Systemy Web Application Firewall (WAF) stały się integralną częścią infrastruktury znakomitej większości wykorzystywanych komercyjnie aplikacji internetowych. Pomysł na zbliżone podejście do problemu niebezpiecznych danych wejściowych, jak w przypadku niechcianych pakietów sieciowych, okazał się skuteczną ochroną przed typowymi klasami błędów trapiących aplikacje webowe.
Czytaj dalej »
W artykule opisany jest błąd bezpieczeństwa, który znalazłem na początku czerwca 2018 w aplikacji desktopowej Google Hangouts Chat. Jest przykładem na to, jak aplikacje napisane w Electronie mogą sprawić, by pewnie mniej istotne podatności (jak np. open redirect) stały się nagle poważnymi błędami w aplikacjach.
Czytaj dalej »
Dostępne jest już nowe wydanie znanej wszystkim pentesterom dystrybucji Linuksa – Kali. Nie mamy tutaj jakiś dramatycznych zmian – raczej to kolejne usprawnienia: lepsze wsparcie dla GPU AMD, obsługa ciekawej funkcji AMD Secure Encrypted Virtualisation – czyli uniemożliwienie głównej maszynie dostępu do pamięci maszyny guest, podniesienie wersji kilku popularnych narzędzi (np….
Czytaj dalej »
Niepoprawna autoryzacja, możliwość enumeracji użytkowników czy brak limitu na zapytania do API – to prosty przepis na wyciek i dokładnie tego typu problem przydarzył się firmie RSA. Trzeba wprawdzie przyznać, że aplikacja mobilna obsługująca konferencję RSA była zlecona do przygotowania zewnętrznej firmie – jednak faktem jest, że dane uczestników można…
Czytaj dalej »
W skrócie – w poniższym artykule chcę kompleksowo opisać podstawowe mechanizmy bezpieczeństwa, które powinny być świadomie zaimplementowane przez developerów w każdym projekcie webowym zrealizowanym w technologii .Net.
Czytaj dalej »
Checkpoint pokazuje jak przejąć inteligentny odkurzacz firmy LG (Hom-Bot robotic vacuum cleaner) – dostęp na żywo do feedu video z odkurzacza, ale także możliwość sterowania nim.
Czytaj dalej »
Wycieki kluczy, 20 realnych przykładów podatności w API (m.in. z UBER, Airbnb, Twitter, Facebook, Nissan, Github, Equifax, Cisco…), wykonywanie kodu na serwerze przez API, ćwiczenia online, masa praktyki… to kilka elementów z naszego nowego szkolenia o bezpieczeństwie API REST.
Czytaj dalej »
Tym razem wzięliśmy na warsztat kamerę Ganz Security – model ZN-M2F (cena to około 2500 zł). Udało nam się tam uzyskać uprawnienia root bez uwierzytelnienia.
Czytaj dalej »
Atak Path Traversal przeprowadza się w sytuacji, gdy podatna aplikacja pozwala na niekontrolowany dostęp do plików oraz katalogów, do których w normalnych warunkach użytkownik nie powinien mieć dostępu. Wektorem ataku są parametry przekazywane do aplikacji, reprezentujące ścieżki do zasobów, na których mają zostać wykonane określone operacje – odczyt, zapis, listowanie zawartości katalogu.
Czytaj dalej »
O klasie podatności Server-Side Template Injections (SSTI) zrobiło się głośno dopiero w ostatnim czasie. Bardzo niska świadomość deweloperów, połączona z popularnością różnego rodzaju silników szablonów (ang. Template Engines) – niezależnie od wybranego języka programowania – i fakt, że w większości przypadków rezultatem wykorzystania podatności jest wykonanie dowolnego kodu na maszynie ofiary (ang. RCE – Remote Code Execution), powoduje, że warto poznać zasady działania stojące za tym atakiem.
Czytaj dalej »
Powoli pracujemy nad książką sekuraka (taką papierową) – w modelu self-publishing. Na obecną chwilę mamy gotową około połowę zawartości. Wszystkie tematy które chcemy opisać podzieliliśmy na podstawowe i zaawansowane. Do książki wejdą tylko te pierwsze (a może kiedyś będzie i druga część? wtedy zajmiemy się drugą pulą). Jeśli ktoś z Was…
Czytaj dalej »
Mamy dla Was ostatnie 3 miejsca na szkolenie z bezpieczeństwa aplikacji webowych (10-12.05.2017, Warszawa). A całość z 33% rabatem (do szkolenia zostało parę dni, wystarczy w uwagach przy zapisie wpisać ’last minute’). Kurs jest wypełniony po brzegi ćwiczeniami – odczytywanie plików z serwera przez manipulację uploadowanymi plikami XML, kilka sposobów na wykonanie…
Czytaj dalej »
Ostatnio ten temat anonsowaliśmy na naszym FB, a teraz czas na efekty. Mamy dostępne nasze 3 dniowe, super praktyczne szkolenie otwarte prowadzone w Warszawie (łatwy dolot z każdego kraju w EU, łatwy dojazd z całej Polski). Jest to też jedno z niewielu globalnie szkoleń polecanych przez twórców Burp Suite –…
Czytaj dalej »
Co powiecie o takim UUID: 01f3cf39-fb6e-11e6-874a-4c72b97ca1e7 ? Czy jest on w pełni losowy, a może udałoby się coś powiedzieć do dacie jego stworzenia? A może wyciągnąć nawet więcej?
Czytaj dalej »
Mamy dla Was ostatnie 3 miejsca na szkolenie z bezpieczeństwa aplikacji webowych. A całość z 40% rabatem (do szkolenia zostało parę dni, wystarczy w uwagach przy zapisie wpisać 'last minute’). O tym praktycznym kursie pisaliśmy już kilka razy, a jest ono wypełnione po brzegi ćwiczeniami – można będzie w szczególności…
Czytaj dalej »