B0FH

Jeśli ktoś chce pytać czy jest możliwość pracy zdalnej to proszę nawet nie pisać, mam nadzieje, że z punktu widzenia bezpieczeństwa jest oczywistym, że stażysta nigdzie w żadnym banku nie będzie miał możliwości pracy zdalnej .

Szukam osoby chętne na staż w banku od "zaraz", ok 2 miesiące, 2000zł brutto, możliwość zatrudnienia (nie koniecznie zaraz po stażu, w zależności od otwartej rekrutacji, ewentualnie w innym dziale bezpieczeństwa IT). Ogromne możliwości rozwoju, nie szukamy aby ktoś zrobił za nas robotę (to nie consulting), ale aby znależć potencjalnych przyszłych pracowników.

Wymagane zainteresowanie tematem bezpieczeństwa IT pod kątem ataków (czyli fajnie jeśli już teraz bez czytania w necie wiesz co to np. XSS, SQL Injection). Wymagana niekaralność oraz język angielski na poziomie czytania dokumentacji.

Proszę o podesłanie na priv najlepiej linku do profilu linkedin/goldenline oraz ewentualnych projektów związanych z wyżej wymienioną tematyką.

Wykonam zlecenia związane z bezpieczeństwem IT (z naciskiem na system Linux oraz wszelkiego rodzaju testy penetracyjne jak np. aplikacji webowej zgodne z metodyką OWASP) posiadam certyfikat OSCP (najcięższy do zdania certyfikat z testów penetracyjnych). Posiadam również wieloletnie profesjonalne doświadczenie (3 gałęzie bezpieczeństwa IT - informatyka śledcza, CERT, pentesty) oraz dużo referencji.

Cena od 50 zł (netto za godzinę) w górę w zależności od charakteru/ilości pracy.

szukam taniego serwera z Windows, do testów potrzebuję, ktoś coś poleci? chciałbym żeby ogólnie działało bez problemów

warto się bawić w ten darmowy cloudflare ze stroną która ma np. 50 odwiedzin dziennie?

jakie masz doświadczenie i zrealizowane z powodzeniem projekty marketingowo-biznesowe?

około 2/3 ceny konkurencji http://remote-admin.pl/cennik.html + lepsze referencje

referencje jako admin firmy która jest w top10 polskich stron (via alexa.com)

oraz posiadam publicznie dostępne podziękowania za znalezienie luk bezpieczeństwa w stronach, które na dzień dzisiejszy są na miejscu względem oglądalności (via alexa.com):

świat: 6.091, USA: 3.710
świat: 5.164, USA: 2.406
świat: 220, USA: 221
świat: 760, USA: 374

ogólnie jeśli chodzi o publiczne podziękowania to 8 podmiotów z czego każdy ma swoją zakładkę na międzynarodowej Wikipedii

to tak w ramach reklamy i cennika

Tanio w zależności od potrzeb (więc nie podaje ceny z góry) oferuję profesjonalne usługi z zakresu zdalnej administracji Linux (z naciskiem na bezpieczeństwo) oraz monitoringu serwerów (po przez sondowanie serwera, zdalny serwer logów) rozliczany miesięcznie, audyty bezpieczeństwa (głównie aplikacji webowych, ale nie tylko), analiza po włamaniowa, analiza malware itp.

Posiadam referencje (i wiedzę), w tym częściowo publicznie dostępne podziękowania za znalezione luki bezpieczeństwa. Jestem członkiem projektu Debian (oraz w ramach dziedziczenia z Debiana można powiedzieć, że również Ubuntu) - mam klucz GPG podpisany przez Dewelopera Debiana co gwarantuje, że jestem osobą za którą się podaję.

Nie robię fuszerki tworząc przy tym luki bezpieczeństwa jak niestety dużo osób po których poprawiam i widzę po audytach bezpieczeństwa... wiedza admina powinna składać się również ze znajomości teorii bezpieczeństwa (security by obscurity itp).

