Codice Insicuro - (a cura di Paolo Perego)

Per l'hackweek 2023 organizzata da SUSE ho deciso di iniziare a lavorare sulla funzionalità di parsing di applicazioni Sinatra alla ricerca di XSS e SQL Injection. Partiamo definendo l'ambiente e i casi di test. 🔗 LINK UTILI https://github.com/thesp0nge/dawnscanner https://hackweek.opensuse.org/23/projects/dawnscanner-parsing-a-simple-sinatra-application Ti è piaciuto questo video? Iscriv...

Ora è giunto il momento di lasciare che siano altri a testare il tuo perimetro. Dal classico PT al red teaming che sta prendendo piede sempre di più fino ai programmi di bug bounty che, se me lo chiedi, penso ogni azienda debba mettere in campo. La definizione di security.txt: https://securitytxt.org/ Ti è piaciuto questo video? Iscriviti al canale, ogni settimana almeno 2 contenuti che parlano di...

Metti in pratica il tuo processo di Vulnerability Management pianificando i tuoi vulnerability assessment. Ti è piaciuto questo video? Iscriviti al canale, ogni settimana almeno 2 contenuti che parlano di sicurezza informatica, carriera e del mio quotidiano. 🚀 FINITO IL VIDEO CORRI SUBITO A: Iscriverti al canale: ​https://youtube.com/c/PaoloPerego?sub_confirmation=1 Iscriverti al canale telegram:...

Partendo da una frase letta su LinkedIN che affermava che un vulnerability assessment semestrale era un buon punto di partenza, mi sono chiesto: ma sappiamo comunicare ai nostri clienti quali test servono loro per davvero? Secondo me non sempre. Ne parlo a ruota libera qui, di fronte alla nostra macchinetta del caffè in questa miniserie. Oggi parliamo di quello che ti serve prima dei test... ovver...

Recruiter aggressivi su LinkedIN con campagne massive. Persone della community che incalzano con domande la cui la prima risposta sarebbe "let me google it for you". In entrambi i casi, persone che spariscono senza un ciao o un grazie. Questo approccio alla lunga paga?🔗 L'ANGOLO DEI LINKLa puntata della mia newsletter Spot The Vuln dove parlo di Looney Tunable: https://www.linkedin....

Il progetto DeadDrops nasce a New York nel 2010 e torna in auge quest'anno, almeno qui in Italia secondo alcuni media. Idea romantica di una Internet decentralizzata o glory hole della sicurezza informatica? Ti è piaciuto questo video? Iscriviti al canale, ogni settimana almeno 2 contenuti che parlano di sicurezza informatica, carriera e del mio quotidiano. 🔗 L'ANGOLO DEI LINK Il sito pri...

Pausa del caffè virtuale dove si parla di un po' della cyber che mi sta intorno. Oggi ti racconto di RomHack 2023 e del mio tentativo per superare l'esame OSWE.Ti è piaciuto questo video? Iscriviti al canale, ogni settimana almeno 2 contenuti che parlano di sicurezza informatica, carriera e del mio quotidiano. 🚀 FINITO IL VIDEO CORRI SUBITO A: Iscriverti al canale: ​https://youtube.com/c/...

Siamo arrivati al momento dei saluti, almeno per qualche settimana. Giusto il tempo di riorganizzare i contenuti e registrare cose nuove e presto saremo ancora insieme per parlare di #cybersecurity e #svilupposicuro. Nel frattempo, un piccolo consiglio da chi ne ha viste tante in questi anni. Non lasciate che la negatività di pochi rovini il vostro lavoro. Lavorate sempre per migliorare voi stessi...

Cosa fa un product security engineer? Cosa vuol dire fare audit del codice e perché è così diverso da fare penetration test. Provo a spiegarlo in questo video. Ti è piaciuto questo video? Iscriviti al canale, ogni settimana almeno 2 contenuti che parlano di sicurezza informatica, carriera e del mio quotidiano. 🚀 FINITO IL VIDEO CORRI SUBITO A: Iscriverti al canale: ​https://youtube.com/c/PaoloPer...

L'iniziativa "Spot the vuln", pensata per gli sviluppatori per dare loro un po' di mentalità offensiva e vedere il loro codice sorgente anche da una prospettiva diversa. Ti è piaciuto questo video? Iscriviti al canale, ogni settimana almeno 2 contenuti che parlano di sicurezza informatica, carriera e del mio quotidiano. 🔗 LINK Il repository GitHub dove ci saranno tutti gli eserc...

#codereview #cybersecurity #opensource E se il primo strumento per l'analisi statica del codice fosse proprio il tuo compilatore? E se ci fosse la possibilità di iniziare la ricerca di buffer overflow, null pointer dereference e altre vulnerabilità, senza affidarsi a costosi software disegnati per essere cross per molti linguaggi? Ecco, iniziamo a vedere in una serie di video, come il compilatore...

Starò diventando troppo vecchio ma gira un'aria strana tra alcune community, non tutte per fortuna. Arrivano i soldi, arrivano i conflitti di interesse e spesso ignari iscritti sono in realtà il bacino di utenza a cui proporre servizi di consulenza. Snaturando un po' il senso stretto di community. Ti è piaciuto questo video? Iscriviti al canale, ogni settimana almeno 2 contenuti che parlano di sic...

