NFsec Logo

CMSploit – wyjawianie danych do baz danych za pomocą edytorów tekstu

09/10/2012 w Ataki Internetowe, Bezpieczeństwo Możliwość komentowania CMSploit – wyjawianie danych do baz danych za pomocą edytorów tekstu została wyłączona

„B

lisko 1% stron internetowych opartych na systemach CMS (takich jak WordPress lub Joomla) nieświadomie udostępnia dane do baz danych, dla tych którzy wiedzą gdzie ich szukać.” – do takiego wniosku doszedł Feross Aboukhadijeh pisząc mały programik o nazwie CMSploit. Ideą, na której polega jego działanie jest następująca:
[ czytaj całość… ]

HULK pokonany przez Thor’a?

09/06/2012 w Bezpieczeństwo Możliwość komentowania HULK pokonany przez Thor’a? została wyłączona

H

ULK (HTTP Unbearable Load King) skrypt do przeprowadzania ataków DoS został napisany jako proof-of-concept przez Barry’ego Shteiman’a – głównego inżyniera bezpieczeństwa w firmie Imperva. Narzędzie to zostało opublikowane na jego prywatnym blogu sectronix.com 17 maja 2012 roku. Pierwotnym zamysłem autora było opracowanie tego narzędzia jako ćwiczenia w celu analizy i badania ataku Denial of Service. Pierwotna wersja skryptu używała statycznych wartości dla wielu nagłówków HTTP, co powodowało, że był on bardzo przewidywalny i łatwy do zablokowania.
[ czytaj całość… ]

Konfiguracja serwera Apache względem .htaccess, a jego wydajność

18/03/2012 w Administracja 1 komentarz.

W

iększość współdzielonych konfiguracji hostingowych zezwala na używanie plików .htaccess w określonych ścieżkach, gdzie przetrzymywane są strony klientów. Tyczy się to również konfiguracji przewidzianych dla dedykowanych projektów. Jak wynika z obserwacji Dawida Golunskiego przeniesienie konfiguracji z plików .htaccess (i tym samym ominięcia konieczności ich używania) do plików konfiguracyjnych hostów wirtualnych może przynieść zwiększenie wydajności serwera WWW do około 6.6% (w zależności od środowiska testowego i produkcyjnego wartość ta może być mniejsza lub większa).
[ czytaj całość… ]

Mergowanie logów z różnych serwerów Apache

07/09/2011 w Administracja Możliwość komentowania Mergowanie logów z różnych serwerów Apache została wyłączona

W

przypadku obsługi strony przez kilka serwerów WWW, występuje problem z zbieraniem dokładnych danych do statystyk ze względu na fakt, że każdy z serwerów zapełnia swój access_log. Oczywiście analiza logów każdego hosta z osobna nie ma sensu – dlatego najlepszym rozwiązaniem jest ściąganie logów na jeden wybrany serwer, ich scalenie i dopiero wykorzystanie narzędzi generujących statystyki np. Webalizer lub AWstats.
[ czytaj całość… ]

Statystyki obciążenia serwera Apache w czasie rzeczywistym

03/07/2011 w Administracja Możliwość komentowania Statystyki obciążenia serwera Apache w czasie rzeczywistym została wyłączona

Z

e względu na cenną wydajność bardzo rzadko w serwerze Apache włącza się takie moduły jak status w dodatku z włączoną opcją ExtendedStatus. W jaki, więc sposób sprawdzić w czasie rzeczywistym obciążenie naszego serwera dla wybranego wirtualnego hosta lub całej maszyny? Zakładając, że mamy jeszcze mały zapas związany z operacjami I/O na dysku możemy wykorzystać do tego takie narzędzia jak ApacheTop lub GoAccess.
[ czytaj całość… ]

Banner Grabbing, pliki README oraz ścieżki dostępu

21/03/2011 w Ataki Internetowe Możliwość komentowania Banner Grabbing, pliki README oraz ścieżki dostępu została wyłączona

