टेस्ट लैब 5 जीरोनाइट्स 2013 में

पेंटेस्टिट के लिए ज़ीरोनाइट्स 13 में अप और डाउन पेनेट्रेशन टेस्टिंग लेबोरेटरी का शुभारंभ एक महत्वपूर्ण घटना थी, इसलिए हमारी टीम ने विशेष रूप से सावधानीपूर्वक तैयार की - हमारे लिए यह खुद को दिखाने का एक और मौका था।

सबसे पहले, यह घटना के बारे में थोड़ी सी बात के लायक है । रिपोर्ट्स बेहद तकनीकी और दिलचस्प थीं, कार्यशाला से प्रसन्नता हुई, हैकर माहौल ने साइटों पर राज किया और कोई घुसपैठिया विज्ञापन नहीं दिया। सब सब में, यह बहुत, बहुत अच्छा था! कूल क्योंकि हम विभिन्न शहरों और देशों के लगभग अपनी टीम और दोस्तों के साथ मिलने में कामयाब रहे।

अब प्रयोगशाला के बारे में। कुल मिलाकर, लगभग 35 लोगों ने भाग लिया। चूंकि "अप और डाउन" प्रतिभागियों को सम्मेलन के लिए उपलब्ध होना था, इसलिए हमने केवल ZN'13 पर उपलब्ध नेटवर्क के आईपी पते से पंजीकरण को प्रतिबंधित कर दिया, हालांकि, किसी भी प्रदाता को वीपीएन के माध्यम से प्रयोगशाला साइट पर और किसी कारण से कनेक्ट करने के लिए इस्तेमाल किया जा सकता है। । सम्मेलन में मुफ्त वाई-फाई था, लेकिन दर्शकों की बारीकियों को देखते हुए, इसे सामान्य रूप से उपयोग करना असंभव था - केवल आलसी ने इंटरसेप्ट-एनजी लॉन्च नहीं किया। हमने इस तथ्य को ध्यान में नहीं रखा, इसलिए जल्दी में हमने प्रतिभागियों के लिए एक संचार चैनल की तलाश शुरू की। घटना के प्रशासन ने तुरंत 48-पोर्ट स्विच और वायरलेस एपी प्रदान किया - दोपहर के भोजन के बाद, हमने नेटवर्क तक पहुंच स्थापित की और प्रयोगशाला का शुभारंभ किया। पहले 3 घंटे कोई भी पहला टोकन एकत्र नहीं कर सकता था - वातावरण गर्म हो रहा था, विकल्प सिग्नस सर्वर पर गिर गया (जिस पर XSS भेद्यता वाले चित्रों के साथ साइट काम की थी), हालांकि आभासी कंपनी एस-लैब, बैंक की आधिकारिक साइट, हमले के लिए उपयोग की थी। सर्वर और टर्मिनल लिनक्स सर्वर। जाहिर है, रंगीन सामग्री ने हैकर्स का अधिक ध्यान आकर्षित किया। XSS का उपयोग करने के 4 घंटे के असफल और नीरस प्रयासों के बाद, उमर गनेव (बीच्ड) पहला टोकन प्राप्त करने में सक्षम था, जिससे अन्य प्रतिभागियों को आग में तेल मिलाया गया। ईमानदारी से, इस प्रयोगशाला में कार्य अत्यंत कठिन थे, और हम चिंतित थे कि इतने लंबे समय तक कोई भी एक टोकन नहीं ले सकता है। पहला टोकन प्राप्त करने के बाद, हम शांत हो गए और पहले ही शर्त लगाने लगे हैं कि क्या कोई भी खिलाड़ी कम से कम आधे कार्यों को पूरा कर पाएगा।

यह ध्यान देने योग्य है कि प्रतिभागियों ने लगभग हमारी मेज नहीं छोड़ी, जो बहुत आश्चर्य की बात थी - एक शांत घटना, शांत रिपोर्ट, और वे एक प्रयोगशाला से गुजर रहे हैं। हां, हम बेहद प्रसन्न थे। विक्टर एलुशिन (AV1ct0r, जिसने प्रयोगशाला में तीसरा पुरस्कार जीता), पास करने के अलावा, अभी भी अन्य प्रतिभागियों की मदद करने में कामयाब रहा, जिसने हमारी टीम से सम्मान अर्जित किया! सामान्य तौर पर, मैं घटनाओं के बारे में बात नहीं करना चाहता हूं, जिसके परिणामस्वरूप, दूसरे दिन हमें एक आश्चर्य हुआ - सभी कार्यों को पूरा करने में सक्षम था, जिससे हमारी पूरी टीम को झटका लगा! हम कल्पना नहीं कर सकते थे कि इतने कम समय में यह संभव है ... 19.00 बजे हमने विजेताओं को राजनयिक और स्मृति चिन्ह भेंट किए।
प्रतिभागियों की टिप्पणियाँ:

मैं समस्याओं को हल करने के लिए सम्मेलन में आधा समय बिताना पसंद करता हूं। और सम्मेलन में ही नहीं ...
इस अर्थ में, ZeroNights PentestIT टीम की अगली प्रयोगशाला के लिए बहुत उपयोगी थी। मैंने पहले दिन की शाम को मार्ग शुरू किया।
सब कुछ स्पष्ट रूप से आयोजित किया गया था, कार्यों ने फिर से प्रसन्न किया, और फिर टूलकिट के साथ काम की गति को प्रशिक्षित किया।
इस बार प्रयोगशाला में भी एक DBMS क्लाइंट पर नेटवर्क अटैक करने का काम था (मुझे तुरंत समझ में आ गया कि इस हमले के लिए इस प्रयोगशाला में किसी तरह के हमले की जरूरत है, क्योंकि मैं इसे " के तत्वावधान में लाठी, पुरस्कार और हैकर्स के साथ आगामी CTF प्रतियोगिता में सम्मिलित करने जा रहा था। " सूचना संरक्षण ” )।
यह केवल दूसरे दिन के अंत तक सभी कार्यों (सुराग के संकेत के बिना नहीं) को समाप्त करने के लिए निकला।
नतीजतन, केवल तीन लोगों ने एस-लैब सूचना प्रणाली में प्रवेश किया, सभी लंबे समय से परिचित थे। संभवतः, ऐसी प्रतियोगिताओं को अधिक सक्रिय रूप से लोकप्रिय बनाने के लिए आवश्यक है, क्योंकि कई इस क्षेत्र में पेशेवर विकास के लिए अध्ययन करने और कुछ प्रयास करने के लिए बहुत आलसी हैं।
उमर गनावी (बीच्ड), मैं जगह

उमर के साथ साक्षात्कार यहां उपलब्ध है।

हाल के ज़ीरोनाइट्स सम्मेलन में, मैं एक वक्ता के रूप में बोलने और दो प्रतियोगिताओं में भाग लेने में कामयाब रहा: कैसपर्सकी लैब से "ब्रेक मी" और पेंटेस्टिट से "लॉन्ग एंड अवे"।
चूंकि पहली प्रतियोगिता अभी भी जारी है, इसलिए मैं इसके बारे में बाद में लिखूंगा, और मैं आपको पैठ परीक्षण प्रयोगशाला "साथ और बार्स" के बारे में अधिक बताऊंगा।
प्रतियोगिता, सामान्य रूप से, वास्तव में इसे पसंद करती है और रिपोर्ट पर बैठना अधिक मजेदार है, और शाम को कुछ करना है।
सम्मेलन के दो दिनों के लिए कार्य बहुत सारे नहीं हैं - केवल 10 टुकड़े। कहानी की उपस्थिति बहुत ही मनभावन है - सेवाएं आपस में जुड़ी हुई हैं और हर एक के पास अगली सेवा से संकेत या पासवर्ड है।
नेटवर्क आरेख बहुत मदद करता है - आपको यह आश्चर्य नहीं करना चाहिए कि ऐसी सेवाएं जहां अभी तक टूटी नहीं हैं, हालांकि इस बार उसने नेटवर्क कार्ड के साथ एक गलती की है - मैंने यह नहीं जांचा कि एक सबनेट से दूसरे रूट को पहले ही सेट किया गया था, इसलिए केवल तीसरा स्थान है।
कार्यों की सामग्री बहुत ही मनभावन है - दोनों पर बल, और एसक्यूएल इंजेक्शन, और बॉट पर एक्सएसएस के हमले, और मेटस्प्लोइट से शोषण का उपयोग, लेकिन मैं, एक रिवर्सल के रूप में, बफर ओवरफ्लो जैसी कमजोरियों की अनुपस्थिति से थोड़ा परेशान हूं या मुफ्त के बाद उपयोग करता हूं - मैंने केवल एक बार देखा। लाभ -2013 प्रयोगशालाएँ।
सामान्य तौर पर, मैं सभी को अगली प्रयोगशाला में भाग लेने की सलाह देता हूं, साथ ही लाभ -2013, जो वर्तमान में काम कर रहा है, जो सिस्टम प्रशासक पत्रिका द्वारा आयोजित एक प्रतियोगिता का हिस्सा है। मैं सभी प्रतिभागियों को ssh, निपुणता और सर्वर पर टोकन और पासवर्ड की खोज करने में कुशलता के साथ-साथ एक सुखद मनोदशा और शुभकामनाओं से धैर्य की कामना करना चाहता हूं!
विक्टर एलुशिन (AV1ct0r), तृतीय स्थान

अंत में, हम डिजिटल सुरक्षा कार्यक्रम के आयोजकों और हमारे प्रतिभागियों के प्रति अपनी गहरी कृतज्ञता व्यक्त करना चाहते हैं। एक दोस्ताना हैकर वातावरण में आने और 2 दिनों के लिए काम और व्यवसाय से बचने के लिए बहुत अच्छा था।
जल्द मिलते हैं!