J3qx

information archive

Archive for the ‘ITSecurity’ Category

Stack Clash – серьёзная уязвимость с 12ти летним опытом

Posted by j3qx на Июнь 24, 2017

Уязвимость The Stack Clash — разбираем и изучаем

19 июня опубликована информация по группе уязвимостей Stack Clash – основной уязвимости на “столкновение сегмента стека с другим сегментом” CVE-2017-1000364 и нескольким дополнительным – CVE-2017-1000365 kernel: RLIMIT_STACK/RLIMIT_INFINITY string size limitation bypass, и прочими “дырками” в kernel, glibc и даже sudo.

В чём дело

В 2005 году Gaël Delalleau показывает наличие уязвимости в управлении памятью в linux 2.6 и ряде других unix-based ОС (FreeBSD, OpenBSD – не удаётся эксплуатировать разве что в Solaris 9/10). Дело в отсутствии защиты от stack gap – которая [защита] присутствует в Windows NT уже давно, поэтому такой трюк не проходит даже на Windows XP SP1, вызывая 0xC0000005.

Читать далее…

Posted in ITSecurity | Leave a Comment »

Настройка окружения SELinux на примере LAMP-сервера

Posted by j3qx на Май 21, 2017

Это третья статья из цикла

И сегодня она попала в поток «Администрирование». Сегодня мы не будем писать модули или настраивать RBAC, а пойдем по пути наименьшего сопротивления и просто захарденим обычный LAMP-сервер при помощи готовой политики, включив необходимые настройки.

Если кто забыл, за аббривиатурой LAMP скрывается Linux, Apache, Mysql, PHP, т.е. это большая часть всех VDS, которые покупают люди для хранения своих личных блогов. Надеюсь, что этот поможет всем им стать немного безопаснее :)

Предположения

Итак, предполагаем, что:

  1. Дистрибутив — CentOS 7 x64, пользователь — root
  2. SELinux включен, загружена политика targeted
  3. Режим SELinux — enforcing

 

Читать далее…

Posted in ITSecurity | Отмечено: , , | Leave a Comment »

Атаки на сетевое оборудование с Kali Linux

Posted by j3qx на Май 20, 2017

image
В данной статье мы рассмотрим актуальные атаки на сетевое оборудование и инструменты, доступные в популярном дистрибутиве Kali Linux для их проведения.

Атакуем CISCO маршрутизатор

 

В состав Kali Linux входит несколько инструментов, которые можно использовать для аудита оборудования CISCO. Список можно посмотреть в разделе Vulnerability Analysis — Cisco Tools:

Читать далее…

Posted in ITSecurity | Отмечено: , , , | Leave a Comment »

Выбор самой быстрой SHA-2 хэш-функции – SHA-512

Posted by j3qx на Май 12, 2017

Длиннее = медленнее? Для хэш-функции — необязательно.

На недавнем вебинаре по TLS 1.3 была вскользь затронута одна неочевидная тема – вопрос выбора самой быстрой хэш-функции для работы TLS.

В самом деле, если подходить с “бытовой логикой”, основанной на наблюдаемой ситуации, логичным будет то, что чем длиннее в битах вывод функции, и чем она безопаснее, тем она дольше считается и больше нагружает процессор.

3DES безопаснее DES, “длиннее в битах” и дольше считается. SHA-1 безопаснее MD5, “длиннее в битах” и дольше считается. RC4-128 безопаснее RC2-40, “длиннее в битах” и… ну, этот пример можно считать исключением.

Читать далее…

Posted in highload, ITSecurity | Отмечено: , , , | Leave a Comment »

Аудит Web-приложения – систематизируем тестирование

Posted by j3qx на Апрель 2, 2017

В предыдущей статье я рассмотрел методологию тестирования Web-приложения. Она не является обязательным стандартом, но поможет вам не пропустить уязвимости в больших проектах. Теперь я подробнее опишу каждый из этапов.

Во время тестирования Web-приложения и поиска уязвимостей в нём очень важно придерживаться некоторой методологии, иначе вы можете упустить что-нибудь важное. Чем крупнее приложение, тем важнее для Вас систематизированный подход.

