Aktualności

Draft dokumentu o modelowaniu zagrożeń dla szeroko rozumianej infrastruktury mobilnej (zarówno urządzenia końcowe jak i infrastruktura):   Można zgłaszać jeszcze swoje pomysły, uwagi na rozbudowę dokumentu. –ms

Na rozwal.to mamy dla Was konkurs z możliwością wygrania 1 wejścia na konferencję Secure 2016. Pierwsza osoba która rozwiąże wszystkie zadania (Kategoria Secure 2016), napisze nam maila sekurak@sekurak.pl razem z opisem rozwiązania ćwiczeń – otrzyma jedną wejściówkę na Secure 2016. Zadania przygotowali koledzy z Securitum.pl –ms

Jest duża szansa na organizację naszego hacking party w Poznaniu – 16 lub 20 lub 21 grudnia tego roku. W tym roku co dopiero impreza odbyła się w Sopocie, a w tym tygodniu jest Kraków (~320 osób, miejsca rozeszły się w kilka dni… ). Jak zwykle czytamy Wasze komentarze i…

O programowaniu najwięcej (jest też coś dla webdevów), kilka o bezpieczeństwie a na deser – IoT. –ms

Na dzisiejszym  spotkaniu – mimo deszczu i chłodu – dopisała frekwencja. Było nas około setki! Zadawaliście masę pytań i rozdałem w sumie 10 sekurakowych koszulek + jednego TP-Linka. Kolejna edycja w Krakowie – już w przyszłym tygodniu. Tu już zamknęliśmy zapisy (420 osób po kilku dniach) i szykuje się impreza…

Jak w poprzednich latach, również i teraz sekurakowa prezentacja ponownie zagości na konferencji Secure (modny ostatnio temat rozwałkowywania IoT). Wydarzenie zbliża się do nas wielkimi krokami, bo będzie ono już 25-26 października w Warszawie. W kuluarach będzie można dostać od nas t-shirty sekuraka i inne pakiety niebezpiecznych gadgetów. Pełną agendę, rozpisaną…

Chińczycy niecałe 2 miesiące temu opisali podatność w googlowym silniku JavaScript używanym choćby w komponencie WebView czy mobilnej wersji Chrome. Błąd umożliwia przejęcie kontroli nad telefonem.

Reuters donosi o specjalnym oprogramowaniu w Yahoo służącym do skanowania przychodzących e-maili. Całość na życzenie NSA lub FBI. Tego typu rzeczy oczywiście się dzieją, ale zastanawiający jest fakt, że wg Reutersa analizowana była (jest?) przychodząca poczta wszystkich użytkowników (a nie np. wybranej grupy). Proceder miał wg źródeł miejsce w wyniku…

Specjaliści z Cisco opublikowali informację o podatności w przeszło 10-letniej bibliotece OpenJPEG. Wystarczy otworzyć odpowiednio przygotowany obrazek: This particular vulnerability could allow an out-of-bound heap write to occur, resulting in heap corruption and lead to arbitrary code execution (…) Exploitation of this vulnerability is possible if a user were to open…

Jeśli jesteś (nie)szczęśliwym posiadaczem routera DWR-932 B LTE, powinieneś jak najszybciej pomyśleć nad alternatywą, niż czekać na aktualizację firmware. Chyba, że chcesz dołączyć swój domowy / firmowy styk z Internetem do botnetu. Dlaczego? Jak dowiódł Pierre Kim, DWR-932 B LTE, ma wiele luk oraz realizuje swoje funkcje wbrew podstawowym zasadom bezpieczeństwa, które powinny być…

Naukowcy z uniwersytetu Washington pokazali realną możliwość transmisji danych, używając zamiast komunikacji radiowej – ludzkiego ciała. W końcu trudniej przechwycić komunikację 'w ciele’ niż bezprzewodową, prawda?

O opublikowaniu kodu źródłowego doniósł Brian Krebs, ten sam który nie dawno ucierpiał w ~600Gbps ataku DDoS zainicjowanym właśnie przez botnet pracujący na IoT: Sources tell KrebsOnSecurity that Mirai is one of at least two malware families that are currently being used to quickly assemble very large IoT-based DDoS armies. Co więcej, już…

Ciekawy pomysł na walkę z fraudami na kartach kredytowych. Ktoś skopiował numer Twojej karty kredytowej – łącznie z CVC? Będzie on poprawny… maksymalnie do godziny. Dokładniej rzecz biorąc, co godzinę zmieniają się właśnie ostatnie 3 cyfry kodu CVC: Źródłowy artykuł mówi o bankach francuskich, które przygotowują już się do wdrożenia…

Ciekawy wpis dotyczący bugbounty, z przyznaną nagrodą $3 000. W ciekawy sposób można było odczytywać kod źródłowy plików .jsp (i innych), po prostu dodając znak %01 (start of heading jakby ktoś nie wiedział ;P) na koniec URL-a: https://www.victim.tld/password.jsp%01 Sprawdźcie lepiej czy Wasze application serwery nie pozwalają na taki 'ficzer’. –ms

Z racji, że jestem w Trójmieście z małym LAB-em, routerem TP-Linka do rozdania + paroma T-shirtami sekuraka, postanowiliśmy spróbować przygotować naszą imprezę z praktycznymi hack-pokazami w Sopocie.