Blog

Upgrade Kali linuxu

Kali linux od verze 2016.1 přichází ve formě “rolling upgrade” distribuce. To znamená, že lze Kali neustále povyšovat na aktuální verzi. V dnešním příspěvku si ukážeme, jak takový “rolling upgrade” správně provádět. V příspěvku se záměrně vyhýbám českému překladu “plynulé povyšování verze”, čtenáři mi to jistě prominou. Verze Otevřeme si terminál a příkazem uname -a zjistíme současnou verzi Kali linuxu.

Z výpisu vidíme, že máme verzi 4.9.0 Kali2 kompilovanou pro procesory s instrukční sadou AMD64 (x86_x64), což je 64bit…

Číst dál

Cross-site Request Forgery (CSRF)

Cross-site Request Forgery (CSRF) je zranitelnost webových aplikací, která za určitých podmínek umožňuje autentizované uživatele donutit k tomu, aby provedli nezamýšlenou akci. Podstata zranitelnosti tkví v tom, že aplikace nedokáže rozlišit požadavky, které uživatel “zavolal” neúmyslně. Než odhalíme podstatu CSRF, seznámíme se nejdříve s mechanizmem cookies, který webové aplikace využívají k identifikaci relace uživatele. Identifikátor relace uživatele Představme si eshop, kde se můžeme zaregistrovat, přihlásit a nakoupit. Když poprvé navštívíme stránky eshopu, dostaneme tzv. “session” – identifikátor relace. Najdeme jej…

Číst dál

WABANK – úmyslně zranitelná webová aplikace

WABANK je úmyslně zranitelná webová aplikace, na které si můžete procvičit testování zranitelností podle zprávy OWASP Top 10. Aplikace je zdarma pro nekomerční využití.         Ke stažení Ke stažení je alfa verze  Jak na to? Stáhněte si webovou aplikaci a rozbalte zip archiv (Hackerlab-WABANK-1-0-alpha.zip). V souboru README.TXT najdete instalační postup pro Debian/Ubuntu linux. S přihlašovacími údaji admin/admin získáte přístup do “debug panelu”. Nástrojem OWASP ZAP nebo Burp Suite hledejte zranitelnosti. OWASP Top 10 Aplikace WABANK obsahuje tyto…

Číst dál

Sběr informací o webové aplikaci

Každý penetrační test má průzkumnou fázi, která se snaží získat informace o cíli a to buď přímým pozorováním nebo sběrem informačních otisků v internetu. V příspěvku se zaměříme na testy sběru dat v rámci testování webových aplikací. Nejde o jejich úplný výčet. Cílem je ukázat, co mohou takové testy za pomocí běžného prohlížeče prozradit. Než začneme Diskutujeme zde příklady bezpečnostních testů. Jsou pouze dvě možnosti, které vám zajistí právní ochranu. Ta první je, že jste vlastník testovaného webu a ta…

Číst dál

Kali linux – jak vyměnit Javu

Nedávno jsem testoval webovou aplikaci nástrojem Burp Suite a po nějaké době vždy spadnul. Nikde ani stopy po chybě. Začal jsem hledat zda je to vůbec chyba nástroje. Na stránkách podpory “Burpa” jsem našel podobný problém, který podezírá OpenJDK, což je zjednodušeně řečeno běhového prostředí pro Javu. Tyto chyby jsou nepříjemné, je to pád virtuálního stroje pro Javu (JVM). Rozhodl jsem se, že “Javu vyměním”. Následoval jsem postup v komunitním fóru Kali jak vyměnit OpenJDK za Oracle Javu a problém…

