Nieco eksperymentalnie uruchomiliśmy nasze topowe szkolenie z bezpieczeństwa aplikacji WWW w wersji zdalnej. Kurs prowadzi Michał Bentkowski. W kontekście jego researchu ostatnio pisał zachodni Forbes; parę miesięcy temu, na What The Hacku, jego prezentacja otrzymała 1 miejsce w ankietach uczestników (wszystkich prelekcji było około 100 – wiec konkurencja zażarta ;-) Jeśli…
Czytaj dalej »
Kto jeszcze nie słyszał o MEGA sekurak hacking party – zachęcamy do zapisania się. Startujemy 16 marca 2020 w Krakowie. Przypominamy, że można też zakupić bilet z naszą książką (z odbiorem na konferencji), a będzie ją można również kupić + odebrać na miejscu (a wcześniej niezobowiązująco przejrzeć). Jeśli ktoś jest…
Czytaj dalej »
W dzisiejszym odcinku #vulnz, mamy coś nieco bardziej skomplikowanego. Pewnie w wielu z Was kojarzy funkcję loguj się z wykorzystaniem Facebooka: Instagram, Netflix, Spotify czy rodzimy Wykop – to tylko kilka przykładów. Jak to działa? Na początek musimy jednorazowo potwierdzić, że chcemy korzystać z tej funkcji (jesteśmy przekierowani z danego serwisu…
Czytaj dalej »
Pamiętacie KRACK? (podatni byli klienci WiFi – np. laptopy, telefony, urządzenia IoT; całość polegała na tym, że wartość nonce – sprzecznie z definicją – można było używać nie-tylko-raz. Prowadziło to do możliwości deszyfracji ruchu WiFI). Problem załatano (patche po stronie klienckiej, zazwyczaj patche po stronie routerów WiFi nie były potrzebne…
Czytaj dalej »
Kilka miesięcy temu zgłosiłem błąd bezpieczeństwa w Firefoksie związany z przetwarzaniem CSS-ów, który dostał identyfikator CVE-2019-17016. W trakcie pracy nad tym błędem, udało mi się wymyślić nową technikę eksfiltracji danych w Firefoksie przez jeden punkt wstrzyknięcia, którym podzielę się w tym poście.
Czytaj dalej »
Dzisiaj mała rzecz – a cieszy może czasem doprowadzić do poważnych problemów. Zapewne każdy z nas wielokrotnie korzystał z mechanizmu przypominania hasła – wpisujemy tam login lub e-mail i oczekujemy na wiadomość linkiem umożliwiającym reset hasła. Oczywiście link posiada tzw. token (odpowiednio długi losowy ciąg znaków) potwierdzający, że mogę zmienić…
Czytaj dalej »
Proponujemy Wam taki eksperymentalny projekt: Kupujecie naszą książkę (jeśli ktoś już ma – może przejść do punktu 2 ;). Potwierdzenie zakupu macie na fakturze, która jest generowana automatycznie. Wstępnie zapisujecie się na event poniżej & czekacie na dalsze info. Cały cykl szkoleniowy jest bezpłatny. Uwaga, na razie prosimy o przesłanie…
Czytaj dalej »
Cześć. Rozumiem, że trafiłeś na ten mini kurs ponieważ chcesz rozpocząć swoją przygodę z MIPS’em w kontekście bezpieczeństwa, poznać assembly i zagłębić się w proces reverse engineeringu różnych aplikacji opartych o tą właśnie architekturę. No i super, w takim razie czeka Cię trochę wiedzy do przyswojenia i masa ciekawych, nowych…
Czytaj dalej »
Dzisiaj będzie krótko i długo ;) a cały wpis to kolejny odcinek naszej serii vulnz (codziennie na sekuraku coś ciekawego w temacie podatności). Żeby nie trzymać Was dłużej: tutaj do pobrania w PDF cały rozdział o podatności XSS (Cross-Site Scripting) z naszej sekurakowej książki.
Czytaj dalej »
W konkursie wzięły udział 94 osoby, które przesłały blisko 150 zdjęć. Mieliśmy trudny orzech do zgryzienia, bo każde z przesłanych zdjęć było na swój sposób intrygujące, a nagród miało być tylko 15… Uznaliśmy, że nagrodzimy więcej autorów zdjęć, zwiększając pulę nagród za 3 miejsce. Zacznijmy jednak od przesłanych przez Was…
Czytaj dalej »
W zeszłym roku zorganizowaliśmy całodniowe wydarzenie związane z bezpieczeństwem (pojawiło się aż 1300 osób!). Krótka relacja filmowa tutaj, dłuższa – w tym miejscu; Po archiwalne prezentacje można sięgnąć tutaj. Cały event podsumował trafnie jeden z uczestników: Merytorycznie, widowiskowo, bez sztampy Kolejna, całodniowa edycja MEGA sekurak hacking party, odbywa się 16 marca 2020 roku w Krakowie. Podobnie jak w poprzednim…
Czytaj dalej »
Zaczęło się od niepotwierdzonych przez Microsoft informacji (CVE-2020-0601), mówiących o błędzie w microsoftowym CryptoAPI: the vulnerability in question resides in a Windows component known as crypt32.dll, a Windows module that Microsoft says handles “certificate and cryptographic messaging functions in the CryptoAPI.” W tym samym poście możemy też poczytać, że podatność zgłosiło amerykańskie…
Czytaj dalej »
Na początek kod rabatowy -6%: swieta-2019 Naszą książkę o bezpieczeństwie aplikacji webowych można zamówić tutaj. Więcej informacji o samej książce – tutaj (od października sprzedaliśmy ~8000 egzemplarzy). Kilka wrażeń czytelników na gorąco: Przyszła wczoraj. Trzy rozdziały pochłonąłem na raz. Świetna treść (dla nowych jak i zaawansowanych w tematyce websec), bardzo…
Czytaj dalej »
Otrzymaliśmy właśnie 300 wydrukowanych naszych książek o bezpieczeństwie aplikacji www (kolejne 5k jedzie dzisiaj do centrum dystrybucyjnego). Tutaj proszę kod BlackFriday: -12% (działa do poniedziałku 2.12.2019!): sekurak1410 Wrażenia odnośnie samej książki? Zobaczcie kilka świeżych zdjęć, nieco niżej opis. Druk jest w kolorze, a Krzysiek który składał nam książkę bardzo słusznie…
Czytaj dalej »
W tym tekście opisuję XSS, który znalazłem w sierpniu 2019 w usłudze AMP4Email udostępnianej przez Google od jakiegoś czasu w GMailu. Ten XSS jest ciekawym przykładem wykorzystania techniki znanej jako Dom Clobbering
Czytaj dalej »