«Год был непростым» (c). Эта мысль наверняка первая, которая приходит в голову, проводя Time Recap уходящего года. Еще «вчера» зарубежные вендоры охотно предоставляли свои услуги, в том числе в области информационной безопасности, а сейчас приходится в спешке импортозамещать, выбирая из тех, кто остался.

Читать далее Немезида ВАФ: итоги 2022 →

Заключительная седьмая часть перевода статьи zer1t0, посвященная аутентификации, групповым политикам и протоколам связи в Active Directory. Читать далее Атаки на Active Directory: часть 7 →

Шестая часть перевода статьи zer1t0, посвященная атакам на сервисы S4U2proxy и S4U2self. Читать далее Атаки на Active Directory: часть 6 →

Пятая часть перевода статьи zer1t0, посвященная атакам на протокол аутентификации Kerberos. Читать далее Атаки на Active Directory: часть 5 →

Четвертая часть перевода статьи zer1t0, посвященная атакам на DNS, NetBIOS и протоколам аутентификации. Читать далее Атаки на Active Directory: часть 4 →

Третья часть перевода статьи zer1t0, посвященная атакам на сервисы и базы данных Active Directory. Читать далее Атаки на Active Directory: часть 3 →

Это перевод статьи zer1t0, посвященный атакам на Active Directory. Цель статьи — рассмотреть Active Directory с точки зрения злоумышленника. Чтобы понять, как атаковать Active Directory (и любую другую технологию), я думаю, важно знать не только инструменты, но и то, как они работают, какие протоколы/механизмы они используют и почему эти механизмы/протоколы существуют. Читать далее Атаки на Active Directory: часть 2 →

Это перевод статьи zer1t0, посвященный атакам на Active Directory. Цель статьи — рассмотреть Active Directory с точки зрения злоумышленника. Чтобы понять, как атаковать Active Directory (и любую другую технологию), я думаю, важно знать не только инструменты, но и то, как они работают, какие протоколы/механизмы они используют и почему эти механизмы/протоколы существуют.

На протяжении всей статьи будет использоваться Powershell, чтобы показать, как получить информацию из Active Directory. Для этого будет использоваться модуль ActiveDirectory Powershell, но вместо него можно использовать другие инструменты, такие как Powerview или ldapsearch. Читать далее Атаки на Active Directory: часть 1 →

XSS (Cross Site Scripting) — один из самых популярных видов веб-уязвимостей, позволяющий производить внедрение вредоносного кода в отдаваемую веб-приложением страницу. Атаки с использованием XSS-вектора позволяют внедрять на страницу произвольное содержимое, перехватывать cookie и сессии других пользователей, получать доступ в закрытые разделы сайта и даже привилегии администратора веб-ресурса.

Существует несколько видов XSS:

• Хранимые. Вредоносный код сохраняется на сервере и загружается с него каждый раз, когда пользователи запрашивают отображение той или иной страницы. Чаще всего проявляются там, где пользовательский ввод не проходит фильтрацию и сохраняется на сервере: форумы, блоги, чаты, журналы сервера и т.д.

  Например, скрипт <img src="http://exmple.com/">, оставленный на странице сайта с очень высокой посещаемостью, может спровоцировать DDoS-атаку на указанный веб-ресурс.

• Отображаемые. Вредоносная строка является частью запроса жертвы к веб-сайту. Сайт принимает и вставляет эту вредоносную строку в отправляемый ответ обратно пользователю.

  Например, при переходе пользователем по ссылке: http://example.com/q=<href='a' style='font-size:500px'> на странице отобразится гиперссылка, при наведении на которую выполнится скрипт alert(‘XSS’). Но для этого необходимо каким-то образом (например, с использованием социальной инженерии) заставить пользователя ввести эту ссылку в адресной строке.

• XSS в DOM-модели. Представляет собой вариант как хранимой, так и отображаемой XSS-атаки. В данном случае вредоносная строка не обрабатывается браузером жертвы, пока настоящий JavaScript веб-сайта не выполнится.

Читать далее Хранимые, отображаемые и DOM-based XSS →

API — это набор способов и правил, по которым различные программы общаются между собой и обмениваются данными. Технически API означает программный интерфейс приложения. Интерфейс — это граница между двумя функциональными системами, на которой происходит их взаимодействие и обмен информацией. Но при этом процессы внутри каждой из систем скрыты друг от друга.

API даёт доступ к готовым инструментам, например, к функциям библиотеки для машинного обучения. API позволяет вынести в отдельное приложение функционал, который должен быть защищен. Снижается вероятность некорректного использования этих функций другими программами. С помощью API можно связывать разные системы, например, подключить к сайту платёжную систему или аутентификацию через социальные сети.

OWASP API Security Top 10

API используется повсеместно, а вместе с этим растет количество инцидентов, связанных с атаками на его функционал. Авторитетный проект OWASP, сосредоточенный на безопасности веб-приложений, выпустил OWASP API Security Top 10 2019 (PDF-версия) — перечень наиболее опасных и распространенных ошибок при разработке и использовании API:

• API1:2019 — Недостатки контроля доступа к объектам;
• API2:2019 — Недостатки аутентификации;
• API3:2019 — Разглашение конфиденциальных данных;
• API4:2019 — Отсутствие ограничений на ресурсы и запросы;
• API5:2019 — Недостатки контроля доступа на функциональном уровне;
• API6:2019 — Переназначение параметров;
• API7:2019 — Ошибки настроек безопасности;
• API8:2019 — Инъекции;
• API9:2019 — Некорректное управление ресурсами;
• API10:2019 — Недостаточное журналирование и мониторинг.

Читать далее Не теребите мой API: обзор OWASP API Security Top 10 →