לגלישה באתר בגירסה המותאמת לסלולאר

בהנהלת:

אופן הצפייה:
הסתרת שרשור מעל   תגובות
עץ הודעות:
ברוכים הבאים לפורום אבטחת מידע

אנא הקפידו לקרוא את נוהלי פורום אבטחת מידע במאמרים


מספר כללי התנהגות
* אנא קראו את כללי הפורום לפני כתיבת ההודעה הראשונה.
* אין לפרסם בפורום - בשביל זה נועדו הלוחות
* אנא הקפידו לשרשר, כל הודעה חדשה דוחקת אחרת לדף הקודם
* אין לעבור על חוקי מדינת ישראל בכל הקשור לפריצות וכיו'
* לפעמים אמירת אינה פשע..

Deviation ו- Y0NaTaN

reflected xss
25/10/14 20:43
5צפיות
אני יודע ש stored xss זה בעצם קוד שאני משתיל באתר וגורם ליוזרים למשל להקיש שוב את השם משתמש והסיסמה שלהם, מה זה בעצם reflected? הסתכלתי בכמה אתרים זה נראה ממש דומה ל stored, אני לא מצליח להבדיל ביניהם
ודרך אגב, במצב שבו היוזר הקיש שוב שם משתמש וסיסמה ב stored איך זה מגיע אלי?, תודה
 
כאן יש דוגמא ל reflected אבל לא הבנתי במה הוא שונה מ Stored ובמה הוא בעצם מזיק
ת'
25/10/14 23:36
3צפיות
Stored - כשמו כן הוא, הבקשה הזדונית נשמרת בDB של האתר ונשלפת ע"פ דרישת המותקף (קשר עקיף בינך ובין המותקף, יותר מתאים באופיו להתקפות מזדמנות ולא ממוקדות). לשאלתך, ניתן ליזום בקשה לאתר של התוקף עם הפרטים שהוזנו (לא ישירות בגלל מגבלות אבטחה של js, אבל בדרכים עקיפות - למשל ע"י יצירת אלמנטים של html, נניח תמונה, שהsrc שלהם מכיל את כתובת האתר של התוקף).
 
Reflected - ההבדל המיידי הוא שהקוד לא נשמר בDB. האתר הוא רק תווך מעבר, כשהקוד הזדוני עושה דרכו מהפלט אל הקלט כמות שהוא. כאן כבר כנראה שתצטרך להגיע "ישירות" אל המותקף ולגרום לו להיכנס לקישור שתכין מבעוד מועד ויעביר את הקוד שלך אל האתר ומהאתר חזרה אל המותקף.
חסימת פייסבוק ממחשב ומטאבלט
25/10/14 21:02
7צפיות
אהלן
אני מעוניינת לחסום גישה לפייסבוק מהמחשב ומהטאבלט של בתי התיכוניסטית,
איך אפשר לעשות זאת (בדרך הכי פשוטה שאפשר)?
 
תודה!
 
שלום לכולם,מישהו יכול לעזור לגבי הצפנה של שיחות טלפון?
23/10/14 11:49
27צפיות
אני מעוניין לשוחח עם אחד העובדים שלי בשיחות מוצפנות. אחרי חיפוש ברשת ראיתי שיש אפליקציות שהשיחות דרכם מוצפנות (שלשני הצדדים האפליקציה מותקנת).
בנוסף יש חברות שפיתחו תוכנות ייעודיות לעניין. איך אפשר לדעת מה אכן בטוח ומהי אפליקציה שאפשר להגבר עליה בלי ממש בעיה?
יש תוכנה/חברה שאתם ממליצים עליה?
 
