Гости форума Дни позитивного взлома III Будут не только интересные доклады, конкурсы и соревнования CTF, но и многочисленные мастер-классы.
Практические занятия на PHDays — это практические занятия под девизом «меньше слов, больше действий».
Под руководством гуру информационной безопасности со всего мира студенты глубоко погружаются в тему и решают практические задачи в области информационной безопасности своими руками.
Чтобы принять участие в занятиях, вам достаточно иметь базовую подготовку, жажду новых знаний и иметь с собой ноутбук.
Как разработать безопасное веб-приложение и не сойти с ума?
Мастер-класс посвящен обеспечению безопасности веб-приложений на протяжении всего цикла разработки.
В ходе урока будут обсуждаться практические подходы к выявлению и устранению уязвимостей в коде, разработанные в соответствии с рекомендациями Microsoft Security Development Lifecycle. Практический урок будет интересен разработчикам и исследователям веб-приложений, желающим получить навыки построения безопасного кода и анализа защищенности сложных проектов методом белого ящика.
Мастер-класс построен на базе Microsoft ASP.NET (Web Pages, Web Forms, MVC, Entity Framework, SignalR), но содержит минимум специфики среды и будет интересен специалистам, работающим с другими стеками веб-технологий.
Различные классы уязвимостей будут представлены на примерах уязвимостей нулевого дня в популярных продуктах, веб-движках и образовательных веб-приложениях.
В ходе практической части будут продемонстрированы наиболее интересные атаки, а также все рассмотренные приемы и приемы работы с кодом.
Ведущий: Владимир Кочетков — эксперт исследовательского центра Positive Technologies. Специализируется на анализе исходного кода веб-приложений и исследованиях в области безопасности технологий Microsoft. Разработчик инструментов для автоматизации задач анализа безопасности веб-приложений, входит в команду разработчиков PHDays HackQuest. В свободное время он принимает участие в проекте по разработке языка программирования Nemerle.
Sqlmap: под капотом
Участникам форума будет представлен углубленный анализ возможностей и внутренних механизмов sqlmap. Один мастер-класс объединяет функциональные возможности, ставшие результатом многолетней упорной и вдумчивой работы с запросами большого сообщества пользователей, и возможности, скрытые от глаз, о которых никто даже не задумывается.
Ведущий: Мирослав Штампар Является профессиональным разработчиком программного обеспечения и исследователем информационной безопасности.
В настоящее время работаю над докторской диссертацией на тему безопасности и организации параллельной обработки данных.
В 2007 году он стал сертифицированным разработчиком решений Microsoft для Microsoft .
NET и с тех пор работает в AVL (www.avl.com), крупнейшей в мире частной компании по производству силовых агрегатов, приборов и систем для двигателей внутреннего сгорания.
диагностирование.
Стремясь разобраться с вопросами безопасности, он стал одним из авторов знаменитого открытого проекта sqlmap (www.sqlmap.org), посвященного автоматическому обнаружению и эксплуатации таких уязвимостей, как «Выполнение SQL», а с декабря 2009 постоянно участвовал в его развитии.
Киберрасследования: основы
Практическая лаборатория по расследованию сетевых инцидентов:- расследование сетевых инцидентов с помощью Xplico – демонстрация, практика;
- расследование инцидентов с использованием NetworkMiner;
- задания для участников.
- расследование на работающем компьютере с использованием DumpIT и Memorize от Mandiant;
- исследование путем изучения памяти выключенного компьютера (после выключения);
- мастерская
Исследование с использованием образов дисков с помощью OSForensics (бесплатная версия) – демонстрация, решение проблем.
Ведущий: Александр Свердлов — тренер и консультант по информационной безопасности.
Разработал и успешно проводит пятидневный тренинг «Противодействие компьютерной преступности и предотвращению мошенничества», посвященный использованию системы Moneybookers (Skrill), создал тренинг для ING Insurance (Болгария).
Работая в HP Global Delivery Center, ЕООД участвовал в аудитах безопасности, координировал подготовку отчетов по обнаружению и устранению уязвимостей в Microsoft Windows, Unix и серверах баз данных.
Имеет сертификаты CEH, CHFI, MCSE и MCTS. Автор ряда статей по различным вопросам информационной безопасности.
Мастер-класс по RFID
Добро пожаловать в мир технологии NFC (Near Field Communication).
Докладчик сосредоточится на высокочастотной идентификации, но будут рассмотрены и низкие радиочастоты, поскольку они очень часто используются при организации контроля доступа в помещения.
