Protecția datelor cu caracter personal în sistemul de online banking de la VictoriaBank
Posted by Mihai in Curiozităţi on April 3, 2012
Sunt un utilizator al sistemului de online banking dotBank de la VictoriaBank.
Astăzi, încercînd să achit o factură pentru serviciile Unite, am observat că, pentru a achita factura, trebuie să introduc numărul de telefon în formatul 67xxxxxx, iar ca răspuns, sistemul de online banking îmi întoarce Nume Prenume Patronimic, starea contului și numărul contractului Unite.
Adică, prin intermediul sistemului dotBank, poți afla al cui este numărul de telefon mobil de la operatorul de telefonie mobilă Unite, cunoscînd doar numărul de telefon; și pur teoretic dacă s-ar efectua în mod automatizat solicitări similare prin intermediul dotBank a tuturor numerelor de telefon mobil de la Unite, se poate crea o bază de date cu numerele de telefon mobil și deținătorul acestora.
Eu personal, sunt indignat!
Unde se uită Centrului Naţional pentru Protecţia Datelor cu Caracter Personal?
În opinia mea, Moldtelecom și VictoriaBank se fac vinovați de neglijență în gestionarea datelor cu caracter personal.
Extras din Legea Nr. 17 din 15.02.2007 cu privire la protecţia datelor cu caracter personal:
date cu caracter personal – date despre o persoană fizică, ce permit identificarea ei directă sau indirectă;
Testele de penetrare sunt considerate ineficiente și inutile
Posted by Mihai in Curiozităţi on March 26, 2012
Sursa: 44con.com
Am dat de o prezentare de Haroon Meer foarte interesantă despre Penetration Testing, care în opinia mea trebuie să o vadă fiecare persoană din domeniu. Prezentarea a avut loc la 44con în 2011.
Prezentarea se axează pe faptul că penetration testing s-a situat implicit în lista de activități necesare pentru a asigura securitatea rețelelor și e promovată de către o industrie foarte profitabilă cu venituri de milioane de dolari, în pofida faptului că aceste teste de penetrare sunt inutile și nu au sens.
PHP 5.4.0 Built-in Web Server DoS PoC
Posted by Mihai in Vulnerabilităţi on March 26, 2012
Începînd cu versiunea PHP 5.4.0, PHP se distribuie cu un web-server încorporat în CLI SAPI, care se recomandă de a fi utilizat doar în scopuri de dezvoltare și nu se recomandă a fi utilizat în producție. Din testele efectuate, acest web-server poate deservi doar cîte un request în același timp (nu e multi-threading), restul sunt puse în coadă și sunt deservite la finisarea procesării request-ului precedent. Riscul de exploatare a acestei vulnerabilități poate persista și atunci cînd utilizați o versiune 5.4.0 < PHP < 5.4.1 RC1-DEV și este posibil de executat funcții ca system sau passthru. În acest caz, prin exemplul de mai jos, la nivel local poate fi compromisă disponibilitatea aplicației PHP, însă în cazul existenței posibilității de executare la distanță a funcției passthru acest aspect este nesemnificativ.
Referință: http://php.net/manual/en/features.commandline.webserver.php
Read the rest of this entry »
Drupal 6.x, 7.x Search Module – Full Path Disclosure
Posted by Mihai in Vulnerabilităţi on March 14, 2012
Summary
Full path disclosure due to insufficient input validation in the search module.
Description
Performing a search with the “keys” parameter set as an array, an error message shows the full path of the Drupal installation, leading to possible further attacks.
For the error messages to be displayed, php.ini’s display_errors must be On.
Authentication: Not Needed
Read the rest of this entry »
Tehnici de exploatare a vulnerabilităților XSS
Posted by Mihai in Securitate Web, Vulnerabilităţi, Vulnerabilităţi on March 2, 2012
Exploatarea vulnerabilităților XSS (Cross-Site Scripting), mizează pe interacțiunea factorului uman cu o anumită adresă URL.
Pentru a exploata o asemenea vulnerabilitate utilizatorul trebuie să acceseze un link malițios care modifică pagina de destinație (de obicei neobservat din punct de vedere grafic) astfel atacatorul va obține accesarea unei pagini cu conținutul dorit care va obține anumite beneficii ulterioare.
Read the rest of this entry »
Scurgerea de informaţii de la RSA a avut impact asupra companiilor din Moldova
Posted by Grigori in Criptografie, Noutăţi on October 27, 2011
În martie 2011, au fost sparte serverele RSA, în urma cărora au fost compromise unele dispozitive de autentificare bifactorială SecurID.
