2014 h4ck का सारांश 3। सुरक्षा विश्लेषण विभाग

H4ck 2019 गर्मियों के कार्यक्रम का सारांश 3 आर समाप्त हो गया है और यह स्टॉक लेने का समय है। इस लेख में हम आपको बताएंगे कि सुरक्षा विश्लेषण विभाग के प्रशिक्षुओं ने क्या परिणाम प्राप्त किए हैं।



यहां आप पिछले वर्षों के परिणाम देख सकते हैं:

• अनुसंधान विभाग 2016
• सुरक्षा विश्लेषण विभाग 2017
• अनुसंधान विभाग 2017
• Sum3r 0f h4ck: डिजिटल सुरक्षा पर ग्रीष्मकालीन इंटर्नशिप

हमने पिछली प्रथा का पालन किया: प्रतिभागियों को उन विषयों की एक सूची पेश की गई, जिन्हें वे कार्यक्रम के दौरान काम कर सकते थे। अनुसंधान के लिए किसी का अपना दिलचस्प विचार था, और हम हमेशा इस पर चर्चा करने के लिए तैयार थे।

तो, विभाग में चयन कैसे हुआ? पहला चरण प्रश्नावली को भरना है, जिसे हमने कंपनी की वेबसाइट पर पोस्ट किया है । इसमें 10 रोचक कार्य थे। उन्होंने व्यक्ति के प्रशिक्षण के स्तर, उसके ज्ञान और कुछ व्यावहारिक कौशल का मूल्यांकन करने में मदद की।

Korgik_0 के सहयोग से , हमने पहले ही प्रवेश परीक्षणों का विस्तृत विश्लेषण कर लिया है ; इसके अलावा, प्रतिक्रियाओं के मूल्यांकन के लिए एक प्रणाली और कुछ दिलचस्प आंकड़े प्रस्तुत किए जाते हैं। इसलिए, हम उन पर फिर से निवास नहीं करेंगे, बल्कि सबसे दिलचस्प तरीके से आगे बढ़ेंगे।

सुरक्षा विश्लेषण विभाग क्या करता है?

हमारे कर्मचारी पड़ोसी वाई-फाई को तोड़ते हैं, कॉर्पोरेट नेटवर्क में प्रवेश परीक्षा आयोजित करते हैं, वेब एप्लिकेशन और कॉर्पोरेट सॉफ़्टवेयर की सुरक्षा का विश्लेषण करते हैं, और मोबाइल और बैंकिंग अनुप्रयोगों सहित स्रोत कोड को ध्यान से देखते हैं। (सी)

परिचय

इस वर्ष, भाग लेने के लिए बहुत से लोग थे, जिनमें अन्य शहरों से भी शामिल थे। भौगोलिक रूप से, h4ck का sum3r हमेशा सुंदर शहर सेंट पीटर्सबर्ग में होता है।

इस वर्ष की भर्ती में नए और पहले से ही परिचित दोनों चेहरे शामिल थे: किसी ने पहले से ही हमारे विश्वविद्यालय में एक छात्र अभ्यास किया था और अब एक सभ्य स्तर पर एक योग्यता प्रश्नावली के साथ निपटा था, और पिछले वर्षों में कोई व्यक्ति h4row के सारांश 3 पर आया था में देखा। हम हमेशा युवा विशेषज्ञों के पेशेवर विकास का निरीक्षण करने के लिए खुश हैं, खासकर अगर हम खुद इस में योगदान करते हैं :)

प्रशिक्षण का एक महत्वपूर्ण हिस्सा हमारे कर्मचारियों का व्याख्यान है। इस वर्ष सुरक्षा विश्लेषण विभाग की व्याख्यान सूची कुछ इस प्रकार थी:

• AD सुरक्षा
• बर्प और उपयोगी प्लगइन्स
• लिनक्स एलपीई
• विंडोज एलपीई
• वेब सुरक्षा व्याख्यान
• वाई-फाई सुरक्षा
• Android अनुप्रयोगों की सुरक्षा (में) सुरक्षा

प्रतिभागियों ने खुद भी व्याख्याताओं के रूप में काम किया - h4ck के sum3r के पूरा होने के करीब , उन्होंने अपने शोध के परिणामों के बारे में प्रस्तुतियां दीं, काम की प्रक्रिया में आने वाली समस्याओं को साझा किया, और बताया कि क्या लक्ष्य प्राप्त किए गए थे। कई लोगों ने मिलकर परियोजनाओं पर काम किया।

