W biegu

Prezentacja o web security w Poznaniu

20 stycznia 2015, 09:49 | W biegu | komentarzy 5

4 lutego zapraszam wszystkich (a szczególnie poznańskich ;) czytelników sekuraka na spotkanie grupy PTAQ (Poznań Testing And Quality group). W trakcie godzinnej prezentacji o różnych problemach w aplikacjach webowych pokażę: kilka wersji podatności OS command Exec (łącznie z ShellShock), mniej znany problem –  XXE, będą też dwie chwile o hackowaniu…

Czytaj dalej »

XSS w książce… aktywowany on-line

19 stycznia 2015, 16:45 | W biegu | komentarze 3

Nikt nie dziwi się tym, że w wielu książkach o bezpieczeństwie można znaleźć przykłady wykorzystania podatności XSS. Jednak ciekawe jest to, że czasem takiego „papierowego” XSS-a można aktywować on-line: zobaczcie na stronę www.safaribooksonline.com: PS Lepiej nie szukajcie książek o OS Command Exec ;-) –ms

Czytaj dalej »

Android5: co nowego w bezpieczeństwie?

19 stycznia 2015, 14:34 | W biegu | komentarze 2

O bezpieczeństwie Androida oraz iOS (zarówno od strony systemu operacyjnego, infrastruktury i rynku malware) pisaliśmy już jakiś czas temu. Od dłuższego czasu w systemie Google-a dostępne są takie mechanizmy bezpieczeństwa jak: Sandboxing, SELinux, ASLR, Fortify Source, szyfrowanie danych urządzenia, ostrzeżenia przed wysyłką SMS-ów premium, itd. Mająca już parę miesięcy, piąta…

Czytaj dalej »

Elon Musk wykłada 10 miliardów dolarów na Internet w kosmosie

17 stycznia 2015, 23:22 | W biegu | 0 komentarzy

Czy interesowaliście się kiedyś jak wygląda bezpieczeństwo satelit? Miejmy nadzieję, że niekoniecznie tak jak innego popularnego sprzętu sieciowego (tj. dziurawy Linux na pokładzie). W każdym razie, być może niedługo tego typu problemy będą codziennością – a to za sprawą Elona Musk-a, który wykłada 10 miliardów dolarów na projekt: powszechny Internet…

Czytaj dalej »

‚Skeleton Key’ infekuje kontrolery Active Directory

15 stycznia 2015, 13:04 | W biegu | 1 komentarz

Badacze z Dell SecureWorks Counter Threat Unit (CTU) odkryli malware, który atakuje kontrolery domeny Active Diretory i umożliwia logowanie się jako dowolny użytkownik do pozostałych usług (np. poczta, VPN) w sieciach, które wykorzystują tylko jedno-składnikowe uwierzytelnianie. Analizę zachowania tego złośliwego oprogramowania, które nazwali ‚Skeleton-Key’, można przeczytać na stronie Dell SecurWorks….

Czytaj dalej »

O hakerach na filmowo

14 stycznia 2015, 20:49 | W biegu | komentarzy 6

W 2015 zbliżają się dwie premiery opowieści filmowych o walce w cyberprzestrzeni. W piątek do polskich kin wchodzi film Michaela Manna („Gorączka”, „Informator”, „Ostatni Mohikanin”) pod tytułem „Haker” (oryginał: „Blackhat”). Reżyser znany głównie z filmów poświęconych przestępcom, zainspirowany informacjami o robaku Stuxnet, postanowił podjąć temat przestępstw informatycznych. Oprócz przychylnych zapowiedzi…

Czytaj dalej »

Cyberwar na żywo – kto kogo atakuje – ciekawe wizualizacje

10 stycznia 2015, 17:25 | W biegu | 1 komentarz

Potrzebujecie ciekawego, niebanalnego tła na konferencję czy inną geek-imprezę? Polecam w takim razie przyjrzeć się aktualizowanym na żywo mapom ataków, których zestawienie przygotował Brian Krebs. Na początek polecam Cyber Threat Map autorstwa FireEye: oraz IPviking:   Więcej tego typu serwisów – w oryginalnym poście oraz komentarzach do niego. –ms

Czytaj dalej »

