Chercher :
Newsletter :  


Revues :
- Presse
- Presse FR
- Vidéos
- Twitter
- Secuobs





Sommaires :
- Tendances
- Failles
- Virus
- Concours
- Reportages
- Acteurs
- Outils
- Breves
- Infrastructures
- Livres
- Tutoriels
- Interviews
- Podcasts
- Communiques
- USBsploit
- Commentaires


Revue Presse:
- Tous
- Francophone
- Par mot clé
- Par site
- Le tagwall


Top bi-hebdo:
- Ensemble
- Articles
- Revue
- Videos
- Twitter
- Auteurs


Articles :
- Par mot clé
- Par auteur
- Par organisme
- Le tagwall


Videos :
- Toutes
- Par mot clé
- Par site
- Le tagwall


Twitter :
- Tous
- Par mot clé
- Par compte
- Le tagwall


Commentaires :
- Breves
- Virus
- Failles
- Outils
- Tutoriels
- Tendances
- Acteurs
- Reportages
- Infrastructures
- Interviews
- Concours
- Livres
- Communiques


RSS/XML :
- Articles
- Commentaires
- Revue
- Revue FR
- Videos
- Twitter


RSS SecuObs :
- sécurité
- exploit
- windows
- attaque
- outil
- microsoft


RSS Revue :
- security
- microsoft
- windows
- hacker
- attack
- network


RSS Videos :
- curit
- security
- biomet
- metasploit
- biometric
- cking


RSS Twitter :
- security
- linux
- botnet
- attack
- metasploit
- cisco


RSS Comments :
- Breves
- Virus
- Failles
- Outils
- Tutoriels
- Tendances
- Acteurs
- Reportages
- Infrastructures
- Interviews
- Concours
- Livres
- Communiques


RSS OPML :
- Français
- International











Revue de presse francophone :
- Vigilance - WordPress Embed Articles Cross Site Scripting, analysé le 07 05 2015
- Vigilance - WordPress Ad_InSerter Cross Site Scripting, analysé le 07 05 2015
- Vigilance - WordPress Manage Engine Asset Cross Site Scripting, analysé le 07 05 2015
- Vigilance - WordPress ClickBank ads Cross Site Scripting, analysé le 07 05 2015
- Vigilance - WordPress Ultimate Profile Builder Cross Site Scripting, analysé le 07 05 2015
- Fieldbook Secure le smartphone français ultra-sécurisé
- Vigilance - ArcGIS for Server deux vulnérabilités, analysé le 06 05 2015
- Vigilance - Cisco Unity Connection Cross Site Request Forgery de CUCReports, analysé le 06 05 2015
- Vigilance - WordPress prettyPhoto Cross Site Scripting, analysé le 06 05 2015
- Vigilance - WordPress Facebook Page Photo Gallery Cross Site Scripting, analysé le 06 05 2015
- Etude mondiale Big Data réalisée par Vanson Bourne pour CA Technologies Les Big Data sont une composante essentielle de la transformation numériqueet un moyen de mieux appréhender l'économie
- Numergy distingue Linkbynet et lui remet le Trophée Partners 2015 dans la catégorie Infogérance
- Le CHI d'Aix-Pertuis s'appuie sur Olfeo pour optimiser sa sécurité
- Philippe Boyon, Active Circle Les défis de la gestion de fichiers dans un projet de production vidéo
- La solution EMM 100pourcents française vient compléter le catalogue mobilité de TD Azlan

Dernier articles de SecuObs :
- Renaud Bidou (Deny All): "L'innovation dans le domaine des WAFs s'oriente vers plus de bon sens et d'intelligence, plus de flexibilité et plus d'ergonomie"
- Mises à jour en perspective pour le système Vigik
- Les russes ont-ils pwn le système AEGIS ?
- Le ministère de l'intérieur censure une conférence au Canada
- Saut d'air gap, audit de firmware et (in)sécurité mobile au programme de Cansecwest 2014
- GCHQ: Le JTRIG torpille Anonymous qui torpille le JTRIG (ou pas)
- #FIC2014: Entrée en territoire inconnu
- Le Sénat investit dans les monnaies virtuelles
- #LPM2013: Un nouvel espoir ?
- L'ANSSI durcit le ton

