Linux by Gleudson Junior

Melhores Práticas de Programação Segura OWASP - Guia de Referência Rápida

2012-02-10T11:09:00.000-03:00

Pessoal,

A OWASP disponibilizou desde do dia 8/2/2012 o documento "Melhores Praticas de Programação Segura OWASP - Guia de Referência Rápida", disponível em:

https://www.owasp.org/index.php/File:OWASP_SCP_v1.3_pt-BR.pdf

O documento (Em português) é um conjunto de checklists de boas práticas de programação segura. Fundamental.

Boa leitura.

[]'s

10 startups de destaque na América Latina

2012-02-03T11:55:00.000-03:00

De olho na movimentação dos investidores do Vale do Silício, cada vez mais interessados em colocar dinheiro em startups latino-americanas, o blog The Next Web, especializado na cobertura de tendências tecnológicas, listou 10 negócios da região para ficar de olho.

“Muitos podem parece simples cópias à primeira vista, mas um olhar mais atento vai revelar como eles se adaptaram aos mercados locais”, destaca o blog, acrescentando: “Eles também refletem a importância das redes sociais e da mobilidade na região”.

Confira as seguir as 10 startups listadas no ranking:

1. BuscaPé

Velho conhecido do consumidor online brasileiro, o comparador de preços BuscaPé é citado como um dos casos de sucesso mais proeminentes da região. Lançado em 1999, o site foi adquirido pelo grupo sul-africano Naspers em uma transação de 342 milhões de dólares.

2. PagosOnline

Versão colombiana do PayPal, o PagosOnline foi lançado em 2002. O Buscapé adquiriu 75% do negócio em 2010, o que significa que ele também é parte do grupo Naspers. Sua função é integrar diferentes soluções de pagamento, incluindo cartões de crédito, transferências e boletos bancários.

3. Vostu

Fundada em 2007, a Vostu foi criada por estudantes de Harvard e tem sede em Nova York, mas o DNA de seus fundadores é brasileiro. Voltada ao publico latino-americano, atende mais de 50 milhões de usuários com jogos sociais para plataformas como Facebook e Orkut. Em novembro de 2010, recebeu um aporte de 30 milhões de dólares dos fundos Tiger Global Management e Accel Partners, que também apoiaram o Facebook.

4. Mentez

Atuando exatamente no mesmo ramo que a Vostu, a Mentez também divide suas operações entre Estados Unidos e Brasil. A startup tem 22 milhões de usuários ativos no Orkut semanalmente e outros 10 milhões no Facebook. Recebeu investimentos da Insight Venture Partners.

5. Eventioz

A Eventioz é uma plataforma argentina para registro de eventos que permite que os clientes gerenciem cada etapa do processo, do envio dos convites ao pagamento dos fornecedores. Tem como clientes grandes companhias como Telefonica, McDonald’s e Endeavor.

6. Restorando.com

Similar ao serviço de reservas de mesas OpenTable, o argentino Restorando.com nasceu em outubro de 2010. A empresa tem em seu conselho vários ex-executivos do MercadoLivre, site de leilões online que fez sua estreia na Nasdaq em 2007 com um IPO de 400 milhões de reais. A startup tem operações em Buenos Aires e São Paulo e recebeu investimentos em abril deste ano do Atomico, empresa de capital de risco criada por um dos fundadores do Skype.

7. Smowtion

Criada na Argentina, em 2008, a Smowtion é uma startup com foco em anúncios online que tem apoio da Endeavor. A plataforma está disponível em oito línguas e conecta anunciantes a mais de 217 milhões de usuários únicos todos os meses.

8. Junar

A Junar é uma ferramenta online gratuita que permite a usuários realizar pesquisas em conjuntos de dados. A empresa argentina foi uma das primeiras a serem selecionadas pelo Startup Chile, programa de incentivo do governo chileno para atrair startups ao país, e recebeu 40 mil dólares. Em seguida, recebeu um aporte de 1,2 milhão de dólares de dois fundos chilenos.

