terça-feira, 8 de junho de 2010

OWASP AppSec Brasil 2010 - Chamada de mini-cursos

**APPSEC BRASIL 2010**

**CHAMADA DE MINI-CURSOS**

O OWASP (Open Web Application Security Project) solicita propostas de apresentações para a conferência AppSec Brasil 2010, que ocorrerá na Fundação CPqD em Campinas, SP, de 16 a 19 de novembro de 2010. Haverá mini-cursos nos dias 16 e 17, seguidos de sessões plenárias de trilha única nos dias 18 e 19 de novembro de 2010.

Buscamos pessoas e organizações que queiram ministrar mini-cursos sobre segurança de aplicações. Destacamos os seguintes tópicos de interesse:

- Modelagem de ameaças em aplicações (Application Threat Modeling)
- Riscos de Negócio em Segurança de aplicações (Business Risks with
Application Security)
- Aplicações de Revisões de Código (Hands-on Source Code Review)
- Métricas Aplicadas a Segurança de Aplicações (Metrics for
Application Security)
- Ferramentas e Projetos do OWASP (OWASP Tools and Projects)
- Tópicos de Privacidade em Aplicações e Armazenamento de Dados (Privacy Concerns with Applications and Data Storage)
- Práticas de Programação Segura (Secure Coding Practices)
- Programas de Segurança para todo o Ciclo de Vida de aplicações (Secure Development Lifecycle Programs)
- Tópicos de Segurança para tecnologias específicas (AJAX, XML,Flash, etc) (Technology specific presentations on security such as AJAX, XML, etc)
- Controles de Segurança para aplicações Web (Web Application Security countermeasures)
- Testes de Segurança de aplicações Web (Web Application Security Testing)
- Segurança de Web Services ou XML (Web Services, XML and Application Security)

A lista de tópicos não é exaustiva; outros tópicos podem ser abordados, desde que em consonância com o tema central do evento.

Para submeter uma proposta, preencha o formulário disponível em
http://www.owasp.org/images/4/43/OWASP_AppSec_Brasil_2010_CFT%28pt-br%29.rtf.zip,
que deve ser enviado por email para organizacao2010@appsecbrasil.org.

Cada mini-curso poderá ter 1 ou 2 dias (8 horas por dia) de duração e deverão estar em conformidade com as regras definidas pelo OWASP em seu "Speaker Agreement". A conferência pagará aos instrutores pelo menos 30% do fatuamente de seus mini-cursos. Cursos que consigam atrair mais que o número mínimo de alunos poderão receber percentagens
maiores (mais detalhes abaixo). Não haverá qualquer outro tipo de remuneração (passagens, hospedagem, etc) para os apresentadores ou autores dos mini-cursos. Caso seja necessário um arranjo diferente, favor entrar em contacto com o comitê organizador pelo email abaixo.

**Remuneração**
Os instrutores e autores dos cursos serão remunerados conforme a quantidade de alunos. Se o curso atrair apenas o número mínimo de alunos, a remuneração será 30% do faturamento. Para cada 10 alunos a mais, a remuneração será acrescida de 5% do faturamento, até um máximo
de 45% do faturamento do curso. Por exemplo, para um curso de 1 dia para uma turma de 10 a 19 alunos, os instrutores e autores receberão 30% do faturamento do curso. Para turmas entre 20 e 29 alunos, a remuneração sobe para 35% do faturamento e assim sucessivamente.

Em casos excepcionais, poderá ser acordado um esquema diferente para remuneração dos instrutores. Possíveis interessados devem entrar em contacto com a comissão organizadora pelo email organizacao2010@appsecbrasil.org

**Valores das inscrições**
Cursos de 1 dia: R$ 450 por aluno
Cursos de 2 días: R$ 900 por aluno

**Mínimo de alunos**
10 alunos para cursos de 1 dia
20 alunos para cursos de 2 dias

**Datas importantes:**
A data limite para apresentação de propostas é 26 de julho de 2010 às 23:59, horário de Brasília.
A notificação de aceitação ocorrerá até o dia 16 de agosto de 2010.
A versão final do material dos mini-cursos deverá ser enviada até o dia 15 de setembro de 2010.

