Dlaczego hackowanie aplikacji webowych jest proste? Zapisz się na darmowe szkolenie od sekuraka.

Aktualności

Ubiquiti rozsyła informację o włamaniu. „Zmieńcie hasła”

11 stycznia 2021, 23:15 | W biegu | komentarze 3
Ubiquiti rozsyła informację o włamaniu. „Zmieńcie hasła”

Informacji nie mamy zbyt wiele, choć dookoła tematu widać spore poruszenie. Stąd też publikujemy informację, którą rozsyła Ubiquiti do swoich klientów. W skrócie – „zlokalizowaliśmy pewne naruszenie bezpieczeństwa, choć nie mamy pewności że dotknęło ono dane naszych użytkowników. Dla pewności jednak prosimy o zmianę hasła oraz idealnie skonfigurowanie 2FA (dotyczy…

Czytaj dalej »

Można było tworzyć posty na dowolnej stronie facebookowej (bez posiadania uprawnień). Bug warty w sumie ~100 000 PLN

11 stycznia 2021, 15:32 | W biegu | komentarze 2
Można było tworzyć posty na dowolnej stronie facebookowej (bez posiadania uprawnień). Bug warty w sumie ~100 000 PLN

Podatność została załatana w listopadzie 2020r. a sprowadzała się do braku sprawdzenia uprawnień przez Facebooka. W ramach przykładu, badacz pokazał jak można by stworzyć „lewy” wpis na oficjalnej stronie Facebooka informujący że Facebook zwraca na konto podwojoną kwotę wpłaconą do nich w Bitcoinach: Jak można było to zrobić? Wystarczyło przygotować…

Czytaj dalej »

Z jakich Twoich danych może korzystać Whatsapp/Messenger/iMessage/Signal/Telegram?

11 stycznia 2021, 13:57 | W biegu | komentarzy 11
Z jakich Twoich danych może korzystać Whatsapp/Messenger/iMessage/Signal/Telegram?

Ciekawe podsumowanie przygotowane przez Forbesa. Niedawno Apple wprowadził tzw. privacy labels. Tj. można sprawdzić jak dana aplikacja podchodzi do prywatności – w sensie z jakich danych potencjalnie może korzystać oraz do czego konkretne dane mogą być wykorzystane. Co ciekawe można sprawdzić aplikację jeszcze przed jej instalacją (informacje te dostępne są…

Czytaj dalej »

Ciekawa podatność w implementacji JWT [InfluxDB]. Podajesz pusty sekret i… dostajesz się na dowolnego usera

09 stycznia 2021, 18:22 | W biegu | 0 komentarzy
Ciekawa podatność w implementacji JWT [InfluxDB]. Podajesz pusty sekret i… dostajesz się na dowolnego usera

Ciekawostka dla łowców interesujących bugów :-) Mieliśmy już różne warianty definicji algorytmy podpisów w JWT (none, NonE). Widzieliśmy również całkowite usunięcie sekcji podpisu. Teraz jeszcze coś innego: We can authorize by any user. For that we can use jwt token with empty shared_secret. Czyli w tokenie JWT podajemy puste hasło…

Czytaj dalej »

Prosty trick i możesz tworzyć niemal dowolne kody QR

09 stycznia 2021, 16:37 | W biegu | komentarze 4
Prosty trick i możesz tworzyć niemal dowolne kody QR

Jeśli chcesz od razu przejść do edytora własnych QR kodów – zerknij tutaj: https://my-qr.art/ (tak stworzony QR kod przekierowuje finalnie do wskazanego przez Ciebie URL-a). Tutaj np. QR kod kierujący do sekuraka (poprzez redirect na my-qr.art): W tym miejscu z kolei zerknijcie na teorię całego procesu (nie taka znowu prosta…

Czytaj dalej »

Gigabajty kodów źródłowych Nissana wyciekły. Wg doniesień repozytorium było zabezpieczone za pomocą admin/admin

07 stycznia 2021, 12:05 | W biegu | 0 komentarzy
Gigabajty kodów źródłowych Nissana wyciekły. Wg doniesień repozytorium było zabezpieczone za pomocą admin/admin

O temacie donosi ZDNet. Repozytorium wygląda na naprawdę bogate: I zawiera kody źródłowe takich m.in systemów: the Dealer Business Systems / Dealer Portal Nissan internal core mobile library Nissan/Infiniti NCAR/ICAR services client acquisition and retention tools sale / market research tools + data various marketing tools the vehicle logistics portal…

Czytaj dalej »

Tłum szturmuje amerykański Kapitol. Na miejscu komputer z zalogowanym użytkownikiem / otwartą pocztą

