विशेषज्ञ PHDays IV पर लैंडिंग को हैक कर रहा है: दरवाजे बंद करने, ब्राउज़र तोड़ने और “स्मार्ट होम” से भागने के लिए चाबी बनाना

क्यों राष्ट्रीय सुरक्षा के लिए इंटरनेट ऑफ थिंग्स खतरा है? इंप्रेशन क्या है? सैकड़ों लाखों प्रतियों के संचलन के साथ अनुप्रयोगों में शून्य-दिन की भेद्यता का पता कैसे लगाएं? क्या डीडीओएस हमलों के लिए एक रामबाण है? हम आपके ध्यान में भाषणों के एक नए हिस्से को प्रस्तुत करते हैं जो पॉजिटिव हैक डेज़ IV चतुर्थ अंतर्राष्ट्रीय मंच पर दिया जाएगा ( पहली और दूसरी घोषणाएं भी देखें)।



लगभग 2,000 व्यावहारिक सुरक्षा विशेषज्ञ 21 और 22 मई 2014 को मॉस्को में इकट्ठा होंगे, ईरान, चीन और डीपीआरके की साइबर क्षमता के बारे में बात करने के लिए, स्नोडेन और हार्टबल के बाद क्रिप्टोग्राफी, सूचना सुरक्षा मुद्दों में यैंडेक्स के कर्मचारियों के बारे में जागरूकता बढ़ाने, स्काडा स्ट्रांगेलोव समूह के महत्वपूर्ण निष्कर्ष, साइबर खतरों के लिए। आधुनिक विद्युत सबस्टेशन, एसएपी सिस्टम पर हमलों की मुख्य दिशाएं। फोरम के मेहमान अगली पीढ़ी के समझौता सूचक, सूचना सुरक्षा में दृश्य विश्लेषण, रिवर्स इंजीनियरिंग स्वचालन और बहुत कुछ सीखेंगे।



कुल मिलाकर, PHDays IV कार्यक्रम ने 40 से अधिक रिपोर्टों , अनुभागों और गोल तालिकाओं (हम बाद में अलग से चर्चा करेंगे), मास्टर कक्षाओं और लघु आकर्षक फास्टट्रैक स्टैंड-अप की योजना बनाई है।

क्या करें-स्वयं व्यावहारिक कार्य

पॉजिटिव हैक डेज़ वर्कशॉप आमतौर पर अधिकतम ध्यान केंद्रित किया जाता है। PHDays पर हैंड्स-ऑन लैब्स व्यावहारिक अभ्यास हैं, जिसमें आपकी आवश्यकता के लिए, एक नियम के रूप में, केवल बुनियादी प्रशिक्षण, नए ज्ञान के लिए तरस - और आमतौर पर एक लैपटॉप भी है।



साइट पर पारंपरिक पूर्ण घर का निर्माण किया जाता है, विशेष रूप से, TOOOL (देविंत ओलम, बाबक जावदी और कीथ हॉवेल) से तीन हौदिनी के प्रदर्शन के द्वारा, जो यह प्रदर्शित करते हैं कि शारीरिक सुरक्षा किसी भी सुरक्षा का आधार है। इस बार वे प्रभाववाद के बारे में बात करेंगे - एक खाली, एक फ्लैट फ़ाइल और नज़दीकी अवलोकन का उपयोग करके किसी और के दरवाजे की चाबी बनाने की कला। प्रस्तुति में सभी प्रतिभागी न केवल विधि की विशेषताओं से परिचित होंगे, बल्कि इसके आवेदन का अभ्यास भी कर सकेंगे।



ईवेंट वेबसाइट पर सभी हैंड्स-ऑन लैब्स का संक्षिप्त विवरण उपलब्ध है।

जवाब के लिए खोजें

PHDays पर, सबसे तीव्र व्यावहारिक सुरक्षा समस्याओं को तैयार किया जाएगा, जिसके समाधान के लिए आज कोई तैयार व्यंजन नहीं हैं।



