Jak kraść pieniądze w sieci? - przegląd technik używanych przez cyberprzestępców

Mar 14, 2016Download as PPTX, PDF0 likes583 views

Najpopularniejsze metody na niekoniecznie legalne generowanie zysków w sieci. Każdy przykład omówiony zostanie zarówno z punktu widzenia developera jak i osoby atakującej.

Jak kraść pieniądze
w sieci?
wykład nieetyczny ;)

Janusz
• Ma mało pieniędzy, żonę,
trójkę dzieci, hipotekę na
głowie i nie może znaleźć
pracy
• zna się odrobinę na
programowaniu
(frontend + PHP)
• po prostu chce dorobić
• chce dorobić za wszelką
cenę…

Może zarobię trochę kasy w
programach partnerskich?
Dostaniemy pieniądze za dokonane zakupy

Aby zarabiać w PP, musimy
posiadać popularną stronę WWW…
Sprawmy więc, aby stała się popularna ]:>

Typowy spam mailowy
Minusy:
• potrzebujemy serwera do wysyłki
• szybko trafimy na czarną listę (RBL)
• a kto dziś nie ma filtrów antyspamowych?

Użyjmy cudzych serwerów :)
• zwrotki mailowe
• formularze kontaktowe
• dziurawe skrypty PHP
SPF + PTR + DKIM

Spam na blogach
• Komentarze
• Statystyki GA / serwera
• Formularz kontaktowy
• Trackbacki

Strona powinna
się rozprzestrzeniać
‘wirusowo’
• automatyczny like
• automatyczny share (niczym captcha)

Przecież na stronie spamera
nikt nic nie kupi…
• a po co ma kupować? cookie stuffing!
• <img src=/slideshow/jak-kra-pienidze-w-sieci-przegld-technik-uywanych-przez-cyberprzestpcw/59518036/"link partnerski" />
• <iframe src=/slideshow/jak-kra-pienidze-w-sieci-przegld-technik-uywanych-przez-cyberprzestpcw/59518036/"link partnerski" />

Janusz postanowił
handlować przedmiotami w
grze online

Potrzebujemy przejąć sesję
i wykonać kilka operacji w grze

• Co to jest sesja?
• Gdzie trzymane są dane sesyjne?
• Jak zabezpieczyć sesję przed kradzieżą?
• Kradzież własnej sesji?
• Czy dane z wnętrza sesji są zaufane?

Do konkursu można było
wysłać własne zdjęcie!

Jak sprawdzić poprawność
nadesłanej fotki?
• poprawne rozszerzenie?
• dozwolony content-type?
• ma odpowiednie wymiary?
Jedyna sensowna metoda?
wygenerowanie obrazka
na nowo!

A co jeśli serwis nie posiada
uploadu?
to wyślij plik do wyszukiwarki ;)

Głosowanie na zdjęcie
/search.php?q=koty
Zabezpieczenia:
• długość $q > 3 znaki
• htmlspecialchars($q)
• mysql_real_escape_string($q)

Głosowanie na zdjęcie
<img src=/slideshow/jak-kra-pienidze-w-sieci-przegld-technik-uywanych-przez-cyberprzestpcw/59518036/"/search.php?q=%%%%" />
sprawdzaj zakres podawanych znaków…

Głosowanie na zdjęcie
na-ankieta.pl/index.php?komunikat=<p>Dziekuje+za+odda
XSS

Głosowanie na zdjęcie
na-ankieta.pl/index.php?komunikat=<p>Dziekuje+za+odda
Nadal XSS

Głosowanie na zdjęcie
<p onmouseover="exploit-here">Thx!</p>

Głosowanie na zdjęcie
Zalecenia:
• nie przyjmujemy kodu HTML od usera
• strip_tags() + htmlspecialchars()
• używamy predefiniowanych komunikatów

Głosowanie na zdjęcie
/glosuj.php?foto_id=31337

Głosowanie na zdjęcie
<img src=/slideshow/jak-kra-pienidze-w-sieci-przegld-technik-uywanych-przez-cyberprzestpcw/59518036/"/glosuj.php?foto_id=31337" />
XSRF
Zmiany programisty:
• dodał token anty-xsrf
• zmienił metodę wysyłania danych na POST

