do tej właśnie bazy: Their database is accessible by everyone… Now, I’m able…

Podatność „wyceniona” na 9.8/10 w skali CVSS umożliwiała na ominięcie uwierzytelnienia w banalny sposób. Zamiast wysłać komunikat: SSH2_MSG_USERAUTH_REQUEST klient wysyłał SSH2_MSG_USERAUTH_SUCCESS i … po sprawie :) Dla pewności warto podkreślić, że nie jest to błąd w OpenSSH (to zupełnie dwa różne projekty).  Do czego więc służy biblioteka libssh? Do sprawnego umożliwienia naszemu…

Konferencja SECURE to wydarzenie, które ma swoje stałe miejsce w kalendarzu najważniejszych imprez związanych z tematyką bezpieczeństwa teleinformatycznego. Stanowi wyjątkową okazję, aby posłuchać czołowych ekspertów z dziedziny bezpieczeństwa z Polski i całego świata, pogłębić wiedzę o zagrożeniach i aktualnych trendach w bezpieczeństwie, a także wziąć udział w forum wymiany doświadczeń….

Alert został ogłoszony kilka dni temu. Tym razem problematyczne okazały się kardiosymulatory (en. pacemakers), czyli urządzenia wszczepiane do ciała pacjenta i stymulujące serce na rozmaite sposoby:   Bardziej konkretnie, problem jest z urządzeniami umożliwiającymi aktualizację firmware urządzeń (programatorami) – niby pobieranie może być zrealizowane tylko przez VPN, ale programatory tego nie…

TLDR: appka mobilna umożliwiająca płatność NFC przechowywała liczbę kredytów w lokalnej bazie SQLite. Baza oczywiście była zaszyfrowana (:P), ale po krótkiej analizie okazało się że jest to numer IMEI telefonu. Po zdeszyfrowaniu była już pełna kontrola nad kontem: Firma tworząca system została poinformowana o problemie. A wnioski mamy tu cztery:…

Obecnie na hacking party Gliwice mamy zapisanych już przeszło 250 osób. Tutaj można znaleźć jeszcze trochę ostatnich biletów w super cenie < 20PLN. Impreza jest otwarta dla każdego chętnego – nie trzeba być super specem od security – prezentacje będą z jednej strony na dość podstawowym poziomie, a z drugiej…

Szukając możliwości użycia hashcata w cloud, napotkałem taki serwis. Jedni oferują swoje maszyny na wynajem, drudzy je wynajmują. Ceny bywają rzeczywiście niskie – $0,082 za godzinę systemu z bardzo mocną kartą NVIDIA GTX 1080, do tego 24-corowy Xeon i 128 GB RAM. Jeśli się nam nie spieszy (i dobrze rozumiem…

Jak wypada każdej niskopoziomowej książce – ilustracje mamy tu w formie nieco tekstowej: Można zobaczyć pełną „wizualizację” danego fragmentu komunikacji (np. Client Hello) oraz wersję z objaśnieniami konkretnych fragmentów / bajtów komunikacji. Czasem mamy też fragmenty do potwierdzenia w command line: –ms