информационная безопасность
без паники и всерьез
 подробно о проектеRambler's Top100
Spanning Tree Protocol: недокументированное применениеГде водятся OGRыПортрет посетителя
BugTraq.Ru
Русский BugTraq
 Анализ криптографических сетевых... 
 Модель надежности двухузлового... 
 Специальные марковские модели надежности... 
 Microsoft обещает радикально усилить... 
 Ядро Linux избавляется от российских... 
 20 лет Ubuntu 
главная обзор RSN блог библиотека закон бред форум dnet о проекте
bugtraq.ru / форум / site updates
Имя Пароль
ФОРУМ
если вы видите этот текст, отключите в настройках форума использование JavaScript
регистрация





Легенда:
  новое сообщение
  закрытая нитка
  новое сообщение
  в закрытой нитке
  старое сообщение
  • Напоминаю, что масса вопросов по функционированию форума снимается после прочтения его описания.
  • Новичкам также крайне полезно ознакомиться с данным документом.
Сам по себе запуск калькулятора ничего не значит без... 11.03.12 14:11  Число просмотров: 1550
Автор: Killer{R} <Dmitry> Статус: Elderman
<"чистая" ссылка>
Сам по себе запуск калькулятора ничего не значит без пояснения привилегий под какими тот запустился. Песочница не предотвращает исполнение чужого кода, песочница не дает ему натворить ничего с пользовательской системой. (наболело, как имеющему отношение к разработке подобных песочниц - надоело отшивать крякеров запустивших нотепад в песочнице ) Надо просто говорить хацкерам создать файл на реальной ФС и прописаться в автозапуск реальной ОС - как правило они сразу пропадают :)
<site updates>
Анонимный тинейджер с русским студентом выбрались из гуглевской песочницы 10.03.12 12:10  
Publisher: dl <Dmitry Leonov>
<"чистая" ссылка>
Анонимный тинейджер с русским студентом выбрались из гуглевской песочницы
ZDNet http://www.zdnet.com/blog/security/teenager-hacks-google-chrome-with-three-0day-vulnerabilities/10649

В этом году Google решила не спонсировать очередной конкурс Pwn2Own, обнаружив, что правила позволяют участникам скрывать от производителей обнаруженные уязвимости. Вместо этого был объявлен параллельный конкурс Pwnium [ http://blog.chromium.org/2012/02/pwnium-rewards-for-exploits.html ], участники которого получали от 20 до 60 тысяч долларов в зависимости от серьезности найденной уязвимости, была ли это уязвимость в самом Chrome либо в стороннем плагине (в первую очередь Flash).
Первые 60 тысяч взял русский студент Сергей Глазунов, две уязвимости которого позволили обойти песочницу Chrome, в качестве демонстрации запустив калькулятор на атакуемой машине. Аналогичных результатов в рамках Pwn2Own добилась команда VUPEN, отказавшаяся открыть использованные уязвимости.
И незадолго до окончания конкурса некий "высокий тинейджер...

Полный текст
Сам по себе запуск калькулятора ничего не значит без... 11.03.12 14:11  
Автор: Killer{R} <Dmitry> Статус: Elderman
<"чистая" ссылка>
Сам по себе запуск калькулятора ничего не значит без пояснения привилегий под какими тот запустился. Песочница не предотвращает исполнение чужого кода, песочница не дает ему натворить ничего с пользовательской системой. (наболело, как имеющему отношение к разработке подобных песочниц - надоело отшивать крякеров запустивших нотепад в песочнице ) Надо просто говорить хацкерам создать файл на реальной ФС и прописаться в автозапуск реальной ОС - как правило они сразу пропадают :)
под локальным юзером, насколько я понимаю описание приза 12.03.12 01:36  
Автор: dl <Dmitry Leonov>
<"чистая" ссылка>
"$60,000 - “Full Chrome exploit”: Chrome / Win7 local OS user account persistence using only bugs in Chrome itself."

http://blog.chromium.org/2012/02/pwnium-rewards-for-exploits.html
1




Rambler's Top100
Рейтинг@Mail.ru


  Copyright © 2001-2024 Dmitry Leonov   Page build time: 0 s   Design: Vadim Derkach