W razie zainteresowania proszę o kontakt przez wiadomość prywatną i podanie adresu e-mail (ponieważ preferuję korespondencje mailową niżeli przez system wiadomości prywatnych) oraz podpisanie się.

dorzucę wycięcie banneru Debiana w wersji ssh

/etc/ssh/sshd_config

DebianBanner no
 

oraz programy takie jak DenyHosts, PSAD są o wiele lepsze od Fail2Ban (który jak sam zauważyłem działa niestabilnie)

Piszemy o przeciętnym Kowalskim, który "robi internety", a Ty mi tutaj z DNSSEC'iem wyskakujesz?

Inna sprawa, przed czym ma ten DNSSEC go uchronić jeśli w sytuacji którą zakładamy

na drodze od niego do resolver'a może ten pakiet przechwycić X osób,

zmodyfikować i odesłać cokolwiek?

Czy jesteś w stanie znaleźć szybko choć 10 popularnych stron komercyjnych,

które są zabezpieczone DNSSEC'iem ?

Kiedyś poświęciłem temu kilka godzin. Tych stron praktycznie nie ma. DNSSEC to mit.

 

Od tego jest poprawna konfiguracja sieci. Przez poprawna mam na myśli

zastosowanie mechanizmów zgodnie z planowanym wykorzystaniem danego segmentu.

Jeśli ktokolwiek pozwala na swawolne buszowanie w swojej sieci każdemu jak leci,

to kwestia ustawień połączeń SSL jest *najmniejszym problemem*.

Klient takiej sieci zawsze będzie podatny na atak - taki czy inny.

Jeśli jestem pomiędzy Tobą, a urządzeniem L3, a Ty nie masz PKI - mogę wszystko i nic tego nie zmieni.

to ja moze adekwatne pytanie, a ktory chaker w ogole w Polsce rozumie co to DNSSEC ? ide o zaklad ze 99% osob ktore takie cos beda przechwytywac nawet nie wie co to DNSSEC, a co dopiero jak to zrobic, ja rowniez nie wiem, postawic DNSSEC potrafie ale juz atak wykonac nie

zdecydowanie wiekszosc jeszcze nie korzysta z DNSSEC i to jest troche glupie, bo zawsze dodatkowe zabezpieczenie "tanim kosztem" jest dobre, niestety ja korzystam prywatnie z takich DNS, ktore nie wspieraja DNSSEC, DNSSEC jest po prostu malo powszechny jeszcze, to tak samo jak z IPv4 i IPv6

co do ostanich linii Twojej wypowiedzi to jeszcze j/w dochodzi XSS i wtedy mozesz wykorzystac atak BEAST i nie musisz byc w tej samej sieci, a XSS wszedzie sie znajdzie praktycznie

Ty za to robisz sie madrzejszy w miare tego co wygoglujesz.. najpierw czytam, ze ochrona przed beastem to jedna linijka, a teraz twierdzisz, ze naprawia ja tylko apache 2.2.24, ktory jeszcze oficjalnie nie istnieje . Jakim popularnym exploitem przechwyce transmieje? Na cholere mi transmisja, jak chce miec login i haslo usera to mu instaluje byle jaki keylogger, o czym pisal juz Kafi.. Przyloz sie po prostu jak bedziesz robil nastepny raport i tyle, skoncz bronic cos co jest nie do obrony.

koles... nie potrzebujesz trojana zeby javascript odpalic, wystarczy 1 lepszy XSS, a takich to od groma jest, nawet w produktach Google...

Nie ma co ukrywać, że CVE jest, więc literalnie problem występuje/istnieje.

 

Z mojego punktu widzenia, jeśli ktoś ma w sieci intruza ( MITM ) albo malware,

przy czym istnieje AFAIR tylko jeden komercyjny driver szyfrujący dane wpisywane na klawiaturze w warstwie kernela,

możliwość przeprowadzenia w.w. ataków to naprawdę *najmniejszy problem* jaki ma użytkownik.

