Tweets by @buherablog
profile for buherator at IT Security Stack Exchange, Q&A for IT security professionals

A BitBetyár Blog

Túljártál a nagyokosok eszén? Küldd be a mutatványodat! (e-mail a buherator gmailkomra jöhet)

Full-Disclosure / Névjegy / Coming out


Promó

H.A.C.K.

Címkék

0day (110) adobe (87) adobe reader (21) anonymous (26) apple (60) az olvasó ír (49) blackhat (20) botnet (22) bug (200) buherablog (44) buhera sörözés (39) bukta (49) deface (38) dns (22) dos (29) esemény (82) facebook (26) firefox (64) flash (33) gondolat (31) google (59) google chrome (36) hacktivity (37) hírek (117) incidens (224) internet explorer (88) iphone (35) java (50) jog (22) kína (21) kriptográfia (68) kultúra (21) linux (24) malware (43) microsoft (142) móka (48) mozilla (23) office (26) oracle (40) os x (43) patch (197) php (20) politika (31) privacy (58) programozás (22) safari (34) sql injection (62) windows (85) xss (77) Címkefelhő

Licensz

Creative Commons Licenc


Szürkekalapos jelentés - 2013/H1

2013.06.05. 09:00 | buherator | 4 komment

A szürkekalapos projekt nem állt meg, csak kicsit dilemmában voltam az elmúlt időszakban egy eddig fel nem merült részletkérdést illetően. Az unalmas részletek kifejtését nélkülözve álljon itt a megoldás: Mindenféle emberi aggyal támogatott ellenőrzést nélkülöző scanner…

Címkék: az olvasó ír

Java Trusted Method Chaining - CVE-2013-1488

2013.05.28. 09:55 | buherator | 4 komment

James Forshaw, a Context Pwn2Own nyertes kutatója részletes leírást tett közzé a HP legutóbbi bugvadászatában kihasznált, és nem rég foltozott CVE-2013-1488 jelű hibával kapcsolatban. A probléma és a kihasználás módja amellett, hogy szépen bemutat néhány elterjedt Java exploit…

Címkék: java tutorial az olvasó ír pwn2own james forshaw cve-2013-1488 trusted method chaining

Szürkekalapos jelentés - 2012. év vége

2012.12.31. 14:22 | buherator | Szólj hozzá!

Az év második felében kevésbé voltatok aktívak, így az utolsó két negyedév eredményeit így egyben közlöm. 9 bejelentésből az érintett weboldalak üzemeltetői 3 4 esetben reagáltak, egy esetben pedig a CERT vette kezébe az ügyeket. Ezúton is köszönöm kispaci, Dávid, zozi56,…

Címkék: bug sql injection az olvasó ír directory listing

EuSecWest 2012 beszámoló - Második nap

2012.09.26. 08:00 | buherator | Szólj hozzá!

Kutyacica élménybeszámójának második része a csütörtöki napról a Tovább után A csütörtök számomra olyan volt mint egy 8 órás Godot-ra várva elõadás. Még szerda este megjött Ralf-Philipp Weinmann, basebandhacker extraordinaire, akinek volt egy félkész baseband…

Címkék: esemény beszámoló eusecwest az olvasó ír

Cyberlympics beszámoló

2012.09.25. 18:00 | buherator | Szólj hozzá!

Sokan érdeklődnek mostanában a Cyberlympics részleteiről, ez pedig egy ilyen beszámolós nap (és a holnapi is az lesz, helló ITBN! :), így fogadjátok szeretettel a PRAUDITORS csapatát erősítő EQ beszámolóját (innen nyúlva, kicsit szerkesztve). Katt a Továbbra! Beneveztünk 4…

Címkék: beszámoló az olvasó ír cyberlympics

EuSecWest 2012 beszámoló - Első nap

2012.09.25. 08:00 | buherator | 1 komment

Kutyacica kint járt az EuSecWest 2012 konferencián, és volt olyan kedves, hogy összeállított nekünk egy érdekfeszítő beszámolót az eseményről, melyből az érdekesebb előadásokról, illetve a mobil Pwn2Own versenyről is tájékozódhadtok. Kattanjatok a Továbbra! Amszterdam…

Címkék: esemény beszámoló eusecwest az olvasó ír

Egy "1-day" sérülékenység elemzése - Oracle Text (CVE-2012-3132)

