Недавно Nemesida WAF заблокировал довольно занимательную попытку атаки с использованием XSS и JavaScript. Несмотря на то, что я не являюсь JS-разработчиком, ради интереса решил разобраться в сути атаки. Особенность вектора заключается в специфике работы самого WordPress — возможность редактировать файлы тем через админ-панель, позволяя незаметно для администратора внедрить вредоносный код.

Пейлоад, представленный в виде JS, размещается на сайте через XSS-уязвимость, после чего ждет своего исполнения. Отработанный на стороне администратора веб-ресурса, код модифицирует содержимое файла темы WordPress (header.php), позволяя злоумышленнику закрепиться в системе и полностью скомпрометировать веб-приложение. Читать далее Атака на сайт с WordPress через JavaScript и XSS →

Unicode — стандарт кодирования символов, включающий знаки почти всех письменных языков мира. Его использование началось после того, как стало понятно, что для разных языков нужны различные кодировки и поэтому их необходимо собрать воедино. Кодировкой называют представление цифр, букв и всех остальных символов в памяти компьютера и на понятном ему языке. Кодировки бывают разные, такие как, например, cp1251 или ISO-8859-1, но с течением времени их использование стало неудобным т.к. во-первых, для корректного отображения символов разных языков необходимо использовать разные кодировки. А во-вторых, числовое представление того или иного символа может быть одинаковым для разных букв в разных языках. Например, двоичное представление 0b11011111 в кодировке cp1251 — это буква «Я», но в то же время в кодировке ISO-8859-1 это немецкая Eszett. С появлением Unicode ситуация улучшилась и теперь все буквы и символы всех языков мира находятся в одной огромной таблице. Unicode — это стандарт, по которому символы связаны с некоторым числовым значением, а уже для представления этих чисел разработанны Unicode-кодировки, самыми распространенными из которых стали UTF-8 и UTF-16.

Читать далее Магия Unicode или как взломать пользователя →

Карантин как мера, сдерживающая распространение короновируса, стала причиной масштабного перевода сотрудников многих компаний на дистанционных режим работы, понизив уровень информационной безопасности. Как убедиться в защищенности внешнего сетевого периметра, особенно когда технические специалисты экстренно открывают доступ к корпоративным ресурсам для удаленных сотрудников?

Практика организации удаленного доступа

Для продолжения бесперебойной работы множество компаний вынуждены организовывать удаленный доступ для своих сотрудников и делать это в кратчайшие сроки. То, что раньше было доступно только из корпоративной сети, теперь доступно из любой точки мира. Возьмем наиболее частые решения, предпринимаемые техническими специалистами для подключения сотрудников к рабочей сети:

• Организация доступа через RDP позволяет напрямую подключаться к терминальному серверу компании. Настройка данного доступа не занимает много времени и в условии повышенной срочности является популярным решением;
• Организация доступа через VPN-соединение позволяет обеспечить доступ к необходимым внутренним ресурсам компании;
• Использование SSH предоставляет возможность обеспечить удаленное подключение к серверам для работы через командную оболочу.

Любое решение имеет свои недостатки и может быть использовано атакующими для проведения атаки.

Читать далее Безопасность сетевого периметра при переходе на удаленный режим работы →

Zero Security: A – базовая программа этичного хакинга и тестирования на проникновение от компании Pentestit, рассчитанный на новичков, которые только планируют погрузиться в сферу информационной безопасности. Она включает теоретическую (вебинары) и практическую (специализированная лаборатория) подготовку. В теоретической части происходит ознакомление со многими направлениями тестирования на проникновение, а закрепление полученных знаний проводится в специально подготовленной лаборатории. Обучение, построенное по принципу 20% теории, а остальные 80% — практическая работа в лаборатории, позволяет наиболее продуктивно освоить полученный материал.

В рамках Zero Security: A рассматриваются такие темы как:

• Законодательство в сфере ИБ в России и за рубежом;
• Тестирование на проникновение: методология, методы, виды, инструментарий;
• Модель угроз;
• Введение в Kali Linux Rolling Edition и обзор стандартного инструментария;
• Разведка и сбор информации;
• Сканирование сети;
• Анализ защищенности беспроводных сетей;
• Безопасность DNS: основы;
• Введение в социальную инженерию и многое другое.