תודה!
בדיקה של תוכנת הצפנה
23/10/14 13:35
19צפיות
אם מספיק אנשים שמומחיום בכתיבה ובדיקה של תוכנות הצפנה עברו על התוכנה ולא מצאו בה בעיות קריטיות אז היא כנראה לא פחות גרועה מתוכנות אחרות.  אם הקוד של התוכנה סגור, אי אפשר לוודא את המימוש שלה, והיא לא נכתבה על ידי מומחים להצפנות יש סיכוי לא זניח שקל להתגבר על ההצפנה.
אפשר לפענח כל הצפנה זה רק עניין של השקעת מאמץ וזמן
23/10/14 15:16
20צפיות
ובסלולאר הכל גלוי
פשוט מצחיק
º
כל מימוש של VOIP. סקייפ למשל
23/10/14 19:35
11צפיות
אני ממליץ לבדוק את המקורות שלך
23/10/14 20:37
20צפיות
לפי המקורות שלי, ההצפנה של סקייפ לא יותר טובה מההצפנה של שיחות בטלפון סלולארי.
º
לא השוותי, אבל מעצם טבעו VOIP יהיה קשה יותר לאיתור
23/10/14 22:33
9צפיות
למה?
23/10/14 23:25
16צפיות
למה אתה חושב שVOIP בין ניידים יותר קשה לאיתור מאשר שיחות בין ניידים?
|*| נפתח פורום קצת אחרת |*|
22/10/14 11:18
5צפיות
מי מאיתנו לא מרגיש שונה לפעמים? או מוזר? שקשה לנו להשתלב בחברה.
פורום קצת אחרת נועד לאנשים שמרגישים קצת שונים וחריגים בחברה ורוצים להכיר אנשים שמרגישים כמוהם.

אתם מוזמנים להיכנס כבר עכשיו ולייעץ ולהתייעץ, לחבק ולנחם, לשתף בחוויות טובות ובחוויות לא טובות, לחלוק רגשות ופשוט לדבר.
http://www.tapuz.co.il/forums2008/forumpage.aspx?f...
|*|נפתח פורום תוכנית לידה|*|
19/10/14 11:52
3צפיות
|@|לקראת לידה? כנראה שחששות ומחשבות לא מפסיקות ללוות אותך. בואי להתייעץ עם מיילדת מקצועית בעלת ניסיון רב בתחום שתשמח לענות לך על כל שאלה.
הפורום ילווה אותך ברגעי השיא ? לקראת הלידה, במהלכה ובימים הלא פשוטים שאחריה.
זה הזמן והמקום לחלוק עם אחרות את השאלות הקשות שעולות בך ? האם הבעל צריך להיות נוכח בחדר הלידה? מה עושים אם לא מתחברים למיילדת? איך מתמודדים ביום שאחרי? ועוד...

מחכים לך עכשיו עם כל התשובות, בפורום תוכנית לידה:
http://www.tapuz.co.il/forums2008/forumpage.aspx?f...
º
השתלטו לי על האבלט מה לעשות
18/10/14 15:49
21צפיות
תן קצת יותר פרטים
23/10/14 13:36
10צפיות
השתלטו לי על האבלט כמו שרשמת  אין אפשרות לעזור לך.
תן פרטים וננסה לעזור
AV-Test: תוצאות מבחן Real-World (אוגוסט)
15/10/14 11:22
49צפיות
לא עוד McAfee - אמרו Intel Security. משנה שם משנה מזל? 
 
האסנשיאלז של MS - אפס ב'הגנה'... מצער, כי אצל לא מעט משתמשים
15/10/14 12:48
40צפיות
ב-8, זה האנטי וירוס היחידי. נקוה שישתפרו ב-10.
פשוט לא יאומן
16/10/14 17:18
31צפיות
חברת התוכנה הגדולה ביותר בעולם, לא מסוגלת לייצר אנטי וירוס פשוט
איך קורה דבר איום ונורא שכזה ?
 
º
המשאבים שלהם כנראה מופנים למקומות אחרים
16/10/14 23:24
12צפיות
אבל יש גבול להתבזות
17/10/14 10:41
24צפיות
שלא לדבר על כך שמליוני משתמשים ברחבי העולם חשופים לכל מיני וירוסים בגלל התוכנה העלובה שלהם
יש להם מחויבות למשתמשים שלהם
 
אינטל מושקעים גם ב AVG
16/10/14 17:20
32צפיות
מתחרים בעצמם
אותי בעתיד תאוחדנה שתי התוכנות הללו לתוכנה אחת
 
