Kategoria: Bezpieczeństwo

Sklep internetowy Mediatos.pl, czyli precle, amatorskie SEO, lewe opinie i szybkie płatności, których nie ma

Znajomy podesłał mi link do „pewnego sklepu internetowego”, na który trafił szukając w „pewnej wyszukiwarce” telefonu. Na pierwszy rzut oka sklep jak sklep, ceny ewidentnie promocyjne, ale w granicach rozsądku, tak, że nie zapala się od razu lampka ostrzegawcza. I tym sposobem link do sklepu trafił do mnie, a dalej trafi (tak jakby) do Was, w formie tego wpisu…

Biuletyn Informacji Publicznej Polskiej Grupy Zbrojeniowej z „zapożyczonym” certyfikatem SSL

Od rana „na topie” jest Bartłomiej Misiewicz i jego nowa fucha w Polskiej Grupie Zbrojeniowej (choć gdy pisze te słowa, to już jest po ptakach, przynajmniej jeśli chodzi o zatrudnienie). Szukając materiałów na ten nośny temat (no co, w końcu odsłony nie tylko w przypadku techno-pudelków mają znaczenie ;-)) trafiłem do Biuletynu Informacji Publicznej Polskiej Grupy Zbrojeniowej, a tam na małą niespodziankę związaną z certyfikatem SSL/HTTPS.

Od 7 kwietnia 2017 Profil Zaufany ePUAP bez autoryzacji przy użyciu poczty elektronicznej (oczywiście zostają kody SMS)

Z Profilu Zaufanego ePUAP korzystam chyba od samego początku jego istnienia – z samej platformy ePUAP mniej (choć może to się zmieni, bo w końcu zaczęło coś tam się dziać), ale Profilem Zaufanym całkiem wygodnie autoryzuje się zmiany w CEIDG czy ZUS PUE. Dziś otrzymałem wiadomość, że za kilka dni platforma definitywnie żegna się z kodami jednorazowymi przesyłanymi za pośrednictwem poczty e-mail – dostępna będzie tylko (dodatkowa) autoryzacja za pomocą SMSów.

Uwaga na fałszywe potwierdzenia płatności z tpay.com, PayU i Netii

W ostatnim czasie przynajmniej dwóch integratorów/dostawców szybkich płatności internetowych informuje (ostrzega) na swoich stronach internetowych, że do skrzynek użytkowników poczty e-mail trafiają wiadomości udające potwierdzenie przyjętej płatności.

Lepiej późno niż wcale, czyli Policja informuje o „rozpracowaniu grupy przestępczej zajmującej się usługami Premium SMS”

Rano opublikowałem wpis o kolejnym „serwisie o charakterze rozrywkowym z SMSami o podwyższonej opłacie (Premium SMS)”, by po kilku godzinach na stronie policji przeczytać o tym, że w końcu mamy jakiś sukces w tym kontekście – zatrzymano grupę przestępczą, która tego typu działalnością zajmowała się co najmniej od… 2014.

Teraz w ramach Projektu Galileo w CloudFlare otrzymasz bezpłatnie plan Business wart 200 $ miesięcznie

Informacja na temat zmian w Projekcie Galileo (Project Galileo) prowadzonym przez CloudFlare w ramach swojej usługi trafiła na moją skrzynkę 17 lutego, ale z różnych przyczyn (m.in. Cloudbleed) musiała swoje odczekać…

The Wolf (HP Studios, Christian Slater), czyli reklama, którą obejrzałem z przyjemnością

Rzadko, naprawdę rzadko zdarza mi się poświęcać swój wolny czas na bezpłatne (i bezinteresowne) promowanie reklamy jakiejś komercyjnej usługi czy produktu. Ale muszę przyznać, że reklama „The Wolf” z Christianem Slaterem jest na tyle dobrze zrobiona (i zagrana), że chciałbym więcej takich „komercyjnych przerywników” oglądać w TV czy w kinie.

