Шестой апдейт по стажировке Positive Technologies

На шестом вебинаре нас познакомили с довольно громкой и весьма крутой атакой под названием XML External Entity или кратко — XXE. Признаться, до вебинара я так и не успел на практике ознакомиться с атакой даже в совсем уж сферических лабораторных условиях, тем интереснее было ковыряться. Суть атаки подробно расписывать не стану, ознакомиться можно на сайте OWASP. В самой простой форме выглядит так:

Читать далее Шестой апдейт по стажировке Positive Technologies

Пятый апдейт по стажировке Positive Technologies

Пятый вебинар был посвящён уязвимостям в бизнес-логике приложений. На вебинаре всех посвятили в «Секту Свидетелей Драматического Отличия Авторизации От Аутентификации И Их Обоих От Идентификации«.

Читать далее Пятый апдейт по стажировке Positive Technologies

Четвёртый апдейт по стажировке Positive Technologies

Четвёртый вебинар, посвящённый уязвимостям мобильных приложений, был категорически интересным. Но интереснее вебинара было домашнее задание, которого пришлось ждать больше двух недель, но оно того стоило. Впрочем, обо всём по порядку.

Читать далее Четвёртый апдейт по стажировке Positive Technologies

Третий апдейт по стажировке Positive Technologies

Время очередного апдейта по стажировке. Третий блок был посвящён атакам на стороне клиента. Лекция содержала в себе брифинг по XSS, CSRF и прочим Session Fixation, которыми обычно атакуют клиентов веб-приложений.

Читать далее Третий апдейт по стажировке Positive Technologies

Второй апдейт по стажировке Positive Technologies

Второй учебный блок и, соответственно, домашнее задание, были посвящены внедрению операторов SQL. Кратко разберу каждую из 7 инъекций домашнего задания.

Читать далее Второй апдейт по стажировке Positive Technologies

Первый апдейт по стажировке Positive Technologies

Вчера оказалось, что первая домашняя работа была ошибкой, потому что индексирование директории должно было быть выключено. Задание слегка изменили, индексирование выключили и запустили задание заново. В этот раз флаги любезно сгенерировали в виде FLAG_NUM_MD5HASH.

Читать далее Первый апдейт по стажировке Positive Technologies

Летняя стажировка в Positive Technologies

Сегодня прошёл первый вебинар летней стажировки Positive Technologies, посвящённой безопасности веб-приложений. Пост о наборе, насколько я понимаю, размещался только на Хабре, но даже этого хватило, чтобы заявки подали 952 человека! По мне, так это довольно много.

Читать далее Летняя стажировка в Positive Technologies

Немного напряг киберкидал

Дисклеймер гласит, что вся информация представлена исключительно в образовательных целях, все запросы выполняются к имитациям систем, все данные выдуманы, все совпадения случайны.

Такое бывает. Сидишь и коротаешь время до вылета в другой город, как вдруг на почту приходит фишинговое письмо, якобы от имени твоего друга. Очередная бесцеремонная наглость. В письме предлагают очень прибыльную работу и рекомендуют ознакомиться с деталями по ссылке. В общем-то, ничего нового, обычный спам, однако, в этот раз напрягло, что в теме письма стоит имя знакомого мне человека.

Читать далее Немного напряг киберкидал

Продолжая перепись спортсменов

Дисклеймер гласит, что вся информация представлена исключительно в образовательных целях, все запросы выполняются к имитациям систем, все данные выдуманы, все совпадения случайны.

Захотелось, наконец, описать что-то из работы «в поле». Пускай и довольно примитивное. Сегодня готовим proof of concept для уязвимостей, описанных в предыдущем посте про перепись спортсменов. Все проблемы заключаются в т.н. information disclosure, потому не потребуется никаких инъекций и сплойтов — только автоматизация сбора информации, которую сервер итак отдаёт с большой охотой.

Читать далее Продолжая перепись спортсменов

Перепись спортсменов

Дисклеймер гласит, что вся информация представлена исключительно в образовательных целях, все запросы выполняются к имитациям систем, все данные выдуманы, все совпадения случайны.

Всё началось с того, что на сайте одного крупного ретейлера товаров для активного отдыха моё внимание привлекла строка ввода номера накопительной карты на странице оформления заказа. Благодаря людям, которые пишут в интернете отзывы на накопительные карты (зачем?) с фотографиями самих накопительных карт (ну зачееем?) я разжился пятью-шестью номерами. Пришло время проверить, что же при помощи этого скудного набора входных данных можно извлечь из туманного бэкенда.

Читать далее Перепись спортсменов