Paweł Goleń, blog

Ostatnio zdarzyło się coś. Tym czymś był komunikat antywirusa o wykryciu malware na jednym z zaprzyjaźnionych komputerów. Teoretycznie wszystko jest w porządku, malware jakoś wlazł, antywirus go znalazł i usunął. Po sprawie. No dobrze, tylko jak wlazł i czy aby na pewno nic po sobie nie zostawił?

Widzę, że po wczorajszej aktualizacji zadania kolega, który poradził sobie z pierwszą częścią zadania, usilnie próbuje poradzić sobie i z drugą, przy pomocy bruteforce. Z tego co widzę "już" jest/był na etapie 9182, czyli gdzieś tak w połowie drogi. Tylko w kolejnej części zadania mogę dać identyfikator o długości 16, 32, (...), 256, 512, 1024, (...), 4096 znaków. Nie tędy droga. A jeśli już bruteforce, to jednak trochę z głową :)

W ramach podpowiedzi/przypomnienia:

• bruteforce można zamknąć w 256 żądaniach, niezależnie od długości identyfikatora,
• wystarczą dwa żądania, do odczytania wiadomości,
• wystarczy jedno żądanie, by w drugim wysłać dowolnie wybraną wartość,

Jeszcze raz, powodzenia!

Co najmniej dwie osoby poradziły sobie z zadaniem (patrz: Vansel, z drugą rozmawiałem). Gratulacje! Ale teraz pora nieco skomplikować warunki zadania. Należy:

• odczytać wiadomość o identyfikatorze 91827364,
• zrobić to maksymalnie dwoma odwołaniami do serwera,
• XSS będzie wisienką na torcie,

Powodzenia!

Nie jestem takim stachanowcem jak Gynvael, ale też i u mnie (bardzo) drobne nowości w dziedzinie videocastów się pojawiły. Aktualnie są dwie playlisty:

• Bootcamp: Bezpieczeństwo Aplikacji Internetowych,
• Różne,

Będę się starał, by każdy z moich videocastów mieścił się w 15 minutach (10-15 minut). Z jednej strony te 15 minut jest ograniczeniem poniekąd wymuszonym, ale doszedłem do wniosku, że trzymanie się w tym czasie jest niezłym ćwiczeniem dla mnie, więc spróbuję się go trzymać. Zobaczymy jak to będzie sprawdzać się w praktyce :)

Obiecany hint do Bootcamp IIa w odcinku na temat kontroli dostępu do danych.

Dziś nowy/stary bootcamp. Jest to zmodyfikowana wersja przykładu opisanego tutaj: Lekcja 2: Nieprawidłowa kontrola dostępu do danych. Celem ćwiczenia jest uzyskanie dostępu do danych, które w założeniu autora aplikacji mają pozostać niedostępne. W szczególności chodzi o znalezienie jednej konkretnej wiadomości, która zawiera pewien tajny kod. To tyle, jeśli chodzi o szczegóły zadania, przynajmniej na razie. Powodzenia!

Przykład dostępny jest pod adresem: http://bootcamp.threats.pl/lesson02a/.