2012.09.10. 09:26 | buherator | 1 komment

Olyan anyagot kaptam Bob Putton-tól, hogy a tíz ujjamat megnyaltam utána: részletes elemzés a David Litchfield által az idei BlackHat-en bemutatott, majd nem rég az Oracle által javított jogosultságkiterjesztésre alkalmas sérülékenységről. Bár mostanában hangos vita folyik a még…

Címkék: sql injection oracle az olvasó ír 1day

Szürkekalapos jelentés - 2012Q2

2012.07.18. 10:00 | buherator | 2 komment

Örömmel látom, hogy az elmúlt hónapokban sem tétlenkedtetek: április eleje óta 23 hibajelzést kaptam (illetve ennyinek volt magas biztonsági kockázata), ezek közül azonban csak 6 esetben sikerült javítania az üzemeltetőknek, 3 esetben a CERT Hungary járt el (az ő…

Címkék: incidens az olvasó ír

2012/Q1 jelentés

2012.04.10. 12:00 | buherator | 8 komment

Az elmúlt hónapokban 14 hibajelzést küldtetek különböző magyar vonatkozású weboldalakkal kapcsolatban, ebből 2 nem volt kihasználható, 5-tel kapcsolatban kaptam visszajelzést az üzemeltetőtől, 2 esetet jelentettem a CERT-nek.  Az érintettek nevében is köszönöm Márton,…

Címkék: az olvasó ír kjg.hu honfoglalo.hu kavefutar.hu

Hackito Ergo Sum 2012 - Crypto Challenge #1

2012.04.09. 11:47 | buherator | 2 komment

Kepten megoldotta a Hackito Ergo Sum idei első kriptó feladványát, és arra is vette a fáradtságot, hogy készítsen belőle egy szép összefoglalót. Fogadjátok szeretettel! Ha kedvet kaptatok, már neki lehet esni a második szintnek is. Kellemes egghuntingot mindenkinek! :)

Címkék: kriptográfia az olvasó ír hackito ergo sum

Picasa érdekesség

2012.04.03. 15:00 | buherator | 3 komment

Rég óta adós vagyok MarkKxldOR felfedezésével. Ennek oka, hogy sajnos a Picasa-Google+ páros használatához kevésnek bizonyult a türelmem/tehetségem, így nem tudtam kipróbálni a dolgot, de bárki előtt nyitva áll a lehetőség: A sebezhetőség (jobbára kellemetlenségnek…

Címkék: privacy picasa az olvasó ír

SQL injection tunneling

2012.01.20. 15:00 | buherator | 3 komment

 A Niobium Attack Research volt olyan kedves, és megosztott velem (és veletek, vagyis velünk ;) egy érdekes ötletet a vak SQL injection támadások kiterjesztésére, a vakság "meggyógyítására". Az alább olvasható leírás az ő leírásuk általam megszerkesztett…

Címkék: sql injection az olvasó ír sql injection tunneling niobium attack research

Januári életképek

2012.01.16. 10:00 | buherator | 2 komment

Vannak jó meg rossz híreim is, kezdem a rosszakkal. Ezek Kardhaltól jöttek, több mint egy hete értesítettem az üzemeltetőket, választ nem kaptam: Sajnos még nincs vége, ez ptZool-tól jött: Ez pedig Csiszitől: De vannak azért jó hírek is: Ebben az évben már 6…

Címkék: az olvasó ír

Q4 jelentés (kis ráhagyással)

2011.12.20. 10:00 | buherator | 1 komment

Mint azt korábban már említettem, kicsit rendbeszedtem a kedves olvasóktól érkező hibajeletéseket, így most, az év vége közeledtével tudok pár (remélhetőleg) érdekes számmal szolgálni: Augusztus vége óta 17 sebezhetőség jelentésében segédkeztem, ezek közül 9-re érkezett…

Címkék: sql injection buherablog tinymce az olvasó ír

RTL Klub

2011.11.10. 15:37 | buherator | 7 komment

Dxt3r M0rg4n csak ennyit írt, miután sikerrel belépett az RTL Klub admin felületére: Sosem gondoltam volna, hogy ez a "tankönyvi" példa valaha élesben is szembejön Pedig sajnos nincs új a Nap alatt :( A csatornával megpróbáltam felvenni a kapcsolatot október 27-én, válasz nem…

Címkék: rtl klub bug az olvasó ír

Az Ír Macsek

2011.10.27. 15:20 | buherator | 1 komment

Aki ismer, az tudja, hogy egy jó ír sörrel mindig mosolyt lehet csalni az arcomra, így a szokásosnál is fájóbb szívvel kell tudomásul vennem, hogy az Irish Cat Pub már egy hete nem válaszol a megkeresésemre. Attilla hívta fel a figyelmemet erre a nem kifejezetten szívderítő…

