Autor

Najnowsze

Archiwum

KacperSzurek
  • 23
Jak przekonać rodzica do kupna psa przy użyciu reklam na Facebooku?
Kopiowanie kodu ze StackOverflow początkiem problemów.
Jak powinien wyglądać dobry raport z testu penetracyjnego?
Historia wspólnego klucza prywatnego używanego przez wiele stron.
Co to jest "domain hijacking" i jak się przed nim bronić.
Quiz na temat phishingu od Google.
KacperSzurek - Jak przekonać rodzica do kupna psa przy użyciu reklam na Facebooku? K...
  • 2
  • Odpowiedz

  • Otrzymuj powiadomienia
    o nowych komentarzach
KacperSzurek
  • 198
CSRF to niedoceniany błąd, który może doprowadzić do nieświadomego wykonania jakiejś akcji przez zalogowanego użytkownika – chociażby stworzenia nowego konta administratora.
Dzisiaj w #od0dopentestera wytłumaczę jak działa ten mechanizm.

Przesyłając dane do strony zazwyczaj używamy formularza.
Serwer odpowiednio procesuje wysłane przez nas informacje i na ich podstawie wykonuje daną akcję.
Ale nic nie stoi na przeszkodzie, żeby ten sam formularz umieścić na jakiejś innej stronie – nie powiązanej z tą, do której przesyłamy dane.
KacperSzurek - CSRF to niedoceniany błąd, który może doprowadzić do nieświadomego wyk...
  • 24
  • Odpowiedz

  • Otrzymuj powiadomienia
    o nowych komentarzach
jack_
  • 7
@KacperSzurek: to trochę nie do końca jest tak z CSRF

Stąd też atakujący może dla przykładu umieścić formularz mający za zadanie stworzyć nowego administratora na swojej stronie a następnie musi przekonać nas, abyśmy będąc zalogowanymi odwiedzili jego witrynę. Wtedy to dane z formularza zostaną automatycznie przesłane razem z naszym ciasteczkiem – a ponieważ, byliśmy zalogowani – serwer wykona żądaną akcję.


Po pierwsze ludzie tak jak w przypadku fałszywych linków w banku
  • Odpowiedz
elmasterlow
  • 6
@jack_:

Co ma sesja w PHP, ciastku, SSL i same-origin policy do opisanego przypadku, kiedy w formularzu w action wpisujesz adres serwera i request idzie do niego? Gdzie nawet użytkownik o tym nie musi wiedzieć bo wchodząc na stronę można zrobić w javascripcie kliknięcie na submit, gdzie nastąpi przekierowanie do strony docelowej postem bez tokenu w formularzu :)
  • Odpowiedz
KacperSzurek
  • 23
Czy czcionka może zdemaskować oszusta?
Po co ktoś kradnie konta na Instagramie?
Dlaczego nie warto umieszczać zdjęć kart pokładowych w serwisach społecznościowych?
Garść porad na temat poszukiwania ukrytych kamer.
Nowy sposób przenoszenia złośliwego oprogramowania przy pomocy podpisanych plików .msi.
Atakowanie dźwigów na
KacperSzurek - Czy czcionka może zdemaskować oszusta? Po co ktoś kradnie konta na In...
  • 2
  • Odpowiedz

  • Otrzymuj powiadomienia
    o nowych komentarzach
KacperSzurek
  • 130
Spring Boot Actuator to narzędzie które pozwala nam na monitorowanie naszej aplikacji napisanej w #spring.
Dzisiaj w #od0dopentestera nieco inne spojrzenie na ten mechanizm.

