lulzsec2Na vijftig dagen zegt hackerscollectief LulzSec ermee te stoppen. De groep wist bij Sony, de Amerikaanse Senaat, televisiezender PBS en vele andere websites in te breken. Ook werden verschillende websites, waaronder die van de CIA, via Denial of Service-aanvallen platgelegd. "De afgelopen vijftig dagen hebben we bedrijven, overheden, zelfs de bevolking, en alles wat er mogelijk tussen valt, ontregeld en blootgesteld, gewoon omdat we het konden."

In het afscheid dat de groep via Twitter aankondigde, maakt men zich ook sterk voor Operatie AntiSec. Een oorlogsverklaring gericht tegen beveiligingsbedrijven en overheden, waarbij men zoveel mogelijke vertrouwelijke documenten wil publiceren. "Achter het masker, achter de waanzin en chaos, geloven we echt in de AntiSec beweging."

lulzSecDe hackergroep genaamd 'LulzSec' die eerder verschillende websites van Sony hackte, is zelf gehackt. Aanvallers wisten de logs van de privé-IRC-server buit te maken. De informatie werd door ene 'LulzFail' op de Full-disclosure mailinglist gepubliceerd en bevat de logs van het chatkanaal. Ook zou één van de LulzSec-leden door de FBI zijn gearresteerd. Via Twitter en deze verklaring laat de groep weten dat het niet om belangrijke logs gaat en er niemand is aangehouden.

LulzSec heeft inmiddels wel de broncode van het Sony Computer Entertainment Developer Network online gezet. Kort daarna telde de groep via Twitter 50.000 volgers en zou iemand 7.200 dollar aan BitCoins hebben gedoneerd. Inmiddels is het aantal volgers tot boven de 77.000 gestegen. Ook is de website van de hackergroep weer online, met een overzicht van alle hacks en online geplaatste bestanden.

Bron: security.nl

Adam Dachis — If you've heard about the recent viral stunt put on the web site for the latest Batman film, you know it's possible to hide codes in an audio file. But did you know it's actually really easy to do? Here's how.

To encode, you're going to need Coagula (Windows-only), and to decode you'll need Sonic Visualizer (Windows/Mac OS X/Linux). You can watch the video above for a visual walkthrough, but here are the steps you need to follow:

  1. Create an image you want to encode. White text on a black background works well, and it helps to have a small image without too much empty space. Save it out as a JPEG or BMP.
  2. Open the image in Coagula and click the setting for "Render Image as Audio Without Blue/Noise." Be sure to choose this option as the other rendering option will not work.
  3. When you're done a new audio file entitled "Coagula.wav" will be in the same folder as the Coagula application. You can either go grab that file or you can save it out to a location of your choice by choosing "Save Audio File" as from the file menu. That's it. Message encoded!
  4. To decode the message, open it in Sonic Visualizer. You'll see the audio spectrum but not the message. To view the message, go to the Layout menu and choose "Add Spectrogram" (any of the options in the submenu should be fine). You may need to adjust the way you're viewing it, but you should now be able to see your hidden message.

Pretty cool! For more neat ways to hide secret messages in your files, check out our steganography guide.

P.S. If you know any cross-platform tools for encoding the image as an audio file, please let us know in the comments.

Een hackergroep genaamd D3V29 heeft tientallen inloggegevens voor PayPal en MySpace online gezet, die via onbeveiligde draadloze netwerken werden verzameld. Het gaat om 150 MySpace en 50 PayPal accounts, die in restaurants en winkels in de Verenigde Staten werden opgevangen. De groep maakte een eigen scanner die onversleutelde cookies onderschepte.

Het Twitter-account van de groep is inmiddels geschorst, maar de groep is nog wel op dumpsite Pastebin actief. Daar staan ook de links naar de gestolen gegevens. Ook wordt er om Bitcoin donaties en geld voor een nieuwe server gevraagd.

