Websecurity - Веб безпека

В презентації An Anatomy of a SQL Injection Attack, Imperva розповідає про анатомію SQL Injection атак: які бувають SQL ін’єкції, наскільки вони поширені, як проводяться атаки на SQLi уразливості та як їм протидіяти.

Продовжуючи розпочату традицію, після попереднього відео про виконання коду в Microsoft Internet Explorer, пропоную нове відео на веб секюріті тематику. Цього разу відео про 0day уразливість в Mozilla Firefox. Рекомендую подивитися всім хто цікавиться цією темою.

Mozilla Firefox 0day remote code execution

В даному відео ролику демонструється віддалене виконання коду в Mozilla Firefox. Використовується експлоіт для проведення атаки на 0day уразливість в Firefox при відкритті сторінки з кодом експлоіту. Що дозволяє нападнику отримати контроль над атакованим комп’ютером.

Атака відбувається при відвідуванні в Firefox спеціально створеного веб сайта, що містить код експлоіту. Рекомендую подивитися дане відео для розуміння векторів атак на браузери.

Продовжуючи розпочату традицію, після попереднього відео про виконання коду в Adobe Flash Player, пропоную нове відео на веб секюріті тематику. Цього разу відео про виконання коду в Internet Explorer. Рекомендую подивитися всім хто цікавиться цією темою.

CVE-2012-1889 - Microsoft XML Core Services Vulnerability Metasploit Demo

В даному відео ролику демонструється віддалене виконання коду в Internet Explorer версій 6 і 7. Використовується експлоіт для уразливості в Microsoft XML Core Services - компоненті ОС Windows, що використовується IE. Проведення атаки на дану уразливість через Internet Explorer дозволяє нападнику отримати контроль над атакованим комп’ютером.

Атака відбувається при відвідуванні в IE спеціально створеного веб сайта, що містить код експлоіту. Рекомендую подивитися дане відео для розуміння векторів атак на браузери.

Продовжуючи розпочату традицію, після попереднього відео про 0day уразливість в Internet Explorer, пропоную нове відео на веб секюріті тематику. Цього разу відео про виконання коду в Adobe Flash Player. Рекомендую подивитися всім хто цікавиться цією темою.

Flash Exploit CVE-2012-0754

В даному відео ролику демонструється використання експлоіта для проведення атаки на уразливість в Adobe Flash Player 11.1. Який призводить до віддаленого виконання коду в браузері з Flash плагіном (показано на прикладі браузера IE6) при відкритті сторінки з кодом експлоіту. Що дозволяє нападнику отримати контроль над атакованим комп’ютером.

Атака відбувається при відвідуванні в браузері з флеш плагіном спеціально створеного веб сайта, що містить код експлоіту. Рекомендую подивитися дане відео для розуміння векторів атак на веб браузери.

Продовжуючи традицію, пропоную вашій увазі цікаві секюріті статті. Щоб ви поповнювали свої знання з веб безпеки.

Добірка цікавого чтива на тему безпеки, в тому числі web security (статті з Вікіпедії):

• Data Protection Directive
• General Data Protection Regulation
• Advanced persistent threat
• Advanced volatile threat
• Content Security Policy

У січні я дав інтерв’ю журналу “Власть денег”. І в сьомому номері журналу, що вийшов 12.02.2014, вийшла стаття, в якій також розповідається і про мене.

Стаття називається “Спасение атакуемых”. В ній розповідається про ситуацію з безпекою державних сайтів в Україні. Про атаки на державні сайти України та про заходи безпеки, зокрема технічні ІБ пристрої, які кабмін і парламент закупили для протидії атакам на свої ресурси.

Так що кому буде цікаво прочитати інформацію про мене, як тим хто вже читав про мене в журналах Фокус, Власть денег на інших журналах , так і всім іншим, можете дістати собі цей номер “Власть денег”, або прочитати статтю в Інтернеті.

