Adatok
axt
0 bejegyzést írt és 78 hozzászólása volt az általa látogatott blogokban.
Kedves olvasók, barátaim! Hosszú mérlegelés után úgy döntöttem, hogy a mai napon bezárom a BuheraBlog kapuit. Nem áprilisi tréfa. Ezen a lépésen már hónapok óta rágódom, a hazai szakma utóbbi időben tapasztalt mélyrepülése nem okozója, legfeljebb katalizátora lehetett a…..
A kriptográfiát fejlesztői, tesztelői, kódelemzői szemmel nézve fontos ismerni azokat az ökölszabályokat, amelyek alapján a függvényeket biztonságosan meg lehet hívni, a jó prímeket ki lehet választani. Pontosan ezen ökölszabályok kerülnek bemutatásra az RSA algoritmus esetén…..
axt
2014.02.16 17:03:10
@loolek: Pusztán java-s szempontból:
A paraméterek nélküli Random() konstruktor beseedeli az RNG-t. Bár itt security szempontok nem számítanak, de egy sokkal szélesebb tartományból ad seedeket, mint a te implementációd (ez anélkül is biztos, hogy tudnám, hogy a getDate(..) függvényed hogy működik, feltéve, hogy long-ot ad vissza :-) ).
A setSeed főleg arra jó, hogyha determinisztikus random sorozatot akarsz előállítani. Ez például unit tesztek esetén tud hasznos lenni, ahol kb. íratlan szabály, hogy a unit teszt legyen determinisztikus. (Ha random adatokon akarsz unit tesztelni, akkor meg a random adatok előállítását illik determinisztikussá tenni. És ha a determinisztikusság a fő szempont, akkor meg főleg nem érdemes globálisan shared Random instanceot használni, kivéve ha garantált a hívási sorrendje.)
A smiley-kből úgy ítéltem, hogy a te javadoc-od a paraméter ceiling-ként való elnevezése, de szerintem ebből még ugyanúgy nem látszik, hogy benne van-e az intervallumban a paraméter értéke vagy sincs.
A paraméterek nélküli Random() konstruktor beseedeli az RNG-t. Bár itt security szempontok nem számítanak, de egy sokkal szélesebb tartományból ad seedeket, mint a te implementációd (ez anélkül is biztos, hogy tudnám, hogy a getDate(..) függvényed hogy működik, feltéve, hogy long-ot ad vissza :-) ).
A setSeed főleg arra jó, hogyha determinisztikus random sorozatot akarsz előállítani. Ez például unit tesztek esetén tud hasznos lenni, ahol kb. íratlan szabály, hogy a unit teszt legyen determinisztikus. (Ha random adatokon akarsz unit tesztelni, akkor meg a random adatok előállítását illik determinisztikussá tenni. És ha a determinisztikusság a fő szempont, akkor meg főleg nem érdemes globálisan shared Random instanceot használni, kivéve ha garantált a hívási sorrendje.)
A smiley-kből úgy ítéltem, hogy a te javadoc-od a paraméter ceiling-ként való elnevezése, de szerintem ebből még ugyanúgy nem látszik, hogy benne van-e az intervallumban a paraméter értéke vagy sincs.
Microsoft
Az év első javítócsomagja a Microsoft részéről elég lazára sikerült.
MS14-001: Három hibajavítás (úgy tűnik kezd kimerülni a Google aktuális bugbányája) a Word windowsos illetve weben működő változataihoz. A sérülékenységek kódfuttatást tesznek lehetővé…..
axt
2014.01.17 09:51:02
Az ffmpeg-es részhez érdemes hozzátenni szerintem, hogy a több mint 1000ből kb. 120 volt a security bugok száma 2012-ben és 2013-ban. Ez szintén nem kevés, de azért nem olyan sokkoló mint az 1000 :).
(A fenti állítást erre alapozom:
wget www.ffmpeg.org/security.html -O - |& grep -o "CVE-201[23]-...." |sort |uniq -c |wc -l)
(A fenti állítást erre alapozom:
wget www.ffmpeg.org/security.html -O - |& grep -o "CVE-201[23]-...." |sort |uniq -c |wc -l)
Az előző postban elszöszöltünk az IPoptions RR/TS -el, TTL-el, és többnyire csak TCPvel foglalkoztunk. Ez a post egy kicsit támaszkodni fog rá, szóval ha még nem olvastad akkor célszerű először azt. Igyekszek lényegretörően felépíteni az írást, de most sem megyek le nagyon a…..