"We hebben onze cracking-machine gesloopt. We zoeken geld voor een nieuwe machine, zodat we eindelijk ons "Fuck Myspace, it's Facebook Now" project kunnen onthullen. Onze AntiSec-leden moeten ons hierbij helpen. We hopen dat je dit begrijpt." Vervolgens sluit de groep af met de slogan van anonymous. "We are Anonymous. We Never Forgive. We Never Forget. We Love You. We Are Legion."

Bron: Security.nl

Here I am explaining a new and simple way to hack any website with DNN(DotNetNuke). DotNetNuke is an open source platform for building web sites based on Microsoft .NET technology. It is easiest techniques to hack any website coompare than other technique Such as Cross Site Scripting and SQL injection. In this technique we reached the root path for any website and here we can easily upload our own file and can also replace the logo, text, images etc.
Follow these steps to hack any website..
1.  In our first step we check whether the Website is vulnerable or not by using google dorks.  Search following code in google.

inurl:/portals/0

If you can check your desired domain than use below code. Here we can change .com to any desired domain like as .net, .org etc

inurl:/portals/0 site:.com

2.  Now choose any website and copy the url of website without /portals/0 , and paste the below code after it.

Providers/HtmlEditorProviders/Fck/fcklinkgallery.aspx

For ex. the website is http://www.abc.com/portals/0
remove the portals/0 and add the above code. It will become as http://www.abc.com/

duinrell_hackEen hacker die vorige week de website van attractiepark Duinrell kraakte, heeft de namen en e-mailadressen van meer dan 80 duizend mensen gestolen. De webdeveloper weet nog niet waar het lek zit.

Een hacker met de schuilnaam Xcrypt0 heeft donderdagavond de website van attractiepark Duinrell gekraakt. Eerst leek hij de website slechts gedefaced te hebben, maar het weblog Looopings, voor attractieparkfanaten, weet nu te melden dat hij ook 80 duizend e-mailadressen en namen heeft buitgemaakt.

'Reclamebureau is schuldig'

De gestolen gegevens zijn afkomstig van mensen die zich hebben aangemeld voor de nieuwsbrief van het attractiepark. Xcrypt0 stuurde Looopings een screenshot van de database als bewijs van de hack. Ook zou dat weblog inmiddels de volledige lijst met e-mailadressen en namen in bezit hebben.

Volgens de hacker is zijn inbraak grotendeels te wijten aan de gebrekkige beveiliging in het cms van reclamebureau Multiminded, dat de website van het attractiepark onderhoudt. “Het is ronduit belachelijk dat een groot bedrijf als Duinrell zo'n onhandige webdesigner heeft aangenomen. 90 procent van de sites van Multiminded is kwetsbaar”, meent hij.

SQL Injection is de gevaarlijkste fout die programmeurs kunnen maken, zo blijkt uit de Top 25 van gevaarlijkste softwarefouten van MITRE en het Sans Institute. De lijst bestaat uit veelvoorkomende fouten die tot ernstige beveiligingsproblemen in software kunnen leiden. "Ze zijn vaak eenvoudig te vinden en eenvoudig te misbruiken", aldus MITRE, een not-for-profit organisatie. De lekken zijn gevaarlijk omdat ze het overnemen van software, stelen van gegevens of het uitvoeren van een Denial of Service mogelijk maken.

