Проводить исследования по безопасности SAP — одна из основных моих задач в Positive Technologies. Кроме того, мне нужно было придумать — с чем выступать перед слушателями на нашем форуме PHDays III. Так была найдена тема для исследований: как в SAP-системе можно скрыть наличие профиля SAP_ALL у пользователя (то есть, всех возможных авторизаций). Если злоумышленнику удалось проникнуть в систему, получить права на создание пользователей и присвоение им привилегий, то скорее всего следующим шагом для закрепления в системе будет создание для себя новой учетной записи, разумеется со всеми необходимыми правами. Но такой пользователь будет отображаться в результатах внутренних проверок, внешних аудитов, и трудно рассчитывать, что пользователь с правами SAP_ALL останется незамеченным. Читать полностью »
Рубрика «Блог компании Positive Technologies» - 34
Backdoor от SAP
2013-08-08 в 10:13, admin, рубрики: ERP-системы, sap, Блог компании Positive Technologies, информационная безопасность, уязвимость, метки: sap, уязвимостьБезопасность мобильного интернета изнутри и снаружи
2013-08-01 в 6:43, admin, рубрики: безопасность, Блог компании Positive Technologies, информационная безопасность, мобильный интернет, Телекомы, метки: безопасность, мобильный интернетС развитием мобильных сетей развивается и мобильный интернет. Все привыкли к обычному интернету: витая пара, Ethernet, TCP/IP. А что же скрывает в себе интернет мобильный? Попробуем выяснить! В нашем исследовании мы коснемся общих принципов работы мобильного интернета, рассмотрим поближе GPRS Tunneling Protocol, поговорим о GRX-сети и обсудим некоторые практические подходы к безопасности мобильной пакетной сети.
Как каждый из нас подключается к мобильному интернету? В принципе, необходимо знать только три параметра: APN, логин и пароль. APN — это точка доступа, через которую абонент может подключиться к необходимой ему услуге (WAP, MMS, Internet); у наших операторов она обычно выглядит как internet.<operator-name>.ru. Логин и пароль обычно простые: internet — internet или вроде того.Читать полностью »
Тестирование сканеров безопасности веб-приложений: подходы и критерии
2013-07-24 в 6:39, admin, рубрики: Блог компании Positive Technologies, информационная безопасность, тестирование, метки: тестирование 
Сканеры информационной безопасности (сканеры уязвимостей) — это средства мониторинга и контроля, с помощью которых можно проверять компьютерные сети, отдельные компьютеры и установленные на них приложения на наличие проблем защищенности. Большинство сканеров позволяют детектировать уязвимости, описанные классификатором WASC Threat Classifcation. В сегодняшнем хабратопике мы рассмотрим некоторые вопросы, связанные с тестирование сканеров информационной безопасности веб-приложений как программных продуктов.
Современный сканер веб-приложений — это многофункциональный и весьма сложный продукт. Поэтому его тестирование и сравнение с аналогичными решениями имеет целый ряд особенностей.Читать полностью »
PHDays III CTF: взгляд изнутри (часть 2)
2013-07-16 в 9:14, admin, рубрики: capture the flag, game development, PHDays, Блог компании Positive Technologies, информационная безопасность, метки: capture the flag, ctf, game development, phdays .png "PHDays III CTF: взгляд изнутри (часть 2)")
Мы продолжаем свой рассказ о подготовке соревнований CTF, которые состоялись в рамках форума Positive Hack Days. Сегодня мы поговорим о создании интерфейса, удобстве его использования (юзабилити), а также разработке визуализации хода состязаний.
Пользовательский интерфейс
Очень важной частью разработки CTF являлось создание пользовательского интерфейса для команд (UI). С его помощью игроки должны осуществлять все действия, связанные с игровыми механиками. По личному опыту мы знали, что общее впечатление о CTF во многом зависит от качества UI, поэтому мы очень серьезно отнеслись к проработке дизайна и юзабилити.Читать полностью »
PHDays III CTF: взгляд изнутри (часть 1)
2013-07-11 в 10:37, admin, рубрики: capture the flag, game development, PHDays, Блог компании Positive Technologies, информационная безопасность, метки: capture the flag, ctf, game development, phdays .png "PHDays III CTF: взгляд изнутри (часть 1)")
23 и 24 мая 2013 года в рамках ежегодного международного форума по практической информационной безопасности Positive Hack Days III прошло одно из крупнейших соревнований по принципу Capture the Flag — PHDays III CTF. В этом году на организацию соревнования было потрачено очень много сил, и результат не оставил равнодушным ни одного из участников. По прошествии этого события мы решили рассказать о том, как проходила подготовка соревнования и представить взгляд из-за кулис.
CTF — это соревнование по обеспечению ИБ в формате, схожем с командной игрой. Каждой команде предоставляется своя сетевая инфраструктура с предустановленными уязвимыми сервисами. Команды должны изучать сервисы, искать в них уязвимости и, используя их, атаковать сервисы своих соперников. В то же время им необходимо поддерживать собственные сервисы в работоспособном состоянии и исправлять в них ошибки, чтобы защититься от атак соперников.
