Гайд по охоте на атаки MS Exchange. Часть 1: ProxyLogon

С конца 2020 года резко выросло число инцидентов, так или иначе связанных с компрометацией сервера MS Exchange и его компонентов. Мы решили подробно изучить векторы атак на сервер, разработать методы их обнаружения и поделиться своим опытом.

Первую часть гайда посвятили уязвимостям ProxyLogon (CVE-2021-26855, 26858, 27065, 26857). Эксплуатируя их, атакующий, например, может выдать себя за администратора и аутентифицироваться в панели управления Exchange (ECP), а потом перезаписать любой файл в системе.

Мы показали, как при помощи штатных событий операционной системы и журналов Exchange можно в реальном времени засечь атаки с использованием ProxyLogon, а также обнаружить следы атак, осуществленных в прошлом.

Подробнее читайте в нашем материале.

Сегодня я ...

Не то чтобы я параною, но мне понравилось:

https://www.youtube.com/watch?v=3f66kBwfMto

Да, да, да, всякие видяшки и прикольчики никогда не скоро кончатся. Со дня на день упадет прикольный контент, just wait…

Написал статейку, надеюсь вам будет полезно:

https://xakep.ru/2021/05/13/burp-stepper-intruder/

Список однострочных веб-серверов для раздачи статики: https://gist.github.com/willurd/5720255

Сегодня отвыступался на PHDays. Для тех кто не успел, но хотел: https://youtu.be/ZNW19Cu2SAw

Преза

В этот раз мы (True0xA3) отвоевали первое место на The Standoff!

Это было офигенно. Даже если не смотреть на результат это было мега крутое приключение.

В этом турнире нельзя победить без технической эрудиции, скорости и отточенности действий, слаженности команды. Это не в коем случае не цтф. Это такой же сложный процесс как и тот что происходит в реальной жизни.

Если ты не успел - ты опоздал, если ты не знал - ты проиграл. И от этого этот процесс становится ещё азартнее. Некоторые возможности возникают в игре только однажды, и только самый подготовленный, удачливый, сообразительный может их взять. Жестоко? Да! Не справедливо? Не думаю. Будь сильным, будь готовым, делай все что у тебя есть, и ты становишься победителем!

Огромная благодарность моей команде. Ни кто из нас не был лучшим по отдельности, ни кто из нас не перетягивал одеяло. Каждый внёс свой вклад, который нельзя оценить. Без любого из нас, мы могли поиграть.

Здесь я перечислю победителей, чтобы вы знали их имена. Это сильнейшие командные игроки, хакеры, эксперты:

Иван Булавин - капитан команды!
Павел Шлюндин
Роман Алфёров
Азиз Алимов
Сергей Гилев
Андрей Рогожкин
Константин Костеневский
Алексей Хайдин
Сергей Колесников
Саид Эфендиев
Николай Топорков
Илья Яценко
Никита Чистяков
Егор Богомолов

Огромное спасибо организаторам, что своими усилиями дали возможность нам себя проявить!

Ждём следующего раза!

Пусть тут полежит, для одного квеста;)

А вот и русские хакИры подъехали:

https://abcnews.go.com/Technology/video/hacker-conference-brings-top-cyber-players-russia-78030162

Десятая конференция ZeroNights пройдет 30 июня в летнем Санкт-Петербурге! 📢

В 2021 году в десятый раз прой­дет ZeroNights – еже­год­ная меж­дународ­ная кон­ферен­ция, пос­вящен­ная прак­тичес­ким аспектам информа­цион­ной безопас­ности.

Ничто не заменит нам энергию живого общения! Поэтому приглашаем отметить свое десятилетие в неформальной обстановке 30 июня в пространстве «Севкабель Порт». Вас ждет насыщенный день и мощная программа с тематическими активностями.

Для кого?
Для тех­ничес­ких спе­циалис­тов, адми­нис­тра­торов, руково­дите­лей и сот­рудни­ков служб ИБ, пентестеров, прог­раммис­тов и всех, кто инте­ресу­ется прик­ладны­ми аспектами отрасли.