A comissão organizadora da conferência pode ser contactada pelo e-mail: organizacao2010@appsecbrasil.org

Para mais informações, favor consultar as seguintes páginas:

Página da conferência:http://www.owasp.org/index.php/AppSec_Brasil_2010_(pt-br)

OWASP Speaker Agreement (em inglês):http://www.owasp.org/index.php/Speaker_Agreement

Página do OWASP: http://www.owasp.org

Página da conferência no Easychair: http://www.easychair.org/conferences/?conf=appsecbr2010

Formulário para apresentação de propostas: http://www.owasp.org/images/4/43/OWASP_AppSec_Brasil_2010_CFT%28pt-br%29.rtf.zip

********* ATENÇÃO: Não serão aceitas propostas sem TODAS as informações solicitadas no formulário *********

Favor divulgar a todos os possíveis interessados.
______________________________

segunda-feira, 24 de maio de 2010

Quando uma falha no site do pwnies vira a melhor falha ...

Para quem nao conhece o pwnies award acontece para dar um premio para hypes , falhas toscas entre outros que voce pode ver aqui http://pwnies.com/

Acompanhando timeline no twitter publicaram uma falha de CSRF que no site http://pwnies.com/ no qual ele faz voce votar ("sem saber") pois o site possui a falha.

Basica analise do post que vem com shortnerurl o que induz as pessoas clicarem e elas nem saberam o que aconteceu (menos mal que nao acontece nada malicioso).

A URL em si que vi no twitter http://bit.ly/9PFdhq

Seguindo a mesma chegamos :

-bash-3.00$ telnet bit.ly 80

Connected to bit.ly (128.121.234.46).
Escape character is '^]'.
HEAD /9PFdhq HTTP/1.1
Host:bit.ly

HTTP/1.1 301 Moved
Server: nginx/0.7.42
Date: Mon, 24 May 2010 20:31:32 GMT
Content-Type: text/html; charset=utf-8
Connection: keep-alive
Set-Cookie: _bit=4bfae224-002e8-00432-aba08fa8;domain=.bit.ly;expires=Sat Nov 20 15:31:32 2010;path=/; HttpOnly
Location: http://204.232.205.92/lolpwnie.html
MIME-Version: 1.0
Content-Length: 297

Fazendo o dump do source do lolpwnie.html temos

bash-3.00$ links --source http://204.232.205.92/lolpwnie.html

Resultado/Codigo postado aqui http://pastebin.com/B4fPditn


Ou seja, quando voce abre a URL , voce votara que a melhor falha foi "Pwnies.com CSRF Vulnerability" o que no minimo fica ironico

Updated:

Ele ja corrigiram a falha, agora quando tenta acessar o CSRF vem a mensagem "Submission failed. Please try later or email your submission to info@pwnies.com"

Happy Hacking!

Rodrigo Montoro(Sp0oKeR)

quinta-feira, 6 de maio de 2010

PDF / Javascripts Maliciosos

Caros,

Estou a procura de pdf maliciosos para analise. Caso tenham recebido algum e possa repassar ficarei bem grato. Pretendo postar alguns resultados das analises .

Exemplos de javascripts maliciosos tambem sao bem vindos.

Happy Research!

Rodrigo Montoro(Sp0oKeR)

quarta-feira, 5 de maio de 2010

SRW - Snort Rules Week estara de volta!

Caros,

O SRW - Snort Rules Week deu uma parada por falta de tempo mas na proxima semana estara com tudo de volta e possivelmente informacoes baseadas num mundo mais real e nao somente na analise estatica das regras.

