Tag: webhacking

#23 Przykładowy atak hakerski w systemie Kali Linux (A-Z)

4 komentarze

W dzisiejszej lekcji zaprezentujemy w praktyce przykładowy symulowany atak hakerski na webowy system WordPress. Dowiesz się również czym jest zbieranie informacji, mapowanie zagrożeń, analiza podatności, sam atak, eksploracja systemu i raport bezpieczeństwa. Film dosyć długi, ciekawy i w sposób praktyczny podsumowujący informacje z całego naszego kursu Web Application Pentesting.

Wiele osób nie zdaje sobie sprawy, że prawdziwy audyt bezpieczeństwa składa się z tych sześciu kluczowych elementów. Oczywiście w dzisiejszym wideo wykorzystamy wiele wektorów ataku, a nawet gotowe exploity LFI/SQL Injection ogólnodostępne w sieci Internet.
Read More

WEP lekcja #9 – Atak cross site request forgery (XSRF/CSRF)

4 komentarze

W dzisiejszej #9 lekcji poznasz specyficzny atak o nazwie cross-site request forgery. W uproszczeniu atak ten polega na wysłaniu złośliwego żądania HTTP w imieniu ofiary. Przykładowo gdy audytor bezpieczeństwa odnajdzie lukę typu XSRF/CSRF, może spróbować nakłonić do wywołania danej akcji na stronie internetowej administratora lub zwykłego użytkownika strony (zmiana hasła, dodanie artykułu, zmiana ustawień witryny, zmiana podpisu na forum www itd) .

Jak wyżej wspomnieliśmy zaatakowana i oszukana ofiara, nieświadomie wywołuje pewną funkcjonalność strony. Tego typu luka często wykorzystywana jest z atakami typu XSS lub po prostu socjotechnicznymi. Wszystko zależy od budowy samej strony internetowej. O atakach XSS i języku JavaScript w połączeniu z CSRF dowiesz się z kolejnych lekcji. Read More

WEP lekcja #6 – Cookie Cadger, Wireshark i przechwytywanie ciasteczek sesyjnych

19 komentarzy

W dzisiejszej lekcji powiemy o przepotężnym narzędziu Cookie Cadger, umożliwiającym w sposób zautomatyzowany przechwytywanie ciasteczek sesyjnych (phpsessid). Dodatkowo pokazujemy również narzędzie Ettercap upraszczające atak man in the middle (MITM) typu ARP poisoning i świetne multiplatformowe narzędzie do analizy ruchu sieciowego o nazwie Wireshark. Wszystkie z tych narzędzi są tak naprawdę darmowymi snifferami, posiadającymi kilka dodatkowych funkcjonalności uzupełniających się nawzajem.

Z poprzedniej lekcji już co nieco wiesz o ciasteczkach sesyjnych i domyślasz się, że za ich pomocą możesz zalogować się do strony internetowej bez znajomości hasła i loginu. Dzisiaj pokażemy jak za pomocą programu typu sniffer przechwycić te cookies i wprowadzić do swojej przeglądarki przejmując w ten sposób sesje użytkownika. Read More

Startujemy z nową wersją web szkoły hakerstwa na YouTube

21 komentarzy

Miło nam poinformować Ciebie, że właśnie wystartowaliśmy z nowym cyklem kursów na naszym kanale YouTube. Dotyczyć one będą audytowania webowych aplikacji. Na chwilę obecną nosi on nazwę roboczą Web Application Pentesting – haker.edu.pl. Będziemy w nim prowadzić praktyczny podstawowy trening z zakresu atakowania i obrony wszelakimi metodami stron internetowych. Duży nacisk kładziemy na aspekt szybkiego wprowadzenia do tematu i praktykę. Do wielu zadań zamierzamy oczywiście zamieszczać prace domowe na naszym blogu, a odnośniki do nich znajdować będą się pod danym filmem. Chcemy Was wprowadzić w podstawowe tajniki wykrywania i wykorzystywania potencjalnych luk w aplikacjach webowych. Dzięki tej wiedzy w przyszłości łatwiej będzie Wam je naprawiać, jeśli zostaniecie programistami webowymi. Read More