W standardowej konfiguracji z poziomu interfejsu webowego dostępne są endpointy health oraz info.
Wygodny programista może jednak użyć gwiazdki - aby udostępnić na stronie wszystkie funkcjonalności.
Pod niektórymi adresami możemy odnaleźć
KacperSzurek - Spring Boot Actuator to narzędzie które pozwala nam na monitorowanie n...
  • 10
  • Odpowiedz

  • Otrzymuj powiadomienia
    o nowych komentarzach
B.....n
B.....n
  • 1
@walic_nowy_odtwarzacz: Spring Boot ma wbudowany serwer więc nie trzeba kombinować z tomcatami i innymi syfami które potrafią się wywalić na starcie. To po prostu działa. Konfiguracja też jest o wiele prostsza. Po to właśnie powstał Spring boot. Spring to bardzo przyjemny framework i da się na nim zbudować potężne aplikacje. To czy jest toporny zostawiam bardziej doświadczonym kolegom, ja nie narzekam
  • Odpowiedz
KacperSzurek
  • 18
Jak działa atak większościowy 51% na kryptowalutę Ethereum?
O błędzie w wyszukiwarce Google, który pozwalał na tworzenie fałszywych informacji.
Jak przestępcy omijają wykrywanie swoich złośliwych domen przy użyciu niewidocznej spacji
Czy kurz na kamerze może się komuś przydać?
Dlaczego zaatakowano urządzenia Google Chromecast służące do strumieniowania treści na telewizorze?
Slack jako skarbnica wiedzy dla atakującego.
KacperSzurek - Jak działa atak większościowy 51% na kryptowalutę Ethereum? O błędzie...
  • 1
  • Odpowiedz

  • Otrzymuj powiadomienia
    o nowych komentarzach
KacperSzurek
  • 77
NGINX to szybki i wydajny serwer HTTP. Ale czy wiesz jak go prawidłowo i bezpiecznie skonfigurować?
W dzisiejszym odcinku #od0dopentestera kilka przykładów błędnych konfiguracji, które mogą narazić nas na atak.

location /frytki {
alias /test/;
}
KacperSzurek - NGINX to szybki i wydajny serwer HTTP. Ale czy wiesz jak go prawidłowo...
  • 8
  • Odpowiedz

  • Otrzymuj powiadomienia
    o nowych komentarzach
KacperSzurek
  • 14
Google Dorks - znajdowanie podatności przy użyciu wyszukiwarki.
Opis ataku "Pass the cookie".
Phishing wykorzystujący nietypowe czcionki.
Konkursy typu CTF wstępem do nauki bezpieczeństwa.
Niebezpieczne kody QR na bankomatach.
Jak udało się złamać projekt reCaptcha?
KacperSzurek - Google Dorks - znajdowanie podatności przy użyciu wyszukiwarki. Opis ...
  • 1
  • Odpowiedz

  • Otrzymuj powiadomienia
    o nowych komentarzach
KacperSzurek
  • 56
Czasami programiści zakładają, że niektóre funkcje są bezpieczne ze względu na swoją naturę.
Co bowiem złego może się stać podczas sprawdzania czy dany plik istnieje na dysku.
Funkcja file_exists przyjmuje tylko jeden parametr i zwraca prawdę lub fałsz.
Ale jak to w #od0dopentestera bywa - diabeł tkwi w szczegółach.

class aplikacja {
KacperSzurek - Czasami programiści zakładają, że niektóre funkcje są bezpieczne ze wz...
  • 18
  • Odpowiedz

  • Otrzymuj powiadomienia
    o nowych komentarzach
KacperSzurek
  • 21
Co to są Canary Tokens i jak można wykorzystać je do wykrycia włamania we wczesnej jego fazie.
Jakie informacje na temat naszych zakupów posiada Google?
Czy hasła maskowane stosowane w bankach to rzeczywiście taki dobry pomysł?
Jak przekonać użytkownika do zainstalowania złośliwego oprogramowania przy pomocy HTML?
O metodzie ataku poprzez kabel USB podpinany do komputera.

Masz
KacperSzurek - Co to są Canary Tokens i jak można wykorzystać je do wykrycia włamania...
  • 7
  • Odpowiedz

  • Otrzymuj powiadomienia
    o nowych komentarzach
sebask
  • 1
phishingiem bo po pierwsze tak jak wspomniałeś atakujący może prosić o całe hasło.

