(nie)Bezpieczeństwo kamer IP

ip camera secuirty

Niedawno w moje ręce wpadła tania chińska kamera IP. Jako że lubię wiedzieć jak dany sprzęt działa, trafiła ona na mój bezpiecznikowy warsztat. Rezultaty poniżej. Co na portach piszczy Szybkie skanowanie nmap-em urządzenia wskazało kilka otwartych portów: Port 80 : Tutaj znajduje się interfejs webowy do zarządzania kamerą. Zabezpieczony jest… Continue reading

Publicznie dostępne wyniki badań na koronawirusa – czyli jak nie zabezpieczać danych

wyniki badań koronawirus

TL;DR – data urodzenia czy numer pesel nie stanowi dobrego pomysłu na zabezpieczenie dostępu do danych. Zagadka – co różni dwa poniższe obrazki? Zacznijmy jednak od początku. Niestety jak to często w świecie IT bywa, wygoda nie idzie w parze z bezpieczeństwem. Myślę, że tym razem było podobnie. Istnieje jednak… Continue reading

Jak podnieść swoje bezpieczeństwo w sieci

cyberbezpieczeństwo

Niedawno zostałem zaproszony na kanał 180 stopni do rozmowy, o tym czym zajmuję się zawodowo i bezpieczeństwie naszego cyfrowego życia. Poniżej jest dostępne wideo/podcast będący wynikiem tego dosyć nietypowego spotkania w nagraniowym busie. Jeżeli chciałabyś/chciałbyś dowiedzieć się jak utrudnić życie hackerom i nie zostać ofiarą ich ataków, oraz jakie zagrożenia… Continue reading

Retire.js – odpowiedź na pytanie czy nie używasz przestarzałych komponentów

komponenty ze znanymi podatnościami

Ręczne przekopywanie się przez kod źródłowy w celu identyfikacji wszystkich przestarzałych i podatnych na atak bibliotek naszej aplikacji webowej jest ogromnie czasochłonne. Możemy to zadanie nieco zautomatyzować za pomocą narzędzia Retire.js. Jest ono dostępne zarówno z poziomu przeglądarki (Chrome, Firefox) jak i wtyczki do Burpa. „Używanie komponentów ze znanymi podatnościami”… Continue reading

Jak zwiększyć bezpieczeństwo wordpressa? – czyli własny hardening cmsa

Jak zwiększyć bezpieczeństwo wordpressa

Treściwa lista rzeczy, które można zrobić aby zwiększyć bezpieczeństwo strony postawionej na wordpresie: przeniesienie/zmiana nazwy pliku wp-login.php, a tym samym domyślnej strony logowania; usunięcie pliku readme.html, który udostępnia wersje wordpressa; skorzystanie z wtyczki „Wordfence” która daje nam:  ochronę w czasie rzeczywistym przed znanymi atakami. Działa to w ten sposób, że… Continue reading

Przykład audytu wymagań dot. wdrożenia ISO 27001:2013 w kontekście wybranej organizacji

Przykład audytu wymagań dot. wdrożenia ISO 27001:2013 w kontekście wybranej organizacji

1. Przedstawienie Firmy: Opis zakresu działalności wirtualnej firmy Firma  AGD.COM Sp. z o.o. istnieje od roku 1999, prowadząc od początku działalność opartą o dystrybucję sprzętu AGD/RTV. Jako jedna z pierwszych firm na naszym rynku wprowadziła zasadę – „TANIO I SOLIDNIE”. AGD.COM jest dużym dystrybutorem sprzętu AGD/RTV, który posiada hale magazynowe… Continue reading

Przykładowa procedura bezpieczeństwa systemu IT

Przykładowa procedura bezpieczeństwa systemu IT

Poniższy artykuł jest próbą zaadresowania tematyki tworzenia procedur bezpieczeństwa. Może on zostać wykorzystany w Twojej firmie w całości lub jako wzór do dalszego rozwoju. Procedura bezpieczeństwa powinna być swoistą instrukcją gdzie czytający ją będzie prowadzony niejako za rączkę po kolejnych wymaganych wdrożenia działań. Obszary w których należy wdrożyć odpowiednie mierniki… Continue reading

Przykładowy raport z rzeczywistego testu penetracyjnego

Przykładowy raport z rzeczywistego testu penetracyjnego

W ramach swojej pracy magisterskiej miałem okazję przeprowadzić pełny test penetracyjny komercyjnej aplikacji webowej napisanej z użyciem ASP.NET. Wynikiem moich badań jest raport, którym postanowiłem podzielić się w „zaciemnionej” formie z szerszym gronem osób. Materiały tego typu w naszym ojczystym języku są towarem deficytowym. W zasadzie jedyny, który znam z… Continue reading

Jak powinien wyglądać dobry raport z testu penetracyjnego?

dobry raport z testu penetracyjnego

Doświadczony pentester, wie że dobrze napisany raport cechuję się tym, że po jego prezentacji klient nie ma żadnych dodatkowych pytań. Aby było to możliwe powinien on zawierać co najmniej cztery podstawowe sekcje z informacjami przeznaczonymi dla różnej grupy odbiorców. Sekcja 1: Ogólne informacje i statystyki Podczas, gdy programista mający naprawić… Continue reading

Testowanie pod kątem wstrzykiwania zapytań SQL

Testowanie pod kątem wstrzykiwania zapytań SQL

Ataki typu SQL injection polegają na wstawieniu lub „wstrzyknięciu” zapytania SQL za pośrednictwem danych wejściowych przesyłanych przez klienta do aplikacji. Pomyślnie przeprowadzony atak tego typu może posłużyć do odczytu wrażliwych informacji z bazy danych oraz ich modyfikacji, czy też usunięcia. W najbardziej skrajnych przypadkach umożliwia on wydawanie poleceń systemowych. Poniżej… Continue reading