abclinuxu.cz AbcLinuxu.cz itbiz.cz ITBiz.cz HDmag.cz HDmag.cz abcprace.cz AbcPráce.cz
AbcLinuxu hledá autory!
Inzerujte na AbcPráce.cz od 950 Kč
Rozšířené hledání
×

včera 20:55 | Komunita

Linux ve VirtualBoxu nebude potřebovat Přídavky pro hosta (Guest Additions). Budou součástí linuxového jádra. Ovladač vboxguest by se měl dostat do Linuxu 4.16. Ovladač vboxsf by měl následovat.

Ladislav Hagara | Komentářů: 5
včera 17:11 | Komunita

Vývojáři Thunderbirdu žádají o vyplnění dotazníku. Upřednostňujete klasický vzhled nebo raději Monterail (GitHub)?

Ladislav Hagara | Komentářů: 14
včera 12:22 | Komunita

Mozilla.cz informuje, že většina problémů s rychlostí Firefoxu 57 při použití open source odečítače NVDA (NonVisual Desktop Access) budou vyřešeny hned v další verzi Firefoxu 58. NVDA je zatím dostupný pouze pro operační systémy Windows.

Ladislav Hagara | Komentářů: 0
včera 05:55 | Bezpečnostní upozornění

V knihovně glibc (GNU C Library) byla nalezena a v upstreamu opravena bezpečnostní chyba CVE-2018-1000001 (buffer underflow) zneužitelná k lokální eskalaci práv. Podrobnosti na halfdog.net.

Ladislav Hagara | Komentářů: 0
16.1. 13:11 | Komunita

Mozilla.cz informuje o 2 plánovaných novinkách ve Firefoxu. Nové webové funkce budou ve Firefoxu dostupné jen přes HTTPS (en) a nové verze Firefoxu přinesou rychlejší přepínání panelů (předehřívání nebo žhavení panelů, anglicky tab warming).

Ladislav Hagara | Komentářů: 5
16.1. 12:44 | IT novinky

Hodnota Bitcoinu, decentralizované kryptoměny, klesla na cca 12 000 dolarů. Před měsícem byla hodnota Bitcoinu téměř 20 000 dolarů [reddit].

Ladislav Hagara | Komentářů: 28
16.1. 05:55 | Bezpečnostní upozornění

Bezpečnostní tým Cisco Talos upozorňuje na celou řadu bezpečnostních chyb v Blenderu. Vývojáři Blenderu byli o chybách informování již v září. Dosud tyto chyby ale opraveny nebyly. Doporučeno je neotevírat v Blenderu soubory z nedůvěryhodných zdrojů.

Ladislav Hagara | Komentářů: 2
15.1. 17:22 | Bezpečnostní upozornění

Společnost F-Secure upozorňuje na bezpečnostní "problém" v Intel AMT (Active Management Technology). Útočník s fyzickým přístupem k počítači s povoleným AMT a nenastaveným heslem k MEBx (Management Engine BIOS Extension) může obejít heslo nastavené v BIOSu, pin v TPM, přihlašovací jméno a heslo do operačního systému nebo i šifrování disků restartováním tohoto počítače a při jeho startu zavedením MEBx (CTRL-P) a zadáním výchozího hesla "admin". Pak už útočníkovi stačí pouze změnit heslo a povolit vzdálený přístup k počítači na úrovni AMT.

Ladislav Hagara | Komentářů: 10
15.1. 15:11 | Zajímavý projekt

Na Indiegogo byla dnes spuštěna kampaň na podporu 6 palcového notebooku a kapesní herní konzole GPD WIN 2. Cena v rámci kampaně byla stanovena na 649 dolarů. Cílová částka 100 tisíc dolarů byla překonána již 8 krát. Ukázka s Linuxem na YouTube.