WordPress 4.7.3 to m.in. 6 załatanych podatności (XSS, CSRF)

Wczoraj w moim „systemie aktualizacji WordPressów” pojawiła się informacja o nowej aktualizacji (4.7.3), z informacją, że „naprawiono kilka błędów, w tym błędów zabezpieczeń”. Po zapoznaniu się z załatanymi błędami zabezpieczeń (podatnościami) zdecydowanie zalecą pilną aktualizację, nawet jeśli większość z nich wymaga „kreta” wśród zarejestrowanych użytkowników naszej strony, i to z odpowiednimi uprawnieniami.

NextGEN Gallery (wtyczka do WordPressa) i SQL injection, czyli regulacja wyświetlacza Tagów

Zazwyczaj nie piszę o błędach (i podatnościach) w pojedynczych skryptach, czy też wtyczkach, np. do WordPressa, bo nie dość, że jest tego sporo, to często są to dość niszowe skrypty czy wtyczki i nie ma co przemęczać klawiatury. Jednak czasem robię wyjątki, zwłaszcza w przypadku tak popularnej wtyczki do WordPressa, jaką niewątpliwie jest NextGEN Gallery.

Nie instaluj brakujących fontów (np. HoeflerText) na stronach internetowych – to podpucha

Gdy się zastanawiałem, czy dobrze zrobiłem odrzucając pomysł napisania czegoś o telefonie Nokia 3110 edycja 2017 (coś czuję, że może to być hit sprzedaży wśród „skarpetogłowych hipsterów”, a i pewnie temat ma szansę wygenerować sporo dodatkowego ruchu na stronie ;-)) napisał do mnie kolega, że na jednej ze stron które odwiedzał trafiła mu się ciekawa próba infekcji – brakujący font (czcionka ;-)) na stronie internetowej…

Cloudbleed, czyli Tavis Ormandy z Google Project Zero wykrył poważną podatność w CloudFlare

Miałem dziś napisać o pewnej niespodziance jaką ekipa z CloudFlare w ostatnich dniach sprawiła tym, którzy korzystają z ich programu „Project Galileo”, ale życie często pisze własne scenariusze. Zaczęło się od konieczności ponownego zalogowania do wszystkich kont Google na telefonie, a już po chwili wiedziałem, że o ile faktycznie będzie dziś okazja do napisania o CloudFlare, to wydźwięk tego wpisu nie będzie „aż tak pozytywny” jak wcześniej zakładałem (w trakcie zbierania materiałów niejaka Dana najwidoczniej postanowiła, że prewencyjnie poprawi mi humor i zaczęła swój komentarz od słów „Ty palancie!!!!!!!!!!!!!!! wyłudzaczu debilu” skierowanych w moją stronę).

Na dobry początek dnia mój telefon (Android) poprosił mnie o ponowne zalogowanie do wszystkich kont Google

Dziś rano przywitała mnie „miła niespodzianka” na telefonie – musiałem dokonać ponownego logowania dla wszystkich konto Google jakie mam skonfigurowane w telefonie. W tym czasie dostałem też pierwsze zapytania od znajomych, których tez spotkała taka „niespodzianka” z pytaniem, czy jest to powód do zmartwień/obaw…

Wystarczyła znajomość „firmowego numeru NIP” bym mógł rozwiązać umowę na abonament w Play

Dostałem dziś od znajomego link do serwisu Niebiezpiecznik.pl, gdzie pojawił się artykuł o tym, jak to jednemu z klientów banku Usługi Bankowe T-Mobile (Alior Bank) ponoć ukradziono pieniądze z rachunku, a prawdopodobnie zawiodła błędnie przeprowadzona weryfikacja telefoniczna „na gębę”. Nie będę tematu streszczał – zainteresowanych zapraszam do wspomnianego artykułu.
Ale takich przykładów gdy zawodzi czynnik ludzki, a konkretnie autoryzacja pewnie każdy z nas mógłby wymienić przynajmniej kilka. Ja podobne wrażenie odniosłem ostatnio będąc w salonie Play by rozwiązać umowę…

WordPress: Pierwsza krew, czyli pierwsze ofiary niedawnej podatności w WordPress REST API

Mam nadzieję, że wszyscy zaktualizowaliście WordPressa do wersji 4.7.2 (lub nowszej), zwłaszcza, jeśli korzystacie z wersji 4.7 lub 4.7.1, czyli podatnej na atak z wykorzystaniem REST API, o czym niedawno pisałem…
Jeśli nie, to być może Wasza strona jest już wśród licznych „szczęśliwców”, którzy wygrali „darmową infekcję swojej strony” (a być może i komputerów swoich czytelników/użytkowników).

