ISIS Lab's Hack Night, Introducción a la seguridad ofensiva

• March 1, 2015
• tuxotron
• Hacking, Clases, Seguridad

• Facebook
• Twitter
• Reddit
• LinkedIn

ISIS Lab’s Hack Night es un evento que ocurre cada miércoles a las 6 de la tarde en Brooklyn, Nueva York, dónde enseñan técnicas básicas sobre seguridad ofensiva. Si vives por allí fenomenal, puedes asistir en persona, pero si no vives cerca, ¿Qué me importa a mi? Te preguntarás…

La razón de esta entrada no es sobre este evento en particular, sino porque el material que usan para la enseñanza están disponibles de forma gratuita.

El curso está desarrollado basado en el curso de la Escuela Politécnica de Nueva York (NYU Poly) Penetration Testing and Vulnerability Analysis.

El curso tiene la siguiente estructura:

Semana 1: Introducción

Material

1. Trends in Vulnerability Disclosure
2. Intrusion via Web Application Flaws
3. Intrusion via Client-Side Exploitation

Recursos

1. IRC: #hacknight on isis.poly.edu port 6697 (ssl only)
2. ISIS Lab Blog
3. ISIS Lab Github
4. Project Ideas
5. Resources Wiki
6. CyFor
7. Cyber Security Club Mailing List
8. ISIS Lab Calendar

Semana 2: Auditoría de código fuente, Parte 1

Material

1. Design & Operational Reviews [slides]
2. Code Auditing 101 [slides]

Taller

1. Client Request Access Protocol

Recursos

1. Source Code Analysis
2. Application Security
3. The Art of Software Security Assessment
4. Integer Overflows
5. Catching Integer Overflows
6. The Fortify Taxonomy of Software Security Flaws

Semana 3: Auditoría de código fuente, Parte 2

Material

1. Code Auditing 102 [slides]

Talleres

1. News Paper Simple Usage
2. Siberia Crimeware Pack

Recursos

1. Source Code Analysis
2. Application Security
3. The Art of Software Security Assessment
4. Integer Overflows
5. Catching Integer Overflows
6. The Fortify Taxonomy of Software Security Flaws

Herramientas

1. Source Navigator
2. Scitools Understand
3. List of tools for static code analysis

Semana 4: Seguridad Web, Parte 1

Material

1. Web Hacking 101 [slides]

Taller

1. Google Gruyere

Recursos

1. Web Security
2. The Tangled Web
3. OWASP Top 10
4. OWASP Top 10 Tools and Tactics

Semana 5: Seguridad Web, Parte 2

Material

1. Web Hacking 102 [slides]

Talleres

1. OWASP WebGoat
2. Damn Vulnerable Web Application

Recursos

1. Web Security
2. The Tangled Web
3. OWASP Top 10
4. OWASP Top 10 Tools and Tactics

Semana 6: Ingeniería inversa, Parte 1

Material

1. Reverse Engineering 101
2. Reverse Engineering 102 [slides]

Taller

1. Assembly Programming Exercises

Recursos

1. Reverse Engineering
2. Application Security
3. IDA Demo
4. x86 Win32 Reverse Engineering Cheatsheet
5. IDA Pro Shortcuts
6. All Materials for Introductory Intel x86
7. Reverse Engineering
8. nasm
9. x86 Intel Manuals

Semana 7: Ingeniería inversa, Parte 2

Material

1. Dynamic Reverse Engineering [slides]

Talleres

1. Challenge Application 1
2. Challenge Application 2

Recursos

1. Reverse Engineering
2. Application Security
3. IDA Demo
4. x86 Win32 Reverse Engineering Cheatsheet
5. IDA Pro Shortcuts
6. All Materials for Introductory Intel x86
7. Reverse Engineering
8. nasm
9. x86 Intel Manuals

Semana 8: Ingeniería inversa, Parte 3

Material

1. Introductory Intel x86 Lectures

Taller

1. CMU Bomb Lab (Linux/IA32 binary)

Recursos

1. Reverse Engineering
2. Application Security
3. IDA Demo
4. x86 Win32 Reverse Engineering Cheatsheet
5. IDA Pro Shortcuts
6. All Materials for Introductory Intel x86
7. Reverse Engineering
8. nasm
9. x86 Intel Manuals

Semana 9: Ingeniería inversa, Parte 4

Material

1. Introductory Intel x86 Lectures

Talleres

1. RPI Bomb Lab
2. Write readFile.c in x86 by hand

Recursos

1. Reverse Engineering
2. Application Security
3. IDA Demo
4. x86 Win32 Reverse Engineering Cheatsheet
5. IDA Pro Shortcuts
6. All Materials for Introductory Intel x86
7. nasm
8. x86 Intel Manuals

Semana 10: Explotación, Parte 1

Material

1. Memory Corruption 101 [slides]

Taller

1. Vulnerable Application

Recursos

1. Exploitation
2. VMWare Player
3. Linux Machine (preferible, Ubuntu)
4. IDA Demo
5. Windbg

Semana 11: Explotación, Parte 2

Material

1. Memory Corruption 101 [slides]

Taller

1 CSAW 2013 Exploitation 2

Recursos

1. Exploitation
2. VMWare Player
3. Linux Machine (preferably, Ubuntu)
4. IDA Demo
5. Windbg

Más retos

1. Gera's Insecure Programming by Example
2. Exploit-Exercises

Semana 12: Post-Explotación

Material

1. Post Exploitation

Recursos

1. Symantec Stuxnet Dossier

Semana 13: Seguridad en aplicaciones

Material

1. Fuzzing

Talleres

1. fuzz.py
2. HaikuSyscallFuzzer

Recursos

1. Fuzzing

Tienes muchos más detalles aquí.

• ofensiva
• clase
• Hacking
• Seguridad