Читать далее Zero Security: A — курс этичного хакинга и тестирования на проникновение →

Весна этого года стала тяжелым испытанием для бизнеса. Привычный многим оффлайн формат практически полностью был приостановлен, а высвобожденная нагрузка переместилась на онлайн-площадки (интернет-магазины, обучающие центры, интернет-сервисы и т.д.), добавив работы техническим специалистам, и так перегруженным решением проблем экстренного перевода сотрудников на удаленный режим работы. В такое время вопросы защищенности сетевого периметра и веб-ресурсов переходят на второй план, чем активно пользуются злоумышленники.

Постоянный рост хакерской активности и отсутствие контроля за безопасностью веб-приложений сопровождается массовой компрометацией ресурсов. Как злоумышленник может атаковать сайт на примере интернет-магазина, к каким последствиям это приводит и как противодействовать таким атакам, особенно в период повышенной нагрузки, мы поделимся в этой статье. Читать далее Сайт взломают, а вы и ухом не моргнете →

В предыдущем обзоре бесплатных WAF для Nginx мы сравнивали NAXSI и Nemesida WAF Free. Теперь настал черед провести еще один, с использованием наиболее популярного решения в своем сегменте — ModSecurity, или Modsec. В обзоре будут учитываться простота установки, качество предустановленных сигнатур (False Positive, False Negative), удобство использования и прочие критерии. Читать далее ModSecurity vs Nemesida WAF Free →

Корпоративные лаборатории Pentestit — программа подготовки в области информационной безопасности для ИБ-специалистов, пентестеров, системных администраторов и разработчиков, желающих получить качественную практическую подготовку в области ИБ или подтянуть уже имеющиеся навыки за короткое время.

Программа подготовки построена по принципу: 20% теоретическая подготовка, а остальные 80% — практическая подготовка в специализированных лабораториях, в которых присутствует десятки разнообразных уязвимых веб-приложений, сетевых сервисов и ошибок конфигураций. В конце обучения предусмотрена экзаменационная работа в виде тестирования на проникновение по принципу «Black Box». Начиная с середины 2019 года мы выдаем сертификат только при выполнении 70% практический заданий в лаборатории.

Читать далее Корпоративные лаборатории: я твой web SHAтал →

Вопросы безопасности и защищенности персональных данных сегодня наиболее обострены. И далеко не последнюю роль в этом сыграли такие документы, как GDPR, PCI DSS, Федеральный закон № 152-ФЗ «О персональных данных». Рассмотрим более подробно каждый из перечисленных документов, выделим круг субъектов, попадающих под их действие, а также общие требования к защите данных.

Читать далее Не PCI мой DSS: насколько страшны требования регуляторов →

Любой поиск уязвимостей начинается с разведки и сбора информации. Разведка может быть активной: перебор файлов и директорий сайта, использование сканеров уязвимостей, ручной анализ приложения; или пассивной: с использованием различных поисковых систем и интернет-сервисов. В этой статье мы рассмотрим инструменты Kali Linux, а также онлайн-ресурсы, которые можно использовать для анализа защищенности веб-приложений. Читать далее Пентест веб-приложения с использованием Kali Linux: разведка и сбор информации →

Эта история — художественный вымысел. Все совпадения с реальностью случайны. Не нарушайте законодательство.

Процветает в городе Н-ске одна компания, которая занимается аудитом в финансовой сфере и попутно оказывает юридические услуги. Работает в этой компании сисадмин Василий, большую часть времени проводя в своём маленьком подвальчике с почётным названием «Серверная». Это и вправду был подвал, или, как модно говорить, цокольный этаж, но помимо двенадцати серверов там ещё располагались стеллажи с архивными документами и всяким хламом вроде новогодних украшений, одноразовой посуды, старых офисных принадлежностей и неработающей техники. Читать далее История о том, как сисадмин пентестера похекал →