Кто вы? Я вас не звал!

Что происходит, когда пользователь заходит на сайт, логинится и почему в целях безопасности можно не подтверждать свою личность, когда вы повторно открываете приложение? За проверку подлинности у нас отвечает API-аутентификации. В видео разобрали разницу между ключами, JWT и OAuth - это вам точно пригодиться!

#BaseSecurity

🧠 Кибер ПТУ | 👨‍🏫 Менторство ИБ
📂 Другие каналы

ВЫШЕЛ ВЫШЕЛ ВЫШЕЛ

https://youtu.be/CqOEdkynVmk
https://youtu.be/CqOEdkynVmk
https://youtu.be/CqOEdkynVmk

Марафон мок собесов на аппсека продолжается. В этот раз на позицию стажера/джуна. Всем приятного просмотра!

Подписывайтесь, ставьте лайки, комментируйте, жмите на колокольчики, в общем, че я вас учу, сами знаете:
📹Youtube
📺VK Video

#AppSec

🧠Кибер ПТУ | 👨‍🏫Менторство ИБ
📂Другие каналы

Переверните букву.

Ну что, про ключики-токены вы уже кое-что знаете, время отвечать на вопросы.

Перечислите основные вектора атак на JWT.

#ПолеСобесов

🧠Кибер ПТУ | 👨‍🏫Менторство ИБ
📂Другие каналы

Вспоминаем, что у нас есть JWT: это токен, который состоит из трёх "блоков" - заголовок (тут передаём алгоритм шифрования), "полезная нагрузка" (могут передаваться данные о пользователе, информация о токене и его параметры, и прочее) и подпись.

1) Итак, первое с чего начинаем - шифрование. Если для подписи использованы слабые секретные ключи, то перехватив такой токен, можно запустить по нему brute-force офлайн режиме.
2) Расшифровав токен, можно его изменить - например, из заголовка убрать алгоритм (alg: none), поколдовать с флагами во второй части и выкинуть подпись. И если сервер некорректно настроен, то он может принять такой токен. А ещё, если используется асимметричное шифрование, можно заменить алгоритм на симметричный, подписать публичным ключом, и сервер примет этот токен уже по симметрии - ключ-то сошёлся.
3) Шифрование пошифровали, подпись подписали, а поля проверить забыли - логические ошибки валидации и утечки. Если не настроена проверка полезной нагрузки, в например, поля время истечения, то страый или украденный токен будет работать вечно.
4) Бонус - путаем кодирование и шифрование. Токен передаётся в закодированным виде в Base64Url, кодировку легко вернуть в исходный вид, и если предварительно данные не зашифрованы, то токен передаётся по сути "в голом виде".

#ПолеСобесов

🧠 Кибер ПТУ | 👨‍🏫 Менторство ИБ
📂 Другие каналы

Сканирование местности завершено, уязвимости обнаружены!

Сканеров безопасности веб-приложений много не бывает, так что принесли ещё один. Этот товарищ умеет находить и распространённые уязвимости, и сложные, например, "слепые", когда сервер не отвечает мгновенно. Из особенностей отметим быстродействие и поддержка ИИ для анализа и описания найденных уязвимостей (будет очень полезно для новичков).

#Pentest #Practice

🧠Кибер ПТУ | 👨‍🏫Менторство ИБ
📂Другие каналы

Откручиваем солонки в столовке.

Для развития "безопасного нюха" полезно смотреть на привычные вещи под углом исследователя. Вот, например, идёте вы в ближайший супермаркет, а там и касса самообслуживания, и охранник спит - раздолье для всякого технологического вмешательства!

В статье как раз разобрали по косточкам такой обыденный поход за продуктами - это мы читаем.

#BaseSecurity

🧠Кибер ПТУ | 👨‍🏫Менторство ИБ
📂Другие каналы

🎫Разыгрываем проходку на OFFZONE!

Доцент нашей кафедры кофереверс-инжиниринга (он же – один из наших менторов) в этом году выступает спикером на OFFZONE – и по случаю таких событий разыгрывает один билет на конференцию.

