Атака на сайт с WordPress через JavaScript и XSS
, , , , , ,

Недавно Nemesida WAF заблокировал довольно занимательную попытку атаки с использованием XSS и JavaScript. Несмотря на то, что я не являюсь JS-разработчиком, ради интереса решил разобраться в сути атаки. Особенность вектора заключается в специфике работы самого WordPress — возможность редактировать файлы тем через админ-панель, позволяя незаметно для администратора внедрить вредоносный код.

Пейлоад, представленный в виде JS, размещается на сайте через XSS-уязвимость, после чего ждет своего исполнения. Отработанный на стороне администратора веб-ресурса, код модифицирует содержимое файла темы WordPress (header.php), позволяя злоумышленнику закрепиться в системе и полностью скомпрометировать веб-приложение.

Читать далее Атака на сайт с WordPress через JavaScript и XSS

Магия Unicode или как взломать пользователя
, ,

Unicode — стандарт кодирования символов, включающий знаки почти всех письменных языков мира. Его использование началось после того, как стало понятно, что для разных языков нужны различные кодировки и поэтому их необходимо собрать воедино. Кодировкой называют представление цифр, букв и всех остальных символов в памяти компьютера и на понятном ему языке. Кодировки бывают разные, такие как, например, cp1251 или ISO-8859-1, но с течением времени их использование стало неудобным т.к. во-первых, для корректного отображения символов разных языков необходимо использовать разные кодировки. А во-вторых, числовое представление того или иного символа может быть одинаковым для разных букв в разных языках. Например, двоичное представление 0b11011111 в кодировке cp1251 — это буква «Я», но в то же время в кодировке ISO-8859-1 это немецкая Eszett. С появлением Unicode ситуация улучшилась и теперь все буквы и символы всех языков мира находятся в одной огромной таблице. Unicode — это стандарт, по которому символы связаны с некоторым числовым значением, а уже для представления этих чисел разработанны Unicode-кодировки, самыми распространенными из которых стали UTF-8 и UTF-16.

Читать далее Магия Unicode или как взломать пользователя

Безопасность сетевого периметра при переходе на удаленный режим работы
, , ,

Карантин как мера, сдерживающая распространение короновируса, стала причиной масштабного перевода сотрудников многих компаний на дистанционных режим работы, понизив уровень информационной безопасности. Как убедиться в защищенности внешнего сетевого периметра, особенно когда технические специалисты экстренно открывают доступ к корпоративным ресурсам для удаленных сотрудников?

Практика организации удаленного доступа

Для продолжения бесперебойной работы множество компаний вынуждены организовывать удаленный доступ для своих сотрудников и делать это в кратчайшие сроки. То, что раньше было доступно только из корпоративной сети, теперь доступно из любой точки мира. Возьмем наиболее частые решения, предпринимаемые техническими специалистами для подключения сотрудников к рабочей сети:

  • Организация доступа через RDP позволяет напрямую подключаться к терминальному серверу компании. Настройка данного доступа не занимает много времени и в условии повышенной срочности является популярным решением;
  • Организация доступа через VPN-соединение позволяет обеспечить доступ к необходимым внутренним ресурсам компании;
  • Использование SSH предоставляет возможность обеспечить удаленное подключение к серверам для работы через командную оболочу.

Любое решение имеет свои недостатки и может быть использовано атакующими для проведения атаки.

Читать далее Безопасность сетевого периметра при переходе на удаленный режим работы

Zero Security: A — курс этичного хакинга и тестирования на проникновение
, , , , ,

Zero Security: A – базовая программа этичного хакинга и тестирования на проникновение от компании Pentestit, рассчитанный на новичков, которые только планируют погрузиться в сферу информационной безопасности. Она включает теоретическую (вебинары) и практическую (специализированная лаборатория) подготовку. В теоретической части происходит ознакомление со многими направлениями тестирования на проникновение, а закрепление полученных знаний проводится в специально подготовленной лаборатории. Обучение, построенное по принципу 20% теории, а остальные 80% — практическая работа в лаборатории, позволяет наиболее продуктивно освоить полученный материал.

В рамках Zero Security: A рассматриваются такие темы как:

  • Законодательство в сфере ИБ в России и за рубежом;
  • Тестирование на проникновение: методология, методы, виды, инструментарий;
  • Модель угроз;
  • Введение в Kali Linux Rolling Edition и обзор стандартного инструментария;
  • Разведка и сбор информации;
  • Сканирование сети;
  • Анализ защищенности беспроводных сетей;
  • Безопасность DNS: основы;
  • Введение в социальную инженерию и многое другое.

