Хакерский митап;

Я расскажу об угрозах, которые можно встретить в экосистеме пакетов Python. Посмотрим на несколько real-world троянов, которые существовали в разное время в Python Package Index.

Часть троянов применяют техники обфускации для усложнения детекта и анализа. Расскажу про использование AST-трансформеров для написания правил (де)обфускации кода. При этом обфускацию используют и «хорошие» программисты, которые хотят защитить свою интеллектуальную собственность.

Также в формате 101 пробегусь по использованию машинного обучения для облегчения работы аналитика.

Сети — основа основ. Каждый изучал их в своем вузе и слышал о таком оборудовании как коммутатор, маршрутизатор и межсетевой экран. Но у всех ли есть опыт настройки сетевого оборудования?

Я расскажу, как мы переосмыслили (а может и нет) непопулярный вид задания на СТF в категории «Сети», в котором участникам предстояло поработать с низкоуровневым сетевым оборудованием. Расскажу, с какими проблемами мы столкнулись при создании такого таска на прошедшем TQLCTF. Покажу и разберу это задание — его сделало 6 команд из 107.

Навигация в Android-приложениях всегда была сложной темой. И когда вышла официальная библиотека от Google для решения этой проблемы, все были очень рады. У большинства разработчиков есть какое-то необоснованное доверие к официальным продуктам главного мейнтейнера ОС Android. И, конечно же, мало кто из разработчиков копается внутри этих библиотек с целью поиска уязвимостей, а те, кто копаются, часто не имеют нужного майндсета, чтобы распознать уязвимость за каким-то странным поведением.

Так получилось и в этот раз: необоснованное создание неявных deeplink-ов и «секретные» параметры, обрабатываемые библиотекой, позволяют злоумышленнику манипулировать потоком навигации в своих целях. Например, для того, чтобы открывать экраны, которые разработчик даже не думал делать доступными для внешних вызовов. И что самое плохое — передавать на эти экраны свои параметры. Как и почему это работает, а главное — к каким проблемам приводит, я расскажу в своём докладе.

В докладе мы исследуем и раскроем проблемы безопасности умного цветочного горшка через изучение самых разнообразных входных точек вдоль стека OSI: от порта локального контроля до мобильного приложения. Проведём сетевые атаки для имперсонации удалённого сервера, обнаружим уязвимости связанного веб-сайта и эксплуатируем их для кражи аутентификационных данных и управления устройством.

Многие уже знают, что наша классическая криптография с открытым ключом в будущем станет небезопасной: сложные математические задачи, лежащие в её основе, можно будет эффективно решить на квантовом компьютере. Для борьбы с этим появилось новое направление — постквантовая криптография (не путать с квантовой). Оно открыло огромный простор для творчества, и начали появляться криптографические схемы на абсолютно разных математических структурах и задачах, от помехоустойчивых кодов до изогений эллиптических кривых.

В докладе рассмотрим основные направления постквантовой криптографии, за счёт чего они безопасны, а также почему одни криптографические схемы выбирают в качестве стандартов, а другие отклоняют в первом раунде конкурса. Затронем программную реализацию алгоритмов, требования к разработке, тонкости и ошибки.

Для лучшего понимания рекомендуется повторить теорию чисел и основы криптографии для начинающих.

В последние несколько лет появилось много инструментов для анализа бинарных исполняемых файлов. Один из них — Binary Ninja. Я расскажу о своём опыте его использования, покажу, как менялся инструмент, приведу примеры задач, которые с различной степенью успешности получалось решать с его помощью. Сравним функциональность с IDA, выделим сильные и слабые стороны (на мой взгляд :)), попытаемся посмотреть, как можно самостоятельно перенести удачные решения из одной тулы в другую.

Для лучшего понимания попробуйте с помощью бесплатной версии Binary Ninja пройти недели про Hex-Rays из курса SPbCTF по ревёрсу.

В докладе расскажу про свою стратегию на Bug Bounty: от выбора программы до обнаружения простой, но критичной уязвимости в логике client-side перенаправления. Поделюсь своим подходом к тестированию программы и изложу несколько мыслей по поводу поиска уязвимостей на Bug Bounty.

Также я продемонстрирую практический пример использования консоли разработчика для анализа логики перенаправлений и поиска XSS. В завершение покажу один из простых способов эскалации XSS до захвата учётной записи (account takeover).

Мой доклад про класс уязвимостей Server-Side Request Forgery. Покажу живые примеры из багбаунти-программы Яндекса, приведу статистику, расскажу, как можно чинить такие баги. А в конце анонсирую пока ещё секретный инструмент, который поможет искать SSRF на «Охоте».

Доклад будет полезен багхантерам любых программ и инженерам ИБ.