Teksty

Kilka słów o podatności XSS oraz polyglot XSS

17 sierpnia 2017, 10:50 | Teksty | komentarze 4
Kilka słów o podatności XSS oraz polyglot XSS

Cross-Site Scripting (XSS) to jedna z najczęściej występujących podatności w aplikacjach napisanych przy użyciu języka JavaScript i nie dotyczy to jedynie stron i aplikacji internetowych. Dotyka ona coraz częściej aplikacje desktopowe, rozszerzenia dostępne w przeglądarkach internetowych, interfejsy w urządzeniach IoT i nic nie wskazuje na to, by ten rodzaj zagrożenia…

Czytaj dalej »

Ładne wykresy w Zabbiksie – wykorzystajmy Grafanę

09 sierpnia 2017, 18:15 | Aktualności, Teksty | komentarzy 12
Ładne wykresy w Zabbiksie – wykorzystajmy Grafanę

Czy kiedykolwiek zdarzyła Ci się sytuacja, że wykresy w Zabbixie były niewystarczające? Szef przychodzi do Ciebie i prosi o wykresy obciążenia serwera, tylko “muszą być ładne, ponieważ przedstawia to w zarządzie firmy”? A może masz kilka serwerów Zabbix w firmie i szukasz rozwiązania scentralizowanego przedstawiania danych? Albo po wymianie telewizora…

Czytaj dalej »

Hostowe systemy wykrywania intruzów (HIDS)

07 sierpnia 2017, 11:40 | Aktualności, Teksty | komentarze 3
Hostowe systemy wykrywania intruzów (HIDS)

Jeśli nasze być albo nie być zależy od ekstremalnie wysokiego bezpieczeństwa, możemy schować komputery w bunkrze i unikać połączeń z siecią zewnętrzną. Zwykle jednak, dopóki nie mamy nic wspólnego z bronią jądrową, każda działalność wymaga takiego dostępu, za cenę nieustannego obserwowania, czy ktoś nie próbuje przeniknąć do naszej sieci.

Czytaj dalej »

Czym jest podatność Path Traversal?

03 sierpnia 2017, 12:45 | Teksty | komentarzy 7
Czym jest podatność Path Traversal?

Atak Path Traversal przeprowadza się w sytuacji, gdy podatna aplikacja pozwala na niekontrolowany dostęp do plików oraz katalogów, do których w normalnych warunkach użytkownik nie powinien mieć dostępu. Wektorem ataku są parametry przekazywane do aplikacji, reprezentujące ścieżki do zasobów, na których mają zostać wykonane określone operacje – odczyt, zapis, listowanie zawartości katalogu.

Czytaj dalej »

Jak wykrywać backdoory / webshelle w aplikacjach webowych?

31 lipca 2017, 11:38 | Teksty | 1 komentarz
Jak wykrywać backdoory / webshelle w aplikacjach webowych?

Utrzymując infrastrukturę na której uruchamiane są liczne aplikacje WWW, z czasem może zajść potrzeba wdrożenia mechanizmu, który pozwoli administratorowi zweryfikować, czy pośród standardowych plików zainstalowanych aplikacji nie pojawiło się oprogramowanie niechciane. Artykuł omawia podstawy związane z klasą zagrożeń znanych jako tzw. webshelle.

Czytaj dalej »

Podatność Server-Side Template Injections

25 lipca 2017, 19:50 | Teksty | 1 komentarz
Podatność Server-Side Template Injections

O klasie podatności Server-Side Template Injections (SSTI) zrobiło się głośno dopiero w ostatnim czasie. Bardzo niska świadomość deweloperów, połączona z popularnością różnego rodzaju silników szablonów (ang. Template Engines) – niezależnie od wybranego języka programowania – i fakt, że w większości przypadków rezultatem wykorzystania podatności jest wykonanie dowolnego kodu na maszynie ofiary (ang. RCE – Remote Code Execution), powoduje, że warto poznać zasady działania stojące za tym atakiem.

Czytaj dalej »

Czym jest OWASP OpenSAMM? Czyli jak zwiększyć bezpieczeństwo tworzonego oprogramowania

11 lipca 2017, 19:26 | Teksty | 0 komentarzy
Czym jest OWASP OpenSAMM? Czyli jak zwiększyć bezpieczeństwo tworzonego oprogramowania

OWASP OpenSAMM (Open Software Assurance Maturity Model) to otwarty framework pozwalający na sprawne opracowanie i wdrożenie strategii dot. bezpieczeństwa oprogramowania rozwijany przez OWASP.

OpenSAMM do tematu bezpieczeństwa oprogramowania podchodzi systematycznie i całościowo, definiując 12 praktyk bezpieczeństwa pogrupowanych w 4 podstawowe funkcje biznesowe: Governance, Construction, Verification and Deployment.

Czytaj dalej »

Spoofing paska adresu w Chromie i Firefoksie – czyli opis CVE-2017-5089 i CVE-2017-7763

22 czerwca 2017, 20:29 | Teksty | komentarze 4
Spoofing paska adresu w Chromie i Firefoksie – czyli opis CVE-2017-5089 i CVE-2017-7763

W tym artykule pokazuję sposób, w jaki jeszcze niedawno można było przeprowadzić „spoofing” paska adresu w przeglądarkach Chrome i Firefox. Innymi słowy – sprawić, by domena wyświetlana w pasku adresu przeglądarki nie była tą, na której użytkownik rzeczywiście się znajduje. W konsekwencji atak można wykorzystać do phishingu, np. w celu kradzieży danych użytkownika.

Czytaj dalej »

Z biblioteki pentestera – kilka sposobów na podnoszenie uprawnień w systemie Linux

22 maja 2017, 19:05 | Teksty | komentarzy 11
Z biblioteki pentestera – kilka sposobów na podnoszenie uprawnień w systemie Linux

Niniejszy artykuł jest kontynuacją artykułu nmap w akcji – przykładowy test bezpieczeństwa. W poprzednim artykule pokazałem jak wykorzystać zebrane informacje do uzyskania dostępu do systemu. Natomiast w tym artykule chcę zaprezentować jak uzyskany dostęp zamienić na najwyższe uprawnienia w systemie, czyli wykonać podniesienie uprawnień.

Czytaj dalej »