Oczywiście na celowniku są przede wszystkim iPhone-y. Apple wprowadza do niego z jednej strony nowe funkcje bezpieczeństwa (omawiano je na BlackHacie), z drugiej znacznie zwiększa wypłaty za zgłaszane błędy bezpieczeństwa. A tych ostatnich bywa naprawdę sporo… W każdym razie pojedyncza największa wypłata wynosi obecnie $1 000 000. Można też otrzymać…
Czytaj dalej »Jeśli ktoś uważa, że SQL injection ciężko jest znaleźć w obecnych czasach, myli się. W opisywanym przypadku zaczęło się od enumeracji ciekawych poddomen (mamy o tym osobny rozdział w naszej książce) – udało się znaleźć niezbyt skomplikowane miejsce z możliwością anonimowego uploadu pliku XML. Po niewyłączonych komunikatach błędów było jasne,…
Czytaj dalej »
Co robi dobry badacz bezpieczeństwa po zakupie nowego samochodu, dajmy na to Tesli model 3? Oczywiście zaczyna niezwłocznie szukać podatności. Tak też stało się i w tym przypadku. Szło jednak kiepsko – żadnych format stringów poprzez podłączanie telefonu o nazwie %x%x%x%x, a nazwanie samochodu w dość specyficzny sposób też niewiele…
Czytaj dalej »Laxman Muthiyah miał stanowczo dobry dzień – w ramach programu Bug Bounty Facebook’a otrzymał $30.000 za możliwość przejęcia dowolnego konta na Instagramie. Gdy użytkownik zapomni swojego hasła, w ramach funkcjonalności odzyskania konta wysyłany jest 6-cyfrowy kod SMS. Potencjalny atakujący mógłby metodą siłową próbować wysłać milion zapytań HTTP – próbując wykorzystać…
Czytaj dalej »
Wpis opisuje jak udało się obejść mechanizm uwierzytelniania w aplikacji opartej o NodeJS w jednym z prywatnych programów bug bounty. Zaprezentowano metodologię stosowaną w przypadku podobnych sytuacji, która bardzo często pozwala na znalezienie luki (bądź luk) w aplikacjach z pozoru wyglądających na takie, które nie zawierają żadnej funkcjonalności do “złamania”.
Czytaj dalej »
W artykule opisany jest błąd bezpieczeństwa, który znalazłem na początku czerwca 2018 w aplikacji desktopowej Google Hangouts Chat. Jest przykładem na to, jak aplikacje napisane w Electronie mogą sprawić, by pewnie mniej istotne podatności (jak np. open redirect) stały się nagle poważnymi błędami w aplikacjach.
Czytaj dalej »
W artykule opisany jest błąd CVE-2018-6148, naprawiony w Chrome 67 w wersji z dnia 6 czerwca 2018. Błąd ten pozwalał na dodawanie dowolnych nagłówków zapytania HTTP w zapytaniach cross-domenowych. Oznaczało to, że dowolna strona webowa mogła ustawić treść takich nagłówków jak np. X-CSRF-Token, Referer, User-Agent, Host czy Cookie. Inne strony webowe, z kolei, przyjmują za pewnik, że nikt nie może w przeglądarce sobie sam tych nagłówków ustawiać – co może prowadzić do problemów bezpieczeństwa.
Czytaj dalej »
W tekście opisany jest ciekawy XSS znaleziony w lutym 2018 w aplikacji Google Colaboratory. Pokazane jest nie tylko bezpośrednio, gdzie był ten XSS, ale również jakie zostały poczynione próby, by tego XSS-a znaleźć i jakie po drodze były ślepe zaułki. Ponadto, pokazany jest przykład obejścia Content-Security-Policy z użyciem tzw. script gadgets.
Czytaj dalej »Przygoda rozpoczęła się od rekonesansu – czyli użyciu narzędzi typu Zoomeye, czy Shodan w celu znalezienia odpowiedniego celu. Niezłym celem okazał się datax.yahoo.com, gdzie po krótkim bruteforce katalogów na webserwerze, udało się zlokalizować API. Finalnie udało się wykorzystać w stosunkowo prosty sposób podatność w SpEL (Spring Expression Language) i po chwili…
Czytaj dalej »
W artykule opisane są trzy błędy typu XSS znalezione w ramach bug bounty firmy Google. Wszystkie błędy były możliwe dzięki wykorzystaniu nowych cech standardu ECMAScript.
Czytaj dalej »Wiecie ile warta jest taka informacja: curl -k "https://yaqs.googleplex.com" --resolve "yaqs.googleplex.com:443:172.217.28.180" ? 10 000$ USD – taką bowiem kwotę wypłaciło Google za zgłoszenie buga, który polegał na wysłaniu jednego requestu do serwera 172.217.28.180 z ustawionym nagłówkiem Host: yaqs.googleplex.com – o dziwo, badaczowi wyświetliła się wtedy strona Google z treścią oznaczoną jako Google Confidential. Jak poszukiwać tego…
Czytaj dalej »Nagroda w wysokości $10 800 została przyznana niedawno w ramach bug bounty Twittera. Jeden z serwerów, a dokładnie jedno z API, było podatne na opisywaną przez nas już dwukrotnie podatność XXE. XML wyglądał jak poniżej, a autor badania do oryginalnego XML-a dołożył tylko oznaczone linijki:
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 |
POST /api/sxmp/1.0 HTTP/1.1 Host: sms-be-vip.twitter.com Connection: close Content-Type: text/xml Content-Length: 481 <?xml version="1.0" encoding="ISO-8859-1"?> <!DOCTYPE foo [ <!ELEMENT foo ANY > <!ENTITY file SYSTEM "file:///etc/passwd"> ]> <operation type="deliver"> <account username="abc" password="a"/> <deliverRequest referenceId="MYREF102020022"> <operatorId>&file;</operatorId> <sourceAddress type="network">40404</sourceAddress> <destinationAddress type="international">123</destinationAddress> <text encoding="ISO-8859-1">a</text> </deliverRequest> </operation> </code> |
Podatność umożliwiała na czytanie…
Czytaj dalej »
Przez ostatnich kilka lat mogliśmy zaobserwować wiele różnych zastosowań znaku Right-to-Left Override [RTLO / RLO]. Jednym z nich jest wykorzystanie go jako element linku w treści wiadomości e-mail.
Zobaczmy jak powyższą technikę zastosować np. w GMailu, choć pamiętajcie żeby testować to tylko na własne potrzeby.
Czytaj dalej »Writeup podatności zgłoszonej do Google. Pierwszym problemem okazał się SSRF w domenie toolbox.googleapps.com. Jeśli ktoś jeszcze nie kojarzy tej podatności – mamy jej opis na sekuraku. Później wystarczyło najpierw zbruteforce-ować adres wewnętrznego serwera DNS (sieć 10.x), a następnie już hulaj dusza. Wszystko korzystając z publicznie dostępnego interfejsu widocznego poniżej: –ms
Czytaj dalej »Pozytywna informacja w świecie bezpieczeństwa IoT – firma Netgear ogłasza program bug bounty z całkiem wysokimi nagrodami: $15 000 kosztuje np. taki błąd: Remote Unauthorized access to administer another NETGEAR customer’s router (via the publicly accessible internet – e.g. not on the same LAN) Są też i mniejsze kwoty – $ 750…
Czytaj dalej »