Чтобы участвовать, нужно всего лишь:
☕️ подписаться на Coffee Cube
🧠 подписаться на Кибер ПТУ | Кибербезопасность
📹 написать любой коммент и поставить лайк под нашим новым видео с разбором лаб по криптографии

Через неделю случайным образом выберем победителя – проходка достанется ему 🥳

Переверните букву.

Ну что, насобирали "солонок"? Пришло время отчитываться.

Какие существуют типы XSS уязвимости и какая является наиболее опасной?

#ПолеСобесов

🧠Кибер ПТУ | 👨‍🏫Менторство ИБ
📂Другие каналы

Мы помним, что XSS - это внедрение и выполнение вредоносного скрипта у клиента или на сервере. Типы у нас делятся на:
- Reflected, или Отражённая XSS - когда скрипт оформляется, например, в url как параметр, далее при переходе жертвы по ссылке сервер включает скрипт в ответ клиенту, и браузер исполняет вредоносную нагрузку;
- Stored, или Хранимая XSS - скрипт сохраняется на сервере и выполняется у каждого, кто открывает заражённый объект. Например, это может быть комментарий в социальной сети, пост, профиль или заявка на звонок или в техподдержку;
- DOM-based XSS - уязвимость возникает, когда скрипт попадает в DOM (объектная модель страницы; дерево связанных объектов) страницы жертвы: либо через HTML-код, либо собирается на клиенте, например, из URL.

Специфичное, но полезно знать о:
- Blind XSS, "Слепая" XSS - подвид хранимой, означает, что результат злоумышленник сразу не увидит - для активации скрипта мы ожидаем действий привилегированного пользователя;
- Mutated XSS - атака, при которой изначально безопасный код мутирует при обработке браузером или системой шаблонов (компонент, который в шаблон страницы подставляет динамические значения), и на выходе становится вредоносным;
- Self-XSS - когда жертва сама вставляет скрипт в консоль браузера.

Из основных трёх (Отражённая, Хранимая и DOM) наиболее опасной считается Хранимая из-за своей массовости и отсутствия необходимости явно опасных действий со стороны жертвы.

#ПолеСобесов

🧠Кибер ПТУ | 👨‍🏫Менторство ИБ
📂Другие каналы

НАКОНЕЦ-ТО В ЗАПИСИ

https://youtu.be/IJ9groKOw9o
https://youtu.be/IJ9groKOw9o
https://youtu.be/IJ9groKOw9o

Выкладываем запись недавнего доклада Сергея Терёшина. Все, кто пропустил - бегом смотреть! Из видео вы подробнее узнаете про продажи в ИБ и можно ли туда вообще вкатиться.

Ставьте подписку, пишите лайки, звените в комментарии!
📹Youtube

🧠Кибер ПТУ | 👨‍🏫Менторство ИБ
📂Другие каналы

Упражнение в статике.

На этой неделе поговорим о статическом анализе уязвимостей, начнём с теории.

Подобрали хорошую статью про SAST и роль машинного обучения при поиске и анализе уязвимостей: тут хорошо и подробно описаны детали работы инструмента, и, бонусом, спасёт ли нас всех ML (от триажа).

#BaseSecurity #AppSec

🧠Кибер ПТУ | 👨‍🏫Менторство ИБ
📂Другие каналы

Карту прикладывать вот сюда.

Статическим анализатором кода уже никого не удивить – так сказать, базовый минимум. А вот SAST со встроенным ИИ – уже интереснее.

Нашли в открытый проект SAST, который умеет помимо поиска уязвимостей по коду: анализировать и проверять свои находки, систематизировать их, а также предлагать проверенные им самим же варианты митигации. Ещё один инструмент в рукаве точно не будет лишним, пользуемся.

#AppSec

🧠Кибер ПТУ | 👨‍🏫Менторство ИБ
📂Другие каналы

Как стать кибербезопасником с нуля за 6(7) месяцев или что я бы учил, если бы начинал заново?

https://youtu.be/T9577b24VCQ
https://youtu.be/T9577b24VCQ
https://youtu.be/T9577b24VCQ

Ну все, я наконец-то снял и домонтировал ролик, благодаря которому наше менторство больше никому не понадобится (или нет?). Я постарался впихнуть туда весь мастхэв, который вам пригодится и для собесов, и для работы; и по хардам, и по софтам; и по психологическим ловушкам, и по обманутым ожидамниям.

