KacperSzurek
  • 100
W serii #od0dopentestera opowiadam głównie o atakach na strony internetowe.
Ale przecież większość firm posiada swoje fizyczne biura.
Nic zatem nie stoi na przeszkodzie aby potencjalny atakujący spróbował dostać się do biurowca i zaatakować firmę właśnie tam.
Jak może wyglądać takie kontrolowanie włamanie?

Pierwsza przeszkoda to bramki kontroli dostępu.
KacperSzurek - W serii #od0dopentestera opowiadam głównie o atakach na strony interne...
  • 8
  • Odpowiedz

  • Otrzymuj powiadomienia
    o nowych komentarzach
el_loco_crooliko
el_loco_crooliko
  • 71
@KacperSzurek: kilka lat temu robiłem projekt w banku. Raczej standardowe zabezpieczenia, karta dostępu, kontrola czy nie wnosisz/wynosisz jakiegoś komputera (trzeba było mieć wtedy papier).
Aż projekt się skończył i została mi powierzona funkcja wyniesienia naszego sprzętu (kilka komputerów). Więc wziąłem platformę, zapakowałem na nią komputery i wyjechałem z biurowca. Dwa razy z pełną platformą. Bez jakiejkolwiek kontroli. Strażnik mi jeszcze bramkę przytrzymał.
  • Odpowiedz
KacperSzurek
  • 31
Jakiś czas temu tłumaczyłem błąd CSRF, który może prowadzić do nieświadomego wykonania akcji przez zalogowanego użytkownika.
Wtedy jako rozwiązanie podałem używanie dodatkowego pola z losową wartością.
Ale czy ruch twórców przeglądarki Google Chrome może doprowadzić do końca tego rodzaju podatności?

Planowane jest bowiem ustawienie flagi SameSite=Lax dla wszystkich ciasteczek.
W wersji Strict przeglądarka nie dołączy ciasteczka do żądania, które pochodzi z innej domeny.
KacperSzurek - Jakiś czas temu tłumaczyłem błąd CSRF, który może prowadzić do nieświa...
  • 4
  • Odpowiedz

  • Otrzymuj powiadomienia
    o nowych komentarzach
Michuy
  • 8
15) Zero Width Shortener - interesujący skracacz linków wykorzystujący znaki o zerowej szerokości

https://zws.im

INFO: w praktyce to oznacza tyle, że wszystkie linki utworzone w tej aplikacji wyglądają (wizualnie) tak samo, ale prowadzą do innych miejsc w sieci


@imlmpe: i jak taki link udostępnić skoro każde medium wytnie te ukryte znaki...
  • Odpowiedz
KacperSzurek
  • 70
Czasami aby przeprowadzić atak na użytkownika musimy przekonać go do wykonania pewnej czynności. #od0dopentestera
Tak jest w przypadku self XSS, kiedy to ofiara musi samodzielnie otworzyć konsolę deweloperską przeglądarki (w przypadku Chrome przy użyciu F12) a następnie wkleić tam kod #javascript otrzymany od atakującego.

Innym przykładem są błędy w obsługiwaniu niektórych nagłówków przesyłanych przez przeglądarkę, chociażby User-agent, czyli informacji na temat wersji programu, której aktualnie używamy.
Ten nagłówek
KacperSzurek - Czasami aby przeprowadzić atak na użytkownika musimy przekonać go do w...
  • 9
  • Odpowiedz

  • Otrzymuj powiadomienia
    o nowych komentarzach
imlmpe
  • 253
◢ #unknownews ◣

Najnowszy przegląd ciekawostek z sieci już na Ciebie czeka. Dziś znów się tego trochę uzbierało, więc jest z czego wybierać :)


1) Jak zbudować aplikację? - seria 16 filmów przygotowanych przez Toma Scotta. Warto rzucić okiem!
https://www.youtube.com/playlist?list=PL96C35uN7xGJu6skU4TBYrIWxggkZBrF5
imlmpe - ◢ #unknownews ◣ Najnowszy przegląd ciekawostek z sieci już na Ciebie czek...

