Dragon Sector AMA

Jesteśmy polskim zespołem biorącym udział w rozgrywkach CTF (security/hacking). Zapraszamy do zadawania pytań! Odpowiadamy z kont: @dragonsector, @gynvael i @lympho (ew. dodatkowe wymienimy na stronie w linku). Start 8.1.2015 12:00. Koniec 9.1.2015 10:00

[kamdz]

1. Ile zarabiacie?
2. Skąd się znacie?
3. Ile macie lat, jakie wykształcenie, itp?
4. Próbowaliście hackować Wykop?
5. Wykorzystywaliście kiedyś swoje skille niekoniecznie w dobrym celu?

[dragonsector]

@Gynvael: to się nazywa "ciężkie naruszenie obowiązków pracowniczych" w Polsce (tzn ujawnianie zarobków)

[B.....y]

Technicznie:

1. Czy rozwalenie strony przed dos/ddos może jakoś pomóc przy wycieku zawartości (bazy itp) ?
2. Istnieją jakieś bardziej h4x0rskie sposoby do sprawdzenia zakresu IP (całej strefy adresów powiązanych) należącego do tej samej 'organizacji' niż numerowanie + i - w ostatnim oktecie ? ;D
3. Czy można wysłać pakiet sieciowy bez enkapsulacji ?
4. Jaki język jest najbardziej uniwersalny i posiada największe możliwości jeśli chodzi o pisane nardzędzi do "testowania" aplikacji ?

[dragonsector]

@Blaady: Uff. Odpowiem na część.

1 - Trudno mi sobie taki wyobrazić, ale nie zajmuję się webem.
2 - whois na netblocku (zdobywasz zakres), zmap/nmap, próbujesz wykminić co siedzi pod wspólnymi routerami (traceroute, mtr -e dla MPLS), takie tam.
3 - Na Ethernet? No, jeżeli wyślesz niepoprawną ramkę to najpewniej ci coś zdropuje po drodze (NIC/Switch). Jak wyślesz poprawny Ethernet, a niepoprawny IPv4/v6, to ci pierwszy router po drodze dropnie.
4

[AlfaMenel]

Cześć!

Najdziwniejsze zadanie, z jakim przyszło wam się zmierzyć?
Wasz najtrudniejszy/najgroźniejszy/najbardziej wymagający rywal?
Czym zajmujecie się na codzień?

[6a6b6c]

1) Ile* 0-day'ow rocznie plodzicie?
2) Ile* zgarniacie za 0-day'a?
3) Co Was sklonilo do wyjscia z nory? Slawa? Pieniadze? Czynienie dobra dla spoleczenstwa?

* - srednio

[dragonsector]

@6a6b6c:
1) Jako team nie szukamy razem błędów w oprogramowaniu OS czy komercyjnym (są chwilowe alianse, ale bardziej związane z faktem że kilku z nas pracuje w jednej firmie), być może kiedyś to zmienimy
2) Osobiście, największe (prywatnie) bounty jakie dostałem to 4x za RCE w IDA-Pro, zaraz potem miła nagroda za kilka razy RCE-like w Firefoksie (także w ich bug bounty)
3) Pasja, "jak mniemam" :)

// jagger

[m.....n]

Czy ktos z Was padl kiedys ofiara cyber ataku? Czy przez to, ze jestescie znani w swiecie security zdarza sie, ze ktos probuje atakowac Wasze komputery/strony? Jesli tak to z jakim skutkiem?

[dragonsector]

@msgreen: Kiedyś podmieniono mi stronkę na pehapowym frejmłorku, którą postawiło jedno z kół naukowych na PW (WO@PW) - to musiał być 2002/03, ale osobiście nic bardziej dotkliwego.

Część z nas pracuje w firmach "internetowych" które są ciągłym obiektem ataku, a nasze zadanie to albo do tego nie dopuścić, albo to powstrzymać (albo już tylko posprzątać:P).

// jagger

[m.....n]

Czy mysleliscie o tym zeby z udzialem jakichs wiekszych firm/inwestorow zorganizowac jakis wiekszy turniej ctf w Polsce?

[dragonsector]

Tak. //q3k

[c.....r]

@dragonsector:
1. Co sądzicie o "CTFie" jakim jest/była Cicada 3301( ͡º ͜ʖ͡º). Czy ktoś z Was próbował rozwiązać zagadkę?
2. Pytanie trochę mniej związane z CTFami. Jak oceniacie bezpieczeństwo "polskiego internetu". Pytam Was z perspektywy osób, które oprócz udziału w konkursach robią od czasu do czasu pentesty dla firm i instytucji.
3. Pytanie całkiem niezobowiązujące. Czy panowie z agencji na "2 lub 3 literki" (

[dragonsector]

@cbreaker: 1 - obserwowałem osobiście po fakcie (archiwa). Same zadania techniczne były miejscami ciekawe. //q3k

[adas-mrozio]

Kiedy kontynuacja serii ReverseCraft @ youtube? Jaki env. najlepszy dla systemów 64 bitowych (Mój ulubiony OllyDbg jest tylko 32 bitowy...)

[dragonsector]

@adas-mrozio:
Ja polecam x64_dbg (x64dbg.com). To dość nowy debugger, zrobiony przez ludzi, którzy się na tym znają. Obsługuje i 64 i 32 bitowe aplikacje, jest robiony na podobieństwo ollego, ale zawiera sporo ulepszeń, m.in. możliwość skryptowania. No i jest open-source ;)
No i dodatkowo IDA x64 do analizy statycznej.

// Redford

[k.....n]

Dziwię się, że tak mało osób interesuje się analizą OpenSSL/LibreSSL/GnuTLS Kluczowe oprogramowanie, które każdy ma na swoim systemie, a tak mało osób nad tym pracuje. Co o tym myślicie? Chodzi mi o development, analizę kodu, wyszukiwanie błędów.

[dragonsector]

@kradzionyLogin: Chyba jest teraz trochę więcej zainteresowania tym - są projekty, jak wspomniałeś, libressl i boringssl by to zmienić - poza tym coraz więcej osób testuje automatycznie (np. fuzuje) co widać na FD i mają efekty.

[k.....n]

Lista narzędzi jakich używacie na co dzień w pracy pentesterów? Czy ta lista http://sectools.org/ ma się jakkolwiek do Waszych narzędzi?

[dragonsector]

@kradzionyLogin: Częściowo tak - chociaż staram się raczej zacząć od zrozumienia problemu i technologii (którą testuję) przed zapuszczeniem automatyzmów (ps.pentesting to nie jest moje główne zajęcie) // jagger