Nic też nie stoi na przeszkodzie, żeby prosił tylko o kilka liter – tak jak prawdziwa strona.
Atakujący może bowiem spróbować zalogować się przy pomocy podanego loginu – sprawdzić których liter żąda strona a następnie poprosić użytkownika tylko o nie.
Musiałby działać w czasie rzeczywistym i bardzo szybko, myślę że takie rzeczy to tylko w targetowanym ataku. Nie widziałem podobnej realizacji w
  • Odpowiedz
KacperSzurek
  • 9
Jak działa atak Business Email Compromise?
Czy phishing może doprowadzić do ewakuacji szkoły?
Jak nie cenzurować internetowych map?
Czy można wykraść tajne dane z telefonu, jeżeli podłączymy go do złośliwej ładowarki?

Masz pytanie na temat bezpieczeństwa? Zadaj je na grupie od 0 do pentestera na Facebooku
KacperSzurek - Jak działa atak Business Email Compromise? Czy phishing może doprowad...
  • 1
  • Odpowiedz

  • Otrzymuj powiadomienia
    o nowych komentarzach
KacperSzurek
  • 18
Poliglota to osoba znająca wiele języków. Ale termin ten ma również znaczenie w odniesieniu do kwestii związanych z bezpieczeństwem.
Dzisiaj w od #od0dopentestera 0dopentestera o plikach polyglot, które przyspieszają testowanie aplikacji internetowych.

Weźmy prosty atak XSS.
Dochodzi do niego jeżeli programista nie będzie odpowiednio filtrował danych pochodzących od użytkownika.
Te dane, mogą być wyświetlane na stronie w różnych miejscach - tak zwanych
KacperSzurek - Poliglota to osoba znająca wiele języków. Ale termin ten ma również zn...
  • 1
  • Odpowiedz

  • Otrzymuj powiadomienia
    o nowych komentarzach
KacperSzurek
  • 10
CORS – czyli cross-origin resource sharing to mechanizm umożliwiający współdzielenie zasobów pomiędzy serwerami znajdującymi się w różnych domenach.
Zazwyczaj w nagłówku Access-Control-Allow-Origin podajemy adres domeny, która może się łączyć z naszymi zasobami.
Gwiazdka w tym polu oznacza, że zezwalamy na dostęp z każdej domeny.
Czy zatem ustawienie w tym polu wartości null jest prawidłowe i bezpieczne?


#od0dopentestera #security #programista15k #programowanie #informatyka
KacperSzurek - CORS – czyli cross-origin resource sharing to mechanizm umożliwiający ...

źródło: comment_XDSOQPXteAWWBMumsE6pGeLy7NfUpW3N.jpg

Pobierz
  • 3
  • Odpowiedz

  • Otrzymuj powiadomienia
    o nowych komentarzach
KacperSzurek
  • 36
Jak wyglądają realne błędy w aplikacjach?
W dzisiejszym odcinku #od0dopentestera pokażę Ci 4 błędy w oprogramowaniu Kallithea, które umożliwiają dostęp do cudzych danych.

Kallithea to serwer #git napisany w #python

Uprawnienia w całej aplikacji są weryfikowane przy pomocy dekoratorów.
KacperSzurek - Jak wyglądają realne błędy w aplikacjach? W dzisiejszym odcinku #od0d...
  • 2
  • Odpowiedz

  • Otrzymuj powiadomienia
    o nowych komentarzach
henk
  • 2
Takie rozwiązanie poprawia czytelność kodu


@KacperSzurek: takie rozwiązanie, to najczęściej jest odpowiedź na:

k---a, z--------y coś w logice aplikacji, ale p----------y dekoratory tu i ówdzie, to nie trzeba będzie tego przepisywać.
  • Odpowiedz
KacperSzurek
  • 12
Co to jest atak na pomoc techniczną i jak nie dać się nabrać.
Czy kradzież danych z mieszkania przy pomocy żarówek jest możliwa?
Jak wykorzystać Google Translate jako serwer proxy?
Atak gorszy niż spam - email flooding.
Znajdowanie drukarek podpiętych do Internetu przy pomocy serwisu Shodan.

