Так насыщенно получилось, что было сразу несколько интервью в короткий промежуток времени. Но тут уже я не интервьюируемый, а интервьюер!)

Говорим с моим другом и коллегой Сергеем Гилевым (Руководителем отдела тестирования на проникновение компании Ангара) о прошедшем турнире PHDays The Standoff, о его хакинге, о начале карьеры, о том что цепляет, об инструментах и о многом другом.

Можете заодно оценить мой скилл интервьюера;)

Link: https://youtu.be/BXHeEq65sbo

Международная конференция по информационной безопасности "ZeroNights 2021"

Десятая международная конференция ZeroNights пройдет во время белых ночей на берегу Финского залива.

Участников ждет насыщенный день с полным погружением в атмосферу технобезумия: эксклюзивные выступления, тематические конкурсы, долгожданная встреча с единомышленниками.

Неизменной остается направленность на достойнейшие доклады, представленные признанными экспертами-практиками информационной безопасности.

Дата и место проведения:
25 августа 2021 г.,
г. Санкт-Петербург, Севкабель Порт

Купить билеты

Ищу коллег!

Моему маленьком предприятию нужна свежая кровь!;D

Ищу несколько позиций:

Стажер Pentester - (До 3х месяцев стажировка) (Возможна частичная оплата) (Возможно совмещать как part-time)
Junior Pentester - ЗП ~50 т.р. (ЗП обсуждаема, зависит от скиллов)
Middle- Web Pentester - ЗП ~150 т.р. (ЗП обсуждаема, зависит от скиллов.

Если вам интересно попасть в нашу бурнорастующую команду, учиться вместе с нами и заниматься любимым делом то:

Присылайте свои резюме в ЛС @empty_jack.

К резюме обязательно приложите свою “траекторию развития”. Т.е. Какой бекграунд имеете? Как за последние год-два учились, где участвовали (турниры, курсы, платформы)? Чего хотите от работы?

По траектории буду серьезнее всего судить.

Посмотрю всех, ответы буду давать не сразу.

Удаленка возможна*

Вроде всем поотвечал. Спасибо за то что откликнулись. Очень порадовало количество мощных резюме. Особенно иногда радовало, что в мощных резюме я сам принял участие;))

Объясню здесь кратко по какому принципу я выбираю:

Понятно что почти каждый, кто написал, имел некий минимум с каким уже можно начинать. За мной конечно же остаётся желание отбирать лучших.

На что я смотрю:

- на то сколько времени человек потратил на изучение и конкретно на поиск и решение практических задач. Соответственно смотрю на успехи людей на различных платформах. CTF, Bugbounty, EverCTFs (PortSwigger Academy, HTB, Vulnhub, etc)
- какой у человека бекграунд. При одинаково потраченном времени на изучения нашей области у кандидатов, я смотрю на то где они учились и где работали. Думаю мысль ясна, разработчики, сетевики, админы в прошлом определенно получают свои плюсы в карму.
- пыталаюсь замерить перспективность по тому что человек уже успел. Брал призовые места, создавал наработки, делал статьи и исследования. Это конечно же говорит о том как человек относится к своему делу.

Если вы не прошли, не отчаивайтесь. Абсолютное большинство из вас с вашими знаниями найдут себе и работу и команду. Учитесь и больше попыток!)

Любопытный инструмент

На недавнем ZN, играя в CTF'чик, зайдя на хост, увидел любопытный инструмент - pspy64. Раньше такого не встречал.

Запустив, понял что этот инструмент находясь в *user space* показывает все запущенные процессы системы с их cmdline и т.д. (В том числе рутовые процессы и процессы других пользователей системы).

Понял что тут примешено чутка хакерской магии, т.к. просто дампнуть процессы пользователя root мы конечно же не можем. Я понимал, что можно спарсить /proc, но это не настолько подробно и мне казалось что это весьма долго.

Так вот, я решил почитать о нем и также захотелось рассказать вам. Опишу идею кратко, а вы если захотите разберетесь глубже.

Встречайте: https://github.com/DominicBreuker/pspy

pspy - unprivileged Linux process snooping

pspy - это инструмент командной строки, предназначенный для наблюдения за процессами без необходимости получения прав root. Он позволяет просматривать команды, запущенные другими пользователями, задания cron и т.д. по мере их выполнения. Отлично подходит для исследования систем Linux в CTF. Также отлично подходит для демонстрации коллегам, почему передача секретов в качестве аргументов в командной строке - плохая идея.

