Publikacje

Porównanie bezpieczeństwa: Gnu/Linux vs BSD (część 1)

 

Porównanie bezpieczeństwa: Gnu/Linux vs BSD (część 2)

 

Porównanie bezpieczeństwa: Gnu/Linux vs BSD (część 3)

 

Zdalny root na routerze SOHO

W czteroczęściowym tekście przedstawimy wybrane ataki na urządzenia sieciowe. W pierwszej kolejności, wskażemy pewne trendy w sposobie projektowania sprzętu sieciowego oraz związane z tym zagrożenia. Następnie skupimy się na atakach przeprowadzanych z wykorzystaniem webowych konsoli zarządczych - przedstawione zostaną podatności w dwóch modelach routerów klasy SOHO (ang. Small Office / Home Office)– ASMAX oraz Linksys. Finalnie, wskażemy potencjalne skutki tego typu ataków oraz opiszemy metody ochrony.

root na routerze Asmax

Druga część artykułu - zdalny root na routerze SOHO, wskazująca możliwość zdalnego ataku na router tej klasy, skutkującym przejęciem dostępu na poziomie systemu operacyjnego.

root na routerze Linksys

Trzecia część artykułu - zdalny root na routerze SOHO, wskazująca podatności w routerze Linksys by Cisco - umożliwiające otrzymania dostępu z uprawnieniami root systemu operacyjnego, na którym pracuje router.

Skutki ataku na routery klasy SOHO

Czwarta część artykułu - zdalny root na routerze SOHO, wskazująca pewne skutki badanych podatności oraz związane z nimi ataki. Omówiony został m.in robak psyb0t.

Błąd w Firefox ułatwiający CSRF

Czy można w prosty sposób wygenerować uwierzytelniony request HTTP z przeglądarki internetowej? Dzięki znalezionemu przez nas błędowi w przeglądarce Firefox okazuje się że tak. Tego typu fakt może służyć to łatwego atakowania urządzeń klasy SOHO, czy czym pisaliśmy kilka miesięcy temu.

Burp Suite Professional - intruder

Tekst opisuje podstawową funkcjonalność modułu fuzzera, zawartego w Burp Suite Professional. Fuzzing to jeden z elementów wykonywania testów penetracyjnych aplikacji.

Burp Suite Professional - wprowadzenie

Tekst opisuje podstawową funkcjonalność oprogramowania Burp Suite Professional - jednego z przydatnych narzędzi, wspierających wykonywanie testów penetracyjnych aplikacji webowych. W pierwszej części tekstu przedstawiony zostanie moduł proxy, w kolejnej odsłonach artykułu scharakteryzuję z kolei moduły: repeater, intruder oraz scanner.

Analiza komunikacji sieciowej - argus

Tekst jest wprowadzeniem do narzędzia argus, umożliwiającego zaawansowaną analizę statystyczną komunikacji sieciowej - również pod względem bezpieczeństwa. Argus to również jedno z bardziej przydatnych narzędzi wspomagających monitoring sieci pod względem bezpieczeństwa.

Testy penetracyjne aplikacji WWW

Artykuł przedstawiający tematykę testów penetracyjnych aplikacji www oraz audytu bezpieczeństwa. W tekście zobrazowane zostały etapy testów, oraz praktyczne informacje dotyczące testów penetracyjnych aplikacji webowych.

Audyt bezpieczeństwa aplikacji WWW

W publikowanym w bazie wiedzy dwuczęściowym opracowaniu, przybliżymy Czytelnikowi tematykę audytu bezpieczeństwa aplikacji webowych.

Szyfrowanie poczty w Outlook

Artykuł opisuje konfigurację oprogramowania Outlook, umożliwiającą wysyłanie oraz odbieranie szyfrowanych e-maili - z wykorzystaniem GPG.

SQL Injection - nietypowy wariant ataku

Tekst przedstawia możliwość ataku na podatność SQL injection. Rozważany jest szczegółowy przypadek SQL injection - mający miejsce w elemencie ORDER BY zapytania SQL. Dodatkowo prezentowana jest nietypowa technika ataku czasowego na podatność SQL injection.

Ominięcie firewalla aplikacyjnego WebKnight

Prezentujemy sposób ominięcia firewalla aplikacyjnego - WebKnight. Wskazane ominięcie umożliwia atak na podatność klasy SQL injection. Przedstawiamy również przykład realnego ataku na serwis chroniony firewallem WebKnight, a posiadającym podatność SQL injection.

Fuzzing aplikacji webowych - część druga

Prezentujemy drugą część artykułu dotyczącego fuzzingu aplikacji webowych. W tekście przedstawione zostały praktyczne aspekty związane z fuzzingiem.

Fuzzing aplikacji webowych – wprowadzenie

W tekście została omówiona tematyka fuzzingu. Informacje przedstawione zostały w kontekście aplikacji www. Pokazany został również związek techniki fuzzingu z testami (audytem) bezpieczeństwa.

Bezpieczeństwo transakcji online - autouzupełnianie

Tekst opisuje powszechną w Internecie podatność, z wykorzystaniem której istnieje możliwość kradzieży danych kart kredytowych. Artykuł opisuje potencjalną ścieżkę ataku oraz metody zaradcze - służące zabezpieczeniu danych karty kredytowej.

Konfiguracja szyfrowanej poczty - GPG i Thunderbird

 

gfx

 

img

 

iptables+psad jako zaawansowany system wykrywania włamań