Dodany: 2019-06-24 06:41:19 | Ostatnio wołany: 2019-06-24 06:42:56


Jak działa kradzież karty SIM? Co to jest SIM swap?
Dlaczego banki chcą abyśmy zrezygnowali z potwierdzania przelewów przy użyciu SMSów?
O tym dzisiaj w #od0dopentestera

Zazwyczaj sam login i hasło bankowości elektronicznej nie wystarczą aby zlecić przelew.
Bank chce mieć pewność, że to my zleciliśmy transakcję dlatego wykorzystuje idee dwuskładnikowej weryfikacji.
W przeszłości wykorzystywano do tego karty kodów jednorazowych.
W ostatnim kroku wysyłania przelewu losowano jeden z nieużytych numerów i proszono o jego przepisanie.

Minusy? Dowolny nieużyty kod mógł potwierdzić dowolną operację.
Przestępcy próbowali je wiec wyłudzać od niczego nieświadomych użytkowników.
Gdy telefony stały się popularne większość instytucji przeszła na wiadomości SMS.
Tym razem jeden kod potwierdza jedną, konkretną transakcję.
Dodatkowo zazwyczaj widać jej kwotę oraz adres odbiorcy.

Rozwiązanie idealne?
Tutaj do gry wchodzi kradzież kart SIM tak zwany atak SIM swap.
Przestępcy wyłudzają duplikat karty przy użyciu kolekcjonerskich wersji dowodów osobistych.
Wtedy to wszystkie wiadomości (w tym te od banku) trafiają na telefony złodziei.

Sytuacja taka dotyczy również kont email.
Niektóre serwisy pozwalają bowiem na reset hasła przy pomocy wiadomości tekstowej.
W taki sposób można przejąć czyjeś konto pocztowe.
Je natomiast można wykorzystać do zmiany hasła na innych portalach.
Praktycznie każda z obecnie istniejących witryn pozwala bowiem na zmianę hasła przy użyciu maila.

Najnowszym rozwiązaniem jest więc używanie mobilnych aplikacji bankowych do potwierdzania przelewów.
Aplikacja jest powiązana z telefonem a nie numerem telefonu.
Dzięki temu nawet gdy ktoś wyłudzi duplikat karty SIM, nie będzie w stanie potwierdzić zlecenia przelewu.

Subskrybuj kanał na YouTube
Masz pytanie na temat bezpieczeństwa? Zadaj je na grupie od 0 do pentestera na Facebooku.
Dostępne również na Google i Apple Podcasts oraz Spotify i Anchor.
Jeżeli chcesz być wołany dodaj się do Mirkolisty.

#bezpieczenstwo #programowanie #informatyka #it #nauka #technologia #ciekawostki #podcast #swiat #gruparatowaniapoziomu #biznes #security #banki

Przejdź do wpisu

Dodany: 2019-06-18 05:00:19 | Ostatnio wołany: 2019-06-18 05:01:07


Jak działa BitLocker i szyfrowanie dysków? Co to jest TPM i do czego służy? #od0dopentestera

Dlaczego warto zabezpieczyć swoje dane na laptopie?
Chociażby aby w przypadku jego kradzieży nasze zdjęcia z wakacji nie dostały się w niepowołane ręce.
Ale jak to możliwe? Przecież mój komputer jest zabezpieczony hasłem, które podaję podczas logowania do systemu operacyjnego.
Mechanizm logowania a szyfrowanie to dwie różne kwestie.

Istnieją metody na uruchomienie działającego systemu operacyjnego z poziomu pendrive'a.
Wystarczy odpowiednio spreparowany nośnik podpięty do portu USB.
Komputer uruchomiony za jego pomocą nie korzysta z Windowsa zainstalowanego na naszym laptopie.
Ale taki system dalej ma dostęp do zasobów całego naszego dysku twardego.

I tu do gry wkracza szyfrowanie dysków.
W Windowsie najprościej użyć BitLockera.
Uruchomienie tego mechanizmu wymaga od nas podania hasła, które to jest wykorzystywane do zabezpieczenia naszej treści.
Im dłuższe i bardziej skomplikowane tym trudniej będzie je złamać.
Ciężko mi sobie jednak wyobrazić osobę, który byłaby zadowolona z faktu wprowadzania za każdym razem 40 znakowej kombinacji znaków.

