Bootstrapping IT securityBootstrapping IT security

Általános információk

Tervezett időpontok (változások előfordulhatnak)

Időpont Téma Előadó
2016. február 24. Web Hegedűs Tamás
2016. március 9. Reversing Török Dávid
2016. március 23. CTF tapasztalatok Koczka Tamás
2016. április 6. Exploitation Kurucsai István
2016. április 20. Kripto Buttyán Levente
2016. május 4. OS biztonság Kamarás Roland
2016. június 1. ARM bevezetés Badics Alex

ARM bevezetés

Jelentkezni itt lehet: http://doodle.com/poll/i9g9p5v9t3qdd7pn

OS biztonság

Az előadás témája a mai modern operációs rendszerekben, kernel szinten alkalmazott memóriavédelmi megoldások áttekintése lesz. Olyan biztonsági megoldásokat tekintünk át, melyek architekturális szinten támogatottak x86 és x86_64 processzorokban. Az előadás során tehát megismerkedünk az említett processzor architekturák által alkalmazott virtuális memóriakezelés és leképezés működésével, valamint a hardveres DEP és SMEP biztonsági megoldásokkal, illetve az ezekhez szükséges architekturális építőelemekkel.

Az előadás során előbb elméletben tekintjük át az említett architekturális elemeket, megoldásokat, majd azok egy egyszerűbb gyakorlati példán keresztül is bemutatásra kerülnek.

A gyakorlathoz szükség lesz:

A binárist (illetve a forráskódot) az előadás során lehet majd letölteni.

Kripto

Az elõadás anyaga elérhetõ az alábbi címen.

Az elõadáson 4 témakört tárgyalunk és ezekhez kapcsolódó feladatokat oldunk meg:

Érdemes a KriptoG feladatokhoz szükséges tool-okat elõre telepíteni. Használni fogunk hex editort (pl. Windows-on HxD vagy Linux-on Bless), a JetBrains dotPeek nevû .NET decompiler-ét, és esetleg hellman xortool-ját. Szükség lesz továbbá python programozási környezetre. Az elõadó Linux-on fogja bemutatni a feladatok megoldását (kivéve a dotPeek használatát).

Exploitation

Az előadás témája a memóriakorrupciós hibák, azon belül is a stack buffer overflow-k kihasználása lesz.

Felkészülésként hasznos volna a

A feladatok követéséhez szükségetek lesz:

A feladatokat itt tanulmányozhatjátok: https://gist.github.com/andigena/bddda74257510c2c70264aeaad9aa427

CTF tapasztalatok

Az eloadas temaja a CTF-ek, azaz hackerversenyek lesznek. Mar esetleg hallhattatok rola, hogy van a !SpamAndHex nevu CTF csapatunk, amivel tobb meglehetosen jo eredmeny elertunk, mint peldaul a legrangosabbnak szamito Las Vegas-i DEFCON CTF dontojebe bejutottunk, de ugyanugy voltunk mar a vilag szamtalan reszen kulonbozo dontokben.

A kovetkezo eloadas reszben ezekrol a versenyekrol, illetve a feladatok megoldasahoz hasznalt toolokrol fog szolni, igy kicsit talan meselosebb lesz a tobbinel.

A CTFen elofordulo kategoriak nagyreszet az ujonc kor tobbi eloadasa lefedi, ezert ehhez az alkalomhoz, a kimarado kategoriakbol valogattam feladatokat, mint pl. a forensics (ami tipikusan valamilyen adat/protokoll/stb elemzessel osszefuggo feladat), ill. egyeb vegyes feladatokat.

Egyelore a feladatokat avatao linkkel linkelem be, hamarosan felkerulnek majd a path-ra is:

Reversing

Az előadáson látott diák elérhetőek itt.

A szerdai alkalom során első sorban X86 Assemblyvel és Reverse Engineering-el fogunk foglalkozni. Az otthoni felkészülés első sorban annyiból kéne álljon, hogy ezt a guide-ot átfutjátok. Tudom, hogy nem rövid és akár soknak is tűnhet de nem kell sem megtanulni sem pontosan tisztában lenni vele, annak már örülök ha úgy tudjuk elkezdeni a szerdai alkalmat, hogy láttatok pár utasítást és ismerős amiről beszélni fogok. Természetesen ott is fel lesz vezetve a téma, szóval remélhetőleg senki sem lesz elveszve.

Ebben a témában a "kezdő gyakorlati rész" leginkább crackme-kben (és később keygenme-kben, unpackme-kben) merül ki. Ezek megoldása nem reális feladat ameddig az X86 Assemblyvel nincs tisztában az ember, ezért ezeket a feladatokat a szerdai alkalom végén fogom kiadni, attól függően, hogy hogyan tudunk haladni és milyen visszajelzéseket kapok tőletek.

Ha valaki ezek ellenére harci kedvet érez magában és megpróbálna reverselni valamit, akkor ajánlom a Crysys-es sec challenge-et (még 2014-es): plakat.png

Web Security

Ezt az alkalmat Hege fogja vezetni, a kapcsolódó feladatok fent vannak az avatao portál "Discover/Web Security Bootstrapping" útvonala alatt. A következőket próbáld meg otthon megoldani (akit jobban érdekel, a többi feladatból is bátran csemegézhet):

Segítséget Molnár Gábor (web_mg.pdf) angol nyelvű előadásdiáiban találtok. Az SQL injection és Local File Inclusion témakörökről a 22-28 oldalon találtok rövid leírást. A diasorból egy oldalt sem kötelező elolvasni, ha a feladatokat meg tudod magadtól oldani. Ha túl könnyűnek találtad a feladatokat, akkor a "Web Security Bootstrapping" útvonal bármely feladatát elkezdheted, de ezekhez nem garantált hogy találsz segítséget a diasorban. Az avatao-n sok feladathoz van segítség, valamint minket is bármikor kérdezhetsz Slack-en, szinte biztos, hogy valaki azonnal fog tudni válaszolni. A szerdai feladatok viszont nem lesznek nehezebbek, ha ezek ​túl​ könnyűek voltak, akkor valószínűleg nem fogsz újat hallani. Szerdán a következő feladatokat oldanánk meg:

Úgy tudom, hogy már mindenkinek van működő avatao.com-os felhasználója. Ha valakinek bármi problémája van az avatao használatával (nem tud belépni, nem találja a feladatot, nem indul a feladathoz tartozó virtuális környezet, stb...), akkor szóljon nekünk, gyorsan intézkedni fogunk.