Astăzi a fost publicată lista celor 760 de companii asupra cărora a avut impact această scurgere de informaţie şi printre ele am observat companii locale:
MOLDCELL_AS Moldcell SA Autonomous System
MOLDDATA-AS Administrator of the top level domain .MD,
MOLDTELECOM-AS Moldtelecom Autonomous System
OMD-FNO Orange Moldova Fix Network Autonomous System
STARNET-AS StarNet Moldova
Poti să afli mai multe despre cum a fost efectuat atacul aici.
Be safe.
phpMyAdmin 3.4.5 – Full path disclosure in phpmyadmin.css.php
Posted by Mihai in Vulnerabilităţi on October 17, 2011
phpMyAdmin 3.4.5 suffers of insufficient input validation of the parameter js_frame in phpmyadmin.css.php, exposing information that could be used in further attacks.
CVE Entry: CVE-2011-3646
CWE: CWE-20, CWE-200
PMASA ENTRY: PMASA-2011-15
Description
The script returns an error message, containing the full path if the js_frame parameter is defined as an array.
Exploit
No authentication needed to exploit this vulnerability.
http://example.com/path_to_phpmyadmin/phpmyadmin.css.php?js_frame[]=right
Official fix
Credits
Discovered by Mihail Ursu (securitate.md) on 12 Sep 2011.
Disclosure Timeline
Reported to vendor on 12 Sep 2011.
Confirmation from vendor 21 Sep 2011.
Patch confirmation 4 Oct 2011.
Official fix and public disclosure 17 Oct 2011.
PHP и Java зависают при вводе цифрового значения 2.2250738585072011e-308
Posted by Grigori in Securitate Web on March 3, 2011
Было замечено, что php уходит в бесконечный цикл
$d = 2.2250738585072011e-308;
(То же самое происходит и при вводе значения целиком, 324 знака)
При этом, если использовать значение, как строковое, то проблем не происходит:
$d = '2.2250738585072011e-308'; echo $d;
Но стоит попытаться преобразовать его в цифру, сразу же возникают проблемы:
$d = '2.2250738585072011e-308'; echo $d + 0;
В чём же проблема? Число 2.2250738585072011e-308 представляет собой наибольшее число двойной точности с плавающей запятой. В шестнадцатеричной нотации оно выглядит так: 0×0.fffffffffffffp-1022. При этом, 2.2250738585072011e-308 одно из пяти чисел, которые корректно конвертируются в 0×0.fffffffffffffp-1022:
- 2.2250738585072007e-308
- 2.2250738585072008e-308
- 2.2250738585072009e-308
- 2.2250738585072010e-308
- 2.2250738585072011e-308
Но только 2.2250738585072011e-308 вызывает вышеописанные проблемы.
На данный момент, баг уже исправлен.
Подобный баг наблюдается и в Java. Данный код “повесит” компилятор:
class compilehang { public static void main(String[] args) { double d = 2.2250738585072012e-308; System.out.println("Value: " + d); } }
А вот этот фрагмент “повесит” программу во время исполнения:
class runhang { public static void main(String[] args) { System.out.println("Test:"); double d = Double.parseDouble("2.2250738585072012e-308"); System.out.println("Value: " + d); } }
Источник:
Exploringbinary
Be safe.
Servicii de hacking şi anti-hacking contra plată
Posted by Mihai in Curiozităţi on January 13, 2011
Astăzi am primit un e-mail interesant:
that people can use to hack & secure computer systems by
knowing exactly how a hacker would break into it.
Collection of Advanced Hacking Guides & Tools.
PDF Guide:
| 1. Advanced Hacking Guide with MEtasploit 2. Malware Development (RATS, botnets, Rootkits) 3. Convert exe into PDF, XLS, DOC, JPG 4. Exploit development guide 5. Tech Tricks (Spoofing-Sms,email,call) 6. Download any Apple Apps Free of cost |
| 7. Credit Card HAcking 8. Netbanking Hacking-bypass Virtual KEyboard 9. Spreading guide to Infect 100K/Victims per day 10. Advanced Email Hacking Tricks 11. SET(Social Engineering Toolkit) module 12. Links for other russian hacking sites |
Hacking Marketplace
Tools/Services:
{Value more than 1500 USD}
| 1. Polomorphic Crypter’s (to make Files undetectable- bypass all AV Scantime,runtime) 2. Java Driveby FUD (deploy your exe by URL on target) 3. Immunity Canvas (Hack remote pc with IP address) 4. Paid Botnets (Spyeye,etc) 5. IRC Bots(Ganga, niger,etc) 6. Yahoo messenger zeroday exploit (run exe on target) 7. Ice pack Enterprise (execute exe using php script) 8. Bleeding_Life_V2_pack /Other Packs |
| Service’s: 1. One Linux Based VPS with Root access for Lab Setup (Safe & Secure) 2. VPN Double + Triple Encrypted (Hide your real Ip Address) 3. Fake Emailer with attachment 4. Email Bomber (Send 1 million emails into Inbox) 5. DDOS Attacks Shells |
Hire a Hacker
for Offensive and Defensive services, Internal on-site penetration testing gives
the business the assurance it needs to conduct safely in the Internet and with business partners.
