Dodany: 2018-11-08 05:18:44 | Ostatnio wołany: 2018-11-08 05:20:15


Funkcjonalność wysyłania plików to miejsce kluczowe dla bezpieczeństwa.
Dzisiaj w #od0dopentestera omówię rozszerzenia na które warto zwrócić szczególną uwagę.

Jakie formaty graficzne znasz?

ALLOWED_EXTENSIONS = set(['pdf', 'png', 'jpg', 'svg', 'swf', 'jpeg', 'gif'])

Flash lata swojej świetności ma dawno za sobą.
Większość użytkowników kojarzy go z prostych mini gier dostępnych parę lat temu.
Posiada on jednak możliwość wykonywania kodu #javascript.
Jeżeli więc pozwalamy na wysyłkę i wyświetlanie plików swf, musimy liczyć się z konsekwencjami.

Ja użyje pliku xss.swf oraz Internet Explorera.
Dlaczego IE? Chrome od wersji 57 w standardowej konfiguracji nie uruchamia tych plików automatycznie.

xss.swf?a=eval&c=alert(document.domain)

Drugie potencjalnie niebezpieczne rozszerzenie to svg - czyli format grafiki wektorowej.
On również może zawierać w sobie kod #js.
Przykładowy plik można pobrać ze strony Sekuraka.

Jak popularny jest to błąd?
Na wysyłanie plików swf pozwalało DokuWiki czyli prosta alternatywa dla Wikipedii.
Podobna sytuacja z WordPressem.

W przeszłości pliki swf używane były do kopiowania tekstu ze strony do schowka.
Dalej więc na wielu witrynach można odnaleźć podatne pliki.

Jeżeli chcesz być wołany dodaj się do Mirkolisty.
Masz pytanie na temat bezpieczeństwa? Zadaj je na grupie od 0 do pentestera na Facebooku.

#python #security #bezpieczenstwo #programowanie #informatyka #it #nauka #technologia #ciekawostki

Przejdź do wpisu

Dodany: 2018-11-05 09:08:57 | Ostatnio wołany: 2018-11-05 09:09:53


Zestawienie najciekawszych #ciekawostki ze świata #bezpieczenstwo.

W tym odcinku:
- czy sprzedał byś swoje dane za kubek ciepłej kawy,
- czytajmy regulaminy - sprzątanie toalet za darmowe WIFI,
- dlaczego twórcy aplikacji mobilnych śledzą proces deinstalacji,
- jak rozpoznawanie twarzy jest wykorzystywane w Chinach.

Podcast dostępny również na Google i Apple Podcasts.

Jeżeli chcesz być wołany dodaj się do Mirkolisty.
Masz pytanie na temat bezpieczeństwa? Zadaj je na grupie od 0 do pentestera na Facebooku.

#od0dopentestera #podcast #programowanie #informatyka #it #nauka #technologia

Przejdź do wpisu

Dodany: 2018-10-30 08:08:16 | Ostatnio wołany: 2018-10-30 08:09:51


Dzisiaj w #od0dopentestera o Reflected File Download.
Błąd ten występuje zazwyczaj w endpointach jsonp, kiedy nie sprawdzamy nazwy callbacku.
Przy jego pomocy możemy pobrać plik o dowolnym rozszerzeniu i z kontrolowaną przez nas treścią.
Załóżmy, że posiadamy API, które zwraca bieżący czas jako json i chcemy pobrać te dane przy pomocy #javascript
Przeglądarki nie pozwalają na wysłanie żądania ajax do innej domeny, chroni przed tym mechanizm Same Origin Policy.

header('Content-Type: application/json');
header("Content-Disposition: attachment");

$callback = $ GET['callback'];
echo $callback.'('.jsonencode(array('czas' => time())).');';

Można natomiast przy pomocy tagu script uruchomić dowolny kod z innej domeny.
Nie możemy jednak załadować pliku w formacie json jako #js.
Ale jeśli treść json opakujemy w wywołanie funkcji - interpreter zrozumie to jako instrukcje wykonania danej funkcji a json zostanie tam przekazany jako parametr.

Gdzie znajduje się dzisiejszy błąd?
Sporo #programista15k nie sprawdza nazwy funkcji.

Wykorzystamy format bat - tam komendy można oddzielić od siebie wykorzystując pipe.
Jeżeli jako callback podamy nazwę komendy, następnie pipe a całość zapiszemy do pliku bat, Windows będzie myślał że ma do czynienia z programem wsadowym.
Wykona więc podaną komendę a następnie dalszą część pliku.

Download

Jedyne co stoi nam na przeszkodzie to nazwa pliku - obecnie bowiem jest on pobierany jako json.
Na pomoc przychodzi atrybut download, który możemy przekazać do tagu href.
Dzięki temu plik zostanie pobrany jako .bat
Teraz wystarczy, że niczego nieświadomy użytkownik uruchomi tak spreparowany plik - zobaczy kalkulator.
Atak opiera się więc na socjotechnice i przekonaniu, że to co pobiera z danego serwisu jest OK.

