Kategoria: Mega Hacking Party

Tomek Turba z Gośćmi opowie o pewnym projekcie szkoleniowym zrealizowanym w tym roku.

Zapraszamy na kawę i rozmowy w kuluarach.

Konsola, terminal, tudzież emulator terminala, to jedno z najstarszych narzędzi nadal używanych w IT – ba, nawet pod Windowsem wróciło w ostatniej dekadzie do łask (dzięki Linuxowi i WSL). Z pozoru terminal to bardzo prosta aplikacja – ot, po prostu okienko z tekstem. Jest to, oczywiście, wierzchołek zaskakująco dużej góry lodowej. W trakcie prelekcji zajrzymy pod powierzchnię: opowiemy o historii i funkcjach emulatorów terminali, o mocno pofragmentowanym ekosystemie, o tym, jak działają „pod maską”, a także o związanych z nimi problemach bezpieczeństwa.

Zapraszamy na obiad chwilę wytchnienia od merytorycznych prezentacji 😉

DOM Clobbering to technika ataku, w której atakujący, poprzez wstrzyknięcie z pozoru nieszkodliwego kodu HTML, jest w stanie manipulować obiektami w strukturze DOM. Prowadzi to do nadpisania globalnych zmiennych i właściwości w JavaScript, co może zaburzyć logikę działania aplikacji i otworzyć drogę do dalszych ataków takiich jak XSS. Pomimo faktu, że DOM Clobbering znany jest co najmniej od 2010 roku, rzadko poświęca mu się dużo uwagi.

W tej prezentacji przybliżę czym DOM Clobbering jest, kiedy można się na niego natknąć oraz pokażę kilka świeżych przykładów ataków, które umożliwił.

• Poruszenie tematyki zagadnień CVE,
• Dlaczego zaczęliśmy sprawdzać strony rządowe,
• Co znaleźliśmy,
• Responsible Disclosure,
• Statystyki.

Czy paczka chipsów dobrze chroni przed emisją fal elektromagnetycznych, czyli wyniki praktycznego eksperymentu kontra historia pewnej bardzo nieudanej akcji wywiadowczej. O tych i innych nieporozumieniach, które poskutkowały mniejszymi lub większymi wpadkami w zakresie OPSEC, będę opowiadał podczas MSHP 2025. Jak zawsze będzie trochę straszno, trochę śmieszno, ale z przesłaniem czego unikać, jeśli chce się zachować maksymalne bezpieczeństwo swoich działań.

Karol Szafrański autor najnowszej książki „Twierdza Linux. Bezpieczeństwo dla dociekliwych”   w wywiadzie z Maćkiem Szymczakiem opowie o kulisach powstawania książki i zdradzi najciekawsze anegdoty z researchu towarzyszącego jej powstawaniu.

Michał Sajdak i Tomek Turba zamkną wydarzenie jak zawsze z pozytywną energią:)

Research urządzeń działających w branży automotive to temat nieskończony, niekiedy niewdzięczny natomiast z pewnością jest bardzo wciągający i fascynujący! Lubisz szybkie samochody? Ostatnio była Kia, tym razem na warsztat leci ECU, który działa w samochodach marki Porsche.

Wraz z Mateuszem zanurzymy się w analizę możliwości nieautoryzowanego dostępu do funkcji, które wpływają na bezpieczeństwo podczas jazdy. Nie obejdzie się bez wykorzystywanego sprzętu do badań oraz omówienia wykorzystywanych technologii.

W kwietniu 2020 roku powstał pierwszy prototyp F0, a jak to wygląda dzisiaj? Maciej pokaże na żywo co potrafi to maleństwo – od zakupu, przez aktualizacji firmware, podstawową konfigurację aż do wykonania złośliwego kodu na Windows.

Wiemy, że urządzenia IoT często trafiają na rynek z koszmarnymi i łatwymi do wykorzystania podatnościami. Pomysły, żeby wprowadzić tu minimalne wiążące standardy bezpieczeństwa, zmaterializowały się ostatnio na poziomie Unii Europejskiej. W tym roku zapewne zostanie przyjęty, a za mniej więcej 3 lata zacznie być stosowany tzw. akt o cyberodporności.