Kolejną opcją jest użycie pendrive'a na którym to znajduje się specjalny plik z hasłem.
Jego długość sprawia, że ataki siłowe nie mają większego sensu.
Z drugiej jednak strony każdy kto posiada dostęp do tego urządzenia może w prosty sposób skopiować znajdujący się tam plik i odblokować nim nasz komputer.

Dlatego najlepszym rozwiązaniem jest użycie mechanizmu TPM.
Jest to mały układ znajdujący się w większości nowych komputerów.
Jego zadaniem jest bezpieczne przechowywanie kluczy.
Podczas uruchamiania komputera komponent ten sprawdza czy nie nastąpiła żadna zmiana w konfiguracji.
Tylko wtedy wysyła on hasło do BitLockera który to może odszyfrować dysk.

Dla użytkownika końcowego takie rozwiązanie jest praktycznie niewidoczne, wszystko dzieje się automatycznie w tle.
Ma jednak jeden minus.
Istnieją skomplikowane metody gdzie odpowiednio podpinając przewody do TPM możliwe jest podsłuchanie komunikacji z BitLockerem.
Dlatego też w celu najlepszej ochrony stosuje się dodatkowy PIN.
Wtedy to oprócz braku zmian w konfiguracji użytkownik za każdym razem musi podać swój kod, który zazwyczaj składa się z 4 do 6 cyfr.

Teoretycznie to całkiem mało i zdeterminowany atakujący mogły próbować każdą z kombinacji po kolei.
Ale na to nie pozwoli TPM - po kilku próbach zacznie wydłużać czas potrzebny na wpisywania kolejnych liczb.

Subskrybuj kanał na YouTube
Masz pytanie na temat bezpieczeństwa? Zadaj je na grupie od 0 do pentestera na Facebooku.
Dostępne również na Google i Apple Podcasts oraz Spotify i Anchor.
Jeżeli chcesz być wołany dodaj się do Mirkolisty.

#bezpieczenstwo #programowanie #informatyka #it #nauka #technologia #ciekawostki #podcast #swiat #gruparatowaniapoziomu #biznes #security

Przejdź do wpisu

Dodany: 2019-05-29 09:14:12 | Ostatnio wołany: 2019-05-29 09:15:15


Co to jest błąd typu 0 day oraz 1 day? #od0dopentestera
Kim jest black hat oraz white hat?
Jaka jest różnica pomiędzy responsible a full disclosure.
A także na czym polega polityka 90 dni?

Nowoczesne aplikacje wykorzystują sporo kodu stworzonego przez inne osoby.
Kierujemy się tutaj zasadą: „nie wymyślaj koła na nowo”.
I tak w #javascript mamy NPM a w #python PyPI.
Z jednej strony, dzięki temu programy mogą powstawać szybciej.
Ale co w przypadku gdy w jakiejś bibliotece znajdzie się błąd bezpieczeństwa?
I nie chodzi tutaj o błędy odkryte i wykorzystywane przez przestępców a o te poprawione przez producenta oprogramowania.
Czy pamiętamy o aktualizacji paczek?

Dzisiaj o 9 punkcie z listy OWASP Top 10 czyli o używaniu podatnych komponentów.

Subskrybuj kanał na YouTube
Masz pytanie na temat bezpieczeństwa? Zadaj je na grupie od 0 do pentestera na Facebooku.
Jeżeli chcesz być wołany dodaj się do Mirkolisty.

