Tweets by @buherablog
profile for buherator at IT Security Stack Exchange, Q&A for IT security professionals

A BitBetyár Blog

Túljártál a nagyokosok eszén? Küldd be a mutatványodat! (e-mail a buherator gmailkomra jöhet)

Full-Disclosure / Névjegy / Coming out


Promó

H.A.C.K.

Címkék

0day (110) adobe (87) adobe reader (21) anonymous (26) apple (60) az olvasó ír (49) blackhat (20) botnet (22) bug (200) buherablog (44) buhera sörözés (39) bukta (49) deface (38) dns (22) dos (29) esemény (82) facebook (26) firefox (64) flash (33) gondolat (31) google (59) google chrome (36) hacktivity (37) hírek (117) incidens (224) internet explorer (88) iphone (35) java (50) jog (22) kína (21) kriptográfia (68) kultúra (21) linux (24) malware (43) microsoft (142) móka (48) mozilla (23) office (26) oracle (40) os x (43) patch (197) php (20) politika (31) privacy (58) programozás (22) safari (34) sql injection (62) windows (85) xss (77) Címkefelhő

Licensz

Creative Commons Licenc

Router hacking bajnokság

2008.02.04. 10:48 | buherator | Szólj hozzá!

Ronald, a GNUCITIZEN-es felfedezések hatására kiírt egy versenyt, melynek célja az, hogy a résztvevők minél érdekesebb sebezhetőségeket találjanak saját, otthoni routereiken. Bármilyen hibával lehet nevezni a CSRF-től a buffer overflow-ig, díjazásként a legjobb felfedezések megjelennek a Hacker Webzine-en.

A felfedezéseket a hackerwebzine gmail com-ra, vagy a sla.ckers megfelelő topicjába lehet küldeni.

Címkék: router challenge

Hanyag patch a Mozillától

2008.01.31. 10:06 | buherator | Szólj hozzá!

Tartva magukat a "Ten fucking days" filozófiához, a srácok a Mozillánál megoldották a tíz napja bemutatott hibát. Azaz megoldottnak nyilvánították, Gerry Eisenhaur azonban erről másként vélekedik.

Címkék: firefox bug

Újraalakul a L0pht

2008.01.31. 09:53 | buherator | Szólj hozzá!

Legalábbis egy konferencia erejéig. A kilencvenes évek legendássá vált hackercsapata, melynek tagjai az Egyesült Államok szenátusa előtt állították, hogy fél óra alatt meg tudnák bénítani az Internetet, a SOURCE 2008-on jönnek össze újra, hogy megvitassák hová jutott a szakma az elmúlt tíz évben.

A DarkReading cikkét itt olvashatjátok.

Címkék: kultúra történelem l0pht

Kis lépés az embernek, óriási a spammernek

2008.01.29. 20:54 | buherator | 4 komment

Egy orosz hackerek által kifejlesztett szoftver segítségével nagyjából 35%-os pontossággal megfejthetőek a Yahoo! által használt CAPTCHA-k, melyeket a  legnehezebbek között tartanak számon. Az oroszok hangsúlyozzák, hogy egy ilyen program esetében nem szükséges nagy pontosságra törekedni, ha ugyanis csak 15%-os hatékonysággal számolunk, és azt vesszük, hogy egy nap alatt le lehet futtatni 100.000 kérést, valamint minden rejtvény megfejtése egy centet ér, már elég szép bevétellel van dolgunk. Állítólag hamarosan technikai részletek is napvilágot látnak, addig is lehet próbálkozni a demonstrációs célra készített programmal.

Címkék: yahoo captcha

Top hackert fogtak

2008.01.26. 10:01 | buherator | 4 komment

Egy pénteken letartóztatott, 58 éves görög matematikust azzal vádolnak, hogy bejutva a francia Dassault Group hálózatába, onnan üzleti titkokat, többek között fegyverrendszerek leírásait tulajdonította el, majd az adatokat kb. 250 "ügyfél" számára értékesítette. A megszerzett információk becsült értéke 361 millió dollár, a férfi legalább 2002 óta garázdálkodott a franciáknál.

Megjegyezném, hogy a sértett vállalat hivatalos oldalán most is tátonganak a SQL injection lyukak...

Címkék: incidens dassault

Csatát nyertek a magánszféra védelmezői

2008.01.25. 18:47 | buherator | 3 komment

csabika25 hívta fel a figyelmemet rá, hogy határozat született a nem rég vázolt jogi esettel kapcsolatban: Jerome J. Niedermeier bíró úgy döntött, hogy nem lehet a pedofil ügy vádlottját jelszavának kiadására kényszeíteni, mivel ez ellenkezne az amerikai alkotmány azon tételével, mely szerint a vádlott nem köteles önmagára nézve terhelő vallomást tenni.