Bohdan opowie, co to w zasadzie jest i pospekuluje, co może się przez to zmienić.

Lubisz OSINT? Lubisz AI?

Wraz z Tomkiem zapraszamy zatem na prelekcję nt. narzędzi AI w białym wywiadzie. Co się zmieniło, co się zmieni, a co pozostanie niezmienne. Pokaz będzie miał charakter praktyczny.

Jak uchronić swoje prefiksy przed kradzieżą i rozgłoszeniem przez nieuprawnionym rozgłaszaniem przez operatora? W jaki sposób zweryfikować, czy odbierany przez nas prefiks nie jest przypadkiem rozgłaszany przez atakującego?

Ta sesja będzie krótkim przypomnieniem, że swoje prefiksy można cyfrowo podpisywać za pomocą BGP RPKI i nie jest to takie trudne.

Kluczową różnicą pomiędzy małymi a dużymi systemami jest powielanie funkcjonalności. Na przykład, w małym systemie zazwyczaj potrzebujemy tylko jednego parsera TCP, jednego parsera HTTP, jednego parsera ZIP, i tak dalej. Załóżmy, że jakimś cudem cały system jest poprawnie zaimplementowany i nie posiada błędów bezpieczeństwa. A teraz dodajmy do tego drugi, również idealnie bezpieczny, połączony system, zbudowany przez zupełnie inny zespół. Jak się często okazuje w praktyce, dwa połączone bezpieczne systemy niekoniecznie dadzą bezpieczną całość.

Celem tego wykładu jest przegląd i omówienie klas błędów typowych dla złożonych systemów. W szczególności skupię się na błędach, których przyczyna leży w wykorzystaniu kilku różnych implementacjach tego samego protokołu czy formatu plików. Prelekcja będzie przekrojowa, a więc wspomniane będą błędy zarówno nisko- jak i wysokopoziomowe, zarówno w oprogramowaniu webowym, jak i np. implementacji niskopoziomowych protokołów sieciowych.

Wykład skierowany jest przede wszystkim do osób początkujących i średniozaawansowanych.

Wyobraźcie sobie, że w macie jakiś dowolny obiekt w pamięci w waszym ulubionym języku programowania. Następnie serializujecie ten obiekt używając do tego standardu JSON. W kolejnym kroku zaś deserializujecie ten JSON z powrotem do obiektu w pamięci. I w tym momencie okazuje się, że dostajecie kompletnie inny obiekt niż mieliście oryginalnie – który zostaje całkowicie inaczej zinterpretowany przez aplikację i który – co gorsza – doprowadza do błędu bezpieczeństwa w aplikacji!

Brzmi źle? Na szczęście w JSON-ie zazwyczaj nie obserwujemy tego typu zachowania. Okazuje się jednak, że w HTML takie zachowanie w pewnych sytuacjach jest w 100% zgodne ze specyfikacją! Tego typu problemu zazwyczaj nazywane są mXSS (mutation XSS).

W swojej prezentacji pomówię właśnie o specyfikacji HTML, o tym z czego wynika jego skłonność do mutacji i skąd konkretnie bierze się mXSS. Opowiem też, co próbujemy zrobić, żeby próbować mXSS zlikwidować z platformy webowej.

W systemach Windows, istotna część wydarzeń odbywa się w trybie jądra. Nie dość, że warto tam zajrzeć, to jeszcze czasem przydałoby się w świadomy sposób o coś jądro systemu poprosić.

Korzyści mogą być naprawdę warte zachodu, dlatego warto tematowi poświęcić całą sesję. Uwaga! Zawiera więcej niż śladowe ilości kodu w C.

Krzysztof zaprasza Was do świata…szpiegowania! Skupi się głównie na social mediach. Poznacie szpiegowanie z wykorzystaniem serwisów internetowych i mediów społecznościowych – małe i duże akcje, drobne i większe porażki.

Podczas prezentacji Maciej opowie o tym jak rozwój LLM (m.in. Chat GPT) wpłynął na prace w IT Security. Porówna plusy dodatnie i ujemne, powróży z porozrzucanych bajtów. Wszystko oczami zawodowego pentestera.

