8월 18일

MySQL은 잘라내기 등등 ...

Comments Off 보안 뉴스 댓글 끄기
슈테판 Esser 잘라야하는 방법은 MySQL과 SQL 열이있는 보안 구멍으로 이어질 수있는 것에 대해 정말 좋은 문서가있다. 그는 16 문자의 너비를 가지고 있지만 그는 17 문자와 함께 뭔가를 제출 칼럼의 좋은 예를 사용합니다. 시행 길이 분명히 그런 일이 거의 절대 안을 시행할 경우에도 하나의 방법입니다. 하지만 한 가지 마음에 왔어요. 포레스트 강아지의 신문을 읽고 내 일 다시 비 Harkening, 난 깨달 regex로 또는 문자열과 일치하는 않는 코드를 똑바른 종종있다. 이후에 그것을 정확하게 일치하지 않는다고 예 : 만약 ($ 사용자 EQ는 "관리자") (();)에 있지만, 실패할 경우 사용자 달러 "그것은 분명히 실패할 것이다 문자열과 일치 admin"이 있었지만, 그것은 같은 그물 효과를 발휘할 것입니다 수표 전달의 데이터베이스 및 데이터에 액세스할 수 있도록 관리. 마찬가지로 사용자 앞에 패딩을 일부 경우에 동일한 효과를 발휘할 것입니다 - 어떻게 SQL 쿼리 (있는 경우)에 따라 캡슐의 건설이다. 어쨌든, 좋은 기사를 읽으 셨 잖아요! 태그 : 보안, 보안 뉴스

관련 게시물

8월 16일

는 HTML 5.0

Comments Off 보안 뉴스 댓글 끄기
좋은 권위에서 내가 좋은 열심히 살펴봐야 들었다 새로는 HTML 5.0가되었던 WHATWG 주변 부동의 사양을 제안했다. 첫째는 내 눈을 새로운 비디오 및 이는 사실 우리가 지금까지를 포함하는 대신 태그를 아무리 사용의 혼란을 자연과 함께 사용자가 다룰 수 있도록 돕는 것이 분명 의미있는 오디오 태그로했다. 개인적으로 내가 그렇게 많이 부셔 거기 밖으로 블랙리스트의 비디오 개체를 허용하는 경우 스크립트에 따라 잠재적으로 더 많은 보안 구멍을 열어가는 그냥 끔찍한 생각이야,하지만 당신이 그것을 가지고 있다고 생각합니다. 어쨌든, 그래서 내 눈을 보았다 새 iframe이 사양과 싸다을 가로질러 난 기적을 본 보라. 이되었던 WHATWG에서 누군가가 진짜로 주목됐다. 첫째, there'sa 새로운 매개 변수는 여러 측면에서 IE의 독점적인 보안을 = "제한된"매개 변수와 비슷하지만 모래라는 더 세분화된 컨트롤과 함께. 그게 꼭 좋은 것만은 당신을 좋아하지 않아 경우에 모함을 받고있는 건 아니지만, 어떤 웹사이트들은 악당이되고로 밝혀지 사이트 프레임을 자신의 사이트에 한번도 일어나지 않습니다.하지만 더 중요한 것은 다른 새로운 매개 변수보다 효과적으로 제어할 않습니다 모든 유용성 문제 (이중 스크롤 막대, _self 대상으로하고 있으므로없이)는 원래 iframe이 모델의 페이지의 iframe에 동일한 기원 도메인의 페이지 수 있도록 원활하게했다. 그 누명을하고 자신의 도메인을 iframe을 모두 미친 유용성 문제없이 (라 콘텐츠 제한)에있는 페이지가 제어하고자하는 웹 사이트에 대한 그거 좋은 소식 이군. 이미 콘텐츠가 사이트에 액세스할 수 있도록 몇 가지 다른 보안 우려가있어 - 거기 않는 악성 아이 프레임 iframe에 직접 전화에서 누군가를 막기 위해 임베디드의 렌더링을 거부하는 일부 태그가 있어야합니다. 그러나, 이것이 올바른 방향에서 큰 진전이다. 태그 : 보안, 보안 뉴스

