Привет всем нашим читателям и просто людям, интересующимся информационной безопасностью. В предыдущей статье мы начали подведение итогов 2014 года и рассказали о наших уникальных программах обучения. В этой статье мы попытаемся кратко рассказать о публичной жизни нашей компании и ее результатах.

Итак, начнем.

Начался 2014 год с выступления руководства PENTESTIT на международном форуме «Cyber Security Forum 2014». Мы выступили на двух площадках форума, рассказав о практической ИБ. Выступление получилось ярким и насыщенным. Обсуждая серьезные темы, были найдены пути решения некоторых острых и насущных вопросов. В кулуарах мероприятия были достигнуты договоренности о запуске первой программы обучения совместно с компанией SkillFactory.

Следующим мероприятием, в котором приняла участие наша компания — Российский Интернет Форум «РИФ+КИБ 2014», в одной из секций которого с докладом по безопасности веб-сайтов совместно с компанией «Acronis», нашим партнером, выступил Сафонов Лука, технический директор PENTESTIT.

Добрый день!

Хотим поприветствовать всех поклонников нашего блога и подвести краткие итоги уходящего 2014 года. В этом году компания PENTESTIT запустила две программы подготовки специалистов в сфере практической ИБ: «Zero Security: A» и «Корпоративные лаборатории тестирования на проникновение».

Программы, как и задумывалось, получились разные: как по уровню подготовки, так и по сложности преподаваемого материала. Хотелось бы рассказать вам, чего мы добились по каждой из программ.

Всем привет!
Предоставляем видеозаписи выступлений гостей программы «Корпоративные лаборатории тестирования на проникновения», в которой в дополнении к основной, платной программе, приглашенные эксперты делятся своими глубокими знаниями и опытом на различные темы практической ИБ.

1. Гость программы обучения «Корпоративные лаборатории» Григорий Земсков, руководитель компании Revisium, эксперт в области ИБ и автор уникального отечественного веб-сканера Ai-Bolit, провел мастер класс на тему: «Поиск и удаление редиректов c сайта».



2. Гость программы обучения «Корпоративные лаборатории» Олег Михальский, директор по облачным сервисам Acronis, выступил с докладом на тему:
«Облачное хранение данных. Возможности и угрозы». Олег рассказал об облачной модели ИТ и проблемах безопасности, продемонстрирует практические решения и осветит тему будущих угроз и возможностей в данной области.

Курсы этичного хакинга и тестирования на проникновение.

Если вы увлекаетесь информационной безопасностью и хотите усовершенствовать свои навыки в короткое время — предлагаем ознакомиться с обновленными программами обучения в области практической ИБ от Pentestit.

Разрабатывая уникальные по своему формату и методике обучения курсы этичного хакинга: «Zero Security: A» (начальная подготовка) и «Корпоративные лаборатории» (профессиональная подготовка), мы стараемся сделать обучение не только эффективными, но и удобными. Основное отличие программ обучения заключается в том, что первая рассчитана на базовую подготовку в области этичного хакинга, а вторая — на профессиональную подготовку не только этичного хакинга, но и построения эффективных систем ИБ. В любом случае, даже опытные специалисты, посетившие первую программу, открывают для себя что-то новое, не говоря уже о «Корпоративных лабораториях», включающих материал, по уровню сравнимый с докладами на профессиональных хакерских конференциях. Кроме этого, каждый набор пополняется новым материалом, что позволяет передать специалистам, проходящим обучения, наиболее актуальную на момент обучения информацию.

Уникальность программ обучения заключается в симбиозе формата обучения (полностью дистанционное, не требующее отрыва от работы и учебы), качества материала и специализированных ресурсов, на которых производится обучение.

Добрый день уважаемые хабрачитатели, сегодня специалисты нашей компании хотели бы представить вашему взору разбор одного попавшегося не так давно нам на глаза Android вируса, если можно его так назвать, SimpleLocker. Для того, чтобы узнать о нём побольше, мы проделали немалую работу, которою в общем можно разбить на 3 шага:

Шаг 1. Анализ манифеста и ресурсов
Шаг 2. Декомпиляция приложения
Шаг 3. Анализ кода

Рады приветствовать вас в блоге компании PentestIT.

