W biegu

Nowy numer magazynu Programista + nasz tekst o HPKP

18 czerwca 2015, 17:11 | W biegu | 0 komentarzy

O „Programiście” wspominałem niedawno. Obecnie wchodzi do „Empików” nowy numer, w którym można znaleźć artykuł znanego Wam sekurakowca – Michała Bentkowskiego. Michał rozpisał się tym razem o mechanizmie HPKP (Public Key Pinning Extension for HTTP) i jak zwykle mamy tu masę konkretów :) Temat kącika security zresztą chcemy kontynuować i…

Czytaj dalej »

Ukryty moduł w Chrome włącza po cichu audio capture

18 czerwca 2015, 07:54 | W biegu | komentarzy 14

Ciekawe odkrycie opublikowane w bugtrackerze Debiana. Jeden z użytkowników zgłosił fakt, że po upgrade przeglądarka dociąga w tle a następnie ładuje moduł, dla którego nie ma dostępnych źródeł: After upgrading chromium to 43, I noticed that when it is running and immediately after the machine is on-line it silently starts…

Czytaj dalej »

Cybergov – konferencja o ITsec dla administracji publicznej

16 czerwca 2015, 11:40 | W biegu | komentarze 2

Już za dwa dni (18 czerwca 2015) startuje w Warszawie konferencja CyberGOV.  Jest to wydarzenie kierowane typowo do instytucji publicznych, a dokładniej tych zainteresowanych szeroko pojętym bezpieczeństwem IT. W agendzie cieszy na pewno to, że organizatorzy zaprosili do wystąpienia sporo zagranicznych prelegentów – choćby Andreasa Koenena, z prezentacją: „Organizacja systemu…

Czytaj dalej »

Nowa wersja OWASP ZAP – narzędzia do testowania bezpieczeństwa aplikacji www

16 czerwca 2015, 11:07 | W biegu | 0 komentarzy

Od jakiegoś już czasu dostępna jest nowa wersja 2.4.0 tego popularnego (i bezpłatnego) narzędzia do testowania bezpieczeństwa aplikacji webowych. Nowa wersja ZAP-a o tyle cieszy, że wydawało się już że rozwój projektu stanął (jak w przypadku innych podobnych narzędzi budowanych pod skrzydłami OWASP – przykład: Webscarab). Cały rozwój wydaje się…

Czytaj dalej »

Crapware na sourceforge – ucieczka znanych projektów

15 czerwca 2015, 12:08 | W biegu | komentarzy 5

Ostatnio Sourceforge przejmuje na swojej platformie konta znanych projektów. Jakiś czas temu był to GIMP (tutaj SF dodawało do instalatora GIMP-a własny ad-ware/pay-ware), parę dni temu nmap (!). Dołączają też inne znane projekty, 14-czerwca wymigrował z Sourceforge Notepad++, tłumacząc to po prostu tak: SourceForge was a good place; unfortunately, sometimes…

Czytaj dalej »

D-Link Smart Plug. Zdalne wykonanie kodu / SQLi / itd. – do wyboru do koloru ;-)

12 czerwca 2015, 15:15 | W biegu | 0 komentarzy

Peter Adkins umieścił na githubie swoje badania nad inteligentnym gniazdkiem elektrycznym D-Linka (DSP-W110).   Nie będę jeszcze raz wszystkiego przepisywał z oryginalnego researchu ;) ale odpalenie shella wygląda tu bajecznie prosto:

Podobnie wygląda historia z uploadem dowolnego pliku na urządzenie, a gniazdko posiada też choćby SQL injection :) W…

Czytaj dalej »

Rozwal.to konkurs z pulą nagród 2,2kpln

11 czerwca 2015, 10:35 | W biegu | komentarzy 12

Zwróciła się do nas pewna firma z prośba o pewną promocję ich inicjatywy. Z naszej strony padła propozycja organizacji konkursu na rozwal.to (swoją drogą mamy tu już prawie 900 aktywnych kont!). I mamy na to zielone światło. Pula nagród, która jest tu do wykorzystania to 2 200 PLN – które…

Czytaj dalej »

