MAYASEVEN Team is here, Why are you waiting for the real attack from the bad guys?

Penetration Testing

Our offensive security services served by our certified expert team not only just used automated tools to find flaws on your systems. We used security standard and hacker methodology to ensure that your systems are secure enough to survive the latest hacking techniques.

MAYASEVEN LEFT SHIFT

The comprehensive security-first software development strategy. Software complexity requires a precise strategy orchestrating practices across the whole development lifecycle. Securing your software in early stages guarantees savings and risk reduction. Do a LEFT SHIFT, We are here to help!

Offensive Security Workshop

We provided an in-depth technical workshop in many topics such as Secure Coding Workshop and Ethical Hacking Workshop, Infrastructure Penetration Testing, Web Application Penetration Testing, Mobile Application Penetration Testing. Tell us about your requirement. So, we can adjust the content of the workshop to suit your attendee.

THE HIGH PERFORMANCE STORY

Founded in 2012, Reinvented for 2017

MAYASEVEN was founded in 2012 by a group of people who is into the field of cybersecurity and have a passion for learning and hacking things.
We spark the awareness of cybersecurity to society by teaching information security knowledge and giving consults to the community to educate people and secure society, according to our vision since.

Later in 2017, MAYASEVEN registered as MAYASEVEN CO., LTD., to upgrade the quality of service and the capability to be comparable to the international standard level following our mission. We have achieved the certification for ISO 9001:2015 and ISO/IEC 27001:2013 and have expanded our business to Southeast Asia as the first step to pursue our great vision.

ISO/IEC 27001

ISO 9001:2015

Top companies providing Software Testing Consulting Services in the APAC region

MAYASEVEN in The Top 10 Software Testing Consulting Companies – 2019

Over the past years, MAYASEVEN has assisted numerous clients in protecting their software and solutions with high-quality standards (ISO 9001:2015).
With a mission to secure the IT infrastructure of Thai organizations, MAYASEVEN has joined many information security conferences in ASEAN to share knowledge on IT security for developers, CIOs, and IT experts.

We always strive to satisfy our customers for many years, and now we are listed in the top 10 software testing consulting/services companies by the APAC CIOOutlook magazine.

LEARN MORE

Our Certifications

Wanna try our services or meet our team?

Contact with Us

FB page’s activity

MAYASEVEN

MAYASEVEN ให้บริการ Penetration Testing ทุกรูปแบบ และจัดฝึกอบรมการพัฒนาซอฟต์แวร์ให้มีความปลอดภัยและการเจาะระบบ

MAYASEVENThursday, May 20th, 2021 at 3:32pm

1 ในวิธี ที่คนโดนแฮกกระเป๋าเงิน crypto เช่น metamask มากที่สุดครับ ไม่ว่าจะใช้ software แท้ทั้งหมด ไม่ลงโปรแกรมมั่วซั่ว ลง anti-virus update ล่าสุด ก็ไม่รอด เพราะโดนหลอกให้ connect กระเป๋าและทำธุรกรรมกับเว็บปลอมนี่แหละครับ แอดได้เมลนี้เลยกด link ไปดูเว็บซักหน่อย ยังรู้สึกว่าทำมาเนียนเลย เนียนยันชื่อ domain แอดยังต้องสังเกตให้ดีถึงเห็นว่าไม่ใช่เว็บจริง คนทั่วไปต้องตกเป็นเหยื่อเยอะแน่ๆ เพราะฉะนั้น security awareness สำคัญมากๆครับ อย่างที่ผู้เชี่ยวชาญชอบบอกว่า ไม่มี patch หรือ security control ใดๆจะช่วย คนที่ขาด security awareness ได้ ฝากแชร์เตือนภัยเพื่อนๆกันด้วยครับ จะทำธุรกรรมอะไรก็ตรวจสอบให้ดีว่าใช่เว็บจริงหรือไม่ ถ้าจะให้ดี bookmark เว็บเอาไว้หรือพิมพ์เอง อย่ากดผ่าน link มา ถ้ากดมาก็ต้องตรวจสอบให้ดีนะครับ

