Drobiazgi
Sprawy drobne, acz ciekawe
Firma Rapid7 opublikowała wyniki analizy tylnej furtki w firewallach Junipera. Co prawda podobno badacze z firmy FoxIT już wcześniej poznali uniwersalne hasło roota w usłudze SSH oraz telnet, jednak dopiero Rapid7 zdecydowało się na jego publikację. Hasło, które umożliwia zalogowanie się na dowolne znane konto i otrzymanie uprawnień administratora urządzenia to
<<< %s(un='%s') = %u
Prawdopodobnie nadano mu taką formę by łatwiej było je ukryć wśród innych podobnych ciągów związanych z funkcjami debugingu.… Czytaj dalej
Od kilkunastu godzin spora część internetu szuka informacji na temat Craiga Wrighta, który ma być pewnym kandydatem do roli prawdziwego Satoshi Nakamoto, twórcy bitcoina. W jego życiorysie odnajdywane są przeróżne ciekawostki. Polskim akcentem okazuje się seria artykułów napisanych przez Wrighta dla magazynu Hakin9.… Czytaj dalej
Fan zespołu Peking Duk popisał się wczoraj jednym z najlepszych life hacków o których kiedykolwiek słyszeliśmy. Po koncercie w Melbourne David Spargo po prostu dopisał swoje personalia do strony grupy na Wikipedii i opisał siebie jako „rodzina”. Następnie pokazał ten wpis na telefonie ochroniarzowi, który po konsultacji z przełożonym wpuścił go do garderoby zespołu.… Czytaj dalej
Czasem można zapomnieć o istnieniu pola UDW i wrzucić wszystkich adresatów wiadomości do pola DO. Można. Jednak czasem to aż wstyd patrzeć, że takie wpadki w komunikacji elektronicznej zalicza Urząd Komunikacji Elektronicznej – i to Departament Zarządzania Danymi. Dzięki tej komunikacji w dowolne ręce mogła wpaść baza danych osobowych 180 osób w bardzo konkretnych działach największych polskich operatorów telekomunikacyjnych.… Czytaj dalej
Dzisiaj w sieci pojawiła się baza wykradziona z firmy 000webhost, jednego z największych darmowych serwisów hostingowych na świecie. O włamaniu wspominaliśmy już jakiś czas temu, przypomnimy tylko, że baza zawiera 13 milionów rekordów z hasłami zapisanymi otwartym tekstem – chyba najciekawszy słownik od czasów RockYou.… Czytaj dalej
W internecie pojawiła się publicznie dostępna baza danych firmy hostingowej hekko.pl. Wszystko wskazuje na to, ze baza pochodzi z roku 2008, zatem teoretycznie jej wyciek dzisiaj może stanowić zagrożenie głównie dla osób, które przez ostatnie 7 lat nie zmieniły hasła. Niestety baza zawiera także adres email, hasz hasła (MD5), imię, nazwisko, adres i numer telefonu ponad 1500 klientów firmy – a to spora porcja danych.… Czytaj dalej
Właśnie ukazał się dziewiąty odcinek codwutygodniowego podcastu omawiającego aktualne tematy bezpieczeństwa, nagrywanego przed Fundację Bezpieczną Cyberprzestrzeń. W tym wydaniu możecie posłuchać o Drideksie, włamaniu do Talk Talk oraz ciekawym ataku na PageFair. Dla zwolenników innych form konsumpcji dźwięku jest także plik do pobrania (28 MB).… Czytaj dalej
Główny serwer producenta popularnego oprogramowania vBulletin służącego do prowadzenia forum padł ofiarą włamywacza. Autor włamania, podpisujący się jako Coldzer0, oferuje na sprzedaż wykradzione dane użytkowników.