9. Movile

Sediada em São Paulo e com escritório em outros cinco países latino-americanos, a Movile provê conteúdo de entretenimento e ferramentas de pagamento para plataformas móveis para mais de 100 milhões de usuários no mundo. Com 10 anos de vida, faz parte do grupo Naspers desde 2008.

10. DeskMetrics

A DeskMetrics provê uma solução de análise monitoramento de uso de softwares para desktops que funciona como uma espécie de “Google analytics”, permitindo que as empresas entendam melhor como seus produtos estão sendo utilizados nas máquinas dos usuários. A empresa mineira recebeu 200 mil dólares em investimentos de um grupo de investidores anjo e tem clientes espalhados pelo globo.

Fonte:info.abril.com.br/noticias/mercado/10-startups-de-destaque-na-america-latina-21052011-10.shl

Apresentação de Sistemas Android

2012-01-27T13:58:00.000-03:00

Olá,

Atendendo a vários pedidos, estamos disponibilizando uma apresentação gratuita sobre Sistemas Android neste sábado (28/01/2012) às 13:30.

Venha aprender como desenvolver aplicativos para o seu telefone ou tablet.

Vamos ter sorteios de brindes Ubuntu e certificado de participação.

Maiores informações em:

http://www.fuctura.com.br/cursos/google-android/

VOL DAY III confirmado para 24 de março de 2012

2012-01-23T10:23:00.001-03:00

Agende-se!

Em parceria com a rede de ensino La Salle realizaremos a terceira edição do VOL DAY. O evento ocorrerá no campus de Niterói/RJ.

Data: 24/03/2012

Local: La Salle (a 20 minutos do centro da cidade do Rio de Janeiro)
Rua Gastão Gonçalves, 79 - Santa Rosa, Niterói/RJ
CEP: 24240-030

ATENÇÃO PALESTRANTE: Chamada de trabalhos em aberto. Envie sua proposta!

Maiores informações: http://volcon.org/volday3/

Inscrições em: inscrição.

Vagas limitadas! Todo mundo virá, menos a Luiza, que estava no Canadá.

RIP SOPA and PIPA

2012-01-20T18:28:00.000-03:00

O dia de hoje, 20 de janeiro, deve ser lembrado como o dia em que os internautas venceram. O mundo inteiro fez diversas manifestações e protestos - desde ataques do Anonymous a sites do governo e órgãos relacionados à indústria do entretenimento, até empresas que deixaram seus sites fora do ar para mostrar-se contra o SOPA, ou Stop Online Piracy Act. Depois de tanto barulho, Lamar Smith, o principal apoiador do projeto de lei, abandonou a causa.

Segundo o Mashable, o Senador retirou o projeto "até que haja um amplo acordo sobre uma solução". Ele ainda comentou que o roubo de propriedade intelectual americana não é diferente de roubar um produto em uma loja, continua sendo ilegal e a lei tem que ser reforçada em ambos os aspectos.

Porém, Smith admite que há a necessidade de rever a abordagem a ser tomada para resolver o problema que, segundo ele, é causado por "ladrões estrangeiros que roubam e vendem produtos e invenções americanas".

De acordo com Smith, esse "roubo de propriedade intelectual americana" ocasiona um prejuízo de mais de US$100 bilhões (cerca de R$170 bi) anuais para a economia dos EUA, além de causar a diminuição de centenas de empregos no país.

Já a votação para o PIPA, ou Protect IP Act, foi adiada "devido aos recentes acontecimentos", segundo o Senador Harry Reid. O irônico, aqui, é que esse anúncio aconteceu apenas 2 dias após Reid dizer que não voltaria atrás com o SOPA.

Porém, baixada a poeira das comemorações da vitória da internet, os internautas não podem soltar as rédeas. Para o Anonymous, "o SOPA pode estar morto agora, mas a motivação para a promulgação das leis ainda está viva. Não parem de lutar por uma internet livre. Diga não à censura", concluíram.

