Badacze bezpieczeństwa z Microsoft Security opublikowali raport z analizy kampanii phishingowej. Celem atakujących było wyłudzenie danych odbiorców. Cyberprzestępcy wykorzystali technikę ASCII smuggling, aby przemycić złośliwe treści do jak największej liczby odbiorców, unikając przy tym wykrycia przez filtry antyspamowe. Pomysł był ciekawy, jednak został brutalnie zweryfikowany przez życie. Kampania, która miała…
Czytaj dalej »
Ciekawy przykład, który w zasadzie może wystąpić w każdej aplikacji webowej. Otóż przy próbie resetu hasła, GitHub podany adres mailowy najpierw robił lowercase, a później porównywał z tym w bazie. W czym problem? W Unicode. Przykład? Czyli jeśli założyłem sobie maila z np. tureckim i w nazwie, toLowerCase() normalizował to do zwykłego ‘i’….
Czytaj dalej »
Ciekawa, ciągle aktualizowana baza “podejrzanych” ciągów znaków, czyli takich które dość często stwarzają rozmaite problemy. Autor projektu jako rozgrzewkowy przykład podaje użycie tzw. zero-width space, który na Twitterze daje (dawał) internal server error… Pamiętajcie żeby tych nazw nie stosować np. jako nazw użytkowników, a dla (pen) testerów to idealne miejsce,…
Czytaj dalej »
Zanim zaczniecie pisać że to fake, zobaczcie na pierwszą literę G – to znak unicode “LATIN LETTER SMALL CAPITAL G” U+0262. Tytuł posta wygląda raczej przekonująco – dla zwykłych użytkowników pierwsza litera jest bardzo podobna do normalnego G, prawda? Otóż sprytni Rosjanie użyli takiej domeny do rozpylania spamu. Całość ma też…
Czytaj dalej »