źródło: comment_izPJHNN5Kei8KEiDFpt38o0J6GGeBgwL.jpg

Pobierz
  • 45
  • Odpowiedz

  • Otrzymuj powiadomienia
    o nowych komentarzach
kary_koniu
  • 13
21) Jak przełamać monopol Google na rynku wyszukiwarek? uczynić ich indeks wyszukiwania publicznym


Świetny pomysł xD Wtedy powstanie milion wyszukiwarek różniących się innym UI/filtrowaniem wyników i tak zebranych i zapytań i tak śledzonych przez Googla xD Thanks for nothing xd
  • Odpowiedz
KacperSzurek
  • 117
Pracujesz z dużą ilością serwerów podczas swojej pracy?
Do każdego z nich logujesz się przy pomocy swojego klucza SSH?
A co w przypadku gdy do wielu serwerów dostęp powinno mieć wielu użytkowników?
Czy klucz każdego z nich należy dopisać do pliku ~/.ssh/authorized_keys?
Co w sytuacji gdy użytkownik straci kontrolę nad swoim kluczem prywatnym albo odejdzie z firmy?
Jak zarządzać taką
KacperSzurek - Pracujesz z dużą ilością serwerów podczas swojej pracy? Do każdego z ...
  • 11
  • Odpowiedz

  • Otrzymuj powiadomienia
    o nowych komentarzach
Cesarz_Polski
  • 1
@KacperSzurek: no i mogę w końcu wyrzucić tag z czarnej i zaobserwować. Jak mnie denerwowało to, że streszczasz weekendową od z3s, to teraz przypadkiem na to trafiłem i mnie kupiłeś, tym, że w końcu to nie są streszczenia.
  • Odpowiedz
KornixPL
  • 41
1) NAPRAWDĘ źle zaprojektowany interfejs użytkownika - spróbuj wypełnić ankietę tak szybko jak to możliwe


@imlmpe: Co za psychol to projektował, mam ochotę się pociąć a dopiero byłem na wpisaniu maila i hasła
  • Odpowiedz
KacperSzurek
  • 48
Czy moje hasło jest bezpieczne? #od0dopentestera
A może znalazło się w jakimś wycieku danych?
Jak mogę to sprawdzić?

Pierwsza możliwość to samodzielne odnalezienie linków do baz zawierających dane z wycieków.
Następnie należy je wypakować, odpowiednio przetworzyć i spróbować odnaleźć w nich swoje hasła.
KacperSzurek - Czy moje hasło jest bezpieczne? #od0dopentestera A może znalazło się ...
  • 24
  • Odpowiedz

  • Otrzymuj powiadomienia
    o nowych komentarzach
efek
efek
via Wykop Mobilny (Android)
  • 5
jak raz sprawdzisz przez jakąkolwiek wyszukiwarkę haseł to już napewno będzie w bazie wycieknietych haseł xd


@atari_XE: czytałeś co napisał @KacperSzurek: ?
Pomogę Ci znaleźć odpowiedni fragment w tej "ścianie" tekstu..

Serwis lokalnie, na naszym komputerze wylicza hash sha1 a następnie pobiera z
  • Odpowiedz
rorschach
  • 19
Jak pozbyć się zbytecznych meetingów w pracy? wprowadzić opłaty za używanie sali konferencyjnej ;)


@imlmpe: pracowałem w firmie, która rozszerzyła ten model zarządzania na wszystkie aspekty. Wszystko było płatnym zasobem, na każdy projekt dostawałeś budżet z którego miałeś opłacić wszystkie rzeczy potrzebne do realizacji projektu. Wszystkie wydruki, korzystanie z auta, korzystanie z sal konferencyjnych były opłacane z budżetu projektowego. Żeby było jeszcze zabawniej, premia na koniec projektu była wypłacana w postaci
  • Odpowiedz
KacperSzurek
  • 126
Jak działa kradzież karty SIM? Co to jest SIM swap?
Dlaczego banki chcą abyśmy zrezygnowali z potwierdzania przelewów przy użyciu SMSów?
O tym dzisiaj w #od0dopentestera

Zazwyczaj sam login i hasło bankowości elektronicznej nie wystarczą aby zlecić przelew.
Bank chce mieć pewność, że to my zleciliśmy transakcję dlatego wykorzystuje idee dwuskładnikowej weryfikacji.
KacperSzurek - Jak działa kradzież karty SIM? Co to jest SIM swap? Dlaczego banki ch...
  • 26
  • Odpowiedz