इसके अलावा, हमने एक प्रयोगशाला वातावरण विकसित किया है जिसमें आप व्यावहारिक सूचना सुरक्षा कौशल का अभ्यास कर सकते हैं। कार्य न केवल उपयोगी हैं, बल्कि महत्वपूर्ण भी हैं - h4ck 2019 के sum3r के अंत में , प्रोग्राम मैनेजर सामान्य आँकड़ों को देखता है और उन लोगों की पहचान करता है, जिन्होंने सबसे अधिक कार्य पूरा किया। जैसा कि आप समझते हैं, डिजिटल सुरक्षा कर्मचारियों के उम्मीदवारों के चयन पर बाद में प्रभावित करता है।

सभी सफल वक्ताओं को पूरी तरह से h4ck 2019 के पूर्ण होने के प्रमाण पत्र के सारांश 3 आर से सम्मानित किया गया।



जो लोग सफलतापूर्वक फाइनल में पहुंचे, हमें हमारे लिए एक छोटा सर्वेक्षण करने के लिए कहा गया।

मिनी साक्षात्कार के लिए प्रश्न इस प्रकार थे:

1. आपने डिजिटल सुरक्षा में इंटर्नशिप करने का फैसला क्यों किया? क्या आप कंपनी के लिए आकर्षित किया?
2. क्या आपको h4ck का सारांश 3 आर पसंद है? विशेष रूप से यादगार क्या था? वास्तविकता आपकी उम्मीदों के साथ कैसे मेल खाती है?
3. हमें अपने कार्य / कार्यों के बारे में बताएं।
4. क्या तैयारी की प्रक्रिया के दौरान आपके द्वारा काम किए गए कार्य दिलचस्प लगते हैं? क्या ऐसा कुछ था जो आप करना चाहते थे लेकिन असफल रहे?
5. क्या आप h4ck के एक नए दौर के लिए या काम के लिए कंपनी में लौटने के लिए तैयार हैं?

लेखकों की वर्तनी, विराम चिह्न और शैली संरक्षित हैं।

अलेक्जेंडर चेरेनकोव, MITM धोखा-चादर विषय

1. अक्सर अपने प्रकाशनों और अनुसंधान पर इंटरनेट पर कंपनी को देखा। मुझे एक कंपनी के रूप में छाप मिली जहां सूचना सुरक्षा में व्यावहारिक रूप से लागू अनुसंधान गतिविधियों में संलग्न होने का एक वास्तविक अवसर है।

2. मुझे इंटर्नशिप पसंद है। मैंने लंबे समय तक अपने आप को प्रो। व्यवसाय के क्षेत्र जो मुझे बढ़ने में मदद करेंगे और साथ ही समुदाय को कुछ लाभ पहुंचाएंगे। जिस प्रोजेक्ट में मैं लगी हुई थी, बस उसे ऐसा मौका दिया गया। वास्तविकता बेहतर उम्मीदों के साथ मेल खाती है।

3. उन्होंने मिटम हमलों पर चीटिंग लिखने में भाग लिया, नेटवर्क स्तर उठाया, जिसे वे लंबे समय से सुरक्षा के संदर्भ में पंप करना चाहते थे।

4. कार्य बहुत दिलचस्प हैं, बहुत सारी स्वतंत्रता देते हैं, क्योंकि पहला काम यह है कि इसे सामान्य रूप से लोगों तक पहुंचाने के लिए अपने आप को इसका पता लगाना है।

5. संभवतः काम करने के लिए एक इंटर्नशिप पर लौटने के लिए तैयार।

अध्ययन के परिणाम यहां मिल सकते हैं (परियोजना सक्रिय संपादन और विकास के तहत है)।

व्लादिमीर दुशकेविच, MITM चीट-शीट, फुलस्क्रीन वेब फ़िशिंग विषय

1. मैं उन कार्यों पर काम करने में बहुत दिलचस्पी रखता हूं जो अभ्यास में उपयोग किए जा सकते हैं। मुझे सूचना संरक्षण के ढांचे में व्यावहारिक कार्य पसंद हैं (और न केवल सुरक्षा :))। इसके अलावा, यह हमेशा उन स्मार्ट लोगों के साथ काम करने के लिए एक खुशी है जो आपसे अधिक जानते हैं और जानते हैं :)

2. मुझे वास्तव में इंटर्नशिप पसंद है, अब मुझे मेरे सिर में जावास्क्रिप्ट के बारे में बहुत अधिक ज्ञान है - और मैंने उन्हें खुद अभ्यास में लाया। मुझे आमतौर पर लगा कि js कुछ उबाऊ है, लेकिन अब मुझे पता है कि यह नहीं है।

