За сколько можно взломать мобильную сеть?
Надежно ли электронное правительство
в эпоху WikiLeaks и Anonymous?

Взлом АСУ ТП – голливудские байки
или реалии сегодняшнего дня?
Интернет-банкинг – возможна ли победа
в битве с мошенниками?

Киберпреступность, кибершпионаж, кибервойна. Где грань?

среда, 21 марта 2012 г.

Ловкость рук

Как хакеры на PHDays взламывали все, что попадалось под руку 

Участникам международного форума по информационной безопасности Positive Hack Days в 2011 году было чем удовлетворить чесательный рефлекс в руках и головах. Организаторы придумали для них уйму сложных и необычных конкурсов по взлому различных устройств, программ и систем.

Медвежатник

«Медвежатниками» в воровской среде называли профессиональных взломщиков сейфов, по одной из версий, за большую физическую силу и сгорбленную осанку - приходилось таскать на себе тяжеленную сумку с инструментом и ворочать сейфы с боку на бок. Участникам конкурса по вскрытию замков такие перемены внешности не грозили: изящные отмычки и небольшие замки держать в руках совсем нетяжело, тем более, повреждать последние было ни в коем случае нельзя.

Различные соревнования по вскрытию замков уже стали традиционными за границей - они часто проводятся и как самостоятельные мероприятия, и в рамках конференций по информационной безопасности. Однако для России это нечто новое - до сих пор организаторы ИБ-конкурсов держались консервативных позиций и не решались популяризовывать такие общественно опасные действия. Новизна была воспринята на ура - желающие напоминали скорее рой пчёл, чем семейство медведей, как количеством, так и ажиотажем.

Любопытствующие хотели не только поучаствавать в конкурсе, но и овладеть навыками взломщика, узнать как можно больше технических подробностей об этом увлекательном занятии. Отмахиваться от «пчёл», донимавших ведущего вопросами, было нечем, поэтому ему пришлось позвать на помощь своего напарника, чтобы успевать и руководить конкурсом и обучать новичков.

Участникам предстояло сражаться преимущественно со штифтовыми цилиндрованными замками, два из которых (навесной и врезной) имели классический «английский» цилиндр и один (врезной) - цилиндр под перфорированный ключ. Самых умелых ожидала встреча с монстром - финским балансным цилиндровым замком фирмы «Abloy».

Конкурсанты делились на тройки и за ограниченное время должны были взломать максимальное количество из четырёх предложенных замков. Успешнее всего участники справлялись с навесными замками, а вот балансный «монстр» не поддался никому. Он не только не дал взломать себя, но и изуродовал своим чревом несколько специальных отмычек...

Победители конкурса: Глеб Шипилев (1 место), Виталий Глинский (2 место), Кирилл Тюрин (3 место)


Ноутбук и iPad - взломай и уноси 

В этом конкурсе натруженные руки могли отдохнуть, а вот мозгам пришлось работать на предельной мощности. Задача - использовать уязвимость в одном из популярных браузеров, выполнив показательную нагрузку. Каждый из участников имел 3 возможности для проведения атаки, в качестве мишени можно было использовать один из предложенных браузеров (Opera, Internet Explorer, Firefox, Chrome, Safari - по браузеру на раунд). Платформы - Windows 7 и Windows XP.

Снайперам пришлось пройти отборочные испытания: предварительно указать вектор атаки и предоставить доказательство наличия уязвимости - простейший PoC (Proof of Concept) код. Отсев смогли пройти лишь трое - Александр Бажанюк и Никита Тараканов, представители компании CISSRT, и Юрий Гуркин из компании Gleg, причём последний не смог приехать на финал.

В финальном туре ловкие участники использовали уязвимость нулевого дня в новой версии Интернет-браузера Safari для Windows и запустили приложение - калькулятор. Они создали специальную веб-страницу со ссылкой на вредоносный код, запускающий приложение. По словам победителей, данную уязвимость можно использовать и в операционной системе Mac OS X, но в этих условиях приложение не запустится, произойдёт лишь остановка работы Safari. Изощренным победителям достались весомые призы - 100 тысяч рублей и по ноутбуку.
Несколько дней спустя всю информацию о найденной уязвимости отправили в компанию Apple, и ее сотрудники пообещали исправить ее в следующих версиях браузера.

Когда радостные сотрудники CISSRT принялись с энтузиазмом атаковать iPad удача решила, что улыбок с изобретательных айтишников хватит. На отборочных турах конкурса они обнаружили уязвимость в мобильном браузере Safari, умело используя которую, можно изменять и удалять в устройстве любую информацию. Однако на финальном этапе написанный «злоумышленниками» эксплойт отказался работать стабильно, и iPad чудом избежал вражеского вторжения.

Подобного рода конкурсы проводились и за границей, например, в рамках конференции по ИБ CanSecWes (в марте там тоже взломали Safari). PHDays дает участникам одно важное преимущество - все детали уязвимости и эксплоит остаются у владельцев.

«Наливайка» (Too Drunk to Hack) 

Под вечер все томимые горячительной жаждой хакеры могли попробовать взломать копию сайта www.phdays.ru, защищенную фильтром безопасности WAF. Принять участие пожелали 8 человек из Франции США и России. Каждые 4 минуты участники, совершившие ошибку, выпивали по 50 гр. текилы. Несмотря на то, что иностранные гости бурно поддерживались зрителями, кричащими «This is Sparta!», русская традиционная выносливость оказалось непобедимой. Главный эксперт по безопасности onsec.ru Владимир Воронцов, совершив 6 ошибок (300 гр. текилы), обнаружил все уязвимости и успешно взломал веб-приложение.

Один из участников конкурса поделился впечатлениями: «Исследование веб-приложений у всех участников, сидящих за столом, было доведено до автоматизма. Но не очень просто собираться с мыслями, когда толпа орет: «Давайте, давайте, быстрее» и регулярно отвлекают какими-то стаканчиками с прозрачной жидкостью. Зато впечатления после конкурса останутся у всех надолго : и у участников, и у зрителей; недовольных там не осталось».

Охота на лис NG 

В джунглях форума охотники целый день выслеживали «лис» - беспроводные точки доступа ESSID. От них требовалось не только найти точные координаты «лисы», но и подкрасться к ней ближе, чем на полметра. Хитрые звери (ими оказались сотовые телефоны с операционными системами Android) прятались в карманах организаторов конкурса, которые всё время перемещались, сверкая красными футболками, и этим тоже смахивали на лис...

Победители: Екатерина Бессонова, Руслан Сабитов (1 место), Константин Чигарев (2 место), Кирилл Тюрин (3 место)

CTF Фристайлер 

Этот конкурс похож на командный CTF, но адаптирован под индивидуальное участие. Задача - воспользоваться уязвимостями в продуктивных системах и собрать как можно больше флагов (секретных «ключей»).

Победители: Andrey 1800 (1 место), Nucro (2 место), CTF Freestyler 25 (3 место). Взломать за 900 секунд За 15 минут участники должны были последовательно (в 6 этапов) захватить коммутаторы, используя типовые ошибки управления безопасностью сетевой инфраструктуры.

Самыми успешными захватчиками оказались 003, Art и Kost, которые смогли быстрей других достичь самого удаленного объекта и получить максимальные привилегии на нем. 

Лучший реверсер 

В специально подготовленной программе спрятано 4 флага в виде кодовых фраз. Побеждает тот, кто первым найдет флаги и опишет свою стратегию поиска.

Это сделали: Дмитрий Скляров (1 место), Александр Гавриенко (2 место), Александр Бутенко и Максим Григорьев (3 место).

Комментариев нет:

Отправить комментарий