Router hacking bajnokság
2008.02.04. 10:48 | buherator | Szólj hozzá!
Címkék: router challenge
Hanyag patch a Mozillától
2008.01.31. 10:06 | buherator | Szólj hozzá!
Címkék: firefox bug
Újraalakul a L0pht
2008.01.31. 09:53 | buherator | Szólj hozzá!
A DarkReading cikkét itt olvashatjátok.
Címkék: kultúra történelem l0pht
Kis lépés az embernek, óriási a spammernek
2008.01.29. 20:54 | buherator | 4 komment
Címkék: yahoo captcha
Top hackert fogtak
2008.01.26. 10:01 | buherator | 4 komment
Megjegyezném, hogy a sértett vállalat hivatalos oldalán most is tátonganak a
Címkék: incidens dassault
Csatát nyertek a magánszféra védelmezői
2008.01.25. 18:47 | buherator | 3 komment
Úgy tűnik, a rendőrök elkezdhetnek gondolkozni rajta, hogyan veszik fel a versenyt az új évezred kihívásaival...
Az ügyészség fellebezést nyújtott be a döntéssel kapcsolatban.
Címkék: jog privacy
DHCP névmérgezés
2008.01.25. 18:20 | buherator | Szólj hozzá!
Szélsőséges esetben akár külső hosztnevek is megszerezhetők, ez azonban nem jellemző, bár Petko Petkov szerint meglepően sok ilyen szinten is sebezhető infrastruktúra létezik. Saját hálozatunk teszteléséhez itt található egy egyszerű kis Perl szkript.
Címkék: dns dhcp
Friss hús
2008.01.25. 17:42 | buherator | 4 komment
Címkék: móka xss
A legjobb hackek 2007-ben
2008.01.25. 13:24 | buherator | Szólj hozzá!
1. Shockwave Flash XSS
2. Univerzális Adobe Reader Plugin XSS
3. A Firefox JAR: protokolkezelőjének hibája
4. Nyomtató spam
5. JavaScript rejtése képekbe
6. Firefox URI kezelő sebezhetőség
7. Anti-DNS Pinning
8. GMail levelek eltérítése
9. PDF XSS
10. Portscan JavaScript nélkül
Az összes nevezett okosság megtekintéséhez ide kattintsatok.
Többszörös biztonsági hibák az X.Org szerverben
2008.01.22. 13:29 | buherator | Szólj hozzá!
Címkék: bug x.org
Legyalulták a RIAA-t
2008.01.22. 11:10 | buherator | Szólj hozzá!
Tudjátok, a RIAA az a szervezet, aki azzal szeret játszani, hogy 10 éves kislányokat és hasonló kaliberű gonosztevőket perel horribilis összegekre, hogy példát tudjon statuálni...
Címkék: incidens riaa sql injection xss
Hátsó kapu a Vista egyik véltetlenszám generátorában
2008.01.21. 16:50 | buherator | 3 komment
A történet itt még azonban nem ért véget. A Crypto 2007 konferencián Dan Shumow és Niels Ferguson előadásukban rámutattak a Dual_EC_DRBG egy igen félelmetes hiányosságára:
Az algoritmus egy sor, előre specifikált konstanst használ, amelyekről nem tudni, hogy honnan származnak, Fergusonék eredményei szerint viszont aki ezeket a számokat generálta, annak a birtokában lehet egy másik számsorozat, ami egyfajta univerzális kulcsként működik. Így pl. egy igen rövid TLS kommunikáció lehallgatása után elvileg az egész titkosított folyam megtörhető.
Az algoritmust a szabvány részeként a Windows Vista-ba is, ahol API függvényként implementálva elérhető (nem ez az alapértelmezett véletlenszám generátor), de erősen javasolt, hogy - a hangzatos név ellenére - soha senki ne használja ezt az eljárást!
Bruce Schneier cikkét az algoritmus körüli hercehurcáról itt olvashatjátok.
