Shodan, czyli Google dla urządzeń sieciowych

18 lutego 2013, 08:29 | Narzędzia | 0 komentarzy
Shodan, czyli Google dla urządzeń sieciowych

Shodan to bardzo interesujący projekt zapoczątkowany przez Johna Matherly’ego, w ramach którego powstała nietypowa wyszukiwarka. W przeciwieństwie do zwykłych wyszukiwarek treści internetowych, takich jak Google, Shodan pozwala na wyszukiwanie komputerów, rozmaitych urządzeń sieciowych, a nawet pracujących na nich specyficznych wersji oprogramowania. Brzmi jak opis świetnego narzędzia dla pentesterów oraz wszystkich zainteresowanych tematyką bezpieczeństwa informatycznego?

Czytaj dalej »

Zhackowany Facebook – tym razem to nie ćwiczenia

16 lutego 2013, 09:24 | Aktualności | 0 komentarzy
Zhackowany Facebook – tym razem to nie ćwiczenia

Niedawno informowaliśmy o udanym ataku na Twittera, w wyniku którego intruzom udało się uzyskać dostęp do prywatnych danych należących do około 250 tysięcy jego użytkowników. Jak się właśnie okazało, ofiarą bardzo podobnego ataku padł również Facebook. Internetowy gigant uspokaja jednak, że prawdopodobnie żadne dane użytkowników nie zostały wykradzione. Czy możemy…

Czytaj dalej »

Crackowanie VPN na kartach graficznych

15 lutego 2013, 14:30 | Narzędzia | 1 komentarz
Crackowanie VPN na kartach graficznych

Jednym z niewielu narzędzi mogących pomóc w testach penetracyjnych systemów VPN, opartych o IPsec, jest ike-scan. Wśród wielu różnych możliwości oferowanych przez to narzędzie jest też możliwość wykorzystania problemów bezpieczeństwa przy łączeniu się z serwerem VPN w tzw. trybie agresywnym (Aggressive Mode). W przeciwieństwie do trybu głównego (Main Mode) ma on pewne słabości…

Czytaj dalej »

Jak się bronić przed zero-day w Adobe?

14 lutego 2013, 20:30 | Aktualności | 0 komentarzy
Jak się bronić przed zero-day w Adobe?

Wczoraj, jako pierwszy polski serwis, ostrzegaliśmy przed nową luką zero-day w oprogramowaniu Adobe. Dziś, jako że znane są kolejne szczegóły w tej sprawie, podpowiadamy, w jaki sposób można się przed zagrożeniem zabezpieczyć, oraz przedstawiamy nowe informacje na temat krążącego w sieci exploitu.

Czytaj dalej »

Szyfrowanie poczty w Outlook

14 lutego 2013, 14:15 | Teksty | 0 komentarzy
Szyfrowanie poczty w Outlook

Poczta elektroniczna jest niezmiernie wygodnym i popularnym sposobem komunikacji. Nagminnie jednak w e-mailach przesyłane są tak poufne informacje jak hasła dostępowe do systemów, dokumentacje projektowe, szczegółowe dane osobowe klientów i inne istotne informacje (np. listy płac), do których dostęp powinny mieć tylko uprawnione osoby. Informacje te często nie są w żaden sposób chronione – w odpowiednich warunkach mogą być przechwytywane, a następnie odczytywane przez osoby postronne.
Jednym z popularnych, a zarazem relatywnie prostych sposobów na zapewnienie poufności e-maili, jest szyfrowanie wiadomości.

Czytaj dalej »

Recon-ng, czyli kombajn do zbierania informacji

13 lutego 2013, 07:21 | Narzędzia | komentarze 2
Recon-ng, czyli kombajn do zbierania informacji

Przeprowadzając testy penetracyjne, możemy skorzystać z Metasploita. Przygotowując testy socjotechniczne, powinniśmy zapoznać się z Social Engineer Toolkit. Jednak każde z tego typu działań rozpoczynamy zazwyczaj od rekonesansu. Warto więc wiedzieć, że dostępny jest bardzo interesujący i wszechstronny kombajn automatyzujący zbieranie i wykorzystywanie rozmaitych informacji dostępnych w zakamarkach Sieci. Recon-ng. Przyjrzyjmy mu się dokładniej.