Стаття була розміщена 17 лютого на сайті ДеПо - Спасение атакуемых.

В зв’язку з тим, що в березні 2014 року з сайта www.depo.ua всі статті були прибрані, то ось вам дана стаття на іншому сайті - Спасение атакуемых.

Продовжуючи розпочату традицію, після попереднього відео про виконання коду в Adobe Flash Player, пропоную нове відео на веб секюріті тематику. Цього разу відео про 0day уразливість в Internet Explorer. Рекомендую подивитися всім хто цікавиться цією темою.

CVE-2014-0322 IE 9/10 CMarkup Use-After-Free 0day Exploitation & Mitigation Demo

В даному відео ролику демонструється віддалене виконання коду в Internet Explorer версій 9 і 10. Використовується експлоіт для проведення атаки на 0day уразливість в Internet Explorer при відкритті сторінки з кодом експлоіту. Що дозволяє нападнику отримати контроль над атакованим комп’ютером.

Атака відбувається при відвідуванні в IE спеціально створеного веб сайта, що містить код експлоіту. Рекомендую подивитися дане відео для розуміння векторів атак на браузери.

Продовжуючи розпочату традицію, після попереднього відео про DoS експлоіт для WordPress, пропоную нове відео на веб секюріті тематику. Цього разу відео про виконання коду в Adobe Flash Player. Рекомендую подивитися всім хто цікавиться цією темою.

CVE-2012-0779 APSB12-09 Adobe Flash Player Vulnerability Metasploit Demo

В даному відео ролику демонструється використання експлоіта для проведення атаки на уразливість в Adobe Flash Player 11.2. Який призводить до віддаленого виконання коду в браузері з Flash плагіном (показано на прикладі браузера IE6) при відкритті сторінки з кодом експлоіту. Що дозволяє нападнику отримати контроль над атакованим комп’ютером.

Атака відбувається при відвідуванні в браузері з флеш плагіном спеціально створеного веб сайта, що містить код експлоіту. Рекомендую подивитися дане відео для розуміння векторів атак на браузери.

Продовжуючи розпочату традицію, після попереднього відео про виконання коду в Internet Explorer, пропоную нове відео на веб секюріті тематику. Цього разу відео про DoS експлоіт для WordPress. Рекомендую подивитися всім хто цікавиться цією темою.

В травні 2009 в записі Атака на Abuse of Functionality в WordPress я розповів про уразливість в WordPress та представив атаку через пошкодження таблиць в базах даних в СУБД MySQL. А в 2012 році я опублікував статтю Атака через пошкодження таблиць в MySQL.

На минулому тижні я зробив експлоіт для цієї уразливості та відео з його використанням, що демонструє дану атаку в дії. Яке 08.02.2014 виклав на YouTube. Це відео є доказом даної уразливості в WP та атаки описаної в моїй статті.

В даному відео ролику демонструється використання Denial of Service уразливості в WordPress, яка дозволяє пошкодити таблицю в БД сайта, що призведе до DoS-атаки на сайт.

Продовжуючи розпочату традицію, після попереднього відео про Insufficient Process Validation уразливість в LiqPAY, пропоную нове відео на веб секюріті тематику. Цього разу відео про виконання коду в Internet Explorer. Рекомендую подивитися всім хто цікавиться цією темою.

MS12-063 Microsoft Internet Explorer execCommand Vulnerability Metasploit Demo

В даному відео ролику демонструється віддалене виконання коду в Internet Explorer версій 7, 8 і 9. Використовується експлоіт для проведення атаки на уразливість в Internet Explorer (показано на прикладі IE8) при відкритті сторінки з кодом експлоіту. Що дозволяє нападнику отримати контроль над атакованим комп’ютером.

Атака відбувається при відвідуванні в IE спеціально створеного веб сайта, що містить код експлоіту. Рекомендую подивитися дане відео для розуміння векторів атак на браузери.