Wszystko

Najnowsze

Archiwum

goblin21
  • 1
#pytaniedomikrobow

Co to za plaga usuwania wpisów na mikro? Chce człowiek odpowiedzieć a okazuje się że wpis usunięty, Dziś już z dziesięć razy tak trafiłem.

Ostatnio usunięto:

Security
  • Odpowiedz

  • Otrzymuj powiadomienia
    o nowych komentarzach
pyzdek
  • 1
#security Złamali RSA przy pomocy mikrofonu nasłuchującego dźwięku CPU.

Nie ma już żadnych świętości!

link
  • 1
  • Odpowiedz

  • Otrzymuj powiadomienia
    o nowych komentarzach
A.....t
A.....t
  • 1
#zagadkihakerskie #security #programowanie

Proponuję kolejną zagadkę hakerską, znów na tapetę bierzemy #xss. Pod adresem http://hakerium.cba.pl/zad8/ znajduje się strona z banalną podatnością typu XSS. Wystarczy wpisać dowolny tekst HTML i zostanie on wyświetlony na stronie, np. http://hakerium.cba.pl/zad8/?imie=%3Cscript%3Ealert%281%29%3C/script%3E

Na czym polega więc zagadka, skoro już podałem rozwiązanie? Ano na tym, że pole
  • 12
  • Odpowiedz

  • Otrzymuj powiadomienia
    o nowych komentarzach
A.....t
A.....t
  • 1
@koziolek: @rationalistic: OK, a więc rozwiązanie, o które mi chodziło:

Skorzystamy z tagu iframe i umieścimy XSS-owaną domenę wewnątrz tego iframe'a. Ze względu na same origin policy nie ma możliwości odwoływać się do jakichkolwiek atrybutów strony wewnątrz iframe'a, jeśli ta jest z innej domeny (z kilkoma wyjątkami, m.in.

postMessage
, który tutaj akurat się nie przysłuży). Istnieje jednak pewien atrybut, na który poprzez iframe'a możemy mieć wpływ -
  • Odpowiedz
A.....t
A.....t
  • 2
#security #bugbounty

Brian Krebs pisze o globalnym bug bounty w odniesieniu do pomysłu utworzenia IVPP (Internation Vulnerability Purchase Program).

Podzielam zdanie z końcówki posta, że wprowadzanie wymogu takiego programu przez rządy to niezbyt dobry pomysł. Niemniej, programy bug bounty okazują się sukcesem i upowszechnienie ich wdrażania wśród większej liczby producentów oprogramowania będzie miało dobre skutki dla ogólnego bezpieczeństwa systemów. Zwłaszcza, gdyby, zgodnie z myślą wyrażoną w dokumencie, oferować
  • Odpowiedz

  • Otrzymuj powiadomienia
    o nowych komentarzach
A.....t
A.....t
  • 0
@scyth: Widziałem kiedyś analizę dodatków do Chrome'a pod kątem bezpieczeństwo. Wyszło na to, że o ile Chrome sam w sobie jest bardzo bezpieczną przeglądarką, o tyle rozszerzenia często bywają źródłem plugastwa.

W zasadzie ostrożność dotycząca korzystania z rozszerzeń przeglądarki odnosi się do wszystkich przeglądarek. To bardzo łatwy do zaatakowania słaby punkt i wszystko opiera się na zaufaniu do twórcy rozszerzenia (które nie musi mieć jakichkolwiek podstaw).
  • Odpowiedz
scyth
  • 1
@Rachel_: Pół procent zebranych do testów kluczy (nieco ponad 64000) zostało złamane, całość operacji trwała 1,5h w amazonowej chmurze. Winą głównie obarczają kiepskie generatory liczb pseudolosowych.
  • Odpowiedz
noisy
  • 9
Fajnie... wszyscy kopiemy sobie #dogecoin.y, tylko... na co by tutaj je wydać? :) W ramach #noisyrzucapomysl.y oto pomysł, w jaki sposób można wykorzystać anonimowość kryptowaluty do śmieszkowych (nielegalnych?) rzeczy, którą niektórzy ludzie na pewno będą chcieli kupować :)

A gdyby tak można było kupować plusiki na mikroblogu? :)


Teoretycznie niektórzy czują podświadomie wartość takich plusów (atencja zawsze jest w cenie ;) ), dość łatwo można też nowe
noisy - Fajnie... wszyscy kopiemy sobie #dogecoin.y, tylko... na co by tutaj je wydać...

źródło: comment_xeT2JiKurRNSVxGtaHN66gPgGDWsarBt.gif

Pobierz
  • 10
  • Odpowiedz

  • Otrzymuj powiadomienia
    o nowych komentarzach
noisy
  • 0
@PanKara: niektórym czasem brakuje pomysłów na projekcik. Stworzenie własnej giełdy to jest generalnie bardzo fajny pomysł, problem jest jednak taki, że od początku ona powinna być bardzo bezpieczna.. bo w przypadku wpadki... wiadomo. Natomiast to byłoby fajne poletko do zabawy... które teoretycznie mogłoby dać bardzo duże możliwości :D
  • Odpowiedz
PanKara
  • 0
@noisy: W zasadzie wystarczyłoby w odpowiednich miejsach powstawiac inty, reszte stringów wyescapować i sql injection praktycznie jest z glowy, zastanawia mnie tylko, co w razie wpadki tak na prawde mogłoby wycieknąć co może narobić problemów... wykopowe API, klucze portfeli (nie wiem czy są jakoś super ważne bo nie interesuje sie tematem) hmm ale generalnie zrobić taką mała giełdę dla wykopu do takich jakiś zabaw, konkursów czy czegoś i można by
  • Odpowiedz
A.....t
A.....t
  • 1
#security

Analiza nagłówków związanych z bezpieczeństwem w milionie najpopularniejszych stron

Dla tych, co nie wiedzą - stosowanie nagłówków, o których mowa w tekście może być skutecznym narzędziem w walce przed skutkami pewnych popularnych ataków (a w niektórych przypadkach także przed samymi atakami). Zwłaszcza

Content-Security-Policty
  • Odpowiedz

  • Otrzymuj powiadomienia
    o nowych komentarzach
ronkad
  • 1
Piszę większe lub mniejsze aplikacje/strony w #php i jestem ciekaw, czy ktoś z was przeprowadza/może polecić kogoś kto zrobi audyt bezpieczeństwa. Ile coś takiego może kosztować dla średniego portalu (ok 30 podstron)? Czy bezpiecznie jest wysyłać komuś cały kod czy postawić wersję demo strony i powiedzieć "włam się"?

#webdev #bezpieczenstwo #hacking #security
  • 5
  • Odpowiedz

  • Otrzymuj powiadomienia
    o nowych komentarzach
A.....t
A.....t
  • 1
@ronkad:

Czy bezpiecznie jest wysyłać komuś cały kod czy postawić wersję demo strony i powiedzieć "włam się"?


To pierwsze (wysyłać cały kod) to tzw. testy whitebox, z kolei druga opcja to testy blackboxowe. W zależności od tego jak duże pokrycie chcesz mieć (i ile jesteś gotów zapłacić) możesz zdecydować się na tę pierwszą lub drugą opcję. Blackbox jest jednak zdecydowanie częstszy.

Dwie najbardziej znane marki w Polsce przeprowadzające testy to
  • Odpowiedz

Powiązane tagi