Głosowanie na zdjęcie
• Na stronie intensywnie wykorzystywane były pliki SWF
• Webmaster stworzył politykę bezpieczeństwa dla Flasha
• Szkoda tylko, że taką…

Głosowanie na zdjęcie
System ładowania podstron nie był zbyt ambitny…

Głosowanie na zdjęcie
System ładowania podstron nie był zbyt ambitny…
plik.php?page=../../../../../dowolny.plik%00

A może przerobić
odwiedzających w botnet?
Prosta sztuczka wymuszająca instalację softu

Oszustwa SMS-owe
• Strona z ofertą jest weryfikowana przez pośrednika
• Wrzucanie strony do iframe + przycinanie jej
• Wymuszanie wysłania SMSa

Janusz się obłowił, a my
musimy kończyć…

UNKNOW
www: UW-TEAM.ORG
twitter: @uwteam
wykop: imlmpe
youtube: uwteamorg
e-mail: unknow@uw-team.org

Prezentacja z 10. edycji InternetBeta. Dotyczy kwestii fundamentalnych dla SEO. Chciałem zwrócić uwagę na potrzebę��myślenia strategicznego oraz stosowania kompleksowego podejścia do optymalizacji i pozycjonowania w miejsce pogoni za trickami i nowinkami, które często stanowią próbę naciągania klienta na usługi, których nie potrzebuje lub które nie zostaną��zrealizowane rzetelnie. W SEO istnieje szereg działań niezmiennych, takich jak dbanie o poprawną��architekturę informacji, rozbudowę treści, dobór właściwych tytułów, pozyskiwanie linków - miejsce na kombinowanie pojawia się��dopiero, gdy te elementy mamy zadbane (w odniesieniu do konkurencji w wynikach wyszukiwania).

Portfolio Pierre Allal - Bma Estudiopierre allal

��

Apresentação midiasLuis Gomes

��

20141201_OpenStack_Advent_Calendarsamemoon

��

PratiqueAbou Traoré

��

ChiNini Eco Out Door Fun Park Chi Nini

��

The document describes plans for the Green Center Acres/ChiNini Eco Center project, which aims to create a model sustainable community and educational center. It will incorporate agricultural operations like hydroponics and aquaponics, renewable energy exhibits, outreach programs, and cultural/educational facilities. The center seeks to preserve farming traditions, demonstrate alternative practices, create jobs, and be a family destination for activities like agri-tourism, arts/crafts, and nature trails. It will employ hundreds across its businesses and programs, prioritizing veterans, seniors, disabled individuals and the homeless.

February 2106 District 29-I NewsletterMark Conrad

��

The document provides updates from District 29-I Lions Clubs. It discusses heavy snowfall from a winter storm, an upcoming leap year with an extra day, and goals to increase membership by June. Clubs are encouraged to invite new members and hold officer elections. Upcoming meetings and events are announced, including the District Governor election. Club activities like vision screenings and food donations are summarized. The District's representation at a leadership retreat is recognized.

[Lithuania] I am the cavalryOWASP EEE

��

I Am The Cavalry is an organization that aims to improve cyber safety for connected technologies that can impact public safety and human life. Their mission is to ensure these technologies are trustworthy. They do this by collecting research on vulnerabilities, connecting researchers with industry and policymakers, and catalyzing positive action. Their goal is to address issues sooner than would otherwise happen through education, outreach, and advocating for "safety by design", security updates, and other principles. They have started collaborating with medical device companies and aim to expand to other areas like automotive to help establish security best practices.

A STUDY ON EMPLOYEE RETENTION IN EDUCATION SECTOR IN INDIAIAEME Publication

��

The research project entitled ‘Employee retention’ is an attempt to understand the opinion and attitudes of the various categories of employees of the SriSairam Hr. Sec. School, Prof Dhanapalan College for Arts and Science, Sri Krishna Engineering College towards the employee retention in the institution. It is important to explore factors which contribute with the retention of employees in this period of employee shortages and increased service demands in the field of education sector. This inquiry however was delimited to one of the branches of a fast growing private college which offer health science programs wherein all the teaching personnel are the respondents.

Mieluummin olutta kuin väkeviäPanimoliitto

��

Le métier d’administrateur systèmes & réseauxLauriane DREUX

��

Empaque aquel embalaje donde son guardados y protegidos los productoscruzdaniel1234

��

El documento resume los diferentes tipos de empaques, incluyendo empaques de vidrio, metal, textil, papel, madera y plástico. Cada tipo tiene ventajas y desventajas en términos de protección del producto, impacto ambiental, costo y facilidad de reciclaje. Los empaques sirven para guardar y proteger los productos de manera que los consumidores puedan acceder a ellos fácilmente y también se usan para promover las ventas.