... és egy csipet Java a változatosság kedvéért
Flash
Az Adobe tegnap minden platformon frissítette a Flash Playert. A két javított sérülékenységet aktívan kihasználják célzott és kiterjedt támadások során Windows és Mac felhasználókkal szemben is! Érdekes kérdéseket vet…..
Azt beszéltük apuval :) hogy a kiddós feltörések már mocskos unalmasak. Az a terv, hogy néhány módszert és technikát írásos formába öntök, ennek első morzsájaként született ez a post. Nem túl mély, de feltételezem hogy valamennyire képben van az olvasó a hálózati…..
Elég sok érdekes információ jelent meg az aktuális, javítatlan Java sérülékenységgel kapcsolatban - ezek egy részéről az előző poszt alatt a kedves Olvasók is megemlékeztek (köszi!) ebben a bejegyzésben igyekszem összegyűjteni a legfontosabb tudnivalókat és hivatkozásokat.
A…..
axt
2013.01.13 21:54:31
Igazából a hiba első fele se teljesen ismeretlen. A CVE-2012-4681 hibajegy javítása során, már fixáltak egy teljesen hasonló problémát. Ott is arról volt szó, hogy volt egy olyan osztály, amin keresztül restricted osztályokat lehetett betölteni (MethodFinder , ClassFinder).
Konkrétan a FindClass javítása:
pastebin.com/PHU8PJA1
Immunity elemzés erről a hibáról itt: immunityproducts.blogspot.hu/2012/08/java-0day-analysis-cve-2012-4681.html
Valószínűleg megérte volna egy
grep -Ri "findClass(" * |grep public
mert csak 7 találatod dob, ebből 1 az eredeti ClassLoaderben, 1 nem része a jdk-nak, 1 a ClassFindert hívja, 2 maga a ClassFinder, és a fentmaradó 2 pedig az MBeanInstantiator.
Konkrétan a FindClass javítása:
pastebin.com/PHU8PJA1
Immunity elemzés erről a hibáról itt: immunityproducts.blogspot.hu/2012/08/java-0day-analysis-cve-2012-4681.html
Valószínűleg megérte volna egy
grep -Ri "findClass(" * |grep public
mert csak 7 találatod dob, ebből 1 az eredeti ClassLoaderben, 1 nem része a jdk-nak, 1 a ClassFindert hívja, 2 maga a ClassFinder, és a fentmaradó 2 pedig az MBeanInstantiator.
Nem rég a BlackHole exploit kit fejlesztői új programot hírdettek, melynek keretében összesen 100.000 dollárt ajánlottak fel eddig ismeretlen böngésző vagy böngésző plug-in sérülékenységekért, exploitokért, vagy meglévő exploitok továbbfejlesztéséért (pl. új…..
Az utóbbi napokban kisebb pánikot okozott bizonyos körökben, hogy egy eddig kevéssé ismert máltai cég, a ReVuln egy 0-day SCADA sérülékenységek kihasználását bemutató videót tett közzé, nem titkoltan privát exploit kínálata propagálására. A sérülékenységek részleteit a…..
A Java 7 0day-el kapcsolatos infókat tárgyaló posztban rendes kis flame alakult ki azzal kapcsolatban, hogy tulajdonképpen mennyit is ér egy antivítus szoftver egy nulladik napi sérülékenységgel szemben. Ma este volt egy kis időm foglalkozni a dologgal, és csináltam pár nagyon…..
axt
2012.09.05 11:52:15
@auth.gabor: Azért ez nem feltétlen ilyen egyszerű, tekintve, hogy olyan java security hibák is vannak, ahol nem az rt.jarból betöltés ellenőrzése nem fog meg semmit (pl AtomicReferenceArray bug). Vagy pl egy doPrivileged-es hibát, nem tudsz a classloadingnál megfogni.
@Hunger: Van ilyen interface. Tudsz agent librarykat definiálni (nem összetévesztendő a sima javában írt instrumentation agentekkel), elég sok mindenhez hozzá lehet férni ezen keresztül, de nem teljes a lefedettsége:
java.sun.com/developer/technicalArticles/J2SE/jvm_ti/
@Hunger: Van ilyen interface. Tudsz agent librarykat definiálni (nem összetévesztendő a sima javában írt instrumentation agentekkel), elég sok mindenhez hozzá lehet férni ezen keresztül, de nem teljes a lefedettsége:
java.sun.com/developer/technicalArticles/J2SE/jvm_ti/
Ma reggel egy vadiúj Java 7-et érintő 0day exploitról érkeztek hírek. A problémát az ok.aa24.net-en jelenleg is aktívan kihasználják kártékony kódok terjesztésére. Mint minden jóra való Java exploit, ez is igen megbízhatóan működik tetszőleges platformon, az Oracle…..
axt
2012.08.27 17:18:16
@buherator: ok, nyugodtan töröld utána a kommentem, felesleges a redundáns info.
