Deserializační útoky v PHP s využitím Phar archivů

V moderním světě webových aplikací se otázky bezpečnosti stávají stále důležitějšími, zejména při práci s dynamickými daty a objekty. Serializace a deserializace jsou běžně používané techniky pro ukládání nebo přenos dat mezi různými částmi aplikace. Přesto mohou představovat vážná rizika, pokud nejsou správně ošetřeny. Tento článek se zaměřuje na problematiku zneužití deserializace v prostředí PHP, zejména na zranitelnosti spojené s objekty a archivy PHAR.

Bezpečnostní novinky v nejnovější verzi Apple iOS 18

Mobilní telefony dále rozšiřují své schopnosti, díky kterým si dokáží poradit se stále náročnějšími úkoly, které jim zadáváme. Od správy financí, přes osobní či firemní komunikaci až po využívání umělé inteligence. To všechno má za následek, že výrobci telefonů a operačních systémů musí neustále vylepšovat bezpečnost svých produktů, aby ochránili uživatele, jejich soukromí a cenná osobní data. V tomto ohledu nová verze operačního systému iOS přinesla jeden z největších updatů v historii. Pojďme se nyní na několik hlavních prvků podívat více do detailu.

Vytvoření vlastního Shellcodu – část 2

Dnešní článek přímo naváže na konec předchozího, kde jsme si nastínili, jak vytvořit vlastní shellcode, respektive jeho základ. Pro použití v praxi (exploitu) je však nezbytné vyhnout se některým aspektům např. použití hodnoty NULL nebo závislosti na pozici v paměti, což si názorně předvedeme. Aby námi vytvořený shellcode nezůstal pouze jako nic nedělající „kostra“, vytvoříme ten obecně nejrozšířenější – reverse shell.

Generovanie HMAC tokenu v BurpSuite

Nasledujúci článok sa bude zaoberať problematikou generovania HMAC tokenov na základe klienta a možnými riešeniami, vrátane použitia nástrojov ako Puppeteer, Headless prehliadač a Burp Suite PyScripter-er pluginu. Táto problematika je relevantná pre situácie, kedy je potrebné generovať HMAC hlavičky pre každú HTTP požiadavku, pričom HMAC sa generuje z challenge a kľúča dynamicky na strane klienta.

Burp Suite na Steroidoch

Burp Suite je už teraz všestranný a výkonný nástroj pre profesionálov v oblasti webovej bezpečnosti. Ponúka širokú škálu funkcií na testovanie bezpečnosti webových aplikácií, ako je skenovanie, prehľadávanie a zachytávanie HTTP požiadaviek. Avšak pre tých, ktorí hľadajú ešte väčšiu flexibilitu a automatizáciu, je plugin PyScripterer ideálnym pomocníkom pre špecifické úlohy s ktorými sa môžete stretnúť pri penetračných testoch.