Fonte: http://olhardigital.uol.com.br/produtos/digital_news/noticias/adeus,-sopa-lamar-smith,-principal-apoiador,-desiste-do-projeto

Declaração de Mark Zuckerberg Sobre SOPA e PIPA

2012-01-18T15:31:00.001-03:00

A Internet é a ferramenta mais poderosa que temos para criar um mundo mais aberto e conectado. Não podemos permitir que leis sem fundamentação fiquem no caminho do desenvolvimento da Internet. O Facebook se opõe a SOPA e PIPA, e continuaremos opondo-se a qualquer lei que venha prejudicar a Internet.

O mundo atual necessita de lideres políticos que são a favor da Internet. Estamos trabalhando há meses com muitas dessas pessoas no intuito de obter melhores alternativas para essas atuais propostas. Incentivo-os a aprender mais sobre essas questões e incentivar seus congressistas a serem a favor da Internet.

Você pode ler mais sobre nossos pontos de vista aqui:

https://www.facebook.com/FacebookDC?sk=app_329139750453932.

Obs: traduzido de: https://www.facebook.com/zuck/posts/10100210345757211

Paper publicado na revista Espírito Livre

2012-01-17T10:10:00.000-03:00

Pessoal,

meu artigo: "Segurança e Privacidade em Redes Sociais" foi publicado na edição de nº33 da Revista Espírito Livre (Pag. 42).

Segue abaixo o link de download para quem se interessar:

Download

Boa leitura!

[]'s

Título: Que tal participar do “jogo do milhão” somente com perguntas sobre LPI?

2012-01-12T14:08:00.000-03:00

Pessoal,

vejam uma bela ideia da Fuctura - Escola de Software Livre para quem pretende tirar a Certificação LPI-1.

Trata-se de um jogo simples que simula o famoso "Show do Milhão", no intuito de disponibilizar uma espécie de treinamento para as provas 101 e 102.

É bem divertido!

http://www.fuctura.com.br/jogolpi/

OWASP Chapter Recife

2012-01-11T10:04:00.000-03:00

A Fundação Open Web Application Security Project (OWASP) é uma associação profissional de membros globais e está aberta a todas as pessoas interessadas em aprender mais sobre segurança de software.

Felipe Ferraz e Rodrigo Assad tornaram-se membros oficias da OWASP para fomentar a segurança no desenvolvimento de software em Recife.

O Chapter Recife acontecerá no dia 31 de janeiro de 2012, no auditório do Bloco C da Faculdade Mauricio de Nassau.

Para maiores informações acessem: http://owasp.cesar.org.br/

Edição Especial da Linux Magazine sobre o Software Público é destaque entre os downloads

2012-01-06T09:59:00.000-03:00

Em junho de 2011 foi lançada a edição especial da Linux Magazine dedicada ao software público. Disponibilizada gratuitamente, em formato PDF, no portal da revista, esta edição vem mantendo-se entre os downloads mais populares desde o seu lançamento.

Para todos nós, que trabalhamos no Portal do Software Público Brasileiro, isto é mais do que motivo de orgulho, mais do que o reconhecimento de um bom trabalho. Isto é um sinal de que, cada vez mais, as pessoas tomam conhecimento de uma nova forma de economia baseada em bens intangíveis, na livre troca do conhecimento e em um ecossistema onde todos colaboram entre si.

A edição especial da Linux Magazine fez a análise de todas as soluções que estavam disponíveis no portal até a data de seu lançamento e apresentou casos concretos de sucesso em sua utilização. De lá para cá todas estas soluções evoluíram, novas foram adicionadas ao portal e outros casos de sucesso apareceram. E mesmo com tudo isso, a revista não perdeu sua atualidade e continuamos a usá-la como referência em todos os momentos em que vamos apresentar o conceito de software público, nosso portal e as soluções que estão nele.

A edição também nos incentiva a melhorar sempre pois a cada vez que a olhamos já pensamos que, em algum momento, uma nova versão será lançada e teremos muito mais novidades para contar. Certamente teremos!

A edição especial da Linux Magazine pode ser obtida no endereço abaixo:

http://linuxmagazine.com.br/lm/noticia/software_publico_brasileiro_na_linux_maganize_especial

Abraços.

