Tweets by @buherablog
profile for buherator at IT Security Stack Exchange, Q&A for IT security professionals

A BitBetyár Blog

Túljártál a nagyokosok eszén? Küldd be a mutatványodat! (e-mail a buherator gmailkomra jöhet)

Full-Disclosure / Névjegy / Coming out


Promó

H.A.C.K.

Címkék

0day (110) adobe (87) adobe reader (21) anonymous (26) apple (60) az olvasó ír (49) blackhat (20) botnet (22) bug (200) buherablog (44) buhera sörözés (39) bukta (49) deface (38) dns (22) dos (29) esemény (82) facebook (26) firefox (64) flash (33) gondolat (31) google (59) google chrome (36) hacktivity (37) hírek (117) incidens (224) internet explorer (88) iphone (35) java (50) jog (22) kína (21) kriptográfia (68) kultúra (21) linux (24) malware (43) microsoft (142) móka (48) mozilla (23) office (26) oracle (40) os x (43) patch (197) php (20) politika (31) privacy (58) programozás (22) safari (34) sql injection (62) windows (85) xss (77) Címkefelhő

Licensz

Creative Commons Licenc

Vonalkód fuzzer

2010.09.04. 23:02 | buherator | 4 komment

Régen volt szó hardver hackekről, most viszont egy igazi csemegét szállított a Hack-a-Day! Adrian Crenshaw egy vonalkód fuzzert készített a Teensy fejlesztői boardra, amely mindössze egy LED kimenettel képes tetszőleges vonalkódot mutatni a fényvisszaverődést alapul vevő leolvasók felé. A módszer lényege Nathan Pegramtól származik, aki a Pauldotcom podcast egyik adásában vetette fel, hogy az egyszerű, egydimenziós kódok (ami a sörösdobozon is van) leolvasói "átverhetők" úgy, ha az olvasó saját fényforrása helyett egy sajátot használunk. Minden az időzítésen múlik: egyszerűen olyan ütemben kell felvillantani a LED-et amilyen ütemben a leolvasó fénysugara elsuhanna a vonalkód fehér részei fölött. A leolvasó ugyanis a fényvisszaverődést érzékeli, ami nyilvánvalóan elsősorban a fehér felületeken érvényesül.

De a dolog lényege nem is az ilyen jellegű átverés, hanem az olvasót használó szoftver megbolondítása: Adrian kütyüje például autómatikusan lejátssza az ASCII tábla első 31 elemét, valamint néhány hagyományos támadási mintát (pl. egyszerű SQL injectionre vagy XSS-re), hátha a tisztelt programozók nem gondoltak rá, hogy valaki ilyen jeleket vagy karaktersorozatokat is beleírhat egy vonalkódba. 

A mikrokontroller programjának forráskódja természetesen szabadon elérhető, így bárki tesztelheti a helyi közértet, csak nehogy infarktust kapjon a pénztáros néni! Adrian tervei között szerepel még az eszköz továbbfejlesztésse E-Ink alapon, de az ehhez potenciálisan használható e-könyv olvasók egyelőre túl drágák. 

Remélem születnek majd hasonlóan ügyes apróságok a Hacktivityn is!

Címkék: vonalkód fuzzing

Kommentek:

A hozzászólások a vonatkozó jogszabályok  értelmében felhasználói tartalomnak minősülnek, értük a szolgáltatás technikai  üzemeltetője semmilyen felelősséget nem vállal, azokat nem ellenőrzi. Kifogás esetén forduljon a blog szerkesztőjéhez. Részletek a  Felhasználási feltételekben és az adatvédelmi tájékoztatóban.

_2501 2010.09.04. 23:47:36

a kretén.... :D Sqli? hmmm... lehet, de csa korlátozott hosszú injekttel a kód típusától függően.
UPC/EAN/ISBN kizárva tekintettel hogy csak digitekről szól, maxicode se sqli kompatibilis.
Aztec, datamatrix, CODE128 esetében simán lehet.
jelzem csendben ITBN-re is datamatrix volt a badgen... ;)
Részletkérdés de sqlihez nem árt tudni azt sem hogy milyen db van mögötte és hogy van írva az app...
Ez tetszik.

buherator · http://buhera.blog.hu 2010.09.04. 23:58:17

@_2501: ezért áll az a bejegyzés címében, hogy fuzzer ;) ilyen módszerekkel nyílván általában csak elcrashelteted az alkalmazást