Posts by MAYASEVEN Team

เล่าประสบการณ์แข่ง CTF ระดับโลก International Cybersecurity Championship 2023

สวัสดีครับผม พิริยะ เหมือยไธสง จากทีมเจาะระบบของ MAYASEVEN ไม่นานมานี้ผมได้มีโอกาสแข่ง CTF (งานแข่งด้าน Hacking/Cybersecurity) งาน Asian Cyber Security Challenge 2023 (ACSC2023) จนชนะได้เป็นตัวแทนประเทศไทย และได้ไปแข่งต่อที่งาน International Cybersecurity Championship ที่อเมริกา เลยอยากแชร์ประสบการณ์ให้ได้ฟังกัน ท้ายบทความมี live พูดคุยประเด็นเชิงลึกเทคนิคการเตรียมตัวแข่งขัน และรายละเอียดเกี่ยวกับโจทย์งานแข่งระดับโลก ทำไมได้ไปแข่งที่ประเทศอเมริกา — Asian Cyber Security…

คนสองหน้าล่าสองบัญชี เจาะทะลุ Face Recognition

ปัจจุบันเทคโนโลยี Face Recognition เริ่มใช้กันอย่างแพร่หลาย บ่อยครั้งเราใช้ในการการยืนยันตัวตน เช่น NDID หรือในการปลดล็อคโทรศัพท์ ไม่ว่าจะ Android หรือ iOS รวมถึง ธนาคารแห่งประเทศไทย(ธปท.) ได้กำหนดให้ยืนยันตัวตนด้วย biometric ผ่านหน้า Face Recognition โดยกำหนด 3 ธุรกรรมที่ต้องยืนยันตัวตนคือ การโอนวงเงินเกิน 50,000 บาทต่อรายการ โอนวงเงินเกิน 200,000 บาทต่อวัน การปรับเพิ่มวงเงินเกิน 50,000…

สรุป Keynote จาก Black Hat Asia 2023

ทาง MAYASEVEN ได้สนับสนุนทีมงานเพื่อเข้าร่วมงานสัมมนาด้าน cybersecurity ระดับโลก Black Hat Asia 2023 ณ ประเทศสิงคโปร์ โดยงาน Black Hat นั้น เป็นงานที่รวบรวมเนื้อหาและเทรนด์ใหม่ ๆ ของวงการ cybersecurity จากเหล่าแฮกเกอร์และนักวิชาการด้าน cybersecurity ชื่อดังมากมาย จุดประสงค์เพื่อให้ผู้เข้าร่วมได้รับเทคนิคการเจาะระบบและวิธีรับมือภัยคุกคามไซเบอร์รูปแบบใหม่ ๆ เพื่อที่จะได้วางกลยุทธ์ในการรับมือกับการโจมตีเหล่านั้นได้อย่างมีประสิทธิภาพในอนาคต ในงานนี้มีความรู้เกี่ยวกับไซเบอร์เซเคียวริตี้มากมาย ทั้งเทคนิคการ hack และการป้องกันภัยคุกคามทางไซเบอร์ใหม่ ๆ…

พาดูหลังบ้านแอปดูดเงิน และการสูญพันธ์ของแอปดูดเงิน

เมื่อสัปดาห์ที่แล้วทาง MAYASEVEN ได้ live บน youtube ในหัวข้อ ” ลองเป็นเหยื่อแอปดูดเงิน โจรเอาเงินออกจากแอปธนาคารยังไง? ” พร้อมโชว์หลังบ้านของโจรที่เราสร้างเลียนแบบขึ้นมา ในขณะเดียวกันทางธนาคารแห่งประเทศไทย ก็ได้ออกแนวปฏิบัติในการปรับปรุงแอปธนาคารให้สามารถป้องกันแอปดูดเงินได้ออกมา เราจะเห็นว่าแอปธนาคารเริ่มไม่ยอมให้ทำรายการ ถ้าเราอยู่ใน environment ที่ไม่ปลอดภัย เช่น ในเครื่องเรามีแอปนอก Google Play Store ที่ใช้สิทธิ์ accessibility หรือมีแอปสำหรับ remote control หรือมีการเรียกใช้ Android…