Dopo un po' di anni in questo mondo, ho maturato l'idea che avere un profilo a 360 gradi nella sicurezza informatica sia un po' come essere un personaggio multiclass di Dungeons and Dragons. Ti è piaciuto questo video? Iscriviti al canale, ogni settimana almeno 2 contenuti che parlano di sicurezza informatica, carriera e del mio quotidiano. 🚀 FINITO IL VIDEO CORRI SUBITO A: Iscriverti...

Come reagire ad un hater? Se ci sono spunti positivi, prenderli e chiedere scusa con chi mi segue ed è proprio quello che ho fatto.(ah, poi aggiorniamo la master dei miei ambienti per l'audit del codice a  @openSUSE  Leap 15.5) 📽️📽️📽️ CANALI CHE VI SUGGERISCO  @ippsec   @DarixDeros   @rev3rsesecurity   @securitycert  Ti è piaciuto questo video? Iscriviti al canale, ogni settimana almeno 2 cont...

Oggi parliamo di code review e sviluppo sicuro. Ti do 3 consigli se vuoi partire subito a formarti su questi aspetti fondamentali per chi vuole fare carriera nel campo della #cybersecurity Ti è piaciuto questo video? Iscriviti al canale, ogni settimana almeno 2 contenuti che parlano di sicurezza informatica, carriera e del mio quotidiano. LINKS https://romhack.io/training/code-review/https://www.s...

Chi l'ha detto che code review è solo "lanciare il tool"? Anzi, quasi mai lo è. Ecco un esempio di come revisionare e comprendere il codice mi porta ad una reverse shell. Ti è piaciuto questo video? Iscriviti al canale, ogni settimana almeno 2 contenuti che parlano di sicurezza informatica, carriera e del mio quotidiano. 🔗 LINK UTILI Syllabus di OSWE: https://portal.offsec.com/cours...

Questo è il racconto di #offensivecon23, la conferenza che si tiene a Berlino ogni anno e che ci ha tenuto incollati alla poltrona dell'Hilton Hotel per due giorni, il 19 e 20 maggio. Questo è il racconto di come l'ho vissuto io, in compagnia di parte del team di security di #suselinux. Ti racconto le sensazioni, cosa mi ha lasciato e qualche spunto. Ti è piaciuto questo video? Iscriviti a...

#cybersecurity #comfortzone Qualche pensiero sparso prima del mio viaggio a Berlino. Stufi di eventi legati a sales o a fuffa, spingiamo per avere sempre più contenuti di livello tecnico avanzato. Solo questo potrà spingere l'innovazione tecnologica che si tramuta anche in ricerca, startup e opportunità di business. Ti è piaciuto questo video? Iscriviti al canale, ogni settimana almeno 2 conte...

Un video un po' diverso dal solito, un pezzetto di una mia giornata qualsiasi mentre faccio una code review. Volevo portarvi dietro le quinte, dentro la mia vita, evitando i classici video che si trovano in Rete dove tutto è perfetto. Fatemi sapere se vi piace il genere e ne volete ancora.

Fanno discutere alcune scelte "leggere" che sono state fatte per la campagna, pagata da noi contribuenti, per "Open To Meraviglia" (https://www.ministeroturismo.gov.it/italia-open-to-meraviglia/): 1. Immagini sgranate caricate da Whatsapp 2. L'uso di immagini provenienti da Stock commerciali per il corpo della Venere, senza poi tanta rielaborazione 3. Il video della campagn...

Il Parlamento Europeo sta per votare una policy per regolamentare come la sicurezza viene inserita all'interno del software. L'iniziativa, lodevole e piena di spunti interessanti, potrebbe avere gravi ripercussioni sul mondo del software opensource se fosse approvata così com'è. 🚨🚨🚨 Vieni a partecipare alla discussione sul canale: https://t.me/codiceinsicuro 🔗 LINK UTILI Il sito we...

Quarta ed ultima puntata sulla macchina SecureCode. Analizzando il codice troviamo il punto dove poter caricare un file contenente del codice arbitrario e prendiamo anche la seconda ed ultima flag. 🚨🚨🚨 Vieni a partecipare alla discussione sul canale: https://t.me/codiceinsicuro 🔗 LINK UTILI OSWE: https://www.offensive-security.com/courses/web-300/ La macchina SecureCode la trovi qui: https://w...

A volte chi porta avanti un progetto opensource è solo. Oggi vi racconto una mia piccola storia di fallimento, di come potrei aver perso un'occasione, ma di come potrei risollevarmi come maintainer. Ti è piaciuto questo video? Iscriviti al canale, ogni settimana almeno 2 contenuti che parlano di sicurezza informatica, carriera e del mio quotidiano. 🔗 LINK UTILI https://github.com/thesp0nge/da...

La cultura del lavoro nel mondo #IT ed in particolare nel mondo della #cybersecurity soffre da sempre, almeno in Italia, della sindrome del "più sto seduto alla sedia e più tempo il mio capo è felice che io sia qui". Questo porta a #burnout e ambienti di lavoro tossici. Vediamo come riconoscerne uno e come difendersi. Ti è piaciuto questo video? Iscriviti al canale, ogni settimana almeno...

Continua il viaggio nella macchina SecureCode. Oggi automatizziamo tutto quanto trovato finora in un unico script che sfrutta tutte le vulnerabilità fino a prendere la prima flag #cybersecurity #ethicalhacking 🔗 LINK UTILI OSWE: https://www.offensive-security.com/courses/web-300/ La macchina SecureCode la trovi qui: https://www.vulnhub.com/entry/securecode-1,651/ La ricerca dicotomica: https://it...