Как это работает

Существуют инструменты, позволяющие перечислить все процессы, выполняемые в системах Linux, включая те, которые завершились. Например, существует forkstat. Он получает уведомления от ядра о событиях, связанных с процессами, таких как fork и exec.

Эти инструменты требуют привилегий root, но это не должно вызывать у вас ложного чувства безопасности. Ничто не мешает вам подглядывать за процессами, запущенными в системе Linux. Много информации видно в procfs до тех пор, пока процесс запущен. Единственная проблема заключается в том, что вам нужно поймать недолговечные процессы за очень короткий промежуток времени, в течение которого они живы. Сканирование каталога /proc в поисках новых PID в бесконечном цикле делает этот трюк, но потребляет много CPU.

Более скрытный способ - использовать следующий трюк. Процессы обычно обращаются к таким файлам, как библиотеки в /usr, временные файлы в /tmp, файлы журналов в /var, ... Используя API inotify, вы можете получать уведомления всякий раз, когда эти файлы создаются, изменяются, удаляются, к ним обращаются и т.д. Linux не требует прав привилегированных пользователей для работы с этим API, поскольку он необходим для многих невинных приложений (например, текстовых редакторов, показывающих актуальный проводник файлов). Таким образом, хотя пользователи без права root не могут напрямую следить за процессами, они могут следить за влиянием процессов на файловую систему.

Мы можем использовать события файловой системы как триггер для сканирования /proc, надеясь, что мы сможем сделать это достаточно быстро, чтобы поймать процессы. Именно это и делает pspy. Нет гарантии, что вы не пропустите ни одного процесса, но в моих экспериментах шансы кажутся высокими. В общем, чем дольше идут процессы, тем больше шансов их поймать.

Что сказать? Гениально!

В позопрошлом году рассказывал про GraphQL Batching, а тут ребята запилили уберскрипт, который проверяет разные виды батчинга, а также рассказали о разных популярных багах в GraphQL. Скрипт очень удобен, чтобы быстро зачекать несколько техник и дальше ковырять ручками.

Статья об инструменте и прочих техниках тут: https://blog.assetnote.io/2021/08/29/exploiting-graphql/

Подгон от моего коллеги;)

Итак-на прошлой неделе произошел взлом абузоустойчивого хостера mskHost. Не будем останавливаться на этичности произошедшего- на данный момент меня больше интересует-как же все таки наши доблестные господа фишеры(а в основном именно они были главными клиентами данного хостера- по крайней мере судя по сливу директории /home одного из серверов) пишут код? Думают ли они сами о безопасности или copy-paste и monkey code повсюду следуют за нашими маленькими и не слишком умными друзьями?

https://medium.com/@welcomed_glacier_frog_761/%D1%80%D0%B0%D0%B7%D0%B1%D0%BE%D1%80-%D0%BE%D1%88%D0%B8%D0%B1%D0%BE%D0%BA-%D0%B8%D0%BB%D0%B8-%D0%BA%D0%B0%D0%BA-%D0%B4%D0%B5%D0%BB%D0%B0%D1%82%D1%8C-%D0%BD%D0%B5-%D0%BD%D0%B0%D0%B4%D0%BE-38fc3e97f5ef

Подъехали наши (Команды True0xA3) комментарии к прошедшему The Standoff.

Любопытно поглядеть на то, как и кто относится к мероприятию.

Фраза спикера: “Настоящее название этого доклада: Ochko123 - Почему вам не стоит использовать очко123 как пароль к вашей хакерской империи.”

В зале засмеялся один русский.

Доклад заинтриговал с первой минуты:
https://www.youtube.com/watch?v=6Chp12sEnWk

Могу рекомендовать к прочтению!

Самый быстрый укол. Оптимизируем Blind SQL-инъекцию #sqli #blind #guide #подписчикам

В своей практике работы в BI.ZONE я регулярно сталкиваюсь с необходимостью эксплуатации слепых SQL-инъекций. Пожалуй, Blind-случаи встречались мне даже чаще, чем Union или Error-based. Поэтому я решил подумать об эффективности. Эта статья — обзор подходов к эксплуатации слепых SQL-инъекций и техник, позволяющих ускорить эксплуатацию.

https://xakep.ru/2021/09/21/blind-sqli-optimize/

#podcast

Всем привет.