ภัยร้ายที่มาพร้อมกับ Airdrop ในโลก DeFi

ช่วงนี้มีโครงการต่างๆในโลก DeFi กำเนิดเกิดขึ้นราวกับดอกเห็ด วิธีหนึ่งที่โครงการเหล่านี้ใช้ในการโฆษณาโครงการ ก็คือการแจก Airdrop ให้ผู้ทดลองใช้งานหรือผู้ที่ช่วยประชาสัมพันธ์โครงการ จนมีผู้คนไล่ทำกิจกรรมโครงการต่างๆ เพื่อให้ได้รับ Airdrop จนแทบจะยึดเป็นอาชีพเลยทีเดียว จากจุดนี้ผู้ไม่หวังดีก็มองเห็นโอกาสที่จะมา hack กลุ่มคนเหล่านี้ วันนี้แอดจะมาเล่าเคสที่แอดโดนกับตัวให้ฟังครับ เพื่อให้เพื่อนๆได้ระมัดระวังกันมากขึ้น วันดีคืนดีมีเหรียญ XCH ลอยเข้ามาในกระเป๋าแอด 298131 เหรียญ *0* เอ๋หรือจะเป็นเหรียญที่เราไปทำกิจกรรมเอาไว้และได้ Airdrop มานะ ลองกดเข้าไปดูในรายละเอียดสักหน่อยแล้วกัน มีชื่อเว็บ contract ด้วยลองกดเข้าไปดูสักหน่อย โอ้วเหรียญที่แอดได้มาสามารถแลก…

DeFi Smart Contract Hacking 101 (EP1. malicious developer)

ตอนนี้กระแส blockchain, smart contract, DeFi, yield farming มาแรงมากๆ ถึงจุดพีคสุดๆ ใครๆก็เข้ามาฟาร์มกัน เอาเงินไปลงไว้ใน pool เพื่อเอา rewards ใน DeFi โครงการต่างๆ ที่เพิ่มจำนวนขึ้นอย่างมากมาย แต่!! เดี๋ยวก่อนนนนนน เราจะรู้ได้ยังไงว่า pool นั้นหรือ DeFi โครงการนั้นๆ เขาจะไม่โกงเรา หรือเอาเงินเราไป เพราะเงินออกจากกระเป๋าเราไปอยู่ใน pool เขาแล้วนะ!!…

[Write-up] Volgmer Thailand CTF 2019

สำหรับบทความในรอบนี้ทางเราจะมาพูดถึงกันต่อในโจทย์ข้อ Volgmer ซึ่งเป็นโจทย์ที่เราทำได้เป็นทีมแรก และอาจจะเป็นทีมเดียวที่ทำได้ในการแข่งขัน Thailand CTF 2019 ครั้งนี้ โจทย์ดูเหมือนไม่ยาก แต่คิดว่าหลายคนตอนนี้อาจกำลังสงสัยว่าโจทย์ข้อนี้มันแก้ยังไง วันนี้ทาง MAYASEVEN จะมาแถลงไข เกี่ยวกับวิธีแก้โจทย์ข้อ Volgmer มาเริ่มกันเลย   เริ่มต้นโจทย์นี้ให้ไฟล์ชื่อว่า volgmer-ioc.json มา พอเปิดเข้าไปดูจะเห็นได้ว่าเป็นไฟล์ JSON ที่มีข้อมูลอะไรซักอย่างอยู่ ? มีหลายเครื่องมือที่ช่วยให้อ่านไฟล์ JSON ได้ง่ายขึ้น ยกตัวอย่างเช่น plug-in Beautify…

[Write-up] Bypassing Custom Stack Canary {TCSD CTF}

สวัสดีครับผู้อ่านทุกท่าน ทีม MAYASEVEN มีโอกาสได้เข้าร่วมแข่งขันงาน TCSD CTF เจอโจทย์ข้อ Hello World #2 ข้อนี้ค่อนข้างน่าสนใจในเรื่องการ bypass custom stack canary และผมคิดว่าผู้อ่านน่าจะได้เรียนรู้เพิ่มเติมจากโจทย์ข้อนี้ทั้งในแง่มุมของ reverse engineering และ buffer overflow exploitation ผมเลยเขียนบทความนี้เพื่อช่วยเผยแพร่ความรู้เทคนิคขั้นสูงให้ Thai cybersecurity community ครับ มาเริ่มกันเลย ผมจะสรุปพื้นฐานความรู้ที่จำเป็นสั้นๆ ในการทำความเข้าใจบทความนี้ก่อน…