Andrei

Chiar si cercetatorul sustine ca nu a avut suficient timp sa testeze cu adevarat problema. E adevarat ca vulnerabilitatea afecta (aparent) fix main domeniul dar asta nu inseamna neaparat ca acolo putea face ceva cu adevarat. Daca mai inainta putin in testare sau scotea niste informatii mai relevante (nu /etc/passwd) am fi putut intelege si motivul acestei sume foarte mici. Mai trebuie tinut cont si de faptul ca exista si niste limite (superioare) ale Bug Bounty-urilor care la fel, nu pot fi depasite oricand.

Detalii mai jos: https://docs.google.com/document/d/1BtcGElsJblAHHlvPo4jqMogs04FyzRRJjzbXZ5aAHCQ/edit?usp=sharing https://www.facebook.com/groups/defcampro/permalink/761166510578093/?stream_ref=2 PM me pentru contact.

Asta a fost prezentarea mea de la Talks #32, prima editie din 2014. Am vorbit putin despre honeypots, despre cum pot fi clasificati, am dat ceva exemple si apoi ne-am distrat cu cateva demo-uri de la kippo. Honeypots - The Art of Building Secure Systems by Making them Vulne... Astept cu mare interes parerile voastre.

Companie din Bucuresti destul de serioasa, reactioneaza repede, oameni misto, atmosfera calumea. (astea le confirm din contactele directe cu ei). Nu stiu cat se castiga. Detalii despre post. https://drive.google.com/file/d/0B3fogRXqX7gJNWNGcDJVaVZGVURzTXIzM0RnR0lxcUcydk1N/edit?usp=sharing Daca esti interesat, PM.

În ultimele 24 de ore comunitatea de mineri Bitcoin s-a mobilizat într-un mod spectaculos creând în doar câteva ore un precedent spectaculos pentru a stopa avântul ce îl are Ghash.io, unul dintre cele mai semnificative pool-uri de minerit Bitcoin de pe planet?. Mesajul comunit??ii e simplu – dac? e?ti miner la Ghash.io mut?-te la orice alt pool cu influen?? mai mic?. Aceasta reac?ie a venit dup? ce în ultimele 24 de ore Ghash.io s-a apropiat de 45% din întreaga pia?? de mineri de pe planet?. Dac? ace?tia ar ajunge la 50% din puterea de minat, cei ce detin ar putea s?-?i vând? de cel pu?in dou? ori monedele virtuale sau ar putea devaloriza complet moneda (acest atac fiind cunoscut printre cei din domeniu ca atacul lui 51%). Acum câteva ore ace?tia aveau 42% (conform graficului de mai jos) dar în aceste momente se pare c? întreaga comunitate a reac?ionat ?i au coborât undeva la 38%. [....] Mai multe detalii despre acest subiect: Ghash.io este aproape de controlul a 51% din puterea de minare Bitcoin ce ar putea distruge moneda | WORLDIT

Ai extras mesajul din context. E o ironie adusa la declaratia purtatorului de cuvant. Sincer chiar ma indoiesc ca vor putea face ei ceva, in conditiile in care baietii grei nu au putut. LE: Totusi, daca NSA poate, SRI de ce nu ar putea? http://i.imgur.com/hhlWEKl.png

In acest moment, toti cei care mi-au trimis pm sau au lasat un comentariu aici ar fi trebuit sa primeasca un pm. In cazul in care am omis pe cineva tipati la mine.

Mersi guys pentru reactiile rapide. Voi raspunde la fiecare dintre voi in cursul zilei.

