Websecurity - Веб безпека

Продовжується Місяць багів в Капчах і вчора я опублікував нову уразливість.

На шістнадцятий день Місяця багів в Капчах я опублікував інформацію про дірку в Капчі Cryptographp (це плагін для WordPress). Дана Капча вразлива до session reusing with constant captcha bypass method.

• MoBiC-16: Cryptographp CAPTCHA bypass (деталі)

Очікуємо на наступний день Month of Bugs in Captchas.

Продовжується Місяць багів в Капчах і вчора я опублікував нову уразливість.

На п’ятнадцятий день Місяця багів в Капчах я опублікував інформацію про дірку в Капчі Live Search компанії Microsoft. Дана Капча вразлива до MustLive CAPTCHA bypass method.

• MoBiC-15: search.live.com CAPTCHA bypass (деталі)

Очікуємо на наступний день Month of Bugs in Captchas.

Продовжується Місяць багів в Капчах і вчора я опублікував нову уразливість.

На чотирнадцятий день Місяця багів в Капчах я опублікував інформацію про дірку в Капчі cgisecurity.com. Дана текстова Капча вразлива до сonstant value bypass method.

• MoBiC-14: cgisecurity.com CAPTCHA bypass (деталі)

Також я опублікував статтю Полювання на Капчі (Hunting for CAPTCHAs).

Очікуємо на наступний день Month of Bugs in Captchas.

Продовжується Місяць багів в Капчах і сьогодні я опублікував нову уразливість.

На тринадцятий день Місяця багів в Капчах я опублікував інформацію про дірку в Капчі expert.com.ua. Дана текстова логічна Капча вразлива до MustLive CAPTCHA bypass method.

• MoBiC-13: expert.com.ua CAPTCHA bypass (деталі)

Очікуємо на наступний день Month of Bugs in Captchas.

Продовжується Місяць багів в Капчах і сьогодні я опублікував нові уразливості.

На дванадцятий день Місяця багів в Капчах я опублікував інформацію про дірки в Капчі Peter’s Random Anti-Spam Image (це плагін для WordPress). Дана Капча вразлива до half-automated method та має Cross-Site Scripting уразливість.

• MoBiC-12: Peter’s Random Anti-Spam Image CAPTCHA bypass (деталі)
• MoBiC-12 Bonus: Peter’s Random Anti-Spam Image XSS (деталі)

Очікуємо на наступний день Month of Bugs in Captchas.

Продовжується Місяць багів в Капчах і сьогодні я опублікував нову уразливість.

На одинадцятий день Місяця багів в Капчах я опублікував інформацію про дірку в Капчі Digg. Дана Капча вразлива до MustLive CAPTCHA bypass method.

• MoBiC-11: Digg CAPTCHA bypass (деталі)

Очікуємо на наступний день Month of Bugs in Captchas.

Продовжується Місяць багів в Капчах і сьогодні я опублікував нові уразливості.

На десятий день Місяця багів в Капчах я опублікував інформацію про дірки в Капчі PHP-Nuke. Дана Капча вразлива до MustLive CAPTCHA bypass method та Null string bypass method.

• MoBiC-10: PHP-Nuke CAPTCHA bypass (деталі)
• MoBiC-10 Bonus: another PHP-Nuke CAPTCHA bypass (деталі)

Очікуємо на наступний день Month of Bugs in Captchas.

Продовжується Місяць багів в Капчах і сьогодні я опублікував нову уразливість.

На дев’ятий день Місяця багів в Капчах я опублікував інформацію про дірку в Капчі opennet.ru (раніше я вже писав про уразливості на www.opennet.ru). Дана Капча вразлива до Advanced MustLive CAPTCHA bypass method.

• MoBiC-09: opennet.ru CAPTCHA bypass (деталі)

Очікуємо на наступний день Month of Bugs in Captchas.

Продовжується Місяць багів в Капчах і сьогодні я опублікував нові уразливості.

На восьмий день Місяця багів в Капчах я опублікував інформацію про дірки в логічних Капчах (на сайтах wait-till-i.com та shamanomaly.com). Дані Капчі вразливі до MustLive CAPTCHA bypass method.

• MoBiC-08: logical CAPTCHA bypass (деталі)

Очікуємо на наступний день Month of Bugs in Captchas.

Нещодавно на ha.ckers.org стався один цікавий і драматичний інцидент. Як повідомив RSnake в своєму записі Owning Ha.ckers.org - Or Not, його сайт спробували похати.

Ця спроба відбулася 03.11.2007 і атаку провели не деякі “невідомі особи”, а добрі знайомі RSnak’а. Це вони вирішили так пожартувати, як вияснилося потім (коли вони розкаялися і почали пояснювати свою поведінку). Але атака не вдалася, тому що сайт добре захищений і його адміни серйозно слідкують за безпекою ресурсу, і своєю власною також (RSnake в цьому плані дещо параноїк, як він це називає “здоровий реалізм”).

Ці хлопці, Sirdarckcat та Kuza55, вирішили дефейснути сайт використовуючі XSS+CSRF атаку. Для того щоб просто пожартувати (як вони думали). Але цей номер не пройшов, RSnake попалив цю атаку і знайшов винуватців. Й образився на них за їхню поведінку. Але потім, під час подальших бесід з цього приводу в коментарях та по емайлу, вони помирилися. І тепер, я дуже на це сподіваюся, всі вони будуть жити дружньо і щасливо . Бажано без подібних жартів в майбутньому.