Двое исследователей из Университета Эрлангена, в Германии, продемонстрировали способ получения зашифрованной информации смартфона под управлением Android, используя… морозилку :)
Рубрика «security» - 39
Морозная атака на шифрование в Android
2013-02-17 в 15:11, admin, рубрики: android, security, информационная безопасностьСрочно обновляемся до Ruby on Rails 3.2.12, 3.1.11 и 2.3.17 во благо собственных нервов
2013-02-11 в 20:48, admin, рубрики: FIX, json, ruby, ruby on rails, security, информационная безопасность, метки: json, ruby, ruby on rails, security, патч 
Доброго времени суток, дорогой читатель. Надеюсь, что ты читаешь этот короткий пост за своим утренним кофе, и тебе не пришлось творить экстренный деплой посреди ночи. Иначе — соболезную, и предлагаю тебе обновить свои Ruby on Rails приложения прямо сейчас.
Читать полностью »
Об одной малоизвестной уязвимости в веб сайтах
2013-02-11 в 6:56, admin, рубрики: http, nginx, php, security, информационная безопасность, метки: http, nginx, PHP, securityПервое правило безопасности при разработке Веб приложений гласит: —
Не доверять данным пришедшим от клиента.
Почти все это правило хорошо знают и соблюдают. Мы пропускаем через валидаторы данные форм, кукисы, даже URI.
Но недавно я с удивлением обнаружил, что есть одна переменная, приходящая от клиента, которую почти никто не фильтрует.
Речь пойдет о компрометации веб приложения через подмену значения HTTP_HOST и SERVER_NAME.
Читать полностью »
На пути к созданию безопасного веб-ресурса. Часть 1 — серверное ПО
2013-02-09 в 8:58, admin, рубрики: nginx, php, security, информационная безопасность, метки: nginx, PHP, securityЯ уже довольно долгое время хочу формализовать все свои мысли, опыт, ежедневно применяемый на практике, и многое другое в одном месте и предоставить их общественности. Уверен, многим этот материал будет полезен. Он посвящен различным моментам в конфигурации серверного ПО Linux и безопасным подходам к созданию сайтов/приложений на php (все же это до сих пор одна из самых популярных связок, хоть её успешно и подвигают другие технологии).
Т.е. речь идет о типичной ситуации. Проект (стартап), купили под него сервер и разворачиваем на нем сайт. Бизнесу не нужно тратить лишних денег на сервера (поэтому будут выбраны наиболее производительные связки ПО), а так же нужно, чтобы все было безопасно, при чем бесплатно :)
Читать полностью »
Критическая уязвимость во всех версиях JunOS начиная с 7.6R1
2013-01-31 в 9:10, admin, рубрики: juniper, security, tcp, информационная безопасность, метки: juniper, security, tcpПриветствую,
Juniper опубликовал PR839412, который описывает уязвимость, существующую во всех версиях JunOS начиная с 7.6R1. Cпециально сформированный TCP-пакет направленный на RE (Routing Engine) маршрутизатора может привести к краху ядра. Деталей о том каким именно должен быть TCP-пакет — не предоставляется. На данный момент известных публичных эксплоитов нет.
Читать полностью »
AXFR — возвращение
2013-01-23 в 5:24, admin, рубрики: DNS, security, информационная безопасность, метки: dns, securityОригинал статьи на английском находится по этой ссылке
Эта статья о давно известном баге в конфигурации dns-серверов — разрешение на трансфер зоны любому юзеру. И о том, как я написал небольшой сканер для проверки конфигурации dns-серверов самых популярных сайтов. И где уязвимыми оказались банки, гос. сайты, провайдеры и многие другие важные ресурсы.
AXFR-запросы
Передача зоны DNS, AXFR — вид транзакции DNS. Является одним из механизмов репликации баз DNS между серверами © wikipedia
Стихийно построенные беспроводные сети
2013-01-21 в 8:50, admin, рубрики: security, wifi, Беспроводные технологии, информационная безопасность, метки: security, wifi 
Wi-Fi сопровождает нас повсюду. Концепция BYOD (принеси своё устройство на работу) активно захватывает рынок. Многие крупные компании и госструктуры начали внедрять беспроводные сети, полностью реализуя данную архитектуру, обспечивая должный уровень безопасности радиопространства и контроля доступа.
Тем не менее я до сих пор наблюдаю огромное количество случаев, где 5-50 домашних д-линков при построении беспроводной сети являются нормой. Причём причиной этому является не экономия. На рынке достаточно адекватных по цене решений, главное не заниматься фетишом на известный нам бренд.
Причиной этому является нежелание технического персонала комплексно подходить к решению поставленной задачи.
Читать полностью »
Защита беспроводной сети на Avaya WLAN 8100
2013-01-17 в 7:49, admin, рубрики: 802.11n, Avaya, security, wifi, wireless, wlan, Беспроводные технологии, информационная безопасность, Сетевые технологии, метки: 802.11n, Avaya, security, wifi, wireless, wlan 
В нашем арсенале имеются точки доступа Avaya WLAN Access Point 8120 и контроллер Avaya WLAN Controller 8180.
Оборудование может обеспечивать безопасность в нескольких режимах.
• Access mode: клиенту предоставляется доступ, одновременно сканируются частоты только используемых в данный момент каналов. В данном режиме точки работают по умолчанию.
Читать полностью »
Rails params & GC
2013-01-04 в 6:36, admin, рубрики: ruby, ruby on rails, security, XML, Егор Хомяков, информационная безопасность, метки: ruby, security, XML, Егор Хомяков У нас тут в rails комьюнити опять драма.
Есть методы типа find_by_* которые проецируются на модели в find_by_title например и find_by_id.
Их можно использовать так
find_by_id(params[:id], select: «CUSTOM SQL»)
Но обычно их используют вот так
find_by_id(params[:id])
И происходит SQL Injection если в params[:id] лежит {:select => «CUSTOM SQL»}. Обратите внимание — :select это символ а не «select»(строка). Это значит что трюк ?id[select]=SQL не пройдет т.к. ключ окажется строкой.
И вообще params это хеш типа HashWithIndifferentAccess. Те у него ВПРИНЦИПЕ не может быть символов в ключах т.к. они все уничтожаются при создании.
Есть такой gem authlogic, в общем виде он использует find_by_token(token) где token это объект из сессии(которая хранится в куках и подписана session_secret). Чтобы в него записать :select => «SQL» вам нужно знать session_secret, поэтому уязвимость крайне редкая.
Весь этот SQL Injection CVE не стоит выеденного яйца! И ради чего пост? DDoS!
Читать полностью »
Простая проверка безопасности на ваших серверах
2012-12-28 в 10:52, admin, рубрики: linux, nix, security, servers, безопасность, сервера, системное администрирование, метки: linux, nix, security, servers, безопасность, сервераВсем привет!
Предлагаю сделать простую проверку безопасности на ваших серверах.
Суть проверки очень проста. Мы переключаемся под пользователя, из-под которого запущены сервисы, такие как вебсервер или база данных, и смотрим в какие файлы в системе он может читать и писать. Запускать надо из-под всех пользователей, из-под которых работают смотрящие в мир сервисы. Если раньше никогда не делали, могут окрыться бездны, но не паникуйте и быстренько все поправьте.
Замечу, что например апачевский юзер не должен иметь прав на изменение и удаление апачевских логов.
С Новым Годом!
Читать полностью »