Przeprowadzając co jakiś czas audyt serwisów internetowych w Polsce i doszukując się poprawy ich bezpieczeństwa, natknąłem się na portal za10groszy.pl. Po wstępnym, 15-minutowym przeglądaniu zawartości serwisu okazało się, że w jego zabezpieczeniach można znaleźć całkiem sporo błędów.  więcej

W bieżącym miesiącu gigant z Redmond opublikował 9 aktualizacji, w tym 3 oznaczone jako krytyczne. Programiści usunęli 56 luk w zabezpieczeniach różnych usług i aplikacji. Jedna z nich utrzymała się w systemie Windows przez 15 lat!  więcej

Korzystasz z WordPressa? Koniecznie zaktualizuj go do najnowszej, wydanej w ubiegłym tygodniu wersji 4.0.1, by uniknąć ataków.  więcej

We wrześniu gigant z Redmond opublikował zaledwie dwa biuletyny zabezpieczeń. Oba zostały oznaczone jako ważne. Skorzystanie z udostępnionych aktualizacji pozwoli zapobiec atakom cross-site scripting (XSS).  więcej

W ubiegłym tygodniu Twitter obchodził 5 rocznicę swojego powstania. Mimo krótkiej historii serwis ten doświadczył wielu incydentów związanych z naruszeniem bezpieczeństwa.  więcej

Luki umożliwiające atak XSS (ang. cross-site scripting) nie należą do rzadkości, a im większy zasięg ma dana usługa, tym większych należy spodziewać się szkód. Mimo to nie ustrzegli się ich nawet najpoważniejsi gracze polskiego rynku, tacy jak Allegro, Onet czy Nasza Klasa. Ostatnio z tego typu dziurą rozprawili się także twórcy komunikatora Gadu-Gadu.  więcej

Przystępując do tworzenia witryny swego e-sklepu lub zlecając to komukolwiek, sprzedawca nie może zaniedbać kwestii bezpieczeństwa. Błędy popełnione na etapie planowania bywają bardzo trudne do usunięcia w przyszłości. W wyniku niewłaściwego zabezpieczenia serwisu może dojść nie tylko do spadku zadowolenia klientów, ale także do strat finansowych powstałych na skutek kradzieży. Przygotowaliśmy krótki przewodnik, na co trzeba zwrócić uwagę w pierwszej kolejności.  więcej

W niedzielę, 4 lipca, wielu fanów pewnej popowej gwiazdki o nazwisku Justin Bieber spotkała przykra niespodzianka: oglądając na youtube.com teledyski swojego idola, byli oni bombardowani wyskakującymi komunikatami o jego śmierci bądź przekierowywani na strony typu „tylko dla dorosłych”. Fakt ten dosyć szybko wzbudził zainteresowanie specjalistów z dziedziny bezpieczeństwa IT i okazało się, iż serwis YouTube padł ofiarą klasycznego ataku XSS (Cross-Site Scripting).  więcej

Luki pozwalające na atak XSS nie należą do rzadkości, w przypadku serwisów z dużą liczbą użytkowników oraz takich, które operują finansami, nie można ich jednak lekceważyć. Błąd na stronie mBanku, zgłoszony w tym tygodniu przez niezależnego specjalistę ds. bezpieczeństwa, umożliwiał przekierowanie użytkownika na sfałszowaną witrynę. Problem został już rozwiązany.  więcej

Można dojść do wniosku, że kodu pisanego przez programistów Naszej-Klasy, mającego poszerzać funkcjonalność serwisu, nikt nie sprawdza - napisał do redakcji Dziennika Internautów jeden z Czytelników, który znalazł błąd typu XSS w module pozwalającym na podarowanie Eurogąbek. Problem został już usunięty.  więcej

Sprawdzenie, czy dana strona jest podatna na atak XSS, to stosunkowo łatwe zadanie. W większości przypadków sprowadza się do żmudnego wpisywania w pola formularzy odpowiednio przygotowanego kodu. Dziennik Internautów zapytał prawnika, czy podejmowanie takich działań może skutkować odpowiedzialnością cywilną lub karną. Okazało się, że tak.  więcej

W związku z napływem do Dziennika Internautów informacji o lukach na różnych stronach internetowych postanowiliśmy wypytać prawnika, czy można upubliczniać informacje o błędach bez poinformowania o nich właściciela serwisu, co grozi za wykorzystanie ich do własnych celów itp.  więcej

Błąd umożliwiający atak XSS, czyli cross-site scripting należy do najczęściej wykrywanych podatności w aplikacjach bazodanowych działających w sieci. Nie ustrzegły się go nawet największe serwisy. Iwo Graj powiadomił redakcję Dziennika Internautów o takiej właśnie luce odkrytej w serwisie Zumi, który należy do Grupy Onet.pl.  więcej

Czytelnik Dziennika Internautów, używający pseudonimu Alladyn, poinformował nas o błędzie XSS (cross-site scripting) w serwisie pocztowym Onet.pl. Istnienie luki potwierdził współpracujący z DI ekspert.  więcej

Poszerzanie funkcjonalności serwisów internetowych nie zawsze idzie w parze z dbałością o bezpieczeństwo użytkowników. Udowodnił to Czytelnik Dziennika Internautów, wykrywając na stronach Naszej-Klasy błąd typu XSS. Istnienie luki potwierdziło dwóch ekspertów ds. bezpieczeństwa. Nasza-Klasa zapewnia, że problem został rozwiązany.  więcej