관련 게시물

8월 3일

MSN의 IP를 검색

Comments Off 보안 뉴스 댓글 끄기

나는 이것에 대해 잠시 동안 지금, 뭔가를 쓰기로 알려진 사람들의 숫자가 의미 녔 동안 이것도 사용하지만, 가장 유용한 도구 중 하나 밖에 어떠한 주어진 목표의 하위 도메인을 식별에 대한 MSN의 IP 검색입니다 . 만약 그들이 동일한 IP에없는 길을 찾는 데 더 하위이지만, MSN의 검색 방식의 IP 동일한 IP에 하위 도메인을 찾는에서 더 치열한 것.

그게 왜 중요 한가? 글쎄, 그것은 많은 기업 및 호스팅 공유 사용으로 우리 모두가 알고 보니, 그들은 호스팅 환경 않으면 기본적으로 모든 클라이언트의 어떤 아무 타협의 타협을 의미 완료 말을들은 고객을 보호하기 위해 극단적인 조치를 취했습니다 같은 기계에있는 다른 클라이언트가. 훌륭한. 그래서 작은 bookmarket 만든 그 MSN은 IP를 검색 인터페이스입니다. 만약 당신이 방금 즐겨찾기에와 드래그 단지 선택의 웹페이지로 이동 (ha.ckers.org 이외의 Firefox를 사용하는 ;) )와 북마크를 클릭하십시오. 그것은 IP 조회 및 전달 도메인에 대한 IP와 브라우저를 다시 수행 MSN으로 ha.ckers.org에게 도메인을 보냅니다. 그것은 간단합니다. 넌 정말 황당 호스팅 업체가 얼마나 많은 공유를 사용합니다.

태그 : 보안, 보안 뉴스

관련 게시물

7월 30일

전에 내가 먼저 좋아, 난이 게시물에 대한 플랙의 많은 안두겠어, 내기를 할 수 있도록,이 유일하지 않다는 내 의견과 실제 숫자에 따라 다. 왜냐하면 그것을 시각적으로 설명하는 게 나을 것 같은데 여기서 그래프를 던지겠다 유일한 이유입니다. 숫자있습니다. 알았어? 그냥 의견. 여기에 모두 흥분하지 마십시오. 좋아요. 아직 뭐? 당신은 모든 것을 읽을 수 의도하지 않는 자, 이제이 게시물을 읽기 시작하지 않습니다. 준비 됐나? 이제 당신은 그 게시물을 읽을 수있습니다.

내가 만든 마지막 게시물의 일부 기능을 추가 - 공격으로부터 내가 그 중 하나를 만들거나 자신에게 도움이 야생에서 보았을 확보하는 데 사용하는 주변에 개인적으로 내 개인 파이어 폭스 비애의 단지 작은 겉핥기 설명했다. 자, 진실을 말씀 드리자면, 저는 매일 그것과 테스트 기능 추가 - webapps의 용이성으로 인해 지원 파이어 폭스를 사용합니다. 그리고 그 주위를 helplessness 나는 내 감각에 의해 업데이 트와 함께 망연 자입니다.

그래서 나는 여기있는 어떤 느낌의 보안 사람들을 위해 정규 시간이 지남에 매일 캐주얼 웹 서퍼 (아니, 근데 실제로 일어나고,이 사이트를 읽는 사람들의 대부분은 같은 하드 보안 여러분,). 시간이 지남에 이미 업그레이 드됩니다. 이러한 업그레 이드, 여러 구멍을 수정하고, 다른 몇 가지 소개합니다. 그들은 또한 기능을 추가 - 지랄한다. 이러한 추가 - 기능이 깨진 브라우저 보안 모델을 수정하게된다. 에 대한 사실에 의해 영향을받는 날의 오전 vulns 좋아하는 따라서, 내 보안 브라우저의 새로운 각 주요 개정과 함께, 이렇게 뭔가처럼 보이게 줄어 듭니다 :