Historia pokazała nam że wzrost popularności ataków typu supply chain nie jest przypadkowy. Szerokie pole rażenia oraz trudność w wykryciu tego ataku może spowodować wiele problemów. Zamiast skupiać się na klasycznych rozwiązaniach, może jednak warto rozejrzeć się za nowymi alternatywami? Podczas prelekcji Martin zaproponuje pewien schemat jak w dosyć prosty i sprytny sposób wykorzystać łańcuch bloków do zwalczania ataku poprzez kradzież klucza prywatnego organizacji.

Zastanawialiście się kiedyś jak przejść od etapu oglądania obudowy urządzenia z zewnątrz do finalnego przejęcia kontroli nad nim? Jeśli tak, to postaram się pokazać Wam jak przeszedłem taką drogę na przykładzie swojej prywatnej klimatyzacji i podzielić się paroma praktycznymi wskazówkami, które z pewnością przydadzą się przy badaniu różnych urządzeń z systemami wbudowanymi na pokładzie.

Aplikacje desktopowe również posiadają błędy bezpieczeństwa.

W trakcie prezentacji Roberta przeprowadzony będzie pobieżny test penetracyjny aplikacji desktopowej, dzięki któremu dowiemy się czego nie należy robić, projektując mechanizmy uwierzytelnienia.

Podczas swojej prezentacji Marek opowie jak zwiększyć skuteczność kampanii red team i testów socjotechnicznych – czyli przedstawi sposoby i narzędzia pozwalaje na obniżenie skuteczności antywirusów w wykrywaniu obecności wrogiego kodu w uruchamianym oprogramowaniu.

Tomek zaprasza Was na praktyczną prezentacje nietuzinkowych i ciekawych ataków na najpopularniejszą platformę do konteneryzacji. Zostaną przedstawione strategie i techniki wykorzystywane przez hakerów do infiltracji kontenerów Docker, jednocześnie pokazując, jak efektywnie bronić się przed takimi atakami.

Uczestnicy dowiedzą się o potencjalnych lukach bezpieczeństwa w standardowych konfiguracjach Docker, a także o najnowszych narzędziach i praktykach zabezpieczania kontenerów, także związanych z AI.

Kryptografia ma nam służyć i nas chronić, ale czasem doprowadza nas do łez….

Podczas prezentacji opowiem o tym, jak można sobie kryptografią zrobić krzywdę.

Wewnętrzne struktury systemu plików zawsze są warte poznania i zrozumienia, tym bardziej, że przechowują informacje o tym, co z danych na dysku dawno już zniknęło, lub zostało nadpisane. W efekcie dostajemy cenny artefakt, użyteczny w informatyce śledczej. Choć NTFS USN Journal jest znany i lubiany od wielu lat, to zawsze warto wiedzieć o nim jeszcze więcej: od sposobów zafałszowania zawartej w Journalu informacji, aż po nieudokumentowane funkcje API.

Ostatnie lata obfitują w nowe mechanizmy mające zwiększyć bezpieczeństwo platformy webowej. Mowa np. o Content-Security-Policy, ciasteczkach SameSite czy Fetch Metadata. Ale w tle, z nieco mniejszym splendorem, dzieje się o wiele więcej mniejszych lub większych zmian, które mogą naprawiać konkretne podatności lub nawet tylko pewne warianty tych podatności.

W tej prezentacji przyjrzymy się kilku takim przykładom: omówimy kilka mniej popularnych ataków ze świata webu i przyjrzymy się, jakie kroki są poczynione by je wyeliminować (a przynajmniej zmniejszyć ich prawdopodobieństwo).

Podczas prezentacji przedstawię uczestnikom dostępne opcje i możliwości, które mogą wykorzystać do automatyzacji procesu aktualizacji serwerów i aplikacji. Następnie przejdziemy do omówienia środowisk testowych i produkcyjnych, aby uczestnicy zrozumieli ich znaczenie, zastosowania oraz korzyści. Kolejnym etapem będzie analiza planowania poprawek, podczas której przedstawię metody oraz narzędzia umożliwiające skuteczne zarządzanie i kontrolowanie procesu wprowadzania zmian w ramach automatycznego patchowania. Na koniec, skupimy się na praktycznym aspekcie wdrażania poprawek oraz zademonstruję sposób efektywnego automatyzowania procesu aktualizacji serwerów i aplikacji.

