Ciekawy wpis dotyczący bugbounty, z przyznaną nagrodą $3 000. W ciekawy sposób można było odczytywać kod źródłowy plików .jsp (i innych), po prostu dodając znak %01 (start of heading jakby ktoś nie wiedział ;P) na koniec URL-a: https://www.victim.tld/password.jsp%01 Sprawdźcie lepiej czy Wasze application serwery nie pozwalają na taki 'ficzer’. –ms
Czytaj dalej »
Z racji, że jestem w Trójmieście z małym LAB-em, routerem TP-Linka do rozdania + paroma T-shirtami sekuraka, postanowiliśmy spróbować przygotować naszą imprezę z praktycznymi hack-pokazami w Sopocie.
Czytaj dalej »
Całkiem okrągła kwota – ciekawe czy zgarnie ją cytowany ostatnio przez nas jailbreakowiec? Przy okazji na stronach Zerodium można sprawdzić nowe ceny oferowane za bugi: –ms
Czytaj dalej »
Jak to mawiają – z deszczu pod rynnę. OpenSSL łatając 22 września kilka błędów, opisywanych również przez nas (możliwość realizacji DoS-ów), wprowadził nową podatność – oznaczoną jako Critical.
Czytaj dalej »
W lekkie panice załatano właśnie błąd w systemd, jeden z najistotniejszych składników wielu Linuksów, posiadający PID=1. Wg autora znaleziska, z dowolnego użytkownika wystarczy wpisać: NOTIFY_SOCKET=/run/systemd/notify systemd-notify „” system przestaje być stabilny, niektórzy raportują też problemy z rebootem: After running this command, PID 1 is hung in the pause system call….
Czytaj dalej »
Jak dotąd, w pierwszej połowie 2016 roku ujawniono 974 przypadki naruszenia bezpieczeństwa danych, co doprowadziło do kradzieży (lub utraty) 554 milionów rekordów danych. Jeśli rozbijemy tę statystykę na mniejsze przedziały czasu, to: 3.04 miliona rekordów kompromitowanych było każdego dnia, 126,936 rekordów, co godzinę, 2,116 rekordów, co minutę, 35 rekordów, co…
Czytaj dalej »
Ostatnio opisywaliśmy problem z drukarkami HP, które 13 września odmówiły druku na alternatywnych tuszach. Wszystko dzięki wcześniejszemu, sprytnemu wgraniu… odpowiedniej aktualizacji firmware. Do akcji włączyła się organizacja EFF, która pisze do szefa HP używając dość mocnych tez: HP abused its security update mechanism to trick its customers. (…) HP’s time-delayed anti-feature…
Czytaj dalej »
Niedawno założyciel OVH – Octave Klaba, informował o DDoSie wymierzonym w infrastrukturę tej firmy. Atak miał „wagę” prawie 800Gbit/s – więcej niż ostatnia akcja wymierzona w Briana Krebsa. Klaba napisał również, że źródłem ataku był botnet złożony z niemal 150 000 shackowanych kamer i urządzeń DVR, którego maksymalną moc oszacował na…
Czytaj dalej »
Zapisy na październikowe Sekurak Hacking Party, wstęp wolny, hacking gwarantowany ;-)
Czytaj dalej »
Dla nielubiących marn^H^H^H^H spędzania czasu przez TV – dwie ciekawe listy programów bug bounty na początek: hackerone i bugcrowd. –ms
Czytaj dalej »
Sprzedaż certyfikatu SSL dla domeny github.com zwykłemu studentowi, dorzucanie bez weryfikacji różnych domen do certyfikatów, fałszowanie dat wydania certyfikatów – to tylko kilka zarzutów stawianych przez Mozillę chińskiemu root CA WoSign. Wszystkie 14 zarzutów znajduje się tutaj, a rozbudowana wersja opisu – tutaj. Z dużym prawdopodobieństwem, nowe certyfikaty wydane przez WoSing…
Czytaj dalej »
Zapraszamy na kolejne spotkanie dla administratorów sieciowych i systemowych – SysOps / DevOps Polska MeetUp, które odbędzie się w czwartek, 29 września o godz. 18:00 w sali konferencyjnej na 7. piętrze w budynku AVIVA (Gdański Business Center, budynek C, ul. Inflancka 4b), w Warszawie. Podczas najbliższego eventu będziemy mieli okazję…
Czytaj dalej »
Jeden klik i mam odpalony system (korzystając z gotowych obrazów: Linux, FreeDOS czy Windows 98). Można też lokalnie podłączyć obraz CD, dysku czy dyskietki. Na zachętę: FreeDOS jest z preinstalowaną paczką mini gier. Space Invaders poniżej: Dla bardziej nowoczesnych – Windows 98 :) –ms
Czytaj dalej »
No więc wykrakaliśmy, Krebs wraca w chwale: najpierw masywny DDoS, później odmówienie darmowej ochrony przez Akamai teraz przyjęcie przez Google Shield – projekt który daje darmową ochronę anty-DDoS dla dziennikarzy. Całą historię z DDoSem można poczytać już na oryginalnej domenie (wcześniej linkowaliśmy cache Google-a): tutaj i tutaj. Po takiej globalnej…
Czytaj dalej »
Projekt skanujący podatne serwery VPN – chodzi o niedawno wykrytą podatność umożliwiającą nieuwierzytelniony odczyt wrażliwych informacji z pamięci na urządzeniach Cisco. W pierwszym linku znajdziecie też wizualizacje jak ta poniżej, czy możliwość zamówienia bezpłatnego raportu o własnej sieci. –ms
Czytaj dalej »
