Artykuły wiodące marcowego wydania „Linux Magazine” są poświęcone budowie systemów NAS – sieciowych pamięci magazynujących (ang. Network-Attached Storage) – z użyciem Raspberry Pi z dystrybucją OpenMediaVault oraz systemu Rockstor Linux. Na dołączonym DVD znajduje się Tails 2.10. Wewnątrz wydania również: audyt systemu z Linux Audit Frameworkiem, tworzenie własnej chmury Nextcloud,…
Czytaj dalej »
Puszka Pandory znana też jako Vault 7 lub wyciek z CIA, zatacza kolejne kręgi. Tym razem Cisco opublikowało podatność oflagowaną jako Critical (9.8/10 w skali CVSS). Problematyczne jest też to, że producent na razie nie udostępnił patcha… A vulnerability in the Cisco Cluster Management Protocol (CMP) processing code in Cisco IOS…
Czytaj dalej »
Ciekawe zastosowanie technologii w słusznej sprawie. Aplikacja TraffickCam daje możliwości namierzenia konkretnego hotelu, w którym reklamowane są usługi erotyczne, bardzo często bazujące na seksualnym niewolnictwie. Często oferty tego typu mają postać zdjęcia konkretnego pokoju z konkretną dziewczyną, nie mówiąc już o dzieciach… W samej bazie używanej przez policję amerykańską znajduje się obecnie…
Czytaj dalej »
W ramach tegorocznego konkursu PWN2OWN, jednym z ciekawszych osiągnięć było wyskoczenie z maszyny wirtualnej do głównego systemu (celem był VMware Workstation). Podatność została złożona w kombo przez załogę 360 Security: poza problemem w VMware, użyty tu został bug w microsoftowej przeglądarce Edge oraz podatność w jądrze Windowsa. Atak wyglądał więc tak, że po…
Czytaj dalej »
Wcześniej podobny sprzęt został użyty do uderzenia w ciężarówkę (wystarczyło parę sekund): Nie jest to efekt jak w Star Wars – promień będzie niewidzialny i będzie ciągły. Dużym plusem jest też brak czasu dotarcia promienia do celu (a bardziej precyzyjnie mamy tu mniej więcej prędkość światła :) Tego typu urządzenie nie…
Czytaj dalej »
Tym razem będzie mały miks – pokażę trochę tricków z hackowaniem aplikacji webowych „na żywo” – temat był raczej mało eksplorowany prze ze mnie na rozmaitych konferencjach – więc pewnie cały czas na czasie :) Na deser będzie też coś w miarę świeżego – jeszcze nie publikowane podatności w jednej z…
Czytaj dalej »
Temat testowo zapuściłem na nasz profil FB i widać Wasze ogromne zainteresowanie pomysłem! Zakup takiej książki będziemy też traktować jako wsparcie sekurak-a. Założenia: Temat Bezpieczeństwo aplikacji webowych. Może zabrzmi to nieco górnolotnie – ale na rynku nie ma obecnie dobrej, przekrojowej książki w tym temacie (licząc również literaturę anglojęzyczną). To…
Czytaj dalej »
Od przejmowania sesji administratora po wykonanie kodu, za pomocą generowania odpowiednio spreparowanych pakietów UDP. Podatna jest usługa networkmap, odpowiedzialna za mapowanie (czy bardziej precyzyjnie – sprawdzanie pewnych funkcji czy usług), nowych komputerów w LAN: networkmap is responsible for generating a map of computers connected to the router. It continuously monitors…
Czytaj dalej »
Właśnie wypuszczona nowa wersja Notepad++ łata pewien problem, wykorzystywany przez narzędzia opisane w wycieku z CIA. Nie chodzi tym razem o podatność w Notepad++ a o plik scilexer.dll, który podmieniany jest po udanej kompromitacji jednym z ofensywnych narzędzi. W ten sposób, Notepad++ zmieniany był w niewinnego szpiega, umożliwiającego komunikację z atakującymi. Od wersji…
Czytaj dalej »
Popularna platforma Mikrotik ma opinie bezpiecznej (patrz swoją drogą nasze tutoriale – firewall, czy obsługa wielu łącz). Jenak i jej nie ominął ostatni wyciek z CIA opublikowany przez załogę Wikileaks. Producent w reakcji na opisy paru ataków z wycieku wypuścił patcha, usuwającego ewentualne złośliwe pliki na ruterach, które mogły zostawić exploity…
Czytaj dalej »
Ciekawy mini raport z podatnościami w jednym z systemów tworzonych przez dostawcę o wiele mówiącej nazwie: dnaTools. Jedną z funkcji podatnego systemu dnaLIMS jest interfejsowanie do maszyn sekwencjonujących DNA: dnaLIMS interfaces directly with ABI-377, 3100, 3130, 3700, and 3730. Other sequencers upon requests. Dla ciekawskich, tak np. wygląda ABI-377 Jakie tam…
Czytaj dalej »
Tytuł może być nieco mylący, bo chodzi nie tyle o aktualizowanie czy łatanie samej aplikacji, ale o monitorowanie wersji biblioteki Struts (czy ogólnie bibliotek). Popularny Apache Struts, właśnie załatał podatność umożliwiającą wykonanie kodu w OS na serwerze. Tymczasem w sieci realizowane są już próby exploitowania buga: Co robić? Po pierwsze…
Czytaj dalej »
Ktoś włamuje się do Twojego domu podczas Twojej obecności. Nie będziesz się grzecznie uśmiechał i czekał aż dom będzie obrabowany – „bo nie można nic zrobić chronionemu prawnie napastnikowi”. Oczywiście to absurd i na taką sytuację zwraca m.in. propozycja wprowadzenia do prawa USA możliwości aktywnej obrony przed cyberatakami (roboczo: Active Cyber…
Czytaj dalej »
Wpis w formie małej rozrywki intelektualnej, nawiązującej do ostatnio głośnego tematu z kolizją SHA-1. W procedurze, autor pisze o zapisaniu plików na dowolna partycję NTFS. A wcześniej – o rozpakowaniu plików z archiwum 7zip. Dlaczego powyższa sztuczka działa? Wpisujcie pomysły w komentarzach, a ja podrzucę na start 2 hinty: 7ip /…
Czytaj dalej »
Backupy jak wiadomo trzeba robić. Warto je również testować, ale także nie udostępniać publicznie. Jest to oczywiste? Niby tak, ale to właśnie przypadkowe, publiczne udostępnienie backupu spowodowało jeden z większych wycieków danych osobowych w historii. Zmieniać hasła na Skype, Hiphata i do wszystkiego. Chyba nas haknęli. To w wolnym tłumaczeniu…
Czytaj dalej »
