2. ТюмГУ Кафедра информационной безопасности Digital Security Анализ защищенности ERP-систем Поиск уязвимостей и путей эксплуатации NetworkProfi Разработка технических средств ИБ 2 #whoami
3. * не только BoFили SQLinj Зачем? Продать ZDI илиiDefense Консалтинг и тесты на проникновение Часть процесса разработки (SDL) Как? Статический анализ Фаззинг Реверс-инженеринг Реверсингпатчей … 3 Поиск уязвимостей…*
4. Что особенного? Чаще всего черный ящик Огромное количество компонентов Закрытые форматы, неизвестные протоколы 4 …в бизнес-приложениях Сложно ли написать эксплоит, уже зная, какой параметр вызывает переполнение?
5. 5 Часто бывает сложно (DSECRG-00180) payload2 payload1 payload1 Web server Beasvc.exe recv(payload2) recv(payload3) Tuxedo server OS JSH.exe Buffer overrun recv(payload4) psappsrv.exe
6. Web Плагины: Tamper Data, Live HTTP Headers Application layer Прокси: Fiddler, pdb Перехват API-вызовов Dll hijacking, API Hooks Перехват на уровне интерфейсов NDIS Filter driver 6 Как отлаживать протоколы? Уязвимы не только web-приложения Не весь трафик легко пустить через прокси Неудобно, если компонентов много Не перехватить Loopback-пакеты
7. Перехват пакетов – в callout-драйвере, используя Windows Filtering Platform Разбора протоколов – внутри Wireshark (его придется немного модифицировать) Управлять драйвером – через IOCTL 7 Можно сделать лучше
8. 8 Можно сделать лучше wireshark.exe DeviceIoControl ReadFile TCP/IP Stack callout driver Inject Block WriteFile dump.pcap thDumper Packet