Jak będzie wyglądało bezpieczeństwo aplikacji webowych w 2050. roku? Jakoś tak: ’ or '1’=’1 Czyli w zasadzie w ogóle się nie zmieni. Dlaczego tak uważam? Dlatego, że nie widać na horyzoncie znacznej poprawy w temacie krytycznych i dość prostych do wykorzystania podatności w aplikacjach webowych. Ba – dziur jest coraz więcej 🙂

W trakcie prezentacji będę się starał Was przekonać do takiego punktu widzenia.

Podczas prezentacji będzie można zobaczyć jak zbudować swój własny honeypot. Zostaną też przedstawione doświadczenia prelegenta i zebrane statystyki z ostatnich lat działania fałszywego serwera. Na końcu zostanie omówiona też kwestia, że honeypot to nie tylko serwery…

Jak będzie wyglądało bezpieczeństwo aplikacji webowych w 2050. roku? Jakoś tak: ’ or '1’=’1 Czyli w zasadzie w ogóle się nie zmieni. Dlaczego tak uważam? A to dlatego. że nie wydać na horyzoncie znacznej poprawy w temacie krytycznych i dość prostych do wykorzystania podatności w aplikacjach webowych. Ba – dziur jest coraz więcej.

W trakcie prezentacji będę się starał Was przekonać do takiego punktu widzenia.

Po prelekcji przewidujemy krótką sesję Q&A.

It’s very easy to write and maintain a sanitizer, people often say. One of the easiest things out there, as word on the street has it. This talk shows some examples how easy it is, looking at tickets on Github, users’ expectations, challenges though bypasses and browser weirdness and lastly what the only way out is – moving the whole thing into a spec, right into the browser itself.

Po prelekcji przewidujemy krótką sesję Q&A.

Electron based apps are becoming a norm these days as it allows encapsulating web applications into a desktop app which is rendered using chromium. However, if Electron apps load remote content of attackers choice either via feature or misconfiguration of Deep Link or Open redirect or XSS it would lead to Remote Code Execution.

Previously, it was known that lack of certain feature flags and inefficiency to apply best practices would cause this behavior but we have identified novel attack vectors within the core electron framework which could be leveraged to gain remote code execution on Electron apps despite the feature flags being set correctly under certain circumstances.

This presentation covers the vulnerabilities found in twenty commonly used Electron applications and gained Remote Code Execution within apps such as Discord, Teams (local file read), VSCode, Basecamp, Mattermost, Element, Notion, and others.

Po prelekcji przewidujemy krótką sesję Q&A.

Maciek w prezentacji opowie czym są techniki eksfiltracji danych oparte o CSS oraz zaprezentuje swoje najnowsze badanie w tym zakresie. Na koniec rozwiążemy zdanie CTF implementując w praktyce omówione sposoby ataków.

Po prelekcji przewidujemy krótką sesję Q&A.

Przeglądarki oraz frameworki cały czas próbują ułatwić programistom tworzenie bezpiecznych stron, utrudniając nam znajdowanie podatności. Jakich klas błędów po stronie przeglądarki jest coraz mniej w 2022? Czy atrybut SameSite pokonał CSRFy? Czy dalej jest dużo XSSów?

Prelekcja będzie o tym jakie mechanizmy bezpieczeństwa zostały wprowadzone w ostatnich latach, a także na jakie klasy podatności warto poświęcić więcej czasu.

Po prelekcji przewidujemy krótką sesję Q&A.

Szerszy opis wkrótce.

Po prelekcji przewidujemy krótką sesję Q&A.

Jak będzie wyglądało bezpieczeństwo aplikacji webowych w 2050. roku? Jakoś tak: ’ or '1’=’1 Czyli w zasadzie w ogóle się nie zmieni. Dlaczego tak uważam? A to dlatego. że nie wydać na horyzoncie znacznej poprawy w temacie krytycznych i dość prostych do wykorzystania podatności w aplikacjach webowych. Ba – dziur jest coraz więcej. W trakcie prezentacji będę się starał Was przekonać do takiego punktu widzenia.

