Sekurak Mega Hacking Party

6.12.2021

6 grudnia będzie...MEGA! Zapraszamy na mikołajkową, zdalną edycję MSHP

Mega Sekurak Hacking Party – całodniowa, zdalna edycja, 6.12.2021 – zapraszamy na trzecią już edycję tego wyjątkowego wydarzenia w branży! Cały dzień konkretnej, aktualnej wiedzy. Większość w formie praktycznych pokazów „hackingu” na żywo, bez męczącego marketingu produktowego, tylko merytoryka, brak nudy gwarantowany! Prezentacje prowadzone przez ludzi, którzy wiedzą o czym mówią, bo na co dzień zajmują się etycznym „hakowaniem” systemów, identyfikacją podatności a także doradzaniem w budowie bezpieczniejszego świata 😊

Spotkanie kierowane jest głównie do programistów, testerów, przedstawicieli zespołów odpowiedzialnych za  bezpieczeństwo IT w firmach oraz wszystkich pasjonatów tematu bezpieczeństwa IT.

AGENDA / 6 grudnia 2021 (agenda oraz kolejność wystąpień może ulec zmianie)

  • 9:00-9:15

    Powitanie i otwarcie konferencji.

    Michał Sajdak
    Michał Bentkowski

  • 9:15 - 10:05

    Netgear - CTF w pudełku?!

    Gynvael Coldwind

    Na początku roku miałem chwilę czasu, aby popatrzyć na kilka domowych urządzeń sieciowych od firmy Netgear. Znalezienie pierwszego błędu zajęło mi 15 minut, a potem było tylko zabawniej. Na niniejszej prelekcji chciałbym przedyskutować kilka ciekawszych ze znalezionych błędów.

  • 10:05 - 10:15

    Przerwa

  • 10:15 - 11:05

    Prototype Pollution - czyli jak zatruć aplikację XSS-em

    Michał Bentkowski

    O podatności prototype pollution w świecie JS wiadomo już od wielu lat... do tej pory była ona traktowana jednak po macoszemu - wydawało się, że większość przypadków jej wystąpienia nie jest praktycznie exploitowalna. Wszystko zaczęło się zmieniać w ostatnich dwóch latach, gdy rozpoczęto szersze badania na temat jej wykorzystania nie tylko w NodeJS, ale w świecie frontendu. Okazało się, że wiele bibliotek pozwala na zatrucie prototypów - i w efekcie na nieoczekiwany wpływ na przepływ sterowania aplikacją. A to wszystko kończy się dużą liczbą XSS-ów! Na prezentacji opowiem ogólnie czym jest prototype pollution, a także pokażę w jaki sposób podatność może objawić się w aplikacji, i dlaczego może prowadzić do XSS-a.

  • 11:05 - 11:15

    Przerwa

  • 11:15 - 12:05

    Cobalt Strike for Blue Team!

    Wojciech Lesicki

    Trudno w 2021 nie słyszeć o Cobalt Strike…ale na wszelki wypadek ustalmy pewne fakty. Jest to komercyjne/płatne narzędzie dla zespołów red team, które w praktyce jest coraz częściej wykorzystywane przez przestępców m.in. operatorów ransomware. Z powodu popularności tego narzędzia zespoły Blue Team muszą je znać. Na mojej prezentacji pokażę podstawy Cobalt Strike oraz jak można próbować wykrywać jego działanie. Wspomnę też o darmowych rozwiązaniach takich jak sysmon, sigma rules, którą mogą pomóc Wam w obronie.

  • 12:05-12:15

    Przerwa

  • 12:15 - 13:05

    OSINT - historia prawdziwa

    Tomasz Turba

    • OSINT offensive - rekonesans serwera domenowego od miniatury zdjęcia? - HISTORIA PRAWDZIWA • OSINT vs. komunikatory (Telegram, Discord) - DEMO • OSINT vs. social-media (Instagram, TikTok) - DEMO • OSINT vs. block-chain - DEMO • Usefull stuff - automatyzacja, zbiór linków i narzędzi, ochrona przed OSINT

  • 13:05 - 13:30

    Przerwa obiadowa

  • 13:30 - 14:20

    Chodź pomaluj mi malware

    Maciej Kotowicz

    Opowiem o wykorzystaniu przez atakujących różnych języków skryptowych i kompilowanych, mniej lub bardziej typowych. Min: MirrorBlast (kixtart, rebol), Zebrocy (nim), Gootkit (nodejs).

