-15% na nową książkę sekuraka: Wprowadzenie do bezpieczeństwa IT. Przy zamówieniu podaj kod: 10000

Aktualności

Konsultacje w sprawie nowelizacji ustawy o ochronie danych osobnych – jest nagranie z Ministerstwa Cyfryzacji

08 lutego 2017, 19:26 | W biegu | 0 komentarzy

3 lutego w Ministerstwie Cyfryzacji odbyły się konsultacje w sprawie nowelizacji Ustawy o ochronie danych osobnych i dopasowania jej do regulacji unijnych GDPR (o której piszemy szerzej na łamach Sekuraka). W spotkaniu uczestniczyło ok. 50 przedstawicieli środowisk zainteresowanych nową regulacją. Spotkanie zostało podzielone na dwie części, podczas pierwszej dr. Maciej…

Czytaj dalej »

Google Brain odpikselowuje obrazy

08 lutego 2017, 18:55 | W biegu | komentarzy 8

Jeśli zamazujesz obrazy – zobacz na to. Jeśli pikselujesz, zaciekawi Cię pewnie praca opublikowana przez członków zespołu Google Brain. Badacze pokazali jak za pomocą sieci neuronowych można z mocno zapikselowanego obrazu uzyskać oryginał: Oryginał celowo pisze kursywą, bo oczywiście nie ma pewności, że obraz który odzyskamy będzie zgadzał się z tym…

Czytaj dalej »

Masowe hacki WordPressa – przejęte również polskie serwisy

07 lutego 2017, 21:47 | W biegu | komentarzy 17

Parę dni temu wspominaliśmy o podatności w WordPressie 4.7.0 / 4.7.1 umożliwiającej m.in. podmianę zawartości postów. Obecnie trwają zautomatyzowane kampanie atakujące podatne instancje. Wg Sucuri tylko jedna kampania, którą można namierzyć w Google wyszukując „by w4l3XzY3” miała wczoraj ~66 000 zainfekowanych stron (dzisiaj Google pokazuje już prawie 100 000 – choć…

Czytaj dalej »

Wydano nakaz przeszukania SmartTV… ukryta kontrabanda

07 lutego 2017, 20:33 | W biegu | 0 komentarzy

Niby jest to oczywiste: obecne SmartTV to w pełni funkcjonalne komputery ze zintegrowanym monitorem :) Dokładnie tak do tematu podszedł jeden z sądów w USA, który wydał nakaz przeszukania SmartTV Samsunga osoby, która przyznała się do oglądania na nim dziecięcej pornografii: The warrant treats the TV like a normal computer,…

Czytaj dalej »

Bash – wykonanie dowolnego kodu przez autocomplete (!)

07 lutego 2017, 20:06 | W biegu | komentarze 3

Jeśli ktoś używa basha, zapewne zna domyślne działanie klawisza <tab> – umożliwia to wygodne dopełnienie długiej nazwy pliku. Okazuje się, że tworząc odpowiednio spreparowaną nazwę pliku (z zaszytym poleceniem do wykonania), osoba która uruchomi autodopełnienie (naciśnie tab) na tym pliku – wykona nasz kod. PoC? Proszę bardzo: bash-4.4# ls -l…

Czytaj dalej »

Amerykanie zaatakowali w cyberprzestrzeni, a nie… to Rosjanie, albo Chińczycy, albo…

06 lutego 2017, 20:44 | W biegu | komentarze 2

Jak może wiecie, niedawno amerykańskie wojsko otworzyło uruchomiło program bug bounty (hack the Pentagon to tylko jeden z nich). Przy okazji warto zastanowić się (czy uświadomić sobie) jedną ciekawostkę ze świata cyber. Jeden z uczestników bug bounty, znalazł kilka błędów, które jego zdaniem umożliwiały sfałszowanie cyberataku, tak aby jego źródło pochodziło…

Czytaj dalej »

