core:Blog

Am Morgen kam mein neuer Ipod Touch 32Gb an, wohl gemerkt mein erstes “iGerät” abgesehn von meinem iPod Classic der ja keine Möglichkeit auf Jailbreak bietet. Dementsprechend hatte Ich also absolut keine Erfahrung mit der ganzen Jailbreak-Sache. Nach einigen Minuten Google bin Ich auf JailbreakMe.com gestoßen und war erstmal skeptisch. SOllte es so einfach sein? Die Seite mit dem iPod ansurfen und dann ist der Jailbreak vollführt, quasi Jailbreaking im Cloud…

Nach dem Ich einige positive Meinungen zu JailbreakMe.com gelesen hatte war Ich überzeugt, also, iPod mit dem W-Lan Netz verbunden, die Seite angesurft, mit dem Slide bestätigt, 3 Minuten abwarten, und es läuft.

Also Ich kann es jedem empfehlen!

Gruß, mindz

Wie schon hier erwähnt wollte ich mal wieder etwas sinnvolles machen und habe angefangen an einer Windows Edition zu arbeiten die von vorne herein auf die Bedürfnisse von Menschen die sich mit IT Security beschäftigen angeoasst ist.

PenetrateXP kam dabei raus.

Momentan ist es noch in einer sehr frühen Alpha, hat noch keinen Installer und keine Paketverwaltung, und ist nur als VMWare bzw virtualBox Image vorhanden.

Wenn genügend Leute interesse haben werde ich aber nächste Woche einen Installer und eine Paketverwaltung releasen.

Verbesserungsvorschläge könnt ihr gerne im Forum posten.

Gruß

Bis jetzt hatte ich auf meinem Desktop Windows 7 Ultimate x64 neben Ubuntu installiert da ich ganz gerne mal ein Ründchen zocke. Aber irgendwie war gestern der Punkt erreicht an dem mich dieser ganze Dualboot-Mist richtig angekotzt hat. Ich mein auf meinem Laptop läuft auch Linux, aber für gewisse Dinge ist mein Desktop wegen seiner Hardwarepower einfach sinnvoller.

Also dachte ich mir, komm, weg mit Windows. Gesagt, getan, nun sitze ich vor meinem feinen Ubuntu und genieße wie mir conky anzeigt das alle meiner 8 Kerne noch ohne Ende Ressourcen haben, und ich denke mir “Wuhu, Linux nutzt den i7 viel besser”.

Aber dann verspüre ich eine starke Lust eine Runde GTA IV zu spielen, also mal gegooglet was sich mittlerweile so ergeben hat. PlayonLinux hört sich schonmal gut an. Also runterladen, Paket per dpkg installieren.

So, und jetzt war ich überrascht – man klickt auf Installieren, wählt eines der Games oder Apps aus, und wird komplett Schritt für Schritt durch die Installation geführt, so das es klappt. Im Falle von GTA IV habe ich mit winetricks noch das .NET Framework 3.0 installiert, ansonsten übernimmt PlayonLinux alles.

Letztendlich muss man sagen, PlayonLinux ist keine Zauberei, es ist lediglich ein Tool was Python-Scripts abarbeitet um Spiele mit der korrekten Wine Version, mit dem korrekten Patch, und eventuellen anderen nötigen Anpassungen installiert, aber(!!!) so das sie laufen! Also doch Zauberei

Spaß bei Seite, ein super Tool, mit einer aktiven Community, einfach klasse und zu empfehlen. Denn mal ehrlich, wer hat die Zeit & Lust mit zig Wine Versionen zu jonglieren, von Hand!

Die SQL Firewall Greensql sollte den meisten eigentlich schon ein Begriff sein, trotzdem wollte ich sie noch mal vorstellen.

Greensql ist eine Firewall die vor eurem MySQL Server läuft und euch vor SQL Injections und Ähnlichem schützt. Hier könnt ihr das eurer Distribution entsprechende Paket runterladen.

Die Installation läuft wie folgt ab:

dpkg -i greensql-fw*.deb <- Installiert das Paket

/usr/sbin/greensql-config <- Selbsterklärendes Konfigurations-Programm

/etc/init.d/greensql-fw start <- Startet GreenSQL

Falls ihr die GreenSQL-Console ( Webinterface ) nutzen wollt müsst ihr noch einen Link in euer htdocs Verzeichnis erstellen.

cd /var/www (Oder wo auch immer euer htdocs ist)

ln -s /usr/share/greensql-fw/ greensql

cd /var/www/greensql

chmod 777 templates_c

Nun erreicht ihr die GreenSQL Console via Browser im Unterverzeichnis /greensql.

Viel Spaß mit eurer GreenSQL Firewall. DIe Performance von GreenSQL ist übrigens auch nicht zu verachten, siehe unten.

Gerade habe ich gelesen das Google pro SIcherheitslücke 500$ zahlt wenn sie ordnungsgemäß gemeldet wird. Das ganze Projekt heißt Chromium Security Reward.

Keine schlechte Idee, so muss man die eigenen Entwickler nicht ständig durch die Quellcodes jagen, und läuft eine nicht ganz so große Gefahr das Lücken veröffentlicht werden.

Übrigens, für besonders kritische Lücken, oder wenn ein besonders energisch ertüftelter Weg zur Nutzung einer Lücke gefunden wird gibt es 1337$.

Dann mal auf ans Lücken suchen!

Jeder kennt es sicher, es gibt so viele kleine Tools die man nur selten braucht, und um sie zu finden muss man eine Stunde google bemühen, um dann eine verseuchte Version zu haben.

