23
XSS via URL
Czy kiedykolwiek zastanawiałeś się, w jaki sposób dane, wpisane do paska adresu przeglądarki są przez nią traktowane? Zrobimy dziś mały eksperyment, pokazujący pewne zagrożenie z serii ataków Cross-Site Scripting, które związane jest bezpośrednio z URI wprowadzanym przez użytkownika.
16
Google Translate jako proxy?
Dawno temu pojawił się pomysł używania niektórych usług Google jako proxy. Przykładowo, tłumacząc stronę (dzięki Google Translate) możemy ukryć się za adresem IP serwerów Googla. Zastanówmy się jednak, jak dokładnie kryjemy się za taką zasłoną i czy rzeczywiście, nikt nas nie widzi.
17
DEF CON CTF 2013 Quals – web writeups
Zwykle mój udział w CTF-owych eventach ograniczał się do zarejestrowania pod losowym nickiem, zerknięcia na co ciekawsze zadania webowe i próby (czasami nawet udanej) rozwiązania ich w krótkim, kilkunastominutowym przedziale czasu. Taki CTFowy blitz. Tym razem postanowiłem dołączyć do teamu i zmierzyć się z zadaniami z DEF CON CTF (ofc, zabrałem się tylko za weby). Oto mój krótki, pisany zaraz po zakończeniu writeup kategorii web (zwanej 3dub).
Czytaj dalej »»
19
Mało znany trick z 8.3
Był sobie konkurs (który nieskromnie mówiąc wygrałem). Przypomniał mi on o pewnym „tricku”, który dotyczy krótkich nazw plików (8.3).
22
Wesołych świąt + świąteczny Xmas Challenge 2012
Znowu mamy święta. Świąteczne życzenia oraz mały, świąteczny Challenge wrzucane na bloga to już prawie tradycja. Nie zabraknie ich więc również w 2012 roku.
27
Ciekawy XSS na Wykopie
Przeglądając ostatnio Wykop.pl (polski serwis społecznościowy) natrafiłem na ciekawy link (a właściwie na ciekawą zmienną GET doklejoną do URL). Z ciekawości chciałem zrozumieć do czego ona służy. Okazało się, że próby „zrozumienia” pozwoliły mi na wykonanie XSS’a.
Odkryty przeze mnie XSS był (moim zdaniem) dość nietypowy – właśnie dlatego postanowiłem opisać go trochę dokładniej. Oczywiście, wszystko w myśl zasady responsible disclosure – tak więc opisywana luka została już zgłoszona i załatana.