Websecurity - Веб безпека

Давно написав статтю Безпека мережевих пристроїв: IP камер, розумних будинків і smart пристроїв. Прочитавши статтю та про тисячі знайдених мною дірок в IoT, зрозумієте необхідність аудиту безпеки мережевих пристроїв. Якщо про дірки на сайтах я пишу в Мережі з 2005 і за цей час до мене зверталися за аудитом чи пентестом, то ось скільки не писав про знайдені уразливості в IoT і про десятки тисяч хакнутих мною мережевих пристроїв, ніхто ніколи не звертався за їх аудитом. Один поцікавився в 2022 році, але швидко передумав. Українцям байдужі їхні діряві пристрої.

Українські Кібер Війська захопили 260000 мережевих пристроїв і в День Незалежності України передали окупантам вітання. Про це писав торік на 24.08, а цьогоріч лише нагадав про той пост.

Про кібербезпеку. Всі мережеві пристрої діряві, а в Україні таких мільйони, в світі мільярди, число пристроїв щодня зростає, дірок старих і нових вистачає. Це можна побачити як з моїх публікацій за два десятиліття, так і зі захоплених камер та IoT на окупованій територіях, в РБ і РФ.

Десять років щодня кажу всім українцям і владам про небезпеку веб камер, через які росіяни слідкують за нами, але всі завжди це ігнорують. Позаторік сам заблокував YT трансляції з наших міст.

Окрім веб камер, роутерів у нас вистачає, які доступні для зламу в Інтернеті та сам хакав такі на Донбасі, Криму і РФ, як показав на наведеному фото. Те саме вороги щодня роблять. Хоча про камери більше пишуть, але й сам не раз чув від людей, що в них хакнуті роутери, та не всі про це знають.

Енергозбереження IoT, зокрема роутерів.

Давно звернув увагу, що в мене в будинку багато роутерів і гаджети показують поруч два-три десятка, в залежності від антени гаджета і часу доби. З початку червня, коли почалися вимкнення, сам почав на ніч вимикати роутер, навіть в день на кілька годин. Але звернув увагу, що крім мене ніхто цього не робить.

Якщо в моєму великому будинку в кожній квартирі роутер та інші мережеві пристрої, то можете представити рівень енергоспоживання. Лише коли вимикають світло частина роутерів вимикається, інші мають запасне живлення.

Продовжуючи традицію, пропоную вашій увазі цікаві секюріті статті. Щоб ви поповнювали свої знання з веб безпеки.

Добірка цікавого чтива на тему безпеки, зокрема про DoS і DDoS атаки (статті з Вікіпедії):

• LAND
• HTTP POST flood
• PUSH and ACK floods
• Radio jamming
• Resource exhaustion attack

Українські Кібер Війська з червня 2014 року займаються розвідкою. Це аудіо і відео розвідка. Раніше я наводив відео Українських Кібер Військ, що демонструють можливості Українських Кібер Військ по спостереженню за терористами.

Ось 5 нових відео, що зроблені в рамках розвідувальної операції:

Russian occupant sends robbed from Ukraine at post in Belgorod - УКВ записали як окупант висилає награбоване в Україні на пошті в Бєлгороді.

Russian occupant sends robbed from Ukraine at post in Bryansk - УКВ записали як окупант висилає награбоване в Україні на пошті в Брянську.

Українські Кібер Війська: штаб-квартира терористів в Алчевську - УКВ записали відео зі штаб-квартири терористів в Алчевську.

Russian occupants send robbed from Ukraine at post in Belgorod - УКВ записали як окупанти висилають награбоване в Україні на пошті в Бєлгороді.

Russian occupant sends robbed from Ukraine at post in Bryansk - УКВ записали як окупант висилає награбоване в Україні на пошті в Брянську.

Продовжуючи розпочату традицію, після попереднього відео про взлом різноманітних мережевих пристроїв, пропоную нове відео на секюріті тематику. Цього разу відео про ботнети з мережевих пристроїв. Рекомендую подивитися всім хто цікавиться цією темою.

DEFCON 25 - The call is coming from inside the house

Раніше я багато розповідав про уразливості в мережевих пристроях і взлом IoT пристроїв, як то IP камер, розумних будинків і smart пристроїв. Цього разу мова йде про використання IoT пристроїв для створення ботнетів.

В жовтні на конференції DEFCON 25 відбувся виступ Steinthor Bjarnason і Jason Jones. В своєму виступі вони розповіли про уразливі мережеві пристрої, які захоплюють зловмисники - від IP камер до роутерів та інших IoT пристроїв. Щоб створити ботнети для проведення DDoS атак, як ботнет Mirai, що з’явився два роки тому. Це небезпечна тенденція, враховуючи мільйони вразливих мережевих пристроїв в Інтернеті, кількість яких постійно зростає.

Вони розповіли про процес інфікування мережевих пристроїв і створення ботнету, показали масштаби та наслідки їх діяльності, на прикладі відомих атак IoT ботнетів. Будь-які домашні мережеві пристрої можуть бути інфіковані та залучені в ботнет, в тому числі веб камери, DVR, мережеві принтери, мережеві системи зберігання даних (NAS), Wi-Fi роутери, розумні телевізори (Smart TV). Рекомендую подивитися дане відео для розуміння поточного стану безпеки мережевих пристроїв.

У жовтні я знявся з серіалі для телеканалу 1+1. Що почав виходити в січні, п’ята серія 26.02.2024. Кібербезпека.UA - цікавий навчальний серіал з кібербезпеки.

