Paweł Goleń, blog

To było już 18 lat temu... Dość dziwne uczucie patrzeć „na żywo” jak samolot wbija się w drugą wieżę. Pamiętam jak po pierwszym uderzeniu podawano komunikat „(...) nie wiadomo, czy to zamach (...)”, drugie uderzenie raczej rozwiało wątpliwości.

"Kiedyś to były czasy (...)". Bo były, ludzie myśleli i potrafili coś więcej niż (ledwo) obsłużyć Burp. I potrafili coś więcej niż tylko:

<script>alert(1)</script>

I jeśli payload byłby przekształcany do postaci uppercase, nie byliby załamani. Nie działa? To zadziała coś innego, na przykład TO - w wersji źródłowej:

<A HREF="" ONCLICK="&#X61;&#X6C;&#X65;&#X72;&#X74;&#X28;&#X31;&#X29;">TO</A>

Lepiej jest wiedzieć, że się czegoś nie wie, niż myśleć, że się wie, bo przecież "pentest nic nie znalazł". False sense of security jest gorszy niż (świadoma) niepewność.

Super podcast: 13 Minutes to the Moon.

Na wypadek gdyby ktoś sprawdzał - tak, prowadziłem jeden z wykładów/warsztatów na CONFidence Class.

P.S.: zdjęcia z CONFidence Class.

Do posłuchania: What is an SBOM and Why Should You Care? w/ Allan Friedman.

Jedną z rzeczy, które mnie irytują/martwią to założenie, że problem opisywany jako Using Components with Known Vulnerabilities można zaadresować przez testowania. Nie, nie można i to z wielu powodów. Choćby dlatego, że pentest dzieje się w określonym czasie, a nowe podatności są wykrywane 24/7/365. Inne formy testowania (vulnerability scanning, source code scanning) również odbywają się okresowo. Nawet jeśli produkt jest aktywnie rozwijany, a samo skanowanie jest zintegrowane z CI/CD pipeline, to i tak istnieje niezerowa szansa, że problem nie jest rozwiązany. Dlaczego? Proste pytanie - jak wiele poziomów w głąb używane narzędzia sięgają?

Tutaj (paradoksalnie) uważam, że vulnerability scanning (lub raczej DAST) ma pewną przewagę nad SAST (pentestu nie porównuje z uwagi na inną "cykliczność") - jeśli narzędzie używane do skanowania ma sygnaturę (OK, w tym kontekście nie do końca o sygnaturę chodzi) dla określonej podatności, to istnieje duża szansa, na jej znalezienie, nawet jeśli jest ona powodowana przez bibliotekę wiszącą gdzieś głęboko w drzewie zależności.

@Filip: dla Ciebie :)