06 stycznia 2021, 23:19 | W biegu | komentarzy 6
Tłum szturmuje amerykański Kapitol. Na miejscu komputer z zalogowanym użytkownikiem / otwartą pocztą

Napięcie polityczne w USA – za sprawą ostatnich wyborów prezydenckich – sięga zenitu. W zasadzie przed chwilą doszło do szturmu tłumu na amerykański Kapitol, gdzie włamano się m.in. do gabinetu demokratycznej polityk Nancy Pelosi. Co to ma wspólnego z bezpieczeństwem IT? Ano tyle, że odpowiednie służby zarządziły ewakuację budynku, ale…

Czytaj dalej »

Jak sprawdzić czy ktoś się włamał do Twojego Windowsa? Jak przeanalizować włamanie? Tona wiedzy od sekuraka:

05 stycznia 2021, 17:38 | Aktualności | komentarzy 10
Jak sprawdzić czy ktoś się włamał do Twojego Windowsa? Jak przeanalizować włamanie? Tona wiedzy od sekuraka:

Grzesiek Tworek, 14-krotny MVP, prelegent na BlackHacie czy autor serii rozchwytywanych kursów na sekuraku, przygotował dla Was nowe skondensowane, do granic możliwości praktyczne szkolenie, czyli: Co każdy powinien wiedzieć o włamaniach do systemów Windows? #1 Grzegorz o kursie pisze tak: Dopóki istnieć będą systemy, dopóty znajdą się tacy, którzy zechcą…

Czytaj dalej »

Od .git do panelu administracyjnego systemu z fakturami/paragonami. Historia pewnej podatności w jednej z polskich firm.

05 stycznia 2021, 13:44 | W biegu | komentarzy 17
Od .git do panelu administracyjnego systemu z fakturami/paragonami. Historia pewnej podatności w jednej z polskich firm.

W listopadzie 2020r. jeden z czytelników (nazwijmy go na potrzeby tekstu Pawłem) zgłosił nam problem bezpieczeństwa zlokalizowany w sklepie loveair[.].pl Zaczęło się dość niewinnie – dostępny tam był katalog .git. Czym to grozi? Odpowiedź brzmi zawsze – to zależy. Czasem niczym, czasem czymś poważniejszym. W tym przypadku Paweł poinformował, że…

Czytaj dalej »

Singapur: znienacka policja może uzyskiwać dostęp do danych gromadzonych przez appkę COVIDową (śledzenie kontaktów). Na potrzeby prowadzonych dochodzeń kryminalnych.

04 stycznia 2021, 19:25 | W biegu | komentarzy 6
Singapur: znienacka policja może uzyskiwać dostęp do danych gromadzonych przez appkę COVIDową (śledzenie kontaktów). Na potrzeby prowadzonych dochodzeń kryminalnych.

W zasadzie wszystko już powiedziano w tytule ;) Ale co np. z zasadami prywatności w samej appce? Te zostały zmienione: A privacy statement on the TraceTogether website had earlier said the data would only be used “for contact tracing purposes”.  Teraz wygląda to dość enigmatycznie: „TraceTogether data may be used…

Czytaj dalej »

Współpracuj z sekurakiem – komercyjnie lub niekomercyjnie – aż trzy różne możliwości/stanowiska

04 stycznia 2021, 15:02 | W biegu | komentarzy 18
Współpracuj z sekurakiem – komercyjnie lub niekomercyjnie – aż trzy różne możliwości/stanowiska

Mamy dla Was aż trzy możliwości współpracy z nami: opracowywanie newsów i/lub tekstów prowadzenie szkoleń on-line praca jako pentester w topowym teamie Poniżej krótki opis stanowisk. Opracowywanie newsów i/lub tekstów To pomysł na pracę dorywczą. Jeśli interesuje Cię współpraca w jednym lub drugim obszarze napisz na sekurak@sekurak.pl. Rząd wielkości wynagrodzenia,…

Czytaj dalej »

Outlook Web Access: kuriozalny problem z JWT. Można było czytać maile innych osób – stare ale jare.

04 stycznia 2021, 13:24 | W biegu | 0 komentarzy
Outlook Web Access: kuriozalny problem z JWT. Można było czytać maile innych osób – stare ale jare.

Ostatnio nieco atencji doznały te podatności (są one już dość wiekowe – 2019r. / załatane, ale mają sporą wartość edukacyjną – stąd ten wpis). Jak można było uzyskać dostęp do e-maili innych osób via OWA? W pewnym miejscu ten ostatni generował token JWT, który (uwaga, uwaga) nie był podpisany (więcej…

Czytaj dalej »