Dopo il tanto parlare degli ultimi giorni circa la possibilità che gli attacchi hacker avvenissero grazie a falle presenti in WordPress 2.8.5, rilasciato neanche un mese fa, è stata appena annunciata la security release 2.8.6 che contiene due importati fix di sicurezza.

La prima è una vulnerabilità del componente “Press This” (Pubblicalo in italiano) scoperta da Benjamin Flesch che permetteva di eseguire XSS (Cross Site Scripting) agli utenti registrati con privilegi di pubblicazione.

La seconda, invece, è stata scoperta da Dawid Golunski e consentiva di aggirare le limitazioni ai nomi dei file in determinate configurazioni Apache.

In attesa della versione WordPress 2.9 consiglio a tutti di provvedere ad aggiornare la propria versione tramite la funzione di “Aggiornamento Automatico” che verrà suggerita non appena entrerete nella vostra Bacheca.

PREMESSA

Il 9 febbraio scorso nel post titolato “18446744073709551615 – Un nuovo hack in arrivo?” avevo descritto un hacking che stava avvenendo in centinaia di siti di hosting italiani e stranieri che non aveva un apparente denominatore comune.

Infatti all’epoca non si spiegava se venivano sfruttate vulnerabilità dell’applicativo in uso sul proprio dominio (in Rete in questi ultimi giorni c’è un gran parlare sulla possibilità che sia WordPress la causa) o se si trattasse di uno stealing di account ma alla luce di quanto analizzato a febbraio e quanto analizzato in questi giorni vi sono in rete diverse “testimonianze” di siti hackerati che con molta probabilità non hanno vulnerabilità in quanto basati su semplici pagine html statiche.

Alcune “vittime” mi han contattato privatamente e mi hanno fornito informazioni per poter delineare meglio questo hack.

Ricordo a chi legge questo Blog per la prima volta che nel post precedente chiamato volutamente “Un nuovo hack in arrivo?” segnalavo come le azioni di febbraio apparivano più come un “giro di test” che come un’azione a fini malevoli quale è, invece, in questi giorni. A febbraio numerosi siti subirono un hack atipico poiché i siti vittima non venivano alterati o infettati da virus/trojan ma, semplicemente, mostravano il numero “18446744073709551615” a pié di pagina e nel codice si poteva individuare la dichiarazione di una funzione dal nome “ob_start(“security_update”)“. Questo, dal mio punto di vista, poteva essere interpretato come un marcatore tramite il quale chi attacca può farsi un’idea di quanti potenziali vittime potrebbe colpire.

continue reading "[HACK] – Cannot redeclare security_update(), alla fine è arrivato!"

Anche in quest’occasione vi parlerò di un software davvero utile riguardante la navigazione anonima e non solo.

UltraSurf è un proxy software stand alone (non necessità di installazione) prodotto dalla UltraReach Internet Corp che permette di bypassare tutte le restrizioni ad Internet che vengono applicate in alcuni Paesi del mondo (ricordate cosa succede cercando “tienanmen” in Google Cina?) ma anche in alcuni posti di lavoro. Tecnicamente si tratta di un proxy che si attiva sulla porta 9666 del nostro Pc e riconfigura temporaneamente il proxy server di Internet Explorer consentendo di bypassare qualsiasi blocco sia Ip che del contenuto.

continue reading "UltraSurf e la Rete non avrà più censure!"

Quest’oggi ho provveduto ad implementare un tool che è ora disponibile a tutti gli utenti del sito.
Si tratta di un semplice form che permette di criptare parole/frasi in MD5 e salvare tutti gli hash MD5 in un Database così che si ha la possibilità di decriptare l’hash MD5 se già presente nel Database.
Allo stato attuale ho provveduto a caricare nel Database oltre 60mila hash MD5 generati da vari dizionari di parole/password (wordlist) che si trovano in giro per la Rete.

Periodicamente provvederò ad inserire nuovi vocaboli e se qualcuno vuole condividere un suo dizionario sarò ben lieto di utilizzarlo per aggiungerlo al Database.

In seguito, sperando che il Database cresca in fretta, provvederò a rendere disponibili per il download i file txt così da poterli utilizzare autonomamente.

Per testarlo cliccate qui.

Poco fa leggevo il mio mensile “Wired” e c’era una pubblicità piuttosto accattivante circa un nuovo dispositivo chiamato Powermat che promette di caricare qualsiasi dispositivo elettrico senza bisogno di fili.

Era tempo che sentivo rumors riguardo la possibilità di “trasportare” corrente elettrica senza l’ausilio dei tradizionali fili (wireless) ma non sapevo ancora a che punto fosse lo sviluppo in questa direzione. Inizio così le mie ricerche e scopro che è disponibile sul mercato italiano questo innovativo dispositivo, per l’appunto, il Powermat!

continue reading "Powermat, e la ricarica wireless è realtà!"