A kérdésre viszont nem egyszerű a válasz, mert az biztosan egy elég durva security bug, hogy az Expression osztály segítségével mégiscsak lehet egyébként nem betölthető osztályokra referenciát szerezni, vagy gondolom ennyi erővel akár példányosítani is őket. Viszont a sun.awt.SunToolkitben is teljesen feleslegesen van egy public static függvény ami doPrivileged blokkban setAccessible-t hív, főleg úgy, hogy nem is láttam rá referenciát (csak greppeltem), hogy bárki használná valamire. Arra tippelek, hogy ez egy "defective by design" függvény, ami "bent maradt" a kódban, ahelyett, hogy törölték volna.
A kérdésre viszont nem egyszerű a válasz, mert az biztosan egy elég durva security bug, hogy az Expression osztály segítségével mégiscsak lehet egyébként nem betölthető osztályokra referenciát szerezni, vagy gondolom ennyi erővel akár példányosítani is őket. Viszont a sun.awt.SunToolkitben is teljesen feleslegesen van egy public static függvény ami doPrivileged blokkban setAccessible-t hív, főleg úgy, hogy nem is láttam rá referenciát (csak greppeltem), hogy bárki használná valamire. Arra tippelek, hogy ez egy "defective by design" függvény, ami "bent maradt" a kódban, ahelyett, hogy törölték volna.
A legutóbbi hírösszefoglalóban már esett szó Charlie Miller BlackHat-es előadásáról, melyben az NFC (Near Field Communication) okostelefonokra gyakorolt hatásairól kaphattunk összefoglalót. Erererg-nek köszönhetően nagy nehezen a vonatkozó cikket is megtaláltam, és miután…..
axt
2012.08.02 11:28:26
A nemrég véget ért Blackhat konferencián mutatott be a spanyol Rafael Dominguez és a csak Nils-ként ismert német hacker (akinek bizony ismerős lehet már a neve) támadásokat főleg az USA-ban és az Egyesült Királyságban elterjedt, többféle PIN PAD típus ellen.
A PIN PAD az az…..
axt
2012.08.01 07:37:47
@detritus: Igazad van. Nem olvastam végig, csak átfutottam. Valószínűleg emiatt a mondat miatt gondoltam, hogy aktívan használják: "Ilyen átalakított bankkártyákhoz viszonylag egyszerűen hozzá lehet jutni az interneten, Kínából, vagy akár Közép-Európából is.", de most hogy újraolvasom, nyilván nem a már preparált kártyákról van szó. A cikk tényleg elég egyértelműen a blackhat-es felfedezésről beszél.
Mesterhármas A héten megpukkantották ((c) Breach :) a LinkedIn üzleti közösségi oldal, az eHarmony társkereső és a Last.fm közösségi rádió felhasználói adatbázisainak jelentékeny részét, összesen mintegy 17 millió jelszó hash-t téve közkinccsé. A helyzet még szomorúbb,…..
Az idei CanSecWest versenyei adtak egy kis betekintést a profi sebezhetőség-kutatás világába, de fel is vetettek több kérdést, dilemmát a műfajjal kapcsolatban. Megpróbálom összefoglalni az elmúlt napok tanulságait néhány bekezdésben, aztán persze az lenne a legjobb, ha ti is…..
axt
2012.03.12 20:03:23
Már a hazai sajtó is tele lett kürtölve a legújabb Adobe Reader sebezhetőségről szóló hírekkel, nézzük mit tudunk: A soron kívüli javítást beharangozó, hivatalos Adobe közlemény szerint a sebezhetőségeket célzott támadások kezelése során észlelték - állítólag a…..
axt
2011.12.08 23:29:20
Egy [kernel.org users] listára érkezett üzenet tanúsága szerint rosszindulatú támadók korlátlan hozzáférést szereztek a kernel.org több back-end szerverén is. Az behatolásra legkésőbb augusztus 12-én kerülhetett sor, a levlistás üzenet pedig tegnapelőtt érkezett - érdekes,…..
