Przyjaciółka Nastusze

Ostatnie doniesienia portalu hack.pl nieźle mnie rozbawiły xD . Przypomne że jak piszą sami redaktorzy portalu w zakładce ‚Redakcja serwisu’ „HACK.pl to największy polski portal poświęcony bezpieczeństwu informatycznemu. Dysponujemy grupą młodych, kreatywnych osób(…)”. Michał Bućko, jeden z redaktorów, postanowił w ciekawy sposób zapromować jedną z uczestniczek konkursu na Miss Polski Grono.net 🙂 Czy mu się udało? zobaczymy xD

Może w najbliższych dniach pozostali członkowie redakcji hack.pl (naliczyłem się ich 14 poza M.Bućko :D) napiszą o swoich faworytkach? ;>

hacked cyberterroryzm.pl

Od początku powstania tejże strony, zastanawiałem się kiedy zostanie podmieniona. Stało się. „21 marca o godz. 14:34 strona główna naszego portalu została podmieniona” – pisze Gorion – „Podsumowując, uprzejmie informujemy, iż kilkudniowa przerwa w funkcjonowaniu naszego portalu była wynikiem ingerencji dwóch pseudohakerów w witrynę cyberterroryzm.pl (…) Redakcja portalu cyberterroryzm.pl w żaden sposób nie przyczyniła się do podatności i faktu podmiany strony, stąd nie ponosi żadnej odpowiedzialności za wynikłą sytuację.”

Smutne że czasami nie potrafimy przyznać się do błędów.. Gorion nazwał Gregstara oraz d3m0na ‚pseudohakerami’ nadając im przedrostek ‚pseudo’ tylko dlatego, że potrafili w prosty, twórczy sposób obejść zabezpieczenia na serwerze i spowodować podmianę strony. Naprawdę staram się zrozumieć Goriona, ale nie pojmuje dlaczego, jak pisze: „redakcja portalu cyberterroryzm.pl (…) przekazała sprawę Policji” – przecież to włamanie było dedykowane Gorionowi, mógł to potraktować jako wyzwanie i szanse na pokazanie że jest z niego specjalista z dziedziny bezpieczeństwa..

phpBP <= RC3 (2.204) FIX4 Remote SQL Injection Vulnerability

Znalazłem podatność w phpbp w najnowszej wersji, ze wszystkimi fixami, błąd banalny, zwykłe przeoczenie programisty zamiast $_GET[‚id’] filtrował $_POST[‚id’].. Ogólnie kod skryptu ciekawy, choć jakbym dłużej nad nim posiedział to zapewne znalazł bym jeszcze kilka błędów. Brawo dla supportu phpbp (szczególnie dla Leszka Piątka) za szybkie wydanie odpowiedniego patcha 😉 Link do podatności na milw0rmie

fuzzylime cms <= 3.01 Remote File Inclusion Vulnerability

Sprawdziłem fuzzylime cms pod względem błędów i opublikowałem najważniejszy, który dostrzegłem. Błąd znajduje się w pliku /code/display.php. Wywołany z innego kontekstu, powoduje ze można dołączyć zdalnie plik. Poza tą podatnością znalazłem jeszcze kilka LFI, których na razie nie publikuje.

portalll – jego start

Wiem, wiem: miał ruszyć nowy portal, jednak z różnych przyczyn jeszcze nie wystartował Dlaczego? na razie głównym powodem jest brak czasu/chęci (?) drugiego redaktora :PP Tak bywa, mam nadzieje że w niedługim czasie się coś ruszy z tym projektem.