PHDays 2012 में नए पेपर्स: स्मार्ट कार्ड की कमजोरियों से लेकर एसएपी हैकिंग तक

रूस में अग्रणी कंपनियां आईसीएस वातावरण में त्रुटियों और चोरी के कारण हर दसवें रूबल को क्यों खो देती हैं? रूसी आरबी सिस्टम से चुराए गए धन से कितने स्टेडियम बनाए जा सकते हैं? बैंकों और हैकरों के बीच की कड़ी लड़ाई के सही कारण क्या हैं? हम विशेषज्ञ चिकित्सकों की रिपोर्ट की कहानी जारी रखते हैं जिन्होंने PHDays 2012 में अपने भाषणों की घोषणा की।

रूसी धोखाधड़ी के साथ लड़ाई की विशेषताएं

दिलचस्प तथ्य: 1 जनवरी 2013 को, राष्ट्रीय भुगतान प्रणाली पर कानून के प्रावधान लागू होते हैं। ग्राहक के खाते से अनधिकृत डेबिट के मामले में, बैंक ग्राहक के खाते में धन वापस करने के लिए बाध्य होगा। दूसरे शब्दों में, अब ग्राहकों से पैसा चुराया जा रहा है, और अगले साल वे बैंक से चोरी करेंगे। यह कारण बैंकिंग समुदाय के लिए बैंकिंग प्रणाली के साथ साइबर अपराधियों के "काम" के खिलाफ धर्मयुद्ध की घोषणा करने के लिए काफी है। इस तरह के हैकर्स के लिए 2013 और उसके बाद के वर्षों को नाखुश करने के लिए, येवगेनी त्सरेव "रूसी में धोखाधड़ी का मुकाबला करने की प्रणाली" रिपोर्ट की रूपरेखा में समझाने की कोशिश करेंगे। वह बैंकिंग क्षेत्र में रूसी धोखाधड़ी की ख़ासियत और धोखाधड़ी योजनाओं की विविधता के बारे में बात करेंगे, पश्चिमी दृष्टिकोण की कम दक्षता के कारणों को इंगित करेंगे और एक एकीकृत सुरक्षा प्रणाली का निर्माण करने का तरीका प्रदर्शित करेंगे।

डीएनएस एक्सफ़िल्टरेशन SQLmap का उपयोग कर

सैन्य मामलों में, घुसपैठ नियंत्रण दुश्मन के नियंत्रण के तहत क्षेत्र से पीछे हटने की रणनीति है। इस तरह के कार्यों के दौरान उचित छलावरण गति से अधिक महत्वपूर्ण है। हैकर्स, सिस्टम तक पहुंच प्राप्त कर चुके हैं, वे भी डेटा प्रदर्शित करने की जल्दी में नहीं हैं। सबसे पहले, खोजे जाने का एक बड़ा जोखिम है। दूसरे, आवश्यक जानकारी बाद में आ सकती है। इसलिए, एक हमलावर प्रोग्राम छोटे हिस्से में जानकारी भेजता है, गुप्त चैनलों का उपयोग करते हुए, अक्सर डेटा ट्रांसफर के लिए अभिप्रेत नहीं होता है। क्रोएशियाई डेवलपर मिरोस्लाव स्टैम्पार ने अपनी रिपोर्ट "एसक्यूएलमैप का उपयोग करते हुए डीएनएस एक्सफिलिएशन" में, एसक्यूएल इंजेक्शन का उपयोग करके डीएनएस एक्सफिलिएशन तकनीक को पेश किया जाएगा, इसके पेशेवरों और विपक्षों के बारे में बात करेंगे, और दृश्य प्रदर्शन देंगे।