Мы хотим рассказать о PentestIT, а также поделиться принципами работы нашей компании.

При создании компании были заложены определенные принципы и была выстроена линия развития, направленные на достижения профессиональных результатов самого высокого уровня в сфере ИБ.

Анализ sms-бота для Android. Часть II

Продолжение статьи Анализ sms-бота для Android. Часть I

Вступление

Еще один бот под Android, рассылаемый по «красивым» номерам вида 8***6249999 и т.д. Смской приходит ссылка вида: «Посмотрите, что о Вас известно» или «Информация для владельца» и т.д. названиесайта.ру/7***6249999"

Процесс вскрытия Android-приложений:

• Скачиваем APK-файл;
• Извлекаем файл манифеста;
• Декомпилируем приложение в читаемый исходный или байт-код;
• Анализируем манифест и код.

Джентльменский набор инструментов:

• Apktool – Используем для того чтобы вытащить манифест и ресурсы;
• Dex2jar – Декомпилируем APK-файл в байт-код;
• Jd-gui – Байт-код переводим в читабельный код.

«Корпоративные лаборатории PentestIT» — программа профессиональной подготовки в области ИБ и тестировании на проникновение.

Рады сообщить, что 17.08.2014 состоится запуск второго набора на программу «Корпоративные лаборатории тестирования на проникновение» от компании PentestIT — уникального по своему содержанию и методике обучения курсу.

О первом наборе «Корпоративных лабораторий»

На первом наборе «Корпоративных лабораторий» участники познакомились с российским и международным законодательством в области ИБ, методологией, видами и инструментами тестирования на проникновение, рассмотрели природу уязвимостей, векторы атак, а также инструменты и способы защиты, позволяющие выстроить безопасную ИТ-инфраструктуру. Все вебинары сопровождались практикой — закреплением материала на специально разработанных уязвимых серверах, доступ к которым производился посредством VPN-соединения. Завершающим этапом обучения являлось прохождение тестирования и специализированной лаборатории, максимально приближенной к реальной корпоративной сети.

---

Анализ sms-бота для Android. Часть I.

Введение

Разбор smsBot (Android) с целью выявления принципа работы и интересного функционала.
Бот реализован для платформы Android, алгоритм вскрытия приложения таков:

• Скачиваем APK-файл;
• Извлекаем файл манифеста;
• Декомпилируем приложение в читаемый исходный или байт-код;
• Анализируем манифест и код.

Инструментарий:

• Apktool – Используем для того, чтобы вытащить манифест и ресурсы;
• Dex2jar – Декомпилируем APK-файл в байт-код;
• Jd-gui – Байт-код переводим в читабельный код.

---

Запуск новой лаборатории

На PHD IV командой PentestIT совместно со специалистами из Positive Technologies, OnSec и CSIS была презентована очередная лаборатория тестирования на проникновение «Test.lab v.6» под кодовым названием «На шаг впереди», разработка которой велась более 2-х месяцев. Напомним, предыдущая лаборатория «Вдоль и поперек» была презентована на ZeroNights'2013, в которой одержал стремительную победу Омар Ганиев (Beched).

Лаборатория «На шаг впереди» представляет собой реальную сеть виртуальной компании «Global Security», в которой намеренно заложены уязвимости различного типа и сложности, охватывающие практически все области ИБ: безопасность сетей, ОС, приложений и т.д. Основная цель лаборатории — дать возможность каждому желающему проверить свои навыки тестирования на проникновение на практике.

Сюжет:

В лаборатории «Test.lab v.6» участникам будет предложено выполнить тестирование на проникновение распределенной сети виртуальной компании «Global Security», получившей всемирную известность за использование сверхсовременных систем защиты и мониторинга сети, которые, по словам руководства компании, гарантируют 100% защиту от хакеров.

За все время существования ИТ-структура «Global Security» ни разу не была скомпрометирована злоумышленниками, заявляет директор по ИБ Michael Minter — результат бескомпромиссных систем защиты и сертифицированного персонала! Руководство «Global Security» настолько уверено в защищенности своих ИТ-ресурсов, что готова бросить вызов экспертам в области практической ИБ со всего мира.

