Posts by month
June 2018
นักวิจัยทางด้านความปลอดภัยพบว่ามี Firebase database ที่ใช้โดย iOS และ Android mobile Application มากมายเผลอปล่อยให้สามารถเข้าถึงได้จากภายนอกทำให้ข้อมูลจำนวน 100 ล้าน record (มีทั้ง password แบบไม่เข้ารหัส, user ID, location และอื่นๆ) หลุดออกมา Firebase เป็น Google servier ที่ถือว่าเป็น service ยอดนิยมที่ถูกนำไปใช้เป็น backend ของ…
เมื่อช่วงสัปดาห์ที่ผ่านมา René Freingruber (@ReneFreingruber) จาก SEC Consult Vulnerability Lab ได้ออก post เกี่ยวกับ trick การ bypass Windows defend mechanism ต่างๆ ออกมา โดยผมเอามาสรุปให้อีกทีดังนี้ครับ (ทั้งหมดนี้ได้ถูกแจ้งไปยัง Microsoft และออก patch แก้ไขแล้วครับ) 1. วิธีการสร้าง folder ใน path ที่ user…
Microsoft ออก patch Tuesday ประจำเดือน มิถุนายน 2018 ซึ่งมีการแก้ไขช่องโหว่ใน Applicatoin มากมาย ไม่ว่าจะเป็น Windows, Internet Explorer, Edge, MS Office, MS Office Exchange Server, ChakraCore, และ Adobe Flash Player ด้วย รวมทั้งสิ้น 50 ช่องโหว่…
Docker Container เป็นเทคโนโลยีที่ที่ไหนก็ใช้ในปัจจุบัน เพราะง่ายต่อการ implement และ maintain ยิ่งมีประโยชน์ก็ยิ่งมีโอกาสถูกนำมาใช้ในการโจมตี Docker team พบว่ามี 17 docker container image ที่ถูกฝัง backdoor และลง cryptocurrency miner (XMRig-Monero) ไว้ตั้งแต่เมื่อปีก่อน (ตั้งแต่พค. 2017) ซึ่งสืบเนื่องด้วย Docker images ใหม่นั้นจะไม่ได้มีการตรวจสอบมาก่อน ทำให้สามารถ…
ก่อนหน้านี้เราเคยพูดถึง Certificate Transparency ที่ Google ร่วมกับองค์กรต่างๆร่วมกันทำขึ้นมาไปแล้ว ซึ่งก็มีเครื่องมืออย่าง CertStream ที่ออกมาเพื่อใช้ประโยชน์ของข้อมูลดังกล่าว ล่าสุดก็มี CertStreamMonitor ออกมา ซึ่งเป็นตัวที่ต่อยอดมาจาก CertStream คือการที่นอกเหนือจากการตรวจสอบ Cert ว่ามีชื่อตรงกับที่ monitor ไว้มั้ย ก็ยังมีการคอยดูด้วยว่า cert นั้นถูกนำไปใช้ในเว็บไซด์จริงๆอีกหรือเปล่าด้วย อีกทั้งยังสามารถแจ้งเตือนได้อีกด้วยครับ เหมาะสำหรับ SOC ที่จะนำไปทำเป็น Blacklist Domain มากเลยครับ Source::…
เมื่อวันจันทร์ที่ผ่านมา (4/06/2018) ทาง MyHeritage ซึ่งเป็นบริการทดสอบ DNA ได้กล่าวว่าพบข้อมูลของผู้ใช้จำนวน 92 ล้าน account นั้นหลุดออกมา โดยข้อมูลดังกล่าวมีทั้ง email adress และ hashed passwords และอื่นๆ (ทางประกาศไม่ได้กล่าวว่าข้อมูล DNA นั้นหลุดออกมาด้วยมั้ยครับ) บริษัท MyHeritage ซึ่งเป็นบริษัทใน Isarael ที่ทำงานให้บริการวิจัยศึกษาและทดสอบ DNA ได้ออกมาประกาศว่าบริษัทนั้นถูกแฮ็คและข้อมูลลูกค้าทั้งหมดได้หลุดออกไป ซึ่งข้อมูลเหล่านั้นเป็นข้อมูลของ user…
ก่อนหน้านี้มี powershell script สำหรับ security มากมายออกมา แต่ต้องลำบากในการรันมากเพราะต้องไปเปิดใน Windows ที่โคตะระช้า ล่าสุด Microsoft ได้ปล่อย powershell ที่สามารถรันใน Linux ได้ออกมาแล้วครับ แล้ว Kali ก็เอาวิธีการติดตั้งมาบอกครับ โดยวิธีการทำคือดังนี้ 1. Update Source list และติดตั้ง source ของ Microsoft
2.…
|
1 2 3 4 |
apt update && apt -y install curl gnupg apt-transport-https curl https://packages.microsoft.com/keys/microsoft.asc | apt-key add - echo "deb [arch=amd64] https://packages.microsoft.com/repos/microsoft-debian-stretch-prod stretch main" > /etc/apt/sources.list.d/powershell.list apt update |
ทีมนักวิจัยทางด้าน security ที่ชื่อว่า “Eclypsium” พบช่องโหว่ใน SuperMicro ในหลายรุ่นมากมาย ซึ่งตอนนี้ SuperMicro ได้รับแจ้งแล้วและกำลังพยายามออก patch อยู่ โดยช่องโหว่ดังกล่าวไม่ได้ทำการโจมตีเข้า SuperMicro product โดยตรง ทาง Eclypsium พบว่าใน Configuration ของ SuperMicro ไม่มีการตรวจสอบ “Descriptor Region.” ที่ดีพอ โดย “Descriptor Region” เป็น security…
นักวิจัยพบช่องโหว่มากมายในเครื่องสำหรับการเฝ้าระวังผู้ป่วยใน Philips ที่เป็นรุ่น Philips IntelliVue patient monitors (MP และ MX series) และ Avalon fetal monitoring systems (FM20, FM30, FM40 และ FM50). ช่องโหว่ที่รุนแรงมากที่สุดคือช่องโหว่ที่ทำให้ Hacker สามารถเข้าถึง memory และเข้าไปแก้ไข memory ของเครื่องได้ โดยได้รับ CVSS Score…
หลังจากอธิบาย PHP Serialization ไปแล้ว ก็มาต่อกับ Java Serialization กันครับ โดยในโพสต์นี้ผมจะไม่ได้โพสต์เริ่มใหม่นะครับ เพราะได้อธิบายหลักการของ Serialization และ Unserialization ไปหมดแล้ว แต่จะมาอธิบายความแตกต่างระหว่าง PHP กับ Java ว่ามีลักษณะในการทำ Serialization และ Unserialization แตกต่างกันยังไงแค่นั้นครับ ตัวอย่าง Code ของการทำ Serialization ใน Java
ตัว…
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 |
import java.io.*; public class Serial { public static void main(String[] args) { String name = "Nytro"; String filename = "file.bin"; try { FileOutputStream file = new FileOutputStream(filename); ObjectOutputStream out = new ObjectOutputStream(file); // Serialization of the "name" (String) object // Will be written to "file.bin" out.writeObject(name); out.close(); file.close(); } catch(Exception e) { System.out.println("Exception: " + e.toString()); } } } |
LINE@Techsuii.com
Recent Comments