इंटरनेट एक्सप्लोरर के माध्यम से प्रवेश के तरीके

व्लादिमीर वोरोत्सोव की एक रिपोर्ट, "माइक्रोसॉफ्ट नेटवर्क्स के वेब क्लाइंट्स पर अटैक", ऐसे तरीके प्रदान करता है जो इंटरनेट नेटवर्क पर Microsoft नेटवर्क पर काम करने वाले उपयोगकर्ताओं पर हमले की अनुमति देता है। विचाराधीन हमलों का उद्देश्य दोनों दूरस्थ सर्वरों (एक्सेस पॉलिसी प्रतिबंधों को दरकिनार) और स्थानीय पीसी पर स्थित गोपनीय उपयोगकर्ता डेटा प्राप्त करना है।

एक स्वचालित प्रक्रिया नियंत्रण प्रणाली (SCADA फोरेंसिक) में सूचना सुरक्षा घटनाओं की जांच

तकनीकी अवसंरचना और औद्योगिक नियंत्रण प्रणालियों में हमलावरों की रुचि की अभिव्यक्ति एक प्रकार की प्रवृत्ति बन रही है। विशेषज्ञों के अनुसार, प्रमुख रूसी उद्योग कंपनियां आंतरिक धोखाधड़ी, चोरी, तकनीकी प्रक्रियाओं के निष्पादन में अनियमितता और उपकरणों को मापने की सेटिंग में त्रुटियों के कारण अपनी आय का 10% तक खो देती हैं। एक स्वचालित प्रक्रिया नियंत्रण प्रणाली की विशिष्टता को औद्योगिक स्वचालित प्रणालियों के वातावरण में एक मौलिक नई तकनीकी दिशा - कंप्यूटर फोरेंसिक (फोरेंसिक) के गठन की आवश्यकता है।

इसके अलावा, आंद्रेई कोमारोव की रिपोर्ट इस क्षेत्र में घटनाओं को रोकने के लिए तंत्र और आईसीएस क्षेत्र में आर्थिक धोखाधड़ी को रोकने के लिए व्यापार आश्वासन सिस्टम (बीएएस) का उपयोग करने की संभावना का वर्णन करेगी (ईंधन डिस्पेंसर, ट्रेडिंग सिस्टम, लेखा प्रणाली, टैंक सेंसर के संकेतक) , ईंधन प्रसंस्करण और डिस्काउंट कार्ड प्रसंस्करण प्रणाली)। रिपोर्ट विभिन्न विदेशी देशों की शीर्ष 10 सबसे बड़ी औद्योगिक कंपनियों में होने वाली घटनाओं के व्यावहारिक रूप से महत्वपूर्ण उदाहरणों के एक ज्वलंत प्रदर्शन के साथ होगी। एंड्रे कोमारोव - ऑडिट एंड कंसल्टिंग के प्रमुख, ग्रुप-आईबी। वह वर्तमान में पेनेट्रेशन परीक्षण निष्पादन मानक (PTSE) के विकास में रूसी पक्ष में भाग ले रहा है।

स्मार्ट कार्ड कमजोरियाँ: मूल्य जारी करना

कई वर्षों के लिए, रूसी आरबी सिस्टम (शीज़, कार्बप, होडप्रोट, आरडीपीआरडी, शेल्डर) के उद्देश्य से खतरों में तेजी से वृद्धि हुई है। हमलावर हर महीने लाखों डॉलर की चोरी करने का प्रबंधन करते हैं (एक वर्ष के लिए आपको वह राशि मिलती है जो कम से कम निर्माण के लिए पर्याप्त है, उदाहरण के लिए, फुटबॉल क्लब स्पार्टक और सीएसकेए के लिए स्टेडियम)।