Ніколи не використовуйте ці паролі! Як захистити свої дані в інтернеті

Мій виступ є в п’ятій серії про паролі. Також їм розповідав про захист е-пошти і месенджерів. Раджу весь навчальний серіал подивитися.

Десять років щодня кажу всім українцям і владам про небезпеку веб камер, через які росіяни слідкують за нами, зокрема в Харкові, який обстріляли. Але всі завжди це ігнорують. Позаторік сам заблокував YouTube трансляції з наших міст.

СБУ в жовтні затримала агента, що встановлював камери, хоча десять років вони дивляться через хакнуті камери. Ще з 2014 я не раз бачив веб камери та Wi-Fi роутери, які хакали росіяни і постійно нагадував усім вам. Судячи за їхніми логами, як на цьому фото. Позаторік сам заблокував кілька YT трансляцій з наших міст.

У себе на Facebook 31.05 нагадав, як з 2014 звертався до СБУ, влади, КМДА, банків (ПБ) і різних компаній. Також згадував про діряві камери в своїх інтерв’ю та виступах на конференціях.

Потреба закривати онлайн трансляції. Нагадую з 2014 року відколи виявив українські війська в Маріуполі.

Вже десять років щодня нагадую всім українцям і владам про небезпеку веб камер, але всі завжди це ігнорують. Восени 2022 року сам заблокував кілька трансляцій з наших міст.

Щодня наші мережеві пристрої атакують росіяни. Моя стаття Безпека мережевих пристроїв: IP камер, розумних будинків і smart пристроїв. Прочитавши статтю та про тисячі знайдених мною дірок в IoT, зрозумієте необхідність аудиту безпеки мережевих пристроїв.

Продовжуючи традицію, пропоную вашій увазі цікаві секюріті статті. Щоб ви поповнювали свої знання з веб безпеки.

Добірка цікавого чтива на тему безпеки, зокрема про DoS і DDoS атаки (статті з Вікіпедії):

• DDoS attacks on Dyn
• Slashdot effect
• Stresser
• Wi-Fi deauthentication attack
• WinNuke

Українські Кібер Війська з червня 2014 року займаються розвідкою. Це аудіо і відео розвідка. Раніше я наводив відео Українських Кібер Військ, що демонструють можливості Українських Кібер Військ по спостереженню за терористами.

Ось 5 нових відео, що зроблені в рамках розвідувальної операції:

Russian occupant sends robbed from Ukraine at post in Belgorod - УКВ записали як окупант висилає награбоване в Україні на пошті в Бєлгороді.

Russian occupant sends robbed from Ukraine at post in Bryansk - УКВ записали як окупант висилає награбоване в Україні на пошті в Брянську.

Українські Кібер Війська: штаб-квартира терористів в Алчевську - УКВ записали відео зі штаб-квартири терористів в Алчевську.

Russian occupants send robbed from Ukraine at post in Belgorod - УКВ записали як окупанти висилають награбоване в Україні на пошті в Бєлгороді.

Russian occupant sends robbed from Ukraine at post in Bryansk - УКВ записали як окупант висилає награбоване в Україні на пошті в Брянську.

Існують різноманітні техніки для різних веб серверів, як дізнатися про списки директорій та файлів на цих сайтах. Деякі я сам знайшов у попередні роки, інші давно відомі.

Ця інформація може знадобитися для хакера нападника, так само для фахівця з ІБ під час аудиту безпеки. Адмінам сайтів слід це врахувати.

Техніки атаки, коли на веб сервері вимкнутий Directory Indexing:

10.09.2006 я розробив методику визначення веб сервера Apache. Це fingerprinting самого веб сервера і ще вона дозволяє виявляти приховані файли. Навіть без змісту директорій можна підбирати імена файлів. Мова про MultiViews опцію в Apache.

16.04.2010 я знайшов Information Leakage уразливість в Apache, що дозволяла вивести зміст директорії, при цьому обходяться будь-які індексні файли. Це пов’язано з особливостями налаштувань веб сервера.

Атаки на сайти на веб серверах з ОС Windows - це вісім відомих атак за станом на грудень 2010 року.

29.06.2012 в статті Microsoft IIS tilde character “~” Vulnerability/Feature - Short File/Folder Name Disclosure дослідники оприлюднили нову атаку проти IIS.

А також можна провести Brute Force підбір імен файлів на будь-якому веб сервері.

Українські Кібер Війська з червня 2014 року займаються розвідкою. Це аудіо і відео розвідка. Раніше я наводив відео Українських Кібер Військ, що демонструють можливості Українських Кібер Військ по спостереженню за терористами.

В червні була дев’ята річниця створення Українських Кібер Військ і я підвів підсумки нашої діяльності.

Ось 5 нових відео, що зроблені в рамках розвідувальної операції:

Russian occupant send robbed from Ukraine at post in Belgorod - УКВ записали як окупант висилає награбоване в Україні на пошті в Бєлгороді.

Russian occupant send robbed from Ukraine at post in Bryansk - УКВ записали як окупант висилає награбоване в Україні на пошті в Брянську.

Russian occupants send robbed from Ukraine at post in Belgorod - УКВ записали як окупанти висилають награбоване в Україні на пошті в Бєлгороді.

Russian occupant send robbed from Ukraine at post in Bryansk - УКВ записали як окупант висилає награбоване в Україні на пошті в Брянську.

Missile launch from Alchevsk, Russian army hit the target - росіяни в Алчевську влучили самі в себе.