«From captcha to RCE. Сложности реализации механизма CAPTCHA в изолированных системах», Виталий Малкин

«From captcha to RCE. Сложности реализации механизма CAPTCHA в изолированных системах», Виталий Малкин

47a3212bc9721c62f1135ead56569f17?s=128

OWASP Moscow

March 05, 2020
Tweet

Transcript

  1. CAPTCHA в изолированной среде. Malkin V. @VitMalkin

  2. Содержание • О себе • Captcha • Captcha в изолированной

    среде. Типовые проблемы и ошибки • From captcha to RCE • Captcha в изолированной среде. Типовые решения
  3. О себе • 9 лет опыта в ИБ (НТЦ Атлас,

    МТС, PwC, Информзащита) • Играл за команды EpicTeam / True0xA3 • Текущая работа – руководитель лаборатории в компании которая гарантировано задолбала вас в LinkedIn • Абсолютно точно не Web Expert
  4. CAPTCHA • Text • Math • Image-based • Commercial •

    Re-captcha Computer Automated Public Turing test to tell Computers and Humans apart.
  5. 1. How to identify client? • SessionID • IP address

    • Username 2. How to generate CAPTCHA? • Bad RNG • Bad generator 3. How to check CAPTCHA? • Client-side check • Null-based attack • Repeat attack CAPTCHA attacks
  6. From CAPTCHA to RCE (Apache + PHP)

  7. Recommendations • Fingerprint • Proof of work • SimpleCAPTCHA, PureCAPTCHA