[Alerta de Segurança] - Vulnerabilidade no Kernel que Afeta o Ubuntu 11.10

2011-11-17T20:32:00.001-03:00

Uma vulnerabilidade de segurança no kernel foi descoberta nos pacotes OMAP4, afetando o Ubuntu 11.10, além de outras distribuições.

Vasiliy Kulikov descobriu uma vulnerabilidade do kernel Linux que permite que um atacante local possa ler várias informações sobre o sistema sem nenhuma restrição de acesso, levando a perda de privacidade.

Correção:

Esta falha de segurança (CVE-2011-2494) pode ser corrigida se você atualizar seu sistema para o pacote de kernel linux-image-3.0.0-1206-omap4 (3.0.0-1206.12).

Não se esqueça de reiniciar o computador após a atualização!

Fonte: Seja Livre

Palestra no III COALT - Congresso de Tecnologia da Informação

2011-10-04T15:22:00.004-03:00

Pessoal,

a alguns meses fui convidado para palestrar num evento que ocorrerá em Maceió esse mês: (III COALT - Congresso de Tecnologia da Informação).

O evento contará com diversas palestras técnicas, painéis, minicursos e casos nas áreas empresarial, acadêmica e publica do uso de Tecnologia da Informação. A minha palestra terá como tema: Segurança e Privacidade em Redes Sociais e ocorrerá dia 29/10/2011 as 15:00 horas no Salão Graciliano Ramos.

O melhor de tudo é que durante o evento terei a oportunidade de está ao lado de algumas feras do software livre, como por exemplo, Leslie Hawthorn (Ex-gerente Google responsável pelo Google Code-In), Marcelo Tosatti (responsável pela manutenção do Kernel Linux durante 5 anos), Júlio Neves, Eriberto Motta e etc.

Estão todos convidados.

[]'s

Os segredos mais profundos da sua empresa estão a apenas um tweet de distância

2011-09-25T11:34:00.000-03:00

Matéria publica no Blog Caixa de Entrada:

Seus funcionários estão usando redes sociais no trabalho, seja isso permitido ou não. O problema? De acordo com pesquisas da Panda Software, um terço das pequenas e médias empresas sucumbiram às infecções de malware distribuídas através de redes sociais, enquanto que quase um caem cada quatro organizações enfrentaram vazamentos de dados confidenciais.

“O comportamento de pessoas usando a mídia social é como o seu comportamento através de e-mail há 10 anos”, diz Rene Bonvanie, vice-presidente de marketing mundial da Palo Alto Networks. “Com o e-mail, nós aprendemos a nunca clicar em nada. Mas por dentro da mídia social, as pessoas clicam em cada URL porque confiam no remetente. É por isso que botnets controladas há cinco anos estão voltando à ativa agora, via redes sociais. É um grande risco.”

Mesmo as organizações que usam soluções de segurança para mídias sociais ou ferramentas de prevenção de perda de dados não podem impedir que os fãs do Facebook ou do Twitter vazem segredos da empresa ou outros fatos embaraçosos para o mundo, diz Sarah Carter, vice-presidente de marketing da Actiance, fabricante ferramentas de segurança Web 2.0.

“O mais importante é a educação”, diz Carter. “Educar, reeducar e educar novamente. Coloque a tecnologia de treinamento de soluções no lugar, onde você pode lembrar os usuários sobre os riscos e também sobre a política da empresa para uso de sites não são relevantes para os negócios.”

Matéria completa: Blog Caixa de Entrada

Default Password List

2011-08-31T10:27:00.000-03:00

Pessoal,

segue abaixo um link para uma lista bem interessante, que exibe uma enorme quantidade de passwords padrões de diversos equipamentos:

http://www.phenoelit-us.org/dpl/dpl.html

As informações exibidas na lista são:

Vendor

Model

Version

Access Type

Username

Password

Privileges

Notes

Procurem sempre mudar os dados de acesso padrões dos seus equipamentos, por que a rede está cheia desse tipo de lista.