W obu wypadkach atakujący ma pełną kontrolę nad stacją użytkownika.

 

Można się czepiać firmy hostingowe o to, jasne, ale to bardziej PR aniżeli błąd krytyczny wymagający natychmiastowej interwencji.

Inna sprawa, że ja nie jestem przekonany ( poprawcie mnie jeśli się mylę ),

że w obliczu tych wszystkich osób, które korzystają z antycznego softu - można tak sobie dowolnie

żonglować wymuszaniem wersji SSL'a, cipher'a etc.

DNSSEC i inne? a co jesli jest hotspot/sieci uczelniane/sieci blokowe itd, a nie koneicznie intruz w jakeis sieci domowej? MITM wykryje kazdy IDS/IPS w takiej sieci jesli istnieje, swoja droga polowa jesl inie wiekszosc tych mniejszych ISP pozwala Ci na zabawy w 2giej warstwie ISO/OSI

pomijajac juz fakt, ze mowisz o MITM, a BEAST i CRIME są atakami MITM...

wlasnie w przypadku antycznych userow to jest najwieksze niebezpieczenstwo, bo nowsze wersje same priorytetyzuja RC4 nad CBC

Ano to, że raport/tytuł tematu jest zatytułowany nie Podatność serwerów firm hostingowych na BEAST/CRIME tylko Bezpieczeństwo SSL serwerów firm hostingowych. A IMO na owe bezpieczeństwo SSL składa się także (szeroko pojęte) konfiguracja samego PKI.

przeciez wymienili tam punkty co zostalo sprawdzowe, przeciez nikt wszystkiego w temacie nie ujmuje, tylko ogol, a szczegoly w tresci

Ehh .

 

Jeśli user będzie miał milusiego szkodnika na komputerze, który będzie robił takie podstawowe rzeczy jak chociażby przechwytywanie znaków z klawiatury (o reszcie funkcji w ogóle nie wspominając) to wszystkie certyfikaty SSL są na jednoczesnej pozycji co hasła w plaintextcie. Ja rozumiem, że takie rzeczy są realnym zagrożeniem i jak najbardziej wypadałoby na nie zwrócić uwagę, ale nie stanowią bezpośredniego zagrożenia, które zagraża samej usłudze bądź serwerowi (czy jakiejś dalszej infrastrukturze). Osobiście też jestem zwolennikiem szyfrowania i używam go gdzie tylko się da, ale co byś nie wprowadził to i tak wszystko jest do przechwycenia odpowiednim softem na komputerze klienta. I na to wpływu nie masz, chyba że będziesz wymagał od klienta jakiegoś force-skanu antywirusem czy coś w ten deseń .

 

Sam test też uważam za taki sobie. Niby coś można z niego wyciągnąć, ale tak naprawdę nic szczegółowego nam nie mówi. Mam tu głównie na myśli wszystkie rzeczy, które zostały już wyżej wspomniane i nie ma sensu ich powtarzać. Prawda jest taka, że bez obiektywnego pentestu całej strony to takie pojedyncze testy nie mają nic wspólnego z rzeczywistymi zabezpieczeniami danej usługi. No dobra, może mają kilkuprocentowy wpływ na całość...

 

W IT Security trzeba się skupić na wszystkim równomiernie, dopiero jak wyrównamy poziom to się brać za rzeczy bardziej zaawansowane, aż dojdziemy do poziomu, w którym ciężko będzie wymyślić coś "jeszcze" .

a gdzie wystepuje jeszcze szyfrowanie poza SSL w komunikacji klient - serwer HTTP Twoim zdaniem? skoro mowimy o szyfrowaniu

Dales filmik z dupy, zaprzeczajacy temu co napisales i teraz dorabiasz sobie ideologie . I naucz sie czytac. Napisalem, ze zastosowanie takiego ataku to 5x wiecej roboty niz przy popularnych exploitach w celu przechwycenia.. tak naprawde czego? co z tego atakujacy ma? no wlasnie, userskie haslo.. sztuka dla sztuki.