RankScoreIDName
[1] 93.8 CWE-89 Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection')
[2] 83.3 CWE-78 Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection')
[3] 79.0 CWE-120 Buffer Copy without Checking Size of Input ('Classic Buffer Overflow')
[4] 77.7 CWE-79 Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting')
[5] 76.9 CWE-306 Missing Authentication for Critical Function
[6] 76.8 CWE-862 Missing Authorization
[7] 75.0 CWE-798 Use of Hard-coded Credentials
[8] 75.0 CWE-311 Missing Encryption of Sensitive Data
[9] 74.0 CWE-434 Unrestricted Upload of File with Dangerous Type
[10] 73.8 CWE-807 Reliance on Untrusted Inputs in a Security Decision
[11] 73.1 CWE-250 Execution with Unnecessary Privileges
[12] 70.1 CWE-352 Cross-Site Request Forgery (CSRF)
[13] 69.3 CWE-22 Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal')
[14] 68.5 CWE-494 Download of Code Without Integrity Check
[15] 67.8 CWE-863 Incorrect Authorization
[16] 66.0 CWE-829 Inclusion of Functionality from Untrusted Control Sphere
[17] 65.5 CWE-732 Incorrect Permission Assignment for Critical Resource
[18] 64.6 CWE-676 Use of Potentially Dangerous Function
[19] 64.1 CWE-327 Use of a Broken or Risky Cryptographic Algorithm
[20] 62.4 CWE-131 Incorrect Calculation of Buffer Size
[21] 61.5 CWE-307 Improper Restriction of Excessive Authentication Attempts
[22] 61.1 CWE-601 URL Redirection to Untrusted Site ('Open Redirect')
[23] 61.0 CWE-134 Uncontrolled Format String
[24] 60.3 CWE-190 Integer Overflow or Wraparound
[25] 59.9 CWE-759 Use of a One-Way Hash without a Salt

Meer details zijn te vinden op de cwe website.

Een dinsdag gepatcht beveiligingslek in Adobe Flash Player wordt op grote schaal door aanvallers misbruikt voor het overnemen van Windows computers en infiltreren van systemen. De kwetsbaarheid werd eerst voor gerichte aanvallen gebruikt, maar wordt inmiddels ook voor aanvallen tegen doorsnee internetgebruikers ingezet. Het bezoeken van een kwaadaardige of gehackte website is voldoende om aanvallers volledige controle over de computer te geven.

Volgens de Shadowserver Foundation, een organisatie die botnets in de gaten houdt, wordt het lek op "een vrij grote schaal" misbruikt. Exploits die het lek misbruiken, zijn inmiddels op tal van legitieme websites verschenen, waaronder verschillende non-gouvernementele organisaties, luchtvaartmaatschappijen, een Koreaanse nieuwssite, een Indiase overheidssite en een Taiwanese Universiteit.

Doelwit
Adobe Flash Player is op 99% van alle op het internet aangesloten computers aanwezig, waarbij het in Europa en de Verenigde Staten zelfs een penetratiegraad van 99,5% heeft. Het is dan ook niet verwonderlijk dat Flash de afgelopen regelmatig het doelwit van aanvallers is geweest. CVE-2011-0609, CVE-2011-0611, CVE-2011-0627, CVE-2011-2107 en CVE-2011-2110 zijn allemaal nummers die naar recente lekken wijzen, waardoor aanvallers toegang tot vertrouwelijke informatie hebben gekregen. Ook voor de aanval op beveiligingsbedrijf RSA werd een lek in Adobe Flash Player gebruikt. Lekken 0609 en 0611 zouden nog steeds op grote schaal voor gerichte aanvallen worden ingezet, ook al is een patch voor deze gaten al enige tijd beschikbaar.

Het nieuwste lek, 2110, is alleen nog via drive-by download-aanvallen misbruikt. "De aanvallers hebben duidelijk hun aanvalsprofiel aan de beschikbare exploit aangepast. Dit is niet nieuw, maar de explosie van de exploit op het web en van zoveel verschillende bronnen is vrij bijzonder", aldus de organisatie. Beveiligingsbedrijf Websense merkt op dat het lek ook voor spear-phishing aanvallen wordt ingezet.

Last week I spoke at the Central Ohio ISSA Conference about Attacking and Defending Apple IOS Devices.  This talk was based on information gathered from several of the mobile pentests that I conducted at SecureState.  I’ll be working on more research that will be going into an white paper that I will hopefully be releasing in the next few months.  You can find my slides on SlideShare below and watch the video graciously recorded by Iron Geek.