Am decis sa reincep sa scriu pe worldit.info dupa o absenta de aproape un an pentru ca nici pana astazi nu a aparut un blog nisat care sa vina cu informatii tehnice de calitate si lucruri mai diferite fata de main stream-urile plicticoase care vin cu traduceri si review-uri boring. Totusi, mi-as dori sa impart aceasta stare cu mai multe persoane pasionate de acest domeniu asa ca vin cu o simpla propunere: Propunerea: Iti plac tehnologia, securitatea, algoritmica sau conceptele de programare state of the art? Hai sa le impartim si cu ceilalti. Nu stii sa scrii foarte bine? Nici o problema, inveti, important e sa stii limba romana cat de cat. Nu ai timp foarte mult? Nici o problema, important e sa scrii din cand in cand ceva celor care te citesc. Ce nu ai de castigat? - nu devii bogat Ce ai de castigat? - interactiune cu un public tehnic, care de cele mai multe ori e necrutator cu greselile si foarte atent cu lucrurile de calitate - aproximativ 1300 de abonati - vreo 1800 de like-uri pe facebook - promovarea ta si a ideilor tale intr-o comunitate matura, iti poti exprima parerile si cineva chiar te citeste - un grup al colaboratorilor in care mai facem schimb de idei - daca se aduna sume "fabuloase" din comunitate esti rasplatit raportat la implicarea ta, fara ocolisuri si povesti - daca aduci clienti comunitatii esti rasplatit si mai bine - daca ai proiecte calumea ce se potrivesc stilului comunitatii si sunt serioase, le poti promova prin toate metodele noastre - inveti sa fii cursiv si sa intocmesti articole argumentative decente - iti imbunatatesti limba engleza precum si aprofundezi cunostintele din domeniu, generand materiale pentru altii. - prieteni/relatii/cunostinte Ce e worldit.info? Lansat în vara lui 2009, pe 29 iunie, worldit.info î?i propune s? ajung? un mediu virtual de comunicare eficient ?i sursa principal? de informare a programatorilor din România. Comunitatea prezint? subiecte tehnice legate de programare, algoritmic? ?i securitate, dar ?i lans?ri ale unor proiecte locale ?i interna?ionale din domeniul IT. Acestea sunt caracterizate prin exclusivitate, calitate, claritate ?i nu în ultimul rand utilitate. Cu ce ne ocup?m? • Ajut?m tinerii care doresc s? contribuie la dezvoltarea IT-ului în România • Public?m ?tiri ?i articole despre programare web, algoritmic? ?i securitate • Public?m (Re)lans?ri ale proiectelor locale ?i interna?ionale • Promov?m proiecte locale din domeniul IT • Dezvolt?m software open source • Dezvolt?m aplica?ii utile oamenilor pasiona?i de IT • Organiz?m evenimente offline ?i încerc?m s? transmitem pasiunile noastre PS: Acolo au luat nastere multe alte experimente iar unul de care poate ati auzit e chiar DefCamp-ul, dar asta e o alta poveste. PS2: Daca sunteti offtopic, va invit sa ma contactati pe privat. PS3: Pentru cei interesati, puteti lasa un comentariu sau contacta direct pe privat.

Din cate stiu, situatii similare au fost in cazul celor de la CFR. Au aparut multe site-uri care afisau informatii cu privire la mersul trenurilor preluate de pe site-urile originale, ei avand evident interese comerciale. Problema insa acolo a fost faptul ca nu erau actualizati mereu iar clientii CFR faceau plangeri ca nu stiu care e sursa oficiala. In principiu (nu stiu exact legea) dar totul se rezuma la drepturile ce ti le impune legea cu privire la accesul informatiilor de interes public/legea drepturilor de autor. Daca nu sunt limitari, poti sa faci ce vrei cu ele. Oricum, pot aparea zeci de situatii in care sa se lege de tine, ce ai sesizat tu e doar o problema, cazul cu CFR e un alt exemplu de preluare incorecta si SEO la greu pentru a lua fata site-ului oficial.

Ipotetic e vulnerabilitate, dar asa cum a spus si Nytro, nu e nimic realizabil din punct de vedere al timpului/rezultatelor. Asa poti da brute force si pe wordpress-uri pentru ca majoritatea nu au limita de a reincerca parola. So what?

Dupa ce aflam feedback-ul din partea participantilor da, in acest moment as fi subiectiv.

Articolele originale: Google Nexus phones are vulnerable to attack via Flash SMS messages - Computerworld Asta e un exemplu de asa da pentru orice roman care descopera vulnerabilitati importante pentru a putea fi preluat de all around the world. Altele: Google Nexus phone vulnerable to SMS-based DOS attack | The Hacker News - Security Blog Reactia Google: Google Removes SMS App After Researcher Presents Details of Flash SMS Vulnerability Sa mai continui?

Toate solutiile vor fi publicate.

@Acidripp Badge-uri.

Ti-am spus ca ai niste prezumtii gresite, asta se intampla cand nu cunosti subiectul sau persoana in cauza.

Asa este. Anul trecut presa ne-a bagat foarte putin in seama cu ea, dar tot raul spre bine.

contact@defcamp.ro

La ce emisiune imi recomanzi sa merg sa discut lucruri tehnice? Sunt cat se poate de serios cu intrebarea.

Te cred, de ce nu am intrat niciodata in discutia asta cu tine? Stii foarte bine ca vorbim despre doua lucruri destul de diferite. Aici e vorba de mediul general, acolo e de oameni care asculta de altii si de o legislatie proasta si de oameni incompetenti.

Sa iti reamintesc ca acum 3-4 ani toti eram etichetati ca cei din Hackerville? Nu e vorba de ce stie cel care prezinta cat de relevanta e audienta sa. Tie ti se pare normal sa vorbim chestii tehnice, dar daca cineva ar veni sa vorbeasca despre chimie si te-ar lua cu chestii complicate la un post generalist, ai inchide televizorul. Tu crezi ca o intereseaza pe bunica mea cum patchuiesti un CSRF?

Da, la pretul de 100 EUR.