1. Разведка

Для начала нужно собрать как можно больше информации. Найти включенные службы, скрытые папки, возможные логины. Разведка делится на активную и пассивную.

Читать далее…

Posted in IT expert, ITSecurity | Отмечено: | Leave a Comment »

ПОЛИТИКА УПРАВЛЕНИЯ ОБНОВЛЕНИЯМИ И УЯЗВИМОСТЯМИ ПРОГРАММНОГО ОБЕСПЕЧЕНИЯ. Редакция 1

Posted by j3qx на Август 27, 2016

Политика управления обновлениями и уязвимостями программного обеспечения ООО «Фирма»

Редакция 1

  1. Назначение и область применения
  1. Настоящая «Политика управления обновлениями и уязвимостями программного обеспечения ООО «Фирма» (далее – Политика) развивает положения документа «Политика информационной безопасности ООО «Фирма» (далее — Компания) устанавливает порядок управления обновлениями и уязвимостями информационной безопасности в программном обеспечении, используемом в Компании.

Читать далее…

Posted in ITSecurity | Отмечено: , | Leave a Comment »

6 ключевых шагов для защиты корпоративной сети.

Posted by j3qx на Июль 19, 2016

6 ключевых шагов для защиты корпоративной сети.

В этой статье я не буду рассказывать про использование сложных паролей, максимального ограничения прав доступа, смене учетных записей по умолчанию, обновлению ПО, и других «типовых» рекомендациях. Цель статьи – рассказать о самых частых ошибках в настройках, заставить администраторов и специалистов ИБ задуматься над вопросом – «а все ли в моей сети хорошо?», а также показать, как можно оперативно прикрыть те или иные типовые уязвимости, используя встроенные или бесплатные средства, не прибегая к дополнительным закупкам.

 

Инструкций-рецептов намеренно не прикладываю, так как многое ищется очень легко по ключевым словам.

1. Усильте безопасность инфраструктуры Windows

Не создавайте локальные учетные записи доменными политиками

Это сильный повтор, но тут нужно повторять и повторять, так как эта ошибка очень частая – не создавайте доменной групповой политикой локальные учетные записи на хостах в домене. Опасность этого действия крайне высокая. Про это много где написано, но написано обычно на ресурсах, сугубо связанных с практической безопасностью, а не ИТ.

 

Причина высокой опасности – сведения об этой учетной записи, в том числе ее пароль, хранятся в открытом виде в файле groups.xml, в ресурсе sysvol контроллера домена, который по умолчанию доступен ВСЕМ участникам домена на чтение. Пароль зашифрован, но шифрование симметричное, а ключ один для всех копий Windows, и написан в открытом виде в MSDN. Отсюда следует: любой пользователь может скачать этот файл, и путем простых манипуляций узнать пароль от распространяемой учетной записи. Обычно так распространяется учетная запись с правами администратора, и часто она создается без разбора везде…

Решение – групповыми политиками добавляйте только доменные учетные записи в локальные группы на хостах. Пример расшифровки такого пароля вручную в ходе пентеста, обратите внимание на количество манипуляций до получения пароля:

Противодействие угону доменных учетных записей через mimikatz/wce

Администраторы, не связанные с пентестами и практической ИБ, редко знают про такие утилиты, как mimikatz и wce. Кратко об их работе – обладая правами локального администратора, можно извлечь из оперативной памяти билет доступа Kerberos, хеш пароля и даже сам пароль в открытом виде от учетных записей, которые недавно производили вход на этот хост. А так как администраторы совершают вход часто и много где, это приводит к высокому риску компрометации их полномочий.
Читать далее…

Posted in ITSecurity, sysadmin | Отмечено: , , | Leave a Comment »

Как сделать Linux сервер безопасным в 10 шагов.

Posted by j3qx на Июль 19, 2016

Каждое утро я проверяю почтовые уведомления logwatch и получаю основательное удовольствие, наблюдая несколько сотен (иногда тысяч) безуспешных попыток получить доступ. (Многие довольно прозаичны — попытки авторизоваться как root с паролем 1234 снова и снова). Приведённая здесь общая методика подходит для серверов Debian/Ubuntu, которые лично мы предпочитаем всем остальным. Они обычно служат только хостами для контейнеров Docker, но принципы те же.

