Todos os posts tagados owasp

Conferência How I Met Your Girlfriend, por Samy Kamkar

Foi uma conferência com bom ambiente e com um Samy Kamkar descontraído e sempre bem disposto.

Samy focou temas bastante actuais e a conferência baseou-se numa demonstração de como é possível manipulação de informação em ambientes supostamente protegidos.

Alguns tópicos curiosos focados pelo Samy:

  • PHP LCG
  • NAT Pinning
  • Cross Protocol Scripting
  • GEO Location

Os exemplos com o IRC foram para mim um back to the roots.

Saliento umas quotes da conferência:

  • I don’t know why I have so many malicious links
  • Why Google? They know everything
  • I created a worm accidentely (LOL)
  • Privacy is dead

Para aqueles que não conseguiram acompanhar a conferência ao vivo ou em streaming, podem fazê-lo aqui, tal como ver os slides e as fotos.

Gostaria de agradecer à OWASP e ao ISCTE-IUL e ADETTI-IUL por terem organizado este evento e fica a sugestão de convidar a Portugal o Robert “RSnake” Hansen.

Projecto OWASP ModSecurity

Saiu a nova versão do OWASP ModSecurity Core Rule Set Project.
Um conjunto de regras essenciais, para o módulo Apache ModSecurity, que fornecem protecções contra ataques a arquitecturas web.

Plataforma OWASP O2

O2 é uma coleção de módulos open source que auxiliam os profissionais de segurança de aplicações web.

Vale pena dar uma olhada neste projeto OWASP.

Nova versão do OWASP JBroFuzz

Já está disponível a versão 2.3 do popular fuzzer dos projectos da OWASP.
Faça o download aqui.

Vicnum – mais uma aplicação web vulnerável

Vicnum é um projecto OWASP semelhante ao DVWA e ao Jarlsberg.

É uma aplicação web flexível vulnerável a falhas como XSS, SQL Injection e manipulação de sessões.
Vicnum foi implementado utilizando LAMP, Perl e PHP, deste modo é possível trabalhar com as duas linguagens.

Vicnum é fácil de instalar e usar.
Algumas particularidades da aplicação:

  • Pode ser modificado para testar novas vulnerabilidades e novas defesas;
  • Usar para testar uma WAF ou IDS;
  • Testar a fiabilidade de um software de auditoria de segurança.

Porque não tentar?