Po prelekcji przewidujemy krótką sesję Q&A.

Pisząc aplikacje webowe i implementując różne mechanizmy bezpieczeństwa, często musimy korzystać z narzędzi, które dają nam przeglądarki internetowe.

Jedną z operacji, którą typowo wykonuje przeglądarka jest parsowanie HTML-a. Następnie wynik tego parsowania może być przetwarzane przez biblioteki do czyszczenia HTML (takie jak np. DOMPurify), które próbują z niego wyciąć wszelkie fragmenty pozwalające na wykonanie ataku XSS.

W tym przypadku DOMPurify polega na danych zwracanych przez przeglądarkę, by prawidłowo wykonać swoje zadanie. Okazuje się jednak, że przeglądarka może mieć błąd i dosłownie „okłamać” pozostałe narzędzia odnośnie tego, jak przeparsuje dany HTML!

W prezentacji zobaczymy przykład niezwykłego błędu w Chrome (już załatanego), gdzie właśnie błąd w parserze HTML pozwalał na obejście biblioteki DOMPurify.

Po prelekcji przewidujemy krótką sesję Q&A.

Panel poświęcony nowej książce od Sekuraka. Opowiemy o zawartości publikacji, ilości stron i tomów oraz planowanej dacie premiery.

Pokażemy również okładkę i odpowiemy na Wasze pytania!

Application Whitelisting w największym skrócie opisać można jako sposób myślenia, w którym zamiast (albo oprócz) zabraniania złych aplikacji, pozwalamy tylko na te dobre. System Windows wyposażony jest „z pudełka” we wszystko, co jest do tego potrzebne, więc warto taką zmianę rozważyć, ponieważ znacząco podniesie to poziom bezpieczeństwa całej organizacji. Brzmi niewinnie, ale tak naprawdę nieraz jest poważnym wyzwaniem. Dlatego warto temu tematowi poświęcić całą sesję.

Po prelekcji przewidujemy krótką sesję Q&A.

Prezentacja zbioru scenariuszy incydentów IT klientów z ostatnich 10 lat, m.in: od niewinnego maila po ransomware na domenie; „halo, backup nie działa”; „głupie IT nie pozwala instalować gier” i inne.

Po prelekcji przewidujemy krótką sesję Q&A.

Po co człowiek wymyślił szyfry? Dlaczego kodowanie to nie jest szyfrowanie? Czym różnią się szyfry klasyczne od szyfrów współczesnych, a co mają wspólnego? Czy można udowodnić, że szyfr jest bezpieczny? Skąd się biorą szyfry? Przynoszą je bociany czy rosną w kapuście? Czy należy się bać, że komputery kwantowe pozbawią nas prywatności?

Po prelekcji przewidujemy krótką sesję Q&A.

Audyty wewnętrzne, audyty zewnętrzne, audyty certyfikacyjne, testy penetracyjne – to wszystko robimy na co dzień. Ale często punktowo szukamy wad, skupiamy się na jednym elemencie. I nawet gdy przedmiotem zainteresowania jest konkretna aplikacja, to jej bezpieczeństwo uzależnione jest od bezpieczeństwa, w tym „dobrej architektury” samego systemu IT. Dlaczego zatem najczęściej pracujemy mając bardzo zawężony punktu widzenia? Jakie zagrożenia niesie takie podejście?

Po prelekcji przewidujemy krótką sesję Q&A.

Informacje o wielu obiektach pływających i latających są dostępne bez problemu w Internecie. Dzięki temu możemy śledzić praktycznie każdy ich ruch. Na MegaSHP opowiem tym razem co można wyczytać z dostępnych informacji, czy zawsze są one prawdziwe i jak samodzielnie zbudować swoje OSINT-owe centrum dowodzenia.

Po prelekcji przewidujemy krótką sesję Q&A.

Na początku roku miałem chwilę czasu, aby popatrzyć na kilka domowych urządzeń sieciowych od firmy Netgear. Znalezienie pierwszego błędu zajęło mi 15 minut, a potem było tylko zabawniej. Na niniejszej prelekcji chciałbym przedyskutować kilka ciekawszych ze znalezionych błędów.

