Dzięki rozwojowi technik zabezpieczeń coraz częściej jeden błąd w aplikacji nie wystarcza, by uzyskać nieuprawniony dostęp i błędy trzeba łączyć, by osiągnąć upragniony cel. Nie inaczej jest w tej historii.… Czytaj dalej
Wydawać by się mogło, że od programów antywirusowych powinniśmy oczekiwać wyższego poziomu bezpieczeństwa. Niestety często jest wprost odwrotnie i okazuje się, że najgorsze błędy znaleźć można w programach, które mają nas przed chronić.… Czytaj dalej
Nie każdy badacz najwyraźniej jest zwolennikiem odpowiedzialnej publikacji informacji o podatnościach – firma Klikki Oy opublikowała błąd typu stored XSS w najnowszym WordPressie 4.2, na który nie ma jeszcze łaty.
Błąd znajduje się w sposobie zapisywania zbyt długich komentarzy do bazy danych.… Czytaj dalej
Właśnie wyszła nowa wersja WordPressa (4.1.2) oraz wielu popularnych wtyczek takich jak:
Zaczęło się od wtyczki SEO Yoast, w której odkryto poważny błąd XSS.… Czytaj dalej
Nie odkryje Ameryki ten, kto stwierdzi, że na serwerach WWW w domenie rządowej ciągle można znaleźć setki mniejszych i większych błędów. Co innego jednak spekulować, a co innego błędy te znaleźć i opublikować w internecie.… Czytaj dalej
Jeśli ciągle korzystacie z WordPressa 4.0, to albo włączcie automatyczne aktualizacje, albo szybko aktualizujcie do wersji 4.0.1. A jeśli macie wersję 3.x, to aktualizujcie jeszcze szybciej – błąd XSS w niej istniejący można dość łatwo zamienić w wykonanie kodu po stronie serwera i jest najpoważniejszą dziurą wykrytą w ostatnich latach.… Czytaj dalej
Rzadko piszemy o błędach typu XSS, ten jednak nas rozbawił. I nie chodzi o sam błąd, ale o miejsce jego występowania.… Czytaj dalej
Jeśli myślicie, że widzieliście już błędy XSS we wszystkich możliwych miejscach, to spójrzcie na wpisy DNS (a szczególnie na pola TXT) domeny jamiehankins.co.uk. Dla leniwych wersja podana na talerzu poniżej:
; <<>> DiG 9.8.3-P1 <<>> txt jamiehankins.co.uk ;; global options: +cmd ;; Got answer: ;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 60523 ;; flags: qr rd ra; QUERY: 1, ANSWER: 4, AUTHORITY: 2, ADDITIONAL: 3 ;; QUESTION SECTION: ;jamiehankins.co.uk.… Czytaj dalej
Gdy sprzedajesz popularne oprogramowanie do prowadzenia forum, to ostatnim, czego potrzebujesz, jest włamanie do własnego flagowego serwisu. Spotkało to właśnie autorów vBulletin, jednego z najpopularniejszych skryptów tego typu.… Czytaj dalej
Od kilku lat duża część największych firm internetowych oferuje nagrody za odkrycie błędów w ich serwisach. W Polsce zwyczaj ten do tej pory się nie przyjął, a osoby zgłaszające błędy otrzymują czasem dość zabawne propozycje.… Czytaj dalej
Pentest Mag, kolejne czasopismo ze słynnej stajni Hakin9, okazuje się jak szewc bez butów chodzić. W jego serwisie (i kilku pokrewnych) odnaleziono DOM XSS. W sumie może to wysyłanie do wszystkich spamu to dobra metoda na zachęcenie do darmowych pentestów?… Czytaj dalej
Otrzymaliśmy właśnie link do filmu z trywialnym błędem typu persistent XSS w serwisie poczta.interia.pl.
Najlepszy był i tak komentarz autora wiadomości: „oczywiście interia błąd poprawiła, i nic nie odpisała.”… Czytaj dalej
Każdy exploit ma swoja cenę, która zależy od zakresu i możliwości jego zastosowania. Im więcej osób znajduje się w zasięgu jego działania, tym drożej. Kod, umożliwiający czytanie cudzej poczty na Yahoo, kosztuje jednak tylko $700. Czemu tak tanio?… Czytaj dalej
Na rynku pojawia się sporo aplikacji, służących do szpiegowania użytkowników telefonów komórkowych. Przechwytują smsy i bilingi, podają lokalizację, szpiegują, ile wlezie. Czasem jednak dzięki błędom w aplikacji szpiegowany też może się odegrać.… Czytaj dalej
© 2023 Zaufana Trzecia Strona