B

anner Grabbing jest bardzo prostą techniką zbierania informacji na temat wersji używanego oprogramowania. W kontekście administracji sieci komputerowych służy do rozpoznawania i zarządzania różnego rodzaju oprogramowaniem. Administratorzy mogą używać jej do wykonywania spisu systemów i usług uruchomionych w swoich sieciach. Niestety intruzi przechwytywanie banerów wykorzystują w tym samym celu – pasywnego zebrania największej ilości danych o oprogramowaniu znajdującym się w atakowanej sieci i sprawdzeniu czy uruchomione wersje nie są podatne na różne ataki przy pomocy exploitów.
[ czytaj całość… ]

Zapobieganie potencjalnym lukom XSS w starszych wersjach Adobe Reader

15/03/2011 w Bezpieczeństwo 1 komentarz.

J

ednym ze sposobów uniknięcia przekazywania przez starsze oprogramowanie Adobe Reader oraz wtyczki Acrobat kodu JavaScript do sesji przeglądarek jest wymuszenie otwierania plików PDF bez udziału przeglądarki. W celu osiągnięcia tego – wystarczy zmienić MIME (ang. Multipurpose Internet Mail Extensions) formatu PDF z „application/pdf” na binarny „application/octet-stream”. Spowoduje to, że przy kliknięciu linku przeglądarka poprosi użytkownika o zewnętrzne otworzenie pliku PDF za pomocą powiązanej aplikacji lub zapisanie pliku na dysk.
[ czytaj całość… ]

Podstawy bezpieczeństwa PHP – open_basedir

28/02/2011 w Bezpieczeństwo Możliwość komentowania Podstawy bezpieczeństwa PHP – open_basedir została wyłączona

O

pcja open_basedir ogranicza listę plików, które mogą zostać odtworzone przez interpreter PHP do określonego drzewa katalogów. Kiedy skrypt próbuje otworzyć plik za pomocą np. funkcji fopen() lub gzopen() najpierw sprawdzana jest lokalizacja tego pliku. W przypadku, gdy plik jest poza zdefiniowanym drzewem katalogów, PHP odmówi jego odtworzenia (Warning: open_basedir restriction in effect).
[ czytaj całość… ]

Dlaczego należy unikać Multiviews i mod_negotiation w serwerze Apache?

30/01/2011 w Bezpieczeństwo Możliwość komentowania Dlaczego należy unikać Multiviews i mod_negotiation w serwerze Apache? została wyłączona

O

pcja Multiviews w serwerze Apache jest ustawiana dla każdego katalogu z osobna. Oznacza to, że może zostać ustawiona za pomocą dyrektywy Options wewnątrz takich sekcji jak <Directory>, <Location> oraz <Files> w plikach konfiguracyjnych serwera (i hostów wirtualnych) lub w plikach .htaccess (jeśli AllowOverride zostało poprawnie ustawione). Warto mieć na uwadze, że ustawienie Options All, nie aktywuje opcji Multiviews; należy wywołać ją z osobna.
[ czytaj całość… ]

Cross-Site Tracing, czyli dlaczego warto wyłączyć TRACE w HTTP

01/10/2010 w Ataki Internetowe, Bezpieczeństwo Możliwość komentowania Cross-Site Tracing, czyli dlaczego warto wyłączyć TRACE w HTTP została wyłączona

W

2003 roku firma WhiteHat Security odkryła nową formę ataku, którą nazwano – XST (ang. Cross-Site Tracing). Wykorzystuje ona wywołanie TRACE protokołu HTTP. Wywołanie metody TRACE odpowiada za diagnostykę oraz analizę kanału komunikacyjnego. Dlatego wysłanie zapytania przez klienta do serwera WWW za pomocą metody TRACE będzie zawierać w odpowiedzi serwera wszystkie dane wysłane przez użytkownika np. informacje o ciasteczkach, czy dane autoryzacyjne, które są cenne dla potencjalnego agresora.
[ czytaj całość… ]