Paweł Goleń, blog

Tomek podesłał mi linka do zapisu sesji Become a Web Debugging Virtuoso with Fiddler. Może być ciekawe dla wszystkich, którzy tworzą aplikacje internetowe i muszą szukać w nich błędów. Nie tylko tych związanych z bezpieczeństwem.

Z powodu braku czasu z lekkim opóźnieniem skomentuję odkrycie przez dziennikarzy (...) sieci Tor wypełnionej po brzegi pornografią (...). Fascynuje mnie nie tyle treść merytoryczna artykułu, co jego forma. Artykuł ten, według mnie, jest obliczony na wywarcie określonego efektu i przy okazji upowszechnia nieprawdziwy obraz sieci(?) Tor. Dziwi mnie koincydencja w czasie pomysłów "blokowania niebezpiecznych stron" i swoistego ataku na narzędzie, które może zostać wykorzystane do obejścia tych ograniczeń. Innymi słowy - knuję spiskową teorię dziejów...

Dwie osoby uporały się z wyzwaniem. Dla pozostałych, kolejny hint:

gzip.zlib.decompress(re.search('SessionState" value="(.*)"', \
urllib2.urlopen('http://bootcamp.threats.pl/lesson17/').read()).groups()[0].decode('base64')).encode('rot13')

Fuzzery są fajne. Są zdecydowanie szybsze niż ludzie, wykonają więc więcej testów. Tylko... jak sprawdzić jaki jest skutek tego fuzzowania?

W końcu trafiłem na "typowy" przykład SQLi, w którym mogłem wykorzystać sqlmap. Nie twierdzę, że w tych "mniej typowych" przypadkach tego narzędzia nie dało się użyć, łatwiej było mi jednak przerobić mój już istniejący skrypt. Tym razem się jednak zawziąłem i...