Aby więc wylogować się z jednego konta Google, musisz przejść do aplikacji Gmail. Możesz znaleźć opcję wyłączania, aby się wylogować. Ponadto możesz także usunąć konto na swoim urządzeniu. Oto jak to zrobić. Uruchom aplikację Gmail . W prawym górnym rogu kliknij ikonę Profilu z obrazem lub inicjał imienia. Teraz kliknij Oskar Zwierzchowski oraz Grzegorz Stachowiak poinformowali nas o poważnych błędach bezpieczeństwa dotyczących niektórych serwisów Grupy o2. Według nich, potencjalny atakujący może nie tylko podmienić treści na dowolnym serwisie o2 (np. pudelku, czy stronie głównej portalu), ale co gorsza uzyskać dostęp do treści e-maili większości użytkowników o2. Przedstawiciele portalu nie zgadzają się, że wszystkie błędy są krytyczne. 3 błędy z kilku Oskar i Grzegorz w e-mailu do Niebezpiecznika opisali 3 błędy spośród kilku, które znaleźli w serwisach Grupy o2. Według nich błędy umożliwiają dodawanie/modyfikowanie treści na serwisach o2 oraz przechwytywanie treści e-maili osób korzystających z “Głębokie ukrycie” plików konfiguracyjnych. Pliki PHP z klasami i definiujące stałe (w tym nazwę bazy, hasło do bazy, itp) znajdują się w tzw. “głębokim ukryciu“. Programiści nadali im rozszerzenia .lib, które nie są interpretowane przez moduł PHP, a zatem odwołanie się do takiego pliku pokazuje jego zawartość (kod PHP). Rys. 1. Pudelek - hasło do bazy MySQL Podobny błąd przydarzył się swego czasu serwisowi — tam jednak programiści umieścili część plików (te z danymi dostępowymi do bazy) poza obszarem pracy webservera. W przypadku o2, pliki te dostępne są dla każdego, kto zna ich URL. SQL injection w adserwerze o2 SQL injection w adserverze o2 pozwala na nieautoryzowany dostęp do bazy danych. Jak twierdzą Oskar i Grzegorz, informacje, które się w niej znajdują umożliwiają potencjalnemu atakującemu na dostęp do CMS-a o2 (system zarządzania treścią) — ten z kolei stanowi podstawę funkcjonowania dużej liczby portalowych serwisów. Stored XSS na Jeśli użytkownik korzystający z poczty o2 przez stronę WWW otworzy odpowiednio spreparowanego e-maila, atakujący może przechwycić zwartość jego skrzynki lub przejąć jego sesję (brak flagi HTTP Only na ciasteczku sesyjnym) albo przekierować na inną stronę internetową. Rys. 2. XSS w poczcie o2 pozwala na przejęcie zawartości skrzynki ofiary Oskar i Grzegorz zademonstrowali atak na założonym przez nas koncie na o2. Przejęli naszą skrzynkę i poprawnie przekazali nam treść e-maila, którego umieściliśmy w skrzynce. Dodatkowo, Oskar i Grzegorz twierdzą, że w kodzie serwisu znajduje się jeszcze jeden błąd programistyczny, pozwalający na nieautoryzowany dostęp do skrzynek pocztowych większości użytkowników serwisu. Błąd ten, w przeciwieństwe do ukazanego wyżej XSS-a, nie wymaga żadnej akcji ze strony użytkownika (nie trzeba otworzyć żadnej wiadomości). Zmiana hasła w tym przypadku nic nie da — błąd musi zostać usunięty przez developerów o2. Mam konto na o2, jak żyć drogi Niebezpieczniku, jak żyć? Jeśli posiadacie konto na o2, wedle zapewnień Oskara i Grzegorza nie powinniście wpadać w panikę — obaj twierdzą, że działają w dobrej wierze; powstrzymali się przed uzyskaniem dostępu do danych użytkowników i chcą jak najszybszego załatania błędów (co oczywiście nie oznacza, że zmiana hasła do o2 to głupi pomysł — na te błędy mogły niezależnie natknąć się inne osoby, które nie mają tak czystych intencji jak Oskar i Grzegorz ;) Zdziwiło nas jednak, że w/w błędami bezpieczeństwa Oskar i Grzegorz piszą do nas, a nie bezpośrednio do serwisu o2. Zapytaliśmy więc, dlaczego? Oto odpowiedź: Próbowaliśmy kiedyś poinformować grupę o2 o błędach które znaleźliśmy w roku (chyba) 2009, jednak nasze wiadomości zostały zignorowane. Na początku 2011 roku otrzymaliśmy odpowiedz na kolejne zgłoszenie o zagrożeniach po 14 dniach, a informacja o tym, iż błędów może być znacznie więcej została ponownie zignorowana. Dlatego przesłaliśmy to Wam, oraz mamy nadzieje, że sprawa zostanie potraktowana bardziej poważnie. I rzeczywiście, na wysłany przez nas opis błędów zaregowano prawie natychmiastowo… jednak jakość obsługi incydentu delikatnie mówiąc pozostawiała wiele do życzenia… Co na to o2? O2, nie do końca zgadza się z opinią Grzegorza i Oskara co do wagi błędów… Przedstawiciele o2 najpierw nie byli w stanie na podstawie naszego opisu błędu dotrzeć do danych dostępowych do bazy, a po nakierowaniu na odpowiedni plik (patrz rys. 1.), mieli problem z jego odczytaniem — co nas akurat nie zdziwiło — najprawdopodobniej developerzy Pudelka byli szybsi i zdążyli już wprowadzić odpowiednie zabezpieczenia. Przedstawiciel o2 celnie zauważył, że nawet jeśli plik zawierałby