На больших масштабах лучше использовать полностью автоматические установки с инструментами вроде Ansible но иногда вы просто поднимаете единственный сервер  — для таких ситуаций предназначена инструкция.

1. В первую очередь

У нас ещё даже нет пароля для рута. Хотелось бы выбрать что-нибудь случайное и сложное. Используем генератор менеджера паролей с настройками максимальной сложности. Менеджер паролей сохраняет пароль и шифрует его, доступ к нему возможен только по длинному мастер-паролю. Здесь предусмотрена пара избыточных мер защиты (длинный, сложный случайный пароль + защита пароля шифрованием и другим длинным паролем). Используете вы парольный менеджер или другие инструменты, сохраняйте пароль в безопасности, применяя какую-нибудь форму шифрования. Вам понадобится только этот рутовый пароль в случае потери пароля sudo.

Читать далее…

Posted in ITSecurity, sysadmin | Отмечено: , | Leave a Comment »

Интернет без лица

Posted by j3qx на Май 3, 2016

Интернет без лица

В связи с тотальной прослушкой интернет-каналов и прозрачностью коммерческих интернет-компаний перед государственными органами сейчас остро встал вопрос о мерах противодействия. Для пользователя самый эффективный вариант — использование криптографических инструментов и децентрализованных сервисов.

Ниже предоставлен список доступных способов анонимизации и защиты своих прав. Использовать на свой страх и риск.

AnoNet — децентрализованная сеть между друзьями с использованием VPN и программных BGP-маршрутизаторов.
http://wiki.ucis.nl/Anonet

Bitcoin — криптовалюта.
https://bitcoin.org/en/

Читать далее…

Posted in ITSecurity, Undeground | Отмечено: , , | Leave a Comment »

Бронируем TLS в Windows Server 2012 R2

Posted by j3qx на Декабрь 8, 2014

Бронируем TLS в Windows Server 2012 R2

Привет.

Защита TLS – штука крайне нужная. У неё много аспектов – как безопасность самой хостовой ОС, на которой развёрнут веб-сервер, так и безопасность работающих приложений, криптографические аспекты и многое другое. Я попробую написать про то, что с моей точки зрения, является важным и не сильно документированным / очевидным. На этом вода про то, что с TLS лучше, чем без TLS, а с настроенным TLS лучше, чем с не настроенным TLS, официально объявляется закончившейся.

Стартовые ограничения статьи – не будет рассматриваться тюнинг SSL, т.к. уже 13 лет как есть TLS, SSL мы будем выключать полностью. Не будет рассматриваться настройка систем младше NT 6.0, т.к. про это можно найти в предыдущей статье, да и те, кто думает о безопасности TLS, наружу Windows Server 2003й в 2014м году не выставляет.

Для большинства операций я буду использовать ATcmd – им проще делать тонкий тюнинг SSL/TLS. Если хотите – можете найти другие методы по выполнению аналогичных действий на своей ОС, это некритично – функционал называется стандартно, и ту же фрагментацию TLS можно настраивать чем удобно.

Бронируем TLS в Windows Server 2012 R2

  • Версия SSL/TLS на сервере
  • Отключаем неиспользуемые версии SSL/TLS и PCT/MPUH
  • Пересогласование TLS
  • Фиксируем только нужные cipher suites
  • Блокируем небезопасные криптоалгоритмы
  • Настраиваем фрагментацию TLS
  • SSL Close-Notify
  • Журналирование TLS
  • Отправка клиенту списка доверенных CA в CTL-формате
  • Логика проверки x.509-сертификата клиента
  • Проверка промежуточных сертификатов через Интернет

Поехали.

Версия SSL/TLS на сервере

Первым делом – проведём инвентаризацию того, что умеет поддерживать SCHANNEL в Windows NT. Это будут:

  • Очень старый и просто старый варианты SSL – 2.0 и 3.0
  • Редкие и давно устаревшие PCT 1.0 и MPUH
  • Протоколы TLS 1.0, TLS 1.1, TLS 1.2 и их вариант для работы поверх UDP – DTLS

Разберемся по порядку.

Читать далее…

Posted in IT expert, ITSecurity | Отмечено: , | Leave a Comment »