#
KacperSzurek - Co to jest atak na pomoc techniczną i jak nie dać się nabrać. Czy kra...
  • 2
  • Odpowiedz

  • Otrzymuj powiadomienia
    o nowych komentarzach
m.....l
m.....l
  • 12
@KacperSzurek: nie polecam tego podcastu :/ Jeżeli ktoś szuka porządnego szurogadania to powinien raczej sprawdzić pana Kudlińskiego, Chojeckiego, Jabłonowskiego lub ewentualnie niektóre spotkanie w Centrum Edukacyjnym Powiśle. W powyższym podcaście nie ma nic o Żydach, Lechitach ani nawet nie ma jechania po Unii Europejskiej. Dlatego jeśli szukacie szurogadania to absolutnie nie tutaj. To jakieś gadanie o drukarkach z wi-fi. Come on... Można było zrobić program o tym, że przez drukarki
  • Odpowiedz
KacperSzurek
  • 16
postMessage pozwala na wymienianie danych pomiędzy różnymi domenami przy użyciu #javascript
Dzisiaj w #od0dopentestera o tym, jak sprawdzić źródło wiadomości oraz dlaczego nie używać wyrażeń regularnych do tego celu.

window.addEventListener("message", function(message) {
alert(message.data);
}
KacperSzurek - postMessage pozwala na wymienianie danych pomiędzy różnymi domenami pr...
  • 4
  • Odpowiedz

  • Otrzymuj powiadomienia
    o nowych komentarzach
Zajc
  • 1
@KacperSzurek:

Sprawdza zatem czy podany tekst znajduje się gdziekolwiek.

if (message.origin.indexOf("www.domena2.local") > 0)


Kod zadziała bo na początku jest jeszcze protokół, ale jeśli sprawdzasz, czy tekst znajduje się gdziekolwiek to powinieneś porównywać
  • Odpowiedz
KacperSzurek
  • 9
Jak przy pomocy zakupów w supermarketach sprawdzić czy jesteś w ciąży?
Co to jest atak homograficzny na domeny internetowe?
Jak stworzyć odcisk palca pasujący do wielu osób?
Nowa metoda rozpowszechniania złośliwego oprogramowania przy pomocy obrazów iso.
Dlaczego atakujący próbują zdobyć nasze dane do Spotify?

#
KacperSzurek - Jak przy pomocy zakupów w supermarketach sprawdzić czy jesteś w ciąży?...
  • 1
  • Odpowiedz

  • Otrzymuj powiadomienia
    o nowych komentarzach
KacperSzurek
  • 35
Dzisiaj w #od0dopentestera o ataku: Cross-Site Websocket Hijacking na przykładzie #java
Dawniej, aby na stronie treści pojawiały się w czasie rzeczywistym należało z poziomu #javascript co kilka sekund wysyłać żądanie do serwera.
Teraz do tego celu wykorzystuje się websockety.

@ServerEndpoint(value="/endpoint")
public class socketer {
KacperSzurek - Dzisiaj w #od0dopentestera o ataku: Cross-Site Websocket Hijacking na ...
  • 6
  • Odpowiedz

  • Otrzymuj powiadomienia
    o nowych komentarzach
KacperSzurek
  • 15
#od0dopentestera Garść #ciekawostki ze świata #bezpieczenstwo.
W tym odcinku:
- jak przestępcy sprzedają noclegi w drogich hotelach wykorzystując punkty lojalnościowe,
- co to jest „swatting” czyli nasyłanie zbrojnych oddziałów policji na swoich znajomych,
- wyłudzanie pieniędzy od przedsiębiorców przy użyciu firm łudząco podobnych do instytucji państwowych,
- dlaczego ta wiadomość jest w folderze „wysłane” - błędne filtrowanie nagłówka „from” w
KacperSzurek - #od0dopentestera Garść #ciekawostki ze świata #bezpieczenstwo. W tym ...
  • 6
  • Odpowiedz

  • Otrzymuj powiadomienia
    o nowych komentarzach

Powiązane tagi