Hashdays Diary, Tag 2

Mein Vortrag und Rückreise

Marc Ruef

Auch der dritte Tag hat ohne Hektik begonnen. Um 08:00 Uhr bin ich ins Restaurant des Hotels gegangen und habe per Zufall einige alte Bekannte getroffen. Wir hatten ein unterhaltsames Gespräch darüber, welche Pflichten einem als Penetration Tester so plagen. Es ist immerwieder schön zu sehen, dass wir nicht die einzigen sind, die bei gewissen Dingen Handlungsbedarf sehen.

Der erste Vortrag, dem ich danach beigewohnt habe, war State of the Hash: SHA-3 and Beyond von Jean-Philippe Aumasson (Nagravision SA). Nach einer kurzen Einführung zur Funktionsweise und dem Aufbau von Hash-Algorithmen, hat er den aktuellen Stand der SHA-3 Kandidaten besprochen. Mit statistischen und technischen Beispielen hat er aufgezeigt, woran die einzelnen Einreichungen kränkeln und dass es bisher offen ist, ob sich durch diese überhaupt SHA-2 ablösen lassen können wird. Eine spannende Geschichte, die in den kommenden zwei Jahren ihren Höhepunkt finden wird.

Direkt darauf folgte Ertunga Arsal (ESNC) mit seiner Präsentation The truth about ABAP security. Nach einer kurzen Einführung zur Funktionsweise von SAP und ABAP hat er spezifische Auswertungs- und Angriffstechniken illustriert. Obschon die Demos allesamt spannend erschienen, ging es den meisten Zuhörern ähnlich wie mir: SAP hat sich ein derartig komplexes System aufgebaut, das zu verstehen ohne weiteres einfach nicht möglich ist. Da ich persönlich Komplexität als natürlichen Feind der Sicherheit erachte, bleibt es mir deshalb ein Rätsel, warum so viele Firmen nach wie vor so viel Geld für SAP-Produkte ausgeben.

Nach einem kurzen Mittagessen habe ich die beiden Lightening-Talks angesehen. Als erstes war Sven Vetsch (Dreamlab) mit GlastopfNG – A web attack honeypot dran. Darin hat er kurz das Honeypot-Projekt, einige Möglichkeiten sowie bestehende Auswertungen dessen vorgestellt. Direkt im Anschluss folgte Adrian Wiesmann mit You hack – we laugh: Watch 31337 h4×0r5 at work. Durch das Aufzeichnen von Angriffsversuchen mit dem SSH-Honeypot Kippo kann das Verhalten in Echtzeit nachvollzogen werden. Eine interessante Charakterstudie, die bisweilen witzige Missverständnisse aufzuzeigen in der Lage ist (z.B. Nachladen von apt-get mit YUM auf einem Debian). Die Aufzeichnungen werden auf iwatchedyourhack.org bereitgestellt.


Danach folgte mein Talk mit dem Titel Nmap NSE Hacking for IT Security Professionals. Nach einer kurzen Einführung in NSE (Nmap Scripting Engine) habe ich anhand dreier Beispiele aufgezeigt, wie sich Nmap durch NSE-Skripte zu einem Vulnerability Scanner oder Exploiting Framework erweitern lässt. Im zweiten Teil habe ich vorgetragen, wie sich die Datensammlung und Auswertung mittels Output-Wrapper, XML-Ausgaben und Parsing in eine DB professionalisieren lässt. Dadurch kann einerseits eine von der Datensammlung getrennte Moderation der Resultate erfolgen. Andererseits lassen sich in effizienter Weise sehr umfangreiche und dynamische Reports generieren. Wie zum Schluss meiner Präsentation angekündigt werden wir die kommenden Wochen die folgenden Komponenten als Resultat unserer Forschung veröffentlichen:

  • Slides der Hashdays-Präsentation
  • Top 10 NSE Scripts
  • Ruby xml2csv Parser

Im Abschluss habe ich noch Christoph Weber (packetlevel.ch) zugehört, dessen Vortrag Attacking with Cisco Devices gelautet hat. An konkreten Beispielen und mit verschiedenen Demos hat er aufgezeigt, wie sich ein (kompromittierter) Cisco-Router nutzen lässt, um weiterführende Angriffe durchzuführen. Vor allem auf der Basis von Tcl können zusätzliche Skripte erstellt und mittels Kron ausgeführt werden. Mitunter lassen sich so ebenfalls Statusmeldungen des Routers auf Twitter posten. Die Kompromittierung von Netzwerkgeräten wird auch heute noch sträflich unterschätzt.

Allem in allem muss ich sagen, dass Hashdays 2010 ein sehr gut strukturierter, vorbereiteter und durchgeführter Event war. Ich möchte mich ausdrücklich bei den Organisatoren für ihre Arbeiten bedanken. Aber ebenso bei all den Speakern und Zuhörern, die das Ganze zu einem tollen Event gemacht haben. Vielen Dank und vielleicht bist nächstes Jahr!

Links

Tags

NSE, Witz, Cisco, Google, Hashdays, Penetration Test, SAP, Twitter, Vortrag, XML, nmap

CVSSv3 als Risikometrik - Eine detaillierte Betrachtung

Marc Ruef

Blockchain ist die Zukunft - Einführung in die revolutionäre Technologie

Marc Ruef

Analyse von Medizingeräten - Ein pragmatischer Ansatz

Marc Ruef

Sie haben Fragen zum Thema?

Unsere Spezialisten kontaktieren Sie gern!