31 października użytkowników forum znajdującego się pod adresem vBulletin.com powitał komunikat autorstwa włamywacza. Wkrótce na profilu autora włamania w serwisie Facebook pojawiły się zrzuty ekranów wskazujące na wyciek danych użytkowników oraz oferty sprzedaży bazy.… Czytaj dalej
Xen, bardzo popularny monitor maszyn wirtualnych (hypervisor), używany w wielu wdrożeniach na całym świecie, okazał się być podatny na najgorszy możliwy błąd dla maszyn wirtualnych, czyli taki, który umożliwia użytkownikowi maszyny wirtualnej przejęcie pełnej kontroli nad maszyną fizyczną, na której ta maszyna wirtualna została uruchomiona.… Czytaj dalej
Nie samą Warszawą żyje polska branża bezpieczeństwa – w Krakowie już 17 listopada pierwsze spotkanie pod szyldem Cybersecurity Kraków Meetup. W programie:
- 17:45 – 18:00 – Otwarcie i wprowadzenie
- 18:00 – 18:40 – Michał Sajdak – Testy penetracyjne – teoria a praktyka + QA (po polsku)
- 18:40 – 18:50 – networking
- 18:50 – 19:10 – lightning talks
- 19:15 – 19:45 – Paweł Zegartowski – „Padding oracle attacks and how a POODLE killed SSL.”
…
Czytaj dalej
Na stronach CERT Polska pojawił się ciekawy konkurs. W ramach tej akcji jest do wygrania książka: “Podręcznik pentestera” oraz komplet obu części: “The Hacker Playbook” oraz “The Hacker Playbook 2″. Książkę, wraz z gadżetami, otrzyma 5 pierwszych osób, które prawidłowo odpowiedzą na postawione w zadaniu dwa pytania.… Czytaj dalej
Sekurak zaprasza Was na fantastyczną imprezę. 9 listopada w Krakowie odbędzie się kolejna edycja Sekurak Hacking Party. Program jest taki, że warto pomyśleć o uczestnictwie. Zaplanowano:
- prelekcję Michała Bentkowskiego, który zgłosił sporo błędów w usługach Google i będzie o nich opowiadał,
- prezentację Mateusza j00ru Jurczyka, jedynego trzykrotnego laureata nagrody Pwnie,
- występ Gynvaela Coldwinda nawiązujący do tematu jego nowej książki.
…
Czytaj dalej
W systemie wsparcia użytkowników firmy Microsoft pojawiły się niecodzienne wpisy. W artykule na temat uprawnień plików NTFS niespodziewanie znalazły się wulgarne zdania.
Jest to najwyraźniej wynik działania społecznego mechanizmu tłumaczenia fragmentów tekstu. Funkcja ta pozwala użytkownikom głosować na najlepsze z zaproponowanych tłumaczeń.… Czytaj dalej
Właśnie ukazał się ósmy odcinek codwutygodniowego podcastu omawiającego aktualne tematy bezpieczeństwa, nagrywanego przed Fundację Bezpieczną Cyberprzestrzeń. W tym wydaniu możecie posłuchać o sukcesach policji w walce z cyberprzestępcami (nagrywane jeszcze przed wczorajszymi wiadomościami) oraz o dobrych botnetach. Dla zwolenników innych form konsumpcji dźwięku jest także plik do pobrania (56 MB).… Czytaj dalej
Zapraszamy na spotkanie OWASP w Krakowie w ramach inicjatywy OWASP EEE – już w najbliższy wtorek, 6.10.2015. Spotkanie zaczyna się o godzinie 17: 00, miejsce to Tech Space ul. Wyczółkowskiego 7, Kraków. Dla nieobecnych dostępny będzie streaming.
Agenda:
- Maciej Lasyk – SecOps live cooking with Jenkins/GoCD/Ansible and OWASP appsec tools
- Sławomir Jasek – The (Io)Things you don’t even need to hack.
…
Czytaj dalej
Właśnie ukazał się mocno opóźniony, siódmy odcinek codwutygodniowego podcastu omawiającego aktualne tematy bezpieczeństwa, nagrywanego przed Fundację Bezpieczną Cyberprzestrzeń. W tym wydaniu możecie posłuchać o ciekawym ataku na kompilator XCode dla platformy Apple, tylnych furtkach instalowanych w ruterach Cisco oraz niedawnych atakach na polskich internautów.… Czytaj dalej
6 października w Krakowie odbędzie się spotkanie będące częścią
OWASP EEE (Eeastern European Event). Wszystkie prezentacje będą transmitowane na żywo w Internecie. Organizatorzy zapraszają wszystkich chętnych nie tylko do uczestnictwa (fizycznego lub wirtualnego) ale także do
przysłania propozycji prezentacji. Prezentacja powinna być wygłoszona w języku angielskim.