Címkék: vista nsa kriptográfia
Firefox privilégium-kiterjesztés
2008.01.21. 11:03 | buherator | 2 komment
Nagyon remélem, hogy a Firefox 3.0 visszanyeri a böngészőbe vetett bizalmam...
Címkék: firefox bug
Jogi dilemma
2008.01.19. 19:20 | buherator | 10 komment
Az Egyesült Államok bírósága komoly dilemmával szembesült egy pedofíliával vádolt gyanusított kapcsán: a férfi ugyanis PGP-vel titkosította fájlrendszere egy részét, a megfelelő jelszót viszont (érthető okokból) nem akarja kiadni arra az alkotmányos jogra hivatkozva, hogy nem köteles önmagára nézve terhelő vallomást tenni. A bíróság döntése precedens értékű lehet.
Az Electronic Frontier Foundation és más jogvédő szervezetek az alapvető szabadságjogok védelmében a kikényszeríthetetlenség mellett érvelnek, míg a rend hivatásos őrei attól tartanak, hogy a kriptográfia szabad utat adhat a pedofiloknak, terroristáknak és más, különösen veszélyes bűnözőknek.
Bár nem vagyok jogász, de úgy látom (és ezt mintha olvastam is volna valahol), hogy ilyen esetben az illető már azzal beismeri a tettét, hogy nem árulja el a jelszót. Ha ugyanis engem hasonló vádakkal illetnének, nem haboznék bármi áron tisztázni magam, akár az egyébként féltve őrzött adataim rovására is. Persze jó kérdés, hogy mi van akkor, ha olyan adatokat titkosítok, amelyek ugyan tisztáznak engem a vádak alól, de felvetnek helyettük újakat? Vagy ha a titkosított anyagok rossz színben tüntetnek fel az esküdtek/bíró előtt - mondjuk pedofil képek helyett valami legális, de nagyon perverz tartalom van hét lakat alatt őrizve?
A rendfenntartó szervek részéről pedig lehet, hogy új módszereket kellene kifejleszteni a hasonszőrű gonosztevők lekapcsolására: el lehetne például csípni az adatokat még mielőtt azok titkosításra kerülnének.
Az biztos, hogy az ítélet nagy port fog kavarni, várjuk a fejleményeket. Addig is ne habozzatok megosztani a véleményeteket az esettel kapcsolatban!
Címkék: jog privacy
Megtörték a BusinessWeeket
2008.01.19. 18:51 | buherator | Szólj hozzá!
Nem rég írtam a több tízezer áldozatot szedő tömeges SQL injection támadásról. Most jött a hír, hogy a BusinessWeek oldala is áldozatul esett az akciónak, így a nagy forgalmú site is - valószínűleg jó ideig - kártékony kódokat terjesztett, igaz, csak egy oldalon. Tehát aki olvasója hírportálnak, az nézesse át a gépét a megfelelő írtókkal, mert lehet hogy már ott csücsülnek a bacik a memóriában.
Az incidens jól rámutat arra, hogy még a legrobosztusabbnak hitt alkalmazások sincsenek biztonságban, mindig résen kell lenni!
Címkék: businessweek incidens
A kiberbűnözés új arca
2008.01.19. 11:23 | buherator | Szólj hozzá!
Címkék: film kultúra
Linux kernel VFS hiba
2008.01.18. 17:05 | buherator | Szólj hozzá!
Címkék: linux bug
Egy aranyos iTunes hack
2008.01.18. 15:43 | buherator | 8 komment
Annak viszont, aki mondjuk filmesztéta, és szeret egy-egy órát rágódni magában minden jelenet után, jó hír, hogy az Apple hagyott egy kiskaput a szolgáltatásban, amit egy Jack nevű illető fel is fedezett. Egyszerűen át kell állítani a számítógép óráját a messzi jövőbe kölcsönzés előtt, így az Apple szoftvere át is van verve.
