Sekurak - piszemy o bezpieczeństwie

Deserializacja danych z niezaufanych źródeł zawsze może prowadzić do problemów z bezpieczeństwem. W przypadku PHP, może być furtką do praktycznie każdej podatności webowej (SQL Injection, XSS, Path Traversal, Remote Code Execution itp.). W tekście pokażemy rzeczywistą podatność tego typu w Joomli, w której Object Injection prowadziło do usuwania dowolnych katalogów na dysku.

Nie tak dawno firma złożona z niewielkiego zespołu – Draios – ogłosiła wydanie narzędzia open source, które nazwała sysdig. Pozwala ono na przechwytywanie, zapisywanie, filtrowanie oraz analizę aktywności różnych procesów w systemie Linux. Jak sami autorzy wspominają, łączy ono w sobie takie narzędzia jak strace, tcpdump oraz lsof.

Ten artykuł stanowi rozwinięcie poprzedniego tekstu o XML eXternal Entities (XXE). Przedstawiłem w nim prosty przykład na to, jak parsowanie plików XML może prowadzić do czytania dowolnego pliku z dysku atakowanej maszyny.

Kolejna dawka tekstów z naszego archiwum.

Badacze z uniwersytetu Cambridge opublikowali pracę pokazującą z dość dużą dokładnością jak wykonać transakcję finansową (np. wypłata z bankomatu) sklonowaną kartą chipową. Klonowanie zostało tutaj zdefiniowane jako wykonanie operacji nierozróżnialnej po stronie banku (np. na podstawie logów) z operacją wykonaną kartą oryginalną.

Przy okazji wątku o książce RTFM, część z Was zasugerowała zorganizowania możliwości zakupu książek anglojęzycznych u nas. Dzisiaj przyszła do nas pierwsza partia książek – można zamawiać!

Celowo dodany backdoor jest najczęściej stosowanym przez włamywaczy sposobem na pozostawienie sobie możliwości powrotu do skompromitowanej aplikacji sieciowej. Jego podstawową cechą powinna być niewykrywalność, więc kluczową rolę przy jego używaniu odgrywa pomysłowość w „zaciemnieniu” kodu w taki sposób, by na pierwszy rzut oka nie wzbudzał żadnych podejrzeń co do swojego przeznaczenia.

Specjaliści z firmy IOActive wykonali ciekawe badania bezpieczeństwa bezprzewodowej komunikacji pomiędzy sensorami natężenia ruchu a skojarzonymi z nimi access pointami, które dalej przekazują dane do centrów sterowania ruchem ulicznym. Okazuje się że komunikacja ta…w zasadzie nie jest w żaden sposób zabezpieczona.

Poszukiwanie XSS-ów w ciasteczkach http jest równie uzasadnione, jak w parametrach GET czy POST. Na takie podatności szczególnie narażone są firmy, które korzystają z wielu subdomen do hostowania swoich stron, wówczas XSS z jednej domeny może być eskalowany do innej (potencjalnie o wyższej istotności). Takie poszukiwania to także świetna okazja do rozwinięcia swoich umiejętności.

Golismero to framework służący do przeprowadzania testów penetracyjnych, napisany w Pythonie. Jest też doskonałym przykładem możliwości, jakie daje użycie Pythona w tego typu oprogramowaniu.

Po krótkim wstępie do narzędzi wspomagających analizę stron internetowych, nadszedł czas na trochę praktyki. Poznajmy kilka tricków, które uprzyjemnią pracę z Chrome DevTools i pozwolą zaoszczędzić nam trochę czasu podczas testowania bezpieczeństwa web–aplikacji. Zacznijmy od panelu Network.

Pod koniec kwietnia rusza konkurs CTF (po naszemu: hackme), organizowany przez polską grupę Dragon Sector.

Wykryto krytyczny błąd w OpenSSL – jednej z najpopularniejszych bibliotek wykorzystywanych przy zestawianiu połączeń SSL/TLS. To kolejna podatność w infrastruktyrze SSL po choćby odkrytym w zeszłym roku Lucky Thirteen, niedawnym Applowym goto fail czy podobnych problemach w GnuTLS. Wracając do samego OpenSSL – sami autorzy biblioteki opisują problem dość lakonicznie.

XSS jest jednym z najczęściej opisywanych błędów bezpieczeństwa aplikacji internetowych. Na Sekuraku podatność miała już swój artykuł, było też kilka tekstów o XSS-ach w Google’u, a nawet o wykorzystaniu ich do ataku DDoS. Dzisiaj ciekawy przypadek, nieoczywistego błędu XSS.

Ruszamy z nowym hackme, w którym nagrodą jest bezpłatny udział w konferencji Honeynet Workshop, o której pisaliśmy już wcześniej.