Метка «blackhat»

Есть много конференций по информационной безопасности: маленькие и большие, технические и наполненные исключительно маркетинговыми докладами от вендоров, или, спаси Летающий Макаронный Монстр, персданными или докладами в стиле «как стать рок-звездой в мире ИБ». И существуют две секьюрити-конференции, которые всегда выделялись на этом фоне: Black Hat и Defcon. Даже люди, далекие от ИБ, пожалуй, слышали о них.

Я бы хотел рассказать о том, как прошла конференция Black Hat USA в этом году.
Выступление на Black Hat или Defcon было моей давней мечтой. Мечте суждено было сбыться в прошлом году, где я с Александром AlexandrPolyakov Поляковым рассказал про Server Side Request Forgery, однако в этом году ситуация повторилась, и мой доклад об OLAP-серверах и атаках на MDX успешно прошел отбор комиссии, и – привет, Вегас!

Читать полностью »

За последний месяц в области безопасности SAP произошло несколько значимых событий, о которых я хотел бы рассказать.

Во-первых, прошли две крупных конференции по безопасности, где затрагивалась тема безопасности SAP: BlackHat и Defcon. Мы (специалисты исследовательской лаборатории Digital Security) участвовали в обоих мероприятиях: с докладом о SAP на BlackHat и с докладом о VMware на Defcon. Я упоминаю здесь доклад о VMware, так как это выступление подтверждает, что защита SAP-систем заключается не только в безопасности самих приложений SAP, но и остальной инфраструктуры.

Читать полностью »

Эксплуатация уязвимостей сервиса Lotus Domino Controller

В последнее время я часто рассказываю истории о том, как на обыкновенном пен-тесте удается выявить 0-day уязвимость в популярном ПО или разработать приватный эксплойт. На самом деле такого рода задачи решаются при пен-тесте редко и выборочно, и на это есть свои причины.

И всё же я хочу поделиться историей (ага, байкой) о том, как при решении именно таких задач пен-тест выходит за рамки монотонного сканирования, брутфорса и запихивания кавычек в параметры веб-приложения. А именно, в этом посте будет рассказано о простой баге в Lotus Domino Server Controller, о том, как был создан приватный эксплойт, а также найдена проблема нулевого дня, актуальная и на сегодняшний день.

Проникновение в Lotus Domino

Читать полностью »

Отчет с конференции BlackHat EU 2012

В мире ИБ существует целая куча конференций, посвященных техническим и не очень проблемам ИБ. Если говорить о США, то, определенно, все знают о таких монстрах, как BlackHat и Defcon. В Европе тоже полно конференций, среди которых я бы выделил HackInTheBox, тот же BlackHat, а также иные небольшие, локальные, но это не значит, что плохие – Chaos Communication Congress, CONFidence, DeepSec, BruCon, PH-Neutral. Мне удалось побывать на европейской части BlackHat, о чем, собственно, и пишу.

Читать полностью »


https://ajax.googleapis.com/ajax/libs/jquery/3.4.1/jquery.min.js