Kompleksowe szkolenie: wprowadzenie do bezpieczeństwa IT od sekuraka z rabatem 50%. Jedyna taka okazja w tym roku. Nie przegap! :-)

Tag: XSS

Groźne zdalne wykonywanie kodu w MyBB – omówienie łańcucha podatności (+ bonus).

26 kwietnia 2021, 21:14 | Teksty | komentarze 2
Groźne zdalne wykonywanie kodu w MyBB – omówienie łańcucha podatności (+ bonus).

Niedawno znaleziono groźny łańcuch dwóch podatności (CVE-2021-27889 oraz CVE-2021-27890) w popularnym, otwartoźródłowym silniku forów dyskusyjnych MyBB. Podatności załatano w najnowszej obecnie wersji, 1.8.26.  Połączenie powyższych podatności w jeden prosty łańcuch stanowi efektywny sposób osiągnięcia pełnego RCE. Nazywam się Patryk, jestem badaczem bezpieczeństwa webaplikacji (w Internecie znanym pod nickiem SivertPL), a…

Czytaj dalej »

Michał Bentkowski znowu niszczy jedną z topowych bibliotek chroniących m.in. przed podatnościami XSS – zobacz stream na żywo

18 grudnia 2020, 23:11 | W biegu | komentarzy 12
Michał Bentkowski znowu niszczy jedną z topowych bibliotek chroniących m.in. przed podatnościami XSS – zobacz stream na żywo

Restartujemy nasze ~regularne, bezpłatne live streamy na sekurak.tv. Tym razem Michał Bentkowski zaprezentuje na żywo temat: A word about DOMPurify bypasses a.k.a why DOM parsing is crazy. To efekt jego pastwienia się nad projektem DOMPurify, gdzie ostatnio zgłosił kilka sposobów na ominięcie oferowanych przez projekt zabezpieczeń. W pewnym momencie twórcy…

Czytaj dalej »

Cisco Jabber – czyli jak w prosty sposób można było z XSSa przejść do wykonania dowolnego polecenia na systemie operacyjnym ofiary

04 września 2020, 16:47 | W biegu | 0 komentarzy
Cisco Jabber – czyli jak w prosty sposób można było z XSSa przejść do wykonania dowolnego polecenia na systemie operacyjnym ofiary

Jeśli ktoś jakimś przypadkiem nie kojarzy jeszcze podatności XSS, powinien nadrobić zaległości. W obecnych czasach ten problem potrafi przerodzić się m.in. w RCE (wykonanie kodu) u ofiary. Świeżym przypadkiem ilustrującym problem jest Cisco Jabber – czyli wygodny, okienkowy komunikator: Wygląda jak normalna aplikacja, prawda? W zasadzie tak, tylko pod spodem…

Czytaj dalej »

Meetup – można było przejmować konta organizatorów. Powód? Dość niewinna podatność w API…

03 sierpnia 2020, 16:47 | W biegu | 1 komentarz
Meetup – można było przejmować konta organizatorów. Powód? Dość niewinna podatność w API…

W skrócie – można było w „zwykłym” komentarzu dodać JavaScript, który następnie odpalał się w zalogowanej sesji ofiary (tzw. persistent XSS). No dobra, komentarz najprawdopodobniej nie był taki „zwykły”, ale dodany z wykorzystaniem API: Oczywiście sam JavaScript musi być odpowiednio uzbrojony, więcej na filmiku: A jeszcze więcej odnośnie tego typu…

Czytaj dalej »

Microsoft sam siebie XSS-uje w domenie docs.microsoft.com

31 lipca 2020, 14:35 | W biegu | komentarze 2
Microsoft sam siebie XSS-uje w domenie docs.microsoft.com

Ciekawe znalezisko, którym @Ma7h1as podzielił się na Twitterze. Zerknijmy sobie na pewien stary biuletyn bezpieczeństwa Microsoftu (MS15-022) w anglojęzycznej wersji strony: https://docs.microsoft.com/en-us/security-updates/securitybulletins/2015/ms15-022 Wśród naprawionych błędów znajduje się seria XSS-ów w SharePoincie. Jako możliwość zabezpieczenia przed podatnością, MS sugeruje, by uważać na konta zawierające kod HTML (rys 1). Co ciekawe, gdy wejdziemy…

Czytaj dalej »

„The Curious Case Of Copy & Paste” – czyli jak groźne może być wklejanie dowolnej treści ze schowka w przeglądarkach

15 czerwca 2020, 18:59 | Teksty | komentarzy 16
„The Curious Case Of Copy & Paste” – czyli jak groźne może być wklejanie dowolnej treści ze schowka w przeglądarkach

