Todos os posts tagados java

Anonymous comprometeram 12 milhões de registos da Apple via FBI?

Anonymous comprometeram 12 milhões de registos da Apple via FBI?

O grupo Anonymous acabou de anunciar que conseguir obter 12 milhões de registos de dispositivos Apple, incluindo nomes de utilizadores, nomes dos dispositos, números de telemóvel e moradas. A fonte? Um agente do FBI.
Fiz uma pequena pesquisa sobre este assunto e parece que os Anonymous utilizaram uma antiga falha no Java (damn you Java) – CVE-2012-0507. Esta falha estava a ser bastante explorada por este grupo para obter informações confidenciais.

O grupo menciou que o ataque ao FBI foi na segunda semana de março de 2012, ou seja, entra dentro do timeline da utilização desta falha.

Segundo o Errata Security, tudo PODE TER começado com a intercepção da chamada de conferência do FBI. 40 agentes reunidos de várias zonas do mundo. Os Anonymous conseguiram interceptar o e-mail enviado para todos os agentes, disponibilizando o código acesso. Posteriormente enviaram um email diretamente para os participantes da conferência com um link para o site que alojava um aplicação Java com o exploit acima referido.

Também no final de março, o mesmo exploit – CVE-2012-0507 – foi integrado no Blackhole o que pode significar que algum agente pode ter sido infetado com este exploit kit. De referir que o Blackhole tinha diversos exploits Java no seu arsenal. Muitos deles sem correcções disponíveis.

No blogue da Sophos, é referido que o grupo pretendia envergonhar a equipa do FBI ao invés de prejudicar os utilizadores da Apple. Na minha opinião, não me parece o caso porque a informação foi publicada e, provavelmente, milhões de utilizadores viram os seus dados públicos.

Fica por apurar a veracidade da informação disponibilizada pelos Anonymous.

Por enquanto podem verificar no TNW se o vosso UDID foi comprometido.

Falha em Java permite ataques Web a utilizadores do Windows

Resumidamente, esta falha permite executar parâmetros arbitrários no utilitário javaws.
Um dos investigadores desta falha, Tavis Ormandy do Google, decidiu colocar o problema ao público depois da Sun ter decido não lançar uma correcção imediata.

Podem ler mais sobre o assunto na Full Disclosure, ZDNet e no Reverse Mode e testar a falha aqui.

Pentesting com No more and 1=1

Uma ferramenta web, programada em JAVA, com opções – standalone ou como plugin para a ferramenta WebScarab. Útil no aspecto em que facilita testes básicos e repetitivos no que toca a inserir alguns triggers SQL Injection e XSS.

Rápido e multi-plataforma é a sua principal vantagem, tal como o suporte para a ferramenta WebScarab.
Podem fazer o download [aqui].

<offtopic>Um bom carnaval para todos.</offtopic>

OWASP Code Crawler

OWASP Code Crawler 2.5 é uma ferramenta para ajudar os programadores a analisarem o seu código .NET e J2EE/JAVA. O principal objectivo é seguir o guia da OWASP sobre “Code Review” e implementar uma solução de análise para “todos”.

Actualmente apenas suporta:

  • .NET (C#)
  • JAVA

Requisitos:

  • .NET Framework 3.5 (SP1)
  • Visual Studio 2008
  • Windows

Podem fazer o download [aqui] e obter mais informações [aqui].