Revue de presse internationale :
- Flaw allows hijacking of professional surveillance AirLive cameras
- We dont know what we dont know
- TPP U.S. May Accept Partners Own ISP Liability Frameworks
- Hackaday Prize Entry It s Like Apple Pay, But For Receipts
- Writing Doom For The Raspberry Pi
- DEF CON 23 Speaking Schedule is LIVE
- Top Hong Kong universities caught up in major hack attack on more than 100 global institutions
- HPR1807 Arch Linux Development Environment Ep1
- Massive leak reveals Hacking Team s most private moments in messy detail
- uController Code Profiler Debugs Your Microcontroller
- Tor Browser 5.0a3 is released
- NJ Bulgarian hacker admits role in 6M IRS refund scheme, feds say
- Restoring An Espresso Machine To The 21st Century
- David Guetta Piracy Brings Fans to My Concerts
- Charitable car donors learn their personal information was hacked

Annuaire des videos
- FUZZING ON LINE PART THREE
- Official Maltego tutorial 5 Writing your own transforms
- Official Maltego tutorial 6 Integrating with SQL DBs
- Official Maltego tutorial 3 Importing CSVs spreadsheets
- install zeus botnet
- Eloy Magalhaes
- Official Maltego tutorial 1 Google s websites
- Official Maltego tutorial 4 Social Networks
- Blind String SQL Injection
- backdoor linux root from r57 php shell VPS khg crew redc00de
- How To Attaque Pc With Back Track 5 In Arabique
- RSA Todd Schomburg talks about Roundup Ready lines available in 2013
- Nessus Diagnostics Troubleshooting
- Panda Security Vidcast Panda GateDefender Performa Parte 2 de 2
- MultiPyInjector Shellcode Injection

Revue Twitter
- RT @fpalumbo: Cisco consistently leading the way ? buys vCider to boost its distributed cloud vision #CiscoONE
- @mckeay Looks odd... not much to go on (prob some slideshow/vid app under Linux)
- [SuggestedReading] Using the HTML5 Fullscreen API for Phishing Attacks
- RT @BrianHonan: Our problems are not technical but cultural. OWASP top 10 has not changed over the years @joshcorman #RSAC
- RT @mikko: Wow. Apple kernels actually have a function called PE_i_can_has_debugger:
- [Blog Spam] Metasploit and PowerShell payloads
- PinkiePie Strikes Again, Compromises Google Chrome in Pwnium Contest at Hack in the Box: For the second time thi...
- @mikko @fslabs y'all wldn't happen to have lat/long data sets for other botnets, wld you? Doing some research (free/open info rls when done)
- RT @nickhacks: Want to crash a remote host running Snow Leopard? Just use: nmap -P0 -6 --script=targets-ipv6-multicast-mld #wishiwaskidding
- An inexpensive proxy service called is actually a front for #malware distribution -

Mini-Tagwall
Revue de presse : security, microsoft, windows, hacker, attack, network, vulnerability, google, exploit, malware, internet, remote, iphone

+ de mots clés pour la revue de presse

Annuaires des videos : curit, security, biomet, metasploit, biometric, cking, password, windows, botnet, defcon, tutorial, crypt, xploit

+ de mots clés pour les videos

Revue Twitter : security, linux, botnet, attack, metasploit, cisco, defcon, phish, exploit, google, inject, server, firewall

+ de mots clés pour la revue Twitter

Top bi-hebdo des articles de SecuObs
- HIDIOUS, une librairie d'injection de frappes clavier compatible Arduino et Teensy
- [Infratech - release] version 0.6 de Bluetooth Stack Smasher
- [Ettercap – Partie 1] Introduction et rappels
- [Ettercap – Partie 2] Ettercap par l'exemple - Man In the Middle et SSL sniffing
- Mises à jour en perspective pour le système Vigik
- USBDumper 2 nouvelle version nouvelles fonctions !
- EFIPW récupère automatiquement le mot de passe BIOS EFI des Macbook Pro avec processeurs Intel
- OSSTMM une méthodologie Open Source pour les audits de sécurité
- JTAGulator, une solution open-source pour l'identification OCD
- [Infratech - vulnérabilité] Nouvelle version 0.8 de Bluetooth Stack Smasher