इसलिए, खंड "इंटरनेट ऑफ थिंग्स - नेक्स्ट जनरेशन थ्रेट" में भाग लेने वाले लोग उन खतरों पर ध्यान केंद्रित करेंगे जो हमारे जीवन में डिजिटल तकनीकों की गहरी पैठ पैदा कर सकते हैं। इन खतरों की भविष्यवाणी कैसे करें? संभावित क्षति को कम करने के लिए किन साधनों का उपयोग किया जाना चाहिए? आंद्रेई बोसेन्को और एलेन्से काचलिन ("पर्सपेक्टिव मॉनिटरिंग"), आंद्रेई मोस्कविटिन (सिस्को), आंद्रेई पेटुखोव (वीएमके मॉस्को स्टेट यूनिवर्सिटी), अर्टिओम चाएकिन (पॉजिटिव टेक्नोलॉजीज) इन सवालों के जवाब देने की कोशिश करेंगे।



PHDays IV का दौरा फ्रांसीसी प्रोफेसर एरिक ऑरिक फीलोल, क्रिप्टोलॉजिस्ट, साइबर स्पेस और साइबर युद्ध के क्षेत्र में विशेषज्ञ, "कंप्यूटर वायरस: सिद्धांत, अभ्यास और अनुप्रयोग" पुस्तक के लिए रॉबर्टविल पुरस्कार के विजेता द्वारा किया जाएगा। वह एडवर्ड स्नोडेन के रहस्योद्घाटन के बाद क्रिप्टोग्राफी में हुए परिवर्तनों और आरएसए, हार्टबल, गूगल, एएनएसआईआई के साथ घोटालों के बारे में अपने विचार प्रस्तुत करेंगे, और उन कुछ विषयों पर बात करेंगे जो अभी तक अखबारों में नहीं लिखे हैं।



दुनिया भर के विशेषज्ञ घुसपैठ का पता लगाने और उसे रोकने के लिए आशाजनक दृष्टिकोणों पर विचार करेंगे (स्पीकर - EMC से रॉबर्ट ग्रिफिन), एक उदाहरण के रूप में ऑरेंज नेटवर्क का उपयोग करने वाले दूरसंचार ऑपरेटरों के लिए नए खतरे (सेबस्टियन रोचर, ऑरेंज समूह में कोर नेटवर्क की सुरक्षा सेवाएं)। अन्य विषयों में ईरान, चीन और उत्तर कोरिया की साइबर क्षमता की तुलना (विलियम हेगस्टैड द्वारा प्रस्तुत की जाएगी) और सूचना सुरक्षा के बारे में कर्मचारी जागरूकता बढ़ाने की समस्याएं शामिल हैं - यांडेक्स के नताल्या कुकानोवा उनके बारे में बताएंगे (सकारात्मक प्रौद्योगिकियों के अनुसार, औसतन 30 से अधिक) सबसे बड़ी कंपनियों के कर्मचारियों के% फ़िशिंग लिंक का अनुसरण करते हैं!)।



PHDays IV के लिए नियोजित व्यावसायिक रिपोर्टों का विवरण मंच की वेबसाइट पर पाया जा सकता है।



और अब नई रिपोर्ट के बारे में अधिक।

2014 में द्विआधारी शून्य-दिन कमजोरियों की खोज पर

सांख्यिकीय रूप से महत्वपूर्ण अनुप्रयोगों (ओएस, कार्यालय अनुप्रयोगों, ब्राउज़रों) में शून्य-दिन की कमजोरियों की खोज, खोज और उनका दोहन कैसे करें - शेलकॉडर की हैंडबुक की रिहाई के 10 साल बाद, एक लाख रिपोर्ट के बाद, हजारों एप्लिकेशन उपयोगिताओं और कंप्यूटिंग शक्ति के कई गुणा? स्पीकर अपने स्वयं के फ़ज़िंग सिस्टम, कई शून्य-दिन की भेद्यता और कई सुरक्षा बाईपास तकनीकों को पेश करके इस प्रश्न का उत्तर देने का प्रयास करेगा।



रिपोर्ट को कंप्यूटर सुरक्षा शोधकर्ता एलिस शेवचेंको (एसेज) द्वारा प्रस्तुत किया जाएगा। वह 2009 से अपनी खुद की कंपनी Esage Lab का प्रबंधन कर रही है और मास्को हैकस्पेस न्यूरॉन की सह-संस्थापक है।