Damit wollen wir jetzt Schluss machen und haben ein kleines Projekt ins Leben gerufen: Core Libary aka The File Exile . Dort könnt ihr Papers, Tools, etc. hoch und runter laden. Da wir keine Fans von OneKlickHostern sind ist es klassisch & simpel ein FTP Server.

Das Filesizelimit liegt bei 50MB, es sind einige Scripts gegen Spiegelung oder anderen Mist eingebaut.

Ihr findet auf dem Server alles von Papers zu XSS bis SQLcmd`s, Scanners oder PMA Bruter. Die Daten sind selbstverständlich alle frei & legal.

Wenn jemand besonderes Interesse an dem Projekt hat und einiges an Stuff zum bereitstellen hat kann er sich gerne bei mindz melden um einen persönlichen Account zu bekommen.

Viel Spaß

Vor kurzem kam Google`s Skipfish raus. Skipfish ist ein Web-Application-Scanner, dass heißt er scannt Webseiten bzw. die auf ihnen verwendeten Scripts nach Sicherheitslücken wie Möglichkeiten auf SQL Injections, Cross Site Scripting und einige andere.

Als ich Skipfish getestet habe war ich erstmal extrem beeindruckt von den Möglichkeiten, ich persönlich habe ein solch mächtiges Tool noch nicht gesehen, zumindest in diesem Segment. Vorallem Opensource! Egal ob die Verwendung von Authentifizierungen, Cookies oder Auth Tokens, Skipfish kann mit fast allem umgehen. Eine ebenfalls feine Sache ist, dass er mit unglaublicher Geschwindigkeit brutale Bruteforce Attacken auf die Verzeichnisse des Webservers startet um eventuelle Backups oder andere unbeabsichtigt liegen gelassene Dinge zu finden. Desweiteren lernt Skipfish quasi in dem er aus dem Google-Such-Index ausgewählte Wörter als Datei- und Verzeichnis-Namen kombiniert und diese wiederum mit vorhanden Verzeichnis- und Datei-Namen auf dem Webserver kombiniert. Der Intel i7 920 den ich am laufen habe war nach wenigen Sekunden ständig über 90% Last, was bei diesen Funktionen wirklich kein Wunder ist.

Die inbetriebnahme von Skipfish ist ungewohnt einfach, es wird lediglich das Paket libidn11-dev benötigt, und natürlich die Quellcodes.

Nach dem kompilieren einfach eine Wörtbuchdatei aus Dictonarys aussuchen und diese als skipfish.wl in das Hauptverzeichnis kopieren. Sobald das geschehen ist könnt ihr mit ./skipfish -o log http://domain.de/ anfangen zu scannen. Das erfordert allerdings Geduld.

Ein kleines Tutorial zu diesem Thema findet ihr hier.

Ich zitiere mal heise.de: Sie haben über ein lokales GBit Netzwerk einen IIS 7.5 auf dem Screwturn-Wiki lief gescannt, das ganze hat 4 Stunden gedauert, 68GB Traffic erzeugt und ca. 40 Millionen HTTP Abfragen gekostet. Der IIS lastete seinen Intel XEON 2,5 Ghz Dualcore vollständig aus, verbrauchte gut 100-500 MB Arbeitsspeicher mehr als im Normalbetrieb und erzeugte ein 1,5GB Log.

Soviel zu der Leistungsfähigkeit von Skipfish.

Happy Scanning

Guten Abend liebe User,

das coreNetwork hat in letzter Zeit einige Änderungen erfahren.

Die wohl größte Änderung war der Umzug in die Ukraine und der Umzug des IRC- & Jabber-Server nach Estland und die Änderung der Jabber-Domain.

Ab sofort lauten die  Jabber-Adressen  *@core.am und nicht wie vorher *@jabber.core.am.

Die Konten bleiben erhalten, ihr müsst in eurem Client lediglich euren Benutzernamen ändern und euren Freunden die neue JID geben – diese Änderung ist jetzt endgültig.

euer coreTeam

Seit kurzem habe Ich sowohl beruflich als auch auf core “Piwik” im einsatz.

Die offizielle Seite lautet http://piwik.org/.

Ich muss die Entwickler wirklich sehr loben, piwik ist im Prinzip das selbe wie google analytics, nur eben für den eigenen Space/Server und Opensource. Das Script wird einfach auf den Webspace hochgeladen und via Install-Script installiert, es wird im groben PHP und eine MySQL Datenbank benötigt.

Nach der Installation könnt ihr im Webinterface beliebig viele Seiten hinzufügen, für jede Seite wird ein Javascript Code generiert den ihr einfach, vorzugsweise in den footer eurer Page einbindet. Funktionieren tut das mit jeglichen Scripts etc., bei vBulletin muss man z.B. das “footer” Template nehmen.

Im Webinterface erscheint eine super Statistik, mit Tracking, Herkunft, Browser, System, Suchbegriffe etc.

Alles in einem ein super Projekt, Daumen hoch, sollte jeder der ein bisschen Wert auf Privatsphäre legt, und dadurch nicht z.B. zu ipcounter gehen will testen.

mindz

Hallo Leute,

erstmal allen einen entspannenden Sonntag.

Ich wollte noch einmal darauf aufmerksam machen das der core:IRC Server wieder online ist. Jeder der Lust hat kann gerne vorbei kommen.

Host: irc.core.am Port: 6667 SSL Port: 6668

Oder via Webchat.

Jeder ist willkommen seinen eigenen Channel zu gründen, jeder kann einen eigenen VHost, Bouncer oder Bot haben. Sprecht mich einfach an, ich helfe gerne bei jeglichen Anliegen.

Geloggt wird übrigens nicht und Hosts sind verfremdet.

mindz