XSS Refletido no publicaccess.dtic.mil

XSS Refletido no publicaccess.dtic.mil

Informei o Departamento de defesa sobre o problema e o mesmo já foi resolvido.

Preocupado(a) se sua empresa pode estar correndo esse risco? Entre em contato agora mesmo

[contact-form-7 id=”171″ title=”Formulário de contato”]

 

XSS Refletido no denix.osd.mil

XSS Refletido no denix.osd.mil

Informei o Departamento de defesa sobre o problema e o mesmo já foi resolvido.

Preocupado(a) se sua empresa pode estar correndo esse risco? Entre em contato agora mesmo

[contact-form-7 id=”171″ title=”Formulário de contato”]

 

Teste de Invasão

Teste de Invasão

TESTE DE INVASÃO

Teste de Invasão

Teste de Invasão

O que é Teste de Invasão?

Penetration testing também chamado de “pen testing” é um ataque autorizado a sistemas computacionais, redes ou aplicações web com o intuito de encontrar vulnerabilidades antes que agentes maliciosos as encontrem e comprometam o sistema.

Um pen test pode ser realizado de forma automática com a ajuda de ferramentas ou manualmente.
A fase de pré-ataque consiste no levantamento de informações relacionados ao alvo, identificação de possíveis vetores de entrada, tentativas de comprometer e interromper o funcionamento do alvo e finalmente reportar as falhas encontradas.
O maior objetivo de um penetration testing é apontar os pontos fracos na segurança que o alvo possui. Um penetration testing pode também, agregar valor a política de segurança utilizada pela empresa alvo.

Penetration tests também são chamado de “white hat attacks”, uma vez que ele é conduzido por profissionais que tem o objetivo único e exclusivo de auxiliar as empresas a se defenderem de agentes maliciosos.

Os benefícios de um Penetration Testing

– Expor as vulnerabilidades existentes no alvo
– Mostrar o risco real que tais vulnerabilidades podem trazer para o alvo
– Verificar a habilidade de defesa do alvo
– Oferece uma visão profissional de terceiros

Porque contratar um Penetration Test?

– Para encontrar as vulnerabilidades antes que os agentes maliciosos as encontrem
– Encontrar vazamento de informação e previnir a perca de informação
– Reduz os ataques de clientes
– Protege a empresa quanto aos prejuízos causados com o sistema fora do ar
– Protege a reputação da empresa, mantendo com isso a lealdade de seu consumidor

PREOCUPADO(A) COM A SEGURANÇA DE SUA EMPRESA? ENTRE EM CONTATO AGORA MESMO

[CONTACT_FORM_TO_EMAIL id=”1″]

Sua empresa está segura na internet?

Local File Inclusion e Remote File Inclusion

Local File Inclusion e Remote File Inclusion

O que é Local File Inclusion e Remote File Inclusion?

A falha de local file inclusion permite que o atacante inclua um arquivo para explorar o mecanismo de dynamic file inclusion( inclusão dinâmica de arquivo ) implementado na aplicação web. A falha ocorre devido ao fato de que o atacante pode passar qualquer valor para o parâmetro da aplicação alvo e a mesma não faz a validação correta do valor informado antes de executar a operação. Esse tipo de falha faz com que a aplicação web mostre o conteúdo de alguns arquivos, mas dependendo da severidade, essa falha também permite:

– Execução de código no servidor
– Execução de código no client-side. Por exemplo, JavaScript, o que pode levar a ocorrência de outros tipos de ataques como XSS por exemplo
– Negação de Serviço(DoS)
– Vazamento de informações sensíveis

Local File Inclusion (LFI) é o processo de inclusão de arquivos, que já estão presentes localmente no servidor em questão, através da exploração de processos de inclusão vulneráveis, implementados na aplicação web.
Esta falha ocorre, por exemplo, quando uma página recebe como entrada, o caminho para o arquivo que será incluído, e esta entrada não é validada de forma correta pela aplicação web, possibilitando assim que caracteres de directory traversal(../../) sejam injetados.

Apesar de que a maior parte desse tipo de falha se manifeste em aplicações PHP, é muito importante lembrar que ela também pode ocorrer em JSP, ASPX e outras tecnologias.

Leia mais

XSS Refletido no navy.com

XSS Refletido no navy.com

Informei o Departamento de defesa sobre o problema e o mesmo já foi resolvido.

Preocupado(a) se sua empresa pode estar correndo esse risco? Entre em contato agora mesmo

[contact-form-7 id=”171″ title=”Formulário de contato”]

 

Open Redirect

O que é Open redirect?

Open redirect também conhecida como Unvalidated Redirects e forwards é uma falha que ocorre quando uma aplicação web aceita dados não confiáveis, que resulta no redirecionamento do usuário para um outro site qualquer.
Traduzindo a falha funciona da seguinte forma:
Quando o usuário realizar o login através do link https://www.infosec.com.br/Login.php?ReturnUrl=/admin.php o mesmo será redirecionado para a página admin.php após o login, caso a aplicação não faça a validação do valor que o parâmetro ” ReturnUrl ” recebe, um usuário malicioso pode criar o seguinte link https://www.infosec.com.br/Login.php?ReturnUrl=http://www.attacker.com e envia-lo para usuários que tenham opção de login no site, quando o usuário realizar o login através desse link, o mesmo será redirecionado para site http://www.attacker.com
Esse tipo de ataque é muito utilizado em phishing, até porque se você prestar bem atenção, o link parece seguro uma vez que ele contém o endereço real para o infosec.com.br

Open redirect também pode ser utilizado para dar bypass no access control da aplicação.

________________________

Preocupado(a) se sua empresa pode estar correndo esse risco? Entre em contato agora mesmo

[contact-form-7 id=”171″ title=”Formulário de contato”]

Teste de invasão vs Varredura de Vulnerabilidade

pen-test-vs-vul-scan

O que é Varredura de Vulnerabilidade?

Também conhecidas como avaliações de vulnerabilidade, as varreduras de vulnerabilidade avaliam computadores, sistemas e redes buscando por falhas de segurança, também conhecidos como vulnerabilidades. Essas varreduras são tipicamente automatizadas e dão uma visão inicial daquilo o que poderia ser explorado.

O que é teste de invasão?

Um teste de invasão simula um hacker tentando invadir um sistema através da exploração de vulnerabilidades que possam existir. Analistas atuais, muitas vezes chamados de hackers éticos, tentam provar que vulnerabilidades podem ser exploradas, usando métodos como quebra de senhas, buffer overflow, injeção de SQL dentro outros. Com isso eles tentam comprometer e extrair dados do sistema em questão.

Como hackear um carro

USB Killer uma ameaça de 50 dolares

A 15 anos atrás eu fiz um comentário sobre a possibilidade de alguém criar um pendrive que fritaria seu computador, me chamaram de louco e deram risadas. Hoje isso é uma realidade. O vídeo mostra aparelhos como o novo MacBook Pro, Google Pixel, Galaxy Note 7, iPad Pro, iPhone 2G, GoPro 5 sendo testados.