Złożona analiza niemal 300 aplikacji androidowych zapewniających funkcję VPN-a. Okazuje się że jest gorzej niż źle. Z darmowych aplikacji aż 19% w ogóle nie szyfruje ruchu; aż 66% nie kieruje ruchu DNS do VPN-a (wyciekają zapytania do DNS). To pewnie zapominalscy developerzy? …nie zapomnieli jednak o takich rzeczach jak dorzucenie…
Czytaj dalej »
Ostatnio pisaliśmy o interfejsie webowym, w którym można uzyskać pewne metadane z dowolnego konta na Twitterze. Dzisiaj ktoś opublikował konkretny skrypt w pythonie, uderzający do API Twittera i wyciągający z niego metadane (można to zrobić na @dowolnym_koncie_twittera). Przykład pojedynczego tweeta (jak widać jest tam więcej niż 140 znaków :P) Oraz fragment wyniku…
Czytaj dalej »
Operacja wykorzystuje binarne SMSy, którymi transportuje pakiety WDP (Wireless Datagram Protocol). Jak się okazało, Samsungi procesują odpowiednio przygotowanego SMS-a (wykorzystującego protokół OMA CP) ignorując zupełnie kwestie uwierzytelnienia: As it turns out, our rig was able to send these messages to these devices and they were received and duly processed, despite no…
Czytaj dalej »
W ramach dokumentacji OWASP mamy dostępnych kilka dokumentów które w tym roku mają uzyskać wersję 1.0. Jest to przede wszystkim OWASP Mobile ASVS (Mobile Appsec Verification Standard). Podobnie jak w przypadku klasycznego ASVS, mamy tu do czynienia z rozbudowanymi checklistami dotyczącymi rozmaitych sprawdzeń bezpieczeństwa: Jeszcze chyba ciekawszym dokumentem jest OWASP Mobile…
Czytaj dalej »
Zazwyczaj dokumenty ISO są płatne… a tutaj zrobiono wyjątek, od pewnego czasu dokument proponujący kompleksowe podejście do ujawniania podatności (ISO/IEC 29147) – zarówno od strony badacza bezpieczeństwa jak i właściciela podatnego produktu – jest dostępny bezpłatnie: Vulnerability disclosure is a process through which vendors and vulnerability finders may work cooperatively…
Czytaj dalej »
Najpierw Google, Dropox czy Github, a teraz wreszcie Facebook umożliwia wsparcie dla kluczy zgodnych ze standardem U2F: Using your security key is much like using a key to unlock a door. After entering your password, you can tap your physical security key instead of entering a special security code W skrócie: posiadając…
Czytaj dalej »
Na konferencji BlackHat Asia będzie można niebawem zobaczyć prezentację: Remotely compromising iOS via Wi-Fi and escaping the sandbox. Scenariusz można zobaczyć w opisie prelekcji: In this talk, we discuss how to exploit an iOS device remotely via Wi-Fi without any user interaction, completely bypassing the iOS sandbox. We will disclose a…
Czytaj dalej »
Admini starszej daty (a może i nowszej? ;) na pewno kojarzą linuksowe (uniksowe) narzędzie screen. Parę dni temu został w nim zgłoszony taki błąd: The check opens the logfile with full root privileges. This allows us to truncate any file or create a root-owned file with any contents in any directory and…
Czytaj dalej »
Instalacja dostępna jest tutaj. Okazuje się, że Sanescobarianie starają się tajniakiem wzbogacać uran… zastopuj wirówki i uratuj świat przed tym czarnym reżimem ;) Kto zrobi to pierwszy otrzyma darmowy wjazd na tegoroczną konferencję Confidence. Warunkiem koniecznym jest realizacja ww. zadania i przesłanie writeupa na sekurak@sekurak.pl A więc… rozwal.to –ms
Czytaj dalej »
Systemd, będący jednym z podstawowych procesów w wielu Linuksach, ostatnio nie ma szczęścia z bezpieczeństwem. W zeszłym roku DoS, a teraz możliwość uzyskania pełnych uprawnień roota przez lokalnego użytkownika: It was found that systemd creates world-writable SUID files that allows local attacker to dump binaries into them and run arbitrary…
Czytaj dalej »
Parę dni temu otworzyliśmy sekurakową zamkniętą grupę na LinkedIN (rektuterów nie wpuszczamy :), gdzie będzie od czasu do czasu trochę eksklusivów – zaczniemy za parę dni od rozdania 50 koszulek sekuraka. Info będzie właśnie na tej grupie. Tam też jako pierwsza pojawi się informacja o naszym nowym hackme związanym z elektrownią w San…
Czytaj dalej »
Wydawałoby się, że krytyczny błąd (AKA Heartbleed) w bibliotece OpenSSL, który umożliwia nieuwierzytelniony odczyt pamięci z ofiary, po przeszło 2,5 latach od odkrycia, zostanie już tylko eksponatem w muzeum. Nic bardziej mylnego, raport udostępniony na shodanie, pokazuje cały czas około 200 000 podatnych hostów. W Polsce relatywnie niewiele bo „tylko”…
Czytaj dalej »
W sumie niby wszyscy o tym wiedzą, ale przeraża skala ostatnich scamów na Facebooku, które wyrastają jak grzyby po deszczu: Wojewódzki rozdający Lamborghini (50k polubień w krótkim czasie), wygrane w LOTTO, czy „lewy” pozbywający się za bezcen swojego Audi. Przestępcy dobrze wyczuwają „nastroje społeczne” w Polsce i wiedzą, że można coś obiecać…
Czytaj dalej »
Istna kopalnia wiedzy dla osób potrzebujących szybko zrozumieć dany format pliku (albo przynajmniej zacząć z nim przygodę :) Kto pamięta z DOS-a poczciwe pliki .com ? Coś nowocześniejszego? Zobaczcie pliki ELF (znane chyba najbardziej z Linuksa): Są też zupełnie inne rzeczy jak np. .png: –ms
Czytaj dalej »
Tym razem akcja była krótka, po kradzieży sprzętu, właściciel był w stanie zalogować zdalnie na swój komputer. Później zauważył, że złodziej jest zalogowany na swoje konto Facebooka… Stąd udało się odzyskać numery telefonów, przypięte do konta FB. Wystarczyło puścić odpowiedniego SMSa na te numery + opublikować info o złodzieju na…
Czytaj dalej »