"आधुनिक बैंकिंग मैलवेयर में स्मार्टकार्ड कमजोरियां" रिपोर्ट तैयार करने में, अलेक्जेंडर मैट्रोसोव और एवगेनी रोडियनोव ने सबसे आम बैंकिंग मैलवेयर का अध्ययन किया, और दो-कारक प्रमाणीकरण और स्मार्ट कार्ड का उपयोग करते समय दिलचस्प कमजोरियों की पहचान भी की। । इसके अलावा, रिपोर्ट में फोरफ़िक परीक्षा के संचालन में बाधा डालने वाले पुरुषोत्पादकों के चाल और चाल की चर्चा की गई है। अलेक्जेंडर मैट्रोसोव ESET में सेंटर फॉर वायरस रिसर्च एंड एनालिटिक्स के निदेशक हैं, और एवगेनी रोडिओनोव जटिल खतरों के ईएसईटी विश्लेषण में लगे हुए हैं।

नई और लोकप्रिय एसएपी हैकिंग तकनीक

पिछले पांच वर्षों में, एसएपी सुरक्षा में रुचि तेजी से बढ़ी है। सार्वजनिक सूचना अंतरिक्ष में, SAP कोर और ABAP कोड में निम्न-स्तरीय भेद्यता के लिए SAProuter और SAP वेब अनुप्रयोगों पर हमलों से, बहुत सारे विषयों को कवर किया गया था। आज तक, एसएपी ने अपने उत्पादों में 2,000 से अधिक भेद्यता सुधार जारी किए हैं, लेकिन यह केवल शुरुआत है। ऊब XSS, SQL इंजेक्शन और बफर ओवरफ्लो के अलावा SAP सिस्टम में क्या कमजोरियां रहती हैं? अलेक्जेंडर पॉलाकोव की रिपोर्ट, "एसएपी असुरक्षा: नई और बेहतर," एसएपी सिस्टम पर दस सबसे दिलचस्प कमजोरियों और हमले वैक्टर के लिए समर्पित होगी: एन्क्रिप्शन समस्याओं से लेकर प्रमाणीकरण बाईपास तक और अजीब त्रुटियों से जटिल हमले वैक्टर तक। आम जनता को पहली बार रिपोर्ट में प्रस्तुत कमजोरियों का एक बड़ा हिस्सा दिखाई देगा।

अलेक्जेंडर पॉलाकोव डिजिटल सुरक्षा का सीटीओ है, जो दुनिया में सबसे प्रसिद्ध एसएपी सुरक्षा विशेषज्ञों में से एक है।

PHP के साथ जल्दी करो - आप लोगों को हँसाते हैं

कुछ तृतीय-पक्ष PHP कार्यान्वयन स्क्रिप्ट निष्पादन समय को पांच गुना कम कर सकते हैं। लेकिन क्या वे वेब एप्लिकेशन के स्थिर और सुरक्षित संचालन को सुनिश्चित करने में सक्षम हैं? पॉजिटिव टेक्नोलॉजीज के विशेषज्ञ सर्गेई शचरबेल ने अपनी रिपोर्ट में "सभी PHP समान रूप से उपयोगी नहीं हैं," तृतीय-पक्ष PHP कार्यान्वयन का उपयोग करते हुए वेब अनुप्रयोगों का उपयोग करने की पहचान की गई सुरक्षा समस्याओं और विशेषताओं के साथ-साथ शून्य-दिन की कमजोरियों के उदाहरण भी दिए हैं। सर्गेई आवेदन सुरक्षा, पैठ परीक्षण, वेब अनुप्रयोगों के विश्लेषण और स्रोत कोड में माहिर हैं। PHDays CTF विकास टीम के सदस्य।

यूक्रेनी में साइबर सुरक्षा

एसबीयू साइबर क्राइम डिवीजन के पूर्व कर्मचारी कोन्स्टेंटिन कोर्सन, "वेबसाइट पार्टनर्स यूक्रेन" के निदेशक, सूचना सुरक्षा विशेषज्ञों के यूक्रेनी समुदाय के गठन के बारे में बात करेंगे, जो यूक्रेनी आईटी "सुरक्षा गार्ड" की शोर सभाओं से कीव पबों में 2012 में एक सार्वजनिक संगठन के पंजीकरण के लिए गए थे। "यूक्रेनी सूचना सुरक्षा समूह" (यूक्रेनी सूचना सुरक्षा समूह)। कोंस्टेंटिन कोर्सन वर्तमान में यूआईएसजी के अध्यक्ष हैं। उनकी रिपोर्ट को "यूक्रेन यूआईएसजी के सूचना सुरक्षा पेशेवरों का समुदाय" कहा जाता है। उपलब्धियां और संभावनाएं। ”

