Preorder drugiego tomu książki sekuraka: Wprowadzenie do bezpieczeństwa IT. -15% z kodem: sekurak-book

Tag: testy penetracyjne

Zobacz pełen nieocenzurowany raport z testów penetracyjnych [Canal+]

23 czerwca 2022, 11:23 | W biegu | komentarzy 8
Zobacz pełen nieocenzurowany raport z testów penetracyjnych [Canal+]

Jakiś czas temu realizowaliśmy (w ramach Securitum) testy penetracyjne jednej z aplikacji webowych, należących do Canal+. Sam zamawiający zgodził się na upublicznienie raportu, który można zobaczyć tutaj [EN version]. W szczególności warto spojrzeć na pierwszą podatność (log4shell na ekranie logowania): Inne nasze publiczne raporty: Przy okazji jeśli chciałbyś dołączyć do…

Czytaj dalej »

Przeszło 1200 sklepów online zainfekowanych skimmerem wykradającym numery kart płatniczych. Jest też trochę polskich domen

12 maja 2020, 15:14 | W biegu | komentarze 3
Przeszło 1200 sklepów online zainfekowanych skimmerem wykradającym numery kart płatniczych. Jest też trochę polskich domen

Zasada działania jest względnie prosta. Najpierw zlokalizowanie podatności w konkretnym e-commerce, a później dołożenie niewielkiego dodatku. Dodatek podczas płatności klienta wyświetli podstawiony formularz/stronę do płatności, a niespodziewający się niczego podejrzanego klient – zapłaci. Właśnie otrzymaliśmy dość rozbudowane opracowanie, pokazujące infekcję poprzez Magecart (tak się zbiorowo nazywa grupę kilku grup hackerskich…

Czytaj dalej »

Metasploit 5 już dostępny!

12 stycznia 2019, 10:58 | W biegu | 0 komentarzy

A w nim dla każdego coś miłego. Jedną z największych zmian wydaje się być dodanie w standardzie modułu evasion omijającego antywirusy. Więcej o temacie tutaj, w tym prosty przykład pokazujący zmniejszenie skuteczności wykrywania (19/64 antywirusy -> 4/64 antywirusy): Z innych ciekawostek – jeśli ktoś nie lubi Ruby, to exploity do…

Czytaj dalej »

Nowy Kali Linux przynosi sterowniki do idealnej karty WiFi

02 maja 2017, 10:29 | W biegu | komentarzy 8

W edycji Kali 2017.1 mamy sporo ulepszeń, przede wszystkim sterowniki dla bezprzewodowych kart opartych o chipset RTL8812AU. Tutaj jako faworyt wskazywana jest karta Alfa AWUS036ACH, obsługująca wszystkie popularne standardy: 802.11 a/b/g/n/ac. Poza tym, w nowym Kali mamy dostępny skaner podatności OpenVAS w niedawno wydanej wersji 9, czy zdecydowanie lepsze wsparcie dla sterowników GPU (odzyskiwanie/łamanie haseł). –ms

Czytaj dalej »

Narzędzia przydatne w testach penetracyjnych

18 lutego 2017, 13:52 | W biegu | 1 komentarz

Przydatna lista narzędzi i tricków pomocnych podczas pentestów. Zestawienie jest przygotowane raczej dla początkujących i na pewno można by je jeszcze rozbudować (patrz np. testowanie ssl / tls). Tym bardziej zaawansowanym pewnie przyda się choć pobieżne przejrzenie (może znajdziecie jakąś wartą uwagi rzecz – np. skrypt ikeforce – do zabaw z IPsec)….

Czytaj dalej »

Standard PCI-DSS 3.2 wylądował

28 kwietnia 2016, 15:36 | W biegu | 0 komentarzy

Dzisiaj (28.04) opublikowana została nowa wersja dokumentacji PCI-DSS – 3.2. Zmiany w porównaniu z 3.1 nie są takie kosmetyczne jakby się mogło wydawać: są to choćby wymagania wieloczynnikowego uwierzytelnienia dla administratorów, testy penetracyjne dwa razy do roku, czy większy nacisk na mechanizmy detekcji ataków. Na wdrożenie całości dano sporo czasu –…

Czytaj dalej »

Kali Linux 2.0 wydany

11 sierpnia 2015, 18:00 | W biegu | komentarze 3

Dzisiaj udostępniono wersję 2.0 Kali Linux – dystrybucji Linuksa znanej na pewno wszystkim pentesterom. Na co możemy liczyć w nowej wersji? Przebudowany interface użytkownika, update narzędzi – w szczególności tych do testów Wi-Fi (w tym sterowniki). Kali będzie też miał bardziej świeże pakiety – bazuje na repozytoriach Debian Testing. Co więcej, osobny…

Czytaj dalej »

Nowa wersja OWASP ZAP – narzędzia do testowania bezpieczeństwa aplikacji www

16 czerwca 2015, 11:07 | W biegu | 0 komentarzy

Od jakiegoś już czasu dostępna jest nowa wersja 2.4.0 tego popularnego (i bezpłatnego) narzędzia do testowania bezpieczeństwa aplikacji webowych. Nowa wersja ZAP-a o tyle cieszy, że wydawało się już że rozwój projektu stanął (jak w przypadku innych podobnych narzędzi budowanych pod skrzydłami OWASP – przykład: Webscarab). Cały rozwój wydaje się…

Czytaj dalej »

PCI-DSS – nowy dokument dotyczący testów penetracyjnych

02 kwietnia 2015, 11:24 | W biegu | 0 komentarzy

Około roku temu ukazała się wersja trzecia standardu PCI-DSS (w skrócie: standard bezpieczeństwa narzucany firmom obsługującym karty płatnicze). Teraz został opublikowany dość szczegółowy dokument opisujący jak powinny wyglądać testy penetracyjne, które opisane są w samym standardzie. Dokładnie chodzi tutaj o wymaganie 11.3: Na czerwono zaznaczyłem przy okazji informację, która mówi…

Czytaj dalej »