Aktualności

Na SHP we Wrocławiu mamy obecnie 405 zarejestrowanych, jak ktoś chce jeszcze dołączyć – nie jest za późno. Termin 13 stycznia 2017. Wspiera nas Capgemini (załatwia salę). Na tak dużą liczbę osób będzie wynajęte prawdopodobnie kino lub coś na Politechnice. Niedługo start zapisów na Poznań (startujemy tam w grudniu). –ms

Apple właśnie wydał aktualizację do swoich systemów operacyjnych – zarówno tych używanych na iPhone-ach / iPad-ach, jak i w swoim flagowcu – macOS. W opisie znajdziemy np. taką niespodziankę: Viewing a maliciously crafted JPEG file may lead to arbitrary code execution. I dalej: An application may be able to execute…

Dirty Cow – czyli podatność umożliwiająca rozszerzenie uprawnień do roota, a istniejąca w jądrze Linuksa od prehistorycznych czasów (jądro 2.6.22 aż do ~teraz), doczekała się pokazania swoich możliwości na Androidzie. Wygląda więc na to, że mamy chyba najbardziej uniwersalną metodę rootowania Androidów w historii. Jeden z badaczy udostępnił nawet PoC,…

Nie ma co tu zbyt dużo pisać, ominięcie 2FA w Paypal-u było dziecinnie proste, wystarczyło… usunąć w komunikacji HTTP dwa proste parametry: –ms

Zapraszam na tegoroczne wydarzenie organizowane przez wydawnictwo PWN. Gynvael Coldwind czy J00ru dostarczą Wam na pewno super niemarketingowego contentu. Z mojej strony zaprezentuję trochę nowinek ze świata hackowania IoT – w tym pokazanie co się działo z największą operacją DDoS w historii z wykorzystaniem IoT Cannon w postaci botnetu Mirai….

Kiedyś pisaliśmy o sztuczce z osadzaniem w dokumentach MS Office zdalnego zasobu (np. obrazka) – mogło to służyć do wskazania adresu IP osoby, która taki plik otworzyła. Teraz udostępniono narzędzie Phishery, które umożliwia osadzenie w podanym przez nas dokumencie Worda, adresu URL wymagającego podania hasła (zasób taki hostowany jest na naszym…

Comodo używa (używał?) OCR-a (tak, takiego do rozpoznawania tekstu z obrazu) do wydobycia z bazy whois e-maila admina odpowiedzialnego za daną domenę (to ta osoba potwierdza, że rzeczywiście jest właścicielem domeny – tj. może otrzymać certyfikat SSL).  Pechowo używany OCR posiada podatność, która nie rozpoznaje różnicy np. pomiędzy znakami l…

Tym razem wymagane jest posiadanie lokalnych uprawnień w systemie, więc jest to podatność klasy privilege escalation. Z drugiej strony błąd występował aż od 9 lat (od kernela ~2.6.22) i jest spora szansa, że podatne mogą być i Androidy. Arstechnica pisze w sposób dość alarmujący: Most serious” Linux privilege-escalation bug ever is…

Martin niezauważony wykradał dane przez 20 lat (!). Ex-pracownik NSA został aresztowany już pod koniec sierpnia, ale teraz mamy dostępnie publicznie pewne informacje. O temacie rozpisują się wszyscy. Od mainstreamu jak: Wall Street Journal / NY Times aż po bardziej techniczne serwisy jak: Arstechnica czy Engadget. Najciekawsze chyba wydaje się oficjalne pismo…

Ciekawy opis przełamania kilku zabezpieczeń w domenie slack.com (w tym możliwość resetu haseł innym użytkownikom). Najpierw prosta sprawa – udało się znaleźć dostęp do zabezpieczonego URL-a /server-status: wystarczyło użyć dodatkowych czterech slashy: http://…slack.com/////server-status Ciekawe, ale niewiele dało. Dalej autor odkrycia namierzył pewne URL-e w panelu administracyjnym (dostępnego dla pracowników Slacka) i…

Na sekuraku staramy się utrzymywać wysoki poziom merytoryczny i w podobny sposób staramy się prowadzić nasze warsztaty z bezpieczeństwa.

Arstechnica donosi o aresztowaniu podejrzanego o udany atak na LinkedIN Rosjanina (wyciekło wtedy prawie 120 milionów rekordów). Aresztowanie odbyło się w Czechach. Jest też dostępny film z całej akcji – choć czytelnicy spodziewający się desantu z helikopterów, dziewczyn w bikini i policjantów ninja ;) raczej się zawiodą: O tym czy…

Cisco ogłosiło właśnie załatanie podatności klasy Buffer Overflow we flagowym produkcie ASA: Całość polega na wysłaniu odpowiednio spreparowanego pakietu NetBIOS: An attacker could exploit this vulnerability by sending a crafted NetBIOS packet in response to a NetBIOS probe sent by the ASA software. An exploit could allow the attacker to…

Dobra informacja, mamy wstępnie dograną salę i partnera we Wrocławiu. Sekurak Hacking Party planujemy na 13 stycznia 2017 (~18:00 – 20:30). Jeśli wstępnie chciałbyś się wybrać, wypełnij formularz: [wysija_form id=”7″] Uwaga – zapisy są wstępne (potrzebne do oszacowania wymagań pojemności sali). Finalne potwierdzenie zapisu zrobimy niedługo przed imprezą. Jak zwykle…

Pewnie spora liczba naszych czytelników jeszcze raczkowała, kiedy Mitnick był aresztowany za włamanie do Pentagonu: 1983.00.00 Mitnick arrested for gaining illegal access to the ARPAnet & Pentagon Sporo z Was zapewne pamięta też Czarnobyl…: 1986.00.00 Chaos Computer Club cracks German government computer that had info about Chernobyl A może trochę…