Ladislav Hagara | Komentářů: 5
15.1. 05:55 | Bezpečnostní upozornění

V GitLabu, v open source alternativě GitHubu, tj. v softwarovém nástroji s webovým rozhraním umožňujícím spolupráci na zdrojových kódech, byl nalezen vážný bezpečnostní problém. Bezpečnostní aktualizace bude vydána ve středu 17. ledna v 00:59.

Ladislav Hagara | Komentářů: 3
Jak se vás potenciálně dotkne trend odstraňování analogového audio konektoru typu 3,5mm jack z „chytrých telefonů“?
 (7%)
 (1%)
 (1%)
 (1%)
 (77%)
 (13%)
Celkem 1317 hlasů
 Komentářů: 53, poslední včera 16:55
    Rozcestník
    Štítky: není přiřazen žádný štítek

    Vložit další komentář
    21.10.2016 06:58 Filip Jirsák | skóre: 67 | blog: Fa & Bi
    Rozbalit Rozbalit vše Re: Content Security Policy (CSP) - XSS ...
    Čo je prekvapivé že na najznámejší "Reflected XSS" spravili obranu v prehliadačoch len Chrome a MSIE. V čom spočíva? Tak je to klassika, stačí do nefiltrovannej premmenej poslať reťazec napr.: http://domain.cz?data="><script>alert(document.cookie)</script>
    Z toho popisu není moc zřejmé, v čem vlastně spočívá princip útoku. Jde o to, že server vezme zadaný text a tak jak je, bez nějaké úpravy nebo escapování, ho vloží do generované stránky. Tím pádem se ve vygenerované stránce objeví normální tag <script> a jeho obsah se vykoná.
    skript odosiela sešny na útočníkov email
    Pravděpodobně tím myslíte, že by útočník odeslal identifikátor session z cookie. Obvykle se do cookie ukládá pouze identifikátor a hodnoty svázané se session se drží na serveru. Každopádně tohle je možné jenom tehdy, pokud daná cookie nemá nastavený příznak HttpOnly.
    môžete kľudne vyháčkovať aj tento server
    A to jste zkoušel, nebo vás jenom nenapadlo, že by proti tomu server mohl být chráněný? Ono tedy Abíčko dlouho mělo jednu dost podstatnou chybu, kterou nikdo neřešil a kterou by bylo možné použít i k XSS, ale ta fungovala na jiném principu, než popisujete.
    Bedňa avatar 21.10.2016 17:12 Bedňa | skóre: 34 | blog: Žumpa | Horňany
    Rozbalit Rozbalit vše Re: Content Security Policy (CSP) - XSS ...
    Keď si chcieš pozrieť svoje Cookies, tak si tento odkaz:

    http://www.abclinuxu.cz/blog/EditDiscussion/420264?action=add&dizId=<script>(document.cookie)</script>&threadId=1

    vlož do adresného riadku, alebo si sprav web na lapanie užívateľov a uprav si ten skript, no a nasmeruj ich tam.

    KERNEL ULTRAS video channel >>>
    21.10.2016 17:34 Filip Jirsák | skóre: 67 | blog: Fa & Bi
    Rozbalit Rozbalit vše Re: Content Security Policy (CSP) - XSS ...
    Chyba aplikace

    Omlouváme se, ale systém nemohl provést zadanou akci. Chyba byla zalogována, nicméně váš slovní popis může být někdy velmi užitečný. Máte-li zájem nám pomoci, využijte formulář Vzkazy správcům.

    Název chyby: cz.abclinuxu.AbcException: Řetězec '' nemůže být převeden na číslo!
    Kde přesně je tam ta cookie?
    Bedňa avatar 21.10.2016 18:14 Bedňa | skóre: 34 | blog: Žumpa | Horňany
    Rozbalit Rozbalit vše Re: Content Security Policy (CSP) - XSS ...
    Aký prehliadač si použil?
    KERNEL ULTRAS video channel >>>
    21.10.2016 20:47 Honza Jaroš | skóre: 6 | blog: moje_strana_plotu | Bohnice
    Rozbalit Rozbalit vše Re: Content Security Policy (CSP) - XSS ...
    Já Firefox. Sice tam mám NoScript, ale tohle evidentně chcíplo ještě na serveru.