La sfîrşitul e-mail-ului erau prezente adresele de e-mail de legătură şi link la site.
E interesant cum se propun servicii ilegale ascunse în termenul de “penetration testing”.
ANON OPS
Posted by Grigori in Atacuri, Securitate Web on December 10, 2010
Думаю, все слышали о недавних атаках на WikiLeaks, обрушившихся совсем недавно после того, как на сайте были опубликованы конфиденциальные и засекреченные документы. О том, как на сайт обрушились более 10 гигабит в секунду трафика, свалив его, о том, как Amazon забрал у сайта домен, о том, что Wikileaks попросил помощи у пользователей, предоставив счета для перевода денег. О том, как эти счета были благополучно закрыты компаниями Visa, Mastercard, PayPal, а швейцарский банк PostFinance заморозил личный счёт Assange (владелец сайта WikiLeaks), а его самого арестовали (за что бы вы думали? да, за преступления на сексуальной почве).
Не слышали? Правда? Ну что ж, значит, только что вы об этом услышали. Естественно, подобные действия не могли остаться незамеченными со стороны общественности. А возмущенная общественность не молчит. Аноним не дремлет, не забывает и не прощает. Read the rest of this entry »
Noi atacuri de skimming la bancomate
Infractorii utilizează tot mai des piese componente ale dispozitivelor audio portabile şi camere de luat vederi ieftine pentru a asambla ATM skimmere compacte, ascunse şi foarte eficiente, concepute pentru a fi ataşate la bancomate cu scopul de a clona cardurile bancare şi datele PIN asociate.
Conform unui raport EAST (European ATM Security Team) 11 din cele 16 naţiuni europene au avut o creştere în atacurile de tip skimming. Deasemenea au fost sesizate cazuri în care dispozitivele anti-skimming au fost sustrase din bancomate şi convertite în dispozitive skimmer cu utilizarea tehnologiei audio, cu micro camere de luat vederi pentru datele PIN, după care au fost montate în locul de unde au fost sustrase. Sporirea numărului acestor dispozitive se datorează faptului că sunt relativ ieftine şi procesul de montare este simplu şi rapid.
EAST a descoperit un nou tip de dispozitive skimmer – care utilizează tehnologii audio. Aceste noi tipuri de dispozitive au fost întîlnite în 5 state europene.
În pozele de mai jos furnizate de EAST, dispozitivul audio skimmer este montat pe o bucată de plastic, care se montează peste dispozitivul de citire a cardurilor al bancomatelor, se poate vedea şi micro camera de luat vederi care fura datele PIN.
Read the rest of this entry »
Asigurarea securităţii spaţiului cibernetic al Republicii Moldova
Tehnologiile informaţionale şi de comunicaţii sunt utile, dar şi oferă posibilităţi celor ce vor să ne ameninţe. Toţi dintre noi au devenit peste noapte utilizatori de Internet, şi, prin urmare, trebuie să posede cel puţin elementele de bază ale securităţii informaţionale.
“În prezent Î.S. “Centrul de telecomunicaţii speciale” acordă o atenţie deosebită asigurării securităţii spaţiului cibernetic al autorităţilor administraţiei publice şi creării Centrului CERT (Computer Emergency Response Team). Crearea unui asemenea Centru este o dovadă de maturitate definită a statului în domeniul tehnologiilor şi securităţii informaţionale.
Este necesar de a informa oportun structurile competente privind atac asupra componentelor de bază a reţelelor şi a resurselor, care pot perturba performanţele lor precum şi compromiterea informaţiei de sistem. De asemenea vorbim de atacuri DoS (Denial of Service) şi DDoS asupra resurselor informaţionale naţionale la nivel de reţea şi aplicaţii, precum şi utilizarea neautorizată a resurselor informaţionale” – a precizat dl. Serghei Popovici, director general al Î.S. “Centrul de telecomunicaţii speciale”.