Top bi-hebdo de la revue de presse
- Cridex Analysis using Volatility - by Andre' DiMino - samples and memory analysis resources
- Thoughts on Absolute Computrace
- A2COM-Groupe Resadia devient Hébergeur Agréé de Données de Santé
- x2ap.pcap
- La reprise de NextiraOne France par Butler Industries confirmée
- Hack Kaspersky, une leçon pour l Anses et l Anssi
- Titan Datacenter annonce la création d'un Datacentre de nouvelle génération
- Thomas Fillaud, ANSSI l'ANSSI soutient les industriels français de confiance sur Infosecurity Europe
- Les FortiManager-VM et FortiAnalyzer-VM sont disponibles pour Amazon Web Services AWS
- Découvrez le nouveau site responsive cigref.fr

Top bi-hebdo de l'annuaire des videos
- PfSense Packages Pfblocker Installation and Configuration
- backdoor linux root from r57 php shell VPS khg crew redc00de
- kali linux Collecte d adresses Email avec Metasploit
- Cythosia Botnet Secondlife Grind DDoS
- SDR based GSM Jammer USRP 2 and GNU Radio Open BTS HD
- Avoir des donuts illimit s sur le jeu Simpsons Springfield
- Metasploit WMAP Web Vulnerability Scanner
- Tutoriel Supprimer Cacaoweb Botnet
- Tutorial 15 pfSense Squid Squidguard Content filtering
- Comment creer un server botnet!!!!(Réseau de pc zombies)

Top bi-hebdo de la revue Twitter
- RT @r0bertmart1nez: RT @Foundstone FreeRADIUS-WPE updated! -
- DNSdelve: framework to list, query zones delegated by a registry #infosec #cybercrime bit.ly/mOew7L
- Is anyone else frustrated by the interface for Python's namedtuple?
- The Markle-Daamgard padding is different on mexican MD5, so it can't be made constant time unless you JIT.
- NMAP has been updated with the latest VMware ESX OS detection and correct IEEE/OUI spelling for MAC/ARP addresses Yippee!
- RT @b3h3m0th: [pdf] Kernel Hacking; Introduction to Linux Kernel 2.6How to write a Rootkit (very good work)
- I'm tired of seeing Warning: Arena utilization reaches critical level!. Let's just be honest - this isn't a 10Gig NGFW Juniper.
- Released pvefindaddr v2.0.13 - - minor updates
- RT @inj3ct0r: [remote exploits] - Sysax 5.53 SSH Username Buffer Overflow Exploit
- PinkiePie Strikes Again, Compromises Google Chrome in Pwnium Contest at Hack in the Box: For the second time thi...

Top des articles les plus commentés
- [Metasploit 2.x – Partie 1] Introduction et présentation
- Microsoft !Exploitable un nouvel outil gratuit pour aider les développeurs à évaluer automatiquement les risques
- Webshag, un outil d'audit de serveur web
- Les navigateurs internet, des mini-systèmes d’exploitation hors de contrôle ?
- Yellowsn0w un utilitaire de déblocage SIM pour le firmware 2.2 des Iphone 3G
- CAINE un Live[CD|USB] pour faciliter la recherche légale de preuves numériques de compromission
- Nessus 4.0 placé sous le signe de la performance, de l'unification et de la personnalisation
- [Renforcement des fonctions de sécurité du noyau Linux – Partie 1] Présentation
- [IDS Snort Windows – Partie 1] Introduction aux IDS et à SNORT
- Origami pour forger, analyser et manipuler des fichiers PDF malicieux

Failles

English version with Google Translate

Une preuve de concept pour du Phishing abusant de l’API FullScreen d’HTML5

Par Rédaction, secuobs.com
Le 15/10/2012


Résumé : La faisabilité d’une attaque de type Phishing abusant de l’API FullScreen d’HTML5 vient d’être démontrée récemment par un chercheur indépendant. Ce dernier ayant publié une preuve de concept afin de sensibiliser les utilisateurs aux risques actuellement encourus. - Lire l'article



Feross Aboukhadijeh, un chercheur indépendant en sécurité et étudiant à SCS (Stanford Computer Science), publiait récemment une preuve de concept démontrant la faisabilité d’une attaque de type Phishing. La démonstration exploitant avec succès l’API (Application Programming Interface) FullScreen disponible via le langage de programmation HTML5.