PHP shell z wykorzystaniem Metasploit Framework

2 komentarze

Kolejny raz powracamy w dzisiejszym wpisie do opisywanego już przez nas PHP shell. Dla niepamiętków przypomnimy tylko że jest to taka tylna furtka wrzucona na stronę internetową www, która umożliwia zdalną kontrolę na serwerze. Taki backdoor może posłużyć zarówno do zarządzania serwerem (chociaż dużo lepszym rozwiązaniem jest ssh) jak i crackerom do webhackingu. Ostatnio opisywaliśmy narzędzie MSFvenom do generowania ładunków payload. Teraz ponownie wykorzystamy to śietne narzędzie darmowego pakietu dla hakerów Metasploit Framework. Standardowo użyjemy do prezentacji tego webowego backdoora systemu Kali Linux zainstalowanego w darmowym wirtualnym środowisku VirtualBox. Wpis ma oczywiście wymiar edukacyjny i jest przeznaczony tylko dla przyszłych audytorów bezpieczeństwa informatycznego. Należy pamiętać o aspektach prawnych wykorzystanej wiedzy. Read More

WebShell? Czyli tylna furtka w PHP shell’u

Leave a comment

W dzisiejszych wpisie znowu poruszymy temat WebHackingu. W ostatnich czasach coraz częściej słyszy się o atakach wymierzonych w konkretne witryny internetowe. Ataki mogą mieć podłoże zarówno ideologiczne, polityczne jak i mogą być formą zabawy ze strony początkującego hakera crackera. Dzisiaj powiemy czym jest webshell (php shell) i jak się bronić przed tego typu niechcianymi plikami. Przypominam od razu, że blog dedykowany jest dla osób raczkujących w tematach security it a nie specjalistów :-). Read More

Jak włamać się na stronę internetową? | KURS UPLOADERA #2

21 komentarzy

Dzisiaj poruszymy kolejny temat (już drugi:-)) z serii informatycznego webhackingu. W poprzednim poradniku na temat ataków XSS dowiedzieliście się na pewno wiele nowych rzeczy. Jeżeli czytasz ten wpis polecam sięgnąć najpierw do poprzedniego tutoriala. Dzisiaj powiemy jak zaatakować uploader plików. Zaczniemy od najprostszych przykładów, jednak należy zdać sobię sprawę że nadal ta podatność a raczej brak przemyślenia pewnych kwestii przez programistę występuje na stronach www. W skrócie i prostym językiem mówiąc, powiemy dlaczego nie filtrowanie typów plików (np. czy plik jest zdjęciem, plikiem tekstowym czy innym) po stronie serwera lub klienta jest bardzo niebezpieczne dla strony internetowej. Read More

Jak włamać się na stronę internetową? | KURS – XSS #1

105 komentarzy

Dzisiejszy wpis rozpoczyna cykl poradników o webhackingu. W tym kursie będziemy pisać i mówić językiem od ludzi, dla ludzi! Jeśli interesuje Cię bezpieczeństwo stron internetowych, audyty informatyczne (bezpieczeństwa) lub po prostu prowadzisz swoją stronę internetową albo jesteś początkującym programistą PHP/HTML/JS/technologi sieciowych to dobrze trafiłeś! W każdym wpisie z cyklu hackingu stron www na naszym blogu, pokażemy jeden rodzaj ataku. Ataków jest bardzo wiele, mogą dotyczyć samego hostingu, pojedynczej strony www a nawet serwerów DNS. Cały kurs będzie przeznaczony dla początkujących hakerów i zatytułowaliśmy go roboczo „od zera do megahakera„. Nie jesteśmy prawdziwymi profesjonalnymi hakerami, traktujemy to bardziej jako zabawę i nauke. Jeżeli chcecie osiągać jakieś sukcesy w branży IT bądź hackingu, warto już na wczesnym etapie swojego rozwoju tak podchodzić do sprawy i uczyć się uczyć się i uczyć się – to tylko informatyka (albo aż:)). Do wpisu dołączony jest również zupełnie za darmo zestaw skryptów szkoleniowych i film wideo (oczywiście w naszym ojczystym języku uzupełniający zagadnienie ataków XSS :)) Gotowy na pytanie” jak włamać się na stronę internetową”? Read More