Ten artykuł jest podsumowaniem moich badań związanych z problemami bezpieczeństwa w obsłudze mechanizmu kopiuj-wklej w: przeglądarkach, popularnych edytorach WYSIWYG i aplikacjach webowych. Moim głównym celem jest pokazanie, że poniższy scenariusz ataku może sprawić, że będziemy narażeni na atak: Odwiedzamy złośliwie przygotowaną stronę. Kopiujemy coś z tej strony do schowka. Przechodzimy…

Czytaj dalej »

Jak wiele razy zarobić $1000 na tym samym błędzie? Zaskakująca historia dwóch braci: <oraz <

10 lutego 2020, 17:56 | W biegu | komentarze 3
Jak wiele razy zarobić $1000 na tym samym błędzie? Zaskakująca historia dwóch braci: <oraz <

Jeśli w tytule widzisz subtelną różnicę pomiędzy dwoma znakami mniejszości – będziesz dobrym pentesterem ;-) Dla pewności znajdźcie różnicę pomiędzy: <script> oraz <script> Właśnie, dla filtrów próbujących zabezpieczyć aplikację przed podatnością XSS <script> wygląda mocno podejrzanie – do usunięcia! Natomiast <script> wygląda całkiem OK (nie ma tu prawidłowego otwarcia tagu…

Czytaj dalej »

Mega XSS cheat sheet. Setki przykładów, unikalne miejsce w sieci.

26 września 2019, 22:28 | W biegu | 1 komentarz
Mega XSS cheat sheet. Setki przykładów, unikalne miejsce w sieci.

Zasób udostępnia Port Swigger, reklamując listę jako idealny zasób do nauki, a także pomagający w omijaniu rozmaitych filtrów czy WAF-ów. Oczywiście wszystko w kontekście podatności XSS. Mamy tutaj wygodny filtr po przeglądarkach, w których dana metoda zadziała czy konkretny tag HTML, który chcemy wykorzystać do wstrzyknięcia JavaScriptu. W każdym razie jest…

Czytaj dalej »

Omijanie jednej z najlepszych bibliotek chroniących przed XSS i ciekawe zachowanie najnowszego Chrome

23 września 2019, 14:15 | W biegu | 1 komentarz

Właśnie opublikowaliśmy obejście ochrony przed XSS dostarczanej przez DOMPurify (podatność właśnie została załatana). Całość to kolejna publikacja na naszym anglojęzycznym research blogu – poprzednie unikalne wpisy dotyczyły paru bugów w Chrome dotyczących elementu <portal>, oraz tematyki SSTI (Server-Side Template Injection) w systemie szablonów Pebble. Kolejne publikacje niebawem, śledźcie bezpośrednio research.securitum.com i/lub konto…

Czytaj dalej »

Kamyk „warty” 40 000 PLN uszkodził mu szybę w Tesli. Dzięki temu znalazł podatność w panelu administracyjnym.

16 lipca 2019, 21:05 | Aktualności | komentarzy 5
Kamyk „warty” 40 000 PLN uszkodził mu szybę w Tesli. Dzięki temu znalazł podatność w panelu administracyjnym.

Co robi dobry badacz bezpieczeństwa po zakupie nowego samochodu, dajmy na to Tesli model 3? Oczywiście zaczyna niezwłocznie szukać podatności. Tak też stało się i w tym przypadku. Szło jednak kiepsko – żadnych format stringów poprzez podłączanie telefonu o nazwie %x%x%x%x, a nazwanie samochodu w dość specyficzny sposób też niewiele…

Czytaj dalej »

Groźna podatność w Outlooku na Androida – możliwy dostęp do wiadomości ofiary poprzez spreparowany e-mail

25 czerwca 2019, 12:25 | W biegu | 0 komentarzy

Mobilny klient poczty od Microsoft posiadał lukę (CVE-2019-1105, bardzo skromny opis na stronie firmy) umożliwiającą zdalne wykonanie kodu na Androidzie. Sprawa zaczęła się, kiedy Bryan Appleby z F5 Networks otrzymał od znajomego bezpieczny kod JavaScript w wiadomości. Ekspert zauważył, że e-mail został dziwnie sformatowany. Wyglądał następująco:   Natomiast po otwarciu…

Czytaj dalej »

XSS w głównej wyszukiwarce Google!

02 kwietnia 2019, 16:40 | W biegu | komentarzy 6

Strona google.com czy google.pl raczej powinny być przepatrzone pod względem bezpieczeństwa już 1000 razy, prawda? Pewnie prawda, ale nie znaczy to, że nie ma tam żadnych podatności. Znany japoński badacz bezpieczeństwa – Masato Kinugawa – pokazał XSS-a w na głównej wyszukiwarce Google. Whoops: Akcja na filmie poniżej: Co było przyczyną błędu?…

Czytaj dalej »