hasło, to “i tak nie ma możliwości jego wykorzystania z sieci publicznej“. To prawda, ale jak zauważa Grzegorz Stachowiak, dostęp do bazy MySQL Pudelka mógłby być możliwy z każdego wewnętrznego serwera grupy o2, o ile atakującemu udałoby się uzyskać dostęp do jakiegokolwiek serwisu grupy o2 (O2 nie zgadza się z tą tezą, patrz aktualizacja na końcu posta). Odnosząc się do znalezionego przez Oskara i Grzegorza SQL injection, Grupa o2 oświadczyła, że błąd dotyczy starej, niewykorzystywanej już wersji aplikacji. Zapewniono nas także, że zostanie ona przekierowana na “używaną od długiego już czasu wersję aplikacji, która jest wolna od takich błędów“. Należy mieć nadzieję, że o2 rozpatrzyło następującą sytuację, często towarzyszącą migracjom bazy: zawartość “starej” bazy koresponduje z nową, co ułatwia eskalację ataku. Jak dodaje Grzegorz Stachowiak: Możemy udowodnić, że można bez problemu uzyskać dostęp do kont użytkowników AdServera jak i nowych kampanii reklamowych. Jednak musimy mieć pisemną zgodę na ingerencję i ewentualny dostęp do baz danych grupy o2. W innym przypadku musielibyśmy popełnić przestępstwoz Art. 267 kk, czego nie zrobimy. Jeśli zaś chodzi o strored XSS-a, przedstawiciele o2 stwierdzili, że na podstawie przesłanych przez nas danych zespołowi programistów nie udało się odtworzyć błędu (i mieli prawo tak stwierdzić, powody w akutualizacji poniżej). Koniec końców, XSS (pomimo naszych, jak się okazało nieprecyzyjnych wskazówek) został poprawnie zidentyfikowany i załatany. Oskar Zwierzchowski nagrał wideo ukazujące atak (jak wyglądał on po stronie ofiary możecie zobaczyć na rys. nr 2): Aktualizacja W wyniku dalszych kontaktów z o2 udało się wyjaśnić problem komunikacyjny. Redakcja Niebezpiecznika nie pozostaje tu bez winy. Na podstawie przekazanych przez Grzegorza i Oskara informacji błędnie zasugerowaliśmy o2, że XSS znajduje się w polu temat, a nie polu from. Niemniej jednak przesłana przez nas zawartość nagłówka wywołująca XSS-a umożliwiła pracownikom o2 namierzenie poprawnego nagłówka i załatanie błędu, o czym serwis o2 niestety nas nie poinformował. Za niezamierzone zamieszanie przepraszamy i czytelników i Grupę o2. Dodatkowo, grupa o2 przesłała również oświadczenie, że dane bazy znalezione przez Grzegorza i Oskara “dotyczyły “localhost”, czyli bazy na lokalnym komputerze programisty — bazy testowej, a nie pudelkowej“. Ponadto przedstawiciele o2 twierdzą, że nieprawdą jest iż aby podpiąć się do bazy wystarczy włamać się do jakiegokolwiek serwisu grupy o2. “Sieć serwisów grupy o2 nie jest połączona w jedną” — czytamy w oświadczeniu. Gdybyście w przyszłości znaleźli jakiś błąd i z jakiegoś powodu nie chcieli się kontaktować bezpośrednio z “ofiarą”, zapraszamy do kontaktu — tutaj jest nasz klucz GPG. Jednocześnie apelujemy do wszystkich miłośników “niezamówionych pentestów” — zachowajcie rozwagę! I pamiętajcie, że udowodnienie błędu typu SQL injection nie wymaga zrzutu całej bazy. Rozsądne podejście do problemu z Waszej strony, sprawia, że rozsądnie podejdą do Was inni. Machanie komuś przed nosem dumpem jego bazy na pewno nie przysporzy Wam przyjaciół… Przeczytaj także:Z uwagi na tę wygodę coraz więcej osób decyduje się na zakup elektronicznych biletów. W dzisiejszym artykule podpowiadamy w jaki sposób kupić bilet przez telefon. Aplikacje do zakupu biletów komunikacji miejskiej MPK. Aby móc kupić bilet elektroniczny na tramwaj lub autobus należy najpierw ściągnąć specjalną aplikację na telefon.
Uwaga: Podczas rejestrowania numeru telefonu należy korzystać z najnowszej wersji WhatsAppa. W przeciwnym razie rejestracja może się nie powieść. Zanim zaktualizujesz aplika
Messenger - także w Polsce - jest najpopularniejszym narzędziem do komunikacji. Czasami jednak bardziej niż na wysłaniu wiadomości, zależy nam na szybkim wylogowaniu z Messengera. Jak zrobić to na telefonie z Androidem, a jak na iPhonie? Czy równie łatwo można wylogować się z Messengera na komputerze?
Poczta o2 to bezpłatna i łatwa w obsłudze aplikacja pocztowa. Przejrzysty układ i wygląd aplikacji pozwala sprawnie wykorzystywać wszystkie funkcjonalności Poczty o2. Teraz możesz błyskawicznie odbierać maile dzięki powiadomieniom push, czytać wiadomości i odpowiadać na nie w trybie online i offline, a także szybko przeszukać Jak usunąć konto FTP z serwera w home.pl? Zaloguj się do Panelu klienta home.pl . Kliknij tutaj, aby sprawdzić jak się zalogować. Kliknij sekcję menu: Usługi WWW, która znajduje się po lewej stronie ekranu. Kliknij nazwę serwera, w ramach którego chcesz usunąć wybrane konto FTP. Na wyświetlonym ekranie znajdź sekcję: Konta FTP WFDc. 2594438011727128247372207
