Tag: websec

OWASP Top 10 - 2017 - finalna wersja

21 listopada 2017, 23:55 | Aktualności | 0 komentarzy
OWASP Top 10 -  2017 - finalna wersja

Po czterech latach dostępna jest nowa wersja dokumentu OWASP Top Ten - opisująca 10 największych ryzyk dotyczących bezpieczeństwa aplikacji webowych. Edycja 2017 wprowadza sporo rewolucji, jest to m.in. pojawienie się kilku zupełnie nowych kategorii ryzyk: XXE (na wysokiej pozycji czwartej), - o którym mamy już od dawana sporo informacji na...

Czytaj dalej »

42kB zip rozpakowuje się do 4,5 petabajta. Potraktował atakujących tego typu zip bombą

06 lipca 2017, 13:24 | W biegu | komentarze 4

Na start - jak chcecie zobaczyć takiego zip-a - proszę. To przykład zip bomby, zipa śmierci, czy bomby dekompresyjnej. W przykładzie z tytułu, ktoś zdenerwował się ciągłym skanowaniem swojego serwisu i postanowił odsyłać zip-bomby (warto zwrócić uwagę na dyskusyjną legalność takiego działania...). W tym przypadku została użyta prostsza bomba, gdzie plik...

Czytaj dalej »

Odczytywanie plików z serwera PDF-em (!)

14 kwietnia 2017, 15:16 | W biegu | komentarze 3

Interesujący research dotyczący plików PDF, a raczej serwisów które je przetwarzają. Autor wykorzystuje fakt często automatycznej konwersji (po stronie serwerowej) plików PostScript na PDF. Sam plik PostScript, jak sama nazwa wskazuje jest małym skryptem, który finalnie wyświetla się jako dokument, przykład z Wikipedii:

Pliki .ps mogą robić też więcej...

Czytaj dalej »

Atak DoS na aplikacje - przez wyrażenia regularne

14 kwietnia 2017, 14:33 | Teksty | komentarzy 10
Atak DoS na aplikacje - przez wyrażenia regularne

Amerykański programista, Jamie Zawinski, napisał kiedyś słynne słowa o wyrażeniach regularnych: “Niektórzy ludzie, gdy napotykają na problem, myślą sobie: »Wiem! Użyję wyrażeń regularnych«. I teraz mają dwa problemy”. W tym artykule przekonamy się jak prawdziwe są to słowa, jeżeli wyrażenie regularne zostało napisane w sposób niewłaściwy, umożliwiając tym samym przeprowadzenie...

Czytaj dalej »

Ukryte katalogi i pliki jako źródło informacji o aplikacjach internetowych

18 kwietnia 2016, 20:30 | Teksty | komentarzy 8
Ukryte katalogi i pliki jako źródło informacji o aplikacjach internetowych

Ukryte katalogi oraz pliki pozostawione przez nieuwagę na serwerze WWW, mogą stać się nieocenionym źródłem informacji podczas testu penetracyjnego. W skrajnych sytuacjach, takich jak pozostawiony katalog .git lub .svn, pozwalają na dostęp do kodu źródłowego aplikacji, co w rezultacie skutkuje całkowitą kompromitacją i uzyskaniem nieautoryzowanego dostępu oraz możliwością przeprowadzenia statycznej analizy kodu źródłowego i odkrycia wszystkich luk.

Czytaj dalej »

Wszystko o CSP 2.0 – Content Security Policy jako uniwersalny strażnik bezpieczeństwa aplikacji webowej

12 kwietnia 2016, 20:25 | Teksty | komentarzy 7
Wszystko o CSP 2.0 – Content Security Policy jako uniwersalny strażnik bezpieczeństwa aplikacji webowej

W 2014 roku na Sekuraku (oraz w pierwszym e-zinie) pisaliśmy czym jest Content Security Policy. Była to wtedy młoda technologia utrudniająca eksploatację ataków XSS. Od tego czasu standard mocno się rozwinął. Czy obecna wersja CSP 2.0 jest remedium na nieznane luki XSS? Na jakie problemy można natknąć się podczas wdrożeń CSP?

Czytaj dalej »

Bezpieczeństwo aplikacji webowych: podatności w mechanizmach uploadu

23 listopada 2015, 09:30 | Teksty | komentarzy 10
Bezpieczeństwo aplikacji webowych: podatności w mechanizmach uploadu

Upload plików zalicza się do najczęściej występujących funkcjonalności w webaplikacjach. Zazwyczaj wiąże się z wgrywaniem na serwer obrazków bądź dokumentów. Jest zarazem miejscem, na które bardzo chętnie patrzą pentesterzy, ze względu na liczne błędy bezpieczeństwa w implementacjach. W tym artykule przedstawimy najczęściej występujące błędy oraz pokażemy, w jaki sposób mogą zostać wykorzystane. Omówimy także sposoby obrony.

Czytaj dalej »