Plano Diretor - Franco da Rocha 2006Willian De Sá

��

Microwave Engineering Lecture NotesFellowBuddy.com

��

FellowBuddy.com is an innovative platform that brings students together to share notes, exam papers, study guides, project reports and presentation for upcoming exams. We connect Students who have an understanding of course material with Students who need help. Benefits:- # Students can catch up on notes they missed because of an absence. # Underachievers can find peer developed notes that break down lecture and study material in a way that they can understand # Students can earn better grades, save time and study effectively Our Vision & Mission – Simplifying Students Life Our Belief – “The great breakthrough in your life comes when you realize it, that you can learn anything you need to learn; to accomplish any goal that you have set for yourself. This means there are no limits on what you can be, have or do.” Like Us - https://www.facebook.com/FellowBuddycom

A case study on employee retention strategiesVijayakumar Kumar

��

This document discusses employee retention strategies through a case study of an Indian IT company. It explores the types of benefits, organizational strategies, and cultural factors that contribute to employee retention in the private sector. The key retention strategies identified include competitive pay and benefits, opportunities for career growth, training and development programs, a positive work environment, and ensuring job satisfaction. The case study analyzes factors affecting retention at Wipro like compensation, training, career growth opportunities, and work-life balance. It concludes that all the identified factors are important for retention but companies need individualized strategies based on employee needs like more emphasis on career growth for younger employees and continued skills training for mid-level staff.

Heather Thesis FinalHeather MacDonald Wright

��

This thesis examines the U.S. visa security system and the rate of visa overstays from 2001 to present. It analyzes the system using a complex systems framework to understand how inter- and intra-agency communication impacts the overstay rate. The thesis reviews relevant literature on visa overstays, organizational design theory, and complex adaptive systems. It then outlines the elements and interconnections of the current visa security system between DHS, DOS, and other agencies. Finally, it proposes policy recommendations to reduce overstays by improving interagency coordination and developing a biometric exit system, while anticipating bureaucratic, political, and funding barriers.

[OPD 2019] Web Apps vs Blockchain dAppsOWASP

��

- The document discusses differences between security in web applications versus decentralized applications (dApps). - For dApps, the code is public and functions are public by default, unlike web apps where access is restricted. This makes randomness and access control more challenging for dApps. - New threat actors for dApps include miners/validators who validate transactions and add new blocks. Loops also pose more of a denial of service risk for dApps if unbounded. - Standards and best practices are emerging for dApp security like the Smart Contract Security Verification Standard (SCSVS) to help address vulnerabilities.

[OPD 2019] Threat modeling at scaleOWASP

��

This document discusses using threat modeling at scale in agile development to improve security. It proposes identifying security requirements and test cases for each user story by considering potential "abuser stories". This would involve breaking down high-level user stories, assigning security champions to identify abuser stories, and having the security team maintain base threat models and own testing. Examples of threat modeling user stories around password resets and money withdrawals are provided. The goal is to shift security left in the SDLC by introducing it earlier through systematic threat modeling of user stories.

[OPD 2019] Life after pentestOWASP

��

1. The document discusses life after penetration testing from the perspective of an application security engineer. It outlines the typical process of addressing vulnerabilities found during a pen test or other security reviews. 2. This process includes validating the vulnerability, recalculating the risk level, determining a fix timeline, and revalidating once complete. Additional factors like business impact are considered when establishing priority. 3. Common mistakes made when addressing vulnerabilities are also examined, such as insecure quick fixes that do not fully resolve the issue. The importance of clear communication between security and development teams is emphasized.

[OPD 2019] .NET Core SecurityOWASP

��

The document discusses security best practices for .NET Core applications. It covers topics like common mistakes made when using .NET Core like security misconfiguration, SQL injection, and insecure deserialization. It also outlines security risks with .NET Core like validation problems and information disclosure. Additionally, it recommends security practices like input validation, output encoding, using security headers, and avoiding direct object references.

