Jakiś czas temu wspominałem o scenariuszu związanym z network forensic (Network Forensic: Nitroba University Harassment Scenario). Opierając się na dostępnym w ramach tego przykładu zapisie ruchu sieciowego, pokażę małą ciekawostkę. Jak ruch NTP może posłużyć do ustalenia ile komputerów jest aktywnych za NAT.
Ciąg dalszy "Ile komputerów za NAT?" »Thursday, March 31. 2011
Saturday, March 26. 2011
Jak szukać (potencjalnych) XSS
Krótki i gawędziarski wpis odnośnie tego, jak szukać prostych przypadków XSS. Przynajmniej teoretycznie prostych. Jeśli mamy do czynienia z dużą aplikacją, w ramach której można zidentyfikować kilkadziesiąt punktów wejścia (w uproszczeniu - formatek), z których każdy przyjmuje kilka(naście) parametrów, dokładne przeanalizowanie każdego z nich może być niemożliwe przez ograniczenia czasowe. Z drugiej strony dobrze jest zidentyfikować te miejsca, w których dane pochodzące od użytkownika są wypisywane na stronie i w dodatku są wypisywane w kontekście, który na XSS pozwala.
Ciąg dalszy "Jak szukać (potencjalnych) XSS" »Thursday, March 24. 2011
Referendum dobre na wszystko?
Było sobie trzęsienie ziemi i tsunami w Japonii. Zginęło w nim prawdopodobnie około 20 000 osób (potwierdzone ofiary oraz osoby uznane za zaginione). Jednym z efektów trzęsienia i fali tsunami jest awaria w jednej z elektrowni atomowych (Fukushima). W efekcie tej awarii na całym świecie ponownie pojawiły się głosy, że należy zrezygnować z tej formy pozyskiwania energii. A w Polsce pojawił się pomysł, by o budowie elektrowni atomowej zadecydowało referendum (SLD chce referendum ws. budowy elektrowni jądrowej w Polsce).
Ja wiem, że jesteśmy krajem, w którym żyje ponad 40 milionów ekspertów. W dodatku eksperci są bardzo wszechstronni, znają się na wszystkim, od ochrony przeciwpowodziowej, katastrof lotniczych i możliwości wywoływania sztucznej mgły, aż po, jak się okazuje, fizykę jądrową, budowę i eksploatację elektrowni atomowych. Każdy z tych ekspertów dysponuje oczywiście dogłębną wiedzą o stanie naszej infrastruktury przeznaczonej do produkcji i przesyłania prądu, jak również doskonale zdaje sobie sprawę z obecnego i oczekiwanego zapotrzebowania na energię elektryczną w naszym kraju... Zdają sobie oni również doskonale sprawę gdzie w sąsiedztwie Polski znajdują się elektrownie atomowe i potrafią bez problemu uzasadnić, dlaczego budowa nowoczesnej elektrowni na terenie naszego kraju znacząco zwiększa ryzyko. Może jakiś nowatorski sposób "zamykania granic"? Coś jak pomysł Żyrinowskiego odnośnie strzelania do przelatujących nad granicą ptaków w celu walki z ptasią grypą.
Nie, nie mamy 40 milionów ekspertów, a ludzie... ech. Cytując Kazika nasz domorosły ekspert "(...) mówi to co słyszał w radio i z gazety (...)". A na temat racjonalnego bezpieczeństwa w epoce mediów pisał Paweł Krawczyk: Racjonalne bezpieczeństwo w epoce mediów.
Pytanie - ile osób zginęło w związku z produkcją tej strasznej "energii atomowej", a ile w związku z "konwencjonalnymi" metodami produkcji energii? Chodzi mi o cały proces od rozpoczęcia budowy elektrowni, poprzez pozyskiwanie paliwa do niej, aż po posłanie jej do odbiorców. Litościwie pominę ofiary wojen o surowce mineralne do produkcji energii potrzebne.
Nie jestem zatwardziałym zwolennikiem elektrowni atomowych, chcę jednak wiedzieć jakie mamy realne (technicznie, ekonomicznie i ekologicznie) alternatywy. Na razie jak słyszę o pomysłach typu "referendum" zaczynam się poważnie zastanawiać nad gromadzeniem zapasów świeczek, nafty i odgrzebaniem na strychu wynalazku Łukasiewicza.
Monday, March 21. 2011
Jak i z jakim skutkiem atakowałem token C/R
Mój eksperyment dotyczący autoryzacji transakcji składał się z dwóch części. Wyniki pierwszej części dotyczącej kodów SMS już omówiłem, teraz pora na drugi przykład symulujący działanie tokenu C/R.
Ciąg dalszy "Jak i z jakim skutkiem atakowałem token C/R" »Wednesday, March 16. 2011
Marcowe spotkanie OWASP i ISSA
24 marca w Krakowie odbędzie się kolejne spotkanie OWASP organizowane wspólnie z ISSA Polska. Spotkanie ponownie odbędzie się na AGH w budynku D10.
Tym razem w planie:
- skanery kodu źródłowego,
- dyskusja o testach penetracyjnych,
Więcej informacji między innymi tutaj: Kraków - spotkanie OWASP i ISSA 24 marca. Ciekawe czy i tym razem /var/log przygotuje transmisję ze spotkania dla tych, którzy nie mogą pojawić się na miejscu.