W biegu

Jeśli jesteście podsłuchiwani (np. w ten sposób), to prawdopodobnie otrzymacie taką informację: Strona bazuje na funkcjach udostępnianych HTTP/2 serwer Caddy.  Który z kolei wykorzystuje teorię opisaną w pracy: The Security Impact of HTTPS Interception. Życzymy: –ms

Ciekawa podatność, zgłoszona przez niemiecki CERT. „Ausführen beliebigen Programmcodes” to nieco szorstkie „Remote Code Exection” – czyli wykonanie dowolnego kodu w OS ofiary (z uprawnieniami użytkownika VLC). Z jednej strony problem wygląda na bardzo poważny (CVSS Base score 9.8/10) z drugiej strony Niemcy klasyfikują go z zagrożeniem 'High’ – nie…

WebRTC w kontekście prywatności opisany został w tym artykule, a skutki jego stosowania w przeglądarkach tutaj. W skrócie: ta technologia pozwala na bezpośrednią komunikację pomiędzy przeglądarkami, a przy okazji może ujawnić nasz prawdziwy, publiczny adres IP (czasami pomimo VPN) czasami również adres lokalny. Właśnie z tego powodu WebRTC powinien być…

Ta nieprzyjemna akcja cieszy sporą popularnością. Mamy możliwych kilka wariantów, np. taki (niektórzy w domenie .tk widzą uwiarygodnienie całej historii), każdy z nich jednak najprawdopodobniej doprowadzi do próby wyczyszczenia Waszego konta. Nie klikajcie w żaden z tego typu linków! Nasi czytelnicy przesyłają kolejne odmiany tego samego „pomysłu”: Po wejściu lądujemy…

Zobaczcie na ten dość dziwny komunikat, o który pytają nas zaalarmowani czytelnicy: Maila od WizzAir otrzymały osoby zarówno z Polski jak i zagraniczni klienci. Na razie nie posiadamy zbyt wielu szczegółów, choć linia lotnicza uspokaja: there was no data breach, but we still recommend you to have your pass reset….

Ekipa Slacka pisze o wprowadzonym właśnie wymuszeniu zmiany hasła dla niewielkiej grupy użytkowników. Chodzi o incydent który miał miejsce w 2015 roku. Atakujący pobrali wtedy min. zahashowane hasła. Atak ten był o tyle ciekawy, że napastnikom udało się również wstrzyknąć fragment kodu, który na żywo pobierał hasła użytkowników w plaintext (np….

O mega wycieku z bułgarskiej skarbówki pisaliśmy wczoraj. Podejrzany o włamanie został najpierw aresztowany, ale już dzisiaj zwolniony z aresztu. Tymczasem na jednym z forów pokazał się prawie 11 GB dump baz, który został wcześniej przekazany dziennikarzom: Baza poza danymi osobowymi czy skarbowymi zawiera również pewne informacje zbierane przez inne…

Po walucie widzicie, że chodzi o USA. Problem był powtarzalny (raz było to $1,905 zamiast $19.05, w innym przypadku $1,308 zamiast $13.08). Czasem było to nawet prawie $10000: Hey @uber, you charged my wife $9672 for a ride that was listed as $96.72, and there’s no way to get in touch…

Poranna gimnastyka umysłowa. Długie wyjaśnienie w linkowanym tekście, krótkie tutaj: [’1′, '7′, ’11’].map(parseInt) doesn’t work as intended because mappasses three arguments into parseInt() on each iteration. Żeby jeszcze bardziej zachęcić do przejrzenia cytowanego opisu, polecam zacząć od tego wpisu (o co chodzi z: if(!!x === !!yy) ?!?). A chcącym rozwijać się dalej – nasze opracowanie: XSS –…

Bleepingcomputer pisze o nadchodzącym połączonym duecie: Firefox Monitor (solidna integracja z przeglądarką ma pojawić się w FF 70) oraz Firefox Lockwise (czyli managerze haseł): Jeśli nasze zapisane konta gdzieś wyciekły, dostaniemy stosowny alert bezpośrednio w przeglądarce: Skąd Firefox czerpie informacje o wyciekach? Ze znanego serwisu haveibeenpwned i nie jest to też pierwsza…

W najnowszej wersji Burp Suite 2.1.01 pojawiła się obsługa WebSocket w Burp Repeater! Wykorzystajmy testową aplikację, aby zobaczyć nową funkcjonalność w akcji.

Reuters donosi o włamaniu na serwery bułgarskiego urzędu skarbowego: hackers had stolen millions of taxpayers’ financial data in an attack that one researcher said may have compromised nearly every adult’s personal records. Włamanie nastąpiło w okolicach końca czerwca 2019r. Atakujący twierdzi, że uzyskał dostęp do 110 baz danych zawierających „ściśle…

Wskazane zostały głównie dwa problemy: Brak odpowiedniej rozliczalności dotyczącej danych medycznych pacjentów (kto, kiedy, jaki dostęp uzyskiwał do danych) Brak wdrożonego dwuczynnikowego uwierzytelnienia przy dostępie do danych medycznych Nieco głębiej zakopana jest chyba ważniejsza przyczyna całej kontroli w szpitalu oraz nałożonej kary: On April 4, 2018, the Haga Hospital reported a…

Jeden obraz wart więcej niż tysiąc słów: Tak, rzeczywiście kolega siedzi i analizuje co pokazał mu nmap w dostępnej w mieszkaniu sieci WiFI: Running nmap on your @Airbnb network is a great way to find hidden cameras and remind yourself you need to improve your posture. Dla śmiałków – radę…

Dość agresywna akcja Amazonu kierowana do amerykańskich klientów. Mogą oni otrzymać $10 kredytu na zakupy jeśli… zgodzą się zainstalować specjalny dodatek do przeglądarki. Opis działania tego sypware-u (tzn. pluginu) może mrozić krew żyłach: For example, we collect and process the URL, page metadata, and limited page content of the website…