Feldstudie.net

Eine zweite Instanz von Skype öffnen

// January 20th, 2012 // 2 Comments » // IT, Tutorials

Ich nutze Skype sowohl privat als auch, mit einem zweiten Account, geschäftlich. Standardmäßig ist es leider jedoch nur Möglich, eine Instanz von Skype zu öffnen und ist so gezwungen, sich bei dem einen Konto abzumelden um sich an dem anderen anzumelden. Mit einem kleinen Trick ist es jedoch möglich, auch ein zweites Skype-Fenster zu öffnen und so mit zwei oder mehr Accounts gleichzeitig online zu sein.

Hierzu muss lediglich eine Verknüpfung von der Skype exe-Datei erstellt werden. Dazu klickt man mit der rechten Maustaste auf die exe-Datei und wählt im Menü "Verknüpfung erstellen".

Weiterlesen...

Sicherheit von Avira gibt es nun auch für Mac OS X

// January 4th, 2012 // 8 Comments » // Avira, IT

Die Avira Userland QA sucht ambitionierte und interessierte User für die (Pre-) Beta von "Avira Professional Security" und Avira Personal Security" für Mac OS X.

Interessierte User erhalten Zugriff auf das BetaCenter und stehen damit im direkten Kontakt mit der Entwicklung und der Userland QA, welche für die Betaprojekte von Avira verantwortlich ist. Innerhalb des Avira BetaCenters bekommen Tester Zugriff auf Dokumentationen, Umfragen, Downloads, Bugtracker und Projektforen.

Warum Betatester werden?

Als Avira Betatester haben Sie die exklusive Möglichkeit, auf den Entwicklungsprozess der weit verbreiteten und millionenfach bewährten Avira Produkte Einfluss zu nehmen.
Das Ziel unseres Betaprogramms ist es, technische Neuerungen und Änderungen in und an unseren Produkten in einer realitätsnahen Umgebung zu testen, wie es in unseren internen Testumgebungen nicht möglich ist. Dies hilft uns, die Qualität der anstehenden Softwareveröffentlichungen entscheidend zu verbessern. Weiterlesen...

Download einer Datei mittels WinHttp.WinHttpRequest.5.1 mit AutoIt über https-Verbindung

// November 12th, 2011 // 5 Comments » // IT, Tutorials

Vor kurzem stand ich vor dem Problem, dass ich zu einer https Seite (also einer Webseite mit SSL Verschlüsselung) ohne vertrauenswürdigem Zertifkat mittels AutoIt verbinden musste, um eine Datei herunterzuladen. Um Zugriff auf die Seite zu bekommen, ist eine Authentifizierung erforderlich, die ich per HTTP POST an den Webserver übermitteln möchte. Bei dieser ersten Verbindung hat das Script jedoch einige Zeit nicht mehr reagiert und anschließend eine Windows-Meldung geworfen, die auf das (ungültige) Zertifikat hinwies.

Für die Erstellung des Zugriffs verwende ich ein WinHttp.WinHttpRequest.5.1 Objekt welches ich mit ObjCreate erstelle. Anschließend prüfe ich, ob das Objekt erfolgreich erstellt wurde und breche im Fehlerfall die Funktion ab. Im Anschluss setze ich für die Option Nr. 4 den Wert 13056. Hiermit werden Fehler bzgl. SSL unterdrückt, die, wie in meinem Beispiel, durch ein nicht vertrauenswürdiges Zertifikat signiert sind.

Um den eigentlichen Login durchzuführen ist ein POST Kommando erforderlich, über welches der Benutzer und das Passwort an den Server übergeben wird. Damit man weiß, welche Inhalte ein solches Paket enthält, nutzt  man normalerweise Network Paket Analyzer wie WireShark. Da es sich hier jedoch um eine SSL verschlüsselte Verbindung handelt, funktioniert dies nicht, da der Inhalt der Pakete nicht mehr sichtbar ist. Mit dem FireFox Plugin TamperData können wir dies jedoch umgehen. Hier können wir die Paketinhalte sehen, bevor diese verschlüsselt werden. Wie auf dem Screenshot zu sehen ist, ist der Parameter "username=torsten.feld&password=xxxxxx". Dieser muss einfach mit der Methode 'Send' an den Server geschickt werden.

Damit die Datei heruntergeladen werden kann, fehlt nur noch die Methode 'Open', welche den Pfad zu der Datei angibt und wiederum mit 'Open' versendet wird. Über die Methode 'responseText' bekommen wir die Rückgabe des Servers.

Die Informationen wie Useragent, Contenttype und Referrer, welche über 'SetRequestHeader' gesetzt werden können, sind meist erforderlich, können aber gerade bei Downloads von Servern, welche eine Steuerung über ein Script unterbinden wollen, hinter's Licht führen.