시간이 지남에 파이어 폭스의 보안 모델

물론, 전체적인 보안 시간을 함께했지만 트렌딩 개발자들이 새로운 코드를 따라잡을하면서 내 인식 보안에 큰 격차가있다. 한편 숫자와 시간에서 벗어나는 방법이 될 수있다, 개념 날 (이상)에서 바로입니다. 나는 개인적으로 브라우저에서 즉각적인 변화의 주요 혜택 - 유일한 단점은 표시되지 않습니다. 시간과 함께, 물론, 좋아질지도 모르겠지만, 그래프의 오른쪽에있는 순간이 바로 거기에서 특별히 안 좋은 보안 슬럼프에 있어야 할 일이있습니다. 는, 가장 부분에 대한 추가 - 기능, 작동을 멈출 때까지 neutered되는 코드에 의해 그 위험이 악용되었을 수도있습니다. 그래서 어느 쪽이죠? 내가보다 빠른 추가 - 기능을하거나 그 반대로 진화하기 위해 브라우저를 신뢰 하나요?

파이어 폭스의 모델은 언제나있다 "든지, 그것은 오픈 소스에 기여할 무료!"이 이론에 큰이다,) 내 프로그래밍 실력이 아니라 훨씬 더로 데려다 줘 - 당신에 대한 내 코드가 필요하지 않는 브라우저와 함께 인터넷을 잡고, b)는 전 - 최악의 대부분은 버그 질라에보기에서 볼 수를 c) 아주 아주 작은 선택된 소수만이 사람들을 위해 숨겨져있는 모든 보안 버그에 접근할 수 없어 날 믿어 누가 혼자있는 능력을하자 다른 사람의 기능을 수정하는 코드를 추가 - 맡겨봐 몇 사람.

그것 모두의 helplessness에 의해 압도하고 헤어지고,하지만 그때 난 그냥 어느 날 그 같은 일들 CSRF 특정 문제를 무시할 수 있도록 수정이 플러그인이 없음을 기억 끌리기. 그럼 난 그냥 집에 가서 혼자 잠들다. 자, 이제 떠나지만, 호언 장담 - 내 말을 인용 또는 코멘트 전에 불리면 모든 걸 다 읽고 실패, 그래서 절 좀 도와 줘요, 난 당신의 senselessly 재미를 만들어 줄게.

태그 : 보안, 보안 뉴스

관련 게시물

7월 24일

내가 무슨 매그넘 PI를 가진 공통점은 뭘까요? 무슨 아이디가 일반 개 현상금 사냥꾼에 있나요? 텍사스의 PI는 우리 모두 라이센스가 필요한 상태 글쎄요. 그건 바로, 만약 당신이 사람들을 사고로부터 복구하는 것은 무엇이든지 수사를 컴퓨터에 관련된 모든 종류의 컴퓨터가 도난, 또는 호응을 조사할 수 있도록하고 싶다면, 텍사스에서 사립 탐정이 될 필요가있다. 우리가 할 수있는 분필을 완전히 이해하지 못하는 이들이 최대로 변호사 legislating 뭔가.

첫째, 나는 매우 로그를 통해, 사냥하러되거나 삭제된 데이터를 복구할 개 현상금 사냥꾼을 고용하는 것이 더 이상 가치를 꺼내 내 고객의 의심이있다. 둘째, 국회 의원은 "컴퓨터 업계의 요구 청소"와 같은 광범위한 진술을하고있다. 난 내 자신의 폭넓은 연소 성명을 발표, "누가 병에 - concieved 법률 청소가 필요 쓸 의원 싶습니다."나는 가난으로있을 이유가 이해합니다. 증거의 적절한 취급, 항상 신념에 대한 중요한 것은 있지만, 그것보다 훨씬 더 광범위한 - 민간 기업의 도움을 위해 노력하고 다른 민간 기업의 내부 활동에 들다 사업도 않습니다.

나는 내 가슴 왁싱 시작하고 인식표를 차고, 그래서 제가 이해를 시작할 수있을 것 같아 컴퓨터에서는 이러한 darned 말이야.

