Mensajes

ahh esa prueba era un torneo, el torneo ya acabo.

[We]

Me pides hackear google? Otra vez?
http://sirdarckcat.blogspot.com/search/label/google

Nah.. lo he hecho tantas veces que ya ni lo pongo en mi blog xD
http://www.google.com/corporate/security.html

We Thank You
People and organizations with an interest in security issues have made a tremendous contribution to the quality of the online experience. On behalf of our millions of users, we would like to acknowledge the following individuals and organizations for their valuable assistance.
2009

Inferno, SecureThoughts.com Jason Carpenter, Chris Rohlf, Eric Monti–Matasano Security Eduardo Vela Nava (sirdarckcat) Mozilla Security Will Dormann of CERT

Puedes subir tu pagina de "demo" para mostrarle al mundo lo unitil que es tener 2 filtros de xss encadenados para detener ataques de SQL injection con mod_rewrite?

Uno de los problemas principales que hay con la seguridad es gente que entra a foros y ve malas soluciones como esta, y luego piensan que son seguros cuando no es asi.

Fuera de eso, para demostrar que tu filtro es seguro enlazas a google? cuando ellos NO USAN mod_rewrite?

Parece ser que crees saber mucho, y aunque (citando tu mp) me quieras "dar unas clases", yo te recomendaria primero leas un poquito en wikipedia lo que es XSS porque parece que no lo tienes muy claro, y despues veas quien escribio ese articulo.. Si quieres realmente ver como evadir todos y cada uno de tus filtros, ve mi presentacion de blackhat..
http://www.blackhat.com/html/bh-usa-09/bh-usa-09-speakers.html#VelaNava

Por ahi demostre un bug de overlong unicode que hasta cierto punto afecta a htmlpurifier https://twitter.com/sirdarckcat/status/2648885322 y que obviamente no lo detectan tus super filtros anti <>... ni purifier ni injection checker.. por ser una vulnerabilidad en el core de PHP..

Ni me hagas empezar con SQL Injection, que hasta me cuesta trabajo pensar lo que no evadiria ese filtro..

Siendo nuevo en el foro parece que tienes una actitud medio prepotente, pero pues aqui no se convive asi.. Haz empezado con un mal pie, y tienes la oportunidad de redimirte, te recomiendo la aproveches.

Saludos!!

teniendo encuenta ambos estan activos... sabes cual es la respuesta
... NO SE PUEDE!! hasta que me demuestres lo contrario

lol.. te lo hubiera demostrado de no ser por esa actitud, sera tu palabra contra la mia xD, y creo que en credibilidad termino ganando =/

monta una pagina de prueba con el sistema que dices usar, y lo vemos..

Y como he decidido que este topic no es una respuesta al tutorial de xss, lo muevo a nivel web.

Saludos!!

[no dejar a nadie fuera del proyecto]

WHK y yo ya hicimos la seleccion.

Hemos decidido no dejar a nadie fuera del proyecto, pero tampoco permitiremos que personas entren a leer los bugs y no colaboren, por lo que se eligio a dos miembros oficiales solamente, y el resto pasara a formar parte del equipo, aunque no podra tener acceso al listado de bugs hasta que encuentren uno.

El proyecto empieza mañana y nos pondremos en contacto con ustedes mañana, por lo pronto solo hacemos el listado de integrantes publico.


Los que pasan a ser miembros (forman a ser parte del proyecto oficialmente):
* c1c4tr1z - http://foro.elhacker.net/profiles/vyrus90-u108459.html
* LightOS - http://foro.elhacker.net/profiles/lightos-u370043.html

Deberan estar activamente en el proyecto cada semana.

Los que pasan a ser colaboradores (forman a ser parte del proyecto pero necesitaran encontrar algo antes de tener acceso al resto de los reportes):

* Np-アクス - http://foro.elhacker.net/profiles/nphacks-u307389.html
* D3Bć1 - http://foro.elhacker.net/profiles/debci-u307244.html
* braulio23 - http://foro.elhacker.net/profiles/braulio23-u300868.html
* fede_cp - http://foro.elhacker.net/profiles/fedecp-u332421.html
* Jubjub - http://foro.elhacker.net/profiles/jubjub-u267996.html
* 0x0309 - http://foro.elhacker.net/profiles/0x0309-u334154.html
* Zero_Bits - http://foro.elhacker.net/profiles/zerobits-u351508.html
* 1995 - http://foro.elhacker.net/profiles/1995-u310544.html
* YST - http://foro.elhacker.net/profiles/yst-u343460.html

A ustedes se les dara una serie de tareas donde creemos que podran encontrar vulnerabilidades.. Si no encuentran nada, podran auditar el codigo en general.. Queda a nuestro criterio si algun dia decidimos hacer a algun colaborador miembro oficial.

El resto:
A todos los que encuentren, y nos expliquen POR PRIVADO con lujo de detalle porque la siguiente cadena de BBcode regresa un "<" al ser parseada por SMF, tendra acceso al proyecto como colaborador.

Código [Seleccionar] Expandir

[tt]www.google.com:80///((((((((((((((((((((((((((((((((((((((((((((((((((((((((((((((((((((((((((((((((((((((((((((((((((((((((((((([/tt]

Simplemente expliquenos POR PRIVADO porque regresa "<" enlugar de la URL.. y listo, es todo lo que deben hacer.

Demo (hagan quote a este topic, y veran el bbcode):
www.google.com:80///(((((((((((((((((((((((((((((((((((((((((((((((((((((((((((((((((((((((((((((((((((((((((((((((((((((((((((((

Bueno, es todo chavos!!

Saludos!!

eso que propones es usar mod_rewrite como un WAF, y es una mala idea, porque:
1.- tendras falsos postivos si haces blacklist a tantos chars.
2.- casi todas tus reglas se pueden bypasear, o simplemente no son utiles en absoluto.. por ejemplo, union se puede escribir como UNI%6FN.. o

ademas hay aseveraciones falsas como:

Con esta regla es imposible lanzar ataques de inyección (SQL, XSS, etc)

wtf? lo unico que hace esa regla es checar si tiene algunos chars la peticion? eso no lo hace imposible xDD

Haz un topic nuevo en el subforo de Nivel Web con estas reglas, y explica cada una de ellas. En cualquier caso mod_rewrite no es una herramienta de seguridad, en cualquier caso lo seria mod_security, aunque no es muy bueno..

Saludos!!

[ahora esta en ustedes decidir si fue un error involuntario o no..]

Shell-killer, como he dicho:

pero en cualquier caso esta mi opinion, y ahora esta en ustedes decidir si fue un error involuntario o no..

NikNitro.. no se que cosas se deban poner en que sitio.. pero pues.. la respuesta se pone en una caja de texto..

las bases de datos toman vacaciones muy largas

no es un estereograma

aqui aceptamos a las personas que quieren aprender.. no a los que quieren delinquir.. no es tan dificil de notar las diferencias..