Posts by tag
hack
หลังจากอธิบาย PHP Serialization ไปแล้ว ก็มาต่อกับ Java Serialization กันครับ โดยในโพสต์นี้ผมจะไม่ได้โพสต์เริ่มใหม่นะครับ เพราะได้อธิบายหลักการของ Serialization และ Unserialization ไปหมดแล้ว แต่จะมาอธิบายความแตกต่างระหว่าง PHP กับ Java ว่ามีลักษณะในการทำ Serialization และ Unserialization แตกต่างกันยังไงแค่นั้นครับ ตัวอย่าง Code ของการทำ Serialization ใน Java
ตัว…
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 |
import java.io.*; public class Serial { public static void main(String[] args) { String name = "Nytro"; String filename = "file.bin"; try { FileOutputStream file = new FileOutputStream(filename); ObjectOutputStream out = new ObjectOutputStream(file); // Serialization of the "name" (String) object // Will be written to "file.bin" out.writeObject(name); out.close(); file.close(); } catch(Exception e) { System.out.println("Exception: " + e.toString()); } } } |
ใน OWASP Top 10 มีความเสี่ยงหนึ่งที่ถูกเพิ่มเข้ามานั่นคือ A8:2017-Insecure Deserializationซึ่งเป็นช่องโหว่ที่ไม่พบมากนัก แต่ก็ถือว่าเป็นช่องโหว่อีกช่องโหว่หนึ่งที่รุนแรงมากเช่นกัน เรามาดูกันดีกว่าว่ามันคืออะไรครับ PHP Object
จาก Class จะเห็นถึงการสร้าง PHP Object จาก class นะครับ และมีการเรียกใช้ฟังก์ชั่น PrintVariable() จาก class ที่ถูกสร้างมา ทีนี้ Class นั้นสามารถมี function ที่เรียกว่า Magic function…
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 |
<?php classTestClass { // A variable public$variable = 'This is a string'; // A simple method public function PrintVariable() { echo$this->variable; } } // Create an object $object = new TestClass(); // Call a method $object->PrintVariable(); ?> |
Ankit Joshi ซึ่งเป็น security คนหนึ่งได้พบว่าหาก user ใดๆที่เป็น DNS Admin สามารถใช้คำสั่งเพื่อทำการ load dll ใดๆก็ได้บน Windows Active Directory Server ซึ่งเมื่อดัดแปลงการโหลดแล้วจะทำให้สามารถยึดเครื่องหรือทำสิ่งใดๆจากเครื่อง AD ได้ 1. list user ที่เป็น dns admin user
2. Login…
|
1 2 3 4 |
net localgroup dnsadmins /domain หรือ import-module activedirectory get-adgroupmember -Identity "DNSAdmins" |
Samsung ถือเป็นหนึ่งในบริษัทชั้นนำเรื่องมือถือในยุคปัจจุบัน (แม้ Samsung ในไทยจะ support แย่มากก็ตาม) แต่ดันปล่อยให้ผู้ใช้จำนวนมากตกเป็นเหยื่อของภัยคุกคาม หลังจากที่ไม่ยอมต่อ domain name สำหรับการแนะนำ Application หากคุณใช้มือถือ Samsung รุ่นเก่าๆหน่อย คุณจะคงเห็นโปรแกรมที่ชื่อว่า “S Suggest” ติดตั้งอยู่ ซึ่ง Application ดังกล่าวจะเป็น app สำหรับการแนะนำ application/widget อื่นๆที่เหมาะสมกับเครื่องของเรา ซึ่งบริการดังกล่าวนี้ได้หยุดให้บริการไปตั้งแต่ 2014 โดย…
จากรายงานของ Verizon พบว่ามีบางมหาวิทยาลัยถูกโจมตีเครือข่ายภายในมหาวิทยาลัยจากเครื่องตู้หยอดเหรียญซื้อน้ำ (Vending Machines) ของมหาวิทยาลัยและ IoT(Internet of Thing) Botnet ทาง Help Desk ในมหาวิทยาลัยพบว่ามีการแจ้งจากนักศึกษาจำนวนมากว่า network ภายในมหาวิทยาลัยนั้นช้าเหลือเกิน ซึ่งในขณะเดียวกันก็มีรุ่นพี่ของ IT Security Team ได้แจ้งเข้ามา โดย incident (เหตุการณ์ที่ทำให้เกิดความเสียหาย) ที่ถูกแจ้งเข้ามาเกิดจากมุมมองของสมาชิกในทีมที่พบอะไรแปลกๆเกี่ยวกับการพยายามเข้าถึงเว็บไซด์ที่เกี่ยวกับอาหารทะเล ผู้ที่ดูแลสั่งการเกี่ยวกับ incident สังเกตพบว่า name server…
LINE@Techsuii.com
Recent Comments