Технологии безопасности

Сайт посвященный вопросам безопасности

Перехват вызовов функций нативных библиотек в Android приложениях

Для чего это нужно

Я часто сталкивался с необходимостью отлаживать Android приложения, использующие нативный код. Иногда мне было нужно перехватить вызовы к bionic (libc), иногда к .so-шкам, к которым исходного кода у меня не было. Иногда приходилось включать в свои приложения чужие .so, к которым не было исходников и надо было подкорректировать их поведение.

Итак, как сделать LD_PRELOAD в Android?
Continue reading

За нами следят или clickjacking для бизнеса

Несколько дней назад искал зимнюю резину. Искал в поисковой выдаче Яндекса. Переходил на сайт, смотрел. Ничего не подошло, оставил дело на потом. Ничего нигде не заполнял, никому ничего не писал (это важно).

Сегодня мне пишут в личном сообщении ВК:

«Вы интересовались нашим товаром на странице…. Мы можем Вам помочь… бла-бла-бла».

Я был очень удивлен. Как они узнали, что это был именно я?
Continue reading

В поиске бесплатных билетов, исследование игры Аэрофлота

Началось все с того что я получил ссылку на сайт промо компании аэрофлота. Акция заключается в прохождении небольшой flash игры и получении за это бонусных миль. Главный приз в 150 000 миль получает игрок занявший первую строчку в рейтинге. Собственно принцип формирования рейтинга и вызвал мой интерес к этой акции.

В поиске бесплатных билетов, исследование игры АэрофлотаВ поиске бесплатных билетов, исследование игры Аэрофлота

Как всем хорошо известно код flash приложений выполняется на стороне клиента, поэтому защита от нечестной игры представляет весьма сложную задачу. По сути единственным верным решением является перенос всей игровой механики на сторону сервера, а flash приложение выполняет роль клиента к API.

Посмотрим как с этой задачей справляются в Аэрофлот.
Continue reading

Fail2ban [incremental]: Лучше, быстрее, надежнее

Fail2ban [incremental]: Лучше, быстрее, надежнееFail2ban [incremental]: Лучше, быстрее, надежнее
Про fail2ban написано уже много, в том числе и на хабре. Эта статья немного о другом — как сделать защиту им еще надежнее и о еще пока неизвестных в широких кругах новых функциях fail2ban. Добавлю сразу — речь пойдет пока про development branch, хотя уже долго проверенный в бою.

Краткое вступление

В большинстве своем fail2ban устанавливается из дистрибутива (как правило это какая-нибудь стабильная старая версия) и настраивается по манам из интернета за несколько минут. Затем годами работает, без вмешательства админа. Нередко даже логи, за которыми вроде как следит fail2ban, не просматриваются.
Так вот, сподвигнуть на написание этого поста меня заставил случай, произошедший с одним сервером моего хорошего знакомого. Классика жанра — пришла абуза, за ней вторая и пошло поехало. Хорошо еще злоумышленник попался ленивый — логи не потер, да и повезло еще крупно, что logrotate был настроен, чтобы хранить логи месяцами.
Оказалось все довольно банально, подобрали пароль к его админской почте, который по совместительству был паролем для ssh (естественно без ключа). Не рут, но судоер, со всеми вытекающими. Первый его вопрос был: как подобрали — у меня же fail2ban там. И вот здесь как раз засада: не все представляют себе, что подбором паролей сегодня занимаются уже не отдельные компьютеры, а целые бот-сети, кстати поумневшие донельзя. Так вот по логам выяснили, что тут как раз такой случай: перебирала бот-сеть, причем на практике выяснившая его настройки в fail2ban (maxRetry=5, findTime=600 и banTime=600). Т.е. чтобы избежать бана, сеть делала 4 попытки в течении 10 минут с каждого IP. На минуточку в сети порядка 10 тысяч уникальных IP = что-то более 5 с половиной миллионов паролей в сутки.
Кроме того его почтовик делал большую глупость — а именно паузу до 10 секунд, при логине с неправильным именем. Т.е. выяснить, что некоторые имена, в том числе admin, реально имеются, этой сетке не составило труда. Далее шел целенаправленный перебор только паролей для имеющихся имен.
Подробнее на «ремонте» останавливаться не буду — это история долгая, и вообще тема для отдельной статьи. Скажу только, что все почистили и все разрешилось малой кровью, да и отделался он практически «легким» испугом.

Так вот, мысль написать статью возникла после того, как мне (частично заслужено) было высказано: «Так ты про такое знал и ничего не сказал, не предупредил. Да еще и решение есть и не поделился. Ну и сволочь ты». Короче, посему посту — быть.