Exploit Kits: הרצת קוד זדוני בזיכרון מערכת היעד (ללא קבצים)
15/10/14 10:58
33צפיות
Malwarebytes מדווחת על שינוי בשיטת הפעולה של ערכות פרצות האבטחה (Exploit kits), אותם כלים הנמכרים באלפי דולרים, נשתלים באתרים לגיטימיים שנפרצו ומטרתם אחת - הפעלת קוד זדוני במערכות היעד.  אם בעבר הPayload שגרר הניצול היה הורדת קובץ זדוני אל המערכת והפעלתו, כעת הקוד הזדוני מוזרק אל התהליך המנוצל (לדוגמה הדפדפן) ופועל בחוט נפרד. מחד, היתרון הברור הוא שחתימת הפעולה נמוכה; קל יותר לזהות קובץ זדוני מאשר נוזקה המסתתרת בזיכרון. מאידך, בשל היות הזיכרון נדיף, כיבוי המחשב תסיים את פעולת הקוד הזדוני. סגירת היישום המנוצל, לעומת זאת, אינה מבטיחה דבר. למרבה ההפתעה, השיטה מבטיחה את שרידותו של התהליך על אף סגירת היישום. 
 
(מקור - לקריאה נוספת) 
צריך ליישם אימות לכל תהליך בזיכרון, כמו שיש היום לקבצי מערכת
15/10/14 12:51
22צפיות
שכולם חתומים דיגיטלית.
 
אם סוגרים את הדפדפן התהליך נשאר?
בלתי אפשרי
15/10/14 13:09
25צפיות
חתימה דיגיטלית על כל תהליך בזכרון הוא לא פרקטי ולמעשה גם לא אפקטיבי.
 
חתימות דיגיטליות הן מוצר שעולה כסף, והרבה. עבור כל עדכון תוכנה יידרשו המפתחים לחתימה מחודשת ולגביה נוספת - דבר שיגרור עלויות גבוהות במיוחד למצורים שונים. מלבד זאת, משתמשים שיראו חתימות דיגיטליות בכל פינה יפסיקו להתרגש מהן ומהודעות הפחדה שונות כי החתימות מפוקפקות [ע"ע אזהרות על Self-signed certificates ב-HTTPS].
 
לבסוף, אם גם התוכנות היו חתומות דיגיטליות, אף אחד לא יכול להבטיח שאין vulnerability במוצר החתום שיוכל להיות מנוצל לצרכים זדוניים ולתת פתח לפורצים מבחוץ. הדוגמה הראשונה שעולה לי בהקשר הזה היא פרצת האבטחה במודול ה-TXT התחום של אינטל בשם SINIT. פרצה שהתגלתה ב-2011 במודול מאובטח וחתום של אינטל אפשרה את קבלת הפריווילגיות הגבוהות ביותר במערכת - פריווילגיות SMM (גבוהות יותר מ-Ring0 ואף מ-VMM שרץ על המערכת).
אם MS תחליט שכל אחד צריך, אז יש להניח שהמחיר ירד
15/10/14 19:01
37צפיות
כמו שבסביבות IOS ואנדרואיד (ללא ROOT כמובן) כל תוכנה באה מ'חנות' ונבדקה, צריך להחיל כללים דומים על סביבת חלונות.
 
מה הסיכוי שתהיה פריצה בחותמת? נמוך. לכן כדאי שתהיה.  
 
יש אגב כבר Trusted Execution Technology (כמו זו של אינטל שהזכרת) - DEP בחלונות, אלא שהיא לא שווה הרבה כי היא רק מגבילה איזורים בזיכרון ולא מסננת תהליכים.
 