Jeżeli chcesz być wołany dodaj się do Mirkolisty.
Masz pytanie na temat bezpieczeństwa? Zadaj je na grupie od 0 do pentestera na Facebooku.

#security #bezpieczenstwo #programowanie #informatyka #it #nauka #technologia #ciekawostki #php

Przejdź do wpisu

Dodany: 2018-10-29 08:10:07 | Ostatnio wołany: 2018-10-29 08:11:30


Garść #ciekawostki ze świata #security - #podcast Szurkogadanie.
Tym razem:
- kto ma dostęp do rejestru PESEL,
- fałszywe karty graficzne podbijają serwisy aukcyjne,
- malware na platformę KODI,
- co spowodowało błąd w jQuery File Upload.

Podcast dostępny również na Google i Apple Podcasts.

Jeżeli chcesz być wołany dodaj się do Mirkolisty.
Masz pytanie na temat bezpieczeństwa? Zadaj je na grupie od 0 do pentestera na Facebooku.

#od0dopentestera #programowanie #informatyka #it #nauka #technologia

Przejdź do wpisu

Dodany: 2018-10-25 06:24:10 | Ostatnio wołany: 2018-10-25 06:31:08


Często korzystając z serwisów internetowych spotykamy się przekierowaniami.
Jeżeli część zasobów witryny dostępna jest tylko dla zalogowanych użytkowników - po przejściu na taką podstronę jako niezalogowana osoba jesteśmy, przekierowywani do formularza logowania.
W adresie URL możemy dostrzec parametry nazwane redirect czy też next, wskazujące na podstronę, która ma się wyświetlić po zalogowaniu.

Dzisiaj w #od0dopentestera, krótki przykład w #java symulujący tą funkcjonalność:

`import java.io.*;
import javax.servlet.*;
import javax.servlet.http.*;

public class RedirectionExample extends HttpServlet {
@Override
public void doGet(HttpServletRequest request, HttpServletResponse response)
throws IOException, ServletException {

response.sendRedirect(request.getParameter("redirect"));
}


}`

Jako parametr redirect można podać dowolny link. Ale co w tym złego?

Zamiast przejść na nasza stronę, użytkownik zostanie przeniesiony na inną witrynę.

Żadne dane nie wyciekną.

Aby zrozumieć dlaczego jest to niebezpieczne musimy opisać co to jest phishing.

Phishing - czyli metoda oszustwa, w której podszywamy się pod kogoś lub coś aby wyłudzić jakieś interesujące nas informacje.

Przykład: dostajemy email od naszego banku, że ktoś próbował włamać się na nasze konto i musimy zmienić hasło.

Jako iż jesteśmy świadomi niebezpieczeństwa - sprawdzamy adres domeny, na którą kieruje odnośnik w wiadomości.

Domena się zgadza - jest identyczna z domeną naszego banku.

Klikamy więc w link i przystępujemy do procedury zmiany hasła.

Trafiamy jednak na stronę przestępców - którzy chcą wyłudzić nasze dane.

Jak do tego doszło?

Witryna banku zawierała błąd Open Redirection.

Atakujący w adresie banku zawarł odpowiednio spreparowany parametr redirect prowadzący na złośliwą domenę.

Użytkownik sprawdzając łącze – widział zatem prawdziwą domenę banku.

Nie sprawdził jednak parametrów, które były w niej przekazywane.

Dlatego też najpierw otworzyła mu się strona banku a następnie został przekierowany na inną domenę.

Pewno myślisz sobie, że żeby uchronić się przed tym atakiem, wystarczy sprawdzić, czy parametr zaczyna się od naszej domeny.

Dlaczego jest to błędne myślenie, dowiesz się w filmie, w którym opisuje kilka popularnych metod obrony oraz sposoby ich obejścia.

Jeżeli chcesz być wołany dodaj się do Mirkolisty. Wyjątkowo wołam osoby plusujące ostatni wpis o Java.

Masz pytanie na temat bezpieczeństwa? Zadaj je na grupie od 0 do pentestera na Facebooku.

#security #bezpieczenstwo #programowanie #informatyka #it #nauka #technologia #ciekawostki

Przejdź do wpisu
Założona przez:

KacperSzurek

Osób na liście: 195
Wołań: 85
Lista tagu "od 0 do pentestera" gdzie publikuje informacje na temat szeroko pojętego bezpieczeństwa komputerowego.

Kategoria: Nauka i newsy

Ostatnie wydarzenia (zobacz wszystkie)


2020-07-30 12:51:51
@hidd3n13 dołączył do listy


2020-05-27 00:11:52
@KrzysiekGO dołączył(a) do listy


2020-05-15 19:48:00
@ialath dołączył do listy


2020-05-12 09:26:07
@cybermnich dołączył do listy


2020-05-12 08:29:43
@123admin dołączył do listy


2020-05-11 23:09:32
@Nartenlener dołączył do listy


2020-05-11 23:08:43
@Ramen dołączył do listy


2020-04-28 12:28:17
@eintopf dołączył do listy


2020-04-27 23:02:03
@geralt101 dołączył do listy


2020-04-27 21:15:30
@fakeman dołączył do listy