Hacking Cisco ASA – pwned by Mario Bros

10 stycznia 2015, 15:25 | W biegu | 0 komentarzy

Ciekawa prezentacja z końca 2014 roku o hackowaniu urządzenia Cisco ASA. Pewnie część z Was myśli, że software w tym urządzeniu to jakieś tajne i skomplikowane oprogramowanie Cisco, a tak naprawdę to… scustomizowany Linux :) a metody jego rootowania są dość proste: W każdym razie, zainteresowanych tematyką bezpieczeństwa ASY, odsyłam…

Czytaj dalej »

Krótka historia PING-a

10 stycznia 2015, 13:46 | W biegu | komentarze 2

Jak prawie wszystkie początki Internetu, również narzędzie ping wywodzi się z kręgów wojskowych, co opisuje krótka historia tego narzędzia (autorstwa autora pinga ;-). Mike Muuss opisuje zarówno historię nazwy ‚PING’, ale również kilka ciekawostek, typu przekierowanie pinga przez pewnego administratora do zestawu stereo:

Głośniki były ustawione na pełną moc,…

Czytaj dalej »

WarSting: legendarny miecz wykrywający niezabezpieczone sieci WiFi

06 stycznia 2015, 20:10 | W biegu | komentarze 2

Pewnie każdy z nas oglądał „Hobbita”, a przynajmniej „Władcę Pierścieni”. Jeśli tak – znacie na pewno „Żądło” – miecz świecący niebieską poświatą, w momencie gdy w okolicach znajdują się orkowie czy inne gobliny. Jeśli chcecie sprawić dziecku (lub sobie ;) prezent inspirowany „Żądłem” – autor tego bloga pokazuje jak we…

Czytaj dalej »

Hotele legalnie będą zakłócać Twój personal WiFi hotspot?

06 stycznia 2015, 19:30 | W biegu | 1 komentarz

Hotel zakłóca osobiste hotspoty WiFi, zapewniając jedynie swoją usługę bezprzewodowego Internetu, za którą trzeba zapłacić $250 – $1000 per urządzenie. Brzmi jak abstrakcja? Otóż nie, w październiku 2014r. Mariott został ukarany kwotą $600 000 przez amerykańską Federal Communications Commission – właśnie za stosowanie wyżej opisanej praktyki. Co więcej, wiele innych…

Czytaj dalej »

Szkolenie – bezpieczeństwo aplikacji www – 50% rabat

30 grudnia 2014, 15:46 | W biegu | 0 komentarzy

Wszystkich fanów sekuraka zapraszam do skorzystania do udziału w szkoleniu – bezpieczeństwo aplikacji www. Tak naprawdę, szkolenie powinno się chyba nazywać: „zaawansowane bezpieczeństwo aplikacji www”, bo poza pewnymi podstawami można warsztatowo popracować nad takimi podatnościami jak: XXE, Shellshock, LDAP injection, XPATH injection, czy Server Side Javascript Injection. Nie brakuje także…

Czytaj dalej »

Masz otwarty port 26 TCP na swoim QNAP-ie? Może masz robaka…

29 grudnia 2014, 12:40 | W biegu | 0 komentarzy

Jak donosi CERT Polska, ostatnio aktywny jest robak wykorzystujący podatność shellshock w bashu, dostępnym na wielu urządzeniach QNAP-a. Co ciekawe, robak po infekcji sam łata urządzenie. Szybką metodą na sprawdzenie czy jesteśmy zainfekowani, jest sprawdzenie na naszym urządzeniu dostępności portu 26 TCP (robak uruchamia na nim serwer SSH). Więcej informacji…

Czytaj dalej »

NTP – masowe podatności w demonie synchronizacji czasu

27 grudnia 2014, 09:56 | W biegu | komentarze 3

Rok 2014 kończy się odkryciem zbioru podatności w kolejnym szeroko stosowanym oprogramowaniu open source – NTP. Badacze z Google Research team, m.in. odkrywca Heartbleeda – Neel Mehta, ujawnili zbiór podatności w kodzie demona Network Time Protocol. Najbardziej krytyczna z odkrytych luk umożliwia zdalne wykonanie kodu. Szczegółowy opis podatności dostępny jest na stronie ntp.org.

Czytaj dalej »