Xakep #305. Многошаговые SQL-инъекции
В начале сентября мы уже писали о международной конференции по практической кибербезопасности OFFZONE, которая откроет свои двери в центре DigitalOctober 15-16 ноября 2018.
Мероприятие объединит признанных экспертов отрасли, практикующих специалистов и всех неравнодушных к безопасности окружающих нас технологий. Партнерами конференции выступят QIWI, Wallarm и «Лаборатория Касперского», а атмосферу постапокалипсиса будет создавать нашумевший коллектив МСК2048.
INFO
Когда: 15-16 ноября 2018 года
Где: Digital October (Москва, Берсеневская набережная, 6, стр. 3)
Официальный сайт: https://www.offzone.moscow
Купить билет: https://offzone.moscow/ru/tickets/
Telegram-канал: https://t.me/offzone_moscow
Основной трек докладов откроет keynote speaker конференции Дмитрий Скляров: «В своем выступлении я хочу рассказать, как мир ИБ менялся для меня, исследователя, в процессе моего развития, и каким я вижу его сейчас. И почему ИБ – это то, чем имеет смысл заниматься в жизни».
Далее будет дан старт всем остальным секциям, а их немало.
В MainTrack о нашумевших низкоуровневых уязвимостях расскажут Максим Горячий и Марк Ермолов (доклад «Intel ME Manufacturing Mode — скрытая угроза»), а также Иннокентий Сенновский («Проснись, Нео: детектирование виртуализации при помощи спекулятивного исполнения»).
Какие типовые методы используют киберпреступники для повышения привилегий в ОС Windows? Как атакуют менеджеры лицензий? Как и с каким инструментарием действовала группировка Lazarus? Достаточно ли развиты биометрические системы для массового использования и как их удается обходить? Это лишь малая часть тем, которые подробно будут рассмотрены в MainTrack в течение двух дней конференции.
FastTrack начнется во второй день конференции (поэтому, чтобы увидеть доклады FastTrack, сразу выбирайте в программе 16 ноября).
В первой половине дня узнаем о том, как скомпрометировать АТС и что представляет собой IIoT-гейтвей Things Pro Suite под капотом. Поговорим о реализации OAuth 2.0, DNS Exfiltration, а также инструменте для проведения фишинговых кампаний в контексте RedTeam исследований.
Доклады второй части мы объединили в DefensiveTrack: если вам не безразличны такие слова как DevSecOps, SDLC, AppSec — добро пожаловать на трек и готовьте интересные вопросы для спикеров!
FINANCE.ZONE – на этом треке поговорим о том, как на самом деле устроен мир финансов, и рассмотрим его с точки зрения кибербезопасности. Начнем с самых основ и разберемся, как работает процессинг, потом перейдем к темам фрода и антифрода с реальными кейсами, наконец, погрузимся в технические подробности того, как ломают и защищают сложнейшие финансовые системы и их отдельные компоненты, разберемся с безопасностью ATM и ДБО.
HARDWARE.ZONE – если вы давно хотели попробовать себя в hardware и ждали знака, то это он. Организаторы трека доступным языком расскажут про наиболее интересные направления аппаратной безопасности: GnuRadio, введение в схемотехнику, микроконтроллеры STM32, side-channel атаки, перехват и обработка цифровых сигналов на примере nRF24, faultinjection атаки на ARM MK и многое-многое другое (трек длится целых два дня). И, конечно же, здесь можно найти всеми любимые отмычки!
WEB.ZONE — в этой секции поговорим об альтернативных способах обхода WAF, рассмотрим, что представляет из себя атака DNS Rebinding в 2k18, разберемся как HTTP/2 работает внутри и какие атаки уже не удастся осуществить, обсудим подходы к анализу приложений с многослойной архитектурой и, конечно, поговорим об эксплуатации XSS. Да пребудет с тобой веб!
Side-активности
Для гостей конференции подготовлены различные активности, за участие в которых начисляются очки OFFCOIN. Полученные очки можно обменять на мерч конференции (рюкзаки, худи, футболки, power-банки, перчатки и многое другое) или использовать для участия в игре «Тотализатор CTFZONE». Очки будут начисляться на специальную бейдж-карту, которую получит каждый участник конференции.
Где можно будет получить очки?
- Велотрек: постапокалиптические педали? Легко! Выиграйте три заезда и получите дополнительные очки на бейдж-карту.
- Кикер: соберите команду мечты и одержите три победы в игре в настольный футбол!
- GAME. ZONE: игровая зона с приставками ждет всех любителей Mortal Kombat XL, Worms™ Battlegrounds и TEKKEN 7. И, конечно, про старые добрые игры в составе приставок Nintendo и SEGA не забудем.
- TATTOO. ZONE: почувствуйте себя тату-мастером и сделайте татуировку на огромной шкуре бизона, сыграйте в небеспроигрышную лотерею «Крутите барабан» или поучаствуйте в состязании для смельчаков «Везучий случай».А самые храбрые смогут набить настоящую татуировку у профессионального мастера прямо на конференции!
- Задания с бейдж-картой: проверьте свои навыки программирования и заставьте вашу карту сыграть за вас в «Танчики»; проявите смекалку, сыграв со своим бейджем в сокобан, а также попробуйте решить несколько CTF-тасков прямо на бейдж-карте!
- Тотализатор CTFZONE: проверьте интуицию и угадайте, кто из участников финала соревнований CTFZONE наберет больше очков за определенный интервал времени!
Обрати внимание, на данный момент стоимость билетов составляет 5000 рублей, однако с 7 ноября 2018 года цена билета возрастет до 8 000 рублей.
