Уже было описание уязвимости на сайте Умного голосования. Владислав Здольников на своём канале в ТелеграмЧитать полностью »
Рубрика «информационная безопасность» - 64
И ещё раз о безопасности сайта Умного голосования и слив персональных данных Яндексу
2021-08-20 в 19:17, admin, рубрики: Блог компании ITSOFT, защита персональных данных, информационная безопасность, Леонид Волков, слив персональных данных, умное голосование, Яндекс API, яндекс.метрика, яндекс.метрика apiLeetD3vM4st3R
2021-08-17 в 22:12, admin, рубрики: android, apk, apktool, информационная безопасность, Разработка под android, реверс, реверс-инжиниринг, реверс-инжиниринг для новичковВ APK находится функционал по генерации сигнатуры для ассоциативного массива. Постарайтесь получить подпись для следующего набора данных:
{
"user" : "LeetD3vM4st3R",
"password": "__s33cr$$tV4lu3__",
"hash": "34765983265937875692356935636464"
}
и отправить результат @****** в Telegram.
-----------------------------------------------------------------------
В случае, если вам не удается решить данное задание, но вы преодолели уже какой-то путь, то отправьте @****** список проделанных вами шагов: нам, в первую очередь, интересен ход ваших мыслей как исследователя ПО ;)
HR каким-то образом нашел меня, звонил мне 6 раз, писал в телеграм, стучал в двериЧитать полностью »
Взлом госуслуг: мифы и реальность
2021-08-17 в 10:37, admin, рубрики: информационная безопасность, метки: МикрозаймыВ последнее время в СМИ обсуждаются множественные случаи взлома портала "Госуслуги". В этой статье я постараюсь выяснить что из этого миф и выдумки, а что является правдой, а для этого придется самому взломать госуслуги.
Внимание! Данный текст является описанием возможности в экспериментальных целях. Напоминаем, что повтор подобных действий может привести к нарушению законодательства.
Какие бывают RFID протоколы и как их похекать с помощью Flipper Zero
2021-08-10 в 10:31, admin, рубрики: 125kHz, 13.56MHz, EM4100, flipper zero, flipperzero, hid prox, NFC, RFID, Беспроводные технологии, Блог компании Flipper Devices Inc., информационная безопасность, СКУД
Flipper Zero — проект карманного мультитула для хакеров в формфакторе тамагочи, который мы разрабатываем. Предыдущие посты [1],[2],[3],[4],[5],[6],[7],[8],[9],[10],[11],[12],[13],[14],[15],[16],[17],[18],[19]
RFID – это технология для бесконтактных радио-меток, используемых повсюду: в домофонах, платежных картах, проездных, пропусках в офисы, для учета домашних животных, автомобилей и т.д. Есть два основных типа RFID меток, которые мы используем в обычной жизни: низкочастотные и высокочастотные.
- Низкочастотные (Low Frequency: 125 кГц) — имеют большую дальность чтения. Небезопасные и тупые. Используются в примитивных системах контроля доступа: домофонах, офисных пропусках, абонементах в спортзал.
- Высокочастотные (High Frequency: 13,56 МГц) — имеют меньшую дальность работы по сравнению с низкочастотными, и могут иметь сложные протоколы, средства шифрования, аутентификации, криптографии. Используются в бесконтактных банковских картах, проездных билетах, безопасных пропусках.
В статье мы сравним два основных типа RFID меток, разберем основные протоколы и научимся с ними работать с помощью Flipper Zero — читать, эмулировать, сохранять, перезаписывать. Я покажу как сохранить во Флиппер RFID-ключи от домофона, офиса, спортзала, и что Флиппер может прочитать из банковской карты.
Что такое Core Scheduling и кому он будет полезен?