[OPD 2019] Top 10 Security Facts of 2020OWASP

��

This document discusses the evolution from on-premise data centers to cloud computing and cloud-native applications. It covers some of the key benefits of moving to the cloud like improved operations, pay-as-you-go infrastructure, and elasticity. However, it also notes that the cloud brings new security challenges as permissions in the cloud define the attack surface. The document discusses how workloads and applications have evolved from monolithic to microservices and containers, and how a service mesh can help secure east-west traffic in Kubernetes environments. It also covers emerging threats like automated attacks, cloud infrastructure abuse, and the need for advanced machine learning for threat detection.

[OPD 2019] Governance as a missing part of IT security architectureOWASP

��

The document discusses how governance is a missing part of IT security architecture. It proposes that security architecture should include technology, processes, and organization/people, similar to how Gartner describes the components of overall IT architecture. It presents capabilities maturity models and the secure development lifecycle as ways to incorporate governance into the design, development, testing, and operations of technology to ensure security is considered throughout the IT process.

[OPD 2019] Storm Busters: Auditing & Securing AWS InfrastructureOWASP

��

This document summarizes tools for auditing and securing AWS infrastructure: Cloudmapper visualizes AWS infrastructure and finds misconfigurations using commands like "audit" and "collect". Scout Suite provides detailed reports on individual AWS services' security. CloudTrail monitors API calls but requires processing logs. GuardDuty detects threats in real-time but is expensive. Together these tools can monitor for issues, but real-time response still requires manual incident response.

More Related Content

Viewers also liked (15)

Portfolio Pierre Allal - Bma Estudiopierre allal

��

Apresentação midiasLuis Gomes

��

20141201_OpenStack_Advent_Calendarsamemoon

��

PratiqueAbou Traoré

��

ChiNini Eco Out Door Fun Park Chi Nini

��

February 2106 District 29-I NewsletterMark Conrad

��

[Lithuania] I am the cavalryOWASP EEE

��

A STUDY ON EMPLOYEE RETENTION IN EDUCATION SECTOR IN INDIAIAEME Publication

��

Mieluummin olutta kuin väkeviäPanimoliitto

��

Le métier d’administrateur systèmes & réseauxLauriane DREUX

��

Empaque aquel embalaje donde son guardados y protegidos los productoscruzdaniel1234

��

Plano Diretor - Franco da Rocha 2006Willian De Sá

��

Microwave Engineering Lecture NotesFellowBuddy.com

��

A case study on employee retention strategiesVijayakumar Kumar

��

Heather Thesis FinalHeather MacDonald Wright

��

Portfolio Pierre Allal - Bma Estudiopierre allal

��

Apresentação midiasLuis Gomes

��

20141201_OpenStack_Advent_Calendarsamemoon

��

PratiqueAbou Traoré

��

ChiNini Eco Out Door Fun Park Chi Nini

��

February 2106 District 29-I NewsletterMark Conrad

��

[Lithuania] I am the cavalryOWASP EEE

��

A STUDY ON EMPLOYEE RETENTION IN EDUCATION SECTOR IN INDIAIAEME Publication

��

Mieluummin olutta kuin väkeviäPanimoliitto

��

Le métier d’administrateur systèmes & réseauxLauriane DREUX

��

Empaque aquel embalaje donde son guardados y protegidos los productoscruzdaniel1234

��

Plano Diretor - Franco da Rocha 2006Willian De Sá

��

Microwave Engineering Lecture NotesFellowBuddy.com

��

A case study on employee retention strategiesVijayakumar Kumar

��

Heather Thesis FinalHeather MacDonald Wright

��

More from OWASP (20)

[OPD 2019] Web Apps vs Blockchain dAppsOWASP

��

[OPD 2019] Threat modeling at scaleOWASP

��

[OPD 2019] Life after pentestOWASP

��

[OPD 2019] .NET Core SecurityOWASP

��

[OPD 2019] Top 10 Security Facts of 2020OWASP

��

[OPD 2019] Governance as a missing part of IT security architectureOWASP

��

[OPD 2019] Storm Busters: Auditing & Securing AWS InfrastructureOWASP

��

[OPD 2019] Side-Channels on the Web: Attacks and DefensesOWASP

��

The document discusses side-channel attacks on the web that exploit unintended information leakage across origins. It describes various side-channel attacks like cross-site timing attacks, response size inference attacks, and quota management attacks. It also discusses defenses deployed by browsers like same-site cookies, cross-origin read blocking, and cache partitioning to prevent such attacks by limiting unintended information leakage across origins.

