Skip to content

Trung tâm An toàn thông tin - VNPT IT Posts

CodeQL for beginner [part 2]

Chào mọi người, mình đã quay trở lại với part 2 đây. Nếu bạn chưa đọc thì nên đọc qua part 1 trước khi bước vào part 2 này, link bài viết tại đây: https://medium.com/@testbnull/codeql-th%E1%BA%A7n-ch%C6%B0%E1%BB%9Fng-part-1-544a2b0df9d7 Trong phần trước, mình đang dừng lại ở đoạn tìm ra các method call tới JSONFactoryUtil.deserialize(String): Tuy nhiên như vậy là chưa đủ để trace được từ input tới phần code xảy ra lỗi. Trong part 2 này mình sẽ…

CodeQL for beginner [part 1]

Chào mọi người, cũng phải gần 2 tháng kể từ blog cuối, dạo này hơi bận bịu với nghề tay trái nên cũng chưa có thời gian viết lách, chứ ko phải là bị dính phốt nên phải chạy trốn đâu ae, hoho … Mấy nay bên Github SecurityLab (GHSL) có tổ chức CTF về CodeQL, mình cũng có hóng hớt và đợt này mới có CTF về CodeQL for Java. Trước đó cũng có…

The Art of Deserialization Gadget Hunting [part 3]

Vậy là ngày 05/03 vừa rồi, ZDI đã publish bài phân tích chi tiết về CVE-2020–2555 (https://www.thezdi.com/blog/2020/3/5/cve-2020-2555-rce-through-a-deserialization-bug-in-oracles-weblogic-server). Trước đó mình cũng định viết bài về cái bug này, mà bận quá chưa có time để ngồi viết lách gì cả. Đành để các bạn ZDI publish trước, còn mình sẽ viết về cách mà mình đã tìm ra cái bug này! Tầm 6 tháng trước, mình có nhận job về mấy con weblogic này và…

The Art of Deserialization Gadget Hunting [part 2]

The Art of Deserialization Gadget Hunting [part 2] Như đã hứa hẹn trong bài trước, phần 2 này sẽ tiếp tục nói về một số gadgetchain thông dụng trong bộ tool ysoserial. Việc phân tích gadgetchain như này nó cũng giống như việc review source code, không thú vị như các writeup về bounty hunting, nhưng nó là bước khởi đầu cơ bản để tìm được các lỗ hổng trong phần mềm. “Những thứ anh làm…

The Art of Deserialization Gadget Hunting

Bài viết này phần nào đó là chia sẻ lại những kiến thức riêng về Java Deserialization mình đã nghiên cứu trong thời gian qua cho mọi người, phần nữa là để giúp chính mình nhớ lại những gì đã làm, dạo này tự dưng bị bệnh hay quên <@_@>, (có hôm đọc lại chính blog của mình mà cứ như đọc bài của người ta =)) ). Khái niệm cơ bản về Java Deserialization…

Liferay deserialization (JSON Deserialization) [part 4] (CVE-2019-16891)

Câu chuyện về liferay tưởng chừng như đã đi đến một happy ending và đi vào dĩ vãng, Mình cũng đã khá là mệt mỏi khi follow thằng này gần 1 năm rồi, … Câu chuyện lại tiếp diễn khi vào một ngày nọ, đồng nghiệp có nói bâng quơ với mình: “A nghe thanh niên KV ở V* khoe mới tìm đc cái deserialize mới trên liferay kìa …”. Nghĩ thầm trong bụng: “Cay…

Hướng tiếp cận Cryptography trong Pentesting

Trong cái thế giới của pentester, ta thường gặp những người lạ với mặt mũi chẳng thân thiện, khó nhìn mà ta tạm gọi đó là các encrypted strings, encrypted params. Với việc mã hóa các tham số như trên, cũng có thể là cách giúp cho hệ thống được an toàn hơn. Ở góc độ pentester, hướng tiếp cần đầu tiên với các entry point như trên là xác định phương thức mã hóa được sử dụng là dạng gì, sau đó tìm cách giải mã hoặc break các phương thức mã hóa, giải mã.

Kỹ thuật khai thác lỗ hổng Phar Deserialization

Sau một thời gian nghiên cứu về Phar Deserialization, hôm nay mình xin chia sẻ một cách khái quát về lỗ hổng này hướng tới các bạn mới bắt đầu tìm hiểu. Kỹ thuật mới này được trình bày bởi Sam Thomas  tại hội nghị Black Hat, có thể thực thi mã từ xa thông qua lỗ hổng Deserialization trong PHP. Bài viết được chia thành ba phần: Giới thiệu về Deserialization vulnerability, Phar deserialization và Khai thác.…

Diễn tập quốc gia về ứng cứu sự cố 2019

Tấn công mạng ngày càng thay đổi nhanh chóng, với những thủ đoạn tấn công mới, tinh vi hơn, quy mô lớn hơn. Để đối phó kịp thời trước tình hình tấn công mạng phức tạp như vậy, các đợt diễn tập trong nước và quốc tế là hết sức cần thiết và cần được coi trọng. Thứ trưởng Bộ TTTT, ông Nguyễn Thành Hưng phát biểu khai mạc Diễn tập quốc gia về ứng…

Tập huấn và Diễn tập ATTT nội bộ VNPT lần 2 năm 2019 – Khu vực Miền Trung

Ngày 25-26/07/2019, Tập đoàn VNPT tổ chức chương trình Tập huấn và Diễn tập an toàn thông tin nội bộ năm 2019 – khu vực Miền Trung. Chương trình được diễn ra tại Trung tâm bồi dưỡng nghiệp vụ III, thành phố Đà Nẵng. Chương trình bao gồm 2 hoạt động chính: Ngày 25/07: Tập huấn ATTT với nội dung đào tạo xoay quanh 2 chủ đề Kiểm thử và xâm nhập hệ thống, lập…