Úgy tűnik, a rendőrök elkezdhetnek gondolkozni rajta, hogyan veszik fel a versenyt az új évezred kihívásaival...

Az ügyészség fellebezést nyújtott be a döntéssel kapcsolatban.

Címkék: jog privacy

DHCP névmérgezés

2008.01.25. 18:20 | buherator | Szólj hozzá!

A srácok a GNUCITIZENnél nem lazsálnak mostanában: néhány hete az UPnP-t szedték cafatokra, majd nem rég a multicast DNS szolgáltatásban rejlő fenyegetésekre hívták fel a figyelmet, most pedig a DHCP-vel mutattak egy elég meggyőző trükköt. Az első két cikket eddig sajnos nem volt időm lefordítani, de rajta vannak a listán. A harmadik - valószínűleg nem új - módszer lényege a következő:

DHCP címkiosztáskor a kliens által küldhető csomagok egy csomó opcionális fejléc elemet tartalamazhatnak, melyek közül az egyik a kliens nevének megadására szolgál. Sok kiszolgáló illetve router hajlamos az így érkező neveket felvenni a DNS cache-ébe, ezért ha egy vezetéknélküli hálózatba beregisztrálunk pl. mail vagy proxy névvel, akkor az ilyen nevekre irányuló névfeloldási kérések a mi IP címünket fogják visszaadni. Egy klienshez ráadásul több név is rendelhető, ezért egész csomó gyakran használt nevet birtokolhatunk/bitorolhatunk egyszerre. Sok számítógép úgy van konfigurálva, hogy először a fenntiekhez hasonló rövid nevekkel próbálja elérni a különböző hálózati erőforrásokat, így viszont, ha mi is a hálózaton lógunk, akkor pl. a "proxy"-nak intézett kérések rajtunk  fognak keresztül menni, de akár WPAD szerverként is funkcionálhatunk.
Szélsőséges esetben akár külső hosztnevek is megszerezhetők, ez azonban nem jellemző, bár Petko Petkov szerint meglepően sok ilyen szinten is sebezhető infrastruktúra létezik. Saját hálozatunk teszteléséhez itt található egy egyszerű kis Perl szkript.

Címkék: dns dhcp

Friss hús

2008.01.25. 17:42 | buherator | 4 komment

Vajon melyik frissen született portál programozója felejtette el kivenni a debugoláshoz használt print_r()-t az admin felületről?

Címkék: móka xss

A legjobb hackek 2007-ben

2008.01.25. 13:24 | buherator | Szólj hozzá!

A Jeramiah Grossman, Robert Auger és RSnake által kiírt szavazás végeredménye a következő:

1. Shockwave Flash XSS
2. Univerzális Adobe Reader Plugin XSS
3. A Firefox JAR: protokolkezelőjének hibája
4. Nyomtató spam
5. JavaScript rejtése képekbe
6. Firefox URI kezelő sebezhetőség
7. Anti-DNS Pinning
8. GMail levelek eltérítése
9. PDF XSS
10. Portscan JavaScript nélkül

Az összes nevezett okosság megtekintéséhez ide kattintsatok.

Többszörös biztonsági hibák az X.Org szerverben

2008.01.22. 13:29 | buherator | Szólj hozzá!

"Többszörös biztonsági hibát találtak a fejlesztők az X Window System szerver kódjában. A felhasználók által bevitt adatok elégtelen ellenőrzése miatt különböző túlcsordulásos (overflow) problémák adódhatnak a szoftverben. Ezen túlcsordulásos hibák sikeres kihasználása az X szerver összeomlásához, rosszabb esetben tetszőleges kódfuttatáshoz vezethetnek. Ha az X szerver root jogokkal fut, akkor a hiba sikeres kihasználásával a támadó emelt privilégium-szinthez is juthat. Az eddig kiadott összes X.Org verzió érintett, így erősen ajánlott a frissítés. Részletek az X.Org hivatalos levelezőlistáján itt." - HUP

Címkék: bug x.org

Legyalulták a RIAA-t

2008.01.22. 11:10 | buherator | Szólj hozzá!

"A RIAA oldala igencsak bugos volt. Több SQL injection és xss hibát is találtak benne, sőt valakinek sikerült a db-t is droppolni." ASVA.info

Tudjátok, a RIAA az a szervezet, aki azzal szeret játszani, hogy 10 éves kislányokat és hasonló kaliberű gonosztevőket perel horribilis összegekre, hogy példát tudjon statuálni...