सुरक्षित रूप से PHP रैपर का उपयोग करने के बारे में

PHP का विषय एलेक्सी मॉस्कविन, पॉजिटिव टेक्नोलॉजीज सिक्योरिटी एक्सपर्ट द्वारा जारी रखा जाएगा। PHP रैपर के सुरक्षित उपयोग पर बात PHP रैपर से जुड़ी कमजोरियों को कवर करेगी। ऐसी कमजोरियों पर लंबे समय से चर्चा की गई है। उनके लिंक OWASP TOP 10 और WASC TCv2 में मौजूद हैं। हालांकि, कुछ "रैपर" और फिल्टर की कई विशेषताएं इस तथ्य की ओर ले जाती हैं कि यहां तक ​​कि सुरक्षा को ध्यान में रखते हुए डिज़ाइन किए गए एप्लिकेशन में कमजोरियां (महत्वपूर्ण लोगों सहित) हो सकती हैं।

रिपोर्ट एल्गोरिदम पर विचार करेगी जो एप्लिकेशन को काम के तर्क द्वारा प्रदान किए गए डेटा को स्थानांतरित करने की अनुमति देती है। इस दृष्टिकोण का उपयोग वेब एप्लिकेशन फायरवॉल को बायपास करने के लिए किया जा सकता है, एप्लिकेशन में निर्मित सुरक्षा फिल्टर, साथ ही फाइल सिस्टम में अनधिकृत पहुंच से संबंधित हमलों को लागू करने और कोड निष्पादन के लिए। अध्ययन में प्रस्तावित तकनीक का उपयोग करके खोजे गए शून्य-दिन की कमजोरियों के उदाहरण प्रस्तुत किए जाएंगे।

एलेक्सी सुरक्षा के दृष्टिकोण से आवेदन स्रोत कोड के स्थिर और गतिशील विश्लेषण के मुद्दों में माहिर हैं; PHDays CTF विकास टीम का हिस्सा।

जटिल कोड का विश्लेषण करने के लिए इंस्ट्रूमेंटेशन के तरीके

जैसे-जैसे समय बीत रहा है, विकास प्रौद्योगिकियां विकसित हो रही हैं, कोड अधिक जटिल हो रहा है (वर्चुअल फ़ंक्शन, जेआईटी-कोड, आदि)। ऐसे कोड का सांख्यिकीय रूप से विश्लेषण बेहद मुश्किल है। विभिन्न कोड इंस्ट्रूमेंटेशन तकनीक शोधकर्ता की सहायता के लिए आती हैं। सुरक्षा शोधकर्ता के शस्त्रागार में पिन, वेलग्रिंड, डायनमोआरआईओ, डायनेस्ट लाइब्रेरी एक नया अनिवार्य तत्व हैं। दिमित्री एव्डोकिमोव अपनी रिपोर्ट "कोड इंस्ट्रूमेंटेशन के लाइट एंड डार्क साइड" में इंस्ट्रूमेंटेशन के मौजूदा तरीकों (सोर्स कोड, बायटेकोड, बाइनरी कोड) के बारे में बात करेंगे।

दिमित्री एव्डोकिमोव रूसी हैकर पत्रिका Xakep में सुरक्षा-नरम कॉलम का नेता है, जो आंतरिक उपकरणों (एसएपी कर्नेल और एसएपी बेसिस) और एबीएपी कोड के क्षेत्रों में एसएपी सुरक्षा पर एक विशेषज्ञ है।