साइबर जासूसी: समझौता संकेतक क्या हैं और वे क्या खाते हैं

वक्ताओं ने समझौता (IOC) के संकेतकों की अवधारणा और घटनाओं के जवाब में और इसके उपयोग के बारे में बात की जाएगी। लेखकों द्वारा विकसित मंच आपको गतिशील सुरक्षा ढांचे के साथ समझौता करने के संकेतकों के विभिन्न स्वरूपों को एकीकृत करने की अनुमति देता है।



वक्ता: फेडर यारोच्किन - विश्लेषक, पी 1 सुरक्षा, सिनिक अकादमी; व्लादिमीर क्रोपोटोव और विटाली चेतवर्कोव सूचना सुरक्षा के क्षेत्र में स्वतंत्र शोधकर्ता हैं।

सूचना सुरक्षा में दृश्य विश्लेषण

इन्फोग्राफिक्स को नई तकनीकी वर्णमाला कहा जाता है, और यह स्वाभाविक है कि सूचना प्रौद्योगिकी के क्षेत्र में विशेषज्ञ इस पर नजर गड़ाए हुए हैं, न कि केवल अनुसंधान डिजाइन के लिए। रिपोर्ट के लेखकों ने यातायात विश्लेषण, हमले के मॉडलिंग, सुरक्षा मूल्यांकन, मोबाइल मनी ट्रांसफर सिस्टम में वित्तीय अनियमितताओं का पता लगाने के लिए दृश्य उपकरण विकसित किए। उनका तर्क है कि पारंपरिक दृष्टिकोण की तुलना में ऐसा दृष्टिकोण बहुत अधिक प्रभावी है, और वे इसे व्यवहार में साबित करने के लिए तैयार हैं।



SPIIR प्रयोगशाला के कर्मचारी इगोर कोटेंको और येवगेनी नोविकोवा, यह दिखाने का इरादा रखते हैं कि दृश्य विश्लेषिकी एक साधारण "सूचना सुरक्षा" को कंप्यूटर बैटमैन में कैसे बदल देती है।

SQL और NoSQL पर समय हमलों

इस तरह के हमलों के लिए आवेदन का मुख्य क्षेत्र वेब अनुप्रयोग है। अध्ययन SQL और NoSQL डेटाबेस के लिए विभिन्न खोज एल्गोरिदम के लिए समर्पित है और ऐसे एल्गोरिदम के निष्पादन समय का विश्लेषण करके हमला करता है।



अध्यक्ष - इवान नोविकोव, कंपनी और वॉलरम के सीईओ में सूचना सुरक्षा विशेषज्ञ। Google, Facebook, Twitter, Nokia, Yandex में कमजोरियों का पता लगाने के लिए उन्हें बार-बार सम्मानित किया गया। फिलहाल, वह सक्रिय रूप से सेल्फ लर्निंग डब्ल्यूएएफ प्रणाली विकसित कर रहा है।

एक आधुनिक विद्युत सबस्टेशन के नियंत्रण प्रणालियों के साइबरहेट्स

लेखक Cheboksary में बनाए गए पूर्ण-परीक्षण परीक्षण ग्राउंड के बारे में बात करेंगे जो एक आधुनिक उच्च-वोल्टेज सबस्टेशन की नकल करता है, और एक विद्युत सबस्टेशन के नियंत्रण प्रणालियों में वास्तविक साइबर स्पेस घटनाओं का विश्लेषण करता है।



NTC FGC UES OJSC, Kaspersky Lab और TsUE CHEAZ LLC के संयुक्त कार्य का परिणाम Maxim Nikandrov द्वारा प्रस्तुत किया जाएगा, जो बिजली प्रबंधन प्रणालियों के क्षेत्र में विशेषज्ञ, TsUE CHEAZ LLC के नियंत्रण प्रणाली विभाग के प्रमुख हैं।

