W dzisiejszym wpisie pokażemy jak podzielić dowolny plik tekstowy na mniejsze części. Niektórzy z Was pytali nas w komentarzach w jaki sposób można rozłożyć słownik z potencjalnymi hasłami do ataku brute-force na mniejsze fragmenty. Motywowali to błędami w programie THC-Hydra wynikającymi z olbrzymiego rozmiaru pliku słownika tekstowego. W tym krótkim wpisie pokażemy jak podzielić plik na party za pomocą dwóch różnych sposobów. Pierwsze z nich to Linuksowy program split służący właśnie do tego celu. Druga metoda to nasze autorskie proste rozwiązanie problemu podziału pliku na kawałki napisane w języku skryptowym PHP. Postanowiliśmy ten skrypt udostępnić bo jest to można powiedzieć rozwiązanie multiplatformowe a nie każdy ma system Linux. Wystarczy w tej metodzie zainstalować sobie serwer np. XAMPP i odpalić nasz skrypt PHP w przeglądarce internetowej. Czytaj więcej
XFCE w systemie Kali Linux 2.0 | OPTYMALIZACJA SYSTEMU
Pewnie wielu z Was ma zainstalowany system Kali Linux w swoim środowisku wirtualnym VirtualBox lub VMware Player. Nie wiem czy macie takie samo wrażenie jak ja, ale Kali w wersji 2.0 jest dosyć ociężałym systemem ze względu na zastosowane środowisko graficznego Gnome w jednej z najnowszych wersji. Wiadomo sytuacja diametralnie się zmienia jeśli zainstalowalibyśmy fizycznie system na swoim dysku twardym. Mam pewne rozwiązanie dla Was. Pokażemy dzisiaj jak zainstalować jedno z moich ulubionych środowisk graficznych dla systemu Linux o nazwie XFCE. Tak naprawdę cała operacja jest bardzo prosta i znacząco poprawia szybkość działania naszego wirtualnego systemu operacyjnego. Czytaj więcej
Dictionary attack na formularz HTTP POST z THC-Hydra
Dzisiaj pokażemy jak za pomocą opisywalnego już przez nas oprogramowania THC-Hydra w wersji 8.1 napastnik może zaatakować dowolny formularz na stronie internetowej z pomocą słownika (dictionary attack). Takim formularzem może być przykładowo panel logowania do systemu administracyjnego daną stroną internetową. Za pomocą tej metody w bardzo prosty sposób możemy również przetestować w praktyce siłę swojego hasła i poprawność konfiguracji serwera hostingowego. Dodatkowo możemy sprawdzić odporność naszych skryptów na ataki słownikowe lub brute-force. Naszym zdaniem właśnie w ten sposób ostatnio OurMine Team atakował konta w serwisie Instagram. Prawdopodobnie wybierali z toplisty różnych krajów tysiące kont YouTuberów i testowali ich hasła istagraowe brutalną siłą na chybił trafił. Nie był to raczej atak skierowany na konkretne osoby. Czytaj więcej
Tworzymy swoją whiteliste w php i htaccess
Dzisiaj powiemy o bardzo fajnej i prostej sztuczce umożliwiające w bardzo łatwy, a co najważniejsze szybki sposób zwiększyć bezpieczeństwo witryny z standardowym panelem administracyjnym. Pokażemy jak za pomocą pliku .htaccess lub skryptu php utworzyć białą listę (tzn. white list) dozwolonych użytkowników. Sztuczka polega na ograniczeniu możliwości logowania lub dostępu do danego katalogu na serwerze www, poprzez wyznaczenie zaufanych osób z danej puli IP. Dla tych szybkich od razu dodamy że chodzi o zabawę z dyrektywą htaccess deny from all lub w przypadku skryptu języka PHP wykorzystaniu informacji o adresie IP zawartej w tablicy $_SERVER[’REMOTE_ADDR’]. Czytaj więcej
Najlepszy antywirus Android | TEST ANTYWIRUSÓW
Coraz częściej słyszy się pytania czy antywirus Android jest niezbędnym programem na naszych smartfonach. O atakach hakerów na urządzenia mobilne w tamtym roku było bardzo dużo doniesień. Również w sklepie Google Play widać wyraźnie wyraźnie że ochrona telefonu, tabletu i innych urządzeń multimedialnych staje się coraz ważniejszym zadaniem w firmach projektujących rozwiązania zabezpieczające. Dzisiejsze aplikacje już nie tylko wykrywają wirusy, spyware, spam lub phishing. Nowoczesne programy ochronne posiadają takie funkcje jak wykrywanie zrootowanego telefonu, systemy ochrony przed kradzieżą (Anti-Theft), funkcje szyfrowania zawartośći telefonu i karty pamięci, możliwość tworzenia kopi zapasowych plików w chmurze a nawet moduły ochrony rodzicielskiej.
