IT security engineer. Deputy head of @CERT_Polska, co-founder of @p4_team. Opinions are my own.
Joined November 2012
- Tweets936
- Following294
- Followers1.4K
- Likes1.2K
Yes, the content is partially controlled, so we can just put "<?php system($_GET[0]); ?>" in there. The main idea comes from github.com/kengwang/php2shel…. We overwrite basedir of ps_files struct so it writes the session file to our specified path (in this case, the webroot).
Universal exploit for #php2shell is rather impossible, but specialized exploits for known environments are coming. I tried my luck with pfSense 2.7.2 - PHP 8.2.11, FPM, 512M limit. Variant with session file write to a crafted path. Almost entirely written by an open-weights LLM.
Stworzenie uniwersalnego exploita jest raczej niemożliwe. Ale będziemy mieć wkrótce dużo wyspecjalizowanych explitów na konkretne środowiska - aplikacje w dockerach, aplikacje jako appliance vm, na urządzeniach. Exploity z githuba są całkiem blisko. A potem LLM-y zrobią resztę.
Sięgnąłem po dane źródłowe, żeby sprawdzić z czego wynika ten słaby wskaźnik 🇵🇱 71 w "Digital public services for citizens" przy średniej 🇪🇺 82. Otóż m.in. przez to, że najwyraźniej w Polsce w usługach publicznych nie przyjął się HTTPS.
digital-strategy.ec.europa.e…
To co na wideo to wygląda raczej na zvibecode'owany interfejs demo na potrzeby nagrania. Nie wygląda też zbyt podobnie do innych znanych interfejsów systemów Palantira.
W teorii przepisy zabraniają ENISA dostępu do treści zgłoszeń, ale technicznie jest to trudne, bo wymaga np. szyfrowania e2e zgłoszenia na frontendzie kluczami instytucji z krajów członkowskich.
Mam nadzieję, że zostanie to zastąpione centralnym zgłaszaniem, ale w każdym kraju.
Komisja Europejska proponuje w rozporządzeniu Digital Omnibus centralny mechanizm zgłaszania incydentów z NIS2/DORA/GDPR. Nie mam na ten moment przekonania, że KE powinna mieć dostęp do treści najpoważniejszych zgłoszeń incydentów z krajów członkowskich.
ec.europa.eu/commission/pres…
Wg prawa osoby formalnie niezdolne do pełnienia funkcji prezydenta są w linii sukcesji pomijani. Dość często zdarza się, że są takie osoby, np. te, które nabyły amerykańskie obywatelstwo przez naturalizację.
Przy researchu związanym z EntrySign (czyli prawdopodobnym zwycięzcy w którejś z kategorii ;)) swój udział miał Adam Krasuski @akrasuski1! :)
Przy researchu związanym z EntrySign (czyli prawdopodobnym zwycięzcy w którejś z kategorii ;)) swój udział miał Adam Krasuski @akrasuski1! :)
Kto w finale Wimbledonu wygrywa ze szczególnym okrucieństwem podlega karze jedzenia makaronu z truskawkami i tiramisu.
Sytuacja powinna być prosta. Jeżeli państwo wymaga udostępniania pewnego rodzaju informacji, to państwo powinno dostarczyć platformę, która jest wygodna i dla twórców treści i dla jej użytkowników, bezpieczna i gwarantująca, że dane nie znikną.
Treści na nadal wspierane systemy BIP zmigrować nie jest łatwo, a informacje zgodnie z prawem muszą być dostępne (a czasem treści historyczne giną razem z systemem). Niby istnieje centralny SSDIP, ale to system z poprzedniej epoki i toporny, z którego podmioty nie chcą korzystać.
Zaraz po państwowym e-dzienniku powinniśmy stworzyć nowoczesny system Biuletynu Informacji Publicznej. Obecnie wiele podmiotów zobowiązanych do ich prowadzenia korzysta z przestarzałych systemów, w których pełno podatności bezpieczeństwa, często porzuconych przez ich dostawców.
Minister @barbaraanowacka w @tvn24plus zapowiada, że myśli nad państwowym e-dziennikiem i że spotka się w tej sprawie z @KGawkowski.
Moje źródła mówią natomiast, że Centralny Ośrodek Informatyki od co najmniej ROKU deklaruje że jest w stanie zrobić takie rozwiązania. W styczniu w COI była gotowość do tego, by już we wrześniu postawić e-dziennik dla testowych szkół.
Rev retweeted
⏰ 3... 2... 1... START!
❗ Właśnie rozpoczęły się kwalifikacje krajowe do ECSC ❗
⏳ Od teraz macie 48 godzin na rozwiązanie zadań, które przygotowaliśmy:
🔗 hack.cert.pl/
📜 Regulamin, zasady i trochę wskazówek również znajdziecie na powyższej stronie. Próbujcie swoich sił, razem zbudujemy silną reprezentację na europejskie finały!
🍀 Powodzenia! 🤞
