Цхицажо

[leo_sosnine]

В конце месяца переежжаю в Чикаго.

Телеграфирую приветы ужасу совка.

Прощай, Кентуцки!

Comments

[http://users.livejournal.com/_nekto/]

> Цхицажо
> Кентуцки!

Ну, что, начинается?
тролль гнет ель.jpg

>>начинается

[(Anonymous)]

Так а у него и не заканчивалось. Усё по плану, потому что родной язык у чела - украинский.

RE: >>начинается

[leo-sosnine.livejournal.com]

Продолжайте камлания, может если написать об этом ещё раз 500 галковские сказки станут реальностью, ггг

Идиоты

RE: >>начинается

[houblondobbelen.livejournal.com]

Это они Вам вот это, всё вот это, это вот всё вот это, они Вам вот это всё адресовывают: Доиграетесь!

Re: >>начинается

[leo-sosnine.livejournal.com]

"Народ-реалист" это такая туфта, Боже мой. И так и будут носиться с этим "украинец", потому что мэтр сказал. При этом оснований нет вообще никаких (ну, кроме известного "все кто считает что Боинг сбит рашкованами есть украинцы"). Но слово побеждает реальность в головах этих кретинов. Народ-солипсист потому что

Re: >>начинается

[houblondobbelen.livejournal.com]

Самое смешное, что со стороны видно отчетливейше: Attention span у них - как у трёхмесячного щенка лабрадора.
Велели гавать на чеченов - гавкают на чеченов. Через минуту велели гавкать на "грызунов" - гавкают на "грызунов."
Вчера, буквально, заходились в лае на "нагличан." Где сейчас оно? Заспали-забыли.
Нынче - велят лаять "до рвоты" на "укропов."

Народ за океаном - ухохатывается: Чего завтра велят бесштанным, интересно?

[proben.livejournal.com]

Ветер любишь? )))

[leo-sosnine.livejournal.com]

ненавижу люто, бешено!

[proben.livejournal.com]

тогда сочувствую, там трындец в плане ветра, особенно зимой.

[iadminko.livejournal.com]

Тогда безудержно бугагирую.
И самолёты там всё время с опозданием прилетают\улетают. :(

Один плюс - на подлёте к аэропорту очень красиво какой-то небоскрёб из облаков торчит.

[leo-sosnine.livejournal.com]

Ну а что делать-то. За хорошее бобло придётся и при зиме пожить.

[iadminko.livejournal.com]

Дык, мы тут все проститутки - где больше платят, там и работаем. :)

[leo-sosnine.livejournal.com]

Слава Богу, что не Миннесота, хехе

[iadminko.livejournal.com]

Зимой там не был, но летом я застал маленький филиал Ада.

[houblondobbelen.livejournal.com]

Вектор верный, но желаю особо не задерживаться там. Не то, чтоб плохое место, но и - не такое, чтоб ахъ! и остаться. Даже знакомые наизаядлейшие чикагцы, в конце концов, съехали куда-то ещё.
Лично я Вам бы рекомендовал Колорадо, или Northwest.

[leo-sosnine.livejournal.com]

И не планирую. Я с ними вообще всю дорогу несколько даже через губу разговаривал, т.к. не хотел... но были убедительны и зарплата...

Увы, когда я сильно заинтересован я нередко волнуюсь и интервью проходит плохо, а когда через губу -- удивительное дело, но за меня начинается борьба

из почти субтропиков

[aurfin76.livejournal.com]

в климат хуже питерского.

RE: из почти субтропиков

[demidova28124.livejournal.com]

не в климате значит щастье-то!

Добрый день (или что там у вас)

RE: из почти субтропиков

[leo-sosnine.livejournal.com]

климат говно, но зарплата

ну и не насовсем же я туда, так, ступенька

[ulrith.livejournal.com]

Ждём интересных дыбров, попкорн закупил. :)

[mancunian.livejournal.com]

Удачи!

[leo-sosnine.livejournal.com]

спс!

[nurmustermann.livejournal.com]

Ура!

Слушай, раз тебя в ленте увидел, пару вопросов тебе по специальности. Объясни ребёнку что такое фрактал.

Вот есть фирма. На фирме сеть и в ней, в сети, лежат ценные данные. Злобный злоумышленник Оскар хочет эти данные украсть. Оскар сам сидит вне фирмы и предпринимает атаку на сеть фирмы. Но на пути у него встают Firewall, и даже не один - а два, внешний и внутренний, разделённые Bastion Host. И дальше Оскар таки сумел похитить даннные, используя "дыры", используя "уязвимости" в защите. Вот хотелось бы пример. Что за дыры такие? Что за уязвимости такие? Какие они вообще бывают? Пример можешь? Как именно Оскар прошёл через два Firewall и всё, гад, из фирмы вынес?

И вопрос второй. Вот фирма, вот защищена она системой Firewall. Но при этом всё равно используется application security, при этом всё равно внутри сети своя безопасность. На какой случай? Вопрос очень родственный вопросу первому, видимо.

Можешь на пальцах рассказать?

[leo-sosnine.livejournal.com]

Файрволлы это oh so 90-s. Они слабо помогают.