112 12 View on Facebook

MAYASEVENMonday, May 10th, 2021 at 4:38am

ขอเรียนเชิญเข้าร่วมงานสัมมนาออนไลน์ด้าน Cyber Security ฟรี ในหัวข้อ " HACKING TRENDS 2021 " ในวันศุกร์ที่ 14 พฤษภาคม 2564 เวลา 14.00 น. - 15.00 น. พูดคุยแลกเปลี่ยน demo กรณีศึกษา เช่น WFH Cyber Security Attacks, Blockchain Smart Contract DeFi Hacking, Supply Chain Attack, Data Breach, ...

เขาแฮกอย่างไร?
จะกระทบอะไรกับองค์กรเราบ้าง?
และต้องเตรียมพร้อมรับมือกับภัยคุกคามอย่างไร?

โดย คุณนพ ภูมิไธสง
Nop Phoomthaisong | Cybersecurity Consultant
CISSP-ISSAP, CISSP, CSSLP, CREST (CRT, CPSA), CISM, eCXD, eWPTX, eMAPT, GXPN, OSWE, OSCE, OSCP, SPSE, CompTIA PenTest+, CDPSE

ผู้ที่สนใจสามารถ ลงทะเบียนเข้าร่วมงานสัมมนาผ่านลิงก์ Link : https://register.gotowebinar.com/register/926291681665406477

สงวนสิทธิ์สำหรับ 100 ท่านแรกเท่านั้น !

ทั้งนี้หากติดปัญหาในส่วนไหนสามารถแจ้งฝนได้เลยนะคะที่ seminars@mayaseven.com

76 1 50 View on Facebook

MAYASEVENSaturday, May 8th, 2021 at 11:59am

วันนี้ Value DeFi เจ้าดังโดน hack อีกรอบ จาก TVL เกือบ $1 พันล้าน ตอนนี้เหลือ $131 ล้าน ในเวลาเพียงไม่กี่ชัวโมงเท่านั้น ราคาเหรียญ vBSWAP หายไป ~90% เรียกว่าแทบจะปิดฟาร์มทิ้งได้เลย โดยรอบนี้โดน hack ด้วยอีก 1 ช่องโหว่ใหม่ครับ ครั้งนี้เหมือนจะหนักกว่าโดน hack ครั้งที่แล้วเมื่อ 2 วันที่ผ่านมา ที่โดน hack แค่ 1 pool โดยโดน hack ครั้งนี้เงินคนฟาร์มสูญหายไปอีกหลายร้อยล้านบาทแน่นอน แต่จะถึงพันล้านบาทไหมต้องรอ official confirm อีกครั้งครับ

สำหรับช่องโหว่ที่โดนในรอบนี้คือ สมการคำนวนใน pool ที่ไม่ใช่อัตราส่วน 50-50 ใน code ทำงานผิดพลาดคือไม่ได้เช็ค input ก่อนเอาเข้า function ยกกำลัง power() โดย smart contract code ในส่วน pool ของ Value DeFi ตั้งต้น fork มาจาก UniswapV2 แต่เอามาเขียนเพิ่มในส่วน pool ที่ไม่ใช่อัตราส่วน 50-50 แล้วมีช่องโหว่ครับ

บทเรียนจากเคสนี้คือ ต่อให้เป็น farm เจ้าใหญ่ผ่านการ audit มาแล้วจากหลายสำนักและมี TVL $900+ ล้าน ก็ไม่ได้แปลว่าจะปลอดภัย 100% วันดีคืนดี ราคาเหรียญสามารถหายไปได้ 90% และเงินเราใน pool เขาสามารถหายไปได้หมดเลยในเวลาไม่กี่ชั่วโมง บริหารความเสี่ยงกันดีๆนะครับ

ref1: https://www.defistation.io/valuedefi
ref2: https://bsc.valuedefi.io/#/audit
ref3: https://peckshield.medium.com/valuedefi-incident-incorrect-weighted-constant-product-invariant-calculation-1bbaa220a02b