Czytaj dalej »

Keepass – system zarządzania hasłami

12 lutego 2013, 12:19 | Narzędzia | komentarzy 7
Keepass – system zarządzania hasłami

Keepass jest programem, który bardzo ułatwia zarządzanie hasłami statycznymi. Wykorzystując go na co dzień, znacznie zwiększymy bezpieczeństwo naszych kont i uprościmy proces uwierzytelniania (zarówno na komputerze, telefonie, jak i tablecie).
Keepass ma wiele odmian, przystosowanych do wielu systemów operacyjnych i architektur. Zapraszam do bliższego poznania tego programu.

Czytaj dalej »

Trenowanie testów penetracyjnych na żywych systemach

11 lutego 2013, 15:02 | Narzędzia | komentarzy 8
Trenowanie testów penetracyjnych na żywych systemach

W dzisiejszym tekście z cyklu „Narzędzia” zajmiemy się… workami treningowymi. Nie będę oczywiście rozwodził się nad przyborami wykorzystywanymi przez miłośników sportów walki, zamiast tego zajmiemy się systemami stworzonymi specjalnie z myślą o praktycznym trenowaniu testów penetracyjnych. Zapraszam do krótkiego przeglądu rozwiązań, które pozwolą na wygodne i bezpieczne stawianie pierwszych kroków w testach penetracyjnych.

Czytaj dalej »

Lucky thirteen – nowy typ ataku na SSL / TLS. Nie panikuj?

08 lutego 2013, 16:44 | Aktualności | 1 komentarz
Lucky thirteen – nowy typ ataku na SSL / TLS. Nie panikuj?

Protokół SSL czy nowszy TLS to zestawy protokołów będących podstawą bezpieczeństwa w Internecie. Łączysz się do swojego banku z wykorzystaniem https? Używasz zatem jednego z tych protokołów. Kilka dni temu pokazano słabości tych protokołów umożliwiające rozszyfrowanie ruchu chronionego TLS (wszystkie wersje tego protokołu). Brzmi groźnie? Zobaczmy.

Czytaj dalej »

SIP of death

08 lutego 2013, 07:45 | Aktualności | komentarze 2
SIP of death

Kristian Kielhofer zaprezentował niedawno na swej stronie bardzo interesujący sposób na „zabicie” niektórych kart sieciowych Intela. Okazuje się, że w przypadku poddania podatnych adapterów działaniu odpowiednio przygotowanych pakietów, praca kontrolera zostaje całkowicie sparaliżowana. Zazwyczaj nie pomaga nawet restart całego systemu. Kristian zauważył niepokojące zachowanie (całkowita odmowa dalszej pracy, aż do…

Czytaj dalej »

W poszukiwaniu zaginionych (meta)danych

07 lutego 2013, 11:18 | Narzędzia | komentarze 2
W poszukiwaniu zaginionych (meta)danych

Aplikacja FOCA to pewnego rodzaju ‚kombajn’ ułatwiający analizę metadanych, które być może nieświadomie umieszczamy w Sieci. Tego typu narzędzia mogą wprawdzie służyć intruzom, ale równie dobrze sprawdzą się w roli strażników naszego bezpieczeństwa. Warto więc z nich skorzystać, zanim ktoś inny zrobi to przed nami w złej wierze! Tym bardziej, że w całym programie zarządzania bezpieczeństwem informacji często pominięty zostaje temat metadanych…

Czytaj dalej »

D-Link, Linksys, Netgear… wszędzie dziury

06 lutego 2013, 20:40 | Aktualności | komentarze 2
D-Link, Linksys, Netgear… wszędzie dziury

Serwis s3cur1ty.de rozpoczął akcję „home-network-horror-days”. W ciągu 2 tygodni publikowane będą nowo znalezione błędy w urządzeniach sieciowych klasy domowej. Na początek polecamy prześledzenie możliwości uzyskania zdalnego root-a (bez uwierzytelnienia) na routerach D-Link: DIR-600 oraz DIR-300 (producent nie wypuścił jeszcze aktualizacji…).

Czytaj dalej »