Основных векторов атаки у малефактора два: атака на публичные и полупубличные сервисы, которые фирма предоставляет энторнету и атака через тупого инсайдера (e-mail phishing, spear phishing, USB thumbdrives, рассылка компакт-дисков и т.п.).

Публичные сервисы у крупной компании дырявые, это аксиома. Потому что security patch management это дело хлопотное и часто ломает бизнес-процесс. Поэтому, сначала патчи выкатываются в тест/дев, потом в QA и только потом в прод. С момента релиза патча Майкрософтом (РедХэтом, ИБМ, подставить что угодно) проходит нередко МЕСЯЦ. Допустим, у Майкрсофта случается уязвимость класса RCE (оч. редко, но случается), выпускается патч. Патч диффится, анализируется, понимается что именно он патчит и через это познаётся уязвимость, под неё пишется код, который применяется для атаки на уязвимость. Код применяется. На это всё у малефактора есть около месяца, пока не пропатчат прод.

Но Майкрософт тяжело хакать, т.к. его всё-таки патчат ВООБЩЕ. Кучу вещей не патчат. Многие не патчат third-party software такой как адоби ридер, флэш, и т.п., об этом дальше, не патчат всякие мелкие плагины для веб-серверов, всякие сложные штуки. Допустим, ColdFusion может стоять на одном из веб-серверов старой версии -- и всё, приехали, там дыр как в решете. Заходи кто хочешь, бери что хочешь.

Если у Оскара с ассемблером туговато, он платит несколько тыщ бакинских правильным людям на хакерских форумах и они ему делают эту работу и он получает готовый экзешник. Запустил, снабдил айпишником, в ответ -- реверс шелл, делай что хочешь.

Почему файрволл малополезен? Основная задача файрволла это закрывать сервисы, которые мы имеем, но наружу не предоставляем. Но, во-первых, существуют способы сканировать сеть за файрволлом по косвенным данным (см. firewalking, их много, все закрыть трудно), во-вторых совсем сервисов не предоставлять бизнес не может, ибо как тогда вести бизнес? Что это за сервисы? Допустим (сильно ДОПУСТИМ) у них всё по уму (что навряд ли) и веб-серверы стоят ТОЛЬКО в ДМЗ. Если нет -- пиши пропало, эксплуатируется уязвимость в веб-сервере (который стоит за всеми файрволлами во внутренней сети) и мы внутри. Если да, то ему нужно общаться с серверами БД, которые почти верняк всё равно внутри. Как? Т.е. в любом случае у веб-серверов есть доступ к БД (которые, как правило, и нужно похитить), поэтому поимев сервер малефактор автоматом получает и как минимум доступ к БД, который требуется этому веб-серверу. Дальше -- разнообразный пивотинг, который может занять месяцы и т.п., но более чем возможен.

Но, допустим, организация функционирует в режиме подземного бункера и сервисов в энторнет не предоставляет (фантастический сценарий). В этом случае им можно рассылать имэйл и даже обычные мэйлы. Сотрудникам. Представь, приходит челу физическое бумажное письмо, там компакт-диск или флэшка и рекламный проспект, что ты, дорогуша, выбрана в качестве ограниченного набора лиц и у тебя есть возможность сюда подставить что угодно). Тупая овца обязательно вставит диск/флэшку в рабочий компьютер. С включенным автораном, а если нет -- запустит сама, ибо дура. Дальше -- дело техники.

[nurmustermann.livejournal.com]

Спасибо за интересный рассказ. Я теперь попытаюсь понять.

Есть фирма. У фирмы есть внутреняя сеть, в ней база данных - она цель для хакера. Способов добраться до неё два:
1.) Через веб-сервис, который фирма предоставляет в открытую.
2.) Через тупых овец. Можно просто позвонить и сказать "я твой коллега из соседнего отдела, скажи мне пароль". Это не важно как именно мы троллим овцу - диском ли, письмом ли от менеджера +1 уровня, просто ссылкой на порно или якобы pdf в аттаче - не важно.

Мы на данном этапе вообще не будем рассматривать человеческий фактор. Нет тупых овец, нет выкинутых записных книжек с паролями, никто не ходит по линкам, никто не вставляет левые диски.

Интересует сугубо техническая сторона.

Я так тебя понял:
1.) Используется уязвимость веб-сервиса. Сервис этот всё равно имеет связь с БД на фирме. ТО есть, можно используя дыры (уязвимости) на веб-сервисе заставить его из БД выдать больше, чем он был готов выдать.
2.) Если веб-сервиса нет и фирма сидит в бункере подземном, а так же на фирме нет вообще тупых овец - всё, приехали, хакеры бессильны.

И тут вопрос по первому пункту. Уязвимости веб-сервиса. Дыры веб-сервисов. Публичные сервисы дырявые, это аксиома. Пример, пожалуйста. Что есть дыра публичного сервиса.

