Wszystko

Najnowsze

Archiwum

KacperSzurek
  • 63
Programujesz? Nie wiesz o co chodzi z tym "Log4j"? #od0dopentestera
Próbuję to wyjaśnić w najnowszym filmie pokazując podatność CVE-2021-44228 na prostym kawałku kodu.
• Dowiesz się jak użyć Canary Tokens do wykrycia podatności w swoich aplikacjach.
• Zobaczysz, że można wykraść zmienne środowiskowe korzystając z interactsh
• Pokazuję, że podatne mogą być wszystkie wersję Javy - te nowsze i te starsze.
• Zmienna "LOG4JFORMAT
KacperSzurek - Programujesz? Nie wiesz o co chodzi z tym "Log4j"? #od0dopentestera ...
  • 5
  • Odpowiedz

  • Otrzymuj powiadomienia
    o nowych komentarzach
L.....v
L.....v
  • 0
Moim głównym kontem pocztowym jest gmail. Pod niego mam podpięty mail z wp.pl (nie chcę usuwać), czyli gmail pobiera mi pocztę z wp i przez gmail odpowiadam na maile przez serwery pocztowe wp.

Zabezpieczyłem ostatnio konto wp weryfikacją dwuetapową za pomocą kodu. Mogę się tak logować tylko przez www. Jeśli nadal chcę używać programu pocztowego (wysyłać z gmaila), to muszę użyć hasła (screen), ale wtedy brakuje uwierzytelnienia dwuskładnikowego. Da się coś robić,
L.....v - Moim głównym kontem pocztowym jest gmail. Pod niego mam podpięty mail z wp....

źródło: comment_1639570056Rq116PzVCAP36Kl1npSW7j.jpg

Pobierz
  • 10
  • Odpowiedz

  • Otrzymuj powiadomienia
    o nowych komentarzach
KacperSzurek
  • 134
O co chodzi z podatnością "log4j"? #od0dopentestera
Szybkie wyjaśnienie dla osób nietechnicznych.

1. Log4j to bardzo popularna biblioteka używana w aplikacjach stworzonych w języku Java.
Służy ona do zapisywania logów z działania programu.
Log to chronologiczny zapis tego co dzieje się w
KacperSzurek - O co chodzi z podatnością "log4j"? #od0dopentestera Szybkie wyjaśnie...

źródło: comment_1639471713qCJ3iDT198reWpU0LG5jO1.jpg

Pobierz
  • 14
  • Odpowiedz

  • Otrzymuj powiadomienia
    o nowych komentarzach
KacperSzurek
  • 2
@diablik: Wydaje mi się, że opinia: "nie jest na 100% skuteczne" wynika z tego, że nigdy nie wiadomo czy aby inny komponent systemu (gdzieś po drodze) nie korzysta czasem z log4j.
Co z tego, że my załatamy swoją aplikację - jeśli jakiś inny komponent tego nie zrobi ;)
  • Odpowiedz
globalbus
globalbus
  • 7
@KacperSzurek: w swojej aplikacji masz kontrolę nad tym, co trafi do wynikowego jara. Problemem są np. aplikacje, które odpalają inne komponenty "gdzieś obok". Kolejki, indeksowanie itd.
Przykład - bitbucket jako taki nie ma log4j2, ale odpala sobie obok elasticsearch do indeksowania repozytoriów. A ten elasticsearch ma log4j2 w podatnej wersji.

Dość absurdalnie wygląda to w kubernetes, gdzie środowiska OKD/Openshift mają poinstalowany stos ELK do przechowywania logów. Także można przesłać ten
  • Odpowiedz
handler
  • 0
Pamiętacie sytuacje dziewczynki, której wyskakiwały reklamy rzeczy dla kobiet w ciąży, jej ojciec podał te firmę do sądu, a ona jednak była w ciąży, bo algorytm się nie mylił? #security #pytanie
  • 4
  • Odpowiedz

  • Otrzymuj powiadomienia
    o nowych komentarzach
sekurak
  • 7
Podatność w serwerach (i klientach) Minecraft – przez wpisanie exploita na chacie można przejąć serwer oraz innych graczy ;-/

aka tylko demonstracja możliwości najnowszej podatności w log4j, CVE-2021-44228

https://sekurak.pl/podatnosc-w-serwerach-minecraft-wpisujesz-exploita-na-chacie-i-przejmujesz-serwer-oraz-innych-graczy-log4j-cve-2021-44228/

#sekurak #minecraft #bezpieczenstwo #java #programowanie #security
sekurak - Podatność w serwerach (i klientach) Minecraft – przez wpisanie exploita na ...

