Mówiąc o wyzwaniach, jakie czekają wszystkich gromadzących, przetwarzających i przesyłających dane osobowe, warto zatrzymać się na chwilę na prawach podmiotów, jakich dane będziemy przetwarzać. Jest to istotne zarówno z punktu widzenie zrozumienia tego, w jaki sposób zabezpieczać zbiory danych, jak również z punktu widzenia ryzyka naruszeń wymagań GDPR.
Czytaj dalej »
Jednym ze sposobów pozyskania kontroli nad atakowanym celem jest wykorzystanie dobrze opisanych błędów w przestarzałych wersjach oprogramowania lub domyślnych ustawień poszczególnych usług działających na atakowanej maszynie. Ten artykuł przedstawi, czym jest proces utwardzania, oraz opisze narzędzia pozwalające w szybki sposób zidentyfikować niepoprawnie skonfigurowane usługi w systemie.
Czytaj dalej »
W temacie backupu mieliśmy już dłuższe teksty o Clonezilli Live oraz Clonezilli Server edition; tym razem dłuższe opracowanie o dostępnym bezpłatnie rozwiązaniu Ur Backup.
Czytaj dalej »
Rozmiar typowej biblioteki waha się w granicach od 10 000 do 200 000 linii kodu, a przeprowadzone badania wskazują, że w przeciętnej aplikacji Javy znajduje się od 5 do 10 luk na każde 10.000 linii kodu. Bazując na tych danych, trzeba stwierdzić, że prawdopodobieństwo nie wystąpienia żadnej luki w bibliotece…
Czytaj dalej »
Pozostańmy jeszcze przy shodanie. Tym razem po to, aby przyjrzeć mu się z punktu widzenia pewnych mechanizmów, środowiska rozproszonego i – bardziej niebezpiecznego. Kilka dni temu, pojawiła się wiadomość, że DC/OS stał się dostępny w chmurze obliczeniowej Azure…
Czytaj dalej »
W wersji podstawowej, jest to program pośredniczący w ruchu HTTP i HTTPS, pozwalający zatrzymywać, edytować i odrzucać wysyłane żądania z przeglądarki internetowej. Niezwykle przydatny do sprawdzania zachowania web aplikacji, po wysłaniu danych innych, niż pozwala użytkownikowi jej frontend. Można to robić w czasie rzeczywistym (czyli zatrzymać żądanie, zmodyfikować i przesłać…
Czytaj dalej »
Trzecia i ostatnia część z serii o deserializacji w Javie i problemów za tym idących. Tym razem dowiemy się jakie mamy strategie zabezpieczenia się przed atakami.
Czytaj dalej »
W artykule znajdziesz odpowiedź na pytanie: dlaczego pozostawianie odsłoniętych publicznie baz – prędzej czy później – kończy się wyciekiem danych? Dowiesz się też o tym, jak łatwo wydobyć dane z serwera ElasticSearch i – wyjątkowych przypadkach – uzyskać dostęp do systemu operacyjnego.
Czytaj dalej »
Kolejna część cyklu tekstów o deserializacji w Javie. Jak już wiemy, całość może prowadzić do wykonania kodu w OS ale również do zDoS-owania naszej aplikacji…
Czytaj dalej »
W artykule przedstawiamy kilka podstawowych zasad, których stosowanie pozwala niskim kosztem zwiększyć ogólny poziom bezpieczeństwa aplikacji webowej.
Czytaj dalej »
Wykorzystanie Race Condition, to metoda ataku polegająca na wykonaniu zapytania w czasie krótszym niż trwa weryfikacja warunków danej akcji aplikacji, np. podczas wgrywania plików na serwer, czas między zapisaniem pliku na dysku a weryfikacją jego typu czy rozszerzenia, pozwala na wykonanie zapytania do zapisanego zasobu.
Czytaj dalej »
Scapy to program służący do manipulowania pakietami. Na sekuraku opisywany był już kilka razy. W tym tekście pokażę, jak wykorzystać go do komunikacji w sieci w standardzie 802.11.
Czytaj dalej »
W tekście wyjaśniono ogólną zasadę działania generatorów liczb pseudolosowych na przykładzie algorytmu XorShift128+, używanego w implementacji funkcji Math.random() we wszystkich najpopularniejszych przeglądarkach. Następnie pokazano, w jaki sposób, używając do tego narzędzie Z3Prover, ustalić stan generatora, znając tylko trzy kolejne liczby zwrócone przez Math.random().
Czytaj dalej »
Znany i często spotykany atak typu cross-site-scripting polega na wstrzyknięciu złośliwego kodu HTML/javascript w treść strony. Najbardziej znanymi konsekwencjami tego ataku są: przejęcie sesji (poprzez wykradnięcie ciasteczek) oraz omijanie zabezpieczeń anty-CSRF. Jednak XSS-y dają nam znacznie więcej możliwości. W poniższym tekście zaprezentuję BeEF’a – narzędzie umożliwiające wykorzystanie tego typu błędów…
Czytaj dalej »
14 czerwca 2016r., znalazłem informację o nowym ransomware o nazwie RAA. Kilka serwisów związanych z bezpieczeństwem określiło go jako pierwsze tego rodzaju oprogramowanie napisane w całości w JavaScripcie, włącznie z algorytmem szyfrującym pliki na dysku komputera ofiary. Dzięki informacjom otrzymanym od @hasherezade, która na co dzień zajmuje się analizą złośliwego oprogramowania,…
Czytaj dalej »
