Instagram под капотом

Я не пользователь Instagram. Так уж повелось. С тех самых пор, когда я узнал об этой социальной сети, она ассоциировалась у меня с гламурными кисулями и прочими любителями продемонстрировать на весь Интернет свою увлекательную жизнь / вкусный ужин / быструю машину / что-то ещё. Кое-кто из моих друзей считает, что я ошибаюсь. Недавно обстоятельства сложились таким образом, что я обнаружил себя в процессе обхода средств защиты в попытке получить доступ к самой мякотке сервиса — его API.

В данной статье я поведаю Вам о том, как из грязи и веток можно собрать стенд для исследования внутренностей этого всемирно известного сервиса и почему от увиденного можно взять и приуныть. Изучению мы подвергнем меры защиты, которыми оснащено Android-приложение упомянутого сервиса. И, немножечко, его серверы.

Впрочем, начнём издалека.

Читать далее Instagram под капотом

Три кейса про обход средств защиты

Дорогой дневник…

Пришло время разбавить трёхмесячную ноющую пустоту внутри постом по мотивам моего выступления на конференции CyberCrimeCon, организованной Group-IB. Выступление было посвящено трём кейсам (вымышленным, само собой) из практики тестирования на проникновение, имевшим место в течение последних 6-8 месяцев (естественно, в воображении автора).

Читать далее Три кейса про обход средств защиты

OSCP для рекрутеров

Это короткий пост праведного гнева и светлой тоски, написанный в лучших традициях гейткипинга. И всё же я посчитал своим долгом его опубликовать. Впрочем, давайте начнём с предисловия.

Когда что-то становится известным широким массам — оно теряет свою ценность и превращается в обычную попсу. Сертификация OSCP, некогда ценимая узким кругом специалистов за хардкорность, объём развиваемых навыков и высокий порог отсева на экзамене, стала известна широким массам. Для сотрудников кадровых служб держатели данного сертификата стали желанной добычей и рынок отреагировал тем, что для участия в конкурсах на предоставление услуг компании стали набирать в портфолио актуальные аббревиатуры и OSCP де-факто стала промышленным стандартом в области тестирования на проникновение. Как Вы, наверное, уже догадались, здесь что-то должно было пойти не так — и оно пошло.

Читать далее OSCP для рекрутеров

Записки пентестера #0. Дампим SAM-файл

С возвращением меня. В очередной раз.

После смены мной рода деятельности и попадания из blue team в red team, внезапно, перестал пополняться блог. Я успел привыкнуть писать относительно объёмные статьи, а в деталях описывать происходящее на работе, ясное дело, возможности нет. Значит нужно искать новый формат! Решил попробовать короткие «записки пентестера» о конкретных инструментах, методах и проблемах.

Сегодня на повестке SAM-файл. Казалось бы, что может пойти не так? Об извлечении хэшей из SAM-файла известно уже целую вечность, но есть нюанс. В ходе внутреннего пентеста мы загрузили на предоставленных нам заказчиком компьютерах Kali Linux в режиме Live USB. Подключив диск офисного компьютера и найдя там файлы SAM и SYSTEM, необходимые для того, чтобы выгрузить дамп, мы наткнулись на проблему — все хэши идентичны.

Читать далее Записки пентестера #0. Дампим SAM-файл

Отправляемся на минное поле за минами

После лабораторной работы по реверсу android-приложения, которую я выполнял в рамках стажировки в PT, меня сильно увлекла эта область. Совсем скоро я возьмусь за развёрнутый пост о ревёрсинге android-вредоносов в Santoku Linux, а пока очень короткий пост о том, как сходить на минное поле и принести оттуда мин.

Читать далее Отправляемся на минное поле за минами

Финальный апдейт по стажировке Positive Technologies

Со времён предыдущего апдейта прошли следующие вебинары:

  • SSRF и HTTP Response Splitting;
  • Основы Reverse Engineering;
  • Computer Forensics, хотя я бы назвал его Incident Response;
  • OSINT и социальная инженерия.

Все эти вебинары объединяет то, что они очень интересные и к ним не прилагалось никакого практического задания, так что не будем заострять на них внимание. Главная тема — итоговый квест, который завершил всю стажировку.

Читать далее Финальный апдейт по стажировке Positive Technologies

Шестой апдейт по стажировке Positive Technologies

На шестом вебинаре нас познакомили с довольно громкой и весьма крутой атакой под названием XML External Entity или кратко — XXE. Признаться, до вебинара я так и не успел на практике ознакомиться с атакой даже в совсем уж сферических лабораторных условиях, тем интереснее было ковыряться. Суть атаки подробно расписывать не стану, ознакомиться можно на сайте OWASP. В самой простой форме выглядит так:

Читать далее Шестой апдейт по стажировке Positive Technologies

Пятый апдейт по стажировке Positive Technologies

Пятый вебинар был посвящён уязвимостям в бизнес-логике приложений. На вебинаре всех посвятили в «Секту Свидетелей Драматического Отличия Авторизации От Аутентификации И Их Обоих От Идентификации«.

Читать далее Пятый апдейт по стажировке Positive Technologies

Четвёртый апдейт по стажировке Positive Technologies

Четвёртый вебинар, посвящённый уязвимостям мобильных приложений, был категорически интересным. Но интереснее вебинара было домашнее задание, которого пришлось ждать больше двух недель, но оно того стоило. Впрочем, обо всём по порядку.

Читать далее Четвёртый апдейт по стажировке Positive Technologies

Третий апдейт по стажировке Positive Technologies

Время очередного апдейта по стажировке. Третий блок был посвящён атакам на стороне клиента. Лекция содержала в себе брифинг по XSS, CSRF и прочим Session Fixation, которыми обычно атакуют клиентов веб-приложений.

Читать далее Третий апдейт по стажировке Positive Technologies