Как нам стало известно, ИТ структура компании включает в себя различные компоненты, такие как WEB-сервера, оборудование Cisco, сервера приложений — собственные разработки сотрудников «Global Security», а самое главное, «Global Security» — это распределенная сеть с несколькими офисами, соединенными каналами связи. Кстати, по имеющимся данным, схема сети компании утекла в Интернет.

Вам, как профессионалу в области компьютерного взлома, White Hat, за плечами которого эксплуатация систем различных масштабов и сложности, предстоит доказать, что защищенных систем не бывает! Однако, чтобы успешно выполнить взлом «Global Security», вам необходимо быть не только профессионалом своего дела, но и успеть сделать это раньше других участников, всегда быть на шаг впереди!

На Positive Hack Days 2014 будет презентована пентест-лаборатория PentestIT «Test.lab v.6» под кодовым названием «На шаг впереди», представляющая собой распределенную компьютерную сеть, содержащую различные актуальные уязвимости, ошибки конфигурации, а также уязвимости, связанные с человеческим фактором. Основной акцент в «Test.lab» делается на реалистичность — ИТ структура проектируется по аналогии с реальными компаниям с присущими им уязвимостями (в обезличенном виде), что в корне отличает лаборатории от CTF соревнований и приближает действие атакующих к реальному взлому. В разработке лаборатории принимают участие эксперты в области ИБ со всего мира — Россия, Украина, Германия, Дания, США.

Требуемое программное обеспечение: Kali Linux.
Необходимые знания: опыт работы с консолью Linux-систем (в частности, дистрибутивом Kali Linux) и консолью Метасплойта.

В первой части мы познакомились с модулями для обнаружения уязвимостей при аутентификации (SMB Login Check, VNC Authentication None Detection) и плагином для поиска уязвимостей в веб-приложениях (WMAP). Во второй части займемся установкой сканера уязвимостей Nessus на 32-битную версию системы Kali Linux для последующего его взаимодействия с Метасплойтом (установка на 64-битную версию происходит аналогичным образом).

Metasploit – излюбленный инструмент хакеров и специалистов по информационной безопасности, включающий в себя множество модулей для создания и использования эксплойтов. Но для эксплуатации уязвимостей, их необходимо сначала выявить. Функционала фреймворка для этих целей не достаточно, зато с этой задачей легко справляются сканеры уязвимостей. Взаимодействие сканеров уязвимостей с модулями Metasploit можно осуществить с помощью поддерживаемых плагинов. В результате такой интеграции мы сможем находить уязвимые места и тут же их эксплуатировать.

Установка Nessus Home

Nessus — один из самых популярных сканеров уязвимостей, разработанный компанией Tenable Network Security. До 2005 года это было свободное программное обеспечение с открытым исходным кодом, а в 2008 году вышла платная версия продукта. Также существует и бесплатная «домашняя» версия, ограничивается использованием в домашней сети. Её мы и будем использовать в наших целях.

Мы начинаем цикл обучающих статей, посвященных взаимодействию сканеров уязвимостей с Метасплоитом.

Требуемое программное обеспечение: Kali Linux.
Необходимые знания: опыт работы с консолью Linux-систем (в частности, дистрибутивом Kali Linux) и консолью Метасплойта.

Большинство атак основано на уязвимостях в программном обеспечении или ошибках конфигурации. В связи с этим рекомендуемыми мерами для обеспечения информационной безопасности организации являются регулярное сканирование системы на наличие уязвимостей и тестирование на проникновение.

Сканирование на наличие уязвимостей позволяет проверить диапазон указанных IP-адресов на возможные проблемы в системе безопасности, предоставляя пентестерам информацию о вероятных векторах атак. При работе со сканерами уязвимостей нужно помнить, что они могут ошибаться и выдавать ложную или неправильную информацию.

Как известно, Metasploit Framework – это инструмент для создания, тестирования и использования эксплойтов. Но, благодаря поддержки модулей и плагинов, он вполне может сгодиться и для поиска уязвимостей.

В первой части мы рассмотрим модули, встроенные в Metasploit, которые позволяют выявить наиболее распространенные бреши в системах безопасности.

