InnyKtosek
  • 3
Czemu "open redirect" prawie wszyscy uważają za lukę bezpieczeństwa? Wszyscy jako przykład ataku podają phishing bo można wygenerować link z domeny X na domenę Y i wstawić to np. w e-maila. No ale litości, w e-mailu mogę równie dobrze wpisać: [http://google.com](http://google.com) i na to samo wyjdzie.

Zna ktoś jakikolwiek sensowy sposób wykorzystania tej luki?

Co ciekawe, Google w swoim programie Bug Bounty wprost stwierdza, że według nich nie jest to luka bezpieczeństwa
  • 7
  • Odpowiedz

  • Otrzymuj powiadomienia
    o nowych komentarzach
securitymb
securitymb
  • 0
@InnyKtosek: W odniesieniu do OAutha, to jeśli używany jest flow "implicit grant", to wówczas client secret nie jest potrzebny, więc open redirect może być przydatny.

Ponadto open redirect jest ciekawy w aplikacjach, które opierają się o jakiekolwiek mechanizmy typu webview (jak zalinkowany wyżej mój tekst o Hangouts Chat).

Moim zdaniem open redirect jako możliwość wykonania phishingu to faktycznie dość naciągany atak. Natomiast, jak wspomniał @ZaufanaTrzeciaStrona, przydaje się przy
  • Odpowiedz
syn_admina
  • 1
gdzieś pojawiło się nazwisko jack posobiec jako lansera tego hasła w tvp
on był wtedy w pl i im sprzedał hasło

odnalazłem go na cwirku, dodałem do obserwowanych a następnego dnia jakieś anglojęzyczne prawaki z usa (z cyklu trump to super gość) zaczeły i mnie obserwować ( ͡° ͜ʖ ͡°)
@twmistrz:
  • Odpowiedz
InnyKtosek
  • 0
@Dorken: Nie. Fabryczne nauszniki są na plastikowych zatrzaskach które łatwo zdjąć. Jedynie w nausznikach od MDR musisz wyciąć kilka dziurek w odpowiednim miejscu aby zrobić miejsce na te zatrzaski.

Operacja w pełni odwracalna i nie zostawia śladu.
  • Odpowiedz
InnyKtosek
  • 3
Mirki, pomóżcie.

Szukam jakiegoś szybkiego routera na którym chce zestawić szyfrowanego VPNa. W tym momencie mam łącze 600mbps i na moim leciwym juz routerze po włączeniu VPN'a z szyfrowaniem prędkość spada do 20mpbs i szukam czegoś co dałoby radę wyciągnąć przynajmniej 300mpbs.

Fajnie by było, gdyby udało się zejść w cenie do maks 1000zł. Zastanawiałem się tez nad tym, aby zbudować sobie coś w oparciu o mini-pc Gigabyte GB-EAPD-4200.

#informatyka
  • 10
  • Odpowiedz

  • Otrzymuj powiadomienia
    o nowych komentarzach
InnyKtosek
  • 3
Muszę zrobić intergracje z pewnym serwisem i ich dział IT napisał mi coś takiego: Serwer oAuth jest pod adresem jakasfirma.com/soap/oauth i tam też jest SOAP na którym musicie wywołać metodę getCostam. Do tego podrzucili mi klient id i secret. I to wszystko. Serio. Oczywiście zamiast jakasfirma i getCostam mam poprawne nazwy. Napisałem do tych typków, aby podesłali mi jakąś dokumentacje, przykład czy choćby WSDL a oni mi odpisują, że przecież wszystko
  • 16
  • Odpowiedz

  • Otrzymuj powiadomienia
    o nowych komentarzach
InnyKtosek
  • 1
@villager:

no czyli cos ten request wychodzi na /, a nie /soap/auth...nie chodzi przypadkiem o firmę na literę O?

Nie, nie na "O" ale chyba wiem o której piszesz i jeśli to ta, to jest podobna liga ;) Typowe duże korpo które ma za dużo hajsów do wydawania na pierdoły i systemy IT sprzed 30 lat pisane przez 60 latków.
  • Odpowiedz
InnyKtosek
  • 6
Czy tylko ja uważam, że te konsolowe narzędzia do git-flow tylko komplikują i dużo szybciej oraz łatwiej jest pracować zgodnie z ideą git-flow ale na klasycznych komendach?

Jakoś łatwiej mi zrobić po prostu git checkout feature/costam niż klepać te git flow checkout costam czy zastanawiać się czym różni się publish od finish gdy mogę zrobić po prostu git push.

#programowanie
  • 4
  • Odpowiedz

  • Otrzymuj powiadomienia
    o nowych komentarzach
InnyKtosek
  • 4
@Yezdemir:

Aż dziwne, że przy obecnej komputeryzacji i ogólnie technologii dalej są manualne skrzynie biegów w samochodach.

Są tańsze no i zapewniają "lepszą" kontrolę nad samochodem a jak powszechnje wiadomo każdy kierowca w weekendy jeździ w rajdach, a przynajmniej takke mam wrażenie jak mówię komuś, że mam automat.
  • Odpowiedz
XenuneX
  • 0
@InnyKtosek: Wiem, że mnie zaraz zminusujecie ale jakoś nie mogę się przekonać do automatu. 2 razy jeździłem i w mieście spoko-wygodnie, ale w trasie mi jakoś nie pasuje. Raz audi a6 z silnikiem prawie 300Km a raz pastuchem 2.0tdi
  • Odpowiedz
InnyKtosek
  • 4
W odpowiedzi na u........ą moderację Wykopu informuję, że z dniem dzisiejszym 30.03.2018 wszystkie moje dane personalne i fotografie, filmy itd. są obiektami moich praw autorskich (zgodnie z Konwencją Berneńską). W celu komercyjnego wykorzystania, modyfikacji, publikacji lub cenzury wszystkich, wyżej wymienionych obiektów praw autorskich, w każdym konkretnym przypadku wymagana jest pisemna zgoda! Wykop jest firmą publiczną. Dlatego też, wszystkim użytkownikom tego portalu ze śmiesznymi obrazkami, zaleca się umieszczenie na swoich stronach podobnych «powiadomień
  • 3
  • Odpowiedz

  • Otrzymuj powiadomienia
    o nowych komentarzach
InnyKtosek
  • 5
Takie podsumowanie dyskusji na wykopie o zasadności karania za znieważenie symboli narodowych:

Znieważanie symboli narodowych
Wkurza ludzi: ✓
Przejaw głupoty: ✓
Krzywdzi ludzi: ✗
  • 3
  • Odpowiedz

  • Otrzymuj powiadomienia
    o nowych komentarzach
InnyKtosek
  • 6
Jeszcze kilka lat temu bardzo popularnym nagraniem w rosyjskim internecie był film zarejestrowany na polskiej autostradzie. Widać na nim, jak kierowcy karnie zjeżdżają z lewego pasa do lewej, a ci z prawego - do prawej krawędzi autostrady. W ten sposób tworzyło się miejsce dla karetki. Korytarz życia. "Tak to powinno się robić na całym świecie, musimy się jeszcze wiele nauczyć" - pisał po rosyjsku internauta, który wrzucił nagranie. Zderzenie czterech aut na
  • Odpowiedz

  • Otrzymuj powiadomienia
    o nowych komentarzach

Osiągnięcia