मुझे विशेष रूप से याद है कि मैंने ICMP पुनर्निर्देशित हमले का परीक्षण कैसे किया - यह पता चलता है कि कुछ वितरण अभी भी इसकी चपेट में हैं (हालांकि हमला बहुत प्राचीन है)

3. मैं दो कार्यों में भाग लेने में सक्षम था - मिटम चेसशीट और जावास्क्रिप्ट फुलस्क्रीन फिशिंग का संकलन। पहले भाग के रूप में, हमने मितम हमलों पर एक छोटी सी चीट शीट संकलित की, उनकी जाँच की और उनके लिए धन का चयन किया। और दूसरे के हिस्से के रूप में, हमने विंडोज 7 में पासवर्ड प्रविष्टि विंडो के समान एक छोटा फ़िशिंग पेज बनाया - यह दिलचस्प निकला :)

4. यह अफ़सोस की बात है कि केवल मैं काम में बहुत व्यस्त था - कार्यों को हल करने के लिए बहुत कम समय था। हम केवल आंशिक रूप से परियोजनाओं को समाप्त करने में कामयाब रहे - हम उन्हें गिरावट में खत्म कर देंगे, यह काफी दिलचस्प निकला।

5. इंटर्नशिप के लिए कंपनी में लौटें - अगले साल सुनिश्चित करें। काम पर - यह भी दिलचस्प होगा, एकमात्र बाधा यह है कि मैं आर्कान्जेस्क में रहता हूं :)):


फ़िशिंग पृष्ठ लेआउट प्रक्रिया में

Danila Leontiev, Amazon Network Digger Theme

1. डिजिटल सुरक्षा आपको लगभग किसी भी सीटीएफ-फेरा के सपने को साकार करने की अनुमति देता है - यह आपको पेशेवर रूप से अपनी पसंदीदा चीज में संलग्न होने का अवसर देता है। इस सवाल का जवाब "क्या कंपनी को आकर्षित किया?" - बस यह मौका।

2. यात्रा की अत्यधिक उच्च लागत के कारण, जिसमें शहर में जाना, रहना और सामान्य रूप से रहने की लागत शामिल है, और केवल इस वजह से मैं इस कार्यक्रम का बहुत अधिक आकलन नहीं कर सकता। मैं इसे 3.8-4.3 अंकों पर रेट करूंगा। अनुमान गुणांक में इस तरह के सूत्र शामिल थे - नया ज्ञान / पैसा खर्च = उपयोगिता।

बस आपको समझने के लिए। आपके कार्यक्रम में आने के लिए मुझे लगभग 55 हजार रूबल का भुगतान करना होगा। यह बहुत ज्यादा है। इस पैसे का उपयोग उन्नत प्रशिक्षण के लिए या प्रशिक्षण प्रोफेसर के लिए किया जा सकता है। अंग्रेजी भाषा। यह "हैक की गर्मियों" की तुलना में अधिक लाभदायक है। मुझे लगता है कि कंपनी को छात्रों को प्रशिक्षित करने के लिए एक मंच के रूप में सीरियस पर ध्यान देना चाहिए। और सौर सुरक्षा के सहयोगियों से एक उदाहरण लेते हैं। मैं इस तथ्य की ओर जाता हूं कि ये कार्यक्रम छात्रों के लिए पूरी तरह से मुफ्त हैं। आप जानते हैं, मेरे पास "छात्र-शिक्षक" की बातचीत नहीं है। यह शिक्षक के लिए कर्म में एक बड़ा धन होगा, और न केवल उसे, अगर परियोजना पर अनुभव का आदान-प्रदान होता। शायद क्यूरेटर को पहले से ही बादल के साथ अनुभव था या उसके पास इस विषय पर कुछ घटनाक्रम हैं (वही समीक्षा एक अच्छी मदद होगी)।

3. परियोजना का लक्ष्य - मेरे काम का सार एडब्ल्यूएस को कॉन्फ़िगर करने में कमजोरियों को खोजने के लिए उबलता है। और पाया समस्याओं के आधार पर, क्लाउड इन्फ्रास्ट्रक्चर को मैप करने के लिए एक स्क्रिप्ट लिखना।

4. बेशक, अपने लिए, मैंने ऐसी परियोजनाएँ चुनीं जिनमें मैं खरोंच से शुरुआत कर सकता था। और इस सवाल का जवाब देना कि क्या यह मेरे लिए दिलचस्प था - निश्चित रूप से।

