Aktualności

Dostępowi nie podlegają – ogólnie rzecz ujmując – dane wrażliwe (np. dane osobowe) – ponoć ;) Ale nowe API serwisu haveibeenpwned umożliwia robić choćby takie wizualizacje: Czy tego typu mapy powiązań po użytkownikach: –ms

Badanie prowadzone na żywych systemach – 400 największych sklepów on-line (ranking Alexa). Okazuje się, że system wykrywania fraudów nie działa dla wielu prób autoryzacji, realizowanych z różnych sklepów on-line. Po drugie – różne sklepy wymagają różnych pól karty płatniczej do realizacji transakcji. Efekt – skuteczny brute-force numerów CVV2 i dat ważności.

Mamy jeszcze 2 darmowe wejścia (na rok 2017 ;) na jedną z największych technicznych konferencji ITsec w Polsce. Jest jednak mały podstęp ;) –ms

Activation lock to funkcja w urządzeniach Apple, uniemożliwiająca aktywację na innym koncie niż oryginalne. Jeśli więc zgubię iPhone czy iPada – nikt nie jest w stanie go zresetować i ustawić swojego, nowego konta. Przynajmniej w teorii… W praktyce, pokazano właśnie metodę na odblokowanie iPada korzystającego z najnowszego systemu iOS (10.1.1)….

Konkretny przepis oraz przykładowy jpeg znajdziecie na blogu twórców narzędzia Burp Suite. Co daje tego typu sztuczka? Choćby możliwość omijania mechanizmu CSP. Jeśli możemy uploadować na serwer pliki jpeg – to możemy umieścić tam nasz JavaScript, a stąd już krok do odpalenia XSS-a. –ms

BBC donosi o dysku sieciowym (bez hasła) zawierającym około 700 stron poufnych informacji dotyczących dochodzeń Europolu w sprawach związanych z terroryzmem. Dysk dostępny był w Internecie, a dostęp do niego zaindeksował Shodan.  Tym razem nieintencjonalnie upublicznione dane zawierały choćby takie elementy: Zembla reported that documents contained the names and telephone…

Strona seĸuraĸ.pl cały czas pozostaje zdefejsowana :-) A jest to kolejne przejęcie po ɢoogle.com dokonanym przez Rosjan. –ms    

W 2017 roku dodamy do zadań labowych 3 profesjonalne kamery CCTV (jedna z nich kosztuje ~5000 PLN) – wykorzystywane są choćby chętnie w instytucjach rządowych. Do kamer można uzyskać dostęp zdalny bez uwierzytelnienia (OS root), a wszystko będziecie mogli przećwiczyć samodzielnie w LAB-ie (łącznie ze zdalnym obracaniem kamerą na żywo…).

Wstępne zapisy na nasze styczniowe wrocławskie Hacking Party rozpoczęliśmy jakiś czas temu – obecnie jest zapisanych grubo przeszło 500 osób. Update z ostatniej chwili: nasz główny partner wrocławskiej imprezy – Capgemini – załatwił nam dużą salę kinową – przyciemniona sala w Multikinie wygląda na świetne miejsce jeśli chodzi o praktyczne pokazy…

Opublikowano exploita w Javascripcie, który prowadzi do wykonania kodu w OS w systemach Windows (w tym przypadku deanonimizacja użytkownika Tor-a jest już banalna): This is an JavaScript exploit actively used against TorBrowser NOW. Podatny jest wspomniany wyżej Tor Browser (najnowsza wersja bazuje na Firefoksie w wersji 45 ESR), a sam…

Rozmaite serwisy rozpisują się o nowej podatności w Windows 10. W trakcie aktualizacji typu Feature Update, następuje wymuszony restart systemu i instalowane są aktualizacje. Nic w tym dziwnego, prawda…?

Być może myślicie, że chodzi o telefon z domyślnie zainstalowanym TOR-em? W tym przypadku projekt idzie o wiele dalej…

Po wycieku źródeł botnetu Mirai, wielu postanowiło go ulepszyć a dalej zmonetyzować. Przykładem jest ostatnia kampania marketingowa gdzie przestępcy zachwalają swój produkt (usługę?) w ten sposób: Ceny są różne, w zależności od kupowanego pakietu. Przykład: price for 50,000 bots with attack duration of 3600 secs (1 hour) and 5-10 minute cooldown…

Kiedy używamy serwisów zapewniających anonimowość i prywatność w internecie, bardzo ważne jest, aby cały ruch sieciowy pochodzący z naszego komputera, był przesyłany poprzez sieć zapewniającą taką właśnie usługę. Jeśli jakikolwiek ruch (przez dowolny protokół) wycieka – czyli – nie używa bezpiecznego połączenia z internetem, to każdy, kto (np. ISP) będzie monitorować aktywność Twojego komputera, jest w stanie wychwycić ten ruch sieciowy.

Interesujący serwis mający za zadanie wyszukać serwisy, w których mamy konto – a następnie wygenerować linki służące do usunięcia tych kont. Idea ciekawa, ale zapewnienie twórców o bezpieczeństwie całości: Privacy and data security is something we regard as extremely important. In fact, its our number one focus from beginning to…