Gmail i Google+ – czyli opowieść o dwóch XSS-ach

30 kwietnia 2014, 11:03 | Teksty | 1 komentarz
Gmail i Google+ – czyli opowieść o dwóch XSS-ach

Poszukiwanie XSS-ów w ciasteczkach http jest równie uzasadnione, jak w parametrach GET czy POST. Na takie podatności szczególnie narażone są firmy, które korzystają z wielu subdomen do hostowania swoich stron, wówczas XSS z jednej domeny może być eskalowany do innej (potencjalnie o wyższej istotności). Takie poszukiwania to także świetna okazja do rozwinięcia swoich umiejętności.

Czytaj dalej »

Heartbleed – krytyczny błąd w OpenSSL

08 kwietnia 2014, 19:26 | Aktualności | 1 komentarz
Heartbleed – krytyczny błąd w OpenSSL

Wykryto krytyczny błąd w OpenSSL – jednej z najpopularniejszych bibliotek wykorzystywanych przy zestawianiu połączeń SSL/TLS. To kolejna podatność w infrastruktyrze SSL po choćby odkrytym w zeszłym roku Lucky Thirteen, niedawnym Applowym goto fail czy podobnych problemach w GnuTLS. Wracając do samego OpenSSL – sami autorzy biblioteki opisują problem dość lakonicznie.

Czytaj dalej »

Problemy z XXE (XML eXternal Entity)

28 marca 2014, 09:25 | Teksty | komentarzy 12
Problemy z XXE (XML eXternal Entity)

Podatności związane z XXE (XML eXternal Entity) ostatnimi czasy zdobywają coraz większą „popularność” w aplikacjach internetowych. Najczęściej wykorzystanie XXE jest sposobem na wykonanie ataku Path Traversal, czasem może jednak dawać większe możliwości. Przyjrzyjmy się tematowi z bliska.

Czytaj dalej »

Analiza kodu stron internetowych w Chrome DevTools (część 1. – wstęp)

26 marca 2014, 21:10 | Teksty | komentarzy 15
Analiza kodu stron internetowych w Chrome DevTools (część 1. – wstęp)

Analiza kodu stron internetowych może być koszmarem – mieszanina HTML/JS/CSS jest często plątaniną wielu bibliotek, kontekstów, zdarzeń oraz zmiennych, w których łatwo się pogubić. Zniechęca to nie tylko web developerów, ale również inżynierów bezpieczeństwa, do przeprowadzania szczegółowej inspekcji kodu, który zostaje zwracany przez serwer web aplikacji. Poznajmy kilka sztuczek, które ułatwią analizę elementów budujących współczesne strony internetowe.

Czytaj dalej »

SimCity 5 będzie OpenSource ?!?

20 marca 2014, 22:37 | Aktualności | komentarzy 8
SimCity 5 będzie OpenSource ?!?

Pod tym nieco przewrotnym tytułem prezentujemy interesujące odkrycie opisywane przez Netcraft. Otóż jeden z webserwerów EA został shackowany (zdalne wykonanie kodu na serwerze przez jedną z niezaktualizowanych aplikacji) a następnie przerobiony na serwer phishingowy pobierający m.in. dane kart kredytowych.

Czytaj dalej »