O podatności prototype pollution w świecie JS wiadomo już od wielu lat… do tej pory była ona traktowana jednak po macoszemu – wydawało się, że większość przypadków jej wystąpienia nie jest praktycznie exploitowalna. Wszystko zaczęło się zmieniać w ostatnich dwóch latach, gdy rozpoczęto szersze badania na temat jej wykorzystania nie tylko w NodeJS, ale w świecie frontendu. Okazało się, że wiele bibliotek pozwala na zatrucie prototypów – i w efekcie na nieoczekiwany wpływ na przepływ sterowania aplikacją. A to wszystko kończy się dużą liczbą XSS-ów!

Na prezentacji opowiem ogólnie czym jest prototype pollution, a także pokażę w jaki sposób podatność może objawić się w aplikacji, i dlaczego może prowadzić do XSS-a.

Trudno w 2021 nie słyszeć o Cobalt Strike…ale na wszelki wypadek ustalmy pewne fakty. Jest to komercyjne/płatne narzędzie dla zespołów red team, które w praktyce jest coraz częściej wykorzystywane przez przestępców m.in. operatorów ransomware. Z powodu popularności tego narzędzia zespoły Blue Team muszą je znać. Na mojej prezentacji pokażę podstawy Cobalt Strike oraz jak można próbować wykrywać jego działanie. Wspomnę też o darmowych rozwiązaniach takich jak sysmon, sigma rules, którą mogą pomóc Wam w obronie.

• OSINT offensive – rekonesans serwera domenowego od miniatury zdjęcia? – HISTORIA PRAWDZIWA
• OSINT vs. komunikatory (Telegram, Discord) – DEMO
• OSINT vs. social-media (Instagram, TikTok) – DEMO
• OSINT vs. block-chain – DEMO
• Usefull stuff – automatyzacja, zbiór linków i narzędzi, ochrona przed OSINT

Opowiem o wykorzystaniu przez atakujących różnych języków skryptowych i kompilowanych, mniej lub bardziej typowych. Min: MirrorBlast (kixtart, rebol), Zebrocy (nim), Gootkit (nodejs).

• Problemy zabezpieczeń danych przy użyciu BitLockera
• Niepoprawne zabezpieczanie danych podczas transmisji
• Dyski samoszyfrujące i ich słabości
• Wpadki przy zabezpieczaniu stanowiska pracy
• Najczęstsze problemy z hasłami
• Konsekwencje braku usuwania danych w dokumentach

Wszystko co powinieneś wiedzieć o podpisach cyfrowych w Windows a o co boisz się zapytać. 😉

Jak będzie wyglądało bezpieczeństwo aplikacji webowych w 2050. roku? Jakoś tak: ’ or '1’=’1
Czyli w zasadzie w ogóle się nie zmieni. Dlaczego tak uważam? A to dlatego. że nie wydać na horyzoncie znacznej poprawy w temacie krytycznych i dość prostych do wykorzystania podatności w aplikacjach webowych. Ba – dziur jest coraz więcej. W trakcie prezentacji będę się starał Was przekonać do takiego punktu widzenia.

Prezentacja dotyczyła będzie praktycznego wykorzystania „Raidena” do ataków Fault Injection na popularne mikrokontrolery takie jak LPC, STM czy NRF. W trakcie prezentacji zobaczyć będzie można na jakim poziomie obecnie znajdują się zabezpieczenia w świecie popularnych urządzeń IoT, portfeli krypto czy kluczy 2FA.

Dodatkowo podczas MSHP uruchomimy specjalny kanał na YouTube, na którym zamieścimy ciekawe prelekcje w postaci materiałów video.