מתישהו בעתיד, אם חלונות תשרוד (ספק), היא תהיה מחוברת ל-STORE אחת ויחידה.
כמה תיקונים, ברשותך
16/10/14 23:35
18צפיות
ראשית, מייקרוסופט כבר דורשת חתימה על דרייברים וכן לא מעט יצרניות משתפות איתה פעולה, אם כי דרישה זו היוותה טריגר משמעותי לבקשת היצרניות מאינטל לפתח מוד עוקף מערכת הפעלה שנקרא SMM, בכדי שיוכלו לטעון דרייברים ושאר קונפיגורציות מערכת מאחורי הגב של מערכת ההפעלה וללא צורך באישורה. לגבי הפרצה בחותמת, לא אמרתי שתהייה פריצה כזו ויתגלה המפתח, אלא שגם בקוד חתום יכולה להופיע פגיעות מסויימת שתאפשר לפורץ לנצל אותה בכדי לחדור למערכת; האם אתה סבור שברגע שמיקרוסופט תחתום על IE הוא יהפך חסין למתקפות וחסר פגיעויות? בוודאי שלא, חתימה דיגיטלית אינה ערובה לאיכות הקוד. נוסף על כך, חתימות כאלה יגרמו לכך שמשתמשים יטעו לחשוב שהם מוגנים בעוד שההגנה היא לא יותר מאשליה; כשם שמקובל לומר על אנטיוירוס לא מעודכן היוצר יותר נזק מתועלת בכך שהוא משלה את המשתמש שהוא מוגן וכך המשתמש מאפשר לעצמו לחטוא בחוסר זהירות מתוך אמונה שהאנטיוירוס ישמור עליו.
בנוגע ל-Trusted Execution, זו היא בדיוק טכנולוגיית ה-TXT של אינטל, עליה דברתי, אך אין לה קשר ל-DEP שבאינטל מקובל לקרוא לה NX Bit. אזכור הטכנולוגיה לא בא כדי לפרט הגנות אפשריות, אלא כדי להראות שישנו מצב בו קוד חתום (SINIT הוא ACM של TXT, והוא רגיש בצורה יוצאת דופן) שעלול להיות פגיע ולהיות מנוצל כדי לקבל הרשאות מרחיקות לכת על המערכת. במקרה של SINIT היו אלה הרשאות SMM, שכפי שהזכרתי למעלה, הן הרשאות גבוהות מאלה של מערכת ההפעלה ואפילו מאלה של מנהל מכונות וירטואליות (VMM).
כעת נחזור לטענה על ה-Store. כידוע, הבדיקה של אפל היא קפדנית מזו של גוגל ועדיין עושות את דרכן לחנות תוכנות זדוניות שונות ומשונות המאיימות על המשתמשים, בעיקר בווקטור ה-Social Engineering ו-Phishing שאין להן קשר ישיר לפגיעות במובן הטכני של המילה. עדיין, חנות האפליקציות של גוגל היא לא יותר ממטריה רחבה להרבה מאוד תוכנות ותו לא. הבדיקה שטחית מאוד ורחוקה שנות אור מהגנה על המשתמש.
 
+ תוכניותיה של MS בענייני אבטחה, עם חלונות 10
23/10/14 00:09
12צפיות
די קרובות למה שדיברנו עליו - אופציה לחסום פעילות של תוכנות לא חתומות, ומנגנון אימות שיפעל כמו ה'חנות'
 
|קוד|
allowing trusted apps, meaning apps that are signed using a Microsoft provided signing service, to be run on specially configured devices.
 
Access to the signing service will be controlled using a vetting process similar to how we control ISV publishing access to the Windows Store and the devices themselves will be locked down by the OEM. The lockdown process OEMs will use is similar to what we do with Windows Phone devices.
|סקוד|
 
מעבר לכך יהיה מימוש טוב יותר של אימות דו-שלבי (בעזרת סמרטפון). מעניין שלא מוכרים כמעט מזהי טביעות אצבע - היית מצפה שזה יהיה להיט והסוף לסיסמאות. צריך לבוא עם כל מחשב. אולי אפל ישנו.
שאלת SSL בכרום: "Your connection is not private"
הודעה זו מכילה תמונות
16/10/14 21:01
21צפיות

כשניגשים HTTPS לאתר שאין לו תעודת SSL חתומה על ידי Certificate Aurhotity מקבלים את ההודעה הנ"ל. טוב ויפה וברור למה צריך את זה.
הבעייה מתחילה כשניגשים לשרתים מקומיים לצורך בדיקות. בשוא"ש יש אפשרות לגרום לו לזכור את ההעדפה ובפעם הבאה להתעלם מהעניין ולהכניס אותנו ישירות לאותו אתר מבוקש.
איך לעזאזאל עושים את זה בכרום? האם נדונתי לעולמים לאשר כל פעם את הדף הזה?
ניסיתי את העצות המקובלות להוסיף את האתר ל-TRUSTED SITES של הגדרות האינטרנט בחלונות - לא עזר.
 
אפשר כמובן לייבא CERTIFICATE, אבל באמת שאין צורך היות והכל ברשת המקומית וזו יוסיף המון עבודה לייצא ולייבא CERTIFICATES לכל עשרות השרתים הוירטואליים האלה. כמות העבודה שזה יוסיף לא שווה את התועלת.
הפתרון צריך להיות בשניים-שלושה קליקים, בשאיפה כמו שיש בFIREFOX. כל השרתים הוירטואליים האלה הם SUBDOMAINS תחת הדומיין של החברה, ואין אליהם גישה מבחוץ ממילא.

