Первые доклады PHDays VI: как ломают транспортные карты, ставят хакерские «мышеловки» и продают уязвимости за 100 000 $

31 января закончилась первая волна приема заявок на участие в шестом международном форуме по практической безопасности Positive Hack Days, который состоится в Москве 17 и 18 мая 2016 года в московском Центре международной торговли. Желающие выступить на форуме, но не успевшие подать заявку, смогут сделать это в ближайшее время: вторая волна Call for Papers стартует уже 17 февраля и продлится до 31 марта!

А пока мы анонсируем первую группу участников, вошедших в основную техническую программу. В этом году слушатели PHDays узнают, как сорвать большой куш в Microsoft, как с помощью смартфона тестировать безопасность транспортных систем, и выяснят всю подноготную рынка уязвимостей нулевого дня.

Ловушка для хакеров

Впервые на PHDays выступит признанный эксперт по подавлению, предотвращению и ликвидации последствий DDoS-атак Терренс Гаро (Terrence Gareau). Он расскажет, как создать honeypot (ловушку) и организовать сервис с обновляемыми данными о попавшихся DDoS-ботах с помощью Kibana, Elasticsearch, Logstash и AMQP. Терренс Гаро последние два года вместе с командой работал над системой мониторинга и сбора внешней статистики DDoS-атак, и посетители форума смогут ознакомиться с ее исходным кодом.

Охотники за наградой, или Кто есть кто на рынке эксплойтов

Участник пятого PHDays, основатель проекта BeeWise и главный консультант компании secYOUre Альфонсо де Грeгорио (Alfonso de Gregorio) вновь выступит с докладом на международном форуме по практической безопасности. Он продолжит начатую в прошлом году тему продажи эксплойтов. На этот раз Альфонсо подробнее расскажет об участниках рынка эксплойтов и о деятельности брокера уязвимостей нулевого дня и раскроет некоторые аспекты деловой этики.

Как сделать вечный билет на метро

Доклад итальянского исследователя Маттео Беккаро (Matteo Beccaro) посвящен общим вопросам транспортной безопасности, мошенничества и технологических сбоев. Маттео Беккаро рассмотрит несколько серьезных уязвимостей в реальных транспортных системах, в которых используется технология NFC. Ключевой момент выступления — демонстрация открытого приложения для тестирования транспортных систем со смартфона. Доклад будет интересен как профессиональным пентестерам, так и любителям.

Защита веб-приложений с помощью JavaScript

Внедрение клиентских сценариев JavaScript может быть использовано для обнаружения и предотвращения различных атак, поиска уязвимых клиентских компонент, определения утечек данных об инфраструктуре веб-приложений, выявления веб-ботов и инструментальных средств нападения. Ведущие эксперты Positive Technologies Денис Колегов и Арсений Реутов продемонстрируют, как защищать веб-приложения с использованием JavaScript, а также поделятся собственными методами обнаружения инъекций без использования сигнатур и фильтраций по регулярным выражениям. Еще один вопрос, который рассмотрят эксперты, — концепция JavaScript-ловушек на стороне клиента для атак SSRF, IDOR, Command Injection и CSRF.

Как сорвать куш в Microsoft

Еще несколько лет назад американский софтверный гигант Microsoft отказывался принимать участие в программе Bug Bounty, несмотря на то что для конкурентов корпорации вознаграждения за уязвимости давно стали обычной практикой. В последние годы Microsoft стал выплачивать вознаграждение за сообщения о некоторых типах уязвимостей — от 100 до 100 000 долл. На регулярной основе публикуется топ-100 исследователей — участников программы.

Джейсон Шерк (Jason Shirk) – главный стратег службы безопасности Microsoft Security Response Center поведает слушателям о видах вознаграждений и о том, как MSRC работает с исследователями, а также раскроет секреты крупных наград.

Полный список выступлений будет опубликован в апреле на официальном сайте PHDays VI. Для того чтобы бесплатно принять участие в форуме, можно выступить с исследованием в области ИБ , стать участником одного из хакерских конкурсов или написать самый лучший киберпанковский рассказ . Еще один способ попасть на PHDays VI — это купить билет. Напоминаем, что с 15 февраля билет на два дня форума стоит 9600 рублей, на один день —7337 рублей. С 1 марта цены повысятся до 14 400 и 9600 рублей соответственно.