Рубрика «уязвимость» - 10

в 9:33, , рубрики: network, wifi, безопасность, Беспроводные технологии, Сетевые технологии, сети, Стандарты связи, уязвимость

Интернет замер в ожидании релиза proof-of-concept эксплоита под названием KRACK (аббревиатура от Key Reinstallation Attacks). Дело в том, что в минувшие выходные стало известно, то сводная группа специалистов готовит скоординированное раскрытие информации о неких критических проблемах WPA2, которые позволяют обойти защиту и прослушивать Wi-Fi-трафик, передаваемый между точкой доступа и компьютером.

Формально исследователи расскажут о найденных ими уязвимостях лишь 1 ноября 2017 года, на конференции ACM CCS. На мероприятии будет представлен доклад, озаглавленный Key Reinstallation Attacks: Forcing Nonce Reuse in WPA2 («Атака на реинсталляцию ключей: принудительное повторное использование nonce в WPA2»).

Читать полностью »

в 20:15, , рубрики: bug bounty, mass assignment, privilege escalation, webasyst, информационная безопасность, уязвимость

Эта история о том, как я нашел уязвимость в фреймворке Webasyst и, в частности, в ecommerce-движке Shop-Script 7.

Как взломать более 17 000 сайтов за одну ночь - 1

Читать полностью »

в 8:17, , рубрики: javascript, node.js, атака, Блог компании «Альфа-Банк», информационная безопасность, тайминговая атака, уязвимость

Представьте себе сервис (или веб-приложение), который выдаёт вам сообщение вида «пятый символ введённого вами пароля неверный» в ответ на вашу попытку аутентификации. Выглядит абсурдно, не так ли? Предоставляя потенциальному злоумышленнику информацию подобного рода, мы попросту даём ему шанс «сбрутить» (подобрать, методом перебора) пароль от сервиса.

В то же время — это практически то самое событие, которое происходит, когда мы, например, используем наипростейший механизм сравнения строкового типа данных во время сверки паролей или токенов для аутентификации.

Тайминговая атака на Node.js — когда время работает против вас - 1

Сама по себе «тайминговая атака» или «атака по времени» — это нападение на систему по открытому каналу доступа, когда атакующий пытается скомпрометировать систему с помощью анализа времени, затрачиваемого на исполнение алгоритмов. Каждая операция (особенно математическая, будь то сложение, вычитание, возведение в степень и т.д.) требует определённого времени на исполнение, и это время может различаться в зависимости от входных данных. Располагая точными измерениями времени, которое расходуется на эти операции, злоумышленник может восстановить данные, необходимые для входа в систему.
Читать полностью »

в 7:14, , рубрики: backdoor, php, Блог компании ua-hosting.company, бэкдор, вредоносное ПО, информационная безопасность, уязвимость

Согласно нашим подсчетам, в 72% зараженных сайтов использованы программы скрытого удаленного администрирования — бэкдоры. С их помощью мошенники получают удаленный доступ к вашему сайту, и понятное дело, чем это грозит владельцу: получение и передачи конфиденциальных данных пользователей, запуск вредоносных программ, уничтожения информации и тд.

Распознать и обезвредить. Поиск неортодоксальных бэкдоров - 1
Читать полностью »

в 16:44, , рубрики: DNS, mail, безопасность, информационная безопасность, почта, уязвимость, яндекс

image
Привет, GT! Я прочитал пост MikhailNsk, и мой мозг перенес меня в 2016 год, где я случайно наткнулся на проблему с подменой адресов у Яндекс.Почты. Сама угроза заключается в том, что письма, с точки зрения, DMARC и SPF являются полностью валидными. Этому подвержены не только пользователи Почты, но и организации, которые используют в качестве почтовика со своим доменом Яндекс.ПДД и Яндекс.Коннект (для примера, это всем известный и везде рекламируемый «майловский» GeekBrains), а это уже куда серьезнее. Уязвимость на данный момент работает, письмо проходит все проверки и доставляется куда-угодно (включая GMAIL). Реализация и реакция Яндекса под катом.Читать полностью »

в 7:09, , рубрики: Альфа-Банк, банк, информационная безопасность, платежные системы, Тестирование веб-сервисов, Тестирование мобильных приложений, уязвимость

Альфа-Банк Украина входит в ТОП-5 по количеству активных карт среди всех украинских банков и имеет довольно неплохой интернет-банкинг My Alfa-Bank.