[OPD 2019] AST Platform and the importance of multi-layered application secu...OWASP

��

This document discusses the importance of multi-layered application security testing and summarizes several application security testing techniques. It introduces static application security testing (SAST), interactive application security testing (IAST), software composition analysis (SCA), and dynamic application security testing (DAST). For each technique, it provides a brief description and highlights of their advantages and disadvantages. It emphasizes that using multiple techniques together can provide more comprehensive security testing than any single technique alone.

[OPD 2019] Inter-application vulnerabilitiesOWASP

��

This document discusses hunting for vulnerabilities across interconnected applications. It describes two cases where the author found multiple vulnerabilities by exploring dependencies between applications. In the first case, they discovered vulnerabilities by interacting with a desktop application and related web applications from the same company, finding 5 vulnerabilities including XSS issues and information disclosures. In the second case, they used a single sign-on system across multiple applications to introduce persistent XSS vulnerabilities. The document advocates considering how applications integrate and interact to uncover "inter-application vulnerabilities" that may not be found through isolated testing.

[OPD 2019] Automated Defense with Serverless computingOWASP

��

This document discusses serverless computing and how it can be used for automated defense. It defines serverless computing as a cloud execution model where the cloud provider manages resources dynamically based on the amount used by an application. Serverless platforms allow event-driven code without servers through Function as a Service (FaaS) and Backend as a Service (BaaS). Popular serverless platforms are provided by AWS Lambda, Google Cloud Functions, Microsoft Azure Functions, and others. Serverless applications have event sources, code functions, and downstream resources. The document provides examples of using serverless for automated defense through integrating AWS services like CloudTrail, Inspector, and blocking IP addresses.

[OPD 2019] Advanced Data Analysis in RegSOCOWASP

��

The document summarizes an OWASP Poland Day event focused on the RegSOC cybersecurity project. The event included short introductions to the RegSOC project and its goals of establishing regional cybersecurity centers. It also covered two technical topics: anomaly detection using machine learning algorithms to identify network threats, and advanced text analysis of cybersecurity-related data from sources like social media, news sites and abuse reports. The document outlines the RegSOC approach to these techniques and provides updates on research progress. It concludes by discussing next steps for the project's architecture, testing and implementation plan.

[OPD 2019] Attacking JWT tokensOWASP

��

- JWT tokens can be attacked by exploiting vulnerabilities in how they are validated and used. Common attacks include modifying token properties like the signing algorithm, injection of header parameters like kid and x5u, and cracking weak HS256 keys. - Tools like jwtbrute and libraries that don't properly validate tokens can aid exploitation. Attackers aim to have their tampered tokens treated as authentic by compromising validation processes. - Developers must carefully validate all token properties, use strong signing keys, and avoid deserialization that doesn't verify signatures to prevent exploitation of JWT tokens.

[OPD 2019] Rumpkernels meet fuzzingOWASP

��

[OPD 2019] Trusted types and the end of DOM XSSOWASP

��

Trusted Types is a new web platform feature that aims to prevent DOM-based cross-site scripting (DOM XSS) vulnerabilities. It does so by introducing a strong typing system for values assigned to risky DOM sinks, requiring developers to use dedicated object types like TrustedHTML instead of untrusted strings. Content Security Policies can then enforce these types, validating input and rejecting unsafe values. The goal is to isolate security-sensitive code and reduce the attack surface for DOM XSS bugs, while still allowing flexibility through custom validation rules and policies. The feature is currently being developed collaboratively between browser vendors and is available as a polyfill for early testing.

[Wroclaw #9] The purge - dealing with secrets in Opera SoftwareOWASP

��

This document discusses Opera Software's process for preventing secrets and sensitive information from being committed to code repositories. It describes the problem of secrets in codebases, various tools for identifying and managing secrets like HashiCorp Vault and detect-secrets, and Opera's implementation which uses Vault for secret storage and detect-secrets for identifying secrets in code. The process involves creating a secrets baseline, enabling detect-secrets hooks to prevent pushes with new secrets, auditing the codebase history, and updating the baseline over time.