#bezpieczenstwo #programowanie #informatyka #it #nauka #technologia #ciekawostki #swiat #gruparatowaniapoziomu

Przejdź do wpisu

Dodany: 2019-04-29 09:36:37 | Ostatnio wołany: 2019-04-29 09:39:27



Czy kliknięcie w odnośnik może być niebezpieczne? #od0dopentestera
Parę tygodniu temu opisywałem podstawy ataku XSS.
Dzisiaj nadarzyła się okazja aby opisać tą podatność w oparciu o prawdziwy błąd w oprogramowaniu QNAP NAS.
Podatny kod mieści się w jednej linijce:
location.href = decodeURIComponent(location.href.replace(/(.*?\?r=)/,''));
W teorii miał przekierowywać użytkownika pod nowy adres znajdujący się w parametrze ?r=.
Czyli wchodząc na podatną stronę skrypt.html?r=http://google.pl zostajemy automatycznie przeniesieni do wyszukiwarki.
Jest to wiec typowy przykład Open Redirection.
Tutaj, można go jednak wykorzystać do wykonania kodu #javascript.
Jak to możliwe?
W pasku adresu w przeglądarce oprócz domeny można również podać ciąg zaczynający się od słowa javascript a następnie kod #js.
Wystarczy więc przekonać użytkownika do wklejenia dziwnego tekstu do okna przeglądarki.
W praktyce bardzo ciężko jest przeprowadzić taki atak.
Dużo prościej jest, gdy użytkownik musi jedynie kliknąć w link albo odwiedzić złośliwą podstronę.
http://NAS:8080/nc/oauth/redirect.html?r=javascript:e val("nasz_złosliwy_kod")
W tym przypadku po kliknięciu w odnośnik, location.href przeniesie nas pod nowy adres zaczynający się od słowa javascript a to oznacza wykonanie danego kawałka kodu.
Podsumowując: jeżeli zalogowany administrator kliknie w link znajdujący się na złośliwej stronie, automatycznie zostanie utworzone nowe konto administratora w oprogramowaniu QNAP.
A to sprawia, że ktoś uzyskuje pełen dostęp do naszych danych znajdujących się na urządzeniu.
Ten błąd ma numer CVE-2019-7179 i jeżeli posiadasz któreś z urządzeń QNAP warto zaktualizować oprogramowanie do wersji QTS 4.4.0.0883.

Subskrybuj kanał na YouTube
Masz pytanie na temat bezpieczeństwa? Zadaj je na grupie od 0 do pentestera na Facebooku.
Jeżeli chcesz być wołany dodaj się do Mirkolisty.

#bezpieczenstwo #programowanie #informatyka #it #nauka #technologia #ciekawostki #swiat #gruparatowaniapoziomu #biznes

Przejdź do wpisu

Dodany: 2019-04-22 10:35:22 | Ostatnio wołany: 2019-04-22 10:37:06


Poranek z #od0dopentestera
Wykorzystanie newslettera do przenoszenia złośliwego oprogramowania.
CSS jako metoda infiltracji tajnych danych na stronach internetowych - wyjaśnienie zasady działania Sequential Import Chaining.
Co to jest plik apple-app-site-association i jakie dane można w nim znaleźć.
Nowa sztuczka wykorzystywana przez malware Emotet.
Jak stracić milion dolarów? Historia miłosnego zauroczenia.
A także wyjaśnienie pojęcia Sextortion.

Subskrybuj kanał na YouTube
Masz pytanie na temat bezpieczeństwa? Zadaj je na grupie od 0 do pentestera na Facebooku.
Dostępne również na Google i Apple Podcasts oraz Spotify i Anchor.
Podcast możesz również przeczytać w formie artykułu
Jeżeli chcesz być wołany dodaj się do Mirkolisty.

#bezpieczenstwo #programowanie #informatyka #it #nauka #technologia #ciekawostki #podcast #swiat #gruparatowaniapoziomu #biznes

Przejdź do wpisu

Dodany: 2019-04-16 04:54:39 | Ostatnio wołany: 2019-04-16 04:55:39


Jak zmiana daty urodzenia na Twitterze, może sprawić nie lada kłopoty.
Co to jest credential stuffing i jak się przed nim obronić.
Dlaczego nie warto używać wyrażeń regularnych do sprawdzania poprawności domeny.
Shodan monitor - czyli ostatni bastion bezpieczeństwa naszych serwerów.
Dystrybucja Windowsa dla pentesterów? Parę słów na temat commando VM.
Jak testować bezpieczeństwo sklepów internetowych.

