Bagley's 📚 Notes

Объявлены результаты конкурса Pentest Awards 2026! И мы постепенно будем публиковать интересные кейсы, с которыми наши эксперты участвовали в этом конкурсе.

Первым поздравляем Виктора Зварыкина: он уже второй год подряд забирает медаль "фаворит года по версии жюри". Вот что говорит сам автор о своём призовом кейсе:

"Глубина — история о том, почему в информационной безопасности недостаточно просто запустить готовый инструмент и получить результат. Главный герой находит уязвимость в реальной системе, но довольно быстро понимает, что успешный взлом — это только начало.

Вместе с более опытным другом он начинает разбираться, как устроена система и почему возможна эксплуатация этого вектора. Весь рассказ погружён в атмосферу цикла произведений "Глубина" Сергея Лукьяненко, где цифровой мир становится почти настоящим."

Суть кейса кратко:

Работы по анализу защищённости проходили в крупной иностранной компании, одной из главных задач пентеста было пробитие внешнего периметра.

На этапе OSINT-разведки был обнаружен веб-интерфейс IIS (Internet Information Services), в котором часто встречается уязвимость чтения имен файлов и директорий в legacy-формате 8.3. Вследствие этого был обнаружен эндпоинт с неизвестным веб-сервисом, войти в который получилось благодаря нативно используемым учетным данным.

Разобравшись с функциональностью приложения, наши герои выявили, что в одном из запросов информация передавалась как .NET-сериализованный объект, использовавший небезопасный сериализатор BinaryFormatter. Успешная эксплуатация привела к RCE через DNS-эксфильтрацию.

Как избежать подобных атак:

(1) Параметр реестра NtfsDisable8dot3NameCreation используется для управления созданием коротких имен файлов (в формате 8.3) на томах NTFS в операционных системах Windows. Этот параметр важен для обеспечения совместимости со старыми приложениями, использующими соглашение об именовании файлов 8.3, однако он также может влиять на производительность и безопасность.

Чтобы устранить уязвимость, нужно поменять значение параметра NtfsDisable8dot3NameCreation на 1. Путь к нему:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\FileSystem\NtfsDisable8dot3NameCreation

Перед изменением значения необходимо проверить функционал работающих сервисов, чтобы не нарушить работу legacy-приложений.

(2) Полностью откажитесь от BinaryFormatter: его крайне сложно безопасно настроить или защитить фильтрацией. Используйте современные сериализаторы — например, System.Text.Json, а принимаемые данные проверяйте по заранее определённой структуре и разрешённым типам.

Для компактного бинарного формата Microsoft рекомендует MessagePack или protobuf-net; для XML — DataContractSerializer.
Начиная с .NET 9 встроенная реализация BinaryFormatter уже отключена.

(3) Используйте сложные и несловарные пароли для аутентификации в веб-сервисы.

Полную версию кейса Виктора в стиле "Глубины" читайте в нашем гитхабе.

Кибербитва Standoff 17 — В С Ё

Это было эпично. Уверены, Standoff 17 станет легендарной битвой — и не только потому, что была юбилейной. Церемония награждения завершилась, делимся итогами.

Топ-5 красных команд

1. 🇷🇺 DreamTeam (148 535 баллов) — 20 000 $
2. 🇷🇺 cR4․sh (103 261 балл) — 10 000 $
3. 🇷🇺🇰🇿 FR13NDS & RHACKERS (96 631 балл) — 5000 $
4. 🇷🇺 Cyb7rC0d3# (74 880 баллов) — 2500 $
5. 🇷🇺 Dataeli&only_f4st (64 583 балла) — 2000 $

Победители спецноминаций:

• 🇷🇺 DreamTeam (500 $) — за самое большое количество взятых бонусов First Blood (14 раз!).

• 🇷🇺 cR4․sh, 🇷🇺 Dataeli&only_f4st, 🇷🇺 Cyb7rC0d3# (1500 $ каждой) — за самое большое количество критических событий в SCADA-системах за всю кибербитву (у всех по две реализации).

• 🇷🇺 Dataeli&only_f4st (500 $) — за первый принятый отчет о критическом событии в SCADA-системах.

• 🇷🇺 DreamTeam (1000 $) — за самое большое количество критических событий (9) в банковской отрасли (с режимом Response).

• 🇷🇺🇰🇿 FR13NDS & RHACKERS, 🇮🇩 Redac7d, 🇷🇺 DreamTeam, 🇷🇺 ℭ𝔲𝔩𝔱, 🇷🇺 cR4․sh, 🇳🇱 EvilBunnyWrote, 🇷🇺 KiberS (1000 $ каждой) — за самое большое количество критических событий в ритейле (с режимом Response). У всех команд по одной реализации.

• 🇷🇺 Odoohondoo x GWTW (1000 $) — приз симпатий от наших архитекторов (за повышение привилегий через СЗИ).

Номинации «Золотой КС-репорт» и «Везде первые» на этот раз остались без победителей.

Результаты защитников — в следующем посте 👇

Обнаружена нехватка мастер-классов от топовых багхантеров и пентестеров 🔍

Восполним дефицит на Standoff Talks!

В Кибердоме 18–19 июня пройдут мастер-классы от крутых ребят из комьюнити. Обсудим ИИ в пентесте, поговорим про социальную инженерию, поработаем с программами кибериспытаний и разберем тачки со Standoff Hackbase.

Сохраняй расписание:

🟠 18 июня
📍 11:00–12:20
AI в пентесте: разговор с экспертом Сергеем Зыбневым / Poxek

Обсудим, как ИИ меняет подход к пентесту. Расскажем, когда он реально помогает, а когда лучше не отдавать ему руль. Можно будет задать вопросы, поспорить и обменяться хинтами.

📍 12:40–14:00
Внутри триажа OZON: почему одни отчеты принимают, а другие нет / Юлия Митина

Разберем реальные сценарии из практики OZON и поговорим о том, как сделать отчет максимально понятным и убедительным для триажа.

📍 15:00–17:00
Разбор тачек Standalone со Standoff Hackbase с ccrsky

Погружаемся в Standoff Hackbase: исследуем, разбираем типичные ошибки и учимся находить путь к решению.

🟠 19 июня
📍 11:00–12:20
APT: Advanced Psychological Technique с doom

Поговорим о социальной инженерии: роль человеческого фактора, какие техники используют атакующие и как не попасться на их трюки.

📍 12:40–14:00
Работа с программами кибериспытаний с remembernamer

Выясним, как подходить к программам кибериспытаний, на что смотреть в первую очередь и как не застрять на старте.

📍 15:00–17:00
Разбор тачек Standalone со Standoff Hackbase с Bagley

Еще больше практики: будем ломать, разбирать ошибки и искать рабочие пути.

Регистрируйся и приходи на Standoff Talks, чтобы пообщаться с экспертами, прокачаться и забрать с собой пару новых подходов для багхантинга и пентеста.