880 67 581 View on Facebook

MAYASEVENFriday, May 7th, 2021 at 5:18pm

เมื่อวานนี้ Value DeFi เจ้าดังโดน hack เงินคนฟาร์มสูญหายไปกว่า 300 ล้านบาท ราคาเหรียญลดไปกว่าครึ่ง แอดเห็นข่าวแล้วเสียวแว๊บ เพราะเคยฟาร์มโครงการนี้ โชคดีพึ่งถอน pool ออกไม่กี่วัน ก่อนโดน hack แอดเห็นว่าบทวิเคราะห์น่าสนใจ จริงๆแล้ว hardware wallet มันอาจจะช่วยอะไรเราไม่ได้มาก อย่างที่เราคิดนะ ในเคสการ hack แบบนี้ hw wallet ก็ไม่รอดนะ แอดจะมาวิเคราะห์ให้ฟัง

เริ่มจาก code ของ smart contact pool นี้มี bug คือ ขาดบรรทัดนี้ไป
initialized = true;
ขาด code บรรทัดนี้ไป ก็หมายความว่า smart contract นี้เปรียบเสมือนยังไม่ได้ initialized ใครๆก็สามารถ call function initialize() เพื่อ re-initialize และเป็นเจ้าของ pool นี้ได้ OMG!!!! (นอกเรื่องนิด ท่านี้แอดก็เคยใช้เทสในงานทดสอบเจาะระบบนะ แต่เป็น web application ประเภท CMS คือเอาให้เข้าใจง่าย ตอนเรา install web app พวก CMS แต่เราไม่ได้ลบหน้า install CMS ออก ใครก็เข้าไปหน้า install แล้ว install ซ้ำ ตั้ง password admin ใหม่ได้ แต่โดยปกติ CMS เจ้าดังๆ มันจะลบหน้า install โดยอัติโนมัติอยู่แล้ว ยกเว้นว่ามันจะติด bug ในการ implement บางอย่างเช่น ไม่มีสิทธิลบไฟล์ ณ ขณะ install แล้วปล่อยเลยตามเลย เป็นช่องโหว่มาถึง production)

มาต่อ จากนั้นพอ hacker re-initialize เพื่อเป็น owner ของ pool นี้แล้วก็ทำการ call function governanceRecoverUnsupported() เพื่อเอา LP token ที่อยู่ใน pool นั้นออกมา แล้วเอามาแตก liquidity ออกเป็น vBSWAP และ BUSD จากนั้นเอาไปแลก renBTC และย้ายข้ามไป BTC Blockchain สิริรวม 179 BTC

เราเห็นอะไรไหม ? เจ้าของ farm สามารถ call function governanceRecoverUnsupported() เผื่อเอา LP token ของคนที่เอาเหรียญมาฟาร์มออกไปเมื่อไหร่ก็ได้ เพราะฉะนั้น เราเอาเหรียญไปไว้ใน pool เขา ก็เปรียบเสมือนเราเอาเหรียญไปฝากเขาไว้ เขาจะเอาออกไปเมื่อไหร่ก็ได้ ถ้าเคสเจ้าของ farm จะโกงหรือ smart contract code มีช่องโหว่แบบนี้ hardware wallet ก็ช่วยไม่ได้นะครับ

เพราะฉะนั้นลงทุนด้วยความรู้และเข้าใจความเสี่ยง ขอให้ทุกท่านปลอดภัย

tx ที่ hacker re-initialize: https://bscscan.com/tx/0xd3382252bc204fdc32a6b3add8c639850882b70a798399d6e00a542cdf769040

tx ที่ hacker เอา LP token ออกมา : https://bscscan.com/tx/0x9ba0454c2301ad5780795ae7477e9fa7e38226be16cc282158624479e66389b6

address BTC ของ hacker: https://www.blockchain.com/btc/address/1Cm6WGvXQ9EgvvWX5dRsBxE2NvxFjfbcVF

official ref: https://medium.com/valuedefi/vstake-pool-incident-post-mortem-4550407c9714