 
יש לזה תרופה?
 
 
האמת ששאלתי בפורום תמיכה טכנית, אבל נראה לי בדיעבד שפה תהיה יותר חשיפה ממוקדת. תודה וסליחה!
סרטון המדגיש כיצד מבצעים את השיטה man in the middle וגורמים
הודעה זו מכילה סרטונים
16/10/14 18:46
32צפיות
למטרה להעביר את כל חבילות המידע דרך המחשב של התוקף.
צפו :)
 
Zero day : פרצת אבטחה חדשה בחלונות כבר מנוצלת בשטח
15/10/14 11:55
41צפיות
Symantec מזהירה מפני ניצול פרצת אבטחה חדשה בשטח. CVE-2014-4114 משפיעה על כל גרסאות חלונות החל מVista SP2 (כן, למרבה האירוניה XP איננה פגיעה) ועד 8.1, כולל Windows Server 2008/2012, ומאפשרת לתוקף להוריד ולהריץ קוד זדוני במערכת היעד ללא התראה. הפרצה קשורה לOLE, היכולת של חלונות להטמיע rich data ממסמך אחד במסמך אחר. 
 
 
 בינתיים, נוצלה פרצת האבטחה במספר מצומצם של Targeted attacks ברחבי ארה"ב ואירופה ע"י קבוצת האקרים בשם Sandworm בכדי להתקין Backdoor בארגוני היעד. כמו כן, Symantec מדווחת על דוא"ל הנושא קובץ PowerPoint בו מוטמעים מסמכי OLE המכילים קישורים זדוניים. אם המשתמש פותח את הקובץ, מתבצעת פנייה שקטה אל הקישורים מהם מורדים ומופעלים קבצים זדוניים ללא התערבות המשתמש. 
 
דיווח על פרצה נוספת שזוהתה בשטח (קיים טלאי)
15/10/14 12:08
28צפיות
Symantec מדווחת על פרצה נוספת, CVE 2014-4148, שכבר נוצלה במספר מצומצם של התקפות על מנת להשיג שליטה מרחוק על מערכת היעד. הפרצה קשורה למנגנון (TrueType Font (TTF בכל גרסאות חלונות הנתמכות ומאפשרת לתוקף להריץ קוד זדוני במערכת היעד. הטריגר הוא פתיחת מסמך המכיל TTF זדוני והpayload הוא הרצת remote access trojan בזיכרון.
 
***Microsoft שחררה תיקון לפרצה אתמול, ה-14 לחודש. הפרצה והpayload עדיין נחקרים ומידע נוסף ישוחרר בהמשך.
 
ואגב ה-SSL שוב הוכח כפריץ
15/10/14 12:46
28צפיות
 
התמיכה בו תסולק מהגירסאות הבאות של כרום ו-FF. נגמרה התקופה.
פרטי מאות (?) חשבונות Dropbox זלגו לידי תוקפים
15/10/14 11:31
20צפיות
קובץ טקסט שהועלה לPastebin כלל 400 פרטי חשבונות. כן נטען שהקובץ הינו חלק ממאגר של 7,000,000 פרטי חשבונות שייחשפו בהדרגה בהמשך. דובר Dropbox מסר כי הפרטים נגנבו משירות אחר וההנחה היא שהאשם במחזור סיסמאות. 
 
1. Symantec: "נתפצל לשתי חברות שונות" 2. סופה של MooSoft
15/10/14 11:17
15צפיות
1. Symantec הודיעה על תוכנית לפיצול החברה לשתי חברות נפרדות, האחת תתמקד באבטחת מידע והאחרת בניהול ואחסון מידע. 
 