2021-08-04 в 13:01, admin, рубрики: linux, linux kernel, linux security, meltdown, open source, ruvds_статьи, spectre, безопасность, Блог компании RUVDS.com, информационная безопасность, Настройка Linux, облачные технологии, системное администрирование
Не за горами выход новой версии ядра Linux 5.14. За последние несколько лет это обновление ядра является самым многообещающим и одно из самых крупных. Была улучшена производительность, исправлены ошибки, добавлен новый функционал. Одной из новых функций ядра стал Core Scheduling, которому посвящена наша статья. Это нововведение горячо обсуждали в интернете последние несколько лет, и наконец-то оно было принято в ядро Linux 5.14.
Если вы работает с Linux или занимаетесь информационной безопасностью, вам интересны новые технологии, то добро пожаловать под кат.Читать полностью »
Почему я отказался от 18 тысяч долларов по баунти-программе Apple
2021-07-31 в 6:38, admin, рубрики: Apple ID, icloud, брутфорс, восстановление пароля, информационная безопасность, криптография, обратная разработка, реверс-инжиниринг, шифрование трафика
Эта статья посвящена тому, как я обнаружил уязвимость в конечной точке восстановления пароля Apple, которая позволила мне захватить аккаунт iCloud. Уязвимость полностью пропатчена отделом безопасности Apple и больше не работает. В рамках баунти-программы Apple Security Team вознаградила меня 18 тысячами долларов, но я отказался их получать. В статье я расскажу о том, почему отказался от вознаграждения.
После обнаружения уязвимости захвата аккаунта Instagram я осознал, что многие другие сервисы подвержены брутфорсу на основе условий гонки. Поэтому я продолжил сообщать о подобных проблемах других поставщиков услуг, подверженных уязвимости, например Microsoft, Apple и некоторых других.
Многие люди путают эту уязвимость с обычной атакой брутфорсом, но это не так. В ней мы отправляем множество параллельных запросов серверу, чтобы воспользоваться уязвимостью условий гонки, присутствующей в ограничениях частоты запросов, позволяющих обойти защиту.
Теперь я расскажу о том, что обнаружил у Apple.
Читать полностью »
Приложение для стиральной машины Samsung требует доступ к контактам и геолокации
2021-07-11 в 13:59, admin, рубрики: IoT, permissions, reddit, Samsung, smart home, smart washer, Блог компании ITSOFT, информационная безопасность, конфиденциальность
Ряд приложений от Samsung, позволяющих потребителям управлять подключенными к интернету устройствами, требует доступ ко всем контактам в телефоне, а иногда и к приложению для звонков, локации и камере. Такая ситуация приводила пользователей в бешенство годами.
В среду, 7 июля, Читать полностью »
Бэкдор от монгольского центра сертификации CA MonPass
2021-07-11 в 10:59, admin, рубрики: apt, cobalt strike, Malware, антивирусная защита, Блог компании ITSOFT, бэкдор, информационная безопасность, центр сертификации
Мы обнаружили загружаемый с официального сайта MonPass (крупного центра сертификации в Монголии) установщик с бинарными файлами Cobalt Strike (фреймворк, помогающий эксплуатировать уязвимости, закрепиться и продвинуться в целевой системе). Немедленно уведомив их о нашей находке, мы призвали MonPass обратиться к их скомпрометированному серверу и предупредить тех, кто скачал клиент с бэкдором.
Пишем паническую кнопку под андроид (Часть 2)
2021-07-10 в 10:47, admin, рубрики: android, application, development, github, huntmix, java, open source, security, story, Блог компании Huntmix apps, информационная безопасность, Разработка под androidНа связи снова Алексей который спешит уже с техническими подробностями проекта) В этой части узнаем как работают триггеры в приложении и поговорим о проблемах Google Play! Данная часть будет больше предыдущей так что берите напиток по погоде и погружайтесь в статью!
Под капотом
Как я писал раньше - в ранних версиях был один основной триггер - ярлык обманка. В чем же его суть? Пользователь сам задает иконку и название ярлыка под которое он маскируется, а в последних версиях открывает приложение с заданным именем пакета! Ниже на скриншотах вы можете посмотреть как делается ярлык вайбера.