Subskrybuj kanał na YouTube
Masz pytanie na temat bezpieczeństwa? Zadaj je na grupie od 0 do pentestera na Facebooku.
Dostępne również na Google i Apple Podcasts oraz Spotify i Anchor.
Podcast możesz również przeczytać w formie artykułu
Jeżeli chcesz być wołany dodaj się do Mirkolisty.

#od0dopentestera #bezpieczenstwo #programowanie #informatyka #it #nauka #technologia #ciekawostki #podcast #swiat #gruparatowaniapoziomu #biznes

Przejdź do wpisu

Dodany: 2019-04-09 04:58:18 | Ostatnio wołany: 2019-04-09 04:59:04


Co to jest atak BadUSB? Czyli jak podpinając #raspberrypi do routera można monitorować ruch w danej sieci.
Co oznacza termin trust on first use - jak sprawdzać, kto czai się po drugiej stronie komunikatora.
Dlaczego samo zakrywanie danych w dokumentach nie zawsze wystarczy.
Na czym polegał błąd SQL Injection w oprogramowaniu sklepu internetowego Magento?
Kopiowanie plików z kontenera Kubernetes powodem wykonania kodu na komputerze administratora - o symlinkach w plikach tar.

Subskrybuj kanał na YouTube
Masz pytanie na temat bezpieczeństwa? Zadaj je na grupie od 0 do pentestera na Facebooku.
Dostępne również na Google i Apple Podcasts oraz Spotify i Anchor.
Podcast możesz również przeczytać w formie artykułu
Jeżeli chcesz być wołany dodaj się do Mirkolisty.

#od0dopentestera #bezpieczenstwo #programowanie #informatyka #it #nauka #technologia #ciekawostki #podcast #swiat #gruparatowaniapoziomu #biznes

Przejdź do wpisu

Dodany: 2019-04-05 05:05:29 | Ostatnio wołany: 2019-04-05 05:09:17


Jak dobrze znasz #php ?
W dzisiejszym odcinku #od0dopentestera zapraszam do małego quizu.
Wykorzystałem tutaj kawałki kodu, na które natrafiłem podczas RADARCTF oraz VolgaCTF.
Ile z nich jesteś w stanie rozwiązać - czyli wyświetlić tekst OK?
Podziel się spostrzeżeniami w komentarzu.
Wyjaśnienia wszystkich zagadek znajdziesz w filmie.

1. Kolizja MD5 - wartość $salt nie jest znana

if($a !== $a){
if(hash('md5', $salt . $a) == hash('md5', $salt . $b)){
echo "OK";
}
}

2. Trzycyfrowa liczba, która jest większa od 10000

if (strlen($number) < 4) {
if (is_numeric($number)) {
if ($number > 10000) {
echo "OK";
}
}
}

3. Hash MD5 równy wartości liczby zmiennoprzecinkowej

if (strlen($d) == 3 and !is_numeric($d)) {
if (floatval($d) == md5($d)) {
echo 'OK';
}
}

4. Wyświetlenie konkretnego pliku bez znajomości jego nazwy

if (substr(strtolower($e), 0, 4) != "http") {
if (file_get_contents($e) === "0") {
echo "OK";
}
}

5. Deserializacja tajnego obiektu – wartość $r->flag nie jest znana

class Secrets {
var $temp;
var $flag;
}

$r = unserialize($f);
$r->flag = "SEKRET";

if ($r->flag === $r->temp) {
echo 'OK';
}

Subskrybuj kanał na YouTube
Masz pytanie na temat bezpieczeństwa? Zadaj je na grupie od 0 do pentestera na Facebooku.
Jeżeli chcesz być wołany dodaj się do Mirkolisty.

