Хакер #305. Многошаговые SQL-инъекции
На сайте Exploit Exercises собраны специально настроенные виртуальные машины, с помощью которых удобно изучать различные аспекты информационной безопасности, в том числе методы повышения привилегий, анализ уязвимостей, применение эксплоитов, дебаггинг, обратная разработка кода и общие вопросы ИБ.
Первая версия Exploit Exercises появилась в 2013 году, но автор не забросил поддержку проекта. За последнее время он отредактировал список упражнений и добавил кое-что новое.
Nebula
Самые общие уязвимости, связанные с эскалацией привилегий в Linux: это SUID-файлы, разрешения, состояние гонки (race conditions), метапеременные оболочки, уязвимости $PATH, уязвимости скриптовых языков, ошибки компиляции бинарных файлов.
Protostar
Введение в ошибки памяти Linux/x86: переполнение стека (8 упражнений), сетевое программирование: работа с сокетами и порядок байтов (4 упражнения), форматный вывод (5 упражнений), переполнение кучи (4 упражнения), итоговые упражнения (3).
Fusion
Продвинутые эксплоиты, криптографические задачи, атака по времени, различные сетевые протоколы (Protocol Buffers, Sun RPC и другие), а также демонстрация обхода некоторых механизмов защиты, таких как рандомизация адресного пространства, исполнение кода в зависимости от позиции (Position Independent Executables), неисполняемая память, фортификация исходного кода (_DFORTIFY_SOURCE=), защита от переполнения буфера (ProPolice / SSP), всего 14 упражнений.
Main Sequence
Образы этих VM использовались во время соревнований CTF на хакерской конференции Ruxcon 2012. Они покрывают массу ситуаций, в том числе пентестинг с Metasploit и SQLmap, криптоанализ, обратная разработка, анализ пакетных логов, взлом клиентского Windows-приложения, повышение привилегий в Linux после применения эксплоита, эксперименты с сетевыми протоколами, взлом веб-сайта, брутфорс пароля.
Cloud Road
Подборка ещё не готова, автор обещает в ближайшее время. Здесь должны быть VM с соревнований CTF на Ruxcon 2014. Ждём.
Другие сайты с упражнениями