태그 : 보안, 보안 뉴스

관련 게시물

7월 21일
그래, 그것에 대해 다시 그 시간. 제레미아 또다른 webappsec 전문 조사하고있다. 만약 당신이 그의 이전의 설문 조사에서한다고보고 - 그들 중 일부는 촬영하지 않은 사실은 꽤 흥미롭습니다. 어느 쪽이든, 그 결과를보고, 심지어 자체 설문 조사에 참여하면 받으 려고만하지 말고 가치가 있어요. 또한, 나는 그 시간은 우리 모두 Blackhat 및 데프콘에 따라 빠르게 하강하고있을거야 접근하고있다주의를 기울여야한다. 내가 Blackhat에서 Xploiting Google 가제트와 데프콘에서 연설의 abrieviated 버전으로 잘 쓰고있을거야. 또한 모든 너의 Sploits (및 서버 전화) 회사에 속해있는 리치 모글, 데이비드 Mortman, 크리스 호프, 로버트 그레이엄과 데이빗 메이와 데프콘에서 또 다른 연설을하고 있어요. 그래서 만약 당신이 거기에 의해 드롭되는 자신을 소개할 계획에있다! 난 이미 당신을 볼 수 있도록 노력하겠습니다. [광고 # 광고 - 1] 태그 : 보안, 보안 뉴스

관련 게시물

7월 17일

리디렉션 리포트

Comments Off 보안 뉴스 댓글 끄기

브라이언 크레브스 워싱턴 포스트에서 그 방법을 리디렉션이 매우 풍부하게하는 Indiana.edu에 대해서에서 흥미로운 보고서를 인용 보도했다. 그럼, 누가이 분야에서 시간의 길이를 위해 일한 사람은 완벽하게 잘 알아야하지만, 여전히 Indiana.edu에서 안티 피싱 전문 연구자 - 연구에서 유효성 검사를 얻으려면 흥미 롭군요. 여기에 브라이언의 문서에서 문지 :

실제로, 일부는 인터넷의 가장 큰 웹 사이트 중 - 특히 구글 - 오픈 리디렉션 많은 수의 호스트하는 데 사용합니다.

""하는 데 사용? 나는 지난 몇 년 동안의 두께에 솔직한 건 알지만 전 구글은 어떻게든 마법은 문제를 해결하기 놀랄 사람들은 여전히 그것을 고치 고정 주위를 맞은 적이 있다고 생각합니다. 리디렉션의 XSS는 고정되어 있지는 고정되지 않습니다. 이러한 문제는 여전히 구글의 웹 속성을 Google이 모든 이상 존재한다. 하지만 누군가 날 믿지 않는 경우에는, 여기에 약 10 초 내에 구글의 이미지를 서버로부터 임의의 eBay 경매로 리디렉션을 다그 예로 한 예를 들어 보면.

사람들이 마침내 메인 스트림 미디어에 이것을 이해하고 있는지 잘하지만 분명하게합시다 (모두 역사적 현재)받을 수있습니다 기업 신용주지 않아. 내가 일어 서와 박수 우리는 이러한 문제를 볼 때 먼저 한번 폐쇄와 모든 Google에 대한 사이트의 경우에도 그것을 진정으로 밖에 광대한 막대한 재산의 취약 한 회사가 될거야. 그러나 만약 그것이 정말 피싱 방조입니다 - 그리고 그것입니다 - 우리는 먼저 그것을 우리 자신의 사이트에 대한 책임을 취함으로써 얻는 가고있는 유일한 방법은. 만약 우리가 그 모두의 거인 구글이 될 것을 목표로 믿을만한 광고를 모두 끝낼 수있을 작정 특히 그 사실이에요.

태그 : 보안, 보안 뉴스

관련 게시물

7월 3일

XSSFilter 출시

Comments Off 보안 뉴스 댓글 끄기

당신은 이미 새로운 XSSFilter IE8.0에 대한 뉴스를 보셨을지 모르겠지만, 난 여기서 에코으로 잘하려고 하느냐 때문에 아주 중요한 새로운 릴리즈. 그것 밖에 브라우저의 기본 사용자를위한 생산 안타 때 반사 방지의 멋진의 XSS 공격의 대부분을 직장 않습니다. 아주 멋진 물건들. 그건 그렇고, 위의 두 번째 링크는 또한 유심히 봐 IE8.0에서 다른 보안 기능으로 슬쩍하고있다.

