Dlaczego hackowanie aplikacji webowych jest proste? Zapisz się na darmowe szkolenie od sekuraka.

W biegu

Lenovo instaluje adware w nowych komputerach

19 lutego 2015, 09:18 | W biegu | komentarze 4

Dokładniej chodzi domyślnie instalowane  oprogramowanie SuperFish, które radośnie poprzez mały MiTM wstrzykuje reklamy do Chrome / Internet Explorera. Porażka? Dla marketingowców nie ma jednak nic straconego, jak tłumaczy uprzejmy pan z Lenovo, ten adware: helps users find and discover products visually” and “instantly analyzes images on the web and presents…

Czytaj dalej »

Telefon z Ubuntu na pokładzie dostępny w sprzedaży

17 lutego 2015, 11:18 | W biegu | komentarzy 5

Arstechnica donosi o ciekawym projekcie telefonu wykorzystującego popularną dystrybucję Linuksa – Ubuntu. Aquaris E4.5 Ubuntu Edition, kosztuje niecałe 170 EUR, i sprzętowo wygląda nieźle: 4,5 calowy ekran, 4-corowy CPU – Cortex A7 , 1 GB RAM i 8 GB (rozszerzalnej) przestrzeni dyskowej. Wielu z Was ucieszy też pewnie obsługa dual…

Czytaj dalej »

µBlock czyli nowa alternatywa do AdBlocka

15 lutego 2015, 20:06 | W biegu | komentarzy 10

µBlock (dostępna dla: Firefoxa, Chrome, od niedawna również Safari) to stosunkowo nowa wtyczka blokująca reklamy, a pisana z myślą o: wydajności (małe obciążenie CPU, mała zajętość pamięci) oraz łatwej a zarazem rozbudowanej możliwości konfiguracji. Zarówno benchmarki jak i opinie użytkowników wyglądają naprawdę bardzo dobrze: Jeśli macie dobre wrażenia z używania…

Czytaj dalej »

Microsoft łata krytyczny błąd w Windowsach mający 15 lat…

12 lutego 2015, 21:18 | W biegu | komentarze 3

Ostatnimi czasy Microsoftowi ciężko idzie ze sprawnym wydawaniem poprawek bezpieczeństwa. Tymczasem, dwa dni temu na technecie ukazał się ciekawy opis scenariusza wykorzystania dwóch co dopiero załatanych błędów: MS15-011 (Vulnerability in Group Policy Could Allow Remote Code Execution) oraz MS15-014 (Vulnerability in Group Policy Could Allow Security Feature Bypass). Całość polega…

Czytaj dalej »

Deszyfrowanie ruchu SSL/TLS w Wiresharku

12 lutego 2015, 20:37 | W biegu | komentarze 4

Funkcjonalność deszyfrowania ruchu SSL/TLS w Wiresharku istniała od dawna (oczywiście po podaniu do tego narzędzia odpowiedniego klucza prywatnego, co było możliwe do zablokowania mechanizmem forward secrecy – czyli sam klucz prywatny nie wystarczał do odszyfrowania ruchu). Jednak już od wersji Wiresharka 1.6+ istnieje możliwość bezpośredniego podania klucza symetrycznego sesji SSL/TLS…

Czytaj dalej »

Używasz Internet Explorera? Możesz mieć XSS-a w każdej domenie

06 lutego 2015, 15:03 | W biegu | 1 komentarz

Kilka dni temu na liście dyskusyjnej full disclosure został opublikowany błąd pozwalający na wykonanie XSS-a w kontekście dowolnej domeny w najnowszych wersjach Internet Explorera. Odkrywca błędu, David Leo, zgłosił ten błąd do Microsoftu 13 października 2014, jednak błąd nie jest wciąż poprawiony. Oryginalny PoC (proof of concept) nie był zbyt czytelny,…

Czytaj dalej »

Quick Tip: Mozilla SSL Configuration Generator

02 lutego 2015, 18:22 | Narzędzia, W biegu | komentarze 4
Quick Tip: Mozilla SSL Configuration Generator

Ostatni rok przyniósł nam wiele medialnych podatności, takich jak chociażby POODLE. Powoduje to coraz większe zainteresowanie tematem hardeningu SSL, a to przekłada się na więcej próśb znajomych deweloperów o sprawdzenie konfiguracji SSL. Warto więc zapisać sobie link do narzędzia Mozilli o nazwie SSL Config Generator, aby zaoszczędzić sobie nieco czasu :-). Powyższe narzędzie pozwala przygotować…

Czytaj dalej »

Portal randkowy Topface zapłacił za nieujawnianie wycieku danych

01 lutego 2015, 16:43 | W biegu | komentarze 2

Rosyjski portal randkowy, Topface.com, padł ofiarą udanego ataku, w wyniku którego cyberprzestępcy weszli w posiadanie bazy około 20 milionów adresów mailowych. Nie byłoby w tym doniesieniu nic szczególnie istotnego (do takich ataków dochodzi coraz częściej), gdyby nie fakt, że Topface zaproponowało przestępcom „okup”, by nie dopuścić do sprzedaży danych na…

Czytaj dalej »

Konkurs na najlepszy tekst o bezpieczeństwie – zwycięzcy

30 stycznia 2015, 12:16 | W biegu | komentarzy 13

Trochę zeszło nam czasu z wyłonieniem zwycięzców w ostatnim konkursie na najlepszy tekst o bezpieczeństwie… W każdym razie wyniki wyglądają następująco: Pierwsze miejsce – Aleksander Janusz, za pracę: „Szybka Analiza Malware” Nagroda: dostęp do oficjalnych materiałów przygotowujących do CHFIv8  (Computer Hacking Forensic Investigator) + voucher Prime IBT na egzamin. Drugie…

Czytaj dalej »

Zostań autorem na sekuraku

28 stycznia 2015, 18:27 | W biegu | 0 komentarzy

Jeśli macie w głowie pomysł na ciekawy artykuł / news (najlepiej na bazie swoich doświadczeń) to zachęcam do podzielenia się tą wiedzą na sekuraku. Każdy z nas jest zapracowany, więc od razu proponujemy współpracę komercyjną (w formie konkretnego wynagrodzenia per strona tekstu). Jakie tematy nas interesują? Związane z bezpieczeństwem :-)…

Czytaj dalej »

GHOST: nowa krytyczna podatność – łatać się kto może…

27 stycznia 2015, 18:32 | W biegu | komentarzy 11

Mieliśmy shellshocka, mieliśmy heartbleeda, czas na GHOSTA, który dzisiaj został ogłoszony przez team Qualysa. Błąd tym razem jest przepełnieniem bufora w jednej z funkcji standardowej linuksowej biblioteki glibc: __nss_hostname_digits_dots() – ale można się do niej „dobić” (exploitując podatność) korzystając niezmiernie popularnej rodziny funkcji:   gethostbyname*(). Jak to piszą odkrywcy buga: This…

Czytaj dalej »

Jak w Javascript poznać publiczny (oraz prywatny!) adres IP?

27 stycznia 2015, 12:14 | W biegu | komentarzy 11

Zobaczcie tylko na jeszcze świeży kawałek Javascriptu tutaj. Przykładowo – w Chrome wystarczy użyć F12 -> Console i wkleić kod do przeglądarki. Można też z niewielką modyfikacją (ostatnia linijka) uruchomić taki javascript ze swojego serwera. Co wykorzystuje ten mechanizm? Na razie jeszcze mało popularny mechanizm WebRTC (Web Real-Time Communication), wykorzystywany…

Czytaj dalej »