Что будет?
– Док­лады клю­чевых спи­керов и выс­тупле­ния основной прог­раммы (клу­б «МОР­ЗЕ»).
– Выступления секций Defensive Track, Web Village и Hardware Zone в фор­мате open-air.

Подробности, программа и билеты на сайте — https://zeronights.ru/

P.S. Сам там буду, всех приглашаю там повидаться 😉

Всех заинтересованных приглашаю поучаствовать, у ребят обычно отменные таски.

Регистрация команд на CTFZone 2021 открыта!

Она завершится 23 июня в 13:00 (10:00 UTC) за 3 дня до начала соревнований — поэтому аккуратно, не пропустите.

🚩
Начало CTFZone: 26 июня в 13:00 (10:00 UTC)
Длительность: 13 часов 37 минут
Формат: гибридный — Jeopardy + A/D + Game Task
Призовые: $10 000, $5 000, $3 000
🚩

Пару слов о новинках. В этом году мы решили провести CTFZone в совершенно новом формате — Jeopardy + A/D + Game Task!

Задания в Jeopardy и A/D останутся в своем классическом исполнении, а вот об игровом таске участники узнают уже на самом CTF. Коротко его механику можно описать так: «машины сражаются с машинами в памяти компьютера».

Будет весело! Всех ждем!

Подробности и регистрация: https://ctf.bi.zone/rules

⁤Мне наконец-то удалось плотно поработать с реверсом Android-приложений. Если раньше хватало Burp'а для анализа трафика, чтобы посмотреть простенькие запросы к API (для OSINT'а, например), а дальше заглядывать было лень, то в этот раз сама жизнь заставила и пришлось немного углубиться в тему.

В основном, я использовал Frid'у (просто незаменимый и очень-очень удобный фреймворк) и некоторые тулзы для сборки/декомпиляции/подписи/просмотра исходного кода, о которых, возможно, напишу в следующих постах.

Для тех, кто хотел вкатиться, вот все ресурсы, которые были мною использованы для обучения, думаю, будет полезно.

Вводные статьи по Java:
https://docs.oracle.com/javase/tutorial/
https://beginnersbook.com/java-tutorial-for-beginners-with-examples/
https://www.tutorialspoint.com/java/java_tutorial.pdf

Шпаргалка по Smali на русском:
*выше на канале*

Цикл видосов по Android Reverse Engineering:
https://www.youtube.com/watch?v=BijZmutY0CQ

Канал "Android AppSec" на Youtube:
https://www.youtube.com/channel/UC5bY16WSEa_ttTPqj8aTeIw/videos

Подробнейшая инструкция по настройке рабочего окружения:
https://blog.cobalt.io/getting-started-with-android-application-security-6f20b76d795b

Документация Frida + Codeshare и сниппеты:
https://frida.re/docs/javanoscript-api/
https://codeshare.frida.re/
https://github.com/iddoeldor/frida-snippets

Бложики со статьями, наполненные одами о Frida:
https://grepharder.github.io/blog/
https://neo-geo2.gitbook.io/adventures-on-security/
https://joshspicer.com/android-frida-1
https://11x256.github.io/
(на русском: https://forum.reverse4you.org/t/android-frida/1128)

Статья на Zennolab о Frida:
https://zennolab.com/discussion/threads/android-na-post-get-s-pomoschju-frida-server-burpsuite-i-bonus.79264/

Статья на Xakep о Frida:
https://xakep.ru/2018/03/19/android-frida/

Самые полезные и полные гайды с большим количеством примеров (Tiktok и Frida):
https://www.fatalerrors.org/a/code-and-example.html
https://www.fatalerrors.org/a/0d901j8.html