źródło: comment_1639151906RcVxbUUk7l8p9pIkK9d6my.jpg

Pobierz
  • 3
  • Odpowiedz

  • Otrzymuj powiadomienia
    o nowych komentarzach
Whipie
  • 0
@lovox: Podatna jest biblioteka więc wystarczy wykonywać analizę komponentów. Czyli generujesz SBOMy i ładujesz je do odpowiedniego narzędzia, np. https://dependencytrack.org/. Z tego co widzę CVE nie ma jeszcze ustawionych CPE więc alertu byś nie dostał. Natomiast narzędzie agreguje wszystkie użycia biblioteki więc wystarczyłoby wpisać "log4j" w wyszukiwarce i miałbyś listę podatnych projektów.
  • Odpowiedz
ZaufanaTrzeciaStrona
  • 77
Całkiem sprytna sztuczka. Sprzedajesz komputer, kupujący prosi o benchmarka. Uruchamiasz benchmarka a twój komputer zaczyna kopać Monero - ale nie dla ciebie.

https://www.wykop.pl/link/6405011/sprzedajesz-komputer-uwazaj-na-ten-nowy-nietypowy-rodzaj-ataku/

#zaufanatrzeciastrona. #bezpieczenstwo #security
ZaufanaTrzeciaStrona - Całkiem sprytna sztuczka. Sprzedajesz komputer, kupujący prosi...

źródło: comment_1639129014gthnRWYvsiHBNB8svlSNaV.jpg

Pobierz
  • 4
  • Odpowiedz

  • Otrzymuj powiadomienia
    o nowych komentarzach
sekurak
  • 31
Krytyczna podatność w bibliotece log4j – łatajcie, bo zaczęło się masowe exploitowanie.

Wg relacji podatne są również (oczywiście) biblioteki czy rozwiązania wykorzystujące Apache log4j (mowa jest m.in. o Steam, iCloud czy serwerach Minecraft).

https://sekurak.pl/krytyczna-podatnosc-w-log4j-latajcie-bo-zaczelo-sie-masowe-exploitowanie/

#programowanie #bezpieczenstwo #java #sekurak #security
sekurak - Krytyczna podatność w bibliotece log4j – łatajcie, bo zaczęło się masowe ex...

źródło: comment_1639122082K5NIwxEeWLib2lS1n7Jh4C.jpg

Pobierz
  • 7
  • Odpowiedz

  • Otrzymuj powiadomienia
    o nowych komentarzach
Inveth
  • 1
#it #security #bezpieczenstwo #siecikomputerowe

Siemka - co na dzień dzisiejszy można polecić jako dobre zabezpieczenie dwuskładnikowe? Głównie chodzi o zabezpieczenie dostępu do poczty/hostingu/serwisów - super jakby miało NFC (do użycia z telefonem)

Z tego co się wstępnie rozglądałem najsensowniejszy wydaje się być YubiKey 5 NFC - ale być może jest coś lepszego?
Korzysta ktoś z jednego YubiKey 5 NFC i zapasowego nano
Inveth - #it #security #bezpieczenstwo #siecikomputerowe Siemka - co na dzień dzis...

źródło: comment_1639049497DplxjdkJEVfsUwEd85z2nV.jpg

Pobierz
  • 5
  • Odpowiedz

  • Otrzymuj powiadomienia
    o nowych komentarzach
Showroute_pl
  • 3
#netprasowka 49/21

I teraz Netprasówki.

1. Już wiele razy pojawiał się temat rozkładu ruchu w czasie, który był związany z ograniczeniami w poruszaniu się i pracy. Tym razem mamy uczniów i szkoły. Jak wygląda ruch w mobilny, gdy uczniowie wracają do szkoły. Wzrasta, czy maleje?

Link
Showroute_pl - #netprasowka 49/21 I teraz Netprasówki. 1. Już wiele razy poj...

źródło: comment_1638879354JToA4b7zg58Gfc9tmYKSw6.jpg

Pobierz
  • Odpowiedz

  • Otrzymuj powiadomienia
    o nowych komentarzach

Powiązane tagi