– root@injetionsec:~#

bWAPP aplicação web inseguro para testes

30.03.2014 (10:27 pm) – Filed under: Aplicações Web ::

bWAPP ajuda entusiastas de segurança, desenvolvedores e estudantes a identificar e prevenir as vulnerabilidades da web. bWAPP prepara para realizar testes de penetração e projetos hackers éticos com sucesso . Com mais de 60 web bugs,abrange todas as principais vulnerabilidades da web conhecidas, incluindo todos os riscos do projeto OWASP Top 10. bWAPP é uma aplicação PHP que usa um banco de dados MySQL. Pode ser hospedado em Linux e Windows usando Apache / IIS e MySQL. Ele pode ser instalado com WAMP ou XAMPP,clique aqui para baixar o bWAPP.

Protocolo ICMP

28.03.2014 (9:06 pm) – Filed under: Redes ::

bem galera vamos falar um pouquinho do protocolo  ICMP é utilizado para controlar as atividades de uma rede,há vários tipos e códigos ICMP,uma dica não se bloqueia ICMP em redes,isso não sim descontrole, podemos controlar alguns tipos de ICMP.

Use filtros de pacotes, como o Netfilter, para controlar a quantidade máxima de echo requests permitidos. Exemplo:
# iptables -A FORWARD -p icmp –icmp-type 8 -m limit –limit 10/s -j ACCEPT
# iptables -A FORWARD -p icmp –icmp-type 8 -j DROP

Alguns tipos de ICMP

­ Tipo 8: echo request.
­ Tipo 0: echo reply.
­ Tipo 3, código 3: porta de destino inacessível.
­ Tipo 11, código 0: TTL expirado em trânsito.

 

 

Boeing 777 da Malaysia Airlines derrubado por hackers?

28.03.2014 (6:00 pm) – Filed under: Noticias ::

Agora o assunto que esta na moda, segue algumas informações :

Noticias
Exame Abril  & Federal Register & Exame Abril

Videos
Hugo Teso – Aircraft Hacking: Practical Aero Series : aqui
DEF CON 20 – Hacking Airplanes – Brad Haines : aqui

Apresentações
conference.hitb.org & korben.info

Android Package, apk

19.03.2014 (3:09 pm) – Filed under: Android ::

É uma forma de zip para sistemas androids, ou seja, ele é um arquivo compilado, que é usado para se instalar programas no em sistemas android de forma paralela a Google Play,podendo ser um programa criado por um usuário e etc

Pirataria do apk

Muitos aplicativos do Google Play são pagos, o que é um obstaculo para muita gente que os deseja, dessa forma há inúmeros programas que convertem um aplicativo instalado em um APK, para que possa ser compartilhado entre diversas pessoas por ai nesse mundão =] . Por esse motivo, vários desenvolvedores estão usando certificado de validação, ou seja, depois de instalado, tem que se conectar ao servidor para ver se o aplicativo foi conseguido licitamente, caso contrario ele é bloqueado.

Perigo do apk

Um APK nada mais é do que uma compilação de um código em Java feito por qualquer pessoa e que será interpretado pelo sistema android. por isso esse sistema esta sendo o mais visado por pessoas mal-intencionadas, criando assim programas com códigos maliciosos, que por muitas vezes burlam o antivírus, e acabam trazendo algum prejuízo ao aparelho, e para o usuário final.

 

WhatsApp usado para mineração de dados

14.03.2014 (12:49 pm) – Filed under: Noticias ::

Mineração de dados é o processo de explorar grandes quantidades de dados à procura de padrões consistentes.

Qualquer pessoa com conhecimentos básicos de matemática consegue perceber que o valor fechado na compra do WhatsApp pelo Facebook simplesmente não bate com o faturamento da empresa. 19 bilhões de dólares em uma empresa que tem apenas 50 funcionários. O aplicativo possui uma quantidade expressiva de usuários ativos – cerca de 450 milhões por mês – mas não possui um modelo de negócios muito rentável – uma assinatura de apenas um dólar por ano, contando a partir do segundo ano de uso, mais informações

 

Fonte: coaliza

Falha no aplicativo WhatsApp permite que qualquer app acesse suas mensagens

12.03.2014 (6:54 pm) – Filed under: Noticias ::

Uma falha de segurança séria foi identificada no WhatsApp, que permitiria que qualquer outro aplicativo tivesse acesso às mensagens que o usuário troca com seus contatos. A falha foi encontrada e revelada pelo especialista em segurança Bas Bosschert.