L’attaque exploitant donc cette fonctionnalité qui permet aux développeurs d’afficher des contenus Web en plein écran sur les écrans des utilisateurs. Le chercheur expliquant que cette fonctionnalité est notamment utilisée afin d’élargir au possible les photos hébergées sur des réseaux sociaux comme Facebook ou des vidéos provenant par exemple du service Youtube.

Cette fonctionnalité se différenciant du bouton de mise en plein écran manuelle vu que l'API FullScreen permet aux attaquants de l'activer automatiquement et ce sans requérir d’interaction de la part des utilisateurs. La démonstration utilisant ici un lien Bank Of America d’apparence légitime qui va permettre de détourner l’attention des utilisateurs ciblés.

Si ces derniers passent la souris sur le lien en question, la destination indiquée sera en effet le site légitime de Bank of America. Néanmoins lorsqu’ils cliqueront sur ce lien, ils seront redirigés automatiquement vers le mode plein écran avec le chargement d’un site qui n’a lui rien de légitime, déterminant ici le système et le navigateur utilisés par les utilisateurs.

Vidéo « Change Blindness – The door study » :



Le code source de l’attaque sur GitHub ( lien )
L’attaque expliquée par Feross Aboukhadijeh et la démonstration en ligne ( lien )
FullScreen API ( lien )
« Change blindness » sur Wikipedia ( lien )

Source :

« Proof-of-Concept Exploits HTML5 Fullscreen API for Social Engineering » sur ThreatPost The First Stop for Security News ( lien )



- Article suivant : Injections SQL au sein d’un produit SCADA se destinant aux centrales solaires photovoltaïques
- Article précédent : Whonix une nouvelle solution virtuelle d’anonymisation réseau
- Article suivant dans la catégorie Failles : Injections SQL au sein d’un produit SCADA se destinant aux centrales solaires photovoltaïques
- Article précédent dans la catégorie Failles : Vulnérabilité du protocole d'authentification au sein des versions courantes d'Oracle


Les derniers commentaires de la catégorie Failles:
- ESRT @sambowne - Russian firm Elcomsoft unveils tool to crack BlackBerry encryption security ...
- SPIP recently fixed 2 vulnerabilities notified by Tehtri-Security 0day ...
- PuttyHijack session hijack POC ...
- ESRT @thierryzoller - Updated BEAST blog post with Proof of Concept code and the whitepaper ...
- ESRT @y0ug @Securelist - New article published: MYBIOS Is BIOS infection a reality ...

Les derniers articles de la catégorie Failles :
- Les russes ont-ils pwn le système AEGIS ?
- Backdoors BMC éventuelles via une faille IPMI sur au moins 100 000 serveurs publics
- Jekyll, une application malicieuse contournant les détections de l App Store d Apple
- La vulnérabilité cryptographique d Android, l origine du vol de 5 720 dollars en bitcoins
- Une faille critique de Firefox expose les utilisateurs de Tor Browser Bundle
- Une porte dérobée présente depuis 9 mois dans OpenX
- De mauvaises implémentations d UEFI permettent de contourner Secure Boot
- Prendre le contrôle d une voiture avec une manette de jeu, c est possible
- Une nouvelle vulnérabilité critique aurait été découverte dans Java 7
- Les problèmes de sécurité des cartes SIM peuvent être facilement corrigés




SecuToolBox :

Mini-Tagwall des articles publiés sur SecuObs :

Mini-Tagwall de l'annuaire video :

Mini-Tagwall des articles de la revue de presse :

Mini-Tagwall des Tweets de la revue Twitter :