Spring Boot – zdalne wykonanie dowolnego kodu na serwerze

05 lutego 2017, 09:00 | W biegu | komentarzy 15

Zaczynają pojawiać się kolejne pęknięcia w układance o nazwie Spring. Niedawno było to RCE w Spring OAuth, teraz mamy bardzo proste do wykorzystania zdalne wykonanie kodu w Spring Boot. Wykorzystanie załatanego już około roku temu błędu sprowadza się do wykorzystania faktu że wartości pewnych parametrów traktowane są jako Spring Expression Language (SpEL):…

Czytaj dalej »

150 000 drukarek z całego świata zaczęło drukować hack manifesty

04 lutego 2017, 20:04 | W biegu | komentarze 3

Tak twierdzi serwis bleepingcomputer, powołując się na gray hata o nicku Stackoverflowin, a kolejne zgłoszenia wyrastają jak grzyby po deszczu się na rozmaitych forach. Operacja wykorzystuje gotowe skrypty i zapewne kilka technik wskazywanych przez nas parę dni temu. Prawdopodobnie też nie jest groźna, choć nieobeznane osoby mogą się wystraszyć widząc coś takiego: Czy takiego:…

Czytaj dalej »

Zhackowali firmę, która zhackowała dla FBI słynnego iPhone-a z San Bernardino

04 lutego 2017, 19:10 | W biegu | komentarze 2

Być może pamiętacie akcję z odmową firmy Apple w temacie zapewnienia dostępu do iPhone związanego ze strzelaniną w San Bernardino? FBI zgłosiło się wtedy do izreaelskiej firmy Celebrite, specjalizującej się m.in. w łamaniu dostępu do smartfonów. Firma jest  popularna na całym świecie, na ich stronie czytamy: 15,000 law enforcement & military…

Czytaj dalej »

Hackowanie holenderskiego systemu do obsługi wyborów na podstawie… oficjalnego filmu instruktażowego

02 lutego 2017, 11:05 | W biegu | komentarze 2

Sijmen Ruwhof analizuje pod względem bezpieczeństwa film, będący instrukcją dla osób wpisujących głosy papierowe do systemu IT zliczającego głosy: Przesyłanie danych do „centrali” na nieszyfrowanym USB Przesyłanie danych zwykłą pocztą e-mail przez Internet (!) Zabezpieczenie plików XML (z danymi wyborów) na nośniku USB za pomocą hasha SHA1, przesyłanego… na tym samym USB…

Czytaj dalej »

Można bez uprawnień edytować posty w WordPress – aktualizujcie!

01 lutego 2017, 21:03 | W biegu | komentarzy 13

W WordPressie 4.7.0 włączono domyślnie API REST, które umożliwia na tworzenie, usuwanie czy edytowanie postów. Oczywiście tylko użytkownikom posiadającym uprawnienia… czy aby na pewno? Okazuje się, że pewien drobny błąd (związany z rzutowaniem zmiennych w PHP) umożliwia na edytowanie dowolnego posta bez uprawnień (!) – wystarczy posiadać tylko jego ID……

Czytaj dalej »

Atak na SanEscobar – wygraj 3 bezpłatne wejścia na konferencje security w Polsce

01 lutego 2017, 15:05 | W biegu | 1 komentarz

Podrzuciliśmy kilka hintów do naszego najnowszego zadania z hackowaniem elektrowni w San Escobar (jak ktoś nie ma konta na rozwal.to – polecam bezpłatną rejestrację). Zwiększyliśmy znacznie pulę nagród. Mamy już 3 bezpłatne wejścia do rozdania: 1 x Confidence, oraz nowe: 1 x Semafor 1 x X33fcon Czekamy na writeupy rozwiązania na sekurak<aaat>sekurak.pl – kto…

Czytaj dalej »

Atakowanie drukarek – praca badawcza + PRET (Printer Exploitation Toolkit).

01 lutego 2017, 14:47 | W biegu | 0 komentarzy

Szalenie interesująca praca o rozmaitych podatnościach w drukarkach. Od problemów z SNMP, przez manipulację kolejkami, dostęp na filesystem urządzenia, wyciąganie danych uwierzytelniających czy zaimplantowane w urządzeniach backdoory. Na start małe zestawienie wstępnego badania: Badacze udostępnili też  nową wersję narzędzia PRET (Printer Exploitotation Toolkit): This allows cool stuff like capturing or manipulating print…

Czytaj dalej »