विश्वसनीय चैनल और डेटा रूपांतरण

प्रोग्रामर अधिक सक्षम हो जाते हैं और जानते हैं कि उपयोगकर्ता डेटा को सही ढंग से संसाधित करना और अनधिकृत उपयोगकर्ताओं को गोपनीय डेटा नहीं देना आवश्यक है। हालांकि, हर कोई यह नहीं समझता है कि उपयोगकर्ता के साथ डेटा का आदान-प्रदान करने के लिए एक चैनल क्या है, और एक विश्वसनीय डेटा स्रोत क्या है, और वे केवल अपने स्वयं के कोड सिंटैक्स के स्तर पर सोचते हैं। रिपोर्ट अपर्याप्त इनपुट सत्यापन (मुख्य रूप से वेब अनुप्रयोगों में) जैसी कमियों को व्यवस्थित करने का प्रयास करती है।



अध्यक्ष - उमर गानिएव, एक रूसी कंपनी, IncSecurity के विशेषज्ञ। 2011 से, वह सक्रिय रूप से CTF प्रतियोगिताओं में भाग ले रहे हैं, उन्होंने छद्म नाम बेक्ड के तहत और टीम प्रतियोगिताओं (टीम RDot.Org, UFOLogists, अधिक स्मोक्ड लेट चिकन के भाग के रूप में) में व्यक्तिगत प्रतियोगिताओं में दोनों में कई जीत हासिल की हैं।

SAP हमला वेक्टर - CUA प्रणाली

रिपोर्ट SAP पर हमलों के मुख्य क्षेत्रों पर चर्चा करेगी, विशेष रूप से केंद्रीकृत उपयोगकर्ता प्रबंधन प्रणाली SAP CUA पर। लेखक वास्तु सुविधाओं, गलत कॉन्फ़िगरेशन और डिफ़ॉल्ट सेटिंग्स से संबंधित सीयूए सिस्टम की कमजोरियों को दिखाएगा।



अध्यक्ष - दिमित्री गुटस्को, एसएपी सुरक्षा विशेषज्ञ। सकारात्मक तकनीकों पर SAP अनुप्रयोगों के लिए सुरक्षा विश्लेषण समूह का प्रमुख। उन्होंने विभिन्न SAP सुरक्षा विषयों पर कई कमजोरियों और अध्ययनों को प्रकाशित किया है।

डीपी मॉडल के आधार पर एक्सेस कंट्रोल और सूचना प्रवाह की सुरक्षा मॉडलिंग

रिपोर्ट तार्किक पहुँच नियंत्रण के सुरक्षा मॉडलिंग और आधुनिक कंप्यूटर सिस्टम में सूचना प्रवाह के लिए समर्पित है। हम डीपी मॉडल के सिद्धांत, इसके फायदे और क्षमताओं के साथ-साथ सुरक्षा तंत्र के विकास में अनुप्रयोग सुविधाओं के आधार पर सुरक्षा मॉडलिंग के दृष्टिकोण पर विचार करते हैं। डीपी मॉडल के मूल तत्वों, प्रावधानों और विधियों का वर्णन किया गया है। नए मॉडलिंग दृष्टिकोण प्रस्तावित किए गए हैं जो एक्सेस कंट्रोल तंत्र के सॉफ्टवेयर कार्यान्वयन पर ध्यान केंद्रित करते हैं।



डेनिस कोलेगोव - पीएचडी, सूचना सुरक्षा और टीएसयू में क्रिप्टोग्राफी के सहायक प्रोफेसर, एफ 5 नेटवर्क पर सुरक्षा परीक्षण के लिए वरिष्ठ इंजीनियर।

रिवर्स इंजीनियरिंग स्वचालन

रिवर्स इंजीनियरिंग की प्रक्रिया में, कार्यक्रम क्या करता है और कैसे करता है, इसे समझने के लिए शोधकर्ता के रास्ते में कई नियमित क्रियाएं होती हैं। लेकिन कार्यक्रमों की प्रस्तुति के अमूर्त स्तर और नियमित कार्यों के स्वचालन के लिए बड़ी संख्या में प्रौद्योगिकियां हैं। रिपोर्ट इन प्रौद्योगिकियों, अनुप्रयोग उदाहरणों और उनके कार्यान्वयन के लिए खुली उपयोगिताओं के लाभों पर विचार करेगी।

वक्ता: एंटोन डोरफ़मैन एक शोधकर्ता, रिवर्स इंजीनियर और असेंबली भाषा के प्रशंसक हैं। 2009 से, छात्र CTF टीमों के आयोजक और सक्रिय खेलने वाले कोच।



