Рубрика «Егор Хомяков»

в 13:48, , рубрики: Firefox, Google Chrome, internet explorer, opera, браузеры, Егор Хомяков, информационная безопасность, уязвимости, метки: , , , , ,

Делаем гадости: незакрываемая вкладка в IE, Chrome и FirefoxПрограммист и хакер Егор Хомяков (блог, хабрreadonly), прославившийся год назад массовой публикацией CSRF, а также взломом сети GitHub, пару дней назад опубликовал в твиттере крайне интересный скрипт длиной всего в 92 символа. Ссылка на твит в конце статьи.

Этот самый скрипт позволяет «завесить» окно браузера в IE, в Google Chrome и частично в Firefox. Эффект от запуска виден справа – от этих диалоговых окон невозможно избавиться, они появляются снова и снова, блокируя доступ к главному окну браузера.
Читать полностью »

в 6:36, , рубрики: ruby, ruby on rails, security, XML, Егор Хомяков, информационная безопасность, метки: , , ,

У нас тут в rails комьюнити опять драма.
Есть методы типа find_by_* которые проецируются на модели в find_by_title например и find_by_id.
Их можно использовать так
find_by_id(params[:id], select: «CUSTOM SQL»)
Но обычно их используют вот так
find_by_id(params[:id])
И происходит SQL Injection если в params[:id] лежит {:select => «CUSTOM SQL»}. Обратите внимание — :select это символ а не «select»(строка). Это значит что трюк ?id[select]=SQL не пройдет т.к. ключ окажется строкой.
И вообще params это хеш типа HashWithIndifferentAccess. Те у него ВПРИНЦИПЕ не может быть символов в ключах т.к. они все уничтожаются при создании.
Есть такой gem authlogic, в общем виде он использует find_by_token(token) где token это объект из сессии(которая хранится в куках и подписана session_secret). Чтобы в него записать :select => «SQL» вам нужно знать session_secret, поэтому уязвимость крайне редкая.
Весь этот SQL Injection CVE не стоит выеденного яйца! И ради чего пост? DDoS!
Читать полностью »

в 21:43, , рубрики: Facebook, Facebook API, oauth2, Вконтакте API, Егор Хомяков, информационная безопасность, метки: , , ,

Данная блогозапись на хабр прежде всего обусловлена появлением «Ключницы» — хороший повод связать и перевести накопленное.

Безопасность OAuth2
У нас в программе: вольный пересказ спек OAuth2, слабые стороны и Threat Model, 0day на хабретрюк с аутенфикацией.
image
Читать полностью »

в 20:10, , рубрики: csrf, Егор Хомяков, информационная безопасность, уязвимости, метки: , ,

Известный по инциденту с Github российский веб-разработчик Егор Хомяков (Chikey) отличился ещё раз. На этот раз он решил не мелочиться и ударил сразу по десятку известных сервисов, в том числе Moneybookers, Formspring, SlideShare, YFrog, Bitbucket, Lockerz, Github, KinoPoisk, Badoo, Odesk, Dailymotion, Vimeo, About.me, Posterous, Hulu, Booking.com, Heroku.

Феерический пост с подборкой хаков для вышеперечисленных сайтов можно посмотреть здесь. Отметим только, что самый главный баг с переводом денег через Moneybookers он предварительно зарепортил разработчикам и дождался, пока те закроют уязвимость, прежде чем публиковать информацию.

Егор говорит, что это лишь крошечная часть уязвимостей в самых популярных сервисах, не говоря уже о сайтах среднего и малого размера. Егор принципиально не публикует критические уязвимости, потому что «тюрьма не подходит для уютной жизни», по его мнению.

На этой неделе Хомяков планирует опубликовать уязвимость в Webkit, позже — советы по безопасности JSONP, фреймам, обходу правила ограничения домена, CSRF, а также ещё один лёгкий хак Rails (и PHP), сейчас подбираются сайты для демонстрации уязвимости.
Читать полностью »

Главная   |  Архив новостей  |   Android  |   Google  |   Apple  |   Microsoft  |   Информационная безопасность  |   Веб – разработка
Публикации RSS  |  Комментарии RSS
https://ajax.googleapis.com/ajax/libs/jquery/3.4.1/jquery.min.js