NFsec Logo

National Checklist Program Repository

07/10/2016 w Bezpieczeństwo Brak komentarzy.

N

ational Checklist Program Repository (NCP) jest rządowym repozytorium, publicznie dostępnych list kontrolnych oraz benchmarków, które dostarczają nisko poziomowe wskazówki na temat ustawień gwarantujących bezpieczeństwo systemów operacyjnych oraz aplikacji. NCP działa w ramach NIST i został powołany na mocy Cyber Security Research and Development Act z 2002 roku, aby rozwijać tego typu publikacje, które minimalizują ryzyko dla bezpieczeństwa sprzętu oraz oprogramowania, który jest lub może stać się powszechnie stosowany w obrębie rządu federalnego. Twórcy NCP wierzą, że takie wskazówki mogą znacząco przyczynić się do zmniejszenia narażenia na podatności różnego rodzaju organizację. Jest to prawie identyczna inicjatywa, jak wcześniej opisany CIS. Oprócz wykorzystania NCP jako dobrych praktyk w konfiguracji różnych systemów i aplikacji warto systematycznie przeglądać publikacje udostępniane w ramach Cybersecurity NIST oraz Computer Security Resource Center np. Vulnerability Description Ontology lub Dramatically Reducing Software Vulnerabilities.

Więcej informacji: NCPR

Szybka analiza php.ini

05/10/2016 w Administracja, Bezpieczeństwo Brak komentarzy.

D

la każdego początkującego administratora / developera / devops’a przychodzi moment, gdy następuje faza skonfigurowania PHP po stronie serwera. W procesie tym zazwyczaj ustawiane są podstawowe opcje, które mają na celu jak najszybsze doprowadzenie do stanu: działa. Nie zawsze idzie to w parze: działa bezpiecznie. W tym celu powstało narzędzie iniscan mające na uwadze wprowadzenie najlepszych praktyk konfiguracji PHP, aby zminimalizować ryzyko przedostania się do serwera WWW szkodliwego kodu lub nawet uzyskania do niego pełnego dostępu.
[ czytaj całość… ]

Pakiety Tomcat podatne na lokalne podniesienie uprawień w Debianowych dystrybucjach

01/10/2016 w Bezpieczeństwo 1 komentarz.

P

akiety zawierające serwer Tomcat (w wersji 6, 7, 8) dostępne w oficjalnych repozytoriach systemów Linux opartych o dystrybucje Debian (wliczając w to Ubuntu) dostarczały podatny skrypt init pozwalający osobom atakującym, które przeniknęły do systemu na konto użytkownika tomcat (na przykład wcześniej eksplorując podatność zdalnego wykonania kodu w hostowanej aplikacji java) na podniesienie uprawnień do użytkownika root i w pełni skompromitować atakowany system. Autor luki powiadomił Debian Security Team i zostały wydane już odpowiednie aktualizacje bezpieczeństwa.

Jeśli pozostajemy w obszarze serwera tomcat warto również zapoznać się z możliwością odczytywania źródłowego kodu za pomocą tego serwera wykorzystując znaki kodowane procentowo.

Więcej informacji: Szczegóły ataku oraz exploit wykorzystujący podatność

Lista wrażliwych pakietów dla Arch Linux

29/09/2016 w Administracja, Bezpieczeństwo Brak komentarzy.

J

ak wiemy zdezaktualizowane i podatne pakiety zdarzają się dość często w życiu cyklu oprogramowania. W dystrybucji Arch aktualizacje pojawiają się na bieżąco, ponieważ wykorzystywane są najnowsze wersje pakietów oprogramowania z kanału upstream. Gdy pojawia się aktualizacja, to nie potrwa to długo, że staje się ona dostępna i może być zainstalowana za pomocą menedżera pakietów packman. Jednym z problemów było brak możliwości szybkiego sprawdzenia, czy w naszym systemie znajdują się jakieś wrażliwe pakiety. Dopóki nie pojawiło się narzędzie arch-audit, które korzysta z danych udostępnionych przez zespół Arch CVE Monitoring Team i w prosty sposób potrafi przedstawić listę niebezpiecznych paczek wraz z numerami CVE.

Więcej informacji: arch-audit

Ekstrakcja ze stosu TCP/IP

25/09/2016 w Administracja, Debug Brak komentarzy.

T

CPxtract jest narzędziem używanym do ekstrakcji konkretnego zestawu plików z zrzutów sieciowych w formie plików pcap poprzez zaglądanie w sesje TCP i odszukiwaniu skonfigurowanych sygnatur – technika ta nazywa się data carving. W przypadku ruchu sieciowego możemy go wykorzystać na przykład, jeśli chcemy dowiedzieć się, co dokładnie ściąga złośliwe oprogramowanie lub przeanalizować wybrany scenariusz ataku – ustawiając wcześniej sniffer na nasłuchiwanie i nagrywanie sesji połączeń. Przykład wydobycia plików .html oraz .jpg z nagranej sesji HTTP:

~:# tcpxtract -f ff.pcap -o dump/
Found file of type "html" in session [192.168.1.10:34262 -> 81.225.61.6:20480],
exporting to dump/00000000.html
Found file of type "html" in session [192.168.1.10:34262 -> 81.225.61.6:20480],
exporting to dump/00000001.html
Found file of type "jpg" in session [81.225.61.6:20480 -> 192.168.1.10:35030],
exporting to dump/00000008.jpg

Więcej informacji: tcpxtract, tcpxtract version 1.0

OpenSSL Denial of Service – CVE-2016-6304

23/09/2016 w Bezpieczeństwo Brak komentarzy.