 

 

 

Ten "raport bezpieczenstwa" wytyka bledy wynikajace z domyslnych konfigow Apache w roznych wersjach, ktore pozwalaja na atak. W zaleznosci czy ktos ma jeszcze antyczne 1.3, 2.2 czy moze juz 2.4 to jest na coraz mniej "bledow" podatny. A majac litespeeda nie jest podatny na zaden z listy. Ale za to na kilka innych..

a jakim popularnym exploitem przechwycisz transmisje SSL poza takim bledem albo sslstrip? takie cos to nawet problem przy nasluchu malware

dla twojej informacji to nie podatnosc samego Apache, a dotyczy kazdego demona www, co najmniej ostatnie konfigi apache/nginx ktore sa w wiekszosci dystrybucji linux

juz nawet Ci nie odpisuje, bo widze ze trollujesz piszac jakeis farmazony, tylko ciagle potwierdzasz ze nie znasz i nie rozumiesz tematu, swoja droga apache przed 2.2.24 nie jest w stanie sie ochronic przeciwko CRIME

# apt-cache show apache2 | grep Version
Version: 2.2.22-12
# cat /etc/issue.net
Debian GNU/Linux wheezy/sid

poniewaz nie obsluguja "SSLCompression" w konfiguracji modulu SSL

paradoksalnie dodam w jednym bug bounty zarobilem na BEAST

serio nie ma sie juz co klocic bo widze ze jestes jedna z tych osob ktore do upadlego bronia swojej racji mimo ze wiedza, ze racji nie maja... a tak niestety jest i juz pare razy udowodnilem Ci ze piszesz bzdury, to znowu probujesz w inny sposob, chyba po prostu j/w trollujesz i tyle...

niektóre mają błędy w stylu umieszczenia w tabeli adresu wywołującego alert o błędnym CN (czyli autor się nie wysilił nawet, aby takie błahostki zrobić poprawnie, to co dopiero jakość wykonania innych bardziej skomplikowanych rzeczy/analiz?)

nie rozumiem Twojego toku rozumowania chyba, to inny url z ta sama domena by to zmienil Twoim zdaniem? i co ma zaufanie certu do BEAST/CRIME? nie ogarniam chyba... bo tak troche ja o kozie, Ty o wozie

@BOFH no w 33 sekundzie Twojego filmiku stoi "beast attacks SSL in your browsers".. w 1:05 "beast consists of a network sniffer and Javascript/applet".. i jest on uruchamiany na komputerze usera. Pytasz co odpowiada za bezpieczenstwo logowania? no na pewno nie to, ze hosting ma dziurawego mysqla, php i apache podatne na 100 exploitow. najwazniejsze, ze jego SSL podatny jest na atak, do ktorego potrzeba zaangazowac 5x tyle roboty i gowno on Ci w przeliczeniu da . Dobrze Ci radze, daruj sobie juz te polemiki .

slyszales kiedys o czyms takim jak XSS? to poczytaj... moze Ci troche orzswietli ze wystarczy XSS + LAN, znam dziesiatki sieci uczelnianych, publicznych i innych tego typu w ktorych BEAST mozna wykonac, bo zajmuje sie ich audytowaniem i przedstawianiem PoC

eh 5* tyle roboty? poprawa bezpieczenstwa ssl to 1 plik konfiguracyjny, jaka robota? podmienic cfg i zrestartowac serwer www? udowadniasz tylko jak dobrze znasz temat, za kazdym postem, jak czytalem o tych trojanach i BEAST to uhm... heh

@#13 alphamale jakbyś się przyłozył do sprawy to byś zauwazyl, ze webhostingtalk.pl ma jako serwer http litespeeda.. a on sila rzeczy nie jest podatny na to co apache..