În acest context crearea sistemului centralizat privind securitatea resurselor informaţionale de stat în reţeaua Internet va păstra eficienţa paginilor oficiale ale autorităţilor publice şi va oferi cetăţenilor informaţii exacte despre activitatea autorităţilor publice, chiar şi în caz de atac cibernetic masiv.
Sursă: cts.md
Situl stireazilei.md nu e disponibil
Posted by Mihai in Atacuri, Securitate Web on November 22, 2010
Unul din cele mai obiective şi operative situri de ştiri din MoldNet astăzi a devenit nedisponibil.
Sunt abonat la RSS Feed de la stireazilei.md şi la accesarea unei ştiri am observat ca situl are dificultăţi tehnice, şi anume: din directoriul unde se află situl a fost şters fişierul principal care interpreta toate adresările de către vizitatorii sitului index.php .
În lipsa unei protecţii adecvate, toţi vizitatorii au putut vizualiza structura catalogului de fişiere din directoriul HOME al sitului. Printre fişierele disponibile au putut fi văzute fişierele de backup al bazei de date, parolele la conturile FTP la situl info-prim.md, precum şi coduri sursă ale sitului.
Se recomandă:
- modificarea tuturor parolelor de access la baza de date şi conturi FTP
- informarea info-prim.md de posibila scurgere de informaţie care a avut loc
- interzicerea accesului de către utilizatorii sitului la pachetele de terţă parte utilizate pentru redactarea conţinutului sitului şi la interfaţa de administrare a sitului.
- interzicerea din fişierul .htaccess sau httpd.conf a: accesului la fişierele care conţin parole şi backup-uri ale bazelor de date sau ale codurilor sursă; interzicerea vizualizării catalogului de fişiere prin parametrul Options -Indexes
- în cazul în care aceste defecţiuni tehnice au avut loc în urma unui atac informatic informarea organelor competente Secţia tehnologii informaţionale şi investigaţii ale infracţiunilor în domeniul informaticii din cadrul Procuraturii Generale
P.S. Ieri situl stireazilei.md a publicat material care într-un mod direct defaimează imaginea unor lideri politici din RM cu cîteva zile înainte de alegeri. Să fi fost această defecţiune tehnică o coincidenţă banală?
UPDATE:
Stirea zilei a confirmat un atac de tip Ddos asupra sitului.
Facebook implementează noi măsuri de securitate
Posted by Mihai in Curiozităţi on May 18, 2010
Facebook a implementat o măsură unică de securitate (pentru reţelele sociale), care va permite autorizarea utilizării dispozitivelor care au drepturi de autentificare, şi de fiecare dată cînd contul Dvstră e utilizat de pe un dispozitiv neautorizat, veţi fi înştiinţaţi. Această funcţionalitate este acum disponibilă pentru toţi utilizatorii.
Pentru a activa această opţiune, accesaţi pagina Account Settings şi faceti clic pe link-ul de lângă Account Security, în partea de jos a paginii. Dacă selectaţi opţiunea de a primi notificari la accesarea contului facebook de pe dispozitive noi, atunci cand va autentificaţi, veţi fi rugat să denumiţi şi să salvaţi dispozitivele care le utilizaţi pentru a accesa Facebook.
Read the rest of this entry »
Vulnerabilitate PHP în funcţia hash_update_file()
Posted by Mihai in Vulnerabilităţi on May 11, 2010
Versiuni afectate: PHP 5.2 <=5.2.13
Consecinţe: Acces nesancţionat la resurse, executarea codului maliţios.
Instrucţiuni oficiale de utilizare a funcţiei: http://php.net/manual/en/function.hash-update-file.php
Descriere:
La chemarea funcţiei hash_update_file (), în primul rând se încearcă accesarea resurselor de date pentru o prelucrare ulterioară. Apoi se citesc datele din fluxul de date(stream) în scopul de hashing. O modificare maliţioasă a handler-ului către stream, poate distruge resursa hash din handler-ul citit la moment şi poate condiţiona înlocuirea handler-ului cu un altul, care conţine o modificare a tabelului de pointeri cu hash-uri. La continuarea procesului de hashing de către funcţia internă se va apela pointer-ul rescris şi se va încerca executarea unui cod maliţios.
Exploatarea vulnerabilităţii
Următorul script va încerca să exploateze această vulnerabilitate şi să cauzeze o execuţie în adresa 0×55555555, care în mod normal ar trebui să eşueze. Read the rest of this entry »