Szívet melengető, utóljára kb 10 éve láttam ilyet :)
Másik hasznos tudnivaló, hogy ha a trükkös kölcsönzés után újra az elméleti lejárat idejéhez pörgetjük a a naptárat, az eredetileg streamelt film ugyan eltűnik az iTunesból, de a merevlemezen megmarad.
Az Apple feltehetően elég gyorsan javítani fog, ezért mindenki csak saját felelősségére próbálkozzon, de azért szívesen vennénk a tájékoztatást az elért eredményekről :)
Címkék: itunes oldschool movie rental rendszeróra
Zónaátlépés Skype-pal
2008.01.18. 07:41 | buherator | Szólj hozzá!
Miroslav Lučinskij például a DailyMotionben fedezett fel perzisztens XSS sebezhetőséget, így az innen belinkelt videók mellé mindenféle gonosz szkripteket kaphatunk a nyakunkba, amelyek ráadásul korlátozás nélkül futhatnak a helyi kontextusban, kódfuttatsra adva ezáltal lehetőséget:
* Az, hogy a DailyMotiont javítják még nem garantál semmit: ki tudja hány kihasználható hiba van még kinnt a netdzsungelben...
Címkék: voip skype xss xzs
Célzott támadások Excel dokumentumokkal
2008.01.16. 18:35 | buherator | Szólj hozzá!
Igen, jól látjátok, az OS X-es verziók is támadhatók! Fontos megjegyezni, hogy bár a kártékony kód csak az állomány megnyitásakor fut le, de a böngészők gyakran automatikusan megnyitják a különböző weboldalakon belinkelt dokumentumokat. További rizikófaktor, hogy a célzott támadásokat (ilyenekről érkeztek jelentések eddig) sokkal nehezebb felismerni, mint ha tömeges próbálkozásokkal állnánk szemben.
A Microsoftnál még keresik a hibát, publikus exploitról nem tudni. Egyelőre.
Update: Felmerült, hogy az Office 2003 SP3 lehet hogy azért nem sebezhető, mert alapból le van tiltva benne a régi formátumok támogatása. Ez amellett, hogy nem egy túlzottan elegáns megoldás a problémák kezelésére, felveti annak a lehetőségét, hogy azok a felhasználók is veszélyben vannak, akik visszaállították az Excel kompatibilitási tulajdonságait, hogy meg tudják nézni a régi anyagaikat. Persze amíg ki nem jön a patch vagy meg nem jelenik valami PoC exploit mindez csak találgatás, de azt mondom, hogy jobb félni
Címkék: windows bug excel os x
Napi betevő bulvár
2008.01.15. 22:02 | buherator | 4 komment
Címkék: rtlklub fókusz tvajánló
Az FBI és a telefonszámla
2008.01.11. 14:27 | buherator | Szólj hozzá!
Mike German, ex-ügynök a történtek kapcsán kifejtette, hogy a telefontársaságok csak akkor ilyen háklisak ha pénzükről van szó, a lehallgatásokhoz szükséges bírói engedélyeket általában elég utólag bemutatni nekik...
Most látom, hogy megírta az Index is eg ymásik vicces történettel egyetemben (persze reméljük, hogy nem sérült meg senki...).
Címkék: privacy móka fbi
Féregszaporító verseny - eredmények
2008.01.11. 11:04 | buherator | Szólj hozzá!
Kritikus megkötés volt, hogy a replikált kódnak nem szabad végtelenségig nőnie, pedig Ronald egy elég meggyőző megoldással állt elő (kezdeti) 81 byte-ban:
A további nevezett kódok értékelését itt találjátok. Született továbbá egy összefogalaló értekezés a verseny eredményeiről, valamint a belőlük levonató tanulságokról is.
Címkék: programozás worm xss
Tévéajánló
2008.01.09. 19:19 | buherator | 2 komment
Ráhangolódásnak: Tiger Team megvan?