Mở đầu Chào các bạn, sau cái bài Xử lý vấn đề “Port Already in Use” trên Linux và Windows thì mình lại gặp 1 trường hợp nữa, cái trường hợp này nó xảy ra quá lâu rồi và do mình lười fix nên nó vẫn còn đó, cách đây khoảng 10 ngày thì mình fix được rồi. Chính vì thế mình viết lên đây vừa là chia sẻ, vừa là note lại cho bản thân để sau này lỡ bị lại thì có lệnh xài luôn cho nhanh :joy:...
Cái bài này mình định lên từ năm ngoái rồi, mà phân tích xong lại để đấy, thật ra là lười viết lại nên tồn đọng đến bây giờ chưa viết bài phân tích lên blog 🥲. Thôi thì ngồi viết lại vừa để có chỗ lưu lại, vừa để nhớ xem mình đã phân tích những cái gì, biết đâu sau này lại sử dụng lại thì sao :D...
Chuyện là gần đây Gitlab có bản Security Release mới, trong đó có một lỗi Arbitrary file read via group import feature khá là thú vị, ảnh hưởng đến tất cả các phiên bản GitLab CE/EE có đầu là 14.5 trở lên nên mình cùng với anh @vigov5 đã thử setup lên research bug này xem sao :D. Bạn đọc có thể đọc thêm thông tin tại đây https://about.gitlab.com/releases/2022/01/11/security-release-gitlab-14-6-2-released/#arbitrary-file-read-via-group-import-feature Mình chưa setup debug Ruby on Rails bao giờ, nên đã mất 2 ngày trời setup....
Online users ngày càng trở nên không thích (hoặc cảm thấy khó chịu) đối với sử dụng tính năng đăng ký truyền thống sử dụng username/email và password. Họ thích sử dụng tính năng đăng nhập chỉ bằng một cú nhấp chuột thông qua Facebook, Google hoặc GitHub hơn nhiều, đỡ cần phải suy nghĩ xem đặt mật khẩu là gì, username là gì, có cần lưu lại để sau này đăng nhập lại không ....
Kiến thức về Blockchain của mình vẫn đang hạn hẹp, nếu có câu nào hay kiến thức chỗ nào mình hiểu sai thì xin các bạn góp ý ở dưới phần comment nhé Dạo gần đây mình cùng homie của mình cũng hay đi xiên các con game Blockchain, do trend NFT game Blockchain đang cực kỳ nổi bây giờ, nhất là Việt Nam mình có con game Axie Infinity vốn hoá hàng tỷ Biden....
Dạo gần đây, phải là 1 năm trở lại đây trend game blockchain, hay NFT đang rất thịnh hành và mọi người có thể play to earn, kiếm tiền từ việc chơi game. Tuy nhiên có rất nhiều dự án cố gắng ăn theo trend mà bỏ đi yếu tố security, cố gắng ra game nhanh nhất có thể để user đỡ “chửi” vì ra game lâu, ôm coin để đó lâu quá giá không bay … vân vân và mây mây, đủ thể loại lý do để có thể dev code nhanh nhanh chóng chóng để phục vụ người chơi....
Root case Dạo gần đây mình có dính 1 case liên quan đến application trên Windows, việc check connect network rất quan trọng trong pentest, nó sẽ giúp các bạn có thể biết được application đó đang gửi những gì, kết nối tới đâu trên internet. Tuy nhiên dở một cái là application này KHÔNG HỖ TRỢ KẾT NỐI PROXY để capture request qua BurpSuite. Vậy ở đây chúng ta sẽ có nhiều cách để pentest case này:...