Кибербезопасность

CSRF на JSON API: от разведки до эксплуатации. Практический кейс​

ДИСКЛЕЙМЕР
Эта история — художественный вымысел. Все совпадения с реальными людьми или уязвимостями — случайность. Материал предоставлен исключительно в образовательных целях для специалистов по ИБ. Повторение подобных действий в реальной жизни приведет к серьезным проблемам с законом. Помните: вы не Вавилен.

Нажмите, чтобы раскрыть...

Лирическое отступление​

Вавилен был доволен своим рабочем местом в конторе. Он приносил деньги себе и своему начальству, которое давало для этого всю инфраструктуру. Но в один прекрасный день боссы, в очередной раз срубив куш на труде Вавилена, решили с ним не делиться. Так они потеряли ценного сотрудника и получили в ответ обманутого и очень мотивированного человека, жаждущего возмездия.

Постановка цели​

После ухода из конторы все доступы к инфраструктуре, разумеется, были отозваны. Но это не проблема. Основные активы бизнеса крутятся в кастомном...

Предисловие. Я ранее публиковал статью Битва «Титанов». Сравнение двух лучших отечественных сканеров уязвимостей. MaxPatrol 8 и RedCheck Enterprise однако в ходе общения с разработчиками часть выводов переосознал, поэтому специально для Кодебай пишу дополненное сравнение.

В последние месяцы в киберпространстве развернулась настоящая война, отчего незащищенные информационные активы значительно пострадали, а пользователи защитного инструментария от западных «партнеров» столкнулись с серьезнейшими санкциями, ограничивающими использование их ПО. Поэтому мы решили посмотреть на рынок отечественного ПО, разработанного для усиления «инфобеза».

Обычно на вопрос "Какой сканер безопасности купить?" вспоминаются лишь OpenVas и Nessus (Tenable). Но есть и другие достойные отечественные продукты, о которых мы сегодня и поговорим – это продукты для корпоративного сегмента, полностью лицензированные под все российские требования безопасности и имеющие сертификаты ФСТЭК и ФСБ:

• MaxPatrol 8 от Positive Technologies...

Привет, всем, особенно тем кто хочет стать пентестером.

Хочу поделиться с вами историей своего восхождения на гору Фудзияма пентеста. Конечно, каждый идет своей дорогой и мой путь возможно вызовет у кого-то лишь ехидную улыбку, но если помимо этого мой пост принесёт пользу еще хоть одному юному падавану, то я буду считать, что не зря потратил битый час на её написание.

Оглядываясь назад, вниз этой высочайшей горы, я вижу, что нахожусь в тени деревьев, которые растут у подножья. Да, я поднялся уже метров на 5 и впереди остались какие-то жалкие 3 771 метров.



Стоп, стоп, стоп, скажешь ты. Чему, мол, может научить чел который за три года преодолел высоту меньшую, чем прыгала Елена Исинибаева со своим шестом (5,06 м.)? Понимаешь, юный падаван, дело в том, что в любом деле самое сложное, это начать. Если начнешь не правильно, то потратишь, как и я кучу времени, пока поймешь, что от тебя требуется. Конечно, дальше можешь не читать и со всех ног бежать по граблям, которые набили мне не одну шишку, или же потрать 7 минут времени, прочти пост до конца, проплюйся, что потерял 7 минут и иди дальше. Граблей всё равно на твоем пути меньше не...

Здарова. И действительно, пальцев на руках и ногах явно будет недостаточно, дабы сосчитать количество несправедливости, происходящей даже в этот самый миг. Ты читаешь эту статью, а где-то происходит какая-то жесть: кто-то стал жертвой мошенников, кого-то подставили и посадили, а кого-то и вовсе загнобили за то, что его кожа отличается цветом или то, что он не язычник и не верит в богов.

И мы с вами ничего не в состоянии сделать с этим, таков уж он порядок нашего бытия, невозможно одеть маску, да ту же самую медицинскую, что вы носите уже по несколько лет, и надавать по щам всем злодеям этого мира. Хотя иногда такое желание и возникает. А поскольку практически все злодеи нынче перешли в интернет, то и нужды надевать маску Бэтмена и вершить правосудие физически особо нет. Зачем палить ларек конкурента, когда можно просто заддудосить его сайт, зачем вламываться к нему и избивать, если можно просто опорочить его в сети?

Сейчас нет нужды быть большим и сильным, ведь практически каждая проблема может быть решена с помощью клавиатуры. Таков уж он цифровой век, а все...