…
Czytaj dalej
Założona niedawno firma Zerodium opublikowała ofertę zakupu eksploita na najnowszą wersję systemu iOS. Za kod, który ominie wszystkie mechanizmy bezpieczeństwa Apple, firma zamierza zapłacić milion dolarów. Kod powinien spełniać następujące warunki:
- atak musi nastąpić poprzez odwiedziny na stronie WWW lub otrzymanie wiadomości SMS/MMS,
- atak musi być przeprowadzony bez interakcji z użytkownikiem,
- wynikiem ataku powinien być trwały jailbreak, umożliwiający instalowanie dowolnych aplikacji.
…
Czytaj dalej
Andris Atteka znalazł ciekawy błąd w Chromie (zarówno w wersji na Windows jak i Mac, tylko Android wydaje się być odporny). Wystarczy otworzyć link kończący się znakiem NULL, by zabić przeglądarkę. Nie trzeba nawet klikać, wystarczy najechać myszką. Tak, ten poniżej też powinien zadziałać.… Czytaj dalej
Jeden z naszych Czytelników zastał taką oto sytuację w pewnym urzędzie komunikacji. Ciągle nie chce się nam w to wierzyć.
Zdjęcie dołączamy do naszej kolekcji.… Czytaj dalej
Nie wiemy, czy powinniśmy komuś za to specjalnie podziękować, ale od wczorajszego wieczora jedna ze stron w naszym serwisie jest uznawana przez Avasta za niebezpieczną. Co ciekawe, chodzi o stronę opisującą ostatni atak fiat126pteam.
Aby zobaczyć ten ciekawy komunikat trzeba mieć nie tylko Avasta, ale także zainstalowaną i aktywną osłonę WWW.… Czytaj dalej
Błędów typu 0day w popularnym oprogramowaniu można szukać na wiele sposobów. Można czytać kod źródłowy, można przeprowadzać procedury inżynierii wstecznej, można przepuszczać programy przez narzędzia do analizy statycznej, można także przeprowadzać proces zwany fuzzingiem (czyli zasilać wejścia programu mniej lub bardziej spreparowanymi danymi).… Czytaj dalej
Na francuskim forum poświęconym łamaniu zabezpieczeń łączności bezprzewodowej pojawił się ciekawy wpis na temat ruterów marki TRENDnet. Jego autor twierdzi, że w kilkunastu modelach ruterów tej firmy hasło tworzone jest na podstawie numeru seryjnego urządzenia oraz jego modelu. Co prawda numer seryjny nie stanowi informacji dostępnej publicznie, ale jego format znacznie ogranicza zakres potencjalnych haseł sieci WiFi.… Czytaj dalej
Na forum ToRepublic pojawiła się lista kilkunastu policjantów z sekcji antyterrorystycznej Komendy Wojewódzkiej policji w Kielcach. Lista obejmuje takie pozycje jak:
- imię i nazwisko,
- stopień służbowy,
- domowy adres zamieszkania,
- domowy numer telefonu,
- prywatny numer telefonu komórkowego,
- numer telefonu resortowego.
Nie znamy źródła wycieku.… Czytaj dalej
Na GitHubie możecie znaleźć bardzo ciekawą listę zbierającą w jednym miejscu linki do opisów różnych mniej lub bardziej zawinionych awarii mniejszych i większych firm. Dowiecie się dzięki niej, co powodowało niedostępność usług Google, Microsoftu, Facebooka czy Dropboksa. Pouczająca lektura.
Aktualizacja: Tematem zajmuje się także grupa G+ (z podziękowaniami dla Kai), warto także poczytać wątek o wpadkach generujących spore koszty.… Czytaj dalej