Охватываемые темы варьируются от традиционных считывателей NFC (13,56 МГц), их API и проприетарного программного обеспечения до аппаратного обеспечения Proxmark3, программного обеспечения с открытым исходным кодом (LibNFC), от распространенных атак до оригинальных идей использования RFID. Часть мастер-класса будет посвящена технологии NXP MIFARE Classic, которая используется во всем мире для микроплатежей, физической безопасности зданий, в общественном транспорте.
Также будут рассмотрены некоторые практические кейсы, ведущий расскажет об уроках, которые он извлек из своего опыта, связанного с реверс-инжинирингом и социальной инженерией.
Ведущий: Науэль Грисолия — двадцатисемилетний исследователь из Аргентины.
Специализируется на безопасности веб-приложений и аппаратном взломе.
Обнаружены уязвимости в McAfee Ironmail, VMware и Manage Engine Service Desk Plus, а также в ряде проектов бесплатного ПО (Achievo, Cacti, OSSIM, Dolibarr и osTicket).
Провёл мастер-классы на международных конференциях BugCON (Мексика), H2HC (Бразилия), Ekoparty (Аргентина), на мероприятиях OWASP (Аргентина) и других.
Кроме того, он является разработчиком информационных систем, имеет сертификат CEH (сертифицированный этический хакер) и сертифицированный частный пилот.
Освоение шеллкода
На мастер-классе будут рассмотрены основы построения шеллкода для процессоров семейства x86, основные задачи при построении шеллкода и способы их решения.
Основное внимание будет уделено созданию шеллкодов минимального размера.
Докладчик представит примеры оптимизации шеллкода и предложит участникам самостоятельно оптимизировать часть шеллкода для отработки материала.
Ведущий: Антон Дорфман — исследователь, реверс-инженер и фанат ассемблера.
С 2001 года преподает в СамГТУ, занимается научными и практическими исследованиями в области программной информационной безопасности, опубликовал более 50 научных статей.
Разработал и преподает уникальные обучающие курсы по реверс-инжинирингу.
С 2009 года организатор и тренер студенческих команд СамГТУ, участвующих в соревнованиях CTF по компьютерной безопасности.
Ядро Windows: краткий курс для молодого бойца
План мастер-класса:
- общая физическая подготовка (настройка ОС и отладка средств);
- инструкция по использованию оружия (навыки работы с WinDBG);
- ориентирование на местности (сбор информации в ядре);
- знать противника в лицо (механизмы защиты ядра ОС);
- тактика боя (особенности эксплуатации);
- обучение (пример эксплуатации уязвимости в компоненте ядра).
Восхищается ядром, пулом повреждений и синхронизацией.
Не любит Intel SMEP и избегает его.
Безопасность приложений Android
Лабораторный практикум помогает освоить основные приемы анализа защищенности приложений и криминалистического анализа мобильных платформ на базе Google Android. Анализ безопасности продемонстрирует распространенные уязвимости, обнаруженные экспертами Positive Technologies, в том числе недавно исправленные Google уязвимости в Chrome для Android, а также уязвимости нулевого дня.
Ведущий: Артем Чайкин — Ведущий специалист группы анализа безопасности веб-приложений Positive Technologies.
Методология атаки SAP
Реализация атаки на SAP ABAP
- Определение доступных сервисов SAP (по диапазону IP-адресов)
- Подключение к Oracle без аутентификации
- Выбор паролей для пользователей сервиса в Oracle
- Поиск счетов (метод из курса ЦВЗ)
- Перехват паролей с помощью Wireshark
- Подбор паролей, полученных от USR02
- Запуск программ с уровня ОС
- Анализ RFC-соединений (хранение данных авторизации)
- Поиск запущенных служб Java
- Получение информации путем анализа журналов событий в Java-апплете SAP (без авторизации)<
- Получение и анализ журналов событий авторизованным пользователем с минимальными правами (Java)
- Подмена HTTP-запросов на сервисы SAP Java
- Получение доступа к ОС путем эксплуатации уязвимостей в сервисах
- Анализ защищенного хранилища Java
- Особенности ландшафта SAP и транспортной подсистемы
- Создание учетной записи с правами администратора с помощью подделки запроса на транспортировку
P.P.S. Билеты на форум можно приобрести на сайте следующая ссылка .
Теги: #PHDays #PHDays #PHDays #PHDays #практикум #мастер-классы #информационная безопасность
-
Как Поделиться Видео С Другими?
19 Oct, 24 -
Обзор Интерфейса Rest Asterisk (Ari)
19 Oct, 24 -
Перфекционизм В Разработке Инструментов
19 Oct, 24 -
Вопрос: Конференция. Мы Готовы Начать
19 Oct, 24 -
Проблема С Вершинным Покрытием
19 Oct, 24 -
«Однопоточный Программист»
19 Oct, 24 -
Рефакторить Или Не Рефакторить?
19 Oct, 24