  • Otrzymuj powiadomienia
    o nowych komentarzach
ultra
ultra
  • 2
@KacperSzurek:
Warto wiedzieć bo kiedyś (na ile mi się wydaje) nie było.
Jak piszesz nie zabezpiecza całkowicie bo były wykopy bądź czytałem poza serwisem że gość wtopił gdy pożyczono na niego kasę w firmach które nie widziały sensu by cokolwiek sprawdzać.
Mimo że używam niemal od zarania to wydaje mi się że na obecnym poziomie bezpieczeństwa bankowość elektroniczna wydaje się coraz bardziej emocjonującą zabawą jeśli dotyczy relatywnie sporych kwot.
Sporych
  • Odpowiedz
KacperSzurek
  • 23
Co to jest błąd typu 0 day oraz 1 day? #od0dopentestera
Kim jest black hat oraz white hat?
Jaka jest różnica pomiędzy responsible a full disclosure.
A także na czym polega polityka 90 dni?

Nowoczesne aplikacje wykorzystują sporo kodu stworzonego przez inne osoby.
KacperSzurek - Co to jest błąd typu 0 day oraz 1 day? #od0dopentestera Kim jest blac...
  • 6
  • Odpowiedz

  • Otrzymuj powiadomienia
    o nowych komentarzach
Texit
Texit
  • 3
@terwer358: ja p------e czemu tu jest taka patola
Gościu coś robi, żeby wam coś wytłumaczyć, ma zajawke, a Ty z mordą, grzecznie wystarczy powiedzieć żeby już nie wołał i tyle.

Wykop spada na psy, 15 plusów dla takiego wpisu, a jakieś patologiczne magicale mają 1000+.

@KacperSzurek: super temat, oby tak dalej ( ͡° ͜ʖ ͡°)
  • Odpowiedz
badsector
  • 2
Nagrałem podcast z osobistymi przemyśleniami i wrażeniami po obejrzeniu dokumentu braci Sekielskich. Ciekawi mnie, co myślicie o prawnym utransparentnieniu związków wyznaniowych w taki sposób, jak teraz jest to np. w przypadku organizacji pożytku publicznego.

https://randomseed.pl/pod/randomcase/002-tylko-nie-mow-nikomu-reakcja/

#tylkoniemownikomu #podcast #jawnosc #polska #kosciol #ediscovery
  • Odpowiedz

  • Otrzymuj powiadomienia
    o nowych komentarzach
KacperSzurek
  • 60
Co to jest atak BadUSB? Czyli jak podpinając #raspberrypi do routera można monitorować ruch w danej sieci.
Co oznacza termin trust on first use - jak sprawdzać, kto czai się po drugiej stronie komunikatora.
Dlaczego samo zakrywanie danych w dokumentach nie zawsze wystarczy.
Na czym polegał błąd SQL Injection w oprogramowaniu sklepu internetowego Magento?
Kopiowanie plików z kontenera Kubernetes powodem wykonania kodu na komputerze administratora - o symlinkach w plikach tar.

Subskrybuj
KacperSzurek - Co to jest atak BadUSB? Czyli jak podpinając #raspberrypi do routera m...
  • 6
  • Odpowiedz

  • Otrzymuj powiadomienia
    o nowych komentarzach
KacperSzurek
  • 102
W większości języków programowania możemy tworzyć obiekty - czyli instancje klas.
Serializacja to sposób na przechowywanie obiektów lub struktur tak aby mogły być łatwo transmitowane.
Z deserializacją niezaufanych obiektów mamy do czynienia jeżeli użytkownik kontroluje zawartość zserializowanego obiektu.
Serwer aby przetworzyć tak zapisany obiekt, musi bowiem wykonać operację odwrotną nazywaną deserializacją.
W niektórych językach podczas tej procedury, pewne metody są wywoływane automatycznie.
W PHP te metody nazywane są magicznymi i zaczynają się od podwójnego podkreślenia.
KacperSzurek - W większości języków programowania możemy tworzyć obiekty - czyli inst...
  • 23
  • Odpowiedz

  • Otrzymuj powiadomienia
    o nowych komentarzach
zakopiak
zakopiak
  • 25
Z deserializacją niezaufanych obiektów mamy do czynienia jeżeli użytkownik kontroluje zawartość zserializowanego obiektu.

