infinitesuns@amonitoring:~$

It’s been a loooooooooooooooong time…

Да, я давным-давно тут не появлялся. На то есть причины. Перед ZeroNights 2016 я инициировал процесс перехода на светлую сторону силы (фу, забитый штамп!). Короче говоря, решил покинуть стройные ряды банковских инженеров по безопасности. И я считаю, что всё прошло более чем хорошо.

Новая команда — ЗАО «Перспективный мониторинг». Новая должность — исследователь (ресёрчер, говоря по-простому). Команда ПМ вызывает огромную симпатию, надеюсь, вскоре я стану полноценной её частью. Впереди интересные проекты и бесценный практический опыт.

Смена места работы — новый повод для дисклеймера. Итак, дисклеймер: моё мнение может не совпадать с мнением редакции ЗАО ПМ. На страницах данного ресурса я высказываю только свои персональные мысли и компания не имеет к этому отношения. А если вдруг будет иметь — я упомяну об этом в особом порядке.

Что касается работы в Банке России — там я приобрёл категорически важный опыт нахождения «внутри периметра» и встретил замечательных людей. Я думаю, что проведённые там год и семь месяцев пойдут на пользу при пентестах.

Вскоре посты начнут появляться в штатном режиме.

Еду на ZeroNights 2016

В последнее время ничего не постил. Это потому что слегка отошёл от ИБ в пользу другой деятельности. Пришло время возвращаться и сразу на  ZN2016.

Не хочется много писать, в этом году ожидаю всё те же хардкорные доклады, только теперь больше активностей. Судя по анонсам, их будет намного больше, чем в прошлом году.

Что касается блога, на очереди обещанная запись о реверсе андроид-вредоносов. Материалы собраны, статья, скорее всего, будет в двух частях. Начну над ней работать сразу после ZN. Вот, собственно, и всё.

Об утечках для чайников

Дисклеймер никогда не унимается и гласит, что данная статья рассчитана на людей без глубокого технического бэкграунда и содержит практический пример — полностью сфабрикованный и ничего общего не имеющий с реальностью, призванный подкрепить текст наглядной демонстрацией. Все совпадения случайны, все персонажи выдуманы. Такие дела.

Это вторая статья цикла, где я пытаюсь без технических подробностей объяснить аспекты информационной безопасности, касающиеся рядовых пользователей Сети. В прошлый раз на повестке дня была безопасность домашних беспроводных сетей, сегодня — последствия утечек учётных и персональных данных.

Читать далее Об утечках для чайников

Отправляемся на минное поле за минами

После лабораторной работы по реверсу android-приложения, которую я выполнял в рамках стажировки в PT, меня сильно увлекла эта область. Совсем скоро я возьмусь за развёрнутый пост о ревёрсинге android-вредоносов в Santoku Linux, а пока очень короткий пост о том, как сходить на минное поле и принести оттуда мин.

Читать далее Отправляемся на минное поле за минами

Сезон распродаж

Дисклеймер гласит, что вся информация представлена исключительно в образовательных целях, все запросы выполняются к имитациям систем, все данные выдуманы, все совпадения случайны.

Удивительно, сколько проблем может сгенерировать один и тот же элемент бизнес-логики веб-приложения. В прошлый раз форма ввода номера скидочной карты позволила в теории собрать данные о пользователях программы лояльности спортивной торговой сети. Сегодня же мы препарируем сайт интернет-ретейлера одежды (естественно, вымышленного), где решили просто — форма призвана давать клиенту скидку и она с этой задачей справляется. Посмотрим на это чуть пристальнее остальных.

Читать далее Сезон распродаж

Финальный апдейт по стажировке Positive Technologies

Со времён предыдущего апдейта прошли следующие вебинары:

  • SSRF и HTTP Response Splitting;
  • Основы Reverse Engineering;
  • Computer Forensics, хотя я бы назвал его Incident Response;
  • OSINT и социальная инженерия.

Все эти вебинары объединяет то, что они очень интересные и к ним не прилагалось никакого практического задания, так что не будем заострять на них внимание. Главная тема — итоговый квест, который завершил всю стажировку.

Читать далее Финальный апдейт по стажировке Positive Technologies

Шестой апдейт по стажировке Positive Technologies

На шестом вебинаре нас познакомили с довольно громкой и весьма крутой атакой под названием XML External Entity или кратко — XXE. Признаться, до вебинара я так и не успел на практике ознакомиться с атакой даже в совсем уж сферических лабораторных условиях, тем интереснее было ковыряться. Суть атаки подробно расписывать не стану, ознакомиться можно на сайте OWASP. В самой простой форме выглядит так:

Читать далее Шестой апдейт по стажировке Positive Technologies

Пятый апдейт по стажировке Positive Technologies

Пятый вебинар был посвящён уязвимостям в бизнес-логике приложений. На вебинаре всех посвятили в «Секту Свидетелей Драматического Отличия Авторизации От Аутентификации И Их Обоих От Идентификации«.

Читать далее Пятый апдейт по стажировке Positive Technologies

Четвёртый апдейт по стажировке Positive Technologies

Четвёртый вебинар, посвящённый уязвимостям мобильных приложений, был категорически интересным. Но интереснее вебинара было домашнее задание, которого пришлось ждать больше двух недель, но оно того стоило. Впрочем, обо всём по порядку.

Читать далее Четвёртый апдейт по стажировке Positive Technologies

Третий апдейт по стажировке Positive Technologies

Время очередного апдейта по стажировке. Третий блок был посвящён атакам на стороне клиента. Лекция содержала в себе брифинг по XSS, CSRF и прочим Session Fixation, которыми обычно атакуют клиентов веб-приложений.

Читать далее Третий апдейт по стажировке Positive Technologies