Até a próxima!

[Off-topic] - Você sabe com quem está falando?

2011-08-31T10:00:00.000-03:00

Pessoal,

hoje a noticia que mais repercutiu nos sites de relacionamento foram às mensagens de preconceitos desferidas para nós Nordestinos. Alguns dos personagens que protoganizaram essa desprezível atitude foram: @_AmandaRegis, @maurilioavellar, @alinepetrin e @fellipe_cap, que provavelmente já excluíram suas contas devido a isso: http://bit.ly/j4nVe0

Bom, o intuito desse post não é dá ênfase a esse tipo de noticia que alem de ser uma total falta do que fazer, não acrescenta nada a ninguém.

O verdadeiro objetivo do post é fazer com que todos assistam esse vídeo:

Nele nós temos a resposta para a pergunta: "Você sabe com quem está falando?"

Reflitam!

Lançada edição n.28 da Revista Espírito Livre!

2011-08-08T10:07:00.001-03:00

Pessoal,

Foi lançada a edição de numero 28 da revista Espírito Livre.

Para fazer download da revista basta acessar o link abaixo da figura:

Nota de lançamento e download

Abraços.

Palestra no I Seminário de Gestão, Tecnologia e Informação

2011-05-24T23:49:00.002-03:00

Pessoal,

Amanhã estarei palestrando sobre Privacidade e Segurança em Redes Sociais no I Seminário de Gestão, Tecnologia e Informação, evento que acontecerá no IFPE.

Gostaria de convidar a todos para participarem desse encontro, que visa reunir representantes da comunidade acadêmica e do setor produtivo na aplicação da Gestão, Tecnologia e Informação, para a melhoria dos processos. Seus principais objetivos são discutir e divulgar os avanços recentes destas tecnologias, promovendo a articulação de ações entre pesquisadores e empresas que atuam no setor, através de palestras, mesas redondas e mini-cursos.

Maiores informações e inscrições no link abaixo:

http://www.recife.ifpe.edu.br/seminariogti/programa.html

[Off-topic] - Meu anjo Nasceu!

2011-05-16T13:54:00.001-03:00

Pessoal,

Acho que agora eu conheço o verdadeiro sentido da palavra amor!

Fotos:

http://www.flickr.com/photos/62953853@N04/with/5726394215/

Abs,

Vulnerabilidade no Skype para Usuários do MAC

2011-05-10T17:07:00.001-03:00

Atenção usuários MAC,

A equipe do Skype planeja lançar uma importante atualização pro Skype de Mac nos próximos dias que vai corrigir um bug que pode ser explorado para disseminação de worms, detalhes da falha não foram publicados. Mas o bug é grave, de acordo com Gordon Maddern, pesquisador de segurança Australiano que reportou o problema para a [empresa] Skype. “Um atacante só precisa mandar para a vítima uma mensagem, e daí ganhar controle remoto do Mac da vítima”, escreveu Maddern em um blog. “É extremamente disseminante e perigoso”.

De acordo com o Diretor Executivo de Segurança da Informação da Skype, Adrian Asher, a falha não afeta usuários Windows ou Linux. A correção para os usuários de Mac está prevista para os próximos dias, mas as pessoas conscientes de segurança já podem baixar um “hotfix” que a Skype lançou em 14 de Abril. No entanto, até agora, eles não passaram o patch publicamente aos usuários. Por “não haver relatos dessa vulnerabilidade estar sendo explorada ainda, nós não oferecemos a instalação do update aos usuários”, disse Asher.

Usuários Mac que queiram consertar agora podem clicar em Skype ==> Check for Updates, ou podem baixar os updates mais recentes do site do Skype.

Via: Skype to Fix Wormable Bug in Mac Software

Fonte: http://www.seginfo.com.br/

Fotos do evento Ubuntu 11.04

2011-05-03T14:40:00.001-03:00

Pessoal,

Foram divulgadas as primeiras fotos do evento do Lançamento do Ubuntu 11.04.