@KacperSzurek: Nie zrobił tego nikt nigdy.

Co za absurdalny pomysł. Wektor ataku wymyślony tak na siłę, że aż się śmiać chce. Serializacji nie używa aby przesyłać obiekty pomiędzy systemami. To bez sensu choćby ze względu na fakt, że w takim przypadku nie ma możliwości zmiany kodu klasy bez łamania kontraktu. Pomijam szereg innych powodów jak np. separacja warstw oprogramowania.
  • Odpowiedz
ZaufanaTrzeciaStrona
  • 7
Jak dostać 122 miliony dolarów od Facebooka i Googla? Trzeba założyć firmę i wysłać kilka fałszywych dokumentów - i już: http://www.wykop.pl/link/4865707/jak-przedsiebiorczy-litwin-oszukal-google-i-facebooka-na-122-mln-dolarow/
#bezpieczenstwo #security #zaufanatrzeciastrona
ZaufanaTrzeciaStrona - Jak dostać 122 miliony dolarów od Facebooka i Googla? Trzeba z...

źródło: comment_tQO3sRFj2pOHBKFMVMfvsqpEKaZhvFs0.jpg

Pobierz
  • Odpowiedz

  • Otrzymuj powiadomienia
    o nowych komentarzach
KacperSzurek
  • 12
Czy wiesz co można odnaleźć w zakładce Ważne miejsca w #iphone
Jak dzieci omijają blokady rodzicielskie na komputerach przy użyciu strony Google Docs.
Co było powodem unieważnienia dwóch milionów certyfikatów SSL - o brakującym bicie w numerze seryjnym.
Do czego może prowadzić udostępnianie swoich zdjęć w Internecie na licencji Creative Commons.
Bezpieczne przechowywanie plików w chmurze - o konfiguracji współdzielonych folderów w usłudze box.com
A także o badaniu pokazującym kiedy programiści piszą swój kod w
KacperSzurek - Czy wiesz co można odnaleźć w zakładce Ważne miejsca w #iphone Jak dz...
  • 9
  • Odpowiedz

  • Otrzymuj powiadomienia
    o nowych komentarzach
L.....m
L.....m
  • 1
@KacperSzurek: warto dodać, że dostęp do tych danych chroniony jest kodem. A Google też zapisuje takie dane o naszym urządzeniu jak nie wyłączymy tej opcji na swoim koncie a mamy appki Google w których jesteśmy zalogowanii
  • Odpowiedz
KacperSzurek
  • 15
W atakach XSS treść podana przez użytkownika jest wyświetlana bezpośrednio w przeglądarce.
Wygląd każdej strony internetowej opiera się na połączeniu HTML, CSS i JavaScript.
Jeżeli użytkownik kontroluje to, co się wyświetla - może dodać swój własny kod do naszej strony.

Podatności XSS możemy podzielić na 3 główne rodzaje.

W
KacperSzurek - W atakach XSS treść podana przez użytkownika jest wyświetlana bezpośre...
  • 5
  • Odpowiedz

  • Otrzymuj powiadomienia
    o nowych komentarzach
KacperSzurek
  • 27
Czy próbowałeś kiedyś swoich sił w konkursach CTF?
Capture The Flag to drużynowe turnieje, w których próbujemy złamać zabezpieczenia w zadaniach przygotowanych przez organizatorów.
Dzisiaj w ramach #od0dopentestera prezentuję rozwiązania dwóch zadań, które miały miejsce w ramach CONFidence CTF 2019.
W pierwszym z nich mamy do czynienia z kodem #php
Tłumaczę tam dlaczego porównywanie stringa z liczbą przy użyciu == nie jest najlepszym pomysłem.
W drugim przykładzie natomiast próbujemy wykonać atak XSS przy
KacperSzurek - Czy próbowałeś kiedyś swoich sił w konkursach CTF? Capture The Flag t...
  • 5
  • Odpowiedz

  • Otrzymuj powiadomienia
    o nowych komentarzach

Osiągnięcia