Hacking facebook účtu

Dnes se podíváme na nejčastější útoky, které hrozí vašemu Facebooku účtu. Protože většina uživatelů přistupuje k této službě z mobilního zařízení, zaměříme se na přístup k Facebooku (FB) z mobilu. Přístup z mobilu Mobilní verze Facebooku používá k přihlášení tokeny, aby uživatel nemusel pokaždé zadávat svoje heslo. Tyto tokeny mají platnost 60 dní s možností…

Technologie a bezpečnost 2018

Vítám čtenáře našeho blogu. V tomto příspěvku se zamýšlím nad rozvojem technologie a bezpečnosti v oblasti kryptoměn, umělé inteligence a ochraně dat. Kryptoměny a smart kontrakty Rozmach digitální měny Bitcoin vzbudil velký zájem o kryptoměny. Za poslední rok se hodnota 1 Bitcoinu vyhoupla na 19,000 USD. V době psaní tohoto příspěvku se drží pod hranicí…

Brute force – útok na hesla hrubou silou

V dnešním příspěvku si vysvětlíme, co je to útok na heslo hrubou silou. Demonstraci útoku provedeme na starší verzi WordPressu s úmyslně slabým heslem do administrace. Tento článek má za cíl ukázat, že jednoduchá hesla jsou hřebíčkem do rakve každé aplikace. Upozorňujeme, že záměr článku je čistě edukační a tímto vás odrazujeme od podobných pokusů…

Testování vstupů webové aplikace – nástroje

V minulém příspěvku jsme prošli úvodem do testování vstupů webových aplikací. Dnes půjdeme o něco dál, protestujeme scénář přihlášení v aplikaci WABANK a najdeme chybu ve validaci vstupů pro konstrukci SQL dotazu. Testovací scénář Protestujeme jeden vstupní bod “username” v přihlášovacím formuláři do online bankovnictví. Použijeme k tomu webovou aplikaci WABANK, která je dostatečně naivní a…

Kali linux – poprvé na síti

V dnešním příspěvku se podíváme na to, jak se Kali linux automaticky připojuje do sítě a které systémové konfigurace toto nastavení ovlivňují. Příprava virtuálního stroje V nástroji VirtualBox vytvoříme nový virtuální stroj s 1024 GB RAM a s dynamicky alokovaným diskem o velikosti 20 GB. Stažení instalačního média Z domovské stránky kali.org stáhneme 64bit verzi…

Testování vstupů webové aplikace – úvod

Dříve nebo později se v penetračním testování webových aplikací dostanete k testování vstupů. V dnešním příspěvku si vysvětlíme, co je to rozhraní, jak vypadají vstupní body webové aplikace a jak je provolat. Rozhraní aplikace Webová aplikace zpracovává nebo prezentuje data přes jedno nebo více rozhraní. Každé rozhraní má svoji formu a vynucuje si přenos dat…

Dokumentační nástroje pentestera

Při hledání bezpečnostních děr si každý tester potřebuje utřídit svoje myšlenky a zaznamenávat chování aplikace. V tomto příspěvku si ukážeme základní nástroje, které pomáhají dokumentovat průběh penetračního testu a jeho výsledky. Tužka, excel a myšlenková mapa Každý penetrační test je jiný a pro organizaci testů se někdy hodí obyčejný papír a tužka, jindy myšlenková mapa…

Upgrade Kali linuxu

Kali linux od verze 2016.1 přichází ve formě “rolling upgrade” distribuce. To znamená, že lze Kali neustále povyšovat na aktuální verzi. V dnešním příspěvku si ukážeme, jak takový “rolling upgrade” správně provádět. V příspěvku se záměrně vyhýbám českému překladu “plynulé povyšování verze”, čtenáři mi to jistě prominou. Verze Otevřeme si terminál a příkazem uname -a…

Cross-site Request Forgery (CSRF)

Cross-site Request Forgery (CSRF) je zranitelnost webových aplikací, která za určitých podmínek umožňuje autentizované uživatele donutit k tomu, aby provedli nezamýšlenou akci. Podstata zranitelnosti tkví v tom, že aplikace nedokáže rozlišit požadavky, které uživatel “zavolal” neúmyslně. Než odhalíme podstatu CSRF, seznámíme se nejdříve s mechanizmem cookies, který webové aplikace využívají k identifikaci relace uživatele. Identifikátor…

WABANK – úmyslně zranitelná webová aplikace

WABANK je úmyslně zranitelná webová aplikace, na které si můžete procvičit testování zranitelností podle zprávy OWASP Top 10. Aplikace je zdarma pro nekomerční využití. Ke stažení Ke stažení je alfa verze  Jak na to? Stáhněte si webovou aplikaci a rozbalte zip archiv (Hackerlab-WABANK-1-0-alpha.zip). V souboru README.TXT najdete instalační postup pro Debian/Ubuntu linux. S přihlašovacími údaji…