Nagłówki HTTP, URL, URI, żądania, odpowiedzi, kodowanie procentowe, formularze HTML, parametry przesyłane protokołem HTTP, różne implementacje serwerów HTTP skutkujące problemami bezpieczeństwa – to tylko kilka elementów, którymi zajmę się w tym tekście.
Czytaj dalej »
Szczegóły tutaj: Google is aware of reports that an exploit for CVE-2019-5786 exists in the wild. Można przejąć konto użytkownika, który korzysta z niezaktualizowanej przeglądarki (prawdopodobnie wystarczy wejść na spreparowaną stronę – w systemie operacyjnym wykona się kod z naszymi uprawnieniami). Podatne są wersje Chrome na Windows, Linux, OS X…
Czytaj dalej »
WooCommerce z 22% światowego rynku e-commerce (pod względem liczby „dostarczanych” sklepów) – brzmi nieźle: WooCommerce is a free eCommerce plugin that allows you to sell anything, beautifully. Built to integrate seamlessly with WordPress, WooCommerce is the world’s favorite eCommerce solution that gives both store owners and developers complete control. W…
Czytaj dalej »
Tym przewrotnym tytułem nawiązuję do panującego od wielu lat mitu, pojawiającego się również w rozmaitych reklamach: masz certyfikat SSL, a twój serwis ma kłódkę przy adresie – jesteś bezpieczny!!! Co ciekawe, bardzo dużo serwisów z których wykradano hasła, właśnie miało HTTPS i kłódkę – po prostu napastnicy wykorzystywali odpowiednią podatność…
Czytaj dalej »
Bardzo często spotykamy się z pytaniem, od czego zacząć naukę technicznego bezpieczeństwa IT? Na samym sekuraku mamy: Teksty i Narzędzia – mamy tutaj około 300 autorskich tekstów…
Czytaj dalej »
Trzecia część serii o rekonesansie infrastruktury IT. Poznajemy takie narzędzia jak crt.sh, VirusTotal czy RiskIQ.
Czytaj dalej »
Zagadnienie rozszerzania możliwości skanera Nmap dzięki NSE było na łamach Sekuraka poruszane już wielokrotnie. Dzisiaj przyjrzymy się bliżej skryptom z kategorii brute, które służą do łamania haseł metodą słownikową.
Czytaj dalej »
Pierwsza części serii poruszała temat wykorzystania wyszukiwarek internetowych jako źródła informacji we wstępnej fazie rekonesansu. Druga część również będzie traktować o wyszukiwarkach, ale takich, które zostały stworzone do testów bezpieczeństwa.
Czytaj dalej »
Podstawą testów bezpieczeństwa aplikacji webowej czy infrastruktury jest rekonesans, a więc zebranie wszystkich subdomen, adresów IP i innych ogólnodostępnych informacji. Jednym z najprostszych narzędzi, które możemy do tego wykorzystać jest wyszukiwarka Google.
Czytaj dalej »
Nmap to najbardziej popularny, darmowy skaner bezpieczeństwa, którego autorem jest Gordon Lyon (a.k.a. Fyodor Vaskovich). Pierwsza wersja Nmapa została opublikowana 1. października 1997 roku w internetowym magazynie Phrack. W momencie pisania tego tekstu najnowszą wersją Nmapa jest 7.70. Wersja ta jest wyposażona w 588 skryptów NSE (Nmap Scripting Engine), które…
Czytaj dalej »
W skrócie – w poniższym artykule chcę kompleksowo opisać podstawowe mechanizmy bezpieczeństwa, które powinny być świadomie zaimplementowane przez developerów w każdym projekcie webowym zrealizowanym w technologii .Net.
Czytaj dalej »
W tym roku będzie nas nieco mniej na konferencjach (trzeba kiedyś odpocząć), ale jednym z wyjątków jest Semafor, na którym byliśmy z sekurakową załogą już wiele razy. Tego roku na Semaforze opowiem o bezpieczeństwie API REST, a prezentacja zorganizowana zostanie dookoła ~20 różnych przypadków podatności z życia wziętych: infrastruktura Cisco,…
Czytaj dalej »
To nie fejk, ale autentyczny konkurs zorganizowany dookoła przechowywania dowolnych danych w DNA. Zawody wystartowały w 2015 roku (kto pamięta ile wtedy kosztował BTC? :) W każdym razie raptem parę dni przed zakończeniem konkursu, udało się go rozwiązać: Wuyts was able to convert the DNA sequence into plain text, revealing…
Czytaj dalej »
Na razie wiadomo że hack był i nie chodzi raczej o „niewinny” ransomware czy „zawirusowanie” jednego komputera. Co wiemy? Na pewno to, że nie wiadomo jak daleko zaszedł atak, co jest… nienajlepszą informacją: It’s far too early to say how big the attack is. We are working to acquire knowledge…
Czytaj dalej »
Jakiś czas temu w sieci mogliśmy szerzej usłyszeć o mniej znanym mechanizmie „DDE”. Wykorzystanie „Dynamic Data Exchange” pozwala na stworzenie „formuły”, która umożliwi komunikację, np. z innymi aplikacjami, tak, abyśmy mogli np. aktualizować informacje dostępne w sieci (w naszym skoroszycie) lub innym arkuszu. W prawie każdej aplikacji pakietu Office możemy…
Czytaj dalej »