Címkék: incidens riaa sql injection xss

Hátsó kapu a Vista egyik véltetlenszám generátorában

2008.01.21. 16:50 | buherator | 3 komment

A hír még tavalyi, megfeledkeztem róla kicsit, de a kettővel ezelőtti poszt kommentjei kapcsán szerencsére újra eszembe jutott:

Az Egyesült Államok kormánya új hivatalos szabványt tett közzé a véletlenszám generátorokra vonatkozóan. A dokumentum négy eljárást definiál, melyek különböző kriptográfiai eljárásokon alapulnak. Az egyik algoritmus - az elliptikus görbéken alapuló Dual_EC_DRBG - azonban kilóg a sorból: három nagyságrenddel lassabb a többinél, ráadásul egy 2006-os tanulmány szerint egy kis elfogultságot is mutat (az egyik fajta bitből átlagosan többet készít mint a másikból). Valószínűleg nem is kerülhetett volna be a szabványba, ha az amerikai nemzetbiztonsági hivatal, az NSA nem lobbizik mellette.

A történet itt még azonban nem ért véget. A Crypto 2007 konferencián Dan Shumow és Niels Ferguson előadásukban rámutattak a Dual_EC_DRBG egy igen félelmetes hiányosságára:
Az algoritmus egy sor, előre specifikált konstanst használ, amelyekről nem tudni, hogy honnan származnak, Fergusonék eredményei szerint viszont aki ezeket a számokat generálta, annak a birtokában lehet egy másik számsorozat, ami egyfajta univerzális kulcsként működik. Így pl. egy igen rövid TLS kommunikáció lehallgatása után elvileg az egész titkosított folyam megtörhető.

Az algoritmust a szabvány részeként a Windows Vista-ba is, ahol API függvényként implementálva elérhető (nem ez az alapértelmezett véletlenszám generátor), de erősen javasolt, hogy - a hangzatos név ellenére - soha senki ne használja ezt az eljárást!

Bruce Schneier cikkét az algoritmus körüli hercehurcáról itt olvashatjátok.

Címkék: vista nsa kriptográfia

Firefox privilégium-kiterjesztés

2008.01.21. 11:03 | buherator | 2 komment

Csúúúnya nagy hibát fedezett fel Gerry Eisenhaur a Firefoxban, melyet kihasználva a támadók egész jól bebarangolhatják az áldozatok gépeit. A hiba a helyetelen URI dekódolásban van, és csak akkor használható ki, ha telepítve van valamilyen nem .jar-ba csomagolt kiterjesztés (ilyen pl. a Download Statusbar). A PoC itt található.
Nagyon remélem, hogy a Firefox 3.0 visszanyeri a böngészőbe vetett bizalmam...

Címkék: firefox bug

Jogi dilemma

2008.01.19. 19:20 | buherator | 10 komment

Az Egyesült Államok bírósága komoly dilemmával szembesült egy pedofíliával vádolt gyanusított kapcsán: a férfi ugyanis PGP-vel titkosította fájlrendszere egy részét, a megfelelő jelszót viszont (érthető okokból) nem akarja kiadni arra az alkotmányos jogra hivatkozva, hogy nem köteles önmagára nézve terhelő vallomást tenni. A bíróság döntése precedens értékű lehet.

Az Electronic Frontier Foundation és más jogvédő szervezetek az alapvető szabadságjogok védelmében a kikényszeríthetetlenség mellett érvelnek, míg a rend hivatásos őrei attól tartanak, hogy a kriptográfia szabad utat adhat a pedofiloknak, terroristáknak és más, különösen veszélyes bűnözőknek.

Bár nem vagyok jogász, de úgy látom (és ezt mintha olvastam is volna valahol), hogy ilyen esetben az illető már azzal beismeri a tettét, hogy nem árulja el a jelszót. Ha ugyanis engem hasonló vádakkal illetnének, nem haboznék bármi áron tisztázni magam, akár az egyébként féltve őrzött adataim rovására is. Persze jó kérdés, hogy mi van akkor, ha olyan adatokat titkosítok, amelyek ugyan tisztáznak engem a vádak alól, de felvetnek helyettük újakat? Vagy ha a titkosított anyagok rossz színben tüntetnek fel az esküdtek/bíró előtt - mondjuk pedofil képek helyett valami legális, de nagyon perverz tartalom van hét lakat alatt őrizve?

A rendfenntartó szervek részéről pedig lehet, hogy új módszereket kellene kifejleszteni a hasonszőrű gonosztevők lekapcsolására: el lehetne például csípni az adatokat még mielőtt azok titkosításra kerülnének.