5. मुझे लगता है कि "2020 के हैक की गर्मियों में" मैं खुद को फिर से परीक्षण करने के लिए वापस आऊंगा। अब मैं किस स्तर पर हूं, इसकी जांच करें। रोजगार के बारे में बात करना बहुत जल्दी है, क्योंकि मुझे अपनी पढ़ाई खत्म करने के लिए लगभग 2 साल की जरूरत है और सेंट पीटर्सबर्ग जाने के लिए एक साथ एनटी राशि डालने के लिए एक और साल चाहिए। लेकिन किसी भी मामले में, डिजिटल सुरक्षा रोजगार का एक प्राथमिकता स्थान होगा।


काला रंग - कार्यान्वित; लाल रंग - लागू नहीं

तैमूर अब्दुलिन, गोलंग सोशल बॉट थीम

1. मैंने DSek में इंटर्नशिप करने का फैसला किया क्योंकि यह उन कुछ कंपनियों में से एक है जो एक छात्र होते हुए भी व्यावहारिक सुरक्षा का अभ्यास करने का एक अच्छा अवसर प्रदान करती है। मैंने विभिन्न संसाधनों पर कंपनी के विशेषज्ञों द्वारा प्रकाशनों की एक बड़ी सूची को आकर्षित किया (उनमें से ज्यादातर हबर थे, निश्चित रूप से) और बगबाउंट कार्यक्रमों में उनकी भागीदारी।

2. मुझे वास्तव में इंटर्नशिप पसंद है, और वास्तविकता निश्चित रूप से उम्मीदों से अधिक है। व्याख्यान बहुत ही रोचक और उपयोगी थे, बहुत सी नई जानकारी। लैब आकर्षक और जटिल थे, उनके बाद HackTheBox की कारें शायद आसान लगेंगी।

3. मेरा कार्य एक कैप्चर की गई मशीन से उपयोगी जानकारी एकत्र करने के लिए कीटों में उपयोग की जाने वाली उपयोगिता में मॉड्यूल जोड़ना था। मैंने लोकप्रिय नेटवर्क क्लाइंट्स ( PuTTY , MobaXterm , FileZilla ), निकाले गए मेजबानों, उपयोगकर्ता नामों, कुंजियों से जानकारी के संग्रह को लागू किया। मॉड्यूल से लिंक करें।

उन्होंने बाहरी नेटवर्क पर क्लाइंट को उपलब्ध पोर्ट स्कैनर भी लिखा । इस तरह के स्कैनर की आवश्यकता होती है यदि नेटवर्क पर एक फ़ायरवॉल का उपयोग किया जाता है जो कुछ बंदरगाहों तक पहुंच को अवरुद्ध करता है। स्कैनर का क्लाइंट हिस्सा बंदरगाहों की निर्दिष्ट सूची से जुड़ने की कोशिश कर रहा है। सर्वर साइड आने वाले tcp पैकेट को प्राप्त करता है, एक कनेक्शन स्थापित करता है और पोर्ट नंबर को लिखता है जिसमें पैकेट आते हैं। इस तरफ, हम कच्चे टीसी सॉकेट्स के साथ काम करते हैं, क्योंकि यह लिखने में तेज और अधिक रोचक है :)

4. कार्यों पर काम बहुत दिलचस्प था। उदाहरण के लिए, पहले के अज्ञात गोलांग पर लिखें, tcp पैकेट के उपकरण क्षेत्र को समझें, और अतुल्यकालिक रन का अध्ययन करें। यह सीखना अच्छा होगा कि कैसे MobaXterm, FileZilla प्रोग्राम के डेटा को डिक्रिप्ट किया जाए, लेकिन इस तरह की स्वैच्छिक परियोजनाओं का उल्टा एक शुरुआती पेंटर के लिए मुश्किल है)। इसके अलावा, पूरी तरह से अतुल्यकालिकता से निपटने के लिए पर्याप्त समय नहीं था, लेकिन मुझे लगता है कि मैं इसे निकट भविष्य में करूंगा।

5. हां, जरूर! एक दिलचस्प गर्मियों के लिए आयोजकों को बहुत धन्यवाद)

व्लादिस्लाव ट्रोफिमोव, गोलंग सोशल बॉट थीम

1. दोस्तों ने मुझे प्रश्नावली भेजने का विचार दिया, यह कहते हुए कि कंपनी सूचना सुरक्षा बाजार में अग्रणी कंपनियों में से एक है, इसके अलावा, परियोजनाएं बहुत दिलचस्प होंगी, और यह कौशल बढ़ाने का एक शानदार अवसर है।