Лучшие практики и рекомендации по защите php-приложений от XSS-атак

Создание функционирующего веб-приложения – это только полдела. Современные онлайн-сервисы и веб-приложения, помимо собственного контента, хранят данные пользователей. Защита этих данных зависит от правильно написанного кода с точки зрения надёжности и безопасности.



Большинство уязвимостей связано с неправильной обработкой данных, получаемых извне, или недостаточно строгой их проверкой. Одной из таких уязвимостей является межсайтовое выполнение сценариев (Сross Site Sсriрting, XSS), которая может привести к дефейсу сайта, перенаправлению пользователя на зараженный ресурс, вставке в веб-ресурс вредоносного кода, краже COOKIE-файлов, сессии и прочей информации. Противостоять XSS своими сила поможет применение лучших практик и рекомендаций по безопасному программированию, о которых и пойдет речь ниже.

PentestIT «Test.lab»

О лаборатории

Лаборатории тестирования на проникновение PentestIT «Test.lab» имитируют ИТ структуру настоящих компаний, с серверами и рабочими станциями. Цель лабораторий — предоставить возможность всем желающим проверить навыки пентеста в условиях, максимально приближенных к реальным, при этом полностью легально. Задания, которые закладываются в «Test.lab», берутся на основе выполненных пентестов в обезличенном виде и всегда взаимосвязаны между собой. Например, найденные логины и пароли, сохраненные в браузере пользователя, можно использовать для доступа к серверам атакуемой виртуальной компании. Таким образом лаборатории «Test.lab» получаются более реалистичными, чем и отличаются от обычных CTF соревнований.

Вектора атак и инструменты

В процессе разработки пентест-лабораторий «Test.lab» закладываются различные вектора атак, затрагивающие практически все области ИБ: безопасность сети, систем, прикладного ПО. Выполнение заданий требует не только глубоких технических знаний, но и умение пользоваться специальными инструментами: BurpSuite, IDAPro, Metasploit и т.д, а также специфического мышления.

Несколько месяцев назад я столкнулся с интересной задачей по анализу подозрительного pdf файла. К слову сказать, обычно я занимаюсь анализом защищенности веб приложений и не только веб, и не являюсь большим экспертом в направлении malware analysis, но случай представился довольно любопытный.

Практически все инструменты представленные в данной статье содержаться в дистрибутиве Remnux, созданном специально в целях reverse engineering malware. Вы можете сами загрузить себе образ виртуальной машины для VirtualBox или Vmware.

Перевод седьмой части книги «Metasploit Penetration Testing Cookbook»

Глава 7. Работа с модулями

В этой главе изучим следующее:

• Работа со вспомогательными скан-модулями
• Работа со вспомогательными админ-модулями
• SQL injection и DOS модули
• Пост-эксплуатационные модули
• Основы создания модулей
• Анализ модулей
• Создание пост-эксплуатационного модуля

Запуск лаборатории тестирования на проникновение «Вдоль и поперек» на ZeroNights'13 для PentestIT было знаменательным событием, поэтому наша команда готовилась особенно тщательно — для нас это был очередной шанс показать себя.

Для начала стоит немного рассказать о самом мероприятии. Доклады были крайне техничными и интересными, workshop порадовал, на площадках царила хакерская атмосфера и никакой навязчивой рекламы. В общем, было очень и очень круто! Круто еще потому, что удалось встретиться почти со всей нашей командой и друзьями из разных городов и стран.

Теперь о лаборатории. Всего приняло участие порядка 35 человек. Поскольку «Вдоль и поперек» должна была быть доступна только для участников конференции, мы ограничили регистрацию только с IP адресов сетей, доступных на ZN'13, однако, для подключения по VPN к самой площадке лаборатории можно было использовать любого провайдера и на то есть причины. На конференции был бесплатный wi-fi, но учитывая специфику аудитории, нормально пользоваться им было невозможно — только ленивый не запустил Intercepter-NG. Этот факт мы не учли, поэтому в спешке начали искать канал связи для участников. Администрация мероприятия оперативно предоставила 48-ми портовый коммутатор и Wireless AP — после обеда мы наладили доступ к сети и запустили лабораторию.