«From captcha to RCE. Сложности реализации механизма CAPTCHA в изолированных системах», Виталий Малкин

Видео: https://youtu.be/DjHAbg0XWZg
OWASP Moscow 2020/1 (https://habr.com/ru/company/owasp/blog/497830/)

Transcript

1. CAPTCHA в изолированной среде. Malkin V. @VitMalkin
2. Содержание • О себе • Captcha • Captcha в изолированной среде. Типовые проблемы и ошибки • From captcha to RCE • Captcha в изолированной среде. Типовые решения
3. О себе • 9 лет опыта в ИБ (НТЦ Атлас, МТС, PwC, Информзащита) • Играл за команды EpicTeam / True0xA3 • Текущая работа – руководитель лаборатории в компании которая гарантировано задолбала вас в LinkedIn • Абсолютно точно не Web Expert
4. CAPTCHA • Text • Math • Image-based • Commercial • Re-captcha Computer Automated Public Turing test to tell Computers and Humans apart.
5. 1. How to identify client? • SessionID • IP address • Username 2. How to generate CAPTCHA? • Bad RNG • Bad generator 3. How to check CAPTCHA? • Client-side check • Null-based attack • Repeat attack CAPTCHA attacks
6. From CAPTCHA to RCE (Apache + PHP)
7. Recommendations • Fingerprint • Proof of work • SimpleCAPTCHA, PureCAPTCHA