2. मुझे यह पसंद आया, और वास्तविकता मेरी उम्मीदों से अधिक थी। कार्यालय में एक महान वातावरण, कर्मचारियों और अन्य प्रशिक्षुओं के साथ मैत्रीपूर्ण संबंध, एक रोमांचक कार्य प्रक्रिया - जो कि स्मृति में बनी हुई है।

3. मैंने "गोलंग सोशल बॉट" विषय पर काम किया - पैठ परीक्षण में प्रयुक्त एक बॉट। मुख्य लक्ष्य उन मॉड्यूल लिखना था जो उपयोगी डेटा एकत्र करते हैं, किसी तरह कंप्यूटर संसाधनों के साथ बातचीत करते हैं।

4. बड़ी संख्या में कार्य थे, कुछ आसान, कुछ अधिक कठिन, लेकिन कम दिलचस्प नहीं। यह मुझे लगता है कि बहुत काम किया गया है, हालांकि, संक्षेप में, मैं समझता हूं कि मैं और भी अधिक कर सकता था।

5. बेशक! इंटर्नशिप न केवल आपकी परियोजना के विषय में, बल्कि कौशल विकसित करने, अन्य विषयों पर ज्ञान प्राप्त करने का उत्कृष्ट अवसर प्रदान करती है, जिसके लिए कंपनी को बहुत धन्यवाद!

डैनिल बेल्त्यूकोव, चीट-शीट कुबेरनेट्स थीम

1. एक साल तक सीटीएफ खेलने के बाद, मैंने खुद को वास्तविक परियोजनाओं पर आजमाने का फैसला किया। मैंने डिजिटल सुरक्षा से इंटर्नशिप देखी, दिलचस्पी पैदा की। उस समय तक, बहुत से लोग जिन्हें मैं जानता था कि वे पहले से ही वहां काम कर रहे थे, जिससे मुझे अपने फैसले पर विश्वास हुआ।

2. हाँ! कई दिलचस्प व्याख्यान थे, साथ ही साथ एक "प्रयोगशाला" भी थी जिसमें कई पहिये थे। प्रयोगशाला से मशीनों को तोड़ने के लिए व्याख्यान में प्राप्त ज्ञान को लागू करना संभव था।

3. मेरी थीम कुबेरनेट क्लस्टर के लिए सुरक्षा शीट का निर्माण था।
मुख्य ग़लतफ़हमी, क्या सक्षम करना है, ताकि यह "धर्मनिरपेक्ष" और इतने पर हो।

4. अवश्य। पिछले अध्ययनों का अध्ययन करने के बाद, मुझे एहसास हुआ कि वे आंशिक रूप से पुराने थे या कुबेरनेट्स के पुराने संस्करणों पर किए गए थे, जहां अधिकांश सुरक्षित विशेषताएं डिफ़ॉल्ट रूप से सक्षम नहीं हैं। नए संस्करणों में, यह एक "बॉक्स से बाहर" छेद है कि कुछ खोजने के लिए मुश्किल था। मैंने दूसरी तरफ से अध्ययन को देखा और कमजोर अनुप्रयोगों के साथ एक विशिष्ट परिदृश्य पर भरोसा करना शुरू कर दिया। आखिरकार, हमें पहले डेटा की सुरक्षा करनी चाहिए, न कि क्लस्टर की। नतीजतन, मुझे ऐसे विकल्प मिले, जो हमलावर के जीवन को जटिल बना सकते थे, लेकिन डिफ़ॉल्ट रूप से चालू नहीं हुए।

5. हाँ!


K8numerator कुबेरनेट क्लस्टर में सेवाओं पर पुनरावृति करने के लिए स्क्रिप्ट बैश

अध्ययन के परिणाम यहां देखे जा सकते हैं ।

निष्कर्ष

हम h4ck कार्यक्रम के sum3r में सुधार करना जारी रखते हैं, और इस साल हमें अपने प्रतिभागियों से कई मूल्यवान इच्छाएं मिलीं जिन्हें हम पूरा करने का प्रयास करेंगे।

खुद से हम कहना चाहते हैं "धन्यवाद!" जो लोग हमारे कार्यों को हल करते हैं और अनुसंधान पर काम करते हैं - आप महान अध्येता हैं!

आपको H4ck 2020 के सारांश 3r पर देखें;)