Menu

Tag: XSS

Invasão e XSS – Vários Alvos – pathmode

Identificamos, em 27/09, novas publicações no Twitter que indicam a descoberta de vulnerabilidades de Cross-Site Scripting (XSS) em cinco entidades  públicas de diferentes países pelo hacker pathmode: Instituto Nacional de Aeronáutica Civil (Venezuela), Casa de la Cultura Ecuatoriana (Equador), Universidad de Salamanca e Universidad de León (Espanha).

Além disso, o hacker pathmode publicou o que parece ser evidência de acesso à área restitra da Universitat Rovira i Virgili (URV), situada na Catalunha, Espanha.

É a quarta publicação que contém várias vulnerabilidades descobertas pelo hacker pathmode ( …

Continuar Lendo

XSS – São Paulo e Duque de Caxias – GhosYet

Identificamos, em 27/09, novas publicações no Twitter que indicam a descoberta de vulnerabilidades de Cross-Site Scripting (XSS) em municípios brasileiros pelo hacker GhosYet:  São Paulo/SP e Duque de Caxias/RJ.

É mais uma descoberta de vulnerabilidade na sequência de ações ofensivas pelo hacker GhosYet (Link1, Link2, Link3 e Link4). Novamente não foi identificada motivação político-ideológica ou qualquer justificativa para as

…
Continuar Lendo

XSS – Espanha – pathmode

Identificamos, em 26/09, novas publicações no Twitter que indicam a descoberta de vulnerabilidades de Cross-Site Scripting (XSS) em quatro entidades  públicas espanholas: Ministerio de Cultura, Educación y Deporte, Ministerio de Agricultura, Pesca y Alminetación, Diputación de Salamanca e Instituto Nacional de Estadística de España.

É mais uma descoberta de vulnerabilidade na sequência de ações ofensivas pelo hacker pathmode (Link1 e Link2). Novamente não foi identificada motivação político-ideológica ou qualquer justificativa para as

…
Continuar Lendo

Vazamento de Dados (2) – Vários Alvos – pathmode

Identificamos, em 22/09, nova sequência de publicações nos sites de compartilhamento de texto Pastebin e RiseUp contendo seis vazamento de dados e uma vulnerabilidade XSS: Emater (Pará), Nova Londrina/PR e Itapeva/SP (Brasil), Multiprecio, Escola Técnica de Barcelona e Escola de Artes Plásticas (Espanha).

A nova sequência de ações ofensivas foi realizada pelo hacker pathmode. Novamente não foi identificada motivação político-ideológica ou qualquer justificativa para as ações.

Os cinco vazamentos disponibilizam grande quantidade de informações sobres seus

…
Continuar Lendo

Vazamento de Dados – Vários Alvos – Knush Yukasan e GhosYet

Identificamos, em 21/09, sequência de publicações e no Twitter e nos sites de compartilhamento de texto Ghostbin e Pastebin contendo vazamento de dados do município de Camara Paracambi, divulgação de vulnerabilidades de municípios do Rio de Janeiro e do município de Limeira/SP.

A sequência de ações foi realizada pelos hackers brasileiros Knush Yukasan e GhosYet.

O vazamento inclui nomes de tabelas da base de dados e o conteúdo de algumas das tabelas, as quais contém dados pessoais.

…
Continuar Lendo

Life Hacking: uma forma inusitada de SQL Injection e XSS

O profissionais da área de segurança já estão acostumados às diferentes formas de injeção arbitrária de código em aplicações, especialmente SQL Injection e XSS (Cross-site scripting).

Hoje vamos falar de uma forma um pouco mais excêntrica e insólita de se perpetrar esses ataques: por meio de caneta e papel (!?).

Pois é! Diferente mesmo! 

Na eleição de 2010 na Suécia, alguns eleitores criativos e astutos parecem ter tentado hackear o banco de dados de votação apenas com caneta e papel.

…
Continuar Lendo

XSS e SQLi – Avira – Fact0r Cr3w

Identificamos divulgação de vulnerabilidades na página da empresa de antivírus Avira no serviço de compartilhamento de código Pastebin. Uma delas é um XSS e as outras são injeções de SQL publicadas pelo grupo hacker brasileiro Fact0r Cr3w.

A vulnerabilidade XSS permanece ativa: 

http://www.avira.in.th/br-ownz/<script>alert("pwnz")</script>

Uma das injeções de SQL retorna o seguinte erro:

http://www.avira.in.th/partner-login | user:' pass:'

…

Continuar Lendo

XSS – Vários Alvos – Superman e V4p0r

Identificamos divulgação de páginas brasileiras suscetíveis a uma vulnerabilidade no SharePoint, da Microsoft. A vulnerabilidade em si é relativamente antiga (CVE-2017-8514), já possui mais de um ano, mas dois hackers brasileiros identificaram páginas relevantes suscetíveis a ela.

…
Continuar Lendo

Vazamento de Dados – Caixa Econômica Federal – #OpVotoImpressoJá

Identificamos publicação no site de compartilhamento de texto Ghostbin contendo a tabela do banco de dados de página da Caixa Econômica Federal e injeção de cross-site-scripting (XSS) na URL da CEF.

A ação foi realizada pelo grupo Brazilian Cyber Army (BCA), assinada pelos hackers NeoInvasor e VandaTheGod. Ela tem nítido perfil hacktivista, pois foi explicitamente vinculada à #OpVotoImpressoJá e a #ForaTemer, ambas orientadas para o período eleitoral de 2018.

O vazamento inclui nome de 14 databases

…
Continuar Lendo