Tag: websecurity

Bezpieczeństwo protokołu WebSocket w praktyce

02 lutego 2017, 16:01 | Teksty | komentarze 3
Bezpieczeństwo protokołu WebSocket w praktyce

Dynamiczny rozwój aplikacji WWW doprowadza do sytuacji, w której już od jakiegoś czasu pojawia się zapotrzebowanie na wprowadzenie możliwości asynchronicznej wymiany danych pomiędzy klientem, a serwerem aplikacji. Wykorzystywany powszechnie protokół HTTP jest bezstanowy, opiera się na zapytaniu wysyłanym do serwera i udzielanej odpowiedzi – brak tutaj stanów pośrednich. Jednym z zaproponowanych…

Czytaj dalej »

Darmowe filmiki o OWASP Top Ten – idealne dla developerów/testerów

04 stycznia 2017, 14:09 | W biegu | komentarze 3

Jeśli ktoś chce zajmować się bezpieczeństwem aplikacji webowych, powinien zacząć od OWASP Top Ten. To swojego rodzaju w prowadzenie w dziesięć najistotniejszych klas podatności w aplikacjach webowych. Dla tych z kolei, którzy nie lubią czytać jest też dostępne podsumowanie każdej klasy podatności w formie kilku/kilkunastominutowych filmików. Ostatnia wersja dokumentu jest…

Czytaj dalej »

%01 warty $3000 – odczyt źródeł aplikacji na Tomcacie

30 września 2016, 21:06 | W biegu | 1 komentarz

Ciekawy wpis dotyczący bugbounty, z przyznaną nagrodą $3 000. W ciekawy sposób można było odczytywać kod źródłowy plików .jsp (i innych), po prostu dodając znak %01 (start of heading jakby ktoś nie wiedział ;P) na koniec URL-a: https://www.victim.tld/password.jsp%01 Sprawdźcie lepiej czy Wasze application serwery nie pozwalają na taki ‚ficzer’. –ms

Czytaj dalej »

Mechanizm Service Workers – używanie i nadużywanie

09 maja 2016, 14:48 | Teksty | komentarze 4
Mechanizm Service Workers – używanie i nadużywanie

Mechanizm Service Workers został wprowadzony w najnowszych wersjach przeglądarek internetowych, by rozwiązać problem, z którym świat aplikacji webowych boryka się od dawna – mianowicie: jak aplikacja powinna się zachowywać w przypadku utraty połączenia z Internetem. Niniejszy artykuł ma na celu przybliżenie zasad działania Service Workers oraz wskazanie największych zagrożeń związanych z tym mechanizmem, którymi w szczególności powinni być zainteresowani twórcy stron internetowych.

Czytaj dalej »

Piraci (morscy) namierzali cenne transporty z pomocą komputerowych przestępców

03 marca 2016, 20:40 | Aktualności | komentarze 2
Piraci (morscy) namierzali cenne transporty z pomocą komputerowych przestępców

Piractwo morskie w wielu rejonach świata nadal stanowi poważne zagrożenie dla bezpieczeństwa marynarzy oraz transportowanych przez nich ładunków. Piraci w XXI wieku nie ograniczają się już jednak wyłącznie do stosowania fizycznej przemocy — w poszukiwaniu cennych ładunków posiłkują się bowiem usługami komputerowych przestępców…

Czytaj dalej »

Bezpieczeństwo aplikacji webowych: podatności w mechanizmach uploadu

23 listopada 2015, 09:30 | Teksty | komentarzy 10
Bezpieczeństwo aplikacji webowych: podatności w mechanizmach uploadu

Upload plików zalicza się do najczęściej występujących funkcjonalności w webaplikacjach. Zazwyczaj wiąże się z wgrywaniem na serwer obrazków bądź dokumentów. Jest zarazem miejscem, na które bardzo chętnie patrzą pentesterzy, ze względu na liczne błędy bezpieczeństwa w implementacjach. W tym artykule przedstawimy najczęściej występujące błędy oraz pokażemy, w jaki sposób mogą zostać wykorzystane. Omówimy także sposoby obrony.

Czytaj dalej »

Pozwalasz ładować pliki SVG? Masz XSS-a!

17 sierpnia 2015, 11:05 | Teksty | komentarzy 8
Pozwalasz ładować pliki SVG? Masz XSS-a!

Dodawanie plików przez użytkowników web aplikacji wiąże się z wieloma zagrożeniami. Pentesterzy w tym obszarze często szukają luk prowadzących do zdalnego wykonania kodu po stronie serwera. A co gdyby dodanie nowego pliku skutkowało wykonaniem złośliwego skryptu JS? Taką możliwość dają pliki SVG opisujące grafikę wektorową we współczesnych przeglądarkach.

Czytaj dalej »

Mechanizm HTTP Public Key Pinning

22 lipca 2015, 10:10 | Teksty | komentarzy 8
Mechanizm HTTP Public Key Pinning

Bezpieczne połączenia przy użyciu protokołu HTTPS stanowią jeden z podstawowych budulców dzisiejszego Internetu. HTTPS zapewnia poufność, integralność oraz autentyczność komunikacji. Ten ostatni cel jest realizowany dzięki standardowi X.509, który definiuje infrastrukturę klucza publicznego. Model zaufania oparty na X.509 ma jednak pewną fundamentalną wadę, której rozwiązaniem ma być mechanizm HTTP Public Key Pinning (HPKP).

Czytaj dalej »
Strona 1 z 41234