Весь прошлый день провел в поисках XSS уязвимостей некоторых крупных сайтов. В итоге обнаружил XSS на нескольких официальных сайтах банков и на сайте Биглиона.
Администрация этих сайтов была уведомлена об уязвимостях, после их исправления — выложу пост с подробным описанием ошибок на сайтах банков.
В конце дня решил проверить есть ли такая дыра и в Яндексе.
Читать полностью »
Сервис микроблогов на днях объявил о том, что отныне поддерживает функцию Do not track и, таким образом, владельцы аккаунтов могут получить большую долю приватности, отказавшись при этом, правда, от просмотра таргетированной рекламы, основанной на предыдущем поведении пользователей и более релевантных предложений от сервиса о интересных аккаунтах.
Функцию Do Not Track пока поддерживают не все браузеры. Сам механизм DNT был изначально предложен сообществом Mozilla и впервые реализован в web-браузере Firefox 4. Немногим после, этот же механизм появился и в Internet Explorer 9; Safari имеет его с версии 5.1. В Mozilla не остановились и в версии Firefox 9, кроме HTTP-заголовка DNT и соответствующего блока настроек, добавили DOM-интерфейс для проверки и управления работой «Do not track» из JavaScript. К концу 2012 года DNT в свой браузер Google Chrome обещает добавить и поисковый гигант, несмотря на то, что львиная доля его доходов как раз зависит от показа таргетированных рекламных объявлений.
Функция DNT зависит не только от используемого браузера, а и от сайта, которому браузер должен отправить соответствующий заголовок — таким образом Twitter стал первой крупной социальной сетью, поддерживающей DNT. В целом, администрация Twitter создаёт вокруг себя атмосферу уважения к приватности своих пользователей — достаточно вспомнить недавний случай, когда в Twitter подали жалобу на решение суда об открытии личных данных владельца аккаунта, обвиняемого в уличных беспорядках.
Читать полностью »
Когда сегодня утром глава крупнейшей социальной сети Facebook открыл торги ценными бумагами своей компании на бирже NASDAQ, позвонив в символический колокол, статус его страницы изменился на «Mark Zuckerberg listed a company on NASDAQ» — причём, естественно, сам Марк Цукерберг находился совсем в другом месте.
Чуть позднее стало известно, что это произошло благодаря манипуляциям с устройством «колокола», которые провела с ним команда технических специалистов Facebook во главе с техническим директором компании Девидом Гарсиа (David Garcia).
Идея того, что колокол NASDAQ — устройство, дающее старт торгам на NASDAQ при помощи звонка и световой индикации — должно самостоятельно обновить статус главы Facebook, посетила Девида Гарсия незадолго до дня самих торгов. Он поделился ей со своим шефом и, как оказалось, Цукерберг был совсем не против: «It would be epic if you pulled that off.»
Читать полностью »
Сразу хочу сказать, что данная статья написана исключительно в образовательных целях. Я не преследую никакого злого умысла и, тем более, не подталкиваю никого к совершению противоправных действий. Уязвимость на данный момент закрыта. Заинтересованных прошу под кат.
Читать полностью »
The Pirate Bay подвергся довольно длительному DDoS`у.
В 6 30 (GMT) представители ресурса сообщали: «На ресурс ведется мощная DDoS-атака. Мы не знаем, кто за этим стоит, но у нас есть пара догадок».Читать полностью »
The Pirate Bay подвергся довольно длительному DDoS`у.
В 6 30 (GMT) представители ресурса сообщали: «На ресурс ведется мощная DDoS-атака. Мы не знаем, кто за этим стоит, но у нас есть пара догадок».Читать полностью »
На сайте Минэкономразвития появился текст нового КОАП. Нас интересует статья 13.11 (и подстатья 13.111), которая устанавливает ответственность за нарушение правил обработки ПДн. Отныне штраф за нарушение повышен до 1000000 рублей, срок давности за эти преступления продлен с 3х месяцев до одного года.
Прошу ознакомиться и быть готовыми к новой, более веселой жизни.
PS. Жаль, что более нет топик-ссылок.
PPS. Как просил Pr0tect0rЧитать полностью »
Бывают SQL-инъекции! А возможны ли NoSQL-инъекции? Да! Redis, MongoDB, memcached — все эти программные продукты относятся к классу нереляционных СУБД, противоположному популярным MySQL, Oracle Database и MSSQL. Так как интерес к перечисленным базам данных в последнее время значительно возрос, хакеры всех мастей просто не могли пройти мимо них.
Бывают SQL-инъекции! А возможны ли NoSQL-инъекции? Да! Redis, MongoDB, memcached — все эти программные продукты относятся к классу нереляционных СУБД, противоположному популярным MySQL, Oracle Database и MSSQL. Так как интерес к перечисленным базам данных в последнее время значительно возрос, хакеры всех мастей просто не могли пройти мимо них.
В ноябре прошлого года компания «Яндекс» провела конкурс на тему поиска уязвимостей в своем сервисе. Мне посчастливилось найти там пару дырочек и получить за это второе место. Так как за эти полгода я так и не опубликовал деталей (кроме как на встрече Defcon-Russia, но это было в устной форме для узкого круга посетителей), я решил восполнить этот пробел сейчас. Так что тут будет рассказ об одной из дырок, которая была обнаружена в рамках конкурса и оперативно закрыта компанией «Яндекс». Считаю, что конкурс полностью оправдал себя и позволил предотвратить страшные последствия, так что идея явно удачна, одни плюсы. Собственно рассказ будет о банальном отсутствии проверки авторизации в одном из скриптов, что могло привести к частичной компрометации более миллиарда писем лишь на одной ноде…
