Wampiryczny blog

Udostępniam tekst do zadania Bootcamp: (blind) SQL injection. Proponuję poćwiczyć sobie wariant z blind SQL injection, przyda się do podołania wyzwaniu: http://bootcamp.threats.pl/lesson08/ (to taki hint).

Przez (prawie) tydzień oddawałem się pasjonującemu robieniu nic. A plaże są ZŁE! Bo się w piasku zapadam...

Jakiś czas temu pojawiła się informacja o podatności w implementacji protokołu WebDAV w IIS. Microsoft wydał stosowne Security Advisory: Vulnerability in Internet Information Services Could Allow Elevation of Privilege. Pojawił się również stosowny exploit (zresztą nie jest zbyt wyrafinowany): http://milw0rm.com/exploits/8704, pojawiły się również nieco złośliwe komentarze: Smells like teen spirit. Fakt, błąd z gatunku głupich, ale proponuję rzucić okiem na listę podatności wykrytych w IIS 6.0 i porównać to z czasami IIS 5.0. Jak dla mnie duża zmiana, na plus oczywiście. Swoją drogą jestem ciekawy jak ten błąd przeszedł niezauważony, korzystanie z fuzzerów jest wymogiem SDL. Mogło po prostu nie być takiego przypadku testowego, zdarza się, to nie koniec świata. Trzeba tylko wyciągnąć z tego naukę na przyszłość, lepiej uczyć się na cudzych błędach, ale na swoich też trzeba.

Jednym z podstawowych testów wykonywanych w trakcie testów mechanizmu uwierzytelnienia (formatki logowania) jest sprawdzenie, czy można odróżnić przypadek podania prawidłowej nazwy użytkownika i nieprawidłowego hasła, od podania nieprawidłowej nazwy użytkownika i nieprawidłowego hasła. Jeśli taka różnica istnieje, możliwe jest określenie nazw użytkowników istniejących w aplikacji, co czasami pozwala na dalsze ataki. Jak jest w przypadku http://bootcamp.threats.pl/lesson08/?

Nie mam i przynajmniej do końca miesiąca nie będę miał czasu na napisanie wyjaśnienia do odcinka dotyczącego SQL Injection: http://bootcamp.threats.pl/lesson07/. Podam jednak kilka wskazówek.

Tym razem coś w rodzaju wyzwania. Zadanie jest proste: trzeba się zalogować. Do dzieła: http://bootcamp.threats.pl/lesson08/.

Dziś udostępniam już pełną wersję lekcji Bootcamp: Home-brewed Crypto. Przesłanie jest jedno: zostawmy wymyślanie algorytmów kryptograficznych ekspertom, ograniczmy się do prawidłowego z nich korzystania.

Otrzymałem dziś rewelacyjną ofertę od mojego operatora telefonii komórkowej. Mianowicie 200 minut za jedyne 15 PLN.

Zakończył się konkurs CONFidence Security Evangelist, w którym mój blog, jeśli ktoś tego jeszcze nie wie, zajął drugie miejsce w kategorii IT Security Blog in Polish,a przynajmniej tak wynika z aktualnych wyników. Zwycięzcom gratuluję, głosującym na mój blog dziękuję. I po konkursie mały komentarz.

W przeglądarkach obiekt history jest chroniony, między innymi po to, by uzyskanie listy stron, które odwiedził użytkownik nie było (zbyt łatwo) możliwe. Oczywiście jest kilka innych metod wykorzystujących ukryty kanał, demonstracja jednej z nich dostępna jest na Start Panicking! To jak będzie z tą paniką?