XSSFilter의 Firefox에서 noscript처럼 생각하지만 기능의 해제의 JS 부분없이, 그리고 noscript 달리, 이것은 브라우저에서 기본이에요, 그래서 더 많은 사람이 영향을 미칠 것이다. 데이비드 로스는 누구 용어 크로스 사이트 스크립팅과 함께 첫 번째 장소에서, BTW) 온 (남자 이후 처음으로 작성한 논문 그가 약 8 년 이상 생각하고있어 문제가 태클을 시작으로이 도구를 썼다. 그것은, 앞으로 올바른 방향으로 엉뚱한,하지만 엄청난 도약 하느냐 날 도착하지 못하면, 그리고 완벽하지 않기 때문에 그것의 한 부분이되고 난 매우 영광이었다, 이후 소비자 안전에 큰 긍정적 영향을 미칠 것 우리 스스로 안보를 확보하면서 무릎 관절을 시작 draggers 웹사이트를 얻으려면 방법을 알아내야합니다.

다음은 내 위시리스트에? 콘텐츠를 제한!

태그 : 보안, 보안 뉴스

관련 게시물

7월 1일

SWF를 검색할

Comments Off 보안 뉴스 댓글 끄기

오늘 내가 얼마나 구글과 야후가 이제는 필요한 정보와보고 및 SWF 파일의 정보를 추출하는 무기가 될 대해 businesswire에서이 링크를 전달했다. 우리 호 - 소년, 간다. 링크를 내게 "나쁜 주주"경고와 함께 보냈었고, 난 정말 저도 동의 확신 해요.

검색 엔진의 경우에는 그 사실이 풍부한 애플 리케이션과 상호 작용하는 웹 응용 프로그램을 시작 잡아당기는 문제는, 아무 것도 말야, 거기에 발생할 수있는 수많은 문제입니다. 예를 들어, 플래시 애플 리케이션에 풍부한 기능들을 꽤 있고, 그들은 백 엔드 애플 리케이션과 상호 작용하는 경우 그 중 일부 위험할 수도있다. 만약 "테스트"Flash 동영상에 나타나는 단어가 또 그것 색인한다는 의미는? 또는 그렇게 보이지 않는하거나 페이지 또는 프레임의 오른쪽은 무엇? 텍스트 또는 하위의 경우 10 분 정도 소요됩니다 수십개의 특정 라인 - 메뉴는 무엇을 찾아낼 수 있을까요? 사람들이 정말 그것에 앉을 건가?

정말 물건에 대한 쿼리를 할 때 사람들은 플래시 동영상을로드 하시겠습니까? 확실하지 않아 난 알아! 나는 이미 PDF 파일 또는 링크된받을 때 짜증이 있어요. docx 파일입니다. 이 단지 새로운 수준의 사람들이 실제로 어디로 가고 싶어 할 것 같아 검색 걸린다. 대신 깊이를 크롤 링과 상세 검색, 검색 엔진이 새로운 매체를 주장하는 사람에게 자신을 ()처럼 막다 거냐 접근성, 가용성 및 검색 엔진 최적화를 위해 플래시 못하므로 좋은 매체. 서재응은 테이블 곧 떠나지 않을이다 접근성 및 유용성.

하지만 심각하게, 그 다음은 뭐죠? 검색 엔진은 텍스트를 찾고 Java 애플릿 디컴파일 할 거니? 사이드 메모로,이한다, 적어도 단기에, 플래시 해킹의 새로운 라운드로 이어질 한번 살아갑니다. 저는 티샷 - 누가 내부 플래시 텍스트에 대한 Google 촌놈이 쓴 최초의 사람에게 셔츠를 일러주지 착취했다.

태그 : 보안, 보안 뉴스

관련 게시물