#programowanie #security #informatyka #it #nauka #technologia #ciekawostki #gruparatowaniapoziomu #bezpieczenstwo #webdev #programista15k

Przejdź do wpisu

Dodany: 2019-04-01 15:15:57 | Ostatnio wołany: 2019-04-01 15:17:25


Co to jest high frequency trading i jakie przeszkody stoją przed osobami, które się nim zajmują.
Jak sprawdzić gdzie byliśmy na wakacjach bez naszej zgody? O podatności Cross-site Search.
Podszywanie się pod okno przeglądarki na #iphone - o ataku Picture in Picture.
Jak podszyć się pod dowolny adres IP? O zdalnym wykonaniu kodu w infrastrukturze Mozilli.
Oszustwa w mechanizmie reklam mobilnych - jak wyświetlać dwie reklamy w jednej.
Używanie legalnych komponentów do rozpowszechniania złośliwego oprogramowania - jak wykorzystano serwis Firebase.
Czy słyszałeś o Google BigQuery? Przeszukiwanie wielu gigabajtów danych w celu odnalezienia tokenów API na GitHubie.
A także o last minute persistence, czyli jak ewoluowały metody przetrzymywania restartu komputera w złośliwym oprogramowaniu.

Subskrybuj kanał na YouTube
Masz pytanie na temat bezpieczeństwa? Zadaj je na grupie od 0 do pentestera na Facebooku.
Dostępne również na Google i Apple Podcasts oraz Spotify i Anchor.
Podcast dostępny jest również w formie artykułu
Jeżeli chcesz być wołany dodaj się do Mirkolisty.

#od0dopentestera #bezpieczenstwo #programowanie #informatyka #it #nauka #technologia #ciekawostki #podcast #swiat #gruparatowaniapoziomu #biznes

Przejdź do wpisu

Dodany: 2019-03-29 08:40:00 | Ostatnio wołany: 2019-03-29 08:42:46


W większości języków programowania możemy tworzyć obiekty - czyli instancje klas.
Serializacja to sposób na przechowywanie obiektów lub struktur tak aby mogły być łatwo transmitowane.
Z deserializacją niezaufanych obiektów mamy do czynienia jeżeli użytkownik kontroluje zawartość zserializowanego obiektu.
Serwer aby przetworzyć tak zapisany obiekt, musi bowiem wykonać operację odwrotną nazywaną deserializacją.
W niektórych językach podczas tej procedury, pewne metody są wywoływane automatycznie.
W PHP te metody nazywane są magicznymi i zaczynają się od podwójnego podkreślenia.
Cała idea ataku opiera się zatem na znalezieniu podatnej magicznej metody, której kod może zostać wykorzystany w zły sposób.
Przykładowo, w #php jeśli klasa posiada metodę __wakeup, podczas deserializacji obiektu przy pomocy funkcji unserialize - wykona się ona automatycznie.
Powiedzmy, że nasza implementacja __wakeup usuwa plik bazując na właściwości $plik.
Jeżeli atakujący kontroluje zserializowany obiekt, może zmienić wartość tego pola.
PHP automatycznie wykona magiczną metodę, a ta wywoła funkcje unlink, usuwając plik wskazany przez użytkownika.

Subskrybuj kanał na YouTube
Masz pytanie na temat bezpieczeństwa? Zadaj je na grupie od 0 do pentestera na Facebooku.
Jeżeli chcesz być wołany dodaj się do Mirkolisty.

#od0dopentestera #programowanie #security #informatyka #it #nauka #technologia #ciekawostki #gruparatowaniapoziomu #bezpieczenstwo #webdev #programista15k

Przejdź do wpisu
Założona przez:

KacperSzurek

Osób na liście: 110
Wołań: 52
Lista tagu "od 0 do pentestera" gdzie publikuje informacje na temat szeroko pojętego bezpieczeństwa komputerowego.

Kategoria: Nauka i newsy

Ostatnie wydarzenia (zobacz wszystkie)


2019-06-24 09:44:02
@nikolaj92 opuścił listę


2019-06-24 06:42:56
@KacperSzurek zawołał do wpisu


2019-06-18 07:17:07
@tomono dołączył do listy


2019-06-18 05:01:07
@KacperSzurek zawołał do wpisu


2019-05-29 09:46:55
@terwer358 opuścił listę


2019-05-29 09:15:15
@KacperSzurek zawołał do wpisu


2019-05-12 18:48:11
@Init0 dołączył do listy


2019-04-29 14:27:39
@100lik dołączył do listy


2019-04-29 09:39:27
@KacperSzurek zawołał do wpisu


2019-04-25 12:56:26
@adrpan opuścił listę