Niewykrywalny wirus czyta hasła w komputerach. No normalnie mrok. Strach się bać... A na poważnie - ma ktoś próbkę? Chętnie pokażę jak bardzo wykrywalny jest ten "wirus".
Ciąg dalszy "Niewykrywalny wirus czyta hasła w komputerach" »Friday, February 13. 2009
Thursday, February 12. 2009
Blind sql injection - dlaczego bisekcja
W trakcie prezentacji na spotkaniu OWASP pojawiło się pytanie o najbardziej efektywne odczytywanie danych z bazy za pomocą techniki blind sql injection. W szczególności pojawiła się sugestia, że szybkie (w szczególności szybsze od bisekcji) może być wykorzystanie zapytania z konstrukcją LIKE. Tak nie jest.
Ciąg dalszy "Blind sql injection - dlaczego bisekcja" »Spotkanie OWASP w Krakowie
Dziś miało miejsce kolejne spotkanie OWASP. W trakcie rozwinęła się dyskusja jak zachęcić większą ilość ludzi do przychodzenia na takie spotkania. W szczególności chodzi o:
- programistów,
- przedstawicieli klientów "końcowych",
Nie osiągnie się poprawy bezpieczeństwa aplikacji, jeśli na takie spotkania będą przychodzili ludzie już zainteresowani tematem, a tak jest niestety obecnie. Jeden z obecnych na spotkaniu programistów powiedział wprost, że od niego nikt nie wymaga tworzenia bezpiecznego kodu, bo on w zasadzie ma zrealizować wymagania klienta. Dlatego też dobrze by było, gdyby na spotkania przychodzili przedstawiciele klienta, choćby po to, by wiedzieli co umieścić w wymaganiach. Jeśli wymagania odnośnie bezpieczeństwa pojawią się w podpisywanych umowach, w sposób naturalny również i programiści będą zainteresowani (odgórnie) tematem. Ludzie ci jednak nie przyjdą na spotkania OWASP, jeśli nie znajdą tematów dla nich interesujących. Co chcielibyście więc usłyszeć?
Ciąg dalszy "Spotkanie OWASP w Krakowie" »Wykazałem się...
Napisałem sobie skrypt, który służył do uruchamiania narzędzia Memoryze. Problem w tym, że skrypt umieściłem w katalogu programu, a później zainstalowałem nową wersję (Memoryze now supports Vista SP1 and F-response). Okazało się, że w trakcie tego upgrade mój skrypt zniknął (instalator najpierw usunął obecnie zainstalowaną wersję, w tym katalog z całą zawartością). Nie bardzo chciało mi się pisać go jeszcze raz, więc przeszukałem cały dysk (ProDiscover Basic) na określone słowa kluczowe. Okazało się, że w kilku klastrach zostały fragmenty skryptu (prawdopodobnie pliki tymczasowe edytora), po ich odzyskaniu skrypt udało się odtworzyć.
Ciąg dalszy "Wykazałem się..." »Wednesday, February 11. 2009
Failure to Preserve SQL Query Structure (aka 'SQL Injection')
CWE-89: Failure to Preserve SQL Query Structure (aka 'SQL Injection') pochodzi wprost z 2009 CWE/SANS Top 25 Most Dangerous Programming Errors. Osobiście bardzo się cieszę z opublikowania tego typu dokumentu, zalecenia w nim zawarte można wprost wykorzystywać jako tak zwane najlepsze praktyki, co powinno znacznie ukrócić niejednokrotnie uciążliwe dyskusje z devloperami odnośnie tego co jest, a co nie jest najlepszą praktyką. Jak Tomek kiedyś stwierdził, temat sql injection jest tematem dyżurnym na moim blogu. Tym razem trochę na temat tego, jak zmniejszyć szansę pojawienia się podatności w tworzonej aplikacji.
Ciąg dalszy "Failure to Preserve SQL Query Structure (aka..." »