Райтапы ØxＯＰＯＳɆＣ, связанные с криптографией:
https://inesmartins.github.io/oposec-don-joe/
https://inesmartins.github.io/oposec-secrets/
https://inesmartins.github.io/htb-crypto-challenge-call/
https://inesmartins.github.io/htb-crypto-challenge/
https://inesmartins.github.io/oxopos-c-summer-challenge-2020-web-challenges-write-up/
https://inesmartins.github.io/0xoposec/

Отдельно выделю их же цикл статей "Undeground Leaks":
https://inesmartins.github.io/oposec-underground-leaks/
https://inesmartins.github.io/oposec-underground-leaks-part-ii/
https://inesmartins.github.io/opoleaks-underground-leaks-part-iii/

Если есть что добавить, кидайте в обратную связь, - запилю отдельный пост.

Всем привет.

Перенос даты ZeroNights на август 2021

Друзья!
Организаторы готовились к юбилейному мероприятию и ждали встречи с вами два года: забронировали одну из лучших и самых живописных площадок города, отобрали самые сильные доклады и сформировали мощную программу.

Однако в связи с неутихающим распространением инфекции и недавним ужесточением антиковидных мер в г. Санкт-Петербург в планах произошли непредсказуемые изменения. Теперь наша долгожданная встреча переносится на август.

Новая дата конференции – 25 августа 2021. Место остается то же – “Севкабель Порт”.

Для участников, которым не подходит эта дата, мы предусмотрели процедуру возврата билетов.

При возврате до 30 июня стоимость всех купленных билетов будет возмещена в полном объеме. После 30 июня – от суммы будет удержана комиссия. Если возникнут вопросы, смело пишите на visitor@zeronights.org.

Десятая конференция ZeroNights не может не состояться! Дополнительное время мы уделим организации еще большего количества активностей и расширению программы.

Посидел тут пару вечеров с Client-Side Template Injection (CSTI) в AngularJS и с обходом сендбоксов конкретно в в нем же. Показалось, что тема обхода сэндбоксов вообще юзлесс.

Сендбоксы в AngularJS есть только в версии >= 1.2 и < 1.6 (Сейчас версия 1.8). Да-да, после версии 1.6 их [убрали](http://blog.angularjs.org/2016/09/angular-16-expression-sandbox-removal.html).

Выглядит пример CSTI может так:

<section class=blog-header>
  <noscript>
    angular.module('labApp', []).controller('vulnCtrl',
      function($scope, $parse) {
        $scope.value = $parse("<INJECTION HERE>")($scope);
      });
  </noscript>
  <h1 ng-controller=vulnCtrl>10 search results for {{value}}</h1>
</section>

или так:

<section class=blog-header>
  <noscript>angular.module('labApp', []);</noscript>
  <h1>10 search results for {{<INJECTION HERE>}}</h1>
</section>

Основной вектор для CSTI это инъекция выражения в область парсинга. В $parse(‘…’), или прямо в {{…}}.

Т.к. в этих выражениях надо обращаться к идентификаторам (Т.е. к константам в области видимости выражения), то возможный пэйлоад обычно выглядит как-то так:

'a'.constructor.constructor('alert(1)')()

Почему учиться обходить AngularJS сэндбоксы юзлесс?

1) Потому что есть много вещей по полезнее этой.
2) Байпасы сэндбоксов для разных браузеров могут работать по разному и большинство байпасов из списков не будет работать для современных версий браузеров.
3) Сендбоксы отрубили в версиях AngularJS >= 1.6. Даже если вы эти версии увидите, все что вам остается, за то время что у вас обычно есть, это поюзать читшиты по байпасу сендбоксов в ангуляре. Конечно же эти: https://github.com/swisskyrepo/PayloadsAllTheThings/blob/master/XSS%20Injection/XSS%20in%20Angular.md

Короче, не тратьте время зря. Учитесь чему-нибудь более полезному. Например не забывайте по чаще кодить и мыть руки с мылом.

“Change my mind”

Если ищите работу в кибербезе, желаю вам иметь такую же волю к новому как у этого дядьки.