शेष रिपोर्ट की घोषणा फोरम की वेबसाइट पर पाई जा सकती है।

छोटा और स्पष्ट

मानक व्याख्यानों के अलावा, PHDays IV कार्यक्रम में एक व्यापक FastTrack की योजना बनाई गई है, जिसमें समृद्ध और गतिशील पंद्रह मिनट के भाषण शामिल हैं, जिनके बारे में हम नीचे संक्षेप में चर्चा करेंगे।

विभिन्न एंटी-वायरस प्रयोगशालाओं के काम का विश्लेषण

कंपनी के डेवलपर्स के साथ एक उत्सुक घटना ने यह पता लगाने में मदद की कि संदिग्ध सॉफ़्टवेयर का विश्लेषण करते समय एंटी-वायरस प्रयोगशालाएं वास्तव में "दूसरी तरफ" कैसे काम करती हैं। आने वाले ट्रैफ़िक का विश्लेषण करके वास्तविक हमलावर अपने टीम सर्वर में अग्रिम में एंटीवायरस प्रयोगशालाओं की रुचि का पता लगा सकते हैं कि कैसे बात करेंगे।



फास्टट्रैक एक्सप्रेस अध्ययन को आईटी निगरानी विभाग के आईटी विभाग के उप प्रमुख इगोर एगिविच और ओजेएससी रेडियो मॉनिटरिंग टेक्नोलॉजीज (सेंट पीटर्सबर्ग) के सॉफ्टवेयर इंजीनियर पेवेल मार्कोव द्वारा प्रस्तुत किया जाएगा।

हम एआरएम के तहत शेलकोड को पकड़ते हैं

शेलकोड पहचान उपकरणों की प्रचुरता के बावजूद, उनमें से ज्यादातर केवल x86 प्लेटफॉर्म के लिए प्रासंगिक हैं। इस कमी के लिए वक्ता प्रयास करेंगे। एआरएम के लिए मौजूदा तरीकों की प्रयोज्यता का विश्लेषण किया जाएगा और इस प्लेटफॉर्म के लिए शेलकोड का पता लगाने के लिए संभावित उत्तराधिकारियों पर विचार किया जाएगा।



स्वेतलाना Gayvoronskaya Bushwhackers CTF टीम का एक पूर्व सदस्य है, जो Microsoft रिसर्च प्रोजेक्ट का सदस्य है, जो स्वचालित रूप से क्लाउड इन्फ्रास्ट्रक्चर में दुर्भावनापूर्ण किरायेदारों का पता लगाता है। इवान पेट्रोव बुशवाकर्स CTF टीम के एक सक्रिय सदस्य हैं। वह एआरएम उपकरणों के दोहन की संभावनाओं की खोज कर रहा है, मेटास्प्लोइट के लिए मॉड्यूल लिखता है।

आभासी मशीनों का आत्मनिरीक्षण, या क्लाउड में हमलावर को कैसे ट्रैक किया जाए

स्पीकर इस बारे में बात करेगा कि कैसे "बादल" साइबर अपराधियों की पहचान करने में मदद कर सकते हैं, और ट्रैप सिस्टम (हनीपोट्स) बनाने के लिए प्रोजेक्ट में उपयोग किए जाने वाले दृष्टिकोण और वर्चुअल बॉक्स में एक हमलावर या एक अंदरूनी सूत्र के कार्यों को ध्यान में रखते हुए भी विचार करेंगे। Nazar Timoshik - सॉफ्टवेयर सुरक्षा इंजीनियर, पैठ परीक्षण विशेषज्ञ, विभिन्न यूक्रेनी आउटसोर्सिंग कंपनियों (सॉफ्टसर्व, एलेक्स, सिम्फनी-सॉल्यूशंस) में काम किया।

Axapt इंजेक्शन: Microsoft Dynamics AX में व्यावसायिक डेटा पर हमला

स्पीकर समझाएगा कि X ++ भाषा कोड के कार्यान्वयन का उपयोग करके एंटरप्राइज़ की गतिविधियों पर सिस्टम और डेटा के डोमेन व्यवस्थापक के खाते तक पहुँच प्राप्त करने के लिए Microsoft Dynamics AX ERP- सिस्टम की त्रिस्तरीय वास्तुकला का लाभ कैसे उठाया जाए।



