To było już 18 lat temu... Dość dziwne uczucie patrzeć „na żywo” jak samolot wbija się w drugą wieżę. Pamiętam jak po pierwszym uderzeniu podawano komunikat „(...) nie wiadomo, czy to zamach (...)”, drugie uderzenie raczej rozwiało wątpliwości.
Środa, wrzesień 11. 2019
Poniedziałek, wrzesień 2. 2019
Tak, XSS po uppercase jest możliwy
"Kiedyś to były czasy (...)". Bo były, ludzie myśleli i potrafili coś więcej niż (ledwo) obsłużyć Burp. I potrafili coś więcej niż tylko:
<script>alert(1)</script>
I jeśli payload byłby przekształcany do postaci uppercase, nie byliby załamani. Nie działa? To zadziała coś innego, na przykład TO - w wersji źródłowej:
<A HREF="" ONCLICK="alert(1)">TO</A>
Lepiej jest wiedzieć, że się czegoś nie wie, niż myśleć, że się wie, bo przecież "pentest nic nie znalazł". False sense of security jest gorszy niż (świadoma) niepewność.
Sobota, lipiec 27. 2019
13 Minutes to the Moon
Super podcast: 13 Minutes to the Moon.
Wtorek, czerwiec 4. 2019
CONFidence Class
Na wypadek gdyby ktoś sprawdzał - tak, prowadziłem jeden z wykładów/warsztatów na CONFidence Class.
P.S.: zdjęcia z CONFidence Class.
Niedziela, kwiecień 7. 2019
Podcast: What is an SBOM and Why Should You Care? w/ Allan Friedman
Do posłuchania: What is an SBOM and Why Should You Care? w/ Allan Friedman.
Jedną z rzeczy, które mnie irytują/martwią to założenie, że problem opisywany jako Using Components with Known Vulnerabilities można zaadresować przez testowania. Nie, nie można i to z wielu powodów. Choćby dlatego, że pentest dzieje się w określonym czasie, a nowe podatności są wykrywane 24/7/365. Inne formy testowania (vulnerability scanning, source code scanning) również odbywają się okresowo. Nawet jeśli produkt jest aktywnie rozwijany, a samo skanowanie jest zintegrowane z CI/CD pipeline, to i tak istnieje niezerowa szansa, że problem nie jest rozwiązany. Dlaczego? Proste pytanie - jak wiele poziomów w głąb używane narzędzia sięgają?
Tutaj (paradoksalnie) uważam, że vulnerability scanning (lub raczej DAST) ma pewną przewagę nad SAST (pentestu nie porównuje z uwagi na inną "cykliczność") - jeśli narzędzie używane do skanowania ma sygnaturę (OK, w tym kontekście nie do końca o sygnaturę chodzi) dla określonej podatności, to istnieje duża szansa, na jej znalezienie, nawet jeśli jest ona powodowana przez bibliotekę wiszącą gdzieś głęboko w drzewie zależności.
@Filip: dla Ciebie :)