    No a co teď koukám, tak Chromium bez pluginů a s povoleným skriptováním je na tom stejně...
    Bedňa avatar 21.10.2016 20:57 Bedňa | skóre: 34 | blog: Žumpa | Horňany
    Rozbalit Rozbalit vše Re: Content Security Policy (CSP) - XSS ...
    Jasne, som to sem hádzal s NTB poceste a je to úplne zle, fixed:

    http://www.abclinuxu.cz/blog/EditDiscussion/420264?action=add&dizId="><script>alert(document.cookie)</script>"&threadId=1
    KERNEL ULTRAS video channel >>>
    21.10.2016 23:04 Honza Jaroš | skóre: 6 | blog: moje_strana_plotu | Bohnice
    Rozbalit Rozbalit vše Re: Content Security Policy (CSP) - XSS ...
    Ve Firefoxu mi NoScript nahlásil pokus o XSS, Chromium vyhazuje stejnou hlášku od serveru jako předtím. Na Firefox bez NoScriptu by to asi fungovalo...
    Bedňa avatar 21.10.2016 23:34 Bedňa | skóre: 34 | blog: Žumpa | Horňany
    Rozbalit Rozbalit vše Re: Content Security Policy (CSP) - XSS ...
    Jj na FF by to prešlo, Chromium sleduje aký skript posielaš na server a keď sa mu vráti, tak ho zahodí, pointa Reflected XSS je práve vo vrátení skriptu a jeho spustení. Pre Chromium by trebalo použiť nejaký morfing, možno nejaké špeciálne UTF znaky, nikdy som to ale neskúšal.
    KERNEL ULTRAS video channel >>>
    22.10.2016 09:10 Filip Jirsák | skóre: 67 | blog: Fa & Bi
    Rozbalit Rozbalit vše Re: Content Security Policy (CSP) - XSS ...
    Aha, neošetřený vstup na chybové stránce. To je docela častý případ. Pošlu Maxovi patch. Každopádně pro reálný útok to není moc praktické, když se uživateli zobrazí chybová stránka a pošle e-mail správcům. Chyba to ale samozřejmě je.
    Bedňa avatar 23.10.2016 03:35 Bedňa | skóre: 34 | blog: Žumpa | Horňany
    Rozbalit Rozbalit vše Re: Content Security Policy (CSP) - XSS ...
    Ono by to šlo to použiť, samozrejme by nato niekto prišiel. Ja som to skúšal len náhodne a neskúsil som spustiť žiadny logger aby som toho našiel viac, práve na toto je CSP, že to rieši za teba a nemusíš takéto ptákoviny riešiť a buď si istý, že vždy na niečo zabudneš.
    KERNEL ULTRAS video channel >>>
    23.10.2016 09:12 Filip Jirsák | skóre: 67 | blog: Fa & Bi
    Rozbalit Rozbalit vše Re: Content Security Policy (CSP) - XSS ...
    Pokud vždycky na něco zapomenu, mám daleko větší problém – na úplně stejném principu funguje třeba SQL injection. Ve skutečnosti je lepší používat postupy a nástroje, u kterých se musím aktivně snažit, abych někde použil nevalidovaný vstup od uživatele. Freemarker, který se používá na Abíčku, už má v aktuální verzi také automatické escapování HTML, a v šabloně musím naopak explicitně říct, že daný text escapovat nemá. Proti krádeži cookies z JavaScriptu je nejlepší nastavit jim příznak HttpOnly. CSP není řešení, je to pojistka pro případ, kdy to nedokážu vyřešit správně.
    Bedňa avatar 23.10.2016 16:55 Bedňa | skóre: 34 | blog: Žumpa | Horňany
    Rozbalit Rozbalit vše Re: Content Security Policy (CSP) - XSS ...
    Jasne že je to poistka a nie rešenie a hlavne u projektov ktoré rastú, pretože sa ti ľahko stane, že pridaním novej funkcionality omylom obídeš vstupné zabezpečenie. Keď to tu už máme prečo to nevyužiť.
    KERNEL ULTRAS video channel >>>
    25.10.2016 17:08 skajrajdr | skóre: 1 | blog: skajrajdr
    Rozbalit Rozbalit vše Re: Content Security Policy (CSP) - XSS ...
    Nevim, jestli to neni jen preklep, ale tohle(SQL injection je neco jineho) resit na vstupu je chyba a cesta do pekel... Hlidat se musi vystup dle daneho kontextu(nejak jinak osetrim html a jinak zapis do souboru).