Записал подкаст с моим другом и коллегой по цеху Павлом Шлюндиным. О ролях в пентестерских командах, в том числе в команде составом которой мы участвовали в The Standoff, в частности о роли специалистов по атакам на локальные сети.
О том как качаются эти специалисты, что умеют, как они свои навыки применяют.

Судя по первым отзывам получилось достаточно интересно и приятно слушать, поэтому приглашаю вас к прослушиванию. Для меня это впервые, поэтому строго не судите

Link - https://podcast.ru/1589311841

По площадкам:

- https://podcasts.apple.com/ru/podcast/mastertalk/id1589311841?l=en
- https://open.spotify.com/show/4qKSa9bWg96gIBg33Q4C5n
- https://deezer.com/show/3042122
- https://music.yandex.ru/album/18600614

Конференции!

В предстоящий вторник выступаю на конференции FrontendConf с темой: “Поверхность атак на клиентскую часть веб-приложения”.
Если вы будете там, обязательно пополняйте ряды участников воркшопа;) Научу всему что знаю сам!

Отдельно стоит сказать, что атаки на браузеры мне как специалисту в начале пути казались не перспективной и не увлекательной темой. Но однажды погрузившись в нее, уже невозможно не признать интереса к ней, потому что это настоящее поле боя хакеров-исследователей и специалистов по защите браузеров, где боевые действия кипят на ваших глазах. Все действительно быстро меняется, всегда появляются новые способы защиты и приводят к появлению новых способов атак.

В общем, целая эволюция атак на ваших глазах. Все это наглядно, в публичном поле, можно потрогать и т.д. Закопаться в работу того или иного браузера с определенной фичей оказывается крайне интересным.

Поэтому как специалистам работающим в веб-разработке, так и специалистам из сферы хакинга, крайне рекомендую эту аггрегацию всего интересного из сферы атак на клиентские приложения.

Link: https://frontendconf.ru/moscow/2021/abstracts/8247

Будни багбаунтеров:

https://hackerone.com/reports/1209098

“Hi, are you new to this job or something?”

Надеялся, что ребята выложат видео, но чуда не произошло. Видос не записали, поэтому выкладываю презентацию. Она скорее обзорная, чем глубоко техническая.

Надеюсь будет полезной, а если будут вопросы или будет чем дополнить, приходи в чат.

Приглашаю к прочтению!

Мой друг и сокомандник решил тоже не скупиться на знания и будет делиться инфой о сертификациях (я уже сбился со счету сколько у него их), атаках на локальные сети (Его специализация) и RedTeam проектах.

Надеюсь что контента будет много;)

Начнём с того, что попробуем вместе разобраться в большом зоопарке сертификатов для пентестеров. План таков:
я нахожу владельца сертификата (или рассказываю сам) и прошу поделиться впечатлениями о курсе, экзамене и самом сертификате.
Далее будет доступно обсуждение (https://news.1rj.ru/str/joinchat/Dx2taD7P58A1MGZi) и будет возможность задать интересующие вопросы.
Перерыв между публикациями 3 дня.
На данный момент (а там кто знает...) не планируем разбирать сертификаты управленцев и менеджеров в сфере ИБ, такие как CISSP, CISM, а так же сертификаты около пентеста, это форензика и анализ кода.
В наш обзор в блжайшее время попадут такие сертификаты как: OSCP, OSWP, OSEP, OSWE, OSED, CEH, CPENT, LPT, CRTP, CRTE, eCPPTv2, eCPTXv2.
Акцент на практику, так что, GPEN, прости))

#podcast

На прошлой неделе в рамках подкаста пообщался с Михаилом Помзовым - одним из ключевых организаторов The Standoff!

Я хотел обсудить то, что проживают организаторы в этих мероприятиях, как они видят команды, что они думают о происходящем на турнире, а также не мог не задать пару личных вопросов о игре и ее механиках.

Если вам тоже это интересно, приятного прослушивания: [Link](https://podcast.ru/1589311841?utm_source=tg-post&utm_medium=social&utm_campaign=podcast&utm_term=4112021&utm_content=episode3)

ruDALL-E XL сгенерировала вашу картинку: Хакер

https://rudalle.ru/check_image/5a4b102329d74dc89fe88bd04e017a28/%D1%85%D0%B0%D0%BA%D0%B5%D1%80/

Ну и как ей отказать?