Security

พาดูหลังบ้านแอปดูดเงิน และการสูญพันธ์ของแอปดูดเงิน

เมื่อสัปดาห์ที่แล้วทาง MAYASEVEN ได้ live บน youtube ในหัวข้อ ” ลองเป็นเหยื่อแอปดูดเงิน โจรเอาเงินออกจากแอปธนาคารยังไง? ” พร้อมโชว์หลังบ้านของโจรที่เราสร้างเลียนแบบขึ้นมา ในขณะเดียวกันทางธนาคารแห่งประเทศไทย ก็ได้ออกแนวปฏิบัติในการปรับปรุงแอปธนาคารให้สามารถป้องกันแอปดูดเงินได้ออกมา เราจะเห็นว่าแอปธนาคารเริ่มไม่ยอมให้ทำรายการ ถ้าเราอยู่ใน environment ที่ไม่ปลอดภัย เช่น ในเครื่องเรามีแอปนอก Google Play Store ที่ใช้สิทธิ์ accessibility หรือมีแอปสำหรับ remote control หรือมีการเรียกใช้ Android…

Penetration Testing Methodology ที่ MAYASEVEN เลือกใช้

เริ่มจากคำถามที่ว่าเราจะทำ penetration testing อย่างไรให้ได้คุณภาพและรักษาคุณภาพงานให้มีความสม่ำเสมอได้ทุก project คือไม่ว่า project ไหนหรือใครเป็นคนทำถ้าเป็นผลงานจากบริษัท MAYASEVEN งานจะต้องออกมามีคุณภาพเหมือนกันทุก project  จากคำถามนั้น ทีมเราได้ช่วยกัน research พวกกระบวนการทดสอบเจาะระบบ, หลักการ, มาตรฐาน, คู่มือ ที่เกี่ยวกับการทำ penetration testing methodology ที่มีอยู่ในปัจจุบันเฉพาะตัวที่มีชื่อเสียงและเป็นที่ยอมรับ เพื่อศึกษาว่าเราจะใช้ตัวไหนดีในงานทดสอบเจาะระบบของเรา ปรากฏว่าหลังจากศึกษาเราเริ่มเห็นข้อจำกัดของ penetration testing methodology ของค่ายต่างๆ เช่น เก่าและขาดการปรับปรุงให้ทันสมัย,…

วิธีดูเว็บจริงเว็บปลอมใน 5 วินาทีและประเภทของ SSL Certificates

เรื่องนี้ผู้ใช้อินเทอร์เน็ตทุกท่านควรรู้ครับเวลา login หรือใช้บัตรเครดิต จะได้รู้ว่าเว็บไหนจริงเว็บไหนปลอม เว็บไหนเป็น phishing page ทำมาหลอกเอาข้อมูล password, credit card ของเรา ยป;มอ (ยาวไป;ไม่อ่าน) เราไม่สามารถดูว่าเว็บนั้นจริงหรือปลอมจากการดูหน้าตาหน้าเว็บได้เลย เพราะของปลอมมันก๊อปได้เหมือนยิ่งกว่าของก็อปแบรนด์เนมเกรด AAAA ซะอีก และไม่ใช่ว่าเว็บนั้นเป็น HTTPS แล้วจะแปลว่าเป็นเว็บของจริงเสมอไปนะครับ ในความเป็น HTTPS มีความ SSL Certificates อยู่หลายแบบ แบ่งแบบบ้านๆ สำหรับผู้ใช้ทั่วไปดูแล้วรู้เลย คือแบบที่มีชื่อองค์กรอยู่บน…

[ภาคต่อ] แฮคจาก android app จนสามารถควบคุม server หรือได้ root ของ app นั้นๆ

สำหรับบทความนี้เป็นภาคต่อของบทความ คิดจะ Hack คิดถึง Vulnhub พร้อมตัวอย่างการแฮคจาก Android App จนสามารถควบคุม Server ของ App นั้นๆ สาเหตุที่เขียนต่อเพราะบทความที่แล้วที่ได้ robin shell นั้นจริงๆพึ่งมาถึงแค่ครึ่งทางเท่านั้นเอง!!! และยังมีเทคนิคที่น่าสนใจอีกหลายอย่างในการแฮคจนได้ root เช่น Linux binary(ELF) runtime patching, Linux x86_64 buffer overflow, และการโจมตี  *(wildcards) เนื่องจากเนื้อหาค่อนข้างยากและซับซ้อนเลยเขียนแยกมาเป็นอีกบทความครับ…

Attack-Defence CTF , Cyber Range Review

ผมมีโอกาสได้เข้าร่วมแข่งขัน Cyber Defence Exercise 2016 ของสถาบันวิชาป้องกันประเทศ ซึ่งในรอบสุดท้ายเป็นการแข่งขันแบบ Attack-Defence CTF ระบบ Cyber Range ผมเลยถือโอกาสเอามารีวิวครับ CTF คืออะไร? CTF มาจากคำว่า Capture the Flag (CTF) ในบทความนี้หมายถึงการแข่งขันทักษะทางคอมพิวเตอร์ทั้ง hacking และ security ในหัวข้อ web, forensic, crypto, binary, programming(debug, review…

ลง Anti-Virus + FW + Update ล่าสุดแล้วปลอดภัย? ดูนี่ก่อน

สำหรับบทความนี้ตอนแรกจะเขียน concpet วิธีการ bypass  Anti-virus, Firewall แต่ทำไปทำมารู้สึกว่าไม่เผยแพร่จะดีกว่า 5555+ (ไว้รอบหน้าละกัน ;)) บทความนี้ทำคลิปพิสูจน์มาโชว์ให้ดูว่าการที่เรามีพวก security product เช่น Anti-virus, Firewall, … แล้วคิดว่าจะปลอดภัย 100% นั้นผิด จริงๆแล้ว products พวกนี้กากกว่าที่เราคาดหวังไว้เยอะ(แต่มี Anti-virus บางยี่ห้อที่ทำได้ดีเหมือนกันไม่โฆษณานะ 555+) สำหรับคลิปนี้คือการจำลองสถานการณ์ว่าถ้าเราไปโหลดพวก 1. Crack 2.โปร…

ทุกเว็บเบราเซอร์ถูกแฮกเรียบที่งาน Pwn2Own 2015, HP จ่าย $557,500 ให้ Hacker เบาๆ

สรุปงาน Pwn2Own 2015 ที่พึ่งผ่านมาไม่กี่วัน เป็นงานจัดขึ้นเพื่อให้ Security researcher, Hacker มาปล่อยของกัน โดยถ้าสามารถโชว์ Proof of Concept ช่องโหว่ของ software ที่กำหนดว่าสามารถแฮกได้ก็รับเงินกันไป โดยในปีนี้มี software เป้าหมายและรางวัลได้แก่ Windows-based targets: 1. Google Chrome (64-bit): $75,000 2. Microsoft Internet Explorer…