[Wroclaw #9] To be or Not To Be - Threat Modeling in Security WorldOWASP

��

The document discusses threat modeling and provides 10 hints for making threat modeling practical and valuable for project teams. The hints include realizing who the audience is, making threat modeling fun, showing the value it provides, understanding different points of view, allowing choices in the approach, asking questions and listening, using it in different ways such as red team/blue team, taking on a watchmaker mindset, constantly improving the process, and finding the right balance between proactive and passive approaches.

OWASP Poland 13 November 2018 - Martin Knobloch - Building Secure SoftwareOWASP

��

OWASP Poland Day 2018 - Amir Shladovsky - Crypto-miningOWASP

��

This document discusses how crypto-mining malware has become a popular payload for remote code execution (RCE) attacks. It describes how RCE vulnerabilities allow attackers to install crypto-mining software that uses the victim's computing resources to generate cryptocurrency profits without their consent. Specifically, it outlines the evolution of a crypto-mining malware called CryptoM that uses evasion techniques to infect systems and spread. The document warns that nearly 90% of RCE attacks now contain crypto-mining malware payloads and provides recommendations on how to mitigate these threats through monitoring, securing systems, and patching vulnerabilities.

OWASP Poland Day 2018 - Damian Rusinek - Outsmarting smart contractsOWASP

��

[OPD 2019] Web Apps vs Blockchain dAppsOWASP

��

[OPD 2019] Threat modeling at scaleOWASP

��

[OPD 2019] Life after pentestOWASP

��

[OPD 2019] .NET Core SecurityOWASP

��

[OPD 2019] Top 10 Security Facts of 2020OWASP

��

[OPD 2019] Governance as a missing part of IT security architectureOWASP

��

[OPD 2019] Storm Busters: Auditing & Securing AWS InfrastructureOWASP

��

[OPD 2019] Side-Channels on the Web: Attacks and DefensesOWASP

��

[OPD 2019] AST Platform and the importance of multi-layered application secu...OWASP

��

[OPD 2019] Inter-application vulnerabilitiesOWASP

��

[OPD 2019] Automated Defense with Serverless computingOWASP

��

[OPD 2019] Advanced Data Analysis in RegSOCOWASP

��

[OPD 2019] Attacking JWT tokensOWASP

��

[OPD 2019] Rumpkernels meet fuzzingOWASP

��

[OPD 2019] Trusted types and the end of DOM XSSOWASP

��

[Wroclaw #9] The purge - dealing with secrets in Opera SoftwareOWASP

��

[Wroclaw #9] To be or Not To Be - Threat Modeling in Security WorldOWASP

��

OWASP Poland 13 November 2018 - Martin Knobloch - Building Secure SoftwareOWASP

��

OWASP Poland Day 2018 - Amir Shladovsky - Crypto-miningOWASP

��

OWASP Poland Day 2018 - Damian Rusinek - Outsmarting smart contractsOWASP

��

Jak kraść pieniądze w sieci? - przegląd technik używanych przez cyberprzestępców

1. Jak kraść pieniądze w sieci? wykład nieetyczny ;)

2. UNKNOW Jakub Mrugalski

3. Janusz • Ma mało pieniędzy, żonę, trójkę dzieci, hipotekę na głowie i nie może znaleźć pracy • zna się odrobinę na programowaniu (frontend + PHP) • po prostu chce dorobić • chce dorobić za wszelką cenę…

4. j4n00.sh

5. Może zarobię trochę kasy w programach partnerskich? Dostaniemy pieniądze za dokonane zakupy

6. Aby zarabiać w PP, musimy posiadać popularną stronę WWW… Sprawmy więc, aby stała się popularna ]:>

7. Typowy spam mailowy Minusy: • potrzebujemy serwera do wysyłki • szybko trafimy na czarną listę (RBL) • a kto dziś nie ma filtrów antyspamowych?