Я бы многое отдал за то, чтобы увидеть такой ролик лет 10 назад. А еще, знали бы вы, как я намучался с монтажом этого 10-ти минутного монстра...

Смотрим тут
📹 Youtube
📺 VK Video

👨‍🏫 Менторство ИБ | Отзывы

Переверните букву.

Раз уж на этой неделе мы немного погрузились в статическое тестирование, то и вопрос будет на эту тему.

Какова цель SAST?

#ПолеСобесов

🧠Кибер ПТУ | 👨‍🏫Менторство ИБ
📂Другие каналы

Цель проведения тестов безопасности в целом – выявление потенциальных уязвимостей, желательно ещё на максимально ранней стадии или хотя бы раньше злоумышленника. (И ещё желательно залатать брешь, но об этом в другой раз).

Цель Статического тестирования – выявление потенциальных уязвимостей у приложения ещё до стадии инициализации кода. Инструменты SAST проводят анализ исходного кода на предмет небезопасных паттернов, ошибок в потоках данных, захардкоженных паролей и прочего, что можно выявить при внимательном чтении кода.

Таким образом использование SAST позволяет находить уязвимости на максимально ранних стадиях жизненного цикла разработки. Конечно, одним статическим тестированием не обойтись для полноценной проверки, так как SAST не учитывает уязвимости в зависимостях, не учитывает бизнес-логику и окружение. Эти моменты покрывают уже другие классы инструментов.

#ПолеСобесов

🧠Кибер ПТУ | 👨‍🏫Менторство ИБ
📂Другие каналы

Как настоящий хакер.

Бывают ситуации, когда проблему не удаётся решить через интерфейс, вы идёте в интернет, а там "введите abc в терминале...". Какой терминал?.. Или консоль? Или всё же командная строка?.. Разбираемся, в чём разница и как всем этим пользоваться в статье.

#BaseSecurity

🧠Кибер ПТУ | 👨‍🏫Менторство ИБ
📂Другие каналы

Базовая база.

Начало учебного года не за горами, значит, пора разминать мозги. Если лето ваше прошло в ударе, рекомендуем начать со вспоминания работы с консолью - навык хороший, как яблочки полезный. Терминал вы открываете свой локально, а упражнения - онлайн. Задания разной степени сложности, можно создавать свои упражнения.

Проект GitHub; пробная онлайн версия (требуется авторизация).

#BaseSecurity #AppSec #Practice #Pentest

🧠Кибер ПТУ | 👨‍🏫Менторство ИБ
📂Другие каналы

Переверните букву.

Раз уж мы заговорили о работе в терминалах, стоит вспомнить и классику вопросов на собеседованиях. Сегодня у нас практическая задача. В ответ нужно написать комбинацию команд для выполнения поставленной задачи.

Необходимо создать текстовый файл с текстом "test", настроить права ReadOnly и переместить файл в директорию /home/user.

#ПолеСобесов

🧠Кибер ПТУ | 👨‍🏫Менторство ИБ
📂Другие каналы

Обычно этот вопрос задаётся в разрезе обсуждения unix-систем (что мы видим в том числе из структуры директорий в ТЗ), так что задачка решается буквально в уме, и вот ответ:

echo "test" > test.txt //создаём файл и тут же добавляем содержимое 
chmod -w test.txt // убираем у файла атрибут write, таким образом, у него остаются права только для чтения
mv test.txt /home/user/ // перемещаем наш файлик в указанную в задании директорию

Как ещё можно решить задачу и на что обратить внимание.
1 - шаги создания файла и добавление в него информации можно сделать через текстовый редактор vim, nano;
2 - настройка прав доступа через -w – это модификация существующих прав: запись запрещается. Права на чтение и выполнение остаются;
2.1 - ещё один вариант с настройкой прав - использовать восьмеричную систему, тогда команда будет выглядеть, например, так – chmod 400 test.txt. 400 у нас это:
      - 4 - владелец - только чтение;
      - 0 - группа - никаких прав;
      - 0 - остальные  - никаких прав.
Здесь права перезаписываются, а не модифицируются, как в первом случае – это важно!

#ПолеСобесов

🧠Кибер ПТУ | 👨‍🏫Менторство ИБ
📂Другие каналы