@daatdraqq 1. Te astept la o emisiune. 2. Poate pentru ca eu prin parola am inteles ca el facea referire in limbajul lui "tehnic" ca s-ar putea introduce un token.

Nici cei care scriu exploit-uri nu se cheama hackeri negri pentru ca printre ei sunt extrem de multi security researchers. Aia ce sunt? Negri? Etichetele sunt doar de dragul de a eticheta si aceasta nisa. Cei mai buni oameni sunt cei atipici. Period. Si asta nu a inventat-o domeniul IT sau INFOSEC. Imi place ca generalizezi si apoi trantesti o particularitate. Las-o moarta.

Discutiile in necunostinta de cauza ne duc la ipoteze gresite, chiar premiza ca eu incurajez o anumita latura fiind gresita din start. Daca te vei uita in ce am mai scapat din activitatea mea, vei observa ca ce apare in presa e foarte greu de controlat (o data sunt hacker alb, o data hacker, o data "expert in ceva", o data organizator, o data programator, o data olimpic samd). 1. Fiecare percepe totul in moduri diferite, diferenta e cum este interpretat de fiecare dintre noi si e irelevant intr-un context public. Nu ne cunoastem si nu pot sa imi dau parerea daca ai sau nu cunostinte si experienta in domeniu. Oricine petrece ceva timp pe internet si urmareste fenomenul poate sa faca afirmatii similare, dar asta nu inseamna ca neg o posibila experienta in spate. Chiar si simplu fapt ca ai avut contact cu domeniul timp de 10-20 de ani (sa presupunem), nu te face automat si o persoana potrivita pentru a o sustine ca ai dreptate. E posibil ca expunerea ta sa fie limitata, desi ai lucrat in domeniu. Mai mult decat atat, eu discut acum cu un nickname, nu depun nici macar cel mai mic efort sa retin identitatea ta virtuala tocmai pentru ca daca cineva nu poate sa-si asume experienta, dpmdv informatia transmisa e nula. Vrei sa ma ajuti sa inteleg, cauta-ma (numarul meu e pe tot netul, mailurile la fel), spune-mi "bai idiotule, hai sa te invat niste chestii ca am vazut ca ai potential si te-ar ajuta sa te dezvolti pe tine si sa dezvolti la randul tau". Rar, foarte rar refuz o intalnire. Oricat de greu pare de crezut, zilnic studiez tot felul de abordari si gandiri, iau linie cu linie tot felul de exploit-uri si research-uri doar pentru a gasi acele "smenuri" ce le fac speciale. Nu ma vei auzi vorbind despre asta tocmai pentru ca majoritatea oamenilor ori nu apreciaza, ori sincer nu se merita efortul, ori nu esti inteles. 2. Zici? Unde a reiesit asta? 3. Te astepti sa iti spun care este abordarea mea aici? 4. Reactie in necunostinta de cauza. Sincer DA, cred ca acesti "pusti" vor fi mai mult timp in libertate daca vor gasi vulnerabilitati si le vor raporta intr-un mod responsabil. Pentru niste pusti e extrem de multa experienta. Tu ai o gandire super ok, pe alocuri incoerenta, dar ai ajuns la un punct unde nu vrei/poate nu poti sa te cobori la nivelul targetului (audientei) catre care m-am expus. Vrei sa discutam despre lucruri extrem de tehnice? O putem face, dar nu stiu daca se merita efortul sa ne aratam muschii, mai ales in scris. E pur si simplu pierdere de vreme. Cat tine de ce vor decide acei pusti care vor castiga bani, totul tine de selectie naturala. Unii se multumesc cu atat, unii vor mai mult, asa e in orice domeniu. Hai sa ne focusam pe ceva constructiv daca tot am ajuns in debate. Opinia mea, reala, este ca un om cu adevarat bun in securitate it si pentesting e acel personaj care, pe langa pentest, e un extrem de bun programator, se adapteaza la orice infrastructura intr-un timp scurt si poate sa combine cele mai dubioase feature-uri (atentie, nu am specificat ca feature-urile sunt strict tehnice sau au si o latura sociala)., transformandu-le in tehnici de exploatare a targetului, dar modul in care inveti ceva, e problema FIECARUIA. De ce? Pentru ca daca ceva iese prost, ghici cine va fi aratat cu degetul? Un nickname? Sau o persoana ce o gasesti in 2 click-uri? Voi ignora orice e related de mine pentru ca nu reusesc sa imi dau seama unde se doreste a fi indreptata discutia si mai mult decat atat, nu ma apar, nu ma simt ofensat de opinia nimanui si nu-mi place sa vorbesc despre mine. Dpmdv sunt chestii fair intr-un mediu ca cel in care discutam din orice privinta (fie ea paranoica sau nu). Revenind la partea de constructivitate, hai sa vedem cum poti "implementa" gandirea ta in dezvoltarea altora.