Читать далее Zero Security: A — курс этичного хакинга и тестирования на проникновение

ModSecurity vs Nemesida WAF Free
, , , , ,

В предыдущем обзоре бесплатных WAF для Nginx мы сравнивали NAXSI и Nemesida WAF Free. Теперь настал черед провести еще один, с использованием наиболее популярного решения в своем сегменте — ModSecurity, или Modsec. В обзоре будут учитываться простота установки, качество предустановленных сигнатур (False Positive, False Negative), удобство использования и прочие критерии. Читать далее ModSecurity vs Nemesida WAF Free

Корпоративные лаборатории: я твой web SHAтал
,

Корпоративные лаборатории Pentestit — программа подготовки в области информационной безопасности для ИБ-специалистов, пентестеров, системных администраторов и разработчиков, желающих получить качественную практическую подготовку в области ИБ или подтянуть уже имеющиеся навыки за короткое время.

Программа подготовки построена по принципу: 20% теоретическая подготовка, а остальные 80% — практическая подготовка в специализированных лабораториях, в которых присутствует десятки разнообразных уязвимых веб-приложений, сетевых сервисов и ошибок конфигураций. В конце обучения предусмотрена экзаменационная работа в виде тестирования на проникновение по принципу «Black Box». Начиная с середины 2019 года мы выдаем сертификат только при выполнении 70% практический заданий в лаборатории.

Читать далее Корпоративные лаборатории: я твой web SHAтал

Не PCI мой DSS: насколько страшны требования регуляторов
, , ,


Вопросы безопасности и защищенности персональных данных сегодня наиболее обострены. И далеко не последнюю роль в этом сыграли такие документы, как GDPR, PCI DSS, Федеральный закон № 152-ФЗ «О персональных данных». Рассмотрим более подробно каждый из перечисленных документов, выделим круг субъектов, попадающих под их действие, а также общие требования к защите данных.

Читать далее Не PCI мой DSS: насколько страшны требования регуляторов

Пентест веб-приложения с использованием Kali Linux: разведка и сбор информации
, , ,

Любой поиск уязвимостей начинается с разведки и сбора информации. Разведка может быть активной: перебор файлов и директорий сайта, использование сканеров уязвимостей, ручной анализ приложения; или пассивной: с использованием различных поисковых систем и интернет-сервисов. В этой статье мы рассмотрим инструменты Kali Linux, а также онлайн-ресурсы, которые можно использовать для анализа защищенности веб-приложений. Читать далее Пентест веб-приложения с использованием Kali Linux: разведка и сбор информации

История о том, как сисадмин пентестера похекал
,

Эта история — художественный вымысел. Все совпадения с реальностью случайны. Не нарушайте законодательство.

Процветает в городе Н-ске одна компания, которая занимается аудитом в финансовой сфере и попутно оказывает юридические услуги. Работает в этой компании сисадмин Василий, большую часть времени проводя в своём маленьком подвальчике с почётным названием «Серверная». Это и вправду был подвал, или, как модно говорить, цокольный этаж, но помимо двенадцати серверов там ещё располагались стеллажи с архивными документами и всяким хламом вроде новогодних украшений, одноразовой посуды, старых офисных принадлежностей и неработающей техники. Читать далее История о том, как сисадмин пентестера похекал

How to c[RU].sh или как была взломана Test lab 14
, ,

10-го декабря 2019 г. мы запустили четырнадцатую по счёту лабораторию. На девятый день в режиме нон-строп трем участникам удалось скомпрометировать узлы лаборатории, определив победителей этого сезона. Для всех остальных, кто пытался, пытается и будет пытаться пропентестить Test lab 14 мы решили опубликовать ее прохождение.

Лаборатория Test lab — бесплатная площадка для проверки и закрепления навыков тестирования на проникновение, представляющая собой корпоративную сеть виртуальной компании из уязвимых и неуязвимых компонентов (серверов, сетевого оборудования и рабочих станций).

Итак, пришло время разобрать все задания Test lab 14, чтобы дать возможность тем, у кого не получается, глубже погрузиться в мир информационной безопасности и узнать для себя что-то новое. Содержание получилось довольно объёмным, описание — лаконичным, но, надеемся, что интересным. Читать далее How to c[RU].sh или как была взломана Test lab 14

Сообщество специалистов в области информационной безопасности.