Fragen dürfen gerne in den Kommentaren gestellt werden. Und hier ist ein Beispielscript:

	Local $lHttpResponse
	Local $lBaseUrl = "https://xxxxxx.srv.xxxxx.com/"
	$objhttp = ObjCreate("WinHttp.WinHttpRequest.5.1")
	If Not IsObj($objhttp) Then
		MsgBox(16,"Error","Could not connect to webserver")
		SetError(1)
		Return -1
	EndIf
	$objhttp.Option(4) = 13056 ; turns off ssl error messages and warnings
	$objhttp.Open("POST", $lBmgtBaseUrl & "login", false)
	$objhttp.SetRequestHeader("User-Agent", "Mozilla/5.0 (Windows; U; Windows NT 6.1; en-US; rv:1.9.0.10) Gecko/2009042316 Firefox/3.0.10 (.NET CLR 4.0.20506)")
	$objhttp.SetRequestHeader("Content-Type", "application/x-www-form-urlencoded")
	$objhttp.SetRequestHeader("Referrer", $lBmgtBaseUrl & "login")
	$objhttp.Send("username=" & $lUsername & "&" & "password=" & $lPassword)
	$objhttp.Open("POST", $lBmgtBaseUrl & "files/file.exe", false)
	$objhttp.Send
	$lHttpResponse = $objhttp.responseText

Schwere Sicherheitslücke im Code Signing in iOS oder wie man seine Entwicklerlizenz verliert

// November 10th, 2011 // 2 Comments » // iPhone, IT, Security

Charlie Miller, ein Security Researcher, hat eine iOS App entwickelt, welche lediglich eine Börsen App zu sein scheint, jedoch zusätzlich eine Hintertür öffnet. Diese erlaubt es über das Meterpreter Framework Payload nachzuladen und so einem Angreifer ermöglicht das betroffene Gerät zu kompromittieren. Das große Problem hierbei ist, dass er es geschafft hat, die 'Prove of Concept'-App durch Apple approven zu lassen und so im Apple AppStore verfügbar zu machen (via TechDirt).

Das Problem ist die Reaktion von Apple. Anstatt das Problem zu beheben und dankbar zu sein, dass 'Externe' Sicherheitslücken aufdecken und reporten (dies geschah wohl bereits am 14.10.2011), wurde Charlie Miller eine halbe Stunde nach Veröffentlichung des unten gezeigten Videos, die Entwicklerlizenz entzogen. Wie Miller gegenüber Andy Greenberg für Forbes erwähnte:

“I’m mad,” he says. “I report bugs to them all the time. Being part of the developer program helps me do that. They’re hurting themselves, and making my life harder.”

Weiterlesen...

Dad, you’re ugly!

// November 7th, 2011 // 8 Comments » // Allgemein

Ich poste nicht (mehr) oft YouTube Videos auf diesem Blog, aber dieses Video ist einfach sehenswert.

Der US-amerikanische Late-Night-Talkmaster Jimmy Kimmel, ähnlich spitzzüngig und sarkastisch wie hierzulande Harald Schmidt, forderte die Zuschauer auf, ihren Kindern zu erzählen, sie hätten deren gesamten Halloween-Goodys-Vorrat geplündert. Als wäre diese dreiste Veräppelung nicht schon fies genug, sollten die Eltern das ganze auch noch filmen - und auf YouTube veröffentlichen. Erstaunliche viele Eltern scheuten es offenbar nicht, ihre Kinder mit diesem hinterhältigen Streich enormsten Streß auszusetzen. (via  Yahoo Nachrichten)

Hier das Ergebnis:

Weiterlesen...

Steganos Privacy Suite 12 kostenlos

// November 4th, 2011 // No Comments » // IT

Auf PenTestIt habe gelesen, dass die aktuelle Version der Steganos Privacy Suite kostenlos zum Download bereit steht. Als kurze Beschreibung zum Produkt, hier ein Auszug von der Websteller-Website:

Die Arbeit an PC oder Laptop in Kombination mit dem Internet bietet viele Vorteile – allerdings auch ein paar Nachteile. Auf Laptops, USB-Sticks und CDs werden Dokumente, Fotos und Filme rund um die Welt transportiert. Was aber passiert, wenn ein Fremder Zugriff auf die Hardware und die darauf abgespeicherten Daten bekommt?

Die Gefahren:

• Der USB-Stick mit den letzten Urlaubsbildern fällt aus der Jackentasche, die DVD mit sämtlichen Gehaltsabrechnungen geht verloren oder der Laptop mit allen E-Mails und Kontaktdaten wird im Taxi liegengelassen.
• Ihre Passwörter haben Sie schön übersichtlich und ungeschützt in einer Excelliste abgespeichert.
• Sie wollen Ihren Computer verkaufen und haben selbstverständlich vorher alle Daten gelöscht. Aber wussten Sie, dass man diese Informationen jederzeit einfach wieder herstellen kann?