Néhány hete zajlott a 19. Defcon Capture the Flag játékának selejtezője, melyen a hazai IT-biztonsági színtér minden szegletéből toborzott csapattal indultunk el, Senkihaziak néven. Remélem a poszt végére mindenki kellően át fogja érezni a minket ért megrázkódtatásokat :)…..
axt
2011.06.19 16:08:37
@Spala Ferenc: Azon én is elgondolkoztam, hogy egy ilyen feladatot például hogyan lehet megoldani:
"gb300 from the author: The string is encoded via Signed fibonacci sequence bit-packed encoding, with each character stored as an offset of the previous character, padding with 1 bits to the byte boundary"
(forrás:pastebin.com/7Nb9nDS1)
"gb300 from the author: The string is encoded via Signed fibonacci sequence bit-packed encoding, with each character stored as an offset of the previous character, padding with 1 bits to the byte boundary"
(forrás:pastebin.com/7Nb9nDS1)
Lezajlott az idei Ethical Hacking konferencia. Voltak színvonalas előadások, profi környezet és szervezés, pogácsa, üdítő, kávé, süti, CPE pontok, hoszteszlányok – szóval minden, ami kell a sikerhez. Az összes előadáson demó is volt (az egyik előadó, Dávid Zoltán…..
axt
2011.05.13 23:13:32
Nos, a legutóbbi microsoftos hibaösszesítővel nem ért véget a foltozandó szoftverek sora, tegnap ugyanis egész frissítéscunami materializálódott a virtuális térben (ez vajon kellően cypberpunk volt?). Az Adobe például frissítést adott ki a Shockwave és Flash Playerekhez, a…..
axt
2011.02.09 23:39:15
axt
2011.02.09 23:41:07
... mindkettő beledöglik a 2.2250738585072011e-308 számba. (-1) küldte a hírt, hogy a január elején itt is szóba került PHP problémához kísértetiesen hasonlót fedeztek fel a legújabb java futtatókörnyezetben és a fordítóban is! Az ExploringBinary cikke a következő…..
axt
2011.02.02 08:20:47
@deejayy: :-D
Állítólag már hosszabb ideje kering a neten az a Kaspersky Internet Security forráskód, amely most a szélesebb nyilvánosság számára is elérhetővé vált BitTorrenten, illetve fájlmegosztó weboldalakon (A fájlok a Kaspersky szellemi tulajdonát tartalmazzák, letölteni, tárolni…..
Még tavaly kaptam a következő érdekességet, de egészen az elmúlt hétig el volt kavarva a postaládámban: Az Óbudai Egyetem egyik gépén nyitva volt az internet felé egy LDAP port, amire névtelenül lehetett csatlakozni, odabent pedig szépen böngészhetők voltak a dolgozók (és…..
axt
2011.01.27 08:29:14
Egy élelmes script-kiddie 500$-ért árul hozzáférést különböző .gov és .mil (valamint ezek lineáris kombinációi) weboldalakhoz. Az oldalakról lebányászott személyes adatokhoz ezresével lehet hozzájutni mindössze 20$-ért. A történetben a legfájdalmasabb az, hogy az…..
A Digital Millenium Copyright Actre és más jogszabályokra hivatkozva perelné a PS3 kódjainak aláírásához használt titkos kulcs megszerzésének módszerét feltáró fail0verflow csapatot, és a kulcsot közzétevő, korábban az azóta javított PS3 jailbreakről elhíresült George…..
axt
2011.01.13 07:48:15
Kedvenc idézetem a témában: (bocs, hogy angol)
The XKCD "return 4" function that we showed is (essentially) part of the code that Sony HQ runs to sign games, it's not in the PS3 FW. The random number isn't 4, it's more like 007eabbb79360e14df1457a4194b82f71a0dc39280 (example). But it's still constant.
Kapcsolódó xkcd: xkcd.com/221/
Kiváncsi vagyok, ebből is lesz-e garanteed entropy póló? :-).
A perhez nem tudok sokat hozzászólni, de szerintem nem egyértelmű a kimenetele ...
The XKCD "return 4" function that we showed is (essentially) part of the code that Sony HQ runs to sign games, it's not in the PS3 FW. The random number isn't 4, it's more like 007eabbb79360e14df1457a4194b82f71a0dc39280 (example). But it's still constant.
Kapcsolódó xkcd: xkcd.com/221/
Kiváncsi vagyok, ebből is lesz-e garanteed entropy póló? :-).
A perhez nem tudok sokat hozzászólni, de szerintem nem egyértelmű a kimenetele ...
Belépve többet láthatsz. Itt beléphetsz
Respect az eddigi munkáért és a belefektetett időért!