ZeroDay | Кибербезопасность

❔Через что проходит сервер перед релизом? Узнайте на экскурсии по лабораториям YADRO

В ноябре и декабре YADRO проводит экскурсии по своим лабораториям в Санкт-Петербурге и Москве. В программе тестовые стенды, серверы, системы хранения данных и телеком-оборудование, а также разговоры с инженерами, которые всё это проверяют.

◾Санкт-Петербург — 12 ноября и 1 декабря
◾Москва — 17 ноября и 8 декабря
Сбор гостей в 18:30, старт в 19:00.

Участие бесплатное — нужно зарегистрироваться и дождаться подтверждения от организаторов. Возраст участников — от 18 лет.

👉 Зарегистрироваться

Реклама. ООО "КНС ГРУПП". ИНН 7701411241. erid: 2W5zFGUJq7p

3 топовых приёма для пентестинга

👋 Приветствую в мире цифровой безопасности!

Собрал ещё три приёма для проверки веб-приложений. На первый взгляд мелочи, но иногда именно в них прячутся интересные уязвимости.

⏺Mass Assignment - сервер может принимать поля, которых вообще нет в интерфейсе. Например, обычный запрос на изменение профиля:

PATCH /api/profile HTTP/1.1
Content-Type: application/json

{“name”:”Alex”,”email”:”alex@example.com”}

А что, если добавить isAdmin?

{“name”:”Alex”,”isAdmin”:true}

Если бэкенд без разбора сохраняет переданные поля, пользователь может изменить то, к чему у него не должно быть доступа.

⏺HTTP Method Override - некоторые серверы позволяют переопределять метод запроса через заголовок:

POST /api/users/42 HTTP/1.1
Host: example.com
X-HTTP-Method-Override: DELETE

Прокси видит POST, а приложение может обработать его как DELETE. Если проверки безопасности учитывают только исходный метод, появляется шанс обойти ограничения.

⏺JSON Type Confusion - попробуйте вместо ожидаемой строки передать массив:

{“userId”:”42”}

Заменяем на:

{“userId”:[“42”]}

Если API, промежуточный сервис и бэкенд по-разному работают с типами данных, могут возникнуть ошибки в проверках доступа и сравнении значений. Особенно стоит присмотреться к API, где запрос проходит через несколько компонентов. Главное, проверять не только ответ сервера, но и то, изменилось ли поведение приложения.

ZeroDay | Белый Хакер | #пентест

5 неочевидных фишек Bash

👋 Приветствую в мире цифровой безопасности!

Bash умеет не только запускать команды. Некоторые его особенности помогают находить подозрительный код, скрытые обработчики и ошибки безопасности в скриптах.

⏺Проверяем подмену команд. В Bash функция может называться так же, как системная утилита:

type -a ssh
declare -f ssh

Если вместо /usr/bin/ssh вызывается функция, стоит проверить её содержимое. Она может незаметно выполнять дополнительные действия.

⏺Ищем скрытые обработчики. Bash позволяет запускать код перед командами через DEBUG trap:

trap -p DEBUG

А PROMPT_COMMAND выполняется перед появлением приглашения интерактивной оболочки:

declare -p PROMPT_COMMAND

Оба механизма могут использоваться для незаметного выполнения команд.

⏺Записываем трассировку отдельно. Вместо смешивания вывода bash -x с ошибками отправим трассировку в файл:

exec 9>trace.log
BASH_XTRACEFD=9 bash -x suspicious.sh
exec 9>&-

Удобно при разборе сложных скриптов. Но запускать неизвестный код нужно в изоляции: трассировка не защищает от его действий и может раскрыть секреты.

⏺Разбираемся с косвенными переменными. Bash позволяет обращаться к переменной, имя которой хранится в другой:

target=PATH
printf ‘%s\n’ «${!target}»

В подозрительных скриптах ${!var} может усложнять анализ: заранее не всегда очевидно, какая переменная будет прочитана.

⏺Ловим ошибки в конвейерах. По умолчанию Bash возвращает статус последней команды:

false | true
echo $?  # 0

Но с pipefail ошибка не потеряется:

set -o pipefail
false | true
echo $?  # 1

Особенно полезно в скриптах проверки целостности, обработки логов и резервного копирования.

ZeroDay | Бункер Хакера | #bash

Человек, который придумал взламывать пароли с помощью словаря

👋 Приветствую в мире цифровой безопасности!

Сегодня расскажу о Роберте Моррисе-старшем, одном из первых исследователей компьютерной безопасности. Ещё в 1970-х он показал, почему даже зашифрованные пароли могут оказаться бесполезными, если люди выбирают слишком предсказуемые комбинации.

⏺В то время Моррис работал в Bell Labs над Unix. Система уже использовала довольно продвинутый для своего времени подход: вместо хранения паролей в открытом виде сохранялись результаты их одностороннего преобразования. Но оставалась проблема, которую криптография сама по себе не решала.

⏺Вместе с Кеном Томпсоном Моррис исследовал, насколько легко угадывать пользовательские пароли. Оказалось, что многие выбирают обычные слова, имена и простые комбинации. Вместо перебора всех возможных символов достаточно проверить сравнительно небольшой словарь популярных вариантов.

⏺Идея была простой: взять предполагаемый пароль, вычислить его хеш с учётом соли и сравнить с сохранённым значением. Если совпало, пароль найден. Такой подход позволял проверять множество кандидатов без попыток входа в систему. Не нужно было отправлять запросы на сервер или сталкиваться с ограничениями количества авторизаций.

⏺Моррис также участвовал в разработке механизмов защиты Unix. Его работа помогла сформировать подход, при котором безопасность зависит не только от алгоритма шифрования, но и от поведения пользователей, устройства системы и способов хранения секретов.

⏺Позже он стал первым главным научным сотрудником Национального центра компьютерной безопасности АНБ США, где занимался защитой государственных компьютерных систем.

⏺Есть у этой истории и любопытное продолжение. Его сын, Роберт Тэппан Моррис, в 1988 году создал знаменитого червя Morris Worm, который вывел из строя значительную часть тогдашнего интернета.

ZeroDay | Белый Хакер | #история

Маршрут построен: выбираем свой путь в ИБ

Защита или пентест, вендор или интегратор, собственная практика или большая компания — у карьеры в кибербезопасности много сценариев.

На public talk от K2 Кибербезопасность:

✅ разберем плюсы и минусы разных карьерных треков
✅ сравним работу в Blue и Red командах
✅ обсудим, как не потеряться среди множества ролей

После — попрактикуемся проходить собесы, поедим пиццу и разыграем мерч.

Кому будет интересно?
Студентам технических и ИБ-специальностей

🗓 26 ноября, 18:00
📍 Москва, офлайн

Участие бесплатное, не забудь зарегистрироваться