Narzędzie Ghidra – na przykładzie poszukiwania podatności OS Command injection – Mateusz Wójcik;
Telefonia IP – jak złamać SIP – Kamil Folga;
SDR – radio programowe w analizie bezpieczeństwa – Piotr Rzeszut;
Wykrywanie Anomalii w Infrastrukturze IT z wykorzystaniem Zabbixa – Arkadiusz Siczek;
Know your tools: OpenSSH – Dariusz Puchalak;
Wykorzystanie routingu do zwiększenia bezpieczeństwa swojej sieci – Łukasz Bromirski;

W drugi dzień po MegaSHP proponujemy udział w zawodach CTF (Capture The Flag). Zaoferujemy kilkanaście zadań najeżonych różnymi problemami bezpieczeństwa. W każdym z nich będzie można znaleźć flagę, za którą będą do zdobycia punkty. Za punkty będzie można dostać atrakcyjne nagrody. 🙂

W trakcie prezentacji postaram się odpowiedzieć na pytanie: czy API REST można wreszcie uznać za bezpieczne? Jeśli nie, to jak je zabezpieczyć?
Całość na podstawie analizy około 20 przypadków realnych, świeżych podatności w API REST.

Pewnie pamiętacie incydent, w których przestępcy przez wiele tygodni kontrolowali serwer WWW elektronicznej Plus Banku. Podczas prezentacji dowiecie się nie tylko, jaka podatność została wykorzystana i jak przebiegały trzy fazy kradzieży środków klientów, ale także pochylimy się nad przyczynami, dla których ten incydent trwał tak długo – i dlaczego potem się powtórzył. Zobaczymy też perspektywę dziennikarza, który w swojej naiwności próbował pomóc bankowi w nierównym pojedynku z hakerami.

Cross-Site Scripting (XSS) consistently ranks highest in the list of the most prevalent security problems within web applications. In particular, DOM-based XSS exposes one of the most severe issues facing Single Page Applications and Electron Apps. In this talk we will examine the root causes of DOM-based XSS and provide fundamental insights into using static analysis to detect problematic code at scale. Furthermore, we will share practical tips that will ease adoption of these techniques when dealing with potential false positives or large codebases. We will conclude with an outlook on upcoming web standards which aim to support web developers to tackle DOM-based XSS once and for all.

XSS (Cross-Site Scripting) to podatność znana od ponad 20 lat. Istnieją znane sposoby zabezpieczenia się przed nią. W przeglądarkach powstały też mechanizmy chroniące przed XSS-ami, które pozwalają zminimalizować ryzyko podatności; takie jak np. Content Security Policy. Okazuje się jednak, że XSS-ów w dzisiejszych aplikacjach nadal nie brakuje! Dlaczego? Na to pytanie postaramy się odpowiedzieć w tej prezentacji.

Wbrew powszechnej opinii, systemy Windows bardzo chętnie i bardzo dokładnie „mówią” co się dzieje w ich wnętrzu. Wystarczy chcieć posłuchać. Pewnym wyzwaniem może być w praktyce wybór miejsca, gdzie przyłożyć ucho, ale po intensywnej sesji powinno być jasne, czy wybrać ETW, WPP, IFR czy jeszcze coś innego. Uwaga, sesja może zawierać zauważalne ilości konsoli, PowerShella oraz C.

Wieczny brak czasu na aktualizacje systemowe? W końcu udało się znaleźć chwilę na ich zainstalowanie, ale nie dokończyłeś całego procesu, bo musiałeś wybiec z biura? Czy twoje dane są bezpieczne? Tego dowiesz się z niniejszej prezentacji.

Rekiny pływające w zalanych centrach handlowych czy pokazy siły bazującej na metodzie kopiuj-wklej – oto metody na dobry click-bait lub phishing. Jak zatem sprawdzić czy obraz, na który patrzymy, nie został zmodyfikowany? Zaprezentuję kilka sposobów na ujawnienie takich działań.

Na prelekcji poznasz (i zobaczysz na żywo) skuteczne ataki na sieci bezprzewodowe spotykane w firmach. Pokażę sprawdzony sprzęt i narzędzia, dzięki którym dowiesz się w jak całkowicie zautomatyzowany sposób „przekonać” komputer jak i telefon, żeby przyłączył się do fałszywej sieci.

W trakcie prelekcji spróbujemy odpowiedzieć na kilka pytań, takich jak: Czy uzyskanie dostępu do niezabezpieczonej webaplikacji może być przestępstwem? Czy „nieautoryzowane testy penetracyjne” zawsze są bezprawne? Czy należy przejmować się prawami autorskimi twórcy złośliwego kodu? Czy prawnik może mówić ludzkim głosem?

