Wiki - Факультет компьютерных наук - Вклад [ru]

Безопасность компьютерных систем 2018/Уязвимости мобильных приложений

2018-09-13T10:19:37Z

4emodan:

ПО, которое необходимо ('''обязательно!''') скачать/установить к семинару (всё работает под Windows/Linux/Mac Os):

По вопросам установки ПО можно писать в tg: @nastya_jane или @rakatakatakata

1. Эмулятор android:
Установить genymotion personal edition (выбрать вариант с VirtualBox, если он не был ранее установлен): https://www.genymotion.com/fun-zone/ (будет необходимо создать учётную запись)
Запустить genymotion. Выбрать тип использования “For personal use”
Нажать + (Add new virtual device)
Зарегистрироваться с использованием созданной ранее учётной записи
Выбрать параметры виртуального девайса:
Android version – 6.0.0
Device model – Custom Phone
Нажать “Next” и скачать образ выбранного виртуального девайса
Запустить образ виртуального девайса

2. Скачать архив https://drive.google.com/file/d/0B7Ud4xPbhmAKWkRmSEh2aVNGVHc/view?usp=sharing . Запустить образ виртуального девайса. Перетащить в окно виртуального девайса скачанный архив, со всем согласиться. После установки перезапустить виртуальный девайс.

3. Установить Burp Suite Free Edition: https://portswigger.net/burp/communitydownload.

4. Установить Java Runtime Environment: http://www.oracle.com/technetwork/java/javase/downloads/jre8-downloads-2133155.html

5. Скачать dex2jar: https://github.com/pxb1988/dex2jar/releases/download/2.0/dex-tools-2.0.zip.

6. Скачать JD-GUI: http://jd.benow.ca/.

7. Установить apktool: https://ibotpeaches.github.io/Apktool/install/.

8. Установить SQlite browser: http://sqlitebrowser.org/.

9. Обязательно проверить, что всё ПО, скачанное на предыдущих пунктах, запускается без ошибок (консольные утилиты пока можно запустить без параметров).
В случае проблем – попробовать снова, поискать решения в google, если ничего не помогает – написать в tg (контакты выше).

10. Проверить, что запускается утилита adb (автоматически скачивается вместе с Genymotion). В Windows, например, она будет расположена примерно по такому пути: "C:\Program Files\Genymobile\Genymotion\tools\adb.exe", в MacOS – /Applications/Genymotion.app/Contents/MacOS/tools/adb. Для удобства лучше прописать путь в переменную окружения PATH.

11. Скачать уязвимое приложения для тестов: http://payatu.com/wp-content/uploads/2016/01/diva-beta.tar.gz

12. Скачать архив с другими приложениями для тестов: https://drive.google.com/file/d/0B7Ud4xPbhmAKU0dRWXhzWGV4SUk/view?usp=sharing

Безопасность компьютерных систем 2018/Уязвимости мобильных приложений

2018-09-13T10:19:14Z

4emodan:

ПО, которое необходимо ('''обязательно!''') скачать/установить к семинару (всё работает под Windows/Mac Os):

По вопросам установки ПО можно писать в tg: @nastya_jane или @rakatakatakata

1. Эмулятор android:
Установить genymotion personal edition (выбрать вариант с VirtualBox, если он не был ранее установлен): https://www.genymotion.com/fun-zone/ (будет необходимо создать учётную запись)
Запустить genymotion. Выбрать тип использования “For personal use”
Нажать + (Add new virtual device)
Зарегистрироваться с использованием созданной ранее учётной записи
Выбрать параметры виртуального девайса:
Android version – 6.0.0
Device model – Custom Phone
Нажать “Next” и скачать образ выбранного виртуального девайса
Запустить образ виртуального девайса

2. Скачать архив https://drive.google.com/file/d/0B7Ud4xPbhmAKWkRmSEh2aVNGVHc/view?usp=sharing . Запустить образ виртуального девайса. Перетащить в окно виртуального девайса скачанный архив, со всем согласиться. После установки перезапустить виртуальный девайс.

3. Установить Burp Suite Free Edition: https://portswigger.net/burp/communitydownload.

4. Установить Java Runtime Environment: http://www.oracle.com/technetwork/java/javase/downloads/jre8-downloads-2133155.html

5. Скачать dex2jar: https://github.com/pxb1988/dex2jar/releases/download/2.0/dex-tools-2.0.zip.

