Zostań certyfikowanym specjalistą Microsoft i zdobądź darmowy voucher na egzamin.

Tag: api

Kupił akwarium. Oraz akcesoria. Przeskanował API i dostał roota.

01 lutego 2022, 09:09 | Teksty | komentarze 22
Kupił akwarium. Oraz akcesoria. Przeskanował API i dostał roota.

Krótka historia, pokazująca, że każdy może spokojnie „pobawić się” w bezpieczeństwo IoT, osiągając satysfakcjonujące wyniki w krótkim czasie. Częścią zestawu akwarystycznego, która nas najbardziej interesuje jest lampa, którą można nabyć np. na uroczym serwisie erybka.pl No więc, po wstępnym skanowaniu urządzenia (być może nmapem), zlokalizowanie portu, na którym dostępne było…

Czytaj dalej »

Nastolatek uzyskał zdalny dostęp do ponad 25 Tesli na całym świecie. Lokalizowanie samochodów, otwieranie drzwi, wystartowanie auta…

27 stycznia 2022, 19:01 | Aktualności | komentarzy 9
Nastolatek uzyskał zdalny dostęp do ponad 25 Tesli na całym świecie. Lokalizowanie samochodów, otwieranie drzwi, wystartowanie auta…

19-sto latek z Niemiec opisuje swoją przygodę z dostępem do samochodów tutaj. Krok po kroku cała akcja wyglądała tak: Zlokalizowanie w internecie instancji oprogramowania TeslaMate (Google, Shodan, Zoomeye …) Po podłączeniu się przeglądarką, widoczna jest tutaj lokalizacja „losowego” samochodu (tj. skonfigurowanego w instancji TeslaMate): Dalej (czyli np. zakładka Dashboards) nie…

Czytaj dalej »

Hackerzy ukradli równowartość ~500 000 000 PLN (w kryptowalutach). Jak doszło do włamu? Pozyskali klucz API.[BadgerDAO]

02 grudnia 2021, 19:51 | W biegu | komentarze 4
Hackerzy ukradli równowartość ~500 000 000 PLN (w kryptowalutach). Jak doszło do włamu? Pozyskali klucz API.[BadgerDAO]

Ten atak był chyba nawet prostszy, niż przykłady wizualizowane w wielu filmach: it appears someone injected a malicious script into BadgerDAO’s frontend after compromising an API key for BadgerDAO’s Cloudflare account. No więc kradzież klucza API do Cloudflare, zasilenie CDNa swoim złośliwym skryptem i…: The malicious script basically tricked people…

Czytaj dalej »

Konserwatywno-prawicowy Parler – mega wyciek filmów, lokalizacji, prywatnych wpisów. Zhackowali czy nie zhackowali – oto jest pytanie…

12 stycznia 2021, 17:00 | Aktualności | komentarzy 8
Konserwatywno-prawicowy Parler – mega wyciek filmów, lokalizacji, prywatnych wpisów. Zhackowali czy nie zhackowali – oto jest pytanie…

Uwaga: jeśli ktoś chce przejść od razu do sedna – to wystarczy zerknąć na sam koniec postu. Zamiast wstępu – czym jest Parler? Parler jest (był) alternatywą dla Twittera. Głównie skrzykiwali się tam fani Trumpa, czy ogólnie osoby o poglądach konserwatywnych. CNN opisuje platformę tak: The social media platform has…

Czytaj dalej »

Od .git do panelu administracyjnego systemu z fakturami/paragonami. Historia pewnej podatności w jednej z polskich firm.

05 stycznia 2021, 13:44 | W biegu | komentarzy 17
Od .git do panelu administracyjnego systemu z fakturami/paragonami. Historia pewnej podatności w jednej z polskich firm.

W listopadzie 2020r. jeden z czytelników (nazwijmy go na potrzeby tekstu Pawłem) zgłosił nam problem bezpieczeństwa zlokalizowany w sklepie loveair[.].pl Zaczęło się dość niewinnie – dostępny tam był katalog .git. Czym to grozi? Odpowiedź brzmi zawsze – to zależy. Czasem niczym, czasem czymś poważniejszym. W tym przypadku Paweł poinformował, że…

Czytaj dalej »

Trywialna podatność w API słowackiej aplikacji „Moje ezdrowie” umożliwiała dostęp do wrażliwych danych osobowych / medycznych ~400 000 pacjentów. Dostępne były również wyniki testów na COVID-19

17 września 2020, 12:00 | W biegu | komentarzy 5
Trywialna podatność w API słowackiej aplikacji „Moje ezdrowie” umożliwiała dostęp do wrażliwych danych osobowych / medycznych ~400 000 pacjentów. Dostępne były również wyniki testów na COVID-19

Żarty na bok i od razu uderzenie z grubej rury. Chodzi o słowacką aplikację Moje ezdrowie, w której znajdują się dane ~400 000 osób przetestowanych na koronawirusa. W ramach demo badacze pobrali dane 190 000 osób, w tym 1600, u których zdiagnozowano COVID-19. W samej aplikacji zakres przechowywanych danych jest…

Czytaj dalej »

AVON: wyciekło 19 milionów rekordów. Powód – dostępny publicznie Elasticsearch z danymi prod

03 sierpnia 2020, 12:41 | W biegu | komentarzy 5
AVON: wyciekło 19 milionów rekordów. Powód – dostępny publicznie Elasticsearch z danymi prod