Internet – jak ogry – ma warstwy. Niektóre z tych warstw zapisują raz
otrzymane informacje w celu późniejszego wykorzystania. Dzięki temu
serwery i łącza są mniej obciążone, a użytkownicy końcowi szybciej
otrzymują treści. Czasem otrzymują również dwie bonusowe podatności:
oszukanie i zatrucie pamięci podręcznej.

WebView jest mechanizmem pozwalającym na wyświetlanie stron w ciele natywnych aplikacji mobilnych, bardzo często używanym przez programistów ze względu na jego możliwości i elastyczność. W niniejszej prezentacji na praktycznych przykładach pokazane zostaną błędy często spotkane w jego implementacji- od XSS, kradzież danych z aplikacji, phishing, aż po (w starszych wersjach Androida) RCE.

Czy wiesz czym jest podatność SSRF? Dlatego występuje? W jaki sposób jest najczęściej wykorzystywana? Korzystasz ze środowiska uruchomionego w chmurze?Jeśli odpowiedziałeś/odpowiedziałaś chociaż raz twierdząco, to nie możesz przegapić tej prelekcji. Zobacz jak haker może przejąć Twoją infrastrukturę. Odtworzenie realnego scenariusza ataku na żywo. W roli głównej AWS + SSRF + Headless Chromium.

XSS to zdecydowanie najpopularniejsza podatność świata przeglądarek. Wyobraźmy sobie jednak świat, w którym XSS-y zostały zażegnane i zastanówmy się, jakie ataki będą wówczas możliwe. W 2021 i poprzednich latach poczyniono duże postępy w lepszym zrozumieniu ataków XS-Leaks, które pozwalają na wykorzystanie pewnych tzw. bocznych kanałów na wyciąganie danych z innych domen. W prezentacji zostaną pokazane te ataki na żywych przykładach.

„Nietechniczna” (na tyle na ile prelegent jest w stanie się powstrzymać od technikaliów) i nieco na luzie prelekcja o tym dlaczego prelegent jeszcze nie znudził się bezpieczeństwem IT.

Super krótkie prezentacje (7-10 minut) zawierające maksimum najważniejszej treści: podsłuch klawiatury bezprzewodowej na żywo, prezentacja kabla USB który… nagle staje się klawiaturą i wpisuje konkretną sekwencję klawiszy.

Przegląd świeżych podatności aplikacyjnych umożliwiających przejęcie kontroli nad systemem operacyjnym. Krytycznych podatności w znanych komponentach ostatnio nie brakuje. Michał zrobi przegląd (z pokazami na żywo) wielu znanych i nieznanych sposobów przejmowania kontroli nad systemem operacyjnym, korzystając z podatności aplikacyjnych.

Super krótkie prezentacje (7-10 minut) zawierające maksimum najważniejszej treści: podsłuch telefonów VoIP (na żywo), wysyłka SMSów i późniejsza podmiana ich treści

W trakcie prelekcji poznacie tą mniej znaną, ale dość częstą podatność. Zobaczycie wykręcające umysł metody omijania filtrów, które zostały źle zaimplementowane u takich gigantów jak: Google / Github czy Dropbox.

OAuth2 jest generalnie bezpieczny. Poza przypadkami gdy zostanie nieprawidłowo zaimplementowany. Po krótkim wstępie zobaczycie na żywo przykładowe ataki na OAuth2.

Prezentacja to przegląd elementów różnych języków programowania, które sprawiają, że pisanie bezpiecznego kodu jest trudne (wraz z przykładami).

Każdy mówi o DoSach czy DDoSach ale kto widział tego typu atak na żywo? W trakcie prelekcji zobaczycie zarówno‚ klasyczne’ podatności jak XML Bomb / ZIP Bomb czy ReDoS. Będzie też szansa zobaczyć atak DDoS typu reflected.

Super krótkie prezentacje (7-10 minut) zawierające maksimum najważniejszej treści: jednolinijkowe przejęcie kamery CCTV

Sztuczki z arsenału topowego bug-bountera. Michał będący obecnie na wysokiej pozycji Googlowego rankingu „hall of fame” najlepszych bugbounterów w kategorii appsec pokaże nowości dotyczące podatności XSS. Jak zwykle nie zabraknie pokazów na żywo.