Ein Open-Source-SMS-Gateway für Pentest-Projekte

Pentagrid AG

2022-12-06 09:23

Zugänge für mobile Anwendungen sind oft an Telefonnummern gebunden. Die Arbeit mit mehreren Personen an einem Projekt kann es irgendwann erfordern, Mobiltelefonnummern für den SMS-Empfang zu teilen. Beim Testen mobiler Anwendungen, die durch eine SMS-basierte Second-Factor-Authentisierung (2FA) geschützt sind, ist die gemeinsame Nutzung von Telefonnummern durch das Testteam manchmal notwendig und sicherheitstechnisch akzeptabel, wenn es sich nur um ein Testsystem handelt. Bei Pentagrid betreiben wir daher ein kleines SMS-Gateway, das wir hiermit als Open Source veröffentlichen.

Mehrere Verwundbarkeiten in SEPPmail 11.1.10

Pentagrid AG

2022-11-15 10:00

Während eines Penetrationstests identifizierte Pentagrid mehrere Schwachstellen in der E-Mail-Gateway-Software SEPPmail in der Version 11.1.10 des Schweizer Unternehmens Seppmail AG. Die Gateway-Lösung dient dem Transfer vertraulicher E-mails.

Reflected cross-site scripting vulnerability in Crealogix EBICS implementation (CVE-2022-3442)

Pentagrid AG

2022-10-10 10:00

During a penetration test of an Electronic Banking Internet Communication Standard (EBICS) environment, Pentagrid observed a vulnerability in the EBICS banking implementation developed by CREALOGIX AG and used by many banks. EBICS is a common standard in Germany, France and Switzerland for sending payment information from customers to banks and between banks.

Improving web application security testing with the Pentagrid Scan Controller

Pentagrid AG

2022-08-23 13:42

We're back with another helpful Portswigger Burp Pro Proxy extension that you shouldn't miss if you do web application security analysis. This time the wasteful approach of Burp's feature "Actively scan all in-scope traffic" triggered the development of a new extension called Pentagrid Scan Controller, because there are several improvements possible and desirable.

Vulnerabilities in Printix Cloud Print Management

Pentagrid AG

2022-08-18 08:42

During a penetation test of a cloud environment, Pentagrid observed vulnerabilities in the cloud printing solution developed by Printix.net ApS, a Kofax subsidiary.

We are hiring Security Analysts

Pentagrid AG

2022-08-11 08:00

To extend our technical team at Pentagrid, we are looking for talented people with an interest in new things, passion for technology and commitment. Currently, we are looking for Junior and Senior IT Security Analysts in Berlin and Buchs SG.

Teaching Burp a new HTTP Transport Encoding

Pentagrid AG

2022-04-13 11:42

Today we would like to talk about Burp Suite Professional and extensions again. In this blog post we explain how we can teach Burp Suite to handle a custom Transport Encoding that is spoken between an HTTP client and a server by using Burp extensions.

Response Overview Burp Extension

Pentagrid AG

2022-01-12 15:30

Today we would like to announce the release of an updated BurpSuite extension in the BApp store.

Shreddy2 – Ein Raspberry Pi als Löschstation für USB-Sticks

Pentagrid AG

2021-12-20 06:12

"Delete early, delete often" ist das leicht abgewandelte Motto, dass daran erinnert, Datenlecks durch verlorene oder gestohlene USB-Sticks mittels regelmäßigem Löschen zu minimieren. Sind Sie es leid, beim Formatieren eines USB-Sticks auf Ihrem lokalen Computer darauf zu achten, nicht versehentlich das falsche Gerät zu löschen? Um den Vorgang zu vereinfachen, haben wir eine USB-Löschstation als Software auf einem Raspberry Pi implementiert. Die Software wartet drauf, dass ein USB-Stick angeschlossen wird. Der wird dann bereinigt. Also: shreddy, ready, go!

Password reset code brute-force vulnerability in AWS Cognito

Pentagrid AG

2021-04-30 10:00

The password reset function of AWS Cognito allows attackers to change the account password if a six-digit number (reset code) sent out by E-mail is correctly entered. By using concurrent HTTP request techniques, it was shown that an attacker can do more guesses on this number than mentioned in the AWS documentation (1587 instead of 20). If the attack succeeds and the attacked accounts do not have multi-factor authentication enabled, a full take-over of the attacked AWS Cognito user accounts would have been possible. The issue was fixed by AWS on 2021-04-20.