staru blagam Cie, poczytaj pierw a potem sie wypowiadaj, BEAST/CRIME to nie bledy apache, dzialaja tak samo na apache jak i nginx i innych bo dotycza CBC/kompresji kolejno...

dalej chcesz dyskutowac w tym temacie? bo ciagle sie kompromitujesz, a probujesz popisac i to jest wlasnie denerwujace, bo ewidentnie brak Ci podstaw

moze i do tego raportu dali jakas liste stron z chgw skad, ale co do bledow to sie ewidentnie czepiasz, co wynika z Twojej ignorancji, ja temat znam przypadkowo bo kolega pracuje z gosciem ktory jest autorem tego CVE, juz samo to ze BEAST ma medium CVE to powinno Ci dac do myslenia, ze bagatelizowanie to wiesz

polecam Ci poczytac przed kolejna wypowiedzia http://pl.wikipedia....rough_obscurity bo to ewidentny przyklad, ktory pokazuje ze nie masz nic wspolnego z bezpieczenstwem IT i slepo bronisz siebie i kolegow odpowiedzialnych za te hostingi

@BOFH Nawiazanie jest takie, ze atak beast to zaden wyznacznik elementarnego braku zabezpieczenia po stronie serwera, bo do jego wykonania jest potrzebny trojan u usera, podatna przegladarka www i podatne sa na niego nawet banki. rownie dobrze autor tego wspanialego raportu moglby oceniac bezpieczenstwo hostingow po tym, ze nie wysylaja jednorazowych hasel do logowania smsem.. juz rozumiesz czy jeszcze bedziesz zgrywal takiego co pozjadal wszysrtkie rozumy co potrafi przeczytac ale juz nie zinterpretowac rating danego buga? a "ustosunkowac" to wole sie z ladna dziewczyna.

umiesz czytac? przeczytaj nazwe tego dokumentu, ciagle dajesz do zrozumienia, ze nie potrafisz czytac, chyba ze to taka taktyka na brak argumentow

"Raport na temat bezpieczeństwa SSL serwerów firm hosting"

lol trojan i podatna przegladarka u usera potrzebna, stary poczytaj jeszcze o tym , forma obrazkowa http://www.youtube.com/watch?v=BTqAIDVUvrU

no tak, LAN czy trojan, co za roznica, pare literek zmienic i dodac

nie mam sily sie juz wypowiadac w tym temacie, bo nie masz zadncyh argumentow, nie rozumiesz bledu i albo udajesz jakiegos nie ten teges albo no coz... bo jest wyraznie napisane "bezpieczenstwa SSL" a nie "bezpieczenstwa", a co innego po stronie serwera jak SSL odpowiada za bezpieczenstwo transmisji np. logowania? no wiec, daj se siana... ja tez juz j/w nie pisze bo wszystko juz napisalem, a Ty niestety nic sensownego

No popatrz, a www.webhostingtalk.pl potrafił skonfigurować prawidłowo i włożyć w to pewnie z kwadrans

zycie, mnie po prostu slabi jak kolega MikeJones bagatelizuje blad bezpeiczenstwa, bo go nie rozumie i nie potrafi wykorzystac, widocznie nie jest dla pierwszego lepszego script kiddie, samo CVE mowi za siebie jak wysoko stoi exploitowalnosc BEAST i dlatego wole bronic tego "raportu" (lol), nizeli z wami stac po tej samej stronie

czekam MikeJones az sie merytorycznie ustosunkujesz do mojej wypowiedzi, jesli potrafisz , ciekawe jak bardzo znasz temat, ze tak doglebnie sie w nim wypowiadasz

@BOFH nie popusc w gacie.. zrob sobie https://www.ssllabs.com/ssltest/ dla mbnaku albo np. inteligo i zobacz co wyjdzie . "elementarne" bledy ssla w bankach? to z pewnoscia spisek. Albo autor raportu porwal sie z bazooka na muchy .

i gdzie tu nawiazanie do mojej wypowiedzi? zmieniasz temat bo nie potrafisz merytorycznie sie wypowiedziec? typowe dla ignorantow ktorzy sie popisuja na forum