Continue reading

Кевин Митник теперь продаёт 0day-эксплоиты

Кевин Митник теперь продаёт 0day-эксплоитыКевин Митник теперь продаёт 0day-эксплоиты

Во времена своей молодости Кевин Митник стал самым знаменитым хакером в мире. Для многих он стал образцом для подражания. Его метод проникновения в сеть телекоммуникационной компании с помощью женитьбы на сотруднице этой компании — это вообще классика жанра.

Но после выхода из тюрьмы Кевин Митник превратился в «белого» хакера: он занимался пентестингом, консультировал компании в сфере ИТ-безопасности, публиковал книги по социальной инженерии, читал лекции. Однако, этого оказалось недостаточно, и теперь Кевин, так сказать, возвращается к корням: он продаёт 0day-эксплоиты.
Continue reading

CVE-2014-6271: удалённое выполнение кода в Bash

Сегодня были опубликованы детали об уязвимости в Bash.
Вкратце, Bash позволяет экспортировать функции как переменные окружения:

$ myfunc() { echo "Hello"; }
$ export -f myfunc
$ env | grep -A1 ^myfunc
myfunc=() { echo "Hello"
}

Уязвимость состоит в том, что если после тела функции (после последнего символа "}") добавить ещё какую-нибудь команду, и экспортировать её — она будет выполнена при вызове дочернего интерпретатора:
Continue reading

Так ли приватен HTTPS?

Недавно в одном из прочитанных блогов увидел интересное утверждение (в моем вольном переводе):

Думаете, когда вы работаете с онлайн-банкингом из офиса, у вас сквозное безопасное соединение? Подумайте еще разок.

Достаточно, чтобы заинтересовать и немного покопать. «И шо ви таки думаете? (с)» В «насквозь безопасное» HTTPS соединение можно врезать как минимум двух посредников (Man In The Middle). Правда, оба должны быть Trusted (TMITM), так что не надо сильно паниковать. Пока что.
Continue reading

Примеры поиска в Shodan

Эта статья предназначена для тех, кто либо вовсе не слышал о Shodan, либо слышал, но так и не понял, как им пользоваться. Подобных материалов на русском языке я не нашел, часть информации почерпнул тут, остальное добавил из личного опыта. Я приведу примеры использования «самого страшного поисковика интернета» по имени Shodan. Сервис разработан web-девелопером Джоном Мазерли (John Matherly) и ориентирован, прежде всего, на поиск устройств подключенных к интернету.

Shodan опрашивает порты устройств и на основе полученных ответных баннеров делает выводы об устройствах и сервисах. Поисковик платный, годовая подписка обойдется в 20$, однако, попробовать его в действии можно и за так: после бесплатной регистрации доступно 50 результатов поиска. Историю создания и биографию автора найдете сами, если будет интересно, а пока перейдем к делу:
Continue reading

Немного о нашей компании и новом наборе на «Корпоративные Лаборатории»

Немного о нашей компании и новом наборе на «Корпоративные Лаборатории»Немного о нашей компании и новом наборе на «Корпоративные Лаборатории»Рады приветствовать вас в блоге компании PentestIT.

Мы хотим рассказать о PentestIT, а также поделиться принципами работы нашей компании.

При создании компании были заложены определенные принципы и была выстроена линия развития, направленные на достижения профессиональных результатов самого высокого уровня в сфере ИБ.
Continue reading

Google: только 2% указанных злоумышленниками аккаунтов действительно рабочие

На этой неделе стало известно, что некими лицами были выложены в публичный доступ данные аккаунтов пользователей таких крупных интернет-сервисов как Yandex, Mail.ru и Google. Новость моментально была растиражирована СМИ и комментарии самих компаний не заставили себя долго ждать. Первоначально информация появилась на нескольких форумах, участник одного из форумов опубликовал якобы «утекшие» данные аккаунтов пользователей этих компаний в нескольких постах и сразу же начал утверждать, что почти все данные этих аккаунтов рабочие и он «нашел там свои данные».

We found that less than 2% of the username and password combinations might have worked, and our automated anti-hijacking systems would have blocked many of those login attempts. We’ve protected the affected accounts and have required those users to reset their passwords.

Google.

Нужно отметить, что отличительной особенностью столь масштабной «утечки» является публикация логинов и паролей в открытом виде, что сразу же исключает возможность компрометации серверов этих компаний со стороны злоумышленников (там они хранятся в виде хэша + могут быть дополнительно зашифрованы). Еще одним показателем того, что компрометация этих интернет-сервисов исключена, является тот факт, что едва ли можно себе представить ситуацию, при которой кто-то единовременно смог проникнуть в инфраструктуру всех вышеперечисленных компаний. Даже если бы такое произошло, пароли были бы получены в виде хэшей и скрытно могли быть использованы в атаках типа Pass-the-Hash, которые успешно блокируются большинством современных компаний.

Continue reading