Zoekmachine Punkspider scant miljoenen websites op kwetsbaarheden
Volgende maand wordt tijdens de Defcon-hackerconferentie de zoekmachine Punkspider opnieuw gelanceerd en zal vervolgens dagelijks miljoenen websites op kwetsbaarheden scannen. De resultaten zijn vervolgens via de zoekmachine te vinden, wat volgens de ontwikkelaars voor een veiliger web moet zorgen.
Punkspider controleert websites op verschillende soorten kwetsbaarheden, waaronder SQL-injection, path traversal en cross-site scripting. Naast de zoekmachine is er ook een Chrome-extensie van Punkspider beschikbaar waarmee gebruikers kunnen zien of bezochte websites kwetsbaarheden bevatten.
Punkspider wordt aangeboden door securitybedrijf Qomplx. Volgens Jason Crabtree, ceo van het bedrijf, kan straks iedereen de vraag beantwoorden hoe veilig de websites zijn die ze bezoeken. Daarnaast dient Punkspider als graadmeter, aangezien de zoekmachine alleen veelvoorkomende kwetsbaarheden detecteert. "Wanneer webmasters de basis niet op orde hebben, is het onwaarschijnlijk dat ze grotere kwetsbaarheden wel verhelpen", stelt de ceo.
Bedankt voor de info, maar heel weinig mensen zullen hier een reactie geven.
Lees ik hier dat een potentiele cyberboef alleen maar naar Punkspider hoeft te gaan om daar het lijstje op te halen van kwetsbare sites?
Maar het geeft bijvoorbeeld niet aan dat er widget.trustpilot.com op de site staat en widget.intercom.io.
En niet, dat blokkeerders 27% tracking en 18% advertenties hebben geblokkeerd.
Niet dat er directive en object errors staan bij CSP, niet wat de problemen zijn met d1lr4y73.neawid.cloudfront
en dat er getrackt wordt via Google GTM en Google Analytics.
Het geeft direct een overzicht, maar minder als de publieke data via shodan.io bijvoorbeeld, niettemin handig,
luntrus
Lees ik hier dat een potentiele cyberboef alleen maar naar Punkspider hoeft te gaan om daar het lijstje op te halen van kwetsbare sites?
Klopt helemaal.
Als dat de eigenaar van de site niet motiveert om de crap-implementatie aan te passen. .....
Bedankt voor de info, maar heel weinig mensen zullen hier een reactie geven.
Raar, het eerste wat ik deed wat even kijken of het al online was. Jammergenoeg niet, ik had het graag willen gebruiken. Nu al. Naja nog maar even wachten tot het weer draait.
Straks zeker weer huilen dat er opeens allemaal ransomware infecties zijn. Beheerders gaan hier echt niet opeens beter van werken, zeker niet in de derdewereld. Daar zit je dan straks met een enorm botnet probleem.
Wat niet weet wat niet deert en hopen dat jouw slecht en onveilig ontworpen site niet gescand wordt.
Onwetendheid is een zegen volgens deze reactant.
Door allerlei basale onveiligheid in je website te laten zitten, breng je niet alleen jezelf in gevaar, maar ook anderen.
Door website developers niet voldoende te trainen op het voorkomen van deze kwetsbaarheden, gaat het juist fout.
We hebben het te danken aan grote partijen, die bepaalde kennis juist weg willen houden zodat ze technologisch en vooral via ad- en tracking voordeel kunnen blijven houden. Mensen moeten vooral niet leren hoe hun verdienmodel te frustreren.
Dan scannen verbieden onder het mom van computervredebreuk is een weg die nooit tot oplossingen van het probleem leidt.
De onveilige bibliotheken worden niet afgevoerd, de CMS software wordt niet van updates en patches voorzien.
Geen juiste beveiliging van website naar achterliggende webserver, CSP, soms http downgrade aanvallen mogelijk, SSL issues enz. enz.
Moeten we scannen verbieden, bijvoorbeeld op webhint, omdat er te veel domme arrogante lieden op de werkvloer rondlopen, getrainde aapjes zogezegd. Neem wat extra error-hunters in dienst met oog voor de website security noden.
De cybercrimneel komt toch wel aan z'n informatie. Beter ware het, dat de manager eens oog kreeg voor een beter beveiligingsniveau, anders betalen we met z'n allen de prijs en steeds opnieuw, doordat altijd veiligheid sluitpost op de begroting blijft, want de rekening voor ons allen zit altijd onder in de zak.
#sockpuppet
Cookie Cruncher, Javascript Errors Notifier en Vulners Web Scanner.
Doorlopen mensen, niets te zien hier.
Willekeurig voorbeeld van een of andere website:
eval ()()
:4:80()
Object.t [as F_c] (:3:191)()
Object.E_u (:4:244)()
eval (eval at exec_fn (:2:115), :67:477)()
Object.create (eval at exec_fn (:2:115), :69:193)()
c (eval at exec_fn (:2:115), :7:231)()
:4:80()
i (eval at exec_fn (:2:115), :5:165)()
eval (eval at exec_fn (:2:115), :5:292)()
SyntaxError: Invalid regular expression flags
eval ()()
:4:80()
Object.t [as F_c] (:3:191)()
Object.E_u (:4:244)()
eval (eval at exec_fn (:2:115), :67:477)()
Object.create (eval at exec_fn (:2:115), :69:193)()
c (eval at exec_fn (:2:115), :7:231)()
:4:80()
i (eval at exec_fn (:2:115), :5:165)()
eval (eval at exec_fn (:2:115), :5:292)()
RangeError: Maximum call stack size exceeded
HTMLDocument.value (:38:22)()
HTMLDocument.value (:39:21)()
HTMLDocument.value (:39:21)()
HTMLDocument.value (:39:21)()
HTMLDocument.value (:39:21)()
HTMLDocument.value (:39:21)()
HTMLDocument.value (:39:21)()
HTMLDocument.value (:39:21)()
HTMLDocument.value (:39:21)()
HTMLDocument.value (:39:21)()
#sockpuppet
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
