Świętofobia
Ciekawe, czy jest taka jednostka chorobowa... Bo od tej świątecznej atmosfery od początku listopada (zaraz po tym, jak się przestały sprzedawać świeczki na wiadome święto), na te “prawdziwe” święta już nie mam siły...
Ciekawe, czy jest taka jednostka chorobowa... Bo od tej świątecznej atmosfery od początku listopada (zaraz po tym, jak się przestały sprzedawać świeczki na wiadome święto), na te “prawdziwe” święta już nie mam siły...
Zwykle nie chce mi się sprawdzać rzeczy oczywistych, postanowiłem jednak sprawdzić skuteczność użycia rainbow tables w łamaniu haseł w Windows. W zasadzie to nawet nie tyle skuteczność tej metody, co skuteczność tablic dostępnych wraz z ophcrack (choć użytych w Cain). Różne rzeczy przychodzą do głowy, gdy wszędzie można usłyszeć jakieś dzwoneczki, oraz złowrogie słowo christmas...
10 tysięcy zaatakowanych stron, a to wszystko przez Microsoft, bo nie opublikował (opublikował: Out-of-Band Microsoft Security Bulletin Summary for December 2008) poprawki na błąd w Internet Explorer. Cóż, błąd w przeglądarce mógł być w tej sytuacji co najwyżej katalizatorem. To, że udało się zainfekować 10 tysięcy witryn nie jest winą błędu w przeglądarce. Po prostu istnienie błędu w przeglądarce spowodowało, że był sens zaatakować te 10 tysięcy witryn, które same w sobie zawierały łatwe do wykorzystania podatności (bynajmniej nie związane z błędem w Internet Explorer)...
Kilka myśli odnośnie haseł...
Obecnie wciąż na topie jest temat Microsoft Security Advisory: Vulnerability in Internet Explorer Could Allow Remote Code Execution. Jedną z zalecanych akcji jest włączenie DEP dla Internet Explorer w Windows Vista i Windows 2008. Nie usuwa to podatności, ale czyni ją trudniejszą (niemożliwą?) do wykorzystania. Podobny efekt można uzyskać również na Windows XP/2003 na przykład przez wymuszenie DEP dla wszystkich procesów (opcja AlwaysOn ). Problem tym, że można mieć włączony DEP, a podatność nadal może zostać wykorzystana – CPU może nie mieć lub mieć wyłączone w BIOS wsparcie dla NX. Hardware DEP i Software Enforced DEP to tak naprawdę dwie różne technologie, które powinny nazywać się inaczej. Software DEP nie chroni przed wykonaniem kodu z “niewykonywalnych” obszarów pamięci.
Oryginał tego wpisu dostępny jest pod adresem “Software enforced” DEP to nie DEP
Autor: Paweł Goleń
Analizując bezpieczeństwo aplikacji internetowych warto spojrzeć czasami na bezpieczeństwo klienta, czyli na przeglądarkę. Warto przeczytać Browser Security Handbook, choćby po to, by zobaczyć jak różnią się między sobą przeglądarki... Kwestia ta będzie miała coraz większe znaczenie, ponieważ coraz więcej kodu aplikacji wykonuje się po stronie klienta (choćby wspominany już AJAX). O ile “środowisko wykonania” w postaci serwera WWW/serwera aplikacyjnego może być dość dobrze kontrolowane, to środowisko wykonania w postaci przeglądarki kontrolowanej w całości przez klienta jest sporym wyzwaniem. Warto więc poznać cechy charakterystyczne głównych przeglądarek, ich mechanizmy bezpieczeństwa oraz słabości.
...no chyba, że takie: We Wish You A Metal Xmas And A Headbanging New Year .
Część języków programowania zawiera funkcję eval lub jej funkcjonalny odpowiednik. Można tu przywołać (choćby) JavaScript, Python, PHP, Perl, Smalltalk. Problem w tym, że eval jest czasami nadużywany i przez to ZŁY!
Czym są giblets (tak bez spolszczenia pozwolę sobie)? Jest to termin pochodzący z Security Development Lifecycle, który oznacza fragment kodu (nie koniecznie rozumianego jako kod źródłowy) pochodzącego z zewnętrznego źródła. Jest z tym pewien problem: Larry Osterman's WebLog : The Trouble with Giblets. W skrócie – obcy kod może być ZŁY, a wraz z nim dostaje się poniekąd “w prezencie” istniejące w nim podatności.
W przypadku użycia zewnętrznego kodu warto przyglądnąć się jego historii błędów, temu jak jest rozwijany (i czy jest jeszcze rozwijany)... a potem jeszcze śledzić informacje o błędach i aktualizować.