Hakerzy, włamania i finanse, a w tle KNF i (obcy) wywiad, czyli rzeczywistość, do której musimy się przyzwyczaić

Są czasem takie tematy, które po zgłębieniu uznaje, że ważne i/lub ciekawe, ale nie ma sensu powielać treści, zwłaszcza, że gdzieś już na ten temat napisano więcej, niż ja sam mogę napisać… Jednym z takich tematów jest sprawa włamania/ataku na polskie instytucje finansowe, o czym obszernie napisał rano Adam z Zaufanej Trzeciej Strony, i naprawdę nie widziałem potrzeby dublowania tematu, zwłaszcza, że więcej niż tam jest napisane o tej sprawie nie wiem.
Ale jak to w internecie bywa przy „potencjalnie nośnych tematach” (hakerzy, finanse, obce mocarstwa, wywiad – mieszanka wręcz wybuchowa), zawitał on na kolejne serwisy, gdzie jest omawiany/opisywany za pomocą głównie cytatów ze źródła, bo nawet „fragmenty własne” sprawiają wrażenie lekko zredagowanych treści źródłowych, ale ta walka o ruch na stronach sprawia, że informacja zaczyna żyć własnym życiem, co zazwyczaj niedobrze kończy się dla faktów…

Jeszcze nie zaktualizowałeś WordPressa do wersji 4.7.2? To zrób to jak najszybciej, chyba, że szukasz „nieautoryzowanych redaktorów”

O ile aktualizacja WordPressa do 4.7.1 na liście zmian zawierała sporo przekonujących do aktualizacji elementów (jakby trafił się ktoś odporny na aktualizacje), to aktualizacja 4.7.2, która pojawiła się pod koniec stycznia niby coś tam łatała, ale czułem jakiś niedosyt, że musi tu być coś więcej. I jak się właśnie okazało, faktycznie aktualizacja skrywała jeszcze jeden sekret, dość poważny…

Aplikacja SELinuxModeChanger, czyli prosta i skuteczna zmiana stanu SELinuxa w Androidzie

Ostatnio postanowiłem cofnąć CyanogenMod z wersji 14.1 (Android 7.1) do wersji 13 (Android 6.0.1), oczywiście z próbą zachowania danych, co jak podejrzewałem łatwe nie będzie i może skończyć się krachem systemu – i oczywiście tak się stało, a do tego zrobiona kopia zapasowa okazała się wadliwa.
W tej sytuacji postanowiłem przywrócić system z wcześniejszej kopii zapasowej i niezbędne dane (katalog /data/data/katalog-aplikacji) skopiować ręcznie, tak jak to już kiedyś robiłem. Niestety zapomniałem, że chyba od Androida 4.3 Google w system wmontowało potworka (w tym kontekście jest to prawdziwy potworek ;-)) w postaci SELinuxa, który od Androida 4.4 został przełączony w tryb restrykcyjny…

Zestawienie kursów Udemy, z których w ramach promocji możecie (teraz) skorzystać bezpłatnie

Przed nami niedziela, słoneczko świeci, więc… kto nie musi (niech) nie pracuje, ale to też być może dobra okazja by wykorzystać ten dzień nie tylko na spacery z psami, czy wspólny/rodzinny obiad, ale i naukę – zwłaszcza, że w końcu udało mi się zebrać kolejną porcję kursów z serwisu Udemy, z których możecie obecnie skorzystać bezpłatnie (kursów, które można dodać do swojego konta bezpłatnie jest więcej, ale starałem się wybrać kilka – moim zdaniem – najciekawszych).
I nawet jak nie zamierzacie z nich korzystać teraz, to warto dodać je do swojego konta, bo od piątku, gdy zacząłem wybierać dla Was kursy w promocji kilka już stało się płatnych.

Loading

Akcja społeczna

Akcja społeczna

Reklama własna

Reklama

Reklama