Címkék: az olvasó ír irishcat.hu

CBA

2011.10.21. 12:59 | buherator | 13 komment

 Sup3rn4tural küldte a következőt:Hali! Minap nézelődtem a CBA weboldalán és elég egyszerűen sikerült bejutnom, a webáruházuk admin felületére. (Egyszerű sql injection, amit bárki meg tud csinálni..) A jelszavak md5 ben vannak tárolva, körülbelül 30 "admin"…

Címkék: cba az olvasó ír

Pardon!

2011.10.17. 08:00 | buherator | 1 komment

A szép emlékű (bár én nem sokra emlékszem...) Zöld Pardon egykori weboldalával kapcsolatban nem is egy hibajelentést kaptam, és küldtem, és bár az üzemeltetők válaszra se méltattak, valahogy soha nem jutottam el a posztolásig - a pofátlan csúszásért ezúton kérnék elnézést!…

Címkék: zp zöld pardon az olvasó ír

Móka mára: Ericsson programozóverseny

2011.10.04. 15:32 | buherator | 4 komment

Ez annyira fájdalmas, hogy muszáj kiraknom: A fiatal tehetségek támogatása mindig szép gesztus egy-egy vállalat részéről, ezeket a kezdeményezéseket én is mindig szívesen propagálom. Nem rég megosztottam Twitteren az idei Ericsson programozóbajnokság kiírását, amire nem sokkal…

Címkék: verseny móka ericsson fail az olvasó ír

A Google még mindig velünk van

2011.09.22. 15:53 | buherator | 1 komment

syddd küldte az alábbi érdekességet: Arról van szó, hogy sok Flash alapú applikáció AMF protokollal kommunikál a szerverrel. Ennek a protokollnak a legelterjedtebb implementációja az AMFPHP csomag. Ebben van egy "service browser" nevű alkalmazás, amit fejlesztéskor lehet…

Címkék: az olvasó ír ghdb google hacking

Menetrendek WAP

2011.09.07. 15:16 | buherator | 5 komment

Mircbugger küldte az alábbi levelet a wap.menetrendek.hu (van aki még WAP-ol?) üzemeltetőjének. Egy elég egzotikus hibáról van szó, amely egy kis továbbgondolással feltehetően kódfuttatásra is alkalmas lehetett volna. A problémát azóta úgy tűnik, már javították: Tisztelt…

Címkék: wap az olvasó ír menetrendek.hu

Röhej

2011.08.02. 13:30 | buherator | 31 komment

Scott Anyó küldte az alábbiakat a rohej.hu-ról, ahol néha-néha elfelejtik autentikációhoz kötni az adminisztrátori funkciókat: A regisztrált felhasználók jól teszik, ha nem használják az itteni jelszavukat máshol!Természetesen még a múlt héten megpróbáltam jelezni a…

Címkék: az olvasó ír rohej.hu

A méltatlanul elfeledett API

2011.07.19. 13:51 | buherator | 5 komment

SGHCToma írt egy remek kis értekezést a Windows LoadLibrary API-jának return-oriented-programming során történő alkalmazásáról, demonstrációként pedig készített egy példa exploitot a 3DStudioMax-hez. A megoldás elegáns és helytakarékos, jó példája annak, hogy a jól bevált,…

Címkék: az olvasó ír rop return oriented programming

Defcon XIX CTF - Retro Revisited 300

2011.06.22. 12:00 | buherator | 3 komment

Depth jóvoltából itt van az idei Defcon CTF selejtező RR300-as pályájának megoldása és egy kis ráhangolás Hacktivity-re :) +++Az RR200 feladatot megoldva fellelkesülve mentem neki a következő feladványnak: root@BackTrack4:/home/retro300# file…

Címkék: esemény verseny defcon ctf az olvasó ír

Defcon XIX CTF - Retro Revisited 200

2011.06.21. 15:17 | buherator | Szólj hozzá!

Szerencsére a Defcon selejtezőn nem csak Földtől teljesen elrugaszkodott feladatok szerepeltek. Depth a Retro Revisited feladatoknak ment neki, és miután a 100-as pályán szereplő "____-___-______" rejtélyes kérdésre ördögi logikával megadta a helyes választ…

Címkék: esemény verseny defcon ctf az olvasó ír