Wszystko

Najnowsze

Archiwum

KacperSzurek
  • 66
Jak przekonać użytkownika do usunięcia swojego konta w serwisie internetowym bez jego zgody?
W dzisiejszym odcinku #od0dopentestera o ataku Clickjacking.

Podczas potwierdzania usunięcia konta zazwyczaj do serwera wysyłany jest specjalny token.
Dzięki niemu wiadomo, że to użytkownik użył odpowiedniego przycisku.
Osoba z zewnętrz nie jest w stanie przygotować wcześniej formularza usunięcia konta z prawidłowym tokenem a następnie podłożyć go nam do kliknięcia.
KacperSzurek - Jak przekonać użytkownika do usunięcia swojego konta w serwisie intern...
  • 7
  • Odpowiedz

  • Otrzymuj powiadomienia
    o nowych komentarzach
emyot2
  • 0
Jak myślicie? Czy w przypadku kradzieży konta uber i użyciu jego kilkukrotnie bez mojej wiedzy (przez co obciążona została moja karta przypisana do konta) otrzymam zwrot pieniędzy w ramach procedury chargeback.

P. S. Nie wiem czy nie miał miejsca jakiś leak Ubera. Uber nie lubi o tym informować. Uważajcie!

#chargeback #uber #leak #zwrotpieniedzy #hacking
  • 12
  • Odpowiedz

  • Otrzymuj powiadomienia
    o nowych komentarzach
nielu
  • 2
@emyot2: miałem coś podobnego, nabili mi przejazdy w pekinie. Zablokowałem kartę, napisałem do ubera i wypełniłem wniosek chargebacku. Uber zwrócił cała kwotę w przeciagu ok. tygodnia
  • Odpowiedz
CCTVm8
  • 1
@emyot2: otrzymasz, o-----i mi konto na 600£. Bank do mnie zadzwonil ze podejrzana aktywnosc i transakcje, zamkneli mi karte i uber zwrocil kase w ciagu 24h. Nie licz na pomoc supportu, otworzyli ticket po 3 dniach :)
  • Odpowiedz
santdner
  • 1
Kupiłem sobie "inteligentne gniazdko" z biedronki za 49,99
Ogólnie działa, ale sama aplikacja do obsługi do to czysty szmelc. Nawet nie zapamiętuje sesji logowania mimo zaznaczonego czeckboksa, trzeba się logować po każdym uruchomieniu apki.

I teraz moje pytanie, czy da się w prosty sposób rozpracować protokół komunikacyjny takiego urządzenia, żeby sobie sterować tym bez pośrednictwa tej apki?
Nigdy czegoś takiego nie robiłem, ale odpaliłem #wireshark i próbowałem odnaleźć odpowiednie pakiety,
  • 15
  • Odpowiedz

  • Otrzymuj powiadomienia
    o nowych komentarzach
cocamide
cocamide
cocamide
via Wykop Mobilny (Android)
  • 4
@santdner: na twoim miejscu otworzyłbym obudowę być może w środku siedzi esp8266 i mógłbyś wtedy wgrać alternatywny firmware typu espeasy czy tasmota

@interface samo gniazdko na bank nie ma SSL ale apka może używać SSL bo pewnie komunikuje się z gniazdkiem przez chmurę tak jest to zrobione w sonoffach
  • Odpowiedz
n.....n
n.....n
  • 3
Cześć, mam problem z odpowiedzią na pytanie:

11. Development Controls
11.6 Is there a framework (or other controls) in place to validate all user input prior to use?

Kontekst: jakaś firma będzie używać appki webowej napisanej w popularnym frameworku, stojącej na Digital Ocean VPS.
  • 2
  • Odpowiedz

  • Otrzymuj powiadomienia
    o nowych komentarzach
N.....y
N.....y
  • 3
@AnonimoweMirkoWyznania: możliwe, że używałeś tego samego hasła do wielu różnych serwisów. Hasła czasem wyciekają z różnych usług i wtedy pojawiają się próby logowania do innych popularnych usług tymi danymi najczęściej skutecznie.
Moja rada. Używaj managera haseł i do każdej usługi generuj nowe długie, unikalne hasło. Nie zagwarantuje ci to 100% spokoju ,ale uniemożliwi użycie danych z wycieku w jednym serwisie w innych usługach
  • Odpowiedz
Kermii
  • 5
Mój ojciec dostaje maile od jakiegoś "szpeca hakiera". Co mnie najbardziej dziwi, dostaje tego maila z jego konta. Oczywiście jakieś p---------e o szantażu i płatności bitcoinowej. Mail raz usuwany znowu się pojawia w skrzynce odbiorczej. Pytanie, bo widzę że to jakiś bot ale na jakiej zasadzie to działa?
#hacking #it #komputery #security
  • 13
  • Odpowiedz

  • Otrzymuj powiadomienia
    o nowych komentarzach
kotit
kotit
  • 3
@Kermii: W takich sytuacjach zawsze dobrze jest, na wszelki wypadek, zmienić hasło do konta. W drugiej kolejności sprawdził bym, czy koleś nie majstrował przy nagłówkach maila, żeby wyglądało jakby mail przyszedł z tego konta. W sumie istotne może też być to, czy podane CVE zgadza się ze sprzętem jaki masz w domu, ale samo podanie przez atakującego wektora ataku, wydaje mi się co najmniej bardzo podejrzane.
  • Odpowiedz

Powiązane tagi