PHDays 2012: впечатления

В этом году мне удалось посетить PHDays, поэтому напишу отчет вслед за @toxo4ka и @d0znpp.

По отчету @toxo4ka: у меня нет никакого негатива от того, что на форуме были «пиджаки» — я осознанно выбирал технические доклады, а во время докладов пиджаков можно было пойти пообщаться \ покушать :D Я скорее с удивлением замечал людей в крутых костюмах.

Прежде всего большое спасибо организаторам Positive Technologies, организация была на очень хорошем уровне. Из недостатков отмечу только то, что на мастер-классах можно было для сети использовать wi-fi, чтобы меньше кабелей валялось под ногами.

Народу было очень много. Среди докладчиков многих видел на Zeronights ;)

Конкурсы

Было довольно прикольно наблюдать за конкурсами. Hack2own и Большой ку$h были весьма пафосными :D Особенно загрузка денег на втором. Хотелось бы видеть атаку на Iphone в реальном времени, но и того, что было показано, было достаточно. Финала взлома ДБО я, к сожалению, не дождался и куда-то убежал на доклад. От участия в Наливайке меня отговорили, чтобы не тащить )) победил ожидаемо Воронцов, хотя вокруг была такая толпа, что всех участников я не видел, а парень из PT говорил, что не видит там Владимира.

Обход WAF  выиграл парень с убойным вектором. Я догадался, что запрос надо разбавлять легитимными символами, снижая вес атакующих конструкций, но все было чуть проще, а времени играться особо не было ;) А тот ужасный вектор выглядит устрашающе.

Забавно было смотреть на народ, бегающий с ноутами и антеннами в поисках «лис» . Я даже сам попробовал, можно ли мозгом и телефоном вычислить лису, став в узком переходе. Но за 10-15 минут ничего не вышло, я забил и пошел на доклад Гордейчика.

Вцелом конкурсы удались, я считаю. Хотя выбор между ними, мастер-классами и докладами я делал в пользу последних.

Фотки сувениров и описание докладов, которые посетил, с впечатлением далее.Сувениры и лого с майки

Доклады

Мария Гарнаева, Методы вставки палок в колеса ботмастерам: ботнет Kelihos

Доклад, с которого для меня начался PHDays. Судя по всему Мария впервые делала доклад, потому вначале очень волновалась, но потом смогла взять себя в руки. Самым интересным из доклада для меня стало то, что необязательно получать контроль над доменами, с которых ведется распространение малвари, можно работать с p2p-протоколом и заменять списки серверов, к которым будут обращаться боты.

Дмитрий Скляров, Андрей Беленко, “Secure Password Managers” и “Military-Grade Encryption” для смартфонов: Чё, серьезно?

Еще раз все убедились, что менеджеры паролей не стоит выбирать по внешнему виду, уязвима большая часть рассмотренных приложений, а самыми стойкими оказались те, которые используют механизмы защиты ОС.

Александр Матросов, Евгений Родионов, Уязвимости смарт-карт с точки зрения современных банковских вредоносных программ

Увы, на этот доклад я не попал. Зал был забит полностью ;( Возможно, организаторам стоило получше спрогнозировать, какие доклады привлекут больше внимания.

Ключевой доклад. Брюс Шнайер

Доклад был ключевым, всячески пиарился до форума организаторами. Так что зал был полным. Я не стал брать наушник, через который бы велся перевод, т.к. по прошлому опыту с Zeronights переводчики больше мешали. Несмотря на то, что начало было довольно живым и Брюс сразу же захватил внимание аудитории, к середине меня стало клонить ко сну и я успешно проспал суть доклада. Соседи говорили, что доклад был философским. Единственное, что я помню из начала — что доклад был о доверии, trust.

Сергей Щербель, Не все PHP одинаково полезны


Было довольно интересно посмотреть, но на мой взгляд, доклад был «для галочки» — был поиск уязвимостей ради самого поиска,  не было ясно, где используют такие экзотические вещи, о которых было рассказано, примеров, где работает и т.п. Кроме hip-hop у Facebook в голову ничего не приходит, но в нем вроде ничего  уязвимого  докладчиком найдено и не было.

Владимир Воронцов, “Атаки на веб-клиентов сетей Microsoft”

Несмотря на то, что доклад был в 9 утра 2го дня народу собралось немало. Владимир решил поменять тему и заявленной тематике был посвящен только 1й слайд. Вместо них были 0day в PostgreSQL vector using XSLT (classical XXE, read any files!) и Blind XXE exploitation. С последним мы успели намучиться в ходе конкурса «Взорви городишко», где боролись за приглашения на форум.

Маркус Нимиц, Перехват пользовательского интерфейса в Android

Интересный докладчик, которого я видел на Zeronights, потому уверенно пошел и не пожалел. Был показан пример фишинга, лежащий на поверхности, но который тем не менее вполне может сработать. Было интересное видео, суть которого я не уловил, т.к. снова боролся с недосыпом ;( Обязательно пересмотрю.

Александр (Solar Designer) Песляк, Парольная защита: прошлое, настоящее, будущее

Было рассказано про историю парольной защиты, хэшей, рассмотрены перспективы технологий аутентификации. Для себя отметил, что надо будет глянуть phpass :D

Сергей Гордейчик, Как взломать телеком и остаться в живых 2. Достучаться до биллинга

Доклад, который почти полностью я видел на Zeronights, о чем и было сказано в начале. 2й раз слушать было все также интересно, но меня снова клонило в сон и вывода доклада я уже, к сожалению, не помню. Стоит пересмотреть или посмотреть, если вы его не видели ;)

Федор Ярочкин, Владимир Кропотов, Жизненный цикл ботнетов… 

Был рассмотрен подход, противоположный тому, который используют аналитики антивирусных компаний, о чем рассказывала Мария Гарнаева в 1м дне. Не реверсится протокол обмена сообщениями между ботами\командными серверами, не реверсится алгоритм генерации доменов, к которыи идет обращение ботов. Боты обнаруживаются по простым признакам вроде количества запросов к DNS, которые закончились неудачей. Были рассмотрены механизмы заражения нескольких ботнетов.

Вцелом форум очень понравился. Интересно, чем в этом году ответят Dsec и Zeronights :D

Полезное:

Сайт форума

Записи докладов с Digital October

Твиттер — тут можно найти много полезных ссылок в ретвитах, в т.ч. на презентации.

Другие отчеты:

Запись опубликована в рубрике PHDays. Добавьте в закладки постоянную ссылку.

5 комментариев: PHDays 2012: впечатления

  1. d0znpp говорит:

    Был за столом наливайки, даже есть алиби :)
    http://3.bp.blogspot.com/-6DEco1ERm84/T8qiqvbifrI/AAAAAAAAAFs/y-f_YJeRRxM/s1600/IMG_0595.JPG

  2. ngo говорит:

    Вектор был не такой уж и убойный =) Просто раздут конструкциями типа «and true and true and true». А так методика проста — через table_to_xml(…) вынимаем таблицу, потом делаем ей двойной каст: cast( cast ( table_to_xml(…) as text) as integer) и получаем содержимое в выдаваемой ошибке.

  3. toxa говорит:

    У меня тоже нет негатива от «пиджаков», я просто выразил удивление тем фактом, что некоторые доклады были ни в одну степь, ни в другую.

  4. shr говорит:

    Извиняюсь, неудачно выразился.

Добавить комментарий

Ваш e-mail не будет опубликован. Обязательные поля помечены *