785 89 763 View on Facebook

MAYASEVENMonday, April 26th, 2021 at 12:51pm

DeFi Smart Contract Hacking 101 (EP1. malicious developer)
ตอนนี้กระแส blockchain, smart contract, DeFi, yield farming มาแรงมากๆ ถึงจุดพีคสุดๆ ใครๆก็เข้ามาฟาร์มกัน เอาเงินไปลงไว้ใน pool เพื่อเอา rewards ใน DeFi โครงการต่างๆ ที่เพิ่มจำนวนขึ้นอย่างมากมาย แต่!! เดี๋ยวก่อนนนนนน เราจะรู้ได้ยังไงว่า pool นั้นหรือ DeFi โครงการนั้นๆ เขาจะไม่โกงเรา หรือเอาเงินเราไป เพราะเงินออกจากกระเป๋าเราไปอยู่ใน pool เขาแล้วนะ!! เราอาจจะเคยได้ยินกันมาบ้างว่า เฮ้ยพี่ DeFi นี่มันเปลี่ยนโลกการเงินเลยนะ โลกการเงินยุคใหม่ไม่ต้องมีตัวกลางทางการเงินแล้ว ยุคนี้เขาไม่เชื่อคนกลางกันแล้ว เขาใช้ blockchain, smart contract ปลอดภัย code deploy ไปแล้วไม่มีใครแก้ได้ ยุคนี้เขาเชื่อใน code กันพี่ code is law ครับ แหมมม เท่จริงๆ 555+ นี่มันยุคทองของคนทำงานสาย IT โดยแท้เลย โชคดีที่ผมก็ทำงานสายนี้ 😀 ซึ่งที่น้องเขากล่าวมานั้นในทางเทคโนโลยีก็ถูกต้องครับ แต่ก็ต้องถามว่าแล้วได้อ่าน code นั้นหรือยังว่ามันทำงานอะไรบ้าง 555+ ซึ่งวันนี้ผมจะมา demo code ที่ hacker หรือ malicious dev แอบฝั่ง backdoor ไว้ในโครงการของตัวเอง เพื่อแก้เงื่อนไขหรือรัน functions หรือ contracts ใดๆก็ได้ โดยที่ไม่ต้องแก้ไข code ซึ่ง code ที่เราเห็น ที่เราเข้าใจกับ code ที่มันทำงานจริง มันอาจจะไม่เหมือนกัน แน่นอนว่า hacker ต้องพยายามซ่อน malicious code ให้เนียนที่สุดอยู่แล้ว ในตัวอย่างนี้ ผมจะเปลี่ยนเงื่อนไข code ในรูปจาก true เป็น false หรือในภาษาคนคือ จากที่ code บอกว่าเหรียญ Chick Token นี้จะไม่สามารถเสกเพิ่มได้อีก ให้เป็นเสกเพิ่มได้ มาดูกันครับ
อ่านต่อ : https://mayaseven.com/defi-smart-contract-hacking-101-ep1-malicious-developer/

310 5 139 View on Facebook

MAYASEVENMonday, March 29th, 2021 at 11:33am

MAYASEVEN กำลังตามหา Penetration Tester พร้อมมีโจทย์คัดเลือกรอบแรกแนบมาด้วย ท่านใดสนใจ สามารถลองทำโจทย์และส่ง CV พร้อม flag มาที่ hr@mayaseven.com ได้เลยครับ 🙂 รายละเอียดตาม link

Challenge : NWE0ZTRjNGU0NjUyNDk1MjQxMjA0NzUyNGU1YTIwNTY0NjIwNTU1MjQ1NTI=

https://mayaseven.com/career/

https://th.jobsdb.com/th/th/job/penetration-tester-it-security-consultant-300003002344917