Najpopularniejsze obecnie na Polskim rynku rozwiązania to Avast Mobile Security, Mcafee Mobile Security, AVG i Norton Mobile Security. Podczas przeprowadzania naszego testu antywirusów na Androida kolejny raz okazuje się, że to wcale nie te najbardziej popularne są najskuteczniejszymi rozwiązaniami ochronnymi dla naszego urządzenia. Przejdźmy do rzeczy. Jaki jest najlepszy antywirus na androida? Dzisiaj przetestujemy najlepsze! Czytaj więcej
Hakuj co chcesz zatruwając tablice ARP, czyli DNS SPOOFING…
Dzisiaj o szalenie niebezpiecznym ataku DNS Spoofing. Wyobrażacie sobie sytuacje w której wchodzicie na oficjalną stronę w domenie twitter.com, facebook.com albo gooogle.pl i… widzicie fałszywą stronę www nie zdając sobie z tego sprawy? Tak… właśnie dlatego ten atak może być tak niebezpieczny. Dzisiaj kolejny raz będzie temat krążący w pobliżu analizatorów pakietów w sieciach komputerowych. Sniffer bo o nim mowa może służyć zarówno do tych złych jak i dobrych celów. Jest to oprogramowanie lub urządzenie podsłuchujące ruch w sieciach informatycznych. Przed przystąpieniem do czytania tego wpisu należy bezzwłocznie najpierw przeczytać poprzedni artykuł na ten temat: czym jest sniffer. Nie zawsze topologia sieci pozwala na taki podsłuch innego urządzenia (telefonu lub komputera).
Nieraz haker musi oszukać przełączniki sieciowe (switche), komputer ofiary lub sam router w pewnych sprawach. Z pomocą w takich przypadkach przychodzi atak już kilkakrotnie opisywany man in the middle i narzędzie arpspoof. Atak ARP Cache Poisoning został również opisany w powyższym wpisie. My jednak zajmiemy się czymś szalenie groźnym jak wspomnieliśmy a więc atakiem DNS Cache Poisoning.
Zatruwanie DNS polega tak naprawdę na oszukiwaniu klienta końcowego z wykorzystaniem protokołu systemu nazw domenowych. Haker wmawia klientowi, że serwer domeny www o danej nazwie znajduje się pod innym adresem IP niż naprawdę. Zaznaczam, że wykorzystanie tego ataku na niepoinformowanej osobie jest przestępstwem. Wpis ma tylko charakter edukacyjny i jest dedykowany dla przyszłych audytorów bezpieczeństwa. Czytaj więcej
Wykonywanie jpg, gif lub png jako skrypt PHP
Dzisiaj krótki wpis na temat pewnej sztuczki w PHP. Na pewno pamiętacie wpis jak sprawdzić IP. Sposób drugi w nim przedstawiony wykorzystywał przygotowany skrypt napisany w języku PHP do zarejestrowania adresu IP użytkownika, który odwiedza naszą stronę WWW.
Dzisiaj pokażemy pewien trik, dzięki któremu w jeszcze lepszy sposób haker może ukryć swoje intencje. Pokażemy jak za pomocą pliku konfiguracyjnego serwera Apache .htaccess, można w prosty sposób umożliwić wykonywanie plików graficznych, zupełnie tak jak zwykłego skryptu języka PHP. Oczywiście sposób nie ogranicza się tylko do plików z rozszerzeniem jpg, gif lub png. Możemy tą sztuczkę wykorzystać w stosunku do dowolnego rozszerzenia plików. Czytaj więcej
Darmowy hosting TOR z domeną .onion | ZRÓB TO SAM
Kilka wpisów temu pisaliśmy jak dostać się do podziemnego Internetu Deep Web za pomocą sieci Tor. W dzisiejszym wpisie przedstawimy jak w najprostrzy sposób stworzyć swoją stronę w dark necie. W gruncie rzeczy stworzenie takiego hostingu jest dosyć proste i ogranicza się do edycji dwóch linijek kodu w programie Tor Browser.
Jedyne co nam będzie potrzebne to jakiś pakiet serwera WWW, dostęp do Internetu i Tor Browser. Do wpisu dołączony jest film na YouTubie, który ładniej obrazuje całość konfiguracji. Dodatkowo jest w nim pokazane jak przekierować porty na swoim routerze. Osobom czytającym wpis o trojanie typu payload na pewno ta informacja może też się przydać. Czytaj więcej
PHP shell z wykorzystaniem Metasploit Framework
Kolejny raz powracamy w dzisiejszym wpisie do opisywanego już przez nas PHP shell. Dla niepamiętków przypomnimy tylko że jest to taka tylna furtka wrzucona na stronę internetową www, która umożliwia zdalną kontrolę na serwerze. Taki backdoor może posłużyć zarówno do zarządzania serwerem (chociaż dużo lepszym rozwiązaniem jest ssh) jak i crackerom do webhackingu. Ostatnio opisywaliśmy narzędzie MSFvenom do generowania ładunków payload. Teraz ponownie wykorzystamy to śietne narzędzie darmowego pakietu dla hakerów Metasploit Framework. Standardowo użyjemy do prezentacji tego webowego backdoora systemu Kali Linux zainstalowanego w darmowym wirtualnym środowisku VirtualBox. Wpis ma oczywiście wymiar edukacyjny i jest przeznaczony tylko dla przyszłych audytorów bezpieczeństwa informatycznego. Należy pamiętać o aspektach prawnych wykorzystanej wiedzy. Czytaj więcej