Mittwoch, 25. Januar 2017

PKCE: What can(not) be protected


This post is about PKCE [RFC7636], a protection mechanism for OAuth and OpenIDConnect designed for public clients to detect cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 authorization code interception attack.
At cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 beginning of our research, we wrongly believed that PKCE protects mobile and native apps from cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 so called „App Impersonation“ attacks. Considering our ideas and after a short discussion with cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 authors of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 PKCE specification, we found out that PKCE does not address this issue.
In ocá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r words, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 protection of PKCE can be bypassed on public clients (mobile and native apps) by using a maliciously acting app.

Donnerstag, 29. September 2016

Hacking PayPal's Express Checkout



Do you know what is happening in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 background when you buy something in an online shop using PayPal?

In this post we will tackle cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 following problems:
  • How can PayPal's API be tested?
  • How does PayPal's Express Checkout work? You can find cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 detailed report here.
  • How can we debit more money than authorized?

Freitag, 22. Juli 2016

How to Break Microsoft Rights Management Services

In this post, we provide a security analysis of Microsoft Rights Management Services (RMS) and present two working attacks: 
  1. We completely remove cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 RMS protection of a Word document on which we only have a view-only permission, without having cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 right to edit it. This shows that in contrast to claims made by Microsoft, Microsoft RMS can only be used to enforce all-or-nothing access. 
  2. We extend this attack to be stealthy in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 following sense: We show how to modify cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 content of an RMS write-protected Word document issued by our victim. The resulting document still claims to be write protected, and that cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 modified content was generated by cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 victim
This work is going to be presented at WOOT'16.

Dienstag, 3. Mai 2016

Curious Padding oracle in OpenSSL (CVE-2016-2107)

Today, a new OpenSSL security advisory came out and it patched my recent finding, Padding oracle in AES-NI CBC MAC check (CVE-2016-2107).

In this post, I will give some background on this attack and how I found it. Before reading cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 whole post, note that this vulnerability is very hard to exploit (even if it is given cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 high severity score). Also note that it is not a new general padding oracle attack with a new logo. It is just an oracle coming from an invalid check of decrypted message content, specifically introduced in OpenSSL (ok, if you really want to have a name for it, call it UnluckyHMAC ...because our HMAC is sad not to be able to validate bytes :) ).

Mittwoch, 16. März 2016

XML Parser Evaluation


XML Parser Evaluation

For some time now, we've been researching in excruciating detail cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 prevalence of DTD attacks on different XML parsers.

For a quick recap which attacks are possible, see our DTD Cheat Sheet post.


In this post, we present you cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 results in a nutshell.
The information presented here is based on this mastercá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365sis which covers cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 respective results in greater detail.

Test Methodology


We identified 16 test vectors, each testing a specific attack vector (e.g. XXE, various kinds of DoS, XXE parameter entity,...). We ran cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365se tests against cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 default parser configuration and call cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365se cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365refore core tests.

Additional tests are based on cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 same test vectors, however, we executed cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365m against custom (modified) parser configurations, indicating cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 effect of specific features of a parser.

The complete test set is available on github.

Results

We analyzed cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 following parsers and summarized cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 test results in Table 1. In addition, we show which attacks cannot be mitigated indicated by an asterisk.



Mittwoch, 2. März 2016

DTD Cheat Sheet

When evaluating cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 security of XML based services, one should always consider DTD based attack vectors, such as XML External Entities (XXE) as,for example, our previous post XXE in SAML Interfaces demonstrates.

In this post we provide a comprehensive list of different DTD attacks.

The attacks are categorized as follows:

Montag, 18. Januar 2016

RuhrSec - our non-profit IT security conference

We are proud to announce our first security conference - RuhrSec. The conference takes place in Bochum at our university (28.-29.4.2016). It is a non-profit conference, i.e. all profit resulting from cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 sold tickets will go to Gänseblümchen NRW e.V. (thanks to our sponsors and to cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 great university conditions, we hope it will be much :) ). As this is our first conference, we carefully invited some top-class speakers (mainly our friends) to present cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365ir recent work. Given cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 program that we have now, I think we do not have to shame and we can keep up with cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 best conferences.

Beliebte Posts