NeOh si-a bagat mainile prin igpr.ro, profitand de o vulnerabilitate de tip sql injection aflata in paginile acestuia. Imaginile de pe blogul lui sunt destul de concludente si dovedesc inca o data ceea ce am spus cu cateva luni in urma. Site-urile politei sunt cele mai tavalite. Poate ca institutia asta ar trebui sa lase ym, twitter si facebook deoparte si sa se ocupe de problemele mai serioase.

Link: http://ne0h.baywords.com/2009/11/28/politia-romana/

Folositi Yahoo Messenger sau Skype pentru a suna la numarul 1-800-3733-411.

Cand incepe operatoarea sa insiruie meniul spuneti in microfon “free call”.

O sa inceapa probabil o reclama care dureaza cateva secunde, dupa care robotul va anunta sa tastati numarul de telefon folosind country code in fata numarului.

Folositi dial-pad-ul de la YM sau Skype pentru a tasta numarul sub forma 40722889933.

In cazul in care robotul spune imediat dupa terminarea reclamei ca liniile sunt ocupate trebuie sa repetati procesul. Uneori merge de-abia dupa vreo 3 incercari.

Pentru iPhone si orice alt telefon de ultima generatie folositi Skype pentru a proceda asa cum am spus mai sus.

Durata convorbirii este de 5 minute dupa care trebuie sa urmati din nou pasii de mai sus.

Puteti suna oriunde in lume indiferent de reteaua telefonica.

Nu functioneaza si pe numere speciale cu suprataxa.

Si pentru ca publicul a decis, zilele astea o sa apara pe RST primul xss permanent din Hi5 din cele pe care le detin.

http://unu123456.baywords.com/2009/11/23/symantec-exposed-passwordsserials-sql-injection-full-database-access/

http://countermeasures.trendmicro.eu/symantec-hacked-full-disk-and-databse-access/

Rareori mi-e dat sa gasesc pe site-urile “normale” romanesti un articol bun legat de privacy, insa la adresa celui de aici nu pot comenta negativ. Cunoscatorii nu vor afla nimic nou, dar utilizatorul obisnuit de internet trebuie sa il citeasca neaparat.

Un hacker roman a creeat un virus ce sparge mailurile Yahoo! si se raspandeste intr-un ritm alert. Asa ar suna o stire prezentata de Andreea Esca. Adevarul este altul si extrem de simplu.

In urma cu foarte mult timp am facut public pe RST un xss permanent in pipes.yahoo.com. In acelasi timp au aparut discutii despre respectiva vulnerabilitate si pe alte site-uri de profil. Cum sa va spun… e o chestie atat de evidenta in serviciul respectiv (hint: parametrul url din consola pipes), incat multa lume a reusit sa descopere respectivul xss fara ajutor din partea altora.

Cei de la Yahoo! au fost anuntati si au modificat pe alocuri sistemul dar au permis in continuare injectarea javascript. De ce? Pentru ca fara javascript serviciul lor ar deveni inutil.

Acum, dupa 1 an si ceva, un roman s-a gasit sa foloseasca un xss worm ce fura cookies de Yahoo!, extrage contactele si le da mail mai departe cu linkul care contine grabberul. Xss-ul folosit este cel din pipes.yahoo.com si din cate tin minte nicio versiune a Internet Explorer nu este afectata, dar Firefox pica in plasa atacurilor.

Ce face respectivul individ cu atatea conturi sparte nu am de unde sa stiu, ideea este ca din cauza nepasarii celor de la Yahoo! mii de conturi vor fi compromise.

Mesajele care contin linkul problematic arata cam asa:

Sender: o persoana care va are in lista de contacte - probabil un prieten de-al vostru

Subiect: Buna!

Mesaj: http://lumina.ro/blabla/blabla/lol123.jpg - probabil sunt folosite si alte domenii

Sfatul meu: nu dati click pe linkurile respective, chiar daca vedeti extensia .jpg. In clipa in care dati click, atacatorul va poate accesa mailul si voi veti trimite automat mesajul cu linkul catre toti cei aflati in lista voastra de contacte.

De ce spuneam la inceputul articolului ca nu e nimic senzational in toata povestea? Pentru ca sursa de xss worm in Yahoo exista pe net, xss-uri se gasesc foarte simplu, cookie grabbere sunt publice de ani de zile. Ca sa devii un “mare hacker” trebuie sa stii ce sa cauti pe Google si sa le pui pe toate cap la cap. Daca nu stii sa faci asta nu-i nimic, exista si tutoriale care te invata cum sa procedezi.

Iubesc internetul

Vorba unui prieten, dai reply de-ti vine rau.

Pentru cine nu stie, appulo.us este site-ul preferat al detinatorilor de iPhone ce vor aplicatiile din iTunes dar nu au bani sau nu vor sa plateasca pentru a le folosi si prefera sa le descarce gratis pe cele crackuite.

Datorita numarului foarte mare de vizitatori (3 milioane pe zi dupa spusele adminului), serverele ce ii hosteaza nu au mai facut fata traficului si s-a implementat pentru cateva saptamani “The Troll Bridge”, un mic quiz afisat pe index, fara completarea corecta a acestuia neputand fii accesata lista de aplicatii. Partea amuzanta a acestui quiz este imposibilitatea utilizatorilor de a sti raspunsurile la majoritatea intrebarilor, asa ca in clipa de fata motoarele de cautare sunt bombardate cu intrebarile respective.

Cine are rabdare sa urmareasca in permanenta appulo.us si sa publice pe propriile site-uri raspunsurile la intrebari (chiar si raspunsuri gresite), poate avea parte de un spike de trafic consistent asa ca… aviz amatorilor de Google spam.

====================

TEST (de curiozitate) -> The answer for the question “Who did Labrat attempt to con into writing a private Appulous clone for his website?” is andyadam.

The answer is on this user profile http://hackulo.us/forums/index.php?showuser=3

How did I find it?

Join hackulo.us board. Search for staff usernames by changing user id number (in this case was showuser=3). Admins and important (old) staff members are always registered first so… it’s a child play if you know how online communities works.

L.E. – BTW: guys if you need to download an application from appulo.us, just search it on Google and click the “cache” button. You don’t need to know appulous password to access download pages from Google cache. Doh!

Cakeslice va permite sa bagati in iframe doar portiunea selectata de catre voi dintr-o pagina. Este extrem de simplu, totul facandu-se prin selectarea portiunii din pagina cu ajutorul mouse-ului si apasand butonul export. Dupa exportare veti primi codul html pe care il veti introduce in paginile voastre.

Foarte util in programele de afiliere si de ce nu, in hacking.

Exemplu: vrei sa castigi un concurs ce necesita introducerea captcha pentru vot. Selectezi cu cakeslice doar partea unde se introduce captcha si butonul de submit, creezi un site pe care implementezi acel iframe cu captcha code sub un video cu o gagica si spuneti ca dupa introducerea captcha vor intra in chat cu gagica. Automat veti primi vot dupa ce introducerea captcha.
Sau, folosit impreuna cu un csrf ii faceti pe oameni sa isi schimbe/stearga anumite conturi de pe anumite site-uri.

Acum depinde de fiecare dintre voi cum il folositi.

Download source: http://rstcenter.com/toolz/cakeslice.zip
Versiunea online: http://ratati.org/tools/cakeslice.html

Sursa: blackhatworld.com