Číst dál

Nikto – skenujeme web server

Pokud se zaměřujete na weby a máte nainstalovaný Kali linux, tak nástroj Nikto bude jeden z prvních, který začnete zkoumat. Tento článek vás provede architekturou a vybranými volbami tohoto nástroje. K čemu je skener? Nikto je skener na testování bezpečnosti webových serverů. Přesněji řečeno otestuje základní “dětské nemoci” konfigurace web serveru, nepřehlédne typické adresáře a soubory o kterých možná ani nevíte. Pokud vlastníte a provozujete web server, určitě tento nástroj vyzkoušejte. Nikdy není na škodu vědět, co všechno útočník může z…

Číst dál

Kali linux – Aktualizace nástrojů

V repositáři Kali linuxu je spousta připravených balíčků s hacking nástroji, ale dříve nebo později každý takový balíček zestárne a ne vždy vývojáři linuxové distribuce Kali osvěží repositář o nové verze. Jak se s tím poprat? To si ukážeme právě v tomto příspěvku. Proč ostřit nástroje? Příprava nástrojů a jejich aktualizace je zásadní pro každý bezpečnostní test. Zvyšujeme šance, že objevíme více nálezů nebo nepřehlédneme zásadní chybu. Proto před každým testem ověřujeme, zda neexistují nové aktualizace. K této přípravě patří…

Číst dál

Kali linux

V dnešním příspěvku se seznámíš s linuxovou distribuci Kali, která je určená pro penetrační testy. Co je Kali linux Kali je linuxová distribuce zkompletovaná na míru penetračním testerům. Co to znamená? Znamená to, že máš jeden operační systém se všemi základními nástroji, které každý etický hacker potřebuje do svého arzenálu. Tato kompilace šetří tvůj čas, protože udržovat závislosti mezi knihovnami a balíčky různých nástrojů stojí spoustu úsilí. Kali je operační systém určený pouze pro bezpečnostní testy. Neměl bys používat Kali…

Číst dál

English Hacker

Jednou večer jsem procházel český internet na klíčová slova hacker a hacking. Neustále mi vyhledávač našeptával spojení slov english hacker. Dlouho jsem to ignoroval, ale jednoho dne jsem se prokliknul na stránky projektu englishhacker.cz a musím říct, že to na mě udělalo dojem. Došlo mi, že i studenti mých hacking kurzů bojují s mluvenou angličtinou. Začal jsem vážně přemýšlet o tom, že požádám Markétu Růžičkovou o rozhovor, aby nám představila svůj projekt englishhacker.cz. PJ: Ahoj Markéto, děkuji, že jsi souhlasila…

Číst dál

Jak se stát hackerem

V tomto příspěvku budu mluvit o tom, jak se stát hackerem, přesněji řečeno jak se učit a s čím začít. Je to osnova hackingu pro začátečníky a nehrajeme si zde na exceletní hackery. Úvod do terminologie Podívejme se nejdříve, kdo je hacker a co znamenají označení cracker, etický hacker a penetrační tester. Hacker a cracker Za hackera je běžně médii označován člověk, který získá neoprávněný přístup k datům, způsobí nedostupnost služby nebo získá kontrolu nad celým serverem. Správně by média…

Číst dál

Blog

Kontakty

Upgrade Kali linuxu

Kali linux od verze 2016.1 přichází ve formě “rolling upgrade” distribuce. To znamená, že lze Kali neustále povyšovat na aktuální verzi. V dnešním příspěvku si…

Číst dál

Cross-site Request Forgery (CSRF)

Cross-site Request Forgery (CSRF) je zranitelnost webových aplikací, která za určitých podmínek umožňuje autentizované uživatele donutit k tomu, aby provedli nezamýšlenou akci. Podstata zranitelnosti tkví…

Číst dál

WABANK – úmyslně zranitelná webová aplikace

WABANK je úmyslně zranitelná webová aplikace, na které si můžete procvičit testování zranitelností podle zprávy OWASP Top 10. Aplikace je zdarma pro nekomerční využití.  …

Číst dál

Kontakty

+420 739 639 132

Petr Juhaňák, lockdown
V Poli 547, 517 71, České Meziříčí

IČO 01259041