8. Użyjmy cudzych serwerów :) • zwrotki mailowe • formularze kontaktowe • dziurawe skrypty PHP SPF + PTR + DKIM

9. Spam na blogach • Komentarze • Statystyki GA / serwera • Formularz kontaktowy • Trackbacki

10. Spam w wyszukiwarce

11. ScrapeBox i przyjaciele

12. Strona powinna się rozprzestrzeniać ‘wirusowo’ • automatyczny like • automatyczny share (niczym captcha)

13. Przecież na stronie spamera nikt nic nie kupi… • a po co ma kupować? cookie stuffing! • <img src=/slideshow/jak-kra-pienidze-w-sieci-przegld-technik-uywanych-przez-cyberprzestpcw/59518036/"link partnerski" /> • <iframe src=/slideshow/jak-kra-pienidze-w-sieci-przegld-technik-uywanych-przez-cyberprzestpcw/59518036/"link partnerski" />

14. Janusz postanowił handlować przedmiotami w grze online

15. Potrzebujemy przejąć sesję i wykonać kilka operacji w grze

16. • Co to jest sesja? • Gdzie trzymane są dane sesyjne? • Jak zabezpieczyć sesję przed kradzieżą? • Kradzież własnej sesji? • Czy dane z wnętrza sesji są zaufane?

17. Janusz chciał wygrać kasę w konkursie…

18. Do konkursu można było wysłać własne zdjęcie!

19. Jak sprawdzić poprawność nadesłanej fotki? • poprawne rozszerzenie? • dozwolony content-type? • ma odpowiednie wymiary? Jedyna sensowna metoda? wygenerowanie obrazka na nowo!

20. A co jeśli serwis nie posiada uploadu? to wyślij plik do wyszukiwarki ;)

21. Głosowanie na zdjęcie /search.php?q=koty Zabezpieczenia: • długość $q > 3 znaki • htmlspecialchars($q) • mysql_real_escape_string($q)

22. Głosowanie na zdjęcie <img src=/slideshow/jak-kra-pienidze-w-sieci-przegld-technik-uywanych-przez-cyberprzestpcw/59518036/"/search.php?q=%%%%" /> sprawdzaj zakres podawanych znaków…

23. Głosowanie na zdjęcie na-ankieta.pl/index.php?komunikat=<p>Dziekuje+za+odda XSS

24. Głosowanie na zdjęcie na-ankieta.pl/index.php?komunikat=<p>Dziekuje+za+odda Nadal XSS

25. Głosowanie na zdjęcie <p onmouseover="exploit-here">Thx!</p>

26. Głosowanie na zdjęcie Zalecenia: • nie przyjmujemy kodu HTML od usera • strip_tags() + htmlspecialchars() • używamy predefiniowanych komunikatów

27. Głosowanie na zdjęcie /glosuj.php?foto_id=31337

28. Głosowanie na zdjęcie <img src=/slideshow/jak-kra-pienidze-w-sieci-przegld-technik-uywanych-przez-cyberprzestpcw/59518036/"/glosuj.php?foto_id=31337" /> XSRF Zmiany programisty: • dodał token anty-xsrf • zmienił metodę wysyłania danych na POST

29. Głosowanie na zdjęcie • Na stronie intensywnie wykorzystywane były pliki SWF • Webmaster stworzył politykę bezpieczeństwa dla Flasha • Szkoda tylko, że taką…

30. Głosowanie na zdjęcie System ładowania podstron nie był zbyt ambitny…

31. Głosowanie na zdjęcie System ładowania podstron nie był zbyt ambitny… plik.php?page=../../../../../dowolny.plik%00

32. A może przerobić odwiedzających w botnet? Prosta sztuczka wymuszająca instalację softu

33. Oszustwa SMS-owe • Strona z ofertą jest weryfikowana przez pośrednika • Wrzucanie strony do iframe + przycinanie jej • Wymuszanie wysłania SMSa

34. Janusz się obłowił, a my musimy kończyć…

35. UNKNOW www: UW-TEAM.ORG twitter: @uwteam wykop: imlmpe youtube: uwteamorg e-mail: unknow@uw-team.org

36. Tak, to już jest koniec :]

Editor's Notes

#8: RBL = Real-time Blackhole List
#9: DKIM = Domain Key Identified Mail
#11: RBL = Real-time Blackhole List
#12: TrackBacks, contact forms, comments, captcha people!
#18: w ankiecie trzeba zaznaczyć��checkboxa przy wybranej fotce i kliknąć na ZAGŁOSUJ!
#29: samowykopujący się��wpis usuwanie wpisów blogera
#33: RBL = Real-time Blackhole List

�ݺ�ߣ

Jak kraść pieniądze w sieci? - przegląd technik używanych przez cyberprzestępców

Recommended

More Related Content

Viewers also liked (15)

More from OWASP (20)

Jak kraść pieniądze w sieci? - przegląd technik używanych przez cyberprzestępców

Editor's Notes