अध्यक्ष: दिमित्री एरुसोव पिछले 10 वर्षों से Axapta ERP प्रणाली के आधार पर समाधानों का विकास और कार्यान्वयन कर रहा है।

ऐसी तकनीकें जो PHP स्क्रिप्ट में दुर्भावनापूर्ण कोड का पता लगाना और उनका विश्लेषण करना मुश्किल बनाती हैं

रिपोर्ट में मुख्य तरीकों का वर्णन किया गया है जो दुर्भावनापूर्ण कोड डेवलपर्स अपनी लिपियों का पता लगाने और उनका विश्लेषण करने में मुश्किल बनाने के लिए उपयोग करते हैं: मल्टी-स्टेज एन्क्रिप्शन, ऑब्सफिकेशन, कोड छिपाना, "मिमिक्री", PHP फ़ंक्शन और अन्य के लिए छिपा कॉल। प्रत्येक विधि के लिए, उदाहरणों को एक स्कैनर के साथ पता लगाने, कार्यान्वयन की जटिलता, और पता लगाने के तरीकों पर विचार किया जाता है। डिक्रिप्शन टूल की एक सूची प्रदान की गई है।



अध्यक्ष - ग्रिगोरी ज़ेम्सकोव, कंपनी के प्रमुख "संशोधन", सूचना सुरक्षा विशेषज्ञ। लेखक और AI-Bolit मैलवेयर स्कैनर के डेवलपर। उन्होंने टेकॉम ग्रुप में एक वरिष्ठ डेवलपर और टेलीका रूस में एक प्रमुख वास्तुकार के रूप में काम किया।

भीड़ के टुकड़े: DDoS के लिए रामबाण की तरह भीड़ फिल्टर

DDoS सुरक्षा संसाधनों की एक लड़ाई है। ट्रैफ़िक को फ़िल्टर करने और संतुलन को संतुलित करने के लिए संसाधनों की भीड़ डीडीओएस से लड़ने की लागत को कम करने में मदद कर सकती है। रिपोर्ट एक रक्षा प्रणाली की अवधारणा की जांच करेगी जो वितरित हमलों को अप्रभावी होने के लिए ज्ञात करती है।



डेनिस मकरुशिन, साइबर खतरों से बचाव के लिए प्रौद्योगिकियों में विशेषज्ञता वाले कैसपर्सकी लैब के एक विशेषज्ञ, अपने फास्टट्रैक भाषण के दौरान "क्लाउड" डीडीओएस जवाबी की प्रौद्योगिकियों के बारे में बात करेंगे।

आईटी-जीआरसी वर्ग प्रणालियों और सुरक्षा और अनुपालन नियंत्रण प्रणालियों के एकीकरण का तकनीकी कार्यान्वयन

रिपोर्ट में आईटी-जीआरसी प्रणाली के एकीकरण के कार्यान्वयन और सुरक्षा और अनुपालन नियंत्रण प्रणाली (सीसीएमएस) में अंतर्निहित तंत्र का उपयोग करने पर चर्चा की गई है। यह आलेख सीपीएसएस रिपोर्ट की सीपीएसएस रिपोर्ट की एक्सएसडी-योजना के आधार पर निर्माण को दर्शाता है जिसमें सीपीएसएस रिपोर्ट की रिपोर्ट से सभी संभावित तत्वों और विशेषताओं वाले रिपोर्ट शामिल हैं।



Marat Rakhimov ने 2013 में NRU ITMO से संगठन और सूचना सुरक्षा की तकनीक में स्नातक की उपाधि प्राप्त की। वह Gazinformservice LLC में एक डिज़ाइन इंजीनियर के रूप में काम करता है। RSA आर्चर जीआरसी प्लेटफ़ॉर्म का प्रमाणित प्रशासक।