2. Moosoft הודיעה על סגירתה בשל ירידה ברמת ההכנסות. MooSoft הייתה מחלוצות פיתוח תוכנות יעודיות לגילוי והסרת סוסים טרויאנים והציגה את "The cleaner" לראשונה ב1998. Daniel Otis, מנכ"ל החברה, הודה ללקוחות והסביר שעלות תחזוקת מסד הנתונים והאתר, לצד ירידת ההכנסות, הביאו אותו לקבלת ההחלטה. 
CISSP
14/10/14 00:30
28צפיות
שלום לכולם,
בן זוגי רוצה לעבור את ההסמכה הזאת על מנת להקנות לעצמו יתרון במעבר לאירופה.
האם נראה לכם שיש ביקוש להסמכה הזאת שיכולה לסייע לאיש רשתות ואבטחת מידע עם 10 שנות ניסיון להגיע לאחת ממדינות האירופיות?
אני שואלת כי זה למידה ארוכה של מעל שנה הרבה השקעה.
אין לו אזרחות נוספת מהאזרחות הישראלית.
אשמח לעוד רעיונות להסמכות מבוקשות, שמענו גם על offensive security certification, אם מישהו מכיר ויודע.
תודה מראש!
נוגה
כדאי לבדוק עכשיו הצעות עבודה בארץ המיועדת, ואת הדרישות שם
14/10/14 00:42
21צפיות
אם יש דרכון אירופאי, אולי יהיה גם סיכוי להכשרה מקצועית שם בחינם (בגרמניה למשל כדי לעסוק בכמעט כל תחום, צריך תעודה מקומית).
 
עשר שנות נסיון זה דבר יפה. סיכוי טוב ליתרון.
נסי לשאול גם בפורום עבודה בהייטק (308)
14/10/14 01:31
16צפיות
כך תקבלי תמונה מלאה יותר.
שלום נגה welcome
15/10/14 08:21
20צפיות
קודם כל ,
בעלך צריך לחשוב אם ללמוד cissp  מעניין אותו.
למה שבעלך לא ירשם לפורום וידבר איתנו?
מה הוא יודע לעשות במה הוא התעסק מה מעניין אותו לעשות, כי להמליץ על קורס שאין לי מושג מה בעלך עשה ומה מעניין אותו חוץ מנתון יבש זה לא יעזור לי ובטח שלא לו.
יש מלא תעודות שמקנות עבודה בחול,
גם תעודת mcse אמור להיות בין לאומי.
במידה והוא לא יכול להרשם שיגיד לך מה בדיוק מעניין אותו ,
כי שני הקורסים שרשמת כאן שונים לגמרי אחד מהשני.
חלון קופץ סורר של Avast שמופיע באקספלורר
הודעה זו מכילה תמונות
11/10/14 13:34
35צפיות
מישהו יודע אולי איך מבטלים את ההודעה הגדולה של תוכנת Avast
שמופיעה לי רק באקספלורר ברגע שאני לוחץ למעלה בסרגל על הכוכב
לפתיחת תפריט המועדפים?
התוכנה חדשה ומעודכנת, הורדתי בהגדרות את ההגנות השונות על אתרים
וזה עדיין מופיע.
...וגם איך אפשר לכבות זמנית לגמרי את התוכנה?
ווינדוס 7 באנגלית
אקספלורר 10 (לא מעודכן ל 11 בכוונה)
 
לא ניתן ללא ביטול מנגנון WebRep
13/10/14 10:57
22צפיות
ראה כאן. מכיוון שאתה לא היחיד שזה מציק לו, ייתכן שיעשו משהו בנדון בגרסאות הבאות.
פתרתי את הבעיה...
14/10/14 12:37
14צפיות
אין לי מושג למה היתכוונת אבל מצאתי את הפיתרון לבעיה,
ניכנסים להסר תוכניות, מסמנים Avast ולוחצים למעלה על "שנה",
ניפתח חלון עם אפשרויות לבחירה או ההיפך, מסירים את הסימון
מהתיבה Avast Gadgets ומאשרים והחלון הקופץ נעלם כלא היה...
 
º
התכוונתי לזה שעם ביטול ההודעה מתבטל גם מנגנון דירוג האתרים
14/10/14 20:49
7צפיות
º
לפחות משקיעים בעיברות...
14/10/14 00:43
9צפיות
º
14/10/14 01:40
4צפיות

עסקים נבחרים

עוד...
רוצה שהעסק שלך יופיע בתפוז עסקים?

האזור שלי בפורום
עוד בנושא הפורום


Flix
מקרא סימנים
ללא תוכן תגובה להודעה
הודעה חדשה אורח בפורום
הודעה מקורית הודעה נעוצה