F

undacja OpenSSL wydała tuzin poprawek na wykryte podatności w swojej kryptograficznej bibliotece wliczając w to drastyczne błędy, które mogą prowadzić do przeprowadzenia ataków Denial-of-Service (DoS). Podatności istnieją w wersjach: 1.0.1, 1.0.2, 1.1.0 i zostały odpowiednio poprawione w: 1.0.1u, 1.0.2i oraz 1.1.0a. Pierwszy błąd zgłosił Shi Lei z chińskiej firmy ds. bezpieczeństwa Qihoo 360 – polega on na możliwości wysłania obszernych żądań typu „status” do rozszerzenia OCSP podczas negocjacji połączenia, co może spowodować wyczerpanie się pamięci na atakowanym serwerze. Drugą luką, która również umożliwia atak DoS jest przesłanie pustego rekordu do funkcji SSL_peek(), co spowoduje jej zawieszenie. Poza tym naprawiono dwanaście innych problemów niskiego ryzyka. Warto odnotować sobie, że wsparcie dla OpenSSL 1.0.1 kończy się 31 grudnia 2016 roku dlatego użytkownicy powinni zaktualizować swoje systemy do wyższej wersji w celu uniknięcia jakichkolwiek problemów z bezpieczeństwem w przyszłości.

Więcej informacji: OpenSSL OCSP Status Request extension unbounded memory growth (CVE-2016-6304), OpenSSL Security Advisory [22 Sep 2016]

To nie są pliki i katalogi, których szukasz

22/09/2016 w Ataki Internetowe, Bezpieczeństwo, Pen Test Brak komentarzy.

W

iele serwerów WWW posiada katalogi, których zawartość jest ukierunkowana na konkretne pliki. Oznacza to, że dany /katalog/ nie posiada standardowych plików typu index serwujących treść (lub posiada je puste) oraz nie pozwala na wyświetlenie zawartości całego katalogu często zwracając komunikat o kodzie 403. Mimo to pozwala na dostęp do bezpośrednich zasobów np. /katalog/install.exe. Analogicznie odnieść możemy się do katalogów, w których wdrażane są aplikacje. Są one (powinny być) ograniczane dostępem do konkretnych zasobów. Niestety bardzo często razem z kodem różnych aplikacji lub błędnym działaniem ludzkim przedostają się różnego rodzaju meta informacje, odsłaniające słabe strony tych rozwiązań.
[ czytaj całość… ]

Tunele ICMP i powłoki zwrotne

18/09/2016 w Ataki Internetowe, Bezpieczeństwo Brak komentarzy.

P

rotokół UDP nie jest jedynym, który umożliwia „ukrytą” komunikację. Równie popularnym, jak i rzadko blokowanym jest ICMP. Niestety i on może zostać wykorzystany przez napastników do kontroli nad skompromitowanym systemem. Idea enkapsulacji danych oraz poleceń w ruchu sieciowym za pomocą ICMP w celu stworzenia niewidzialnych kanałów komunikacji została spopularyzowana przez narzędzie Loki opisane w 49 wydaniu Magazynu Phrack z 1996 roku. W 1999’tym botnet Tribe Flood Network (TFN) służący do ataków DDoS po analizie Davida Dittricha ujawnił badaczowi, że używał podobnego schematu komunikacji do zdalnego kontrolowania zainfekowanych systemów. Wśród nowszych narzędzi można wymienić backdoora icmpsh. Tunelowanie ICMP jest możliwe, ponieważ w RFC 792, czyli dokumencie regulującym pakiety ICMP przewiduje się możliwość zawarcia dodatkowych danych dla każdego komunikatu typu 0 (echo replay) oraz 8 (echo request). Zresztą inne komunikaty ICMP mogą również służyć do infiltracji sieci. Standardowym postępowaniem jest ograniczenie łączności tylko do zaufanych (monitorujących) serwerów.

Więcej informacji: Wyciek przez ping, ICMPsh, ICMP Tunnel, Bypassing Firewalls Using ICMP-Tunnel

Command and Control przy pomocy UDP, czyli DNS Tunneling

16/09/2016 w Ataki Internetowe, Bezpieczeństwo Brak komentarzy.

N

ie ważne, jak bardzo skręcimy dostęp sieciowy do i z naszych serwerów – to zawsze zezwolimy na ruch DNS, aby móc rozwiązywać nazwy domenowe na adresy IP i na odwrót. Osoba, która dokonała skutecznego ataku na nasze maszyny może wykorzystać tą „lukę” w zaporze ogniowej i potajemnie wyprowadzić dane za pomocą połączeń do C&C, które trudno zablokować. Aby bliżej zrozumieć tunelowanie poleceń i danych za pomocą DNS do serwerów Command and Control spójrzmy na narzędzie autorstwa Rona Bowsesa o nazwie dnscat2.
[ czytaj całość… ]

Kanarek rozdaje tokeny, czyli jak używać Canarytokens

13/09/2016 w Bezpieczeństwo Brak komentarzy.

M

iodowy token? (ang. honeytoken) jest podobną techniką do garnków miodu (ang. honeypot), a dokładniej mówiąc to zasób komputerowy, który istnieje wyłącznie w celu powiadamiania nas, gdy tylko ktoś uzyska do niego dostęp. Może to być konto użytkownika, do którego generalnie nikt nie powinien mieć dostępu; plik, którego nikt nie powinien przeczytać; link, w który nikt nie powinien kliknąć. Funkcjonalność taką za darmo oddała nam firma Thinkst Applied Research pod postacią serwisu Canarytokens.
[ czytaj całość… ]

Strona 4 z 59« Pierwsza...23456...1015...Ostatnia »