Ekipa SafetyDetectives donosi: Our security team, led by Anurag Sen, discovered Avon.com’s US server without encountering any security measures or protection. The vulnerability effectively means that anyone possessing the server’s IP-address could access the company’s open database. Co wyciekło? Generalnie chodzi o „logi API” z serwisu webowego i mobilnego (prawdopodobnie…

Czytaj dalej »

Jak zadbać o bezpieczeństwo API? OWASP API Security Top Ten

23 stycznia 2020, 10:15 | W biegu | 0 komentarzy
Jak zadbać o bezpieczeństwo API? OWASP API Security Top Ten

Niedawno udostępniono wersję 1.0 nowej dokumentacji od OWASP – API Security Top Ten. Mamy tutaj 10 najczęstszych/najgroźniejszych klas podatności w API (REST-owych). Najwięcej miejsca poświęcono problemom związanym z uwierzytelnianiem / autoryzacją. Mamy również całkiem osobne, ciekawe przypadki jak choćby Mass Assignment czy tematykę Rate Limiting. Nie można też zapomnieć o całej klasyce…

Czytaj dalej »

Pogrzebał w repozytorium Starbucksa i znalazł tam ~15 000 PLN

23 stycznia 2020, 09:39 | W biegu | 0 komentarzy
Pogrzebał w repozytorium Starbucksa i znalazł tam ~15 000 PLN

Tytułowe pieniądze to nagroda w bug bounty, przyznana za znalezienie klucza API w jednym publicznych repozytoriów kodu Starbucksa: vinothkumar discovered a publicly available Github repository containing a Starbucks JumpCloud API Key which provided access to internal system information. Co można było uzyskać posiadając klucz do JumpCloud-a? Jeśli ktoś nie zna…

Czytaj dalej »

Ubiquiti unifi Video. Eskalacja uprawnień do SYSTEM. Ubiquiti wypłaca nagrodę ~65 000 PLN

09 listopada 2019, 09:33 | W biegu | 1 komentarz
Ubiquiti unifi Video. Eskalacja uprawnień do SYSTEM. Ubiquiti wypłaca nagrodę ~65 000 PLN

Instalujesz pod Windows oprogramowanie do obsługi video. Wszystko fajnie, tylko nieświadomie odpalałeś usługę działającą na localhost (port 7440), która z pośrednictwem mechanizmu WebSocketów wystawiała nieuwierzytelnione, pracujące z uprawnieniami SYSTEM API. API z kolei udostępniało ciekawy ficzer – umożliwiający uruchomienie dowolnej binarki. Całą akcję można zobaczyć na filmiku tutaj. Ubiquiti załatało podatność w wersji v3.10.7…

Czytaj dalej »

GitHub: nieautoryzowany dostęp do kont użytkowników -> przyznano nagrodę ~100 000zł

07 listopada 2019, 19:50 | Aktualności | komentarze 2
GitHub: nieautoryzowany dostęp do kont użytkowników -> przyznano nagrodę ~100 000zł

Ta podatność w GitHub-ie warta jest wspomnienia ze względu na kilka różnych ciekawostek. Całość dotyczy wydawałoby się bezpiecznego mechanizmu OAuth. Ale od początku, GitHub definiuje taki URL: https://github.com/login/oauth/authorize Realizuje on dwie funkcje – jeśli dostaniemy się tam GET-em otrzymujemy ekran logowania, z kolei POST wysyłany jest w momencie kiedy użytkownik…

Czytaj dalej »

Można było przejmować konta połączone z inteligentnym różańcem od Watykanu

19 października 2019, 20:07 | W biegu | 0 komentarzy
Można było przejmować konta połączone z inteligentnym różańcem od Watykanu

Podatność wykryto w aplikacji Click to Pray sterującej urządzeniem IoT od Watykanu: inteligentnym różańcem: Jak donosi CNET, problem występował w mechanizmie tworzenia konta – należało podać e-mail, na który był wysyłany kod PIN (odpowiednik hasła). Wszystko w porządku, tylko operację można było wykonać ponownie (znając e-mail ofiary), a PIN był…

Czytaj dalej »

Nowa podatność masakrująca API RESTowe. Jeśli jesteś programistą lepiej to zobacz…

07 października 2019, 22:27 | W biegu | komentarze 4
Nowa podatność masakrująca API RESTowe. Jeśli jesteś programistą lepiej to zobacz…

Chodzi o niby znaną od dłuższego czasu klasę Mass Assignment, która najwyraźniej przeżywa drugą młodość. Przesyłasz np. JSON-em dane nowego użytkownika do API, co jest mapowane na stosowny obiekt i zapisywane do bazy. Proste ale i niebezpieczne. Bo co się stanie, jeśli ktoś do JSON-a doda klucz „admin”: true ?. Będziemy…

Czytaj dalej »

Z GitHuba ciekną poufne dane aż (nie)miło. Wycieki można oglądać w czasie rzeczywistym.

26 września 2019, 11:14 | W biegu | 1 komentarz
Z GitHuba ciekną poufne dane aż (nie)miło. Wycieki można oglądać w czasie rzeczywistym.

Hasła, klucze API, pliki konfiguracyjne, pliki z hasłami i innymi poufnymi danymi.  W sumie około 120 tego typu 'źródeł’. Czy te dane rzeczywiście są poufne? Wg ich właścicieli nie, bo udostępnili je publicznie na GitHub-ie (pozostaje pytanie czy w sposób świadomy). 'Filmik’ z wycieków, realizowany w czasie rzeczywistym dostępny jest…

Czytaj dalej »