Zaawansowany monitoring ITsec oraz obsługa incydentów IT – szkolenie

10 czerwca 2015, 15:31 | W biegu | 1 komentarz

Mamy dla Was relatywnie nową propozycję szkoleniową: 2-dniowe autorskie warsztaty z obszaru technicznego monitoringu bezpieczeństwa IT. Temat wydaje się być mocno na czasie, biorąc pod uwagę choćby ostatnie doniesienia kolegów z z3s.pl. Warsztaty prowadzi Przemek Skowron, wcześniej odpowiedzialny m.in. za stworzenie zespołu CSIRT dla Grupy Alior Bank. Przemek posiada już co…

Czytaj dalej »

Hakowanie na żywo aplikacji webowych – we Wrocławiu

01 czerwca 2015, 15:38 | W biegu | komentarzy 5

Już 8.06.2015 na spotkaniu WrotQA (wrocławska grupa testerów) będzie można zobaczyć naszą prezentację o bezpieczeństwie aplikacji www. Na żywo pokazanych będzie kilka nietypowych (choć krytycznych) podatności w aplikacjach webowych: m.in. niedawno zlokalizowane krytyczne błędy w Nuxeo (temat ten prezentowałem po raz pierwszy  tydzień temu na konferencji Confidence). Całość pokazywana będzie…

Czytaj dalej »

Kolejna edycja zaawansowanego szkolenia Mario Heiderich-a

28 maja 2015, 10:39 | W biegu | 0 komentarzy

Niedługo (22-23.06.2015) rusza w Krakowie druga edycja szkolenia: Offensive HTML, SVG, CSS and other Browser-Evil. O samym szkoleniu już pisaliśmy jakiś czas temu przy okazji pierwszej edycji tego kursu. Warto tu przypomnieć, że całość prowadzi światowej renomy badacz bezpieczeństwa – Mario Heiderich. A podsumowując – jest to propozycja przeznaczona dla…

Czytaj dalej »

Nowe D-Linki – nowy sposób na zdobycie roota bez uwierzytelnienia

11 kwietnia 2015, 12:40 | W biegu | 1 komentarz

Niedawno pisaliśmy o nowych D-Linkach, a teraz pojawiło się ciekawe badanie pokazujące w jaki sposób zrealizować nieuwierzytelniony dostęp na root-a. Wystarczy jeden prosty request HTTP…

Winne jest bezpośrednie przekazanie parametru z tego requestu do funkcji:

Kto by się przejmował jakimś filtrowaniem wejścia, prawda? :) Fanom tego typu zabaw…

Czytaj dalej »

rozwal.to – ostatnie dni systemu beta

08 kwietnia 2015, 13:04 | W biegu | komentarze 4

W naszej platformie hackme / CTF – rozwal.to – mamy już niemal wszystko: domenę, logo, grafikę, 40 pierwszych flag do zdobycia i prawie 80 użytkowników którzy obecnie biorą udział w betatestach. Obecnie cięte są grafiki a w przyszłym tygodniu będą integrowane w platformę. Za około 3 tygodnie możecie się więc…

Czytaj dalej »

Hackowanie bankomatu… łomem i młotem

08 kwietnia 2015, 12:51 | W biegu | komentarze 2

Brian Krebs opisuje ciekawy przypadek ‚hackowania’ bankomatu. Mimo że fizyczne ataki na tego typu urządzenia nie są niczym nowym, to jednak profesjonalni przestępcy zazwyczaj robią to bardziej wyrafinowanymi narzędziami (jak choćby palnikami). Tym razem jednak użyto tradycyjnego brute force z wykorzystaniem narzędzi typu łom czy młot:   Koszt zniszczeń samych…

Czytaj dalej »

Prezentacja sekuraka na Twoim spotkaniu

07 kwietnia 2015, 11:20 | W biegu | 0 komentarzy

W ostatnim czasie reaktywowaliśmy nasze prezentacje na polskich konferencjach i spotkaniach: koniec zeszłego roku – Secure (prezentacja dostała #1 miejsce za merytorykę, wyprzedzając nawet Mikko Hypponen-a – choć bez ściemy: sami nie czujemy się mocniejsi merytorycznie niż Mikko), niedawna prezentacja na poznańskim Ptaq, oraz tegorocznym Semaforze.  Będziemy też niedługo z…

Czytaj dalej »