    Ale technika je to zajimava, o tom zadna. Dik!

    24.12.2016 09:43 Filip Jirsák | skóre: 67 | blog: Fa & Bi
    Rozbalit Rozbalit vše Re: Content Security Policy (CSP) - XSS ...
    Max v noci patch nasadil, takže máte po zábavě :-)
    mirec avatar 21.10.2016 11:41 mirec | skóre: 31 | blog: mirecove_dristy | Poprad
    Rozbalit Rozbalit vše Re: Content Security Policy (CSP) - XSS ...

    Čo na to markeťáci?

    LinuxOS.sk | USE="-fotak -zbytocnosti -farebne_lcd +vydrz +odolnost +java" emerge telefon
    Bedňa avatar 21.10.2016 18:15 Bedňa | skóre: 34 | blog: Žumpa | Horňany
    Rozbalit Rozbalit vše Re: Content Security Policy (CSP) - XSS ...
    Tým to bude asi jedno :)
    KERNEL ULTRAS video channel >>>
    mirec avatar 22.10.2016 07:26 mirec | skóre: 31 | blog: mirecove_dristy | Poprad
    Rozbalit Rozbalit vše Re: Content Security Policy (CSP) - XSS ...

    Reklama sa väčšinou vkladá ako cudzí JavaScript. Markeťákom asi nebude jedno, že im reklama nefunguje.

    LinuxOS.sk | USE="-fotak -zbytocnosti -farebne_lcd +vydrz +odolnost +java" emerge telefon
    Bedňa avatar 22.10.2016 15:48 Bedňa | skóre: 34 | blog: Žumpa | Horňany
    Rozbalit Rozbalit vše Re: Content Security Policy (CSP) - XSS ...
    Externé lokality môžeš povoliť, čím sa ale sám vystavuješ svojvôli nejakej tretej strany.
    KERNEL ULTRAS video channel >>>
    21.10.2016 15:53 MP
    Rozbalit Rozbalit vše Re: Content Security Policy (CSP) - XSS ...
    Vazne dokazete do stranky vlozit veskere externi skripty, z kterych se stranka muze skladat?
    Bedňa avatar 21.10.2016 21:59 Bedňa | skóre: 34 | blog: Žumpa | Horňany
    Rozbalit Rozbalit vše Re: Content Security Policy (CSP) - XSS ...
    Taká tupá taktika je že robot zoskenuje všetky formuláre a pokúsi sa tam skripty vložiť, druhá možnosť je skúsiť všetky premenné ktoré sú na stránke v URL a testovať či sa skript nespustí. Na najznámejšie CMS sú samozrejme roboti ktorí skúšajú všetky známe bugy a môžeš si byť istý, že nezanedbateľná časť webov beží na neaktualizovaných CMS.

    Práve proti týmto detským bugom CSP zaberie spoľahlivo.
    KERNEL ULTRAS video channel >>>

    Založit nové vláknoNahoru

    Tiskni Sdílej: Linkuj Jaggni to Vybrali.sme.sk Google Del.icio.us Facebook

    ISSN 1214-1267   www.czech-server.cz
    © 1999-2015 Nitemedia s. r. o. Všechna práva vyhrazena.