  • 14:20 - 14:30

    Przerwa

  • 14:30 - 15:20

    OOPSEC - wpadki i wypadki przy zabezpieczaniu danych

    Krzysztof Wosiński

    • Problemy zabezpieczeń danych przy użyciu BitLockera • Niepoprawne zabezpieczanie danych podczas transmisji • Dyski samoszyfrujące i ich słabości • Wpadki przy zabezpieczaniu stanowiska pracy • Najczęstsze problemy z hasłami • Konsekwencje braku usuwania danych w dokumentach

  • 15:20 - 15:30

    Przerwa

  • 15:30 - 16:20

    Podpisy cyfrowe plików w Windows. Jak to zrozumieć i używać

    Grzegorz Tworek

    Wszystko co powinieneś wiedzieć o podpisach cyfrowych w Windows a o co boisz się zapytać. ;-)

  • 16:20 - 16:30

    Przerwa

  • 16:30 - 17:20

    Dlaczego hackowanie aplikacji (pod koniec roku 2021) jest proste?

    Michał Sajdak

    Jak będzie wyglądało bezpieczeństwo aplikacji webowych w 2050. roku? Jakoś tak: ' or '1'='1 Czyli w zasadzie w ogóle się nie zmieni. Dlaczego tak uważam? A to dlatego. że nie wydać na horyzoncie znacznej poprawy w temacie krytycznych i dość prostych do wykorzystania podatności w aplikacjach webowych. Ba - dziur jest coraz więcej. W trakcie prezentacji będę się starał Was przekonać do takiego punktu widzenia.

  • 17:20-17:30

    Zamknięcie konferencji.

    Michał Sajdak
    Michał Bentkowski

  • Materiały video dostępne podczas MSHP ( 6.12.2021 )

    Dodatkowo podczas MSHP uruchomimy specjalny kanał na YouTube, na którym zamieścimy ciekawe prelekcje w postaci materiałów video. Planujemy około 10 filmów. Tematy, które na tę chwilę możemy potwierdzić to: Narzędzie Ghidra – na przykładzie poszukiwania podatności OS Command injection; Telefonia IP - jak złamać SIP; SDR - radio programowe w analizie bezpieczeństwa; Wykrywanie Anomalii w Infrastrukturze IT z wykorzystaniem Zabbixa; Know your tools: OpenSSH; Wykorzystanie routingu do zwiększenia bezpieczeństwa swojej sieci; Błędy bezpieczeństwa w architekturze współczesnych mikrokontrolerow i sposoby ich wykorzystania. Więcej tematów już wkrótce!

  • 7.12.2021 - CTF

    W drugi dzień po MegaSHP proponujemy udział w zawodach CTF (Capture The Flag). Zaoferujemy kilkanaście zadań najeżonych różnymi problemami bezpieczeństwa. W każdym z nich będzie można znaleźć flagę, za którą będą do zdobycia punkty. Za punkty będzie można dostać atrakcyjne nagrody. :)

Prelegenci edycji MSHP 6.12.2021

SZCZEGÓŁY WYDARZENIA

Data: 06.12.2021 / godzina rozpoczęcia: 9:00 / zakończenie: około 17:00 / Miejsce: On-line

Cały dzień konkretnej, aktualnej wiedzy, większość w formie praktycznych pokazów „hackingu” na żywo, bez męczącego marketingu produktowego, tylko merytoryka, brak nudy gwarantowany!

Wystąpienia planujemy na nie więcej niż 40 min. Po każdej prezentacji będzie, krótka sesja Q&A ( do 10 min ) a po niej mała przerwa przed kolejną prelekcją. W okolicach godziny 12:30 planujemy 30 minutową przerwę na obiad.

Na drugi dzień  po MSHP (czyli 07.12.2021) proponujemy udział w zawodach CTF (Capture The Flag). Zaoferujemy kilkanaście zadań najeżonych różnymi problemami bezpieczeństwa. W każdym z nich będzie można znaleźć flagę, za którą będą do zdobycia punkty. Każdy uczestnik, który rozwiąże co najmniej jedno zadanie otrzyma kubek z logo sekuraka, a 10 osób z największą liczbą punktów zostanie nagrodzonych pakietami gadżetów sekuraka (bluza, książka, kubek, skarpety).

Będzie się działo! 🙂

W ramach uczestnictwa w wydarzeniu otrzymujesz:

– udział w wyjątkowo merytorycznym wydarzeniu na żywo + dostęp do nagrania z wydarzenia przez kolejne 30 dni

– certyfikat uczestnictwa (w pdf)

– dostęp do CTFa, który odbędzie się 7 grudnia

 

MIEJSCE WYDARZENIA

Wydarzenie zdalne