Sekurak - piszemy o bezpieczeństwie

W artykule przedstawiamy kilka podstawowych zasad, których stosowanie pozwala niskim kosztem zwiększyć ogólny poziom bezpieczeństwa aplikacji webowej.

Wykorzystanie Race Condition, to metoda ataku polegająca na wykonaniu zapytania w czasie krótszym niż trwa weryfikacja warunków danej akcji aplikacji, np. podczas wgrywania plików na serwer, czas między zapisaniem pliku na dysku a weryfikacją jego typu czy rozszerzenia, pozwala na wykonanie zapytania do zapisanego zasobu.

Scapy to program służący do manipulowania pakietami. Na sekuraku opisywany był już kilka razy. W tym tekście pokażę, jak wykorzystać go do komunikacji w sieci w standardzie 802.11.

Porządkując bibliotekę, namierzyłem ostatnio książkę: „Jak chronić się w Internecie? – nie tylko dla orłów”, rok polskiego wydania to… 1995r. Dalej w tekście kilka zrzutów ekranowych z tej lekko hackerskiej lektury ;-)

W tekście wyjaśniono ogólną zasadę działania generatorów liczb pseudolosowych na przykładzie algorytmu XorShift128+, używanego w implementacji funkcji Math.random() we wszystkich najpopularniejszych przeglądarkach. Następnie pokazano, w jaki sposób, używając do tego narzędzie Z3Prover, ustalić stan generatora, znając tylko trzy kolejne liczby zwrócone przez Math.random().

Znany i często spotykany atak typu cross-site-scripting polega na wstrzyknięciu złośliwego kodu HTML/javascript w treść strony. Najbardziej znanymi konsekwencjami tego ataku są: przejęcie sesji (poprzez wykradnięcie ciasteczek) oraz omijanie zabezpieczeń anty-CSRF. Jednak XSS-y dają nam znacznie więcej możliwości. W poniższym tekście zaprezentuję BeEF’a – narzędzie umożliwiające wykorzystanie tego typu błędów…

Kolejny trup znaleziony w szafie po hacku teamu NSA. Tym razem chodzi o możliwość wysłania nieuwierzytelnionych pakietów protokołu IKE (wykorzystywanego w IPsec) w celu uzyskania zrzutów pamięci z urządzenia Cisco PIX.

14 czerwca 2016r., znalazłem informację o nowym ransomware o nazwie RAA. Kilka serwisów związanych z bezpieczeństwem określiło go jako pierwsze tego rodzaju oprogramowanie napisane w całości w JavaScripcie, włącznie z algorytmem szyfrującym pliki na dysku komputera ofiary. Dzięki informacjom otrzymanym od @hasherezade, która na co dzień zajmuje się analizą złośliwego oprogramowania,…

Jak donosi Wired, blisko 100 milionów samochodów wyprodukowanych przez grupę Volkswagen ostatnie 20 lat może być otwarte bezprzewodowo w wyniku hacka.

TL;DR – zapraszamy na nasze 1-dniowe warsztaty na warszawskiej konferencji Security Case Study (13 września). Tym razem tematyka testowania bezpieczeństwa aplikacji webowych.

Projekt Sauron działa jedynie w pamięci (nie zostawia zatem śladów na HDD), wykorzystuje techniki przenoszenia siebie przez sieć lub ukryte partycje na USB, pierwszą infekcję datowano na 2011 rok, ale wykryta została dopiero niedawno… Cel: ambasady, instalacje wojskowe, branża finansowa / telekomunikacyjna, ośrodki badawcze. Co Wam to przypomina?

Wersja 48 Firefoksa w prowadza kilka ciekawych funkcji dotyczących bezpieczeństwa. Zobaczcie szczegóły.

AdGholas: zaatakowano 22 sieci reklamowe i serwowano malware m.in na 113 serwisach. Interia.pl newyorktimes.com topgear.com cnet.com last.fm msn.com – to tylko kilka znanych domen objętych procederem.

Interesujący 60-stronicowy poradnik zwiększający świadomość bezpieczeństwa IT w środowisku biznesowym. Do tego wydany w atrakcyjnej formie i bezpłatny. To w skrócie jeden z materiałów Dziennika Internautów, w którym nieco maczaliśmy ręce :)

W ostatnim odcinku braliśmy na warsztat 2 modele TP-Link Archer – był tam nieuwierzytelniony root. Tym razem temat trochę trudniejszy do wykrycia ale na pewno przydatny dla badaczy bezpieczeństwa TP-Linków.