May 19th, 2011 от singu
Наскоро се натъкнах на списък с уязвими web приложения, на които можете да тренирате и да се тествате:
April 7th, 2011 от singu
Някои наричат Гео-локализираният Интернет Web 3.0 – във все повече и повече онлайн услуги има интерфейси и методи за извличане или подаване на гео-информация, както и такава се включва в много мета-данни ( EXIF на снимки, anyone ? ).
Yiannis Kakavas е разработил инструмент, наречен cree.py, който може да анализира и извлече информация за дадена цел от множество сайтове. В момента се поддържат:
- Twitter
- Foursquare (only checkins that are posted to twitter)
- flickr – information retrieved from API
- twitpic.com – information retrieved from API and photo exif tags
- yfrog.com – information retrieved from photo exif tags
- img.ly – information retrieved from photo exif tags
- plixi.com – information retrieved from photo exif tags
- twitrpix.com – information retrieved from photo exif tags
- foleext.com – information retrieved from photo exif tags
- shozu.com – information retrieved from photo exif tags
- pickhur.com – information retrieved from photo exif tags
- moby.to – information retrieved from API and photo exif tags
- twitsnaps.com – information retrieved from photo exif tags
- twitgoo.com – information retrieved from photo exif tags
Cree.py може да послужи за първоначално разузнаване на цел, като подготовка за социално инженерство.
За повече информация посетете сайта на проекта.
April 4th, 2011 от singu
Досега хората свързваха двуфакторната аутентификация ( била тя с токен, през телефон, SMS или друг начин ) с едни тежки и скъпи софтуери, от които лъха на ентърпрайз. Е, вече не, благодарение на два проекта с отворен код:
OTPW има възможност да генерира списъци и матрици с еднократни пароли, чрез които потребителят може да се логне ( някои банки ги наричат TAN кодове ), като включително при опит за replay атака има логика, която за допълнителна сигурност иска например 3 групи символи, вместо само една.
Още по user-friendly е Barada, при което вторият фактор е приложение за Android, което генерира еднократната парола.
Имайте в предвид тези проекти, когато искате да защитите някоя по-сериозна система. Не е задължително сигурността да е скъпа.
_________
April 1st, 2011 от singu
Нов плъг-ин за Firefox позволява да се праща фалшив IP адрес към сайтовете, без това да влияе на браузването. Трикът е, че в една HTTP заявка вашият адрес се съдържа на няколко места – няколко в самата заявка ( тези могат да бъдат променени ) и един в TCP/IP пакета ( който няма как да бъде променен ). Плъг-ина има възможност да модифицира адресите в заявката и така да сее ужас и паника сред администраторите на сайтове и SEO специалистите.
Ако ви е интересно – инсталирайте от тук на собствена отговорност.
February 23rd, 2011 от singu
Сериозна дупка в BIND може да доведе до забиване на сървъра и потенциален DoS. Все още няма exploit-и в циркулация, но силно се препоръчва ъпгрейд до версия 9.7.3
https://www.isc.org/software/bind/advisories/cve-2011-0414
January 27th, 2011 от singu
Един от основните инструменти има нова версия – 6.0, която вече поддържа IPv6, smtp-auth, APOP за POP3 плюс още добавки и бъгфиксове
Ако сте проспали последните 10 години, THC-Hydra е инструмент, който позволява гъвкаво отдалечено тестване на потребители/пароли. Ето списъка на поддържаните протоколи:
TELNET, FTP, HTTP, HTTPS, HTTP-PROXY, SMB, SMBNT, MS-SQL, MYSQL, REXEC,RSH, RLOGIN, CVS, SNMP, SMTP-AUTH, SOCKS5, VNC, POP3, IMAP, NNTP, PCNFS,ICQ, SAP/R3, LDAP2, LDAP3, Postgres, Teamspeak, Cisco auth, Cisco enable,AFP, Subversion/SVN, Firebird, LDAP2, Cisco AAA (incorporated in telnet module). For HTTP, POP3, IMAP and SMTP, several login mechanisms like plain and MD5 digest are supported.
THC-Hydra можете да свалите от страницата на проекта.