Em segundo plano tambem pretendo fazer a versao no formato podcast o que ficaria melhor para discutirmos as tendencias mas essa segunda etapa possivelmente so em Junho.


Fiquem atento e nos acompanhem!

Happy Snorting!

Rodrigo Montoro

quarta-feira, 28 de abril de 2010

(IN)SECURE Magazine issue 25 released

Table of contents
  • The changing face of penetration testing: Evolve or die!
  • Review: SmartSwipe
  • Unusual SQL injection vulnerabilities and how to exploit them
  • Take note of new data notification rules
  • RSA Conference 2010 coverage
  • Corporate monitoring: Addressing security, privacy, and temptation in the workplace
  • Cloud computing and recovery, not just backup
  • EJBCA: Make your own certificate authority
  • Advanced attack detection using OSSIM
  • AND MORE!
Revista digital excelente e gratuita =)

Para baixa-la: http://www.net-security.org/secworld.php?id=9111

Happy Hacking!

Rodrigo Montoro(Sp0oKeR)

quinta-feira, 1 de abril de 2010

Podcast Segurança Nacional - [i shot the sheriff] Edição 73 - 31.03.2010

Duração: 1 hora e 15 minutos


Eventos

RUXCON 2010 CALL FOR PAPERS

Gamesec 2010 CFP - Conference on Decision and Game Theory for Security

PlumberCOn CFP

HITB Dubai Agenda

EC2ND 2010 CFP


Noticias

Stay Safe – PodCast

Law Enforcement Appliance Subverts SSL

Cisco's Backdoor For Hackers

PCI Council And Passwords: Do As We Say, Not As We Do

U.S. enables Chinese hacking of Google

YSTS Schedule Highlights

Para ouvi-lo: http://www.naopod.com.br

Happy Hacking

Rodrigo Montoro(Sp0oKeR)

terça-feira, 23 de março de 2010

Treinamento OSSEC e Snort Temporeal Eventos

Caros,

Eu e o Marcos Aurélio ministraremos 2 treinamentos em parceria com a temporeal eventos , serão treinamentos de 1 dia realizados aos sabados :

OSSEC HIDS no dia 17 de Abril

Objetivo: O objetivo do Ossec Tutorial Mão na Massa Tempo Real Eventos é demonstrar como o OSSEC HIDS pode trabalhar para fornecer um grau de segurança apronfundado realizando integração com ativos de TI. Será abordado como a partir de analises de logs podemos obter informações que podem ajudar a prevenir futuros ataques ou interromper ataques em tempo real. Apresentar o que é e como funciona o sistema de detecção de rootkits, checagem de integridade do sistema de arquivos e resposta ativa. Explicação básica sobre utilização de decoders , regras e envio de alertas.

O Tutorial Ossec detalhará os diferentes tipos de instalação, entender os pré-requisitos para uma instalação bem sucedida de um sistema HIDS, como trabalhar com o correlacionamento de eventos dentro do OSSEC, como criar seus próprios correlacionamentos, como obter informações sobre eventos gerados pelo OSSEC através do OSSEC WUI.




Mais informações: http://www.temporealeventos.com.br/?area=175


Snort IDS no dia 08 de Maio de 2010

Objetivo: O Tutorial Mão na Massa Snort tem o objetivo de demonstrar o funcionamento do snort da seguinte maneira: como instalar, como gerenciar através de interface gráfica, como manter o sistema atualizado e como realizar testes periódicos. Será abirdado também o básico sobre escrita de assinaturas.

O Tutorial Snort Mão na Massa contemplará os
ataques mais comuns e como funcionam, de maneira a gerar discussão sobre melhorias de performance, atualizacões e relatórios gráficos de ataques, tendências de problemas com invasão na sua rede, entre outros.


Mais informações: http://www.temporealeventos.com.br/?area=87


Nos vemos por lá =)

Rodrigo Montoro(Sp0oKeR)