Webserver hacken voor beginners
Bezoekers van de Defcon 12 conferentie in Las Vegas konden dit weekend allerlei nieuwe dingen over security leren, zoals het exploiten van de nieuwste lekken in webserver software. Twee Duitse security consultants gaven een presentatie over zero-day exploits voor webservers en hoe je een webserver op lekken kunt testen. Volgens Halvar Flake moeten hackers dol op assembly zijn, aangezien ze veel tijd met de programmeertaal zullen doorbrengen. Hij adviseerde ook dat men de taal beter moet beheersen dan de programmeur van de website die men wil kraken. "Je moet net als een advocaat de dubbelzinnigheden van de wet kennen," zo gaat consultant "FX" in dit artikel verder.
programmeur van de website die men wil kraken.
sorry hoor, maar waarom zou een website beheerder assembly moeten
kennen, dat is echt belachelijk. Gewoon goede server software gebruiken... je
moet nog IETS kunnen vertrouwen anders kan je net zo goed ophouden.
beheersen dan de
programmeur van de website die men wil kraken.
sorry hoor, maar waarom zou een website beheerder assembly
moeten
kennen, dat is echt belachelijk. Gewoon goede server
software gebruiken... je
moet nog IETS kunnen vertrouwen anders kan je net zo goed
ophouden.
er is hier duidelijk onderscheid gemaakt:
de programmeur van de website (ben jij dat?) != de beheerder
van de website (ben jij dat?)
webserver ipv de website...
is als aanvaller erg nuttig wanneer je zelf een exploit voor wat voor overflow
dan ook schrijft.
mov dx offset message
int 21h
int 20h
message: db 'assembler.. zucht goeie oude tijd'
(jaja er zitten vast fouten in deze code)
;
de ' moeten " zijn. mov ax, 09h moet mov ah, 09h zijn, scheelt ook weer een
byte. (mov ax,0900h mag ook maar heeft geen toegevoegde waarde). de
string moet $ terminated zijn. de int 20h mag wanneer je een comfile bent
ook een ret zijn, weer een byte minder. maar verder klopt het, alleen is het wat
overbodige kennis vandaag de dag (ja, ik schaam me ook dat ik dit uit het
blote hoofd typ). momenteel zou je als met writefile naar de std output stream
schrijven. tja.
Roel.
mov ax,09h
mov dx offset message
int 21h
int 20h
message: db 'assembler.. zucht goeie oude tijd'
(jaja er zitten vast fouten in deze code)
;
Voor de netheid kan je het best beginnen met een
push cs
pop ds
De rest is okay hoor ;-)
R.
mov ax,09h
mov dx offset message
int 21h
int 20h
message: db 'assembler.. zucht goeie oude tijd'
(jaja er zitten vast fouten in deze code)
;
goede oude tijd.
Voor de netheid kan je het best beginnen met een
push cs
pop ds
De rest is okay hoor ;-)
R.
neen. zie bovenstaande post over de fouten.
zijn, aangezien ze veel tijd met de programmeertaal zullen
doorbrengen. Hij adviseerde ook dat men de taal beter moet
beheersen dan de programmeur van de website die men wil
kraken.
Een website is gemaakt in bijv. PHP of Perl of heel oud C
(vorm: cgi) of makkelijker: ASP.
Dan is het makkelijk om die taal te kennen als je die site
wil kraken. Om zo'n site te kraken wil je weten welke server
(software) het heeft draaien, welke versie enz.
Als je dat allemaal weet, dan kun je met assembly een
exploit schrijven zodat je direct in het geheugen van de
server je code kunt pushen.
Dus een programmeur of een beheerder van de website of
server hoeft zelf geen assembly te kennen, maar de hacker
wel om de gaten in bijv. Apache, ASP, IIS of wat ook te
kunnen uit buiten.
Dus lees gewoon goed want zo erg beroerd Nederlands was het
niet wat er stond........
Een goed boek hierover is: Hacking - The art of
exploitation. Dat gaat gelijk over assembly en de manier
waarop geheugen gebruikt of misbruikt wordt.
- Unomi -
Deze posting is gelocked. Reageren is niet meer mogelijk.
IT Security Officer
Utrecht heeft jou nodig! Als Information Security Officer vertaal je beleid naar technische uitvoering. Dit is cruciaal voor het waarborgen van de informatiebeveiliging van onze inwoners. Je krijgt de kans om betrokken te zijn bij complexe projecten met de nieuwste technologieën en kunt jouw stempel drukken op innovatie. Solliciteer nu!
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.
Cyber Security Trainer
"You know that feeling after you have been to the cinema and seen an exciting movie? It's the same after this training. I can only say that this is probably the BEST TRAINING that I've ever done!!!”
Are you ready for a challenge?
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.