Após uma descrição detalhada do processo em seu blog, a conclusão é que o aplicativo falha na hora de criptografar o backup das mensagens, expondo os usuários sem precisar de muito esforço.

Segundo o especialista, a falha acontece quando o usuário realiza o back-up das mensagens para não perdê-las em caso de desintalação e reinstalação, por exemplo. O app estaria usando a mesma criptografia todas as vezes, em vez de criar uma nova chave para cada usuário. Pior: a encriptação do WhatsApp já é quebrada com grande facilidade.

Isso significa que o armazenamento dos dados no aparelho é feito de forma insegura e outros aplicativos maliciosos podem roubá-lo sem problemas, para abrir as mensagens do usuário ou procurar dados pessoais. E as versões mais antigas do app nem mesmo encriptavam as mensagens.

Ao salvar estas informações no cartão SD, basta que o usuário dê permissão para o aplicativo malicioso ler o armazenamento externo para que ele receba acesso a estas informações. “Como a maioria das pessoas permitem tudo em seus aparelhos Android, isso não é um problema”, afirmou ele.

Para acrescentar ironia à situação, Bas Bosschert ainda relembra do temor dos usuários do WhatsApp após a venda ao Facebook, temendo que a rede social fosse ter acesso a todas as suas mensagens. “O Facebook não precisava ter comprado o WhatsApp para ler suas mensagens”, afirmou.

Fonte: olhardigital

Algumas terminologias

06.03.2014 (9:59 pm) – Filed under: Pentest ::

Vamos ver abaixo algumas terminologias que estamos sempre usando e observando no dia-dia

• Ataque
– acesso a dados ou uso de recursos sem autorização
– execução de comandos como outro usuário
– uso de falsa identidade
– DDoS
– Violação de uma política de segurança

• Vulnerabilidade
– É uma falha que pode permitir a condução de um ataque

• Incidente
– A ocorrência de um ataque; exploração de vulnerabilidades

• Ameaça
– Qualquer evento que pode causar dano a um sistema ou rede
– Por definição, a existência de uma vulnerabilidade implica em uma ameaça

• Exploit
– Um código preparado para explorar uma vulnerabilidade conhecida
– Uma ferramenta para ataques

 

Schneider Electric Vulnerabilidades no Servidor OPC

06.03.2014 (1:53 pm) – Filed under: Noticias,Scada ::

O ICS-CERT  na semana passada emitiu avisos de advertência de vulnerabilidades na Schneider Electric SCADA.

Schneider Electric é um fornecedor de produtos de controle de gestão de energia que são usados ​​em uma série de indústrias críticas na América do Norte, incluindo energia, água e esgoto, comida, agricultura e sistemas de transporte,a empresa divulgou duas vulnerabilidades que poderiam permitir que invasores executem códigos maliciosos,foram feitas atualizações dos produtos para mitigar as vulnerabilidades presentes,mais informações

Fonte: threatpost

Hackers do mal estão de olho nos animais em extinção

06.03.2014 (1:43 pm) – Filed under: Noticias ::

Animais em extinção monitorados por colares com GPS estão se tornado alvo de ataques virtuais. Hackers estão vendendo a localização dos bichos para caçadores que lucram com o comércio dos animais no mercado ilegal.

Uma ação do tipo foi registrada em 24 de julho do ano passado em Pana, reserva de tigres de bengala localizada na Índia. Na ocasião, hackers tentaram ter acesso à localização de um dos tigres – fornecida por e-mail a apenas três pesquisadores. Entretanto, o ataque não teve sucesso, como relata o site da revista Popular Science.

De acordo com dados do Fundo Mundial pela Vida Selvagem, um tigre de bengala chega a ser vendido por 50 mil dólares no mercado do tráfico de animais, que anualmente movimentaria soma próxima a 10 bilhões de dólares, após o impulso recente possibilitado pelas vendas online, mais informações

Fonte : exame abril

The Tangled Web: A Guide to Securing Modern Web Applications , Livro

05.03.2014 (2:57 pm) – Filed under: Livros ::

Esse livro é muito bem escrito e didático “The Tangled Web: A Guide to Securing Modern Web Applications” não é um livro pra todo mundo, e sim um livro mais avançado, para galera que já sabes o que tem por traz do HTTP, ou que sabe a diferença que encodings podem fazer na aplicação, e que já toparam com siglas como XSS e CSRF,deixo então para vocês essa recomendação