При совершении успешной атаки на вражеский сервис команда получает некоторые секретные данные, называемые «флагом». Флаг является доказательством успешной атаки. Также, помимо сервисов, командам дается набор заранее подготовленных заданий, которые могут принести дополнительные флаги.Читать полностью »
Прохождение конкурса “Конкурентая разведка“ на PHDays III
2013-06-24 в 12:13, admin, рубрики: PHDays, positive hack days, Блог компании Positive Technologies, информационная безопасность, конкурентная разведка, конкурс, поисковые системы, метки: phdays, positive hack days, конкурентная разведка, конкурс, поисковые системыВ этом году при разработке легенды заданий для конкурса «Конкурентная разведка» мы сделали упор на применимость выискиваемой информации в реальных работах по пассивному анализу при подготовке к пентестам и в работах по оценке осведомленности, а также на использование различных поисковых механизмов и дедуктивных методов.
Как можно судить по одному из интересных райтапов об этом конкурсе — у нас это получилось, хотя бы отчасти.
К сожалению, в этом году участников было не так много, как в прошлом, и поскольку некоторые задания были гораздо сложнее, полностью их не выполнил никто. Победители остановились на отметке в 12 правильных ответов и награждать пришлось в зависимости от быстроты прохождения.
Итак, давайте взглянем на примерный алгоритм прохождения всех заданий конкурса и дадим наконец ответы на вопросы о непройденных заданиях, а также еще раз огласим уточненный список победителей.
Компанией, с которой предстояло работать конкурсантам, была Godzilla Nursery Laboratory — интернациональная корпорация, занимающаяся разведением и продажей домашних годзилл. Годзиллы были выбраны не случайно – именно они «охраняли» железную дорогу из конкурса «Choo-choo PWN».
Google подсказывал участникам сразу, что рабочий сайт этой компании с симпатичным логотипом — www.godzillanurserylab.com, а многие из ее сотрудников представлены в социальной сети LinkedIn. Ну, поехали!Читать полностью »
Конкурс «Лучший реверсер» на PHDays III: взгляд разработчика
2013-06-17 в 9:09, admin, рубрики: PHDays, reverse engineering, Блог компании Positive Technologies, конкурс, обратная разработка, отладка, Спортивное программирование, метки: phdays, reverse engineering, конкурс, обратная разработкаКогда мы взялись за подготовку задания для конкурса, нам хотелось сделать его интересным, сложным, но одновременно решаемым.
С нашей точки зрения, хороший реверсер должен уметь читать машинный код, преобразовывать его в понятный алгоритм, находить в этом алгоритме ошибки или слабые места и при возможности эксплуатировать их. При этом код, предлагаемый для анализа, должен быть похож на реальный программный код.
В качестве платформы была выбрана 64-битная версия ОС Windows. 64 бита — потому что использование Hex-Rays Decompiler для x86 сильно упрощает задачу, а под x64 декомпилятора пока нет. Да и вообще, 64-битные приложения уже стали обычным явлением.
Итак, была собрана небольшая программа с использованием Qt (и статических библиотек). При этом исполняемый файл получился размером почти 10 МБ. Но разве это много для настоящего реверсера? Хотя, по отзывам, некоторых участников напугал размер файла. С другой стороны, Qt оставляет кучу полезной информации, а уж отделять зерна от плевел реверсер должен уметь...Читать полностью »
Нестандартный способ получить недоступную информацию на iOS
2013-06-11 в 10:30, admin, рубрики: iOS, mach, Блог компании Positive Technologies, информационная безопасность, разработка под iOS, метки: iOS, mach 
По следам своего выступления на Positive Hack Days я хотел бы поделиться с вами результатами исследования демона configd на MACH-уровне в iOS 6. Как вы знаете, в iOS доступно не так много информации о состоянии подключения Wi-Fi. В общем-то, Public API не дает возможности узнать ничего, кроме SSID, BSSID и сетевых настроек адаптера. А режим шифрования? мощность сигнала? Под катом я расскажу, как узнать все это без применения Private API и Jailbreak.
PHDays Everywhere: участвуйте в форуме из любой точки планеты
2013-05-20 в 7:44, admin, рубрики: PHDays, phdays everywhere, Блог компании Positive Technologies, информационная безопасность, хакспейс, метки: phdays, phdays everywhere, хакспейсВ этом году для участия в международном форуме по практической безопасности Positive Hack Days в Москве соберутся более двух тысяч человек со всего мира. Как и в прошлый раз, в рамках инициативы PHDays Everywhere присоединиться к ним смогут и посетители хакспейсов по всему миру.
23 и 24 мая распахнут свои двери 17 хакерских локаций в семи странах. К инициативе уже присоединились Абу-Даби (Арабские Эмираты), Бир-Зейт (Палестина), Каир (Египет), Коллам (Индия), столица Туниса город Тунис, а также Владивосток, Воронеж, Калининград, Киев, Краснодар, Львов, Новосибирск, Омск, Санкт-Петербург, Саратов и Уфа. Читать полностью »
Новые доклады на PHDays III: от безопасности АСУ ТП до анализа эксплойтов нулевого дня в Java
2013-05-14 в 11:35, admin, рубрики: continuous deployment, OSINT, PHDays, rsa, scada, waf, Блог компании Positive Technologies, доклады, информационная безопасность, метки: continuous deployment, OSINT, phdays, rsa, scada, waf, докладыКак создать собственный Stuxnet? Так ли уж безопасны сами средства защиты ПО? Насколько легко следить за людьми и почему физическая безопасность — основа любой безопасности? Сегодня мы представляем вашему вниманию некоторые из более чем 30 докладов основной технической программы форума Positive Hack Days III.Читать полностью »