Az biztos, hogy az ítélet nagy port fog kavarni, várjuk a fejleményeket. Addig is ne habozzatok megosztani a véleményeteket az esettel kapcsolatban!

Címkék: jog privacy

Megtörték a BusinessWeeket

2008.01.19. 18:51 | buherator | Szólj hozzá!

Nem rég írtam a több tízezer áldozatot szedő tömeges SQL injection támadásról. Most jött a hír, hogy a BusinessWeek oldala is áldozatul esett az akciónak, így a nagy forgalmú site is - valószínűleg jó ideig - kártékony kódokat terjesztett, igaz, csak egy oldalon. Tehát aki olvasója hírportálnak, az nézesse át a gépét a megfelelő írtókkal, mert lehet hogy már ott csücsülnek a bacik a memóriában.

Az incidens jól rámutat arra, hogy még a legrobosztusabbnak hitt alkalmazások sincsenek biztonságban, mindig résen kell lenni!

Címkék: businessweek incidens

A kiberbűnözés új arca

2008.01.19. 11:23 | buherator | Szólj hozzá!

Bemutatták a The New Face of Cybercrime című filmet. Van egy olyan érzésem, hogy ez lesz az az alkotás, ami itthon soha az életben nem fog megjelenni, szóval ha valaki ismer valamilyen "nem hivatalos" forrást, az írjon kommentet vagy e-mailt! Köszönöm!

Címkék: film kultúra

Linux kernel VFS hiba

2008.01.18. 17:05 | buherator | Szólj hozzá!

Azoknak akik nem olvasnak HUP-ot:

"A securityfocus.com szerint lokálisan kihasználható hiba van a 2.6.23.14-es előtti Linux kernelek (a 2.6.23.14 már javított) VFS (Virtual File System) rétegében, melyet kihasználva a helyi felhasználók megkerülhetik a jogosultságok ellenőrzését. A bejelentés a securityfocus.com-on. Részletek a Linux kernel changelog-jában. A Secunia bejelentése itt, CVE hibajegy itt."

Címkék: linux bug

Egy aranyos iTunes hack

2008.01.18. 15:43 | buherator | 8 komment

Van az iTunesnak egy videókölcsönző szolgáltatása, ami úgy működik, hogy befizetsz a filmre, amit aztán 30 napon el kell kezdened nézni, és ha elkezdted, 24 órád van rá hogy a végére érj. Ez szerintem egy korrekt megoldás, a hagyományos tékákban sincsenek az embernek sokkal jobb lehetőségei, ráadásul ki sem kell mozdulni a monitor elől meleg/kellemesen hűvös lakásból.

Annak viszont, aki mondjuk filmesztéta, és szeret egy-egy órát rágódni magában minden jelenet után, jó hír, hogy az Apple hagyott egy kiskaput a szolgáltatásban, amit egy Jack nevű illető fel is fedezett. Egyszerűen át kell állítani a számítógép óráját a messzi jövőbe kölcsönzés előtt, így az Apple szoftvere át is van verve.

Szívet melengető, utóljára kb 10 éve láttam ilyet :)

Másik hasznos tudnivaló, hogy ha a trükkös kölcsönzés után újra az elméleti lejárat idejéhez pörgetjük a a naptárat, az eredetileg streamelt film ugyan eltűnik az iTunesból, de a merevlemezen megmarad.

Az Apple feltehetően elég gyorsan javítani fog, ezért mindenki csak saját felelősségére próbálkozzon, de azért szívesen vennénk a tájékoztatást az elért eredményekről :)

Címkék: itunes oldschool movie rental rendszeróra

Zónaátlépés Skype-pal

2008.01.18. 07:41 | buherator | Szólj hozzá!

Aviv Raff felfedezte, hogy a Skype az Internet Explorer Helyi Zónájában rendereli a külső  (Skype partner) HTML oldalakat, ami a lehetőségek széles tárházát (Cross-Zone Scripting) nyitja meg onnantól kezdve, hogy ezen oldalak valamelyikében bármilyen egyszerű hibát találnak. És találnak.
Miroslav Lučinskij például a DailyMotionben fedezett fel perzisztens XSS sebezhetőséget, így az innen belinkelt videók mellé mindenféle gonosz szkripteket kaphatunk a nyakunkba, amelyek ráadásul korlátozás nélkül futhatnak a helyi kontextusban, kódfuttatsra adva ezáltal lehetőséget:

A sebezhetőség kihasználásához felhasználói beavatkozás is kell, de mint tudjuk egy kis social engineering csodákra képes. Legyen tehát az az irányelv, hogy nem nézegetünk távoli forrásokat Skype-on, amíg nem jön ki a javítás*!

