Size: a a a

2018 October 15

I

Ivan in [No Offense]
PHP2ASP транслятор
источник

T

Tatiana in [No Offense]
😁
источник

АМ

Алексей Морозов in [No Offense]
Чё сразу как я так асп
источник

АМ

Алексей Морозов in [No Offense]
Читает пхп читаю.😒
источник

АМ

Алексей Морозов in [No Offense]
Alexander Bezopasnikov
1) Задача пентестера:
https://sourceforge.net/projects/phpmychat/files/phpMyChat_Plus/1.96/phpMyChat-Plus_1.96.zip/download
Скачать приложение и найти максимум уязвимостей. (Поверьте, их там хватит на всех)
После нахождения всех уязвимостей, необходимо написать отчёт. Форма отчёта произвольная, но в идеале было бы:
- Название уязвимости (SQLi, LFI, RCE, etc)
- пример эксплуатации/скриншот
- Описание зависимостей (Настройки php, операционная система и т.п.)
- Уязвимый участок кода (Указать имя файла, номер строк\строки)
- Рекомендации по устранению уязвимостей


2) Задача программиста:
Есть веб-приложение: https://sourceforge.net/projects/hape-pkh/files/latest/download
Есть публичный эксплойт: https://www.exploit-db.com/exploits/45593/
Нужно поженить их и написать автоматизированный эксплойт для данной уязвимости.
Язык программирования любой, который более удобен вам.

В идеале хотелось бы:
- скрипт\программа, которая принимает аргументом URL сайта и\или файл со списком URL
- Эксплойт сам авторизуется на сайте (возьмем для примера, что на всех сайтах дефолтные креды admin:admin)
- Заходит в админку и загружает файл по любому из вариантов, указанных в сплойте на exploit-db
- Возвращает URL загруженного файла


3) Задача исследователя:

Возьмите для исследования любое мобильное приложение в мире, желательно android.
И изучите его. Интересует всё, что может принести практическую пользу при аудите безопасности мобильного приложения.
- Методы API, зашитые в мобильное приложение
- Способы авторизации\аутентификации. Можем ли влиять на нее? Брут?
- Зашитые креды в приложении
- Как шифруются и шифруются ли креды при отправке их на сервер приложения
- Отправляются SMS? Можем влиять?
- Есть IDOR? Можем получить информацию третьих лиц подменяя идентификатор?
- и так далее. Чем больше инфы, тем лучше.
--------------------------------------------------------
Что может пригодиться:
- Студия и эмулятор android https://developer.android.com/studio/
- Burp Suite для запуска прокси перехвата данных с мобильного приложения https://portswigger.net/burp
- Скачиваем APK с google-play https://apk-dl.com/
- Декомпилируем APK для изучения исходных кодов: http://www.javadecompilers.com/apk, http://www.decompileandroid.com/
- бесплатный стат.анализатор для спагетти-кода на пхп - http://rips-scanner.sourceforge.net/
--------------------------------------------------------

Q: Какой срок?
А: Срок до 1 ноября. Ровно половина месяца. Срок более чем достаточный для тех, кто хочет попасть в ИБ и в частности на практику в ЦАРКА.

Q: Я должен решить все задачи?
А: Было бы круто, но мы реально смотрим на мир. Задач три, чтобы было больше возможностей их решить с разным уровнем подготовки. Решите столько, сколько сможете.

Q: Как будет происходить отбор?
А: Отбирать будут эксперты ЦАРКА по собственным впечатлениям от кандидата. Чем лучше поработаете, тем лучше сложится впечатление.

Q: А для чего мы всё это будем вообще делать?
A: Прошедшие отбор попадут на практику в ЦАРКА с перспективой устройства на официальную должность в офис ЦАРКА в г.Алматы.

Q: Ага, я сейчас найду все уязвимости бесплатно, а вы их продадите!!11
A: лол)

Q: А можно я проверю уязвимость на сайте в интернете?
A: нет. Мы ищем и обучаем пентестеров и ресёчеров, а не скрипт-киддисов. Но если что, товарищи майоры будут рады, а ты у мамы один такой пирожочек.


--------------------------------------------------------

!!!ВАЖНО!!!
Мы не ждём от вас решения всех задач на уровне senior-level пентестера.
Мы дали 3 разноплановых задачи, чтобы у вас было больше пространства для маневров и каждый нашел то, что ему по душе.
Задавайте правильные вопросы, старайтесь, стремитесь. И мы вас обязательно заметим.
Все решения писать в личные сообщения модератору этого мепроприятия: @alex_bezopasnikov
В ЧАТ РЕШЕНИЯ НЕ ПИСАТЬ!
Знакомая цмс , кажется я тут выбьюсь в лидеры
источник

AB

Alexander Bezopasnikov in [No Offense]
Алексей Морозов
Знакомая цмс , кажется я тут выбьюсь в лидеры
Я тебя забаню щас)
источник

АМ

Алексей Морозов in [No Offense]
😁 не, ну цмс и правда огонь
источник

AB

Alexander Bezopasnikov in [No Offense]
Алексей Морозов
😁 не, ну цмс и правда огонь
Я гулял по темам, смотрел где больше всего сообщений. Туда заглянул и ахнул.
Она точно подойдет практикантам)
источник

АМ

Алексей Морозов in [No Offense]
В каретку много кидались по поводу нее
источник

АМ

Алексей Морозов in [No Offense]
Очень проста
источник

AB

Alexander Bezopasnikov in [No Offense]
Алексей Морозов
Очень проста
Хорошо что ты это написал. Вот посмотрим как в этом чате её разломают)
источник

АМ

Алексей Морозов in [No Offense]
Я вот верю в ребят
источник

AB

Alexander Bezopasnikov in [No Offense]
а уж я как верю)
источник

AB

Alexander Bezopasnikov in [No Offense]
Ко мне на КХС подходило много людей, надеюсь это было искреннее желание)
А уж я то научу)
источник

АМ

Алексей Морозов in [No Offense]
Ко мне после кхч подходили на ачат хотели к нас
источник

АМ

Алексей Морозов in [No Offense]
Кхс
источник

d

danilkib95 in [No Offense]
На 26:00?
источник

d

danilkib95 in [No Offense]
Алексей Морозов
Ко мне после кхч подходили на ачат хотели к нас
На 26:00?
источник

АМ

Алексей Морозов in [No Offense]
И там тоже
источник

S

Sabi in [No Offense]
Alexander Bezopasnikov
Ко мне на КХС подходило много людей, надеюсь это было искреннее желание)
А уж я то научу)
У тебя многому можно научиться. Так что тем, кто пройдет отбор, повезет с наставником ))
источник