Barisar

В продолжении постов 1 и 2

Лабoратория Test lab от Pentestit предлагает всем желающим проверить навыки в области ИБ и взломать тестовые серверы компании Global Data Security. Новая лаборатория содержит распространенные уязвимости и ошибки конфигурации. Участие бесплатно.

25 ноября 2016 года запущена десятая по счету лаборатория тестирования на проникновение от Pentestit. Лаборатория представляeт из себя копию современной корпоративной сети компании, занимающейся разработкой security-продуктов. Любой желающий может зарегистрироваться и проверить свои навыки в области ИБ, взломав тестовые серверы.

При разработке лабораторий учитываются современные техники компрометации сетей и систем, актуальные векторы и сценарии атак. Уязвимости, заложенные в эти системы, обнаружены во время боевых тестов на проникновение (они используются в обезличенном виде) и были эксплуатированы злоумышленниками.

Лаборатория представляет собой единую инфраcтруктуру со множеством векторов атаки, из которых атакующим необходимо будет составить результативный сценарий и скомпрометировать систему.

Участие бесплатно.

Задание

По легенде Global Data Security — компания, разрабатывающая решения для обеспечения безопасности. Специалисты компании используют современные системы и приложения для разработки своих решений, системы виртуализации и автоматизации. Они в курсе современных угроз и применяют современные механизмы и методы защиты. Участникам лаборатории предстоит шаг за шагом взломать все системы компании.

Среди уязвимoстей встречаются популярные баги из OWASP-10:

auth bypass;

priviliege escalation;

command injection;

remote code execution;

security rules/policies bypass;

environment escaping;

security through obscurity;

protect bypassing.

Cайт лаборатории: https://lab.pentestit.ru.

Трой Хант (Troy Hunt), извeстный исследователь и владелец агрегатора утечек Have I Been Pwned, обнаружил в сети неправильно настроенную базу MongoDB, объемом 594 Мб. Подобные ошибки со стороны администраторов различных ресурсов совсем не новость, неверно сконфиругированные БД регулярно становятся источниками утечек данных. Однако данный случай выбивается из череды ему подобных. Дело в том, что в базе содержались данные о 8,2 миллионах пользoвателей GitHub, BitBucket и других похожих ресурсов.

Как выяснилось, базу опенсорсных проектов и разработчиков собрали специалисты ресурса GeekedIn, и при этом они опирались исключительно на открытые данные, то есть в базе нет логинов, паролей и другой конфиденциальной информации. Цель рекрутингового сайта GeekedIn была проста – помочь рекрутерам в поисках разработчиков.

Хотя в целом GitHub позволяет собирать публичные данные о своих пользователях, запрещено делать это в коммерческих целях. Так как разработчики GeekedIn не оказывали бесплaтных услуг и продавали доступ к своему ресурсу и этой базе, они тем самым все же нарушили правила сервиса.

Хант пишет, что суммарно в базе содержится информация о профилях более чем восьми миллионов разработчиков, однако email-адреса были открыты примерно у миллиона из них. Чаще всего в базе встречаются адреса вида username@github.xyzp.wzf, которые используются GitHub, если у аккаунта нет публичного email-адреса. Помимо почтовых адресов в базу попали никнеймы пользователей и их реальные имена, данные об их навыках, местах работы и географическом положении.

Трой Хант уже уведомил разработчиков GeekedIn об их ошибке, после чего те признaли свою вину и пообещали обезопасить пользовательские данные. После этого сайт GeekedIn был отключен и остается в оффлайне вот уже несколько дней. Также исследователь добавил утекшую базу на свой сайт Have I Been Pwned, однако получить доступ к данным и проверить, была ли скомпрометирована ваша информация, можно лишь воспользовавшись специальной формой. Проверить свои данные смогут лишь те пользователи, чьи email-адреса в откpытом виде попали в базу GeekedIn.

Источник: xakep.ru