@B0FH a to co Ty piszesz wyglada tak jakbys sam ten raport napisal...

a co mam nalezec do Waszego towarzystwa wzajemnej adoracji? wole nie

a moze po prostu mam pojecie o tym co jest tam napisane?

bo Ty wyraznie nie, zobacz sobie CVE jaki jest poziom dla BEAST, to samo za siebie mowi

ataki takie jak beast, ktore po pierwsze sa bardziej teoria niz praktyka

Exploitability Subscore: 8.6
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2011-3389
Exploitability   = case Exploitability of
					unproven:			 0.85
					proof-of-concept:	 0.9
					functional:		   0.95
					high:				 1.00
		   		 not defined	 1.00

dalej chcesz sie wypowiadac w temacie o ktorym nie masz pojecia?

coz, jesli elementarnymi bledami bezpieczenstwa w jakims firemkach hostingowych okreslamy ataki takie jak beast, ktore po pierwsze sa bardziej teoria niz praktyka, a po drugie nawet mbank jest podatny na nie, to dla mnie taki raport ociera sie o smiesznosc

jest napisane bezpieczeństwa SSL, a nie bezpieczeństwa

Ano np. to, czy jest to, czy wspomniane podatności dotyczą konfiguracji strony firmowej, czy też strony klienta, czy też czegoś tam innego.

Ponadto autor(zy?) tego zestawienia nie pofatygowali się nawet o sprawdzenie, czy analizują rzeczywiście to, co powinni...

Ot taki przykład - w zestawieniu podany jest ADRES i NAZWA. Weźmy sobie takie regdos.com. Wejdźmy na podaną w tabelce https://regdos.com. No i co nas wita na wejściu? Ano przeglądarkowy alert SSL o niepoprawnym CN certyfikatu

a co ma bezpieczeństwo szyfrowania w tym wypadku BEAST/CRIME do braku zaufania do certyfikatu? bo nie bardzo rozumiem, bo jak jets zaufany to nie szyfruje lepiej

zresztą, osobiście nie chce mi się już ich bronic, bo to co piszecie świadczy, że widocznie niezbyt rozumiecie o czym jest mowa w ogóle

świetnie.. kolejny idiotyczny "test" na tym forum wykonany na podstawie dziwnych kryteriów .. czyzby ktos robil to na zaliczenie na studiach?

a co jest idiotycznego w tym tescie i czemu kryteria są dziwne skoro to test bezpieczeństwa SSL, a tylko SSL odpowiada za szyfrowanie www? do idiotycznych rzeczy jeśli już coś się zalicza to Twój post imo

ktoś Ci wrzucił PHP shella i rozsyła spam, poszukaj:

grep -i phpmailer /var/www

czy gdzie tam masz stronę w katalogu...

Brakuje kropki po www.serverwww.pl, powinno byc:

www.serverwww.pl. IN CNAME serverwww.pl.

lub

www IN CNAME serverwww.pl.

informacje oraz miejsce na wrzucenie malware http://goo.gl/ZuK6A

przykładowe analizy http://goo.gl/E3DtQ

info dla moderatorow: nie jest to spam i nie nosi znamion spamu, dodatkowo całość jest darmowa

atak DoS/DDoS szukaj w /var/log po czasie z wykresów, jeśli zapycha CPU/MEM to w jakąś usługe pakuje

Nie widziałem debilnego ostrzeżenia. Jeżeli masz zastrzeżenia to pisz do osoby od której dostałeś ostrzeżenie. Po co od razu zakładać temat ze swoimi wypocinami? Tak ciężko się skontaktować? Z resztą warn słuszny.

 

Jeżeli tutaj mamy poziom podstawowy to co jeszcze robisz tutaj na forum? Chcesz upodobnić się do naszego niskiego poziomu?

gdzie pisac w sprawie usuniecia konta wraz z cala zawartoscia?