O evento foi na UPE/Poli, em Recife, e contou com um auditório e duas salas de aula. Cerca de 320 pessoas compareceram, mesmo com a chuva que deu na madrugada.

Público da minha palestra

Minha Palestra sobre Honeypots

Palestra no Lançamento do Ubuntu 11.04 (Natty Narwhal)

2011-04-25T16:38:00.001-03:00

Pessoal,

Nesse próximo sábado estarei apresentando meu trabalho sobre Honeypots no Lançamento do Ubuntu 11.04, evento que acontecerá na POLI – UPE Recife.

Gostaria de convidar a todos para participarem do evento, que tem com principal intuito difundir a nova versão do Ubuntu e a importância da utilização de Softwares Livres em casa e no trabalho. E lógico, se possível, assistir minha palestra que ocorrerá as 11:00 horas.

Sobre o evento:

Gratuito, mas com limite de participantes.
Dia: 30/04/2011, sábado, 9h às 12h30 - POLI - UPE Recife
Sorteio de canetas e adesivos Ubuntu, revistas Ubuntu Users e descontos na Academia Linux da Fuctura.
Consulte programação

Alerta de Segurança: Explorando celulares Android via Web

2011-03-16T16:29:00.001-03:00

Pessoal,

segue um post bastante interessante para os usuários do Android.

http://www.vivaolinux.com.br/artigo/Explorando-celulares-Android-via-Web-com-airbaseng

A melhor forma de resolver isso:

Entre outras possibilidades de âmbito mais técnicas para evitar esse tipo de ataque, como por exemplo, a citada pelo autor do texto, onde se deve fazer a atualização do sistema, visto que as versões mais recentes já vêm com patch de correção da vulnerabilidade. O principal mesmo ainda é: não conectar em uma rede não “Confiável”, ou ao menos numa rede totalmente desconhecida.

Fica ai a dica!

Abs,

II Workshop de Software Livre - #WSL

2011-03-16T11:38:00.001-03:00

Divulgação do II Workshop de Software Livre por Adriano Melo. Evento organizado pelo CInLUG e apoiado pelo Centro de Informática e DA de Computação.

Seguindo com a tradição do CInLUG de realizar workshops e palestras para os calouros do CIn, esse semestre o evento terá algo muito especial, um evento com 12 dias de duração! Mas desta vez, não será dirigido apenas aos calouros. Professores, estudantes do cin e de outros centros, profissionais de informática e todos que quiserem conhecer mais sobre o mundo open source serão bem vindos!

Serão 10 mini-cursos, um dia com palestras e um coding DOJO em parceria com o PUG-PE!

O WSL começará dia 21 de março e terminará dia 02 de abril!

Entre os dias 21/03 e 01/04 serão disponibilizados mini-cursos com os seguintes temas:

Linux
Python
Ruby (Essa mini-curso será ministrado pelo amigo @lailsonbm e @guilherme_vc)
HTML5
Django
Blender (Já assistir essa palestra do Eraldo. É muito boa!)
QtQuick
Vim
Git
PyGame

Para mais detalhes sobre cada curso, confira o portal do evento: http://wsl.cinlug-br.org

Dia 02/04, que é um sábado, ocorrerão palestras e o coding DOJO.

Serão cerca de 8 palestras. Os temas cobertos por elas serão diversos, vão desde a evangelização do software livre a trabalhos de mestrado. Todos que tiverem o interesse de saber mais sobre a cultura FOSS, fazer networking e se engajar na comunidade, está mais do que convidado a participar!

Inscrições? Não haverá!

Para assistir a um dos mini-cursos, basta chegarem ao laboratório no horário descrito na programação. A maioria dos cursos será das 17:00 às 21:00. 4 horas de duração.

Para acompanhar mais sobre o evento, assine a lista do cinlug ou siga o twitter @cinlug.

Evento: II Workshop de Software Livre

Local: Centro de Informática – UFPE

Salas: Laboratório de Graduação G4 (mini-cursos) e Anfiteatro (palestras)

Inscrições: Não há inscrições, a entrada é LIVRE!