* Az, hogy a DailyMotiont javítják még nem garantál semmit: ki tudja hány kihasználható hiba van még kinnt a netdzsungelben...

Címkék: voip skype xss xzs

Célzott támadások Excel dokumentumokkal

2008.01.16. 18:35 | buherator | Szólj hozzá!

Speciális Excel dokumentumok segítségével tetszőleges kód futtatható a dokumentumot megnyitó felhasználó jogosultságaival a következő verziók esetében: Microsoft Office Excel 2003 Service Pack 2, Microsoft Office Excel Viewer 2003, Microsoft Office Excel 2002, Microsoft Office Excel 2000, and Microsoft Excel 2004 for Mac.

Igen, jól látjátok, az OS X-es verziók is támadhatók! Fontos megjegyezni, hogy bár a kártékony kód csak az állomány megnyitásakor fut le, de a böngészők gyakran automatikusan megnyitják a különböző weboldalakon belinkelt dokumentumokat. További rizikófaktor, hogy a célzott támadásokat (ilyenekről érkeztek jelentések eddig) sokkal nehezebb felismerni, mint ha tömeges próbálkozásokkal állnánk szemben.

A Microsoftnál még keresik a hibát, publikus exploitról nem tudni. Egyelőre.

Update: Felmerült, hogy az Office 2003 SP3 lehet hogy azért nem sebezhető, mert alapból le van tiltva benne a régi formátumok támogatása. Ez amellett, hogy nem egy túlzottan elegáns megoldás a problémák kezelésére, felveti annak a lehetőségét, hogy azok a felhasználók is veszélyben vannak, akik visszaállították az Excel kompatibilitási tulajdonságait, hogy meg tudják nézni a régi anyagaikat. Persze amíg ki nem jön a patch vagy meg nem jelenik valami PoC exploit mindez csak találgatás, de azt mondom, hogy jobb félni mint megin' enni.

Címkék: windows bug excel os x

Napi betevő bulvár

2008.01.15. 22:02 | buherator | 4 komment

A Fókusz stábja egész korrekt kis riportot hozott össze. Világmegváltó gondolatokat ettől a három perctől azért ne várjatok  :)

Címkék: rtlklub fókusz tvajánló

Van házi szervered?

2008.01.11. 16:42 | buherator | Szólj hozzá!

Boldog ember vagy!

Ez egy ilyen vicces nap.

Címkék: móka

Az FBI és a telefonszámla

2008.01.11. 14:27 | buherator | Szólj hozzá!

A Wired információi szerint az FBI notóriusan nem fizette ki a különböző telefontársaságoknak a lehallgatási lehetőségek nyújtásáért nekik járó összegeket, ezért legalább egy cég megtagadta ezen szolgáltatás nyújtását, amíg a nyomozóiroda nem egyenlíti ki a 66000 dodóra rúgó számlát.

Mike German, ex-ügynök a történtek kapcsán kifejtette, hogy a telefontársaságok csak akkor ilyen háklisak ha pénzükről van szó, a lehallgatásokhoz szükséges bírói engedélyeket általában elég utólag bemutatni nekik...

Most látom, hogy megírta az Index is eg ymásik vicces történettel egyetemben (persze reméljük, hogy nem sérült meg senki...).

Címkék: privacy móka fbi

Féregszaporító verseny - eredmények

2008.01.11. 11:04 | buherator | Szólj hozzá!

Véget ért a sla.ckers.org féregszaporító versenye, a dobogó első fokára pedig Giorgio Maone és Sirdarckcat közösen állhatnak, a maguk 161 byte hosszú kódjával:




Kritikus megkötés volt, hogy a replikált kódnak nem szabad végtelenségig nőnie, pedig Ronald egy elég meggyőző megoldással állt elő (kezdeti) 81 byte-ban:


A további nevezett kódok értékelését itt találjátok. Született továbbá egy összefogalaló értekezés a verseny eredményeiről, valamint a belőlük levonató tanulságokról is.

Címkék: programozás worm xss

Tévéajánló

2008.01.09. 19:19 | buherator | 2 komment

Ma a Viasat3 leadja a Komputerkémek (Sneakers) című nagysikerű alkotást, ami nevetős, akciós, (Hollywoodhoz képest) hiteles, nem utolsó sorban pedig anyukám egyik kedvenc filmje :) Kezdés 21:05.

Ráhangolódásnak: Tiger Team megvan?

Címkék: video tvajánló

süti beállítások módosítása