Sekurak - piszemy o bezpieczeństwie

W pierwszej połowie marca 2021 u wszystkich użytkowników GitHuba wymuszono ponowne zalogowanie się, po tym jak część użytkowników zostawała nieoczekiwanie zalogowana na cudze konta. Wczoraj GitHub opublikował szczegóły tego błędu. Opisujemy na czym on polegał.

Sigstore to projekt Linux Foundation opracowany przez Google i Red Hat, a służący do podpisywania kodu. Nieodłączną słabością kodów typu Open Source jest to, że trudno określić ich pochodzenie i sposób, w jaki zostały zbudowane, co oznacza, że są one podatne na ataki w łańcuchu dostaw. Google postanowiło rozwiązać ten…

Dwa dni temu informowaliśmy o pożarze w serwerowni OVH w Strasburgu. Incydent ten był przyczyną problemów z dostępnością wielu serwisów, takich jak chociażby Lichess, VeraCrypt, Rust, Bonito, Baselinker, Imagify, czy Bad Packets. Jeśli przegapiłeś całą akcję, to zapraszamy tutaj. Film informacyjny Jak zwykle bywa z tego typu incydentami, klienci domagają…

a dokładniej: mialemwyciek.pl – to nasz nowy projekt, nad którym pracujemy. Znajdziecie tam: Gotowe procedury (docx) do własnego wykorzystania w przypadku wycieku (w podziale na firmowe / prywatne) Gotowe wzory zgłoszeń do Prokuratory, Policji, UODO Informacje o tym jak zazwyczaj dochodzi do wycieku + filmiki ilustrujące zagadnienie (dla osób technicznych…

W tym artykule pokażę jedno z możliwych rozwiązań następującego problemu: mamy aplikację webową, której nie chcemy wystawiać na świat, a tylko umożliwić do niej dostęp określonej grupie użytkowników.

Całość to pokłosie Operacji Panoptykon. Hackerzy uzyskali dostęp do samych kamer (dostęp root) – w szczególności do live feedów czy zdjęć. Bloomberg wspomina o 150 000 ~podatnych kamerach. Przykłady poniżej. Więzienie: Warsztat należący wg relacji do Tesli: Czy powiedzmy nie do końca zgodne z BHP wyjście ewakuacyjne: Na jednym ze…

Pewnie większość z czytelników Sekuraka (jak nie wszyscy) korzystała kiedyś z wyszukiwania obrazem w jednej z popularnych wyszukiwarek. Wrzucamy plik lub robimy zdjęcie i za chwilę otrzymujemy wynik poszukiwań podobnych obrazów, listę stron je zawierających, powiązane tematy itp. Jednak jak to z każdym wyszukiwaniem bywa, jedne serwisy radzą sobie lepiej,…

Szkolenie prowadzi Tomek Zieliński (aka informatykzakladowy), sam pisze tak: (…) szkolenie Sekuraka, na którym opowiem o sekretach bezpieczeństwa aplikacji androidowych. Dobra, to nie są żadne sekrety. To po prostu gromadzona latami wiedza – Androida zacząłem programować jeszcze w roku 2009, potem przez wiele lat była to moja główna specjalizacja zawodowa….

Microsoft Exchange Server jest rozwiązaniem, które od prawie ćwierć wieku wyznacza pewien standard pracy grupowej. Warto pamiętać, że jest to nie tylko serwer pocztowy, a połączone z Outlookiem środowisko, pozwalające pracować w sposób, bez którego pracownicy największych firm na świecie nie wyobrażają sobie realizacji swoich codziennych zadań. Nie bez powodu porównuje…

Po sukcesie pierwszej książki zaczęliśmy prace nad drugą (trwa już pisanie pierwszych tekstów). Tematyka będzie podobna jak w pierwszym tomie i nie będzie to omówienie „zaawansowanych tematów” – a po prostu innych. Wersja beta spisu treści wygląda tak: 1. Testy penetracyjne Chciałbym zostać pentesterem aplikacji webowych – jak zacząć, gdzie…

Zobaczcie na krytyczną podatność opisaną tutaj. Microsoft pisze: Microsoft Exchange Server Remote Code Execution Vulnerability Dodając że podatność jest aktywnie exploitowana, cytując przede wszystkim Orange Tsai oraz Volexity. Orange pisał niedawno tak: Mam tu kilka bugów dających w sumie pre-auth RCE. To jest być może najpoważniejsza grupa podatności, którą znalazłem…

Jak wynika z tego raportu, popularna paczka Node.js “systeminformation” posiadała podatność  (CVE-2021-21315) typu “command injection”. W artykule znajduje się prosty “Proof of Concept”, który pomoże w zrozumieniu samej podatności. Zacznijmy jednak od wyjaśnienia, czym właściwie jest “systeminformation”. Biblioteka “systeminformation”  Więcej na temat tej biblioteki znajdziemy na npmjs.com: Jak widać na…

Zapraszamy na kolejną edycję naszego spotkania on-line :) (dostęp do nagrania edycji lutowej możecie jeszcze wykupić tutaj). Tym razem startujemy: 29.03.2020r., o godzinie 20:00 Agenda: Dorota Kulas – phishing na poważnie, czyli jak łowić cicho i skutecznie W czasie mojej prezentacji przedstawię kampanię phishingową od A do Z, z punktu…

Zerknijcie na ofertę pracy firmy Vercom (z którą swoją drogą współpracujemy w ramach pentestów, CV możecie złożyć tutaj). Twoim głównym zadaniem będzie prowadzenie testów penetracyjnych i zadbanie o bezpieczeństwo wszystkich naszych aplikacji (zarówno tych istniejących jak takich, które dopiero powstają). Będziesz mógł również pobuszować w naszej infrastrukturze i wykorzystać znalezione…

U schyłku ubiegłego roku cytowaliśmy geoforum: Serwer z bazami danych Powiatowego Ośrodka Dokumentacji Geodezyjnej i Kartograficznej w Oświęcimiu został 13. października zablokowany przez hakerów – taką wiadomość otrzymali lokalni geodeci (…)  W związku z tym nie ma możliwości zgłaszania prac, udostępniania materiałów, przyjmowania prac geodezyjnych do zasobu, a także składania…