Fonte: http://wsl.cinlug-br.org

Alerta de Segurança: DoS via HTTP POST

2011-03-04T09:35:00.001-03:00

Pessoal,

nesses últimos dias estive estudando (projeto da especialização) uma nova modalidade de DoS que ainda será um grande desafio para os especialistas de segurança. De que se trata? Antes de qualquer coisa devemos relembrar a arquitetura OSI: http://pt.wikipedia.org/wiki/Modelo_OSI.

Antigamente as modalidades de DoS exploravam bugs existente em protocolos da camada de transporte (4º do OSI), atualmente (2009 - atual), surgiram novas modalidades de DoS que exploram a camada de aplicação (7º do OSI), e quando chega nesse nível amigo o bicho pega.

A eficiência nesse tipo de ataque se dá principalmente pelo fato de que conexões UDP ou TCP são legitimas, o ataque precisa enviar menos conexões para derrubar o serviço e por que atinge o limite de recursos do serviço mesmo que haja grande poder de hardware. Existem algumas modalidades de DoS na camada 7, porem vou tratar apenas do HTTP POST.

HTTP POST DoS ATACK

Foi descoberto em 2009 por esse cara aqui: Wong Onn Chee e sua equipe.

Como o próprio nome sugere, o ataque usa HTTP POST. Nesse caso o campo “Content Length” no HTTP Header diz ao servidor Web o quão grande será o corpo da mensagem, por exemplo: “Content-Length = 100”. Então o HTTP Header é enviado com o máximo de tamanho para o servidor via post, e isso é transparente para qualquer sistema de proteção. O perigo do ataque é justamente por que o servidor vai esperar o campo “Content Length” até poder receber o resto da mensagem, isso é feito para que os servidores Web possam atender a usuários com conexão lenta ou intermitente:

Principais características:

Dificuldade pra se identificar conexões que estão fazendo o ataque de conexões que são simplesmente lentas.
Esse tipo de ataque se esquiva de detecções feitas em alguns sistemas na 4º camada;
Mesmo que por padrão, Servidores IIS não tenham número máximo de conexões, o servidor vai cair com 20.000 conexões de negação de serviço HTTP e como tinha falado isso é independentemente da capacidade do hardware
Praticamente todos os sites que tem “forms” e que usa na form o método POST para enviar os dados são suscetíveis a ataques.
Servidores Apache precisam de menos conexões para ser derrubados, devido ao limite de clients ou threads no httpd.conf.
Servidores IIS 6.0 é vulnerável mesmo sem haver alguma form no site, ISS 7 e adiante precisa da presença se form.
Tamanho, tipos de caracteres e tempo podem ser randomizados, visando a não detecção por sistemas anti-DoS que atuam na camada de aplicação.

Soluções para minimizar o risco:

Apache: mod_reqtimeout e LimitRequestBody directive.
Estabelecer uma velocidade mínima para o acesso, isso com base na média de velocidade que os usuários do site têm.
IIS: nenhuma resposta da Microsoft quanto a possíveis proteções. Ficamos no aguardo.
Limitar o tamanho máximo que cada requisição/envio via post pode ter.

É importante ressaltar que a Microsoft e a Apache já reconheceram que é realmente um bug no protocolo, porém a Apache disse que essa falha é conhecida, mas é uma falha de protocolo e não do software e a Microsoft reconheceu também que era uma falha, mas que não tem planos de lançar uma correção (patch) para isso.

Atenção: desde que esse tipo de ataque foi descoberto já foram lançadas duas ferramentas.

OWASP HTTP Post Tool

r-u-dead-yet (RUDY)

[]'s

Dez novas e engenhosas técnicas hackers

2011-01-29T09:57:00.001-03:00

Galera, dêem um olhada nisso!

O texto, não é lá essas coisas. Os vídeos, entretanto, são de 1º linha!

http://www.gizmodo.com.br/conteudo/dez-novas-e-engenhosas-maneiras-de-os-hackers-controlarem-ou-consertarem-nossas-maquinas/

Créditos: para os amigos Erick Passos e g0dkar

[]'s