Ну и ещё я тебя так понял, что про дыры часто узнают по выпущенным патчам. То есть как-то так происходит:

1.) Фирма сама понимает, что у неё дыра в веб-сервисе.
2.) Выпускает патч и всем об этом говорит.
3.) Но патч пока не работает, а заработает только через месяц.
4.) За этот месяц Оскар анализирует патч и понимает что именно от патчит. А потом пишет на "ассемблере" .exe, который в сочетании с IP этого веб-сервиса даёт возможность...

Что такое "ревер шелл"?
И что такое "уязвимость класса RCE". Какие ещё классы бывают?

[leo-sosnine.livejournal.com]

Пример, пожалуйста.

Лучший пример из прошлого года это heartbleed. Механизм работы отлично поясняется этой картинкой:



В итоге всю память сервера мелкими блоками можно утянуть. В памяти хранятся нешифрованные ключи, пароли и прочие данные. Эта уязвимость существовала вроде бы >10 лет. На момент её обнаружения white hat хакерами >90% всех серверов в интернет на линуксе были подвержены.

Это касалось не только веб-серверов, но и всего, что использовало openssl, например, OpenVPN серверы.

Механизм эксплуатации очевиден: дампим всю память сервера, ищем там credentials, используем их для аутентификации на сервере под видом легального юзера, лучше всего админа, дампим все БД.

Что такое "ревер шелл"?

Грубо говоря это просто командная строка удалённого сервера, но т.к. изнутри наружу режим фильтрации траффика более щадящий, то удалённый сервер настроен таким образом, что он сам ищет малефактора и когда находит устанавливает с ним сеанс. Малефактор при помощи командной строки полностью управляет сервером. Пример: meterpreter.

И что такое "уязвимость класса RCE". Какие ещё классы бывают?

Remote Code Execution, т.е. уязвимость эксплуатация которой позволяет выполнять на сервере произвольный код. Это самый высокий класс уязвимости. Те что попроще это различный DoS, локальное выполнение кода, повышение привилегий, directory traversal и прочее.

[nurmustermann.livejournal.com]

Спасибо!

[leo-sosnine.livejournal.com]

Spear phishing. Как работает электропочта простые юзеры не знают, да и незачем им это. И вот представь, приходит им письмо, от их менеджера +1 уровня. Непосредственного мендежера она бы спросила, а +1 уровня стесняется. А +1 менеджер известен тем, что нередко рассылает всякий бред. В письме написано задание: зайди на такой-то сайт, он спросит у тебя логин и пароль, введи, получи такой-то эксель спредшит, обработай, перешли мне. Что делает дура? Кликает на линк, переходит на сайт, и вводит свои доменные логин и пароль. Не введёт, думаешь? 9 не станет, а 10 обязательно введёт.

Или письмо с пдф файлом содержащим важную типа информацию. Т.к. адоби ридер не патчится в большинстве случаев, или патчится плохо, а эксплойтов для него вагон, юзер кликает на пдф, на той стороне Оскар получает реверс шелл с правами этого юзера.

Что дальше? Тыща возможностей. Допустим, юзер сидит на винде (а где он ещё сидеть-то может). По-умолчанию (читай, у 90% компаний так и есть), ADDS групповые политики хранят 10 последних кэшей логонов. Делается на случай "пропала сеть, а залогиниться нужно". Шансы неплохие, что среди них окажется пароль доменного админа, или на худой конец юзера техподдержки с плавами локальных админов на рабстанциях. Кэш тащим, брутфорсим у ребят на видеокартах (ваще дёшего), получаем логин/пароль админа, повышаем привилегии.

Что делает Оскар, если файрволл NGFW или UTM с реконструкцией до слоя приложений и анализом на сигнатуры? Существует масса техник, типа фрагментации, в которой malicious payload бьётся на несколько фрагментов и шлётся в разных, анализатор отсасывает, т.к. после пересборки полной сигнатуры не получается. Это если он её ещё знает, хехе, а скорее всего -- нет. Реверс-шелл шифрованным траффиком, против которого все пало альто и блукоты абсолютно бесполезны.

Оскар может копаться в потрохах месяцами. Среднее время обнаружения таргетед брича в крупных компаниях несколько месяцев. Т.е. в худшем случае его поймают где-то через месяц (и то, не его, а "что-то странное происходит в этом сегменте сети"), в лучшем -- через годы.

[thunder-potamus.livejournal.com]

Очень интересно! Прочитал не отрываясь.

[(Anonymous)]

+

[kodak2004.livejournal.com]

Лео, скажите честно, вы не писали статьи в ][akep? У меня такое мощное дежавю щас.

[leo-sosnine.livejournal.com]

неа

но журнал хороший, годный

щас, канешно, не то что раньше, при никитоззе, когда туда ещё такие госу как Крис Касперски пописывали, но всё равно, я иногда с удовольствием читаю, надо вот подписку оформить

[hordon.livejournal.com]

Удачи. Тоже буду ждать чикагских обозревательных дыбров.

[leo-sosnine.livejournal.com]

наверное, не стоит, я не особо и фотоблогер и дыбрист

за этим надо подписываться на Сергей Доля или шкварламова

[hordon.livejournal.com]

Не, я скорее про бытовые не-туристические нюансы. Но не будет - так не будет.