P.S. С такой х…ей можно выступить на Defcon

P.P.S. Это не шутка, чел рили на Defcon в LA с этим выступил.

#android

Прикольная статья, как работает и хитрит Android-банкер

https://xakep.ru/2019/08/14/cerberus/

Рекомендую.

“Вредонос считывает данные с акселерометра и, используя простой шагомер,….Это помогает избегать запуска на тестовых устройствах или в песочнице.”

#android

Зачитался статьей про безопасность хранения данных на Android девайсах. Очень круто Олег Афонин расписал все архитектурные и кастомные проблемы девайсов и пользователей.
Если задаетесь вопросом насколько безопасен ваш Android девайс при попадении в руки третьим лицам, обязательно ознакомьтесь.

https://blog.elcomsoft.com/ru/2019/07/antikriminalistika-kak-zashhitit-smartfon-na-android/

#webinar

Алоха!
Через 20 минут проведу водянистый вебинар про безопасность облаков, подход в тестировании, новые сложности для владельцев сервисов и немного про сложности для пентесетров.
Ничего пушечного не обещаю, но буду рад всех видеть)

https://cloud.croc.ru/blog/pochemu-krok-oblachnye-servisy/webinar_05092019/?fbclid=IwAR388DT8xoIm-oIGwKZhXUZ3Zy-yyKCfp0iaXWbb6RMt7ygFkVS6gwP57Q8#webinar

#secespresso

Сегодня в Кишеневе по приглашению выступаю со своей презентацией по атакам на Android Activity.
Может удастся затащить местный ctf'чик. ;)

#kube

Kubernetes security cheat-sheet:

- Security notes
- Security hardening and best practices
- Security flags checklist
- Attacker's guide
- Vulnerabilities

The research was conducted during Summ3r 0f h4ck traineeship.

https://github.com/kabachook/k8s-security

#knowledge #beginners

Небольшой набор подкастов про все что связано с ИБ. Думаю, что будет полезно новичкам и интересно остальным заинтересованным в области.

https://hochu-v-ib.ru/

Гости:
#1 – Дмитрий Волков, GroupIB
#2 – Омар Ганиев, DeteAct
#3 – Алексей Мещеряков, Яндекс

«Хочу в ИБ» – подкаст для тех, кто задумывается о работе в области информационной безопасности или только начинает свою карьеру в данном направлении.

#conference #meetup

Сегодня выступил в офисе компании Exness на Кипре с докладом на тему:
"Анализ защищенности мобильного API. Что бывает когда ваш код пишут за вас."

Выложу здесь получившуюся презентацию. Посмотрите в презентации топ 5 примеров уязвимостей из последних моих 5 проектов по анализу защищенности мобильного API. Уверен всем, кто занает толк в багах, понравится;)

#xss #portswigger

This XSS cheat sheet contains many vectors that can help you bypass WAFs and filters. You can select vectors by the event, tag or browser and a proof of concept is included for every vector.

https://portswigger.net/web-security/cross-site-noscripting/cheat-sheet

#work

Увидел классный канал от ребят из r0crew, который собирает с HH.ru вакансии связанные с ИБ. Будет очень полезно тем, кто ищет что-то интересное.

https://news.1rj.ru/str/r0_jobs

#mobile #android

Действительно годный гайд по анализу защищенности мобильных приложений Android: https://nightowl131.github.io/AAPG/

Для себя что-то новое, что и как стоит искать.

Надо же как, именно сегодня эта возможность пригодилась. Всем советую держать в голове, что так можно.

Заметки на полях

Довольно часто в Burp Suite требуется профазить какой-либо заенкоженный параметр, например, поле username в basic authorization, или значение userid внутри заенкоженного параметра cookie. Например, session=eyJhdXRoIjp7InVzZXJpZCI6ImFkbWluIiwidXNlcnRva2VuIjoiMTIzNDUifX0= ( {"auth":{"userid":"admin","usertoken":"12345"}} ).

В таком случае из стандартных средств нам подойдёт только Burp Intruder. Однако тогда не получится использовать Active Scan и дополнительные экстеншны, а устраивать танцы с бубнами вокруг составления итогового payload с последующим енкодингом - потраченное время и никакого удовольствия.

Но нас может выручить полезный экстеншн - Python Scripter. После его подключения появляется отдельная вкладка - Script, куда мы можем вписать свои скрипт для питона. Таким образом алгоритм работы следующий: декодим нужную cookie в Repeater или Intruder, устанавливаем место для фазинга (через scan manual insertion points или спец символ в Intruder), а во вкладке Script - пишем скрипт по енкодингу в base64. После этого - отправляем запрос на активное сканирование.

Для енкодинга нужных параметров мы используем следующие скрипты (https://github.com/mis-team/burpnoscripts):

1. В скрипте param-replacer.py необходимо указать:
- header и/или GET/POST параметр, который необходимо енкодить,
- функции енкодинга: processHeader, processParam (в скрипте написан base64)
- место, куда вставлять заенкоженный параметр (GET, POST, COOKIE).

2. Скрипт fuzz-replacer.py - альтернативный и более удобный вариант. Теперь наоборот - место енкодинга в запросе необходимо "обернуть" в FUZZ (как в знаменитом web фазере), а скрипт уже распознает его и сделает все сам.

Команда Информзащиты, и в частности несколько моих друзей, едут в Абу-Даби (ОАЭ), чтобы поучаствовать в HITB Cyberweek CTF, где поборются за приз в 100 000 долларов США.

Поэтому случаю они создали канал, где можно будет посмотреть за происходящим. Надеюсь события будут описываться максимально красочно и подробно)

О чем речь?
В мае этого года на PHDays 9 Рома Алферов выиграл STANDOFF. Т. к. он работает в ИЗшечке, то победила команда True0xA3.
Главным призом были деньги, вечная слава и поездка на CTF в формате Attack-Deffence (это не точно).
И вы бы никогда не увидели этот канал, если поездка не была бы в Абу-Даби (ОАЭ) и мы не играми против самых топовых команд мира:
- PPP
- saarsec
- Bushwhackers
- True0xA3
- Dragon Sector
- LC↯BC
- etc
В этом канале я буду публиковать новости, личное мнение и фоточки))

Стартанула Made by Google’19

https://www.youtube.com/watch?v=GAcK1q2j7e0

#workshop

В HackerU (У станции метро Тульская) пройдет воркшоп на тему “Разработка Android-приложения с помощью Kotlin”.

Разрботка на котлин не самое веселое занятие, а вот описание очень привлекло “На воркшопе поговорим о том, что нового привнес Kotlin в мобильную разработку, и напишем приложение для анализа Wi-Fi сетей.”

Кому интересно, сюда:
https://hackeru.timepad.ru/event/1095706/

#news

Бизоны открыли свой канальчик: https://news.1rj.ru/str/bizone_channel

Подписываемся, ставим лайки, жмем на колокольчик!

#Highload++

В эти четверг и пятницу буду на Highload++. Если кто тоже собирается, пишите, можем пересечься!

В пятницу, кстати, поучаствую в митапе от Валарм, на тему DevSecOps, заходите на прохладную))

Изи CTF на хайлоаде;)