И привет. Возможно, это заглавие будет до черта субъективным и понравится оно не всем, но все-таки я хочу выразить здесь такую мысль. Ведь чем больше ты живешь, тем больше приходится офигевать от происходящего, и другому слову здесь не место.

Каждый день, заходя в интернет, мы видим какой-то абсурд и даже эта статья им и является, ведь в наше время абсурд практически равен успеху. И вам никогда не казалось, что интернет чуть-чуть сошел с ума? Или же ты просыпаешься каждый день с мыслью о том, что все вокруг происходящее - норма, и это с тобой что-то не так?

Абсурдные тик-токи, видео на Ютуб и музыка, которую музыкой вовсе не назвать, стали обыденностью, а ведь когда-то наши потомки посчитают это историей и будут думать, что мы все варились в этом и поступали так же. Хотя, долой то, что будет дальше, давайте окунемся в прошлое абсурда, которое хоть немного относится к ИБ.

У нас девятый выпуск из цикла Историческая Вирусология и мы поговорим о прошлом, закрыв глаза на вокруг происходящее:

1...

Внимание: Все описанные ниже действия являются вымыслом. Все совпадения случайны, соблюдайте разумность и этику!

0. Введение​

Эта история началась совершенно случайно.
Моя жена проходила продвинутые фонетические курсы английского языка и спросила меня, можно ли скачать учебные видео, поскольку после курса доступ к ним будет закрыт.

Стандартными плагинами для браузера скачать видео не получалось, и, поскольку, до этого опыта работы с подобными сервисами у меня не было (кроме использования их по прямому назначению), мне пришлось потратить вечер, дабы понять, как же работает этот чудо-плеер.

Поковыряв код плеера и изучив запросы в Burp Suite, я определил, что при каждой загрузке нового видео плеер на сайте скачивает файл манифеста и оттуда получает данные на файл плейлиста в формате m3u8.

А, ой. Вы уже здесь? Приветики. Что-то я не в настроении, но да ладно. Захотелось организовать продолжение того самого формата, в котором мы будем уничтожать различные шинудоусы всяким вредоносным ПО, а после и определять какая из этих систем надежней, безопасней и выносливей. В прошлом выпуске мы сравнивали новую 11-ю и, уже старенькую, её младшую сестрицу 10-тку. Сразу предупрежу, что это плюс-минус юморной и разговорный формат, главной целью которого есть донести результаты сравнения и поднять вам настроение.

Обе показали себя очень достойно, но в конце произошло то, чего я не ожидал, более поздняя и стабильная версия оказалась слабее по безопасности и выносливости, в итоге просто умерла с красным экраном, если вам интересно, то можете ознакомиться с результатами и самой работой здесь:

1. Магическая битва: последний Виндоус - противостояние: 11 vs 10...

“Современные решения требуют современных проблем”, - и не говорите мне, что эта поговорка должна звучать иначе. Возможно, не все поймут посыл, который я хочу передать этой фразой, однако так могло произойти лишь до этого момента. Ведь общество неустанно идет к прогрессу, даже в момент когда ты читаешь это - в мире что-то изобретают, решают и изменяют. И чем больше становится решений, тем больше проблем вновь озаряются. Эта беспрерывная цепочка и ведет нас в историю, а этот цикл как раз о ней - Историческая Вирусология, восьмой выпуск:

1. Немного ностальгии: историческая вирусология или LoveLetter в цвете современности - 22 года спустя
2. Историческая...

И здорова. Что-то захотелось мне очень отойти на статейку-другую от Исторической вирусологии. Формат, безусловно, крутой, если судить по количеству реакций и позитивных комментариев. Но давно у меня таился один концепт для статьи, возможно, он выйдет больше разговорным, но и информации будет достаточно. И это уже одиннадцатая статья подряд, в идеале у меня должны были начать кончаться идеи там, ну и так далее. А на деле напротив - чувствую себя в отличном расположении, для работы, духа. Погнали.

Шиндоус 11, ну здравствуй. Вышла она уже достаточно давно, как снег на голову посреди мая. Как бы создано было огромное количество обзоров, разборов, тестов и сравнений. Сразу скажу, что будет очень субъективно, так как я до сих пор не воспринимаю эту “новую” систему как что-то полноценное. Чисто обновили интерфейс, ну молодцы. Но я до сих пор не наблюдал, как её разрушали.

Забыл-забыл, ловите традицию:


На самом деле я против зла и то, что я покажу вам далее...