अस्थायी से ज्यादा स्थायी कुछ भी नहीं है

वेब डेवलपर या व्यवस्थापक अक्सर अस्थायी फ़ाइलों पर ध्यान नहीं देते हैं और कॉन्फ़िगरेशन त्रुटियां करते हैं, इसलिए महत्वपूर्ण जानकारी तक पहुंचने का सबसे अधिक स्वागत मेहमानों को नहीं मिल सकता है। रिपोर्ट मुख्य हमले के वैक्टर की जांच करेगी जो विभिन्न लोकप्रिय कार्यक्रमों और संस्करण नियंत्रण प्रणालियों के "पैरों के निशान" के कारण संभव हैं, और ऐसे हमलों पर विस्तृत आंकड़े प्रदान करते हैं।



सूचना सुरक्षा के लिए प्राचीन कहावत की प्रयोज्यता, ऑनसेक के सुरक्षा शोधकर्ता और पैठ परीक्षण विशेषज्ञ दिमित्री बुमोव द्वारा चित्रित की जाएगी।

प्रशासक विशेषाधिकारों के बिना क्रेडेंशियल कैसे प्राप्त करें

एक हमलावर को आमतौर पर एक खाते से पासवर्ड आसानी से नहीं मिल सकता है यदि वह एक नियमित उपयोगकर्ता के स्तर पर संगठन के आंतरिक नेटवर्क तक पहुंच के साथ एक कंप्यूटर को संक्रमित करता है। ज्ञात विधियों को विशेषाधिकार वृद्धि या बहुत भाग्य की आवश्यकता होती है। लेखक विंडोज एसएसपीआई के कार्यान्वयन में भेद्यता के दोहन के लिए एक मूल तकनीक पेश करेगा, साथ ही सीमाओं को दरकिनार करने के लिए इसका उपयोग करने के लिए एक उपकरण भी होगा।



अध्यक्ष - एंटोन सैपोझनिकोव, वरिष्ठ सलाहकार, केपीएमजी। सात साल से अधिक समय तक पैठ परीक्षण में लगे, फॉर्च्यून ग्लोबल 500 सूची में कई कंपनियों के साथ काम किया। अधिक स्मॉकड लेट चिकन टीम में सीटीएफ प्रतियोगी, जिसने कोडगेट, एचआईटीबी, डीईएफसीओएन जैसी घटनाओं में पुरस्कार जीते और जीते।

एनएफसी: प्रोटोकॉल सुरक्षा

एनएफसी तकनीक मानव गतिविधि के अधिकांश क्षेत्रों में सफलतापूर्वक प्रवेश करती है - मेट्रो के लिए भुगतान करने से लेकर स्मार्ट घर की व्यवस्था करने तक। सुविधाजनक। लेकिन क्या यह सुरक्षित है? रिपोर्ट एनएफसी उपकरणों की बातचीत के लिए प्रोटोकॉल पर विचार करेगी, हमले की सतह को रेखांकित किया जाएगा और एनएफसी के लिए खतरे के मॉडल पर विचार किया जाएगा। एक उदाहरण अपने स्वयं के Arduino- आधारित एनएफसी ट्रांसमीटर का उपयोग करके एंड्रॉइड फोन पर MiTM हमला है।



रिपोर्ट एंड्री प्लास्टुनोव (कंपनी के सिस्टम एनालिस्ट "पर्सपेक्टिव मॉनिटरिंग") और रोमन बाझिन (सॉफ्टवेयर "पर्सपेक्टिव मॉनिटरिंग" के डेवलपर) द्वारा प्रस्तुत की जाएगी।



फास्टट्रैक के प्रदर्शन के बारे में सभी विवरण फोरम साइट पर हैं ।



तकनीकी रिपोर्ट और मास्टर कक्षाएं केवल एक भव्य कार्यक्रम का हिस्सा हैं जो एक महीने से भी कम समय में होगी। एक रोमांचक प्रतियोगिता कार्यक्रम पहले से ही विकसित किया गया है, पीएचडी हर जगह आगंतुकों के लिए एक युद्धक्षेत्र तैयार किया गया है, सीटीएफ प्रतियोगिताओं में प्रतिभागियों की पहचान की गई है, और यंग स्कूल प्रतियोगिता के लिए फाइनलिस्ट चुने गए हैं।



पॉजिटिव हैक डेज़ IV में मिलते हैं!