У них существует функция перевода средств другому клиенту по номеру телефона: чтобы перевести деньги, достаточно указать номер телефона получателя, нет необходимости указывать номер карты.

Длительное время функция p2p-перевода по номеру телефона действовала при соблюдении определенных условий: если у получателя подтверждён телефон и оформлена зарплатная (именно зарплатная) карта в Альфа-Банке Украина.

Не так давно, в конце марта этого года, банк реализовал p2p переводы по номеру телефона в интернет-банкинге My Alfa-Bank уже для всех клиентов банка, а не только для «зарплатников».

Я решил протестировать функцию на предмет получения данных о клиенте по его номеру телефона.

Ввожу сумму и номер телефона родственника, у которого открыт счёт в Альфа-Банке, нажимаю «Далее».
Уязвимость в Альфа-Банк Украина: получение ФИО клиента по номеру телефона - 1
Читать полностью »

в 15:24, , рубрики: deface, mcdonalds, xss, информационная безопасность, Макдоналдс, Разработка веб-сайтов, Тестирование веб-сервисов, уязвимость

Все началось, когда обычным майским днем я наткнулся на сообщество ВКонтакте, публикующее забавные вопросы людей о продукции Макдоналдс, которые они задавали на некоем сайте. Это выглядело примерно так:

Дефейс ask.mcdonalds.ru - 1

Полистав стену, я заинтересовался и решил посмотреть, что же из себя представляет эта платформа для общения с пользователями — ask.mcdonalds.ru.
Читать полностью »

в 12:44, , рубрики: c/c++, pvs-studio, tizen, Блог компании PVS-Studio, информационная безопасность, ошибки в коде, статический анализ кода, уязвимости, уязвимость, эксперт

Предоставляем анализатор PVS-Studio экспертам безопасности - 1Неожиданно для самих себя мы поняли, что можем взаимовыгодно сотрудничать с экспертами в сфере информационной безопасности. Те из них, кто занимается поиском уязвимостей в коде приложений, могут воспользоваться бесплатной версией анализатора PVS-Studio для своих исследований. В свою очередь, если будут найдены уязвимости, наш анализатор приобретёт большую популярность. PVS-Studio может быть использован для исследований проектов, написанных на языке C и C++.
Читать полностью »

в 23:48, , рубрики: Биотехнологии, водители ритма, Здоровье гика, информационная безопасность, кардиостимуляторы, сердце, уязвимость, метки: ,

Взлом кардиостимулятора не так сложен, как может показаться - 1

Технология искусственного стимулирования сердечной мышцы электрическим током используется в медицине уже довольно давно. С течением времени кардиостимуляторы, а речь именно о них, становятся все совершеннее. Если раньше для водителя ритма использовались проводные модули, то сейчас они в большинстве своем беспроводные, взаимодействие идет при помощи радиочастот. Но, как правило, чем сложнее система, тем проще вывести ее из строя. Это не всегда так, но в некоторых случаях ситуация именно такая. И к кардиостимуляторам это тоже относится. Так, относительно недавно в Сети начали появляться новости о том, что водители ритма, в особенности радиоуправляемые, уязвимы для злоумышленников.

Далее высказывать опасения начали уже медики — ведь если это небольшое устройство можно взломать, да еще и удаленно, это означает возможность убийства или нанесения вреда человеку, тоже удаленно. Правда, некоторые специалисты стали говорить, что взломать кардиостимулятор достаточно сложно, и среднестатистическому человеку получить доступ к управлению таким модулем нельзя. На самом деле для технически подкованного пользователя, знакомого с электроникой и радиоделом, ничего сложного нет. Собственно, даже это не требуется, можно просто купить управляющий модуль для определенной модели водителя ритма на eBay и уже представлять опасность для пользователей кардиостимулятора именно этой модели.
Читать полностью »

1...91011...20...23
Главная   |  Архив новостей  |   Android  |   Google  |   Apple  |   Microsoft  |   Информационная безопасность  |   Веб – разработка
Публикации RSS  |  Комментарии RSS
https://ajax.googleapis.com/ajax/libs/jquery/3.4.1/jquery.min.js