6. Скачать JD-GUI: http://jd.benow.ca/.

7. Установить apktool: https://ibotpeaches.github.io/Apktool/install/.

8. Установить SQlite browser: http://sqlitebrowser.org/.

9. Обязательно проверить, что всё ПО, скачанное на предыдущих пунктах, запускается без ошибок (консольные утилиты пока можно запустить без параметров).
В случае проблем – попробовать снова, поискать решения в google, если ничего не помогает – написать в tg (контакты выше).

10. Проверить, что запускается утилита adb (автоматически скачивается вместе с Genymotion). В Windows, например, она будет расположена примерно по такому пути: "C:\Program Files\Genymobile\Genymotion\tools\adb.exe", в MacOS – /Applications/Genymotion.app/Contents/MacOS/tools/adb. Для удобства лучше прописать путь в переменную окружения PATH.

11. Скачать уязвимое приложения для тестов: http://payatu.com/wp-content/uploads/2016/01/diva-beta.tar.gz

12. Скачать архив с другими приложениями для тестов: https://drive.google.com/file/d/0B7Ud4xPbhmAKU0dRWXhzWGV4SUk/view?usp=sharing

Безопасность компьютерных систем 2018/Уязвимости мобильных приложений

2018-09-13T10:16:37Z

4emodan:

ПО, которое необходимо (обязательно) скачать/установить к семинару (всё работает под Windows/Mac Os):

По вопросам установки ПО можно писать в tg: @nastya_jane или @rakatakatakata

1. Эмулятор android:
Установить genymotion personal edition (выбрать вариант с VirtualBox, если он не был ранее установлен): https://www.genymotion.com/fun-zone/ (будет необходимо создать учётную запись)
Запустить genymotion. Выбрать тип использования “For personal use”
Нажать + (Add new virtual device)
Зарегистрироваться с использованием созданной ранее учётной записи
Выбрать параметры виртуального девайса:
Android version – 6.0.0
Device model – Custom Phone
Нажать “Next” и скачать образ выбранного виртуального девайса
Запустить образ виртуального девайса

2. Скачать архив https://drive.google.com/file/d/0B7Ud4xPbhmAKWkRmSEh2aVNGVHc/view?usp=sharing . Запустить образ виртуального девайса. Перетащить в окно виртуального девайса скачанный архив, со всем согласиться. После установки перезапустить виртуальный девайс.

3. Установить Burp Suite Free Edition: https://portswigger.net/burp/communitydownload.

4. Установить Java Runtime Environment: http://www.oracle.com/technetwork/java/javase/downloads/jre8-downloads-2133155.html

5. Скачать dex2jar: https://github.com/pxb1988/dex2jar/releases/download/2.0/dex-tools-2.0.zip.

6. Скачать JD-GUI: http://jd.benow.ca/.

7. Установить apktool: https://ibotpeaches.github.io/Apktool/install/.

8. Установить SQlite browser: http://sqlitebrowser.org/.

9. Обязательно проверить, что всё ПО, скачанное на предыдущих пунктах, запускается без ошибок (консольные утилиты пока можно запустить без параметров).
В случае проблем – попробовать снова, поискать решения в google, если ничего не помогает – написать в tg (контакты выше).

10. Проверить, что запускается утилита adb (автоматически скачивается вместе с Genymotion). В Windows, например, она будет расположена примерно по такому пути: "C:\Program Files\Genymobile\Genymotion\tools\adb.exe", в MacOS – /Applications/Genymotion.app/Contents/MacOS/tools/adb. Для удобства лучше прописать путь в переменную окружения PATH.

11. Скачать уязвимое приложения для тестов: http://payatu.com/wp-content/uploads/2016/01/diva-beta.tar.gz

12. Скачать архив с другими приложениями для тестов: https://drive.google.com/file/d/0B7Ud4xPbhmAKU0dRWXhzWGV4SUk/view?usp=sharing

Безопасность компьютерных систем 2018/Уязвимости мобильных приложений

2018-09-13T10:13:27Z

4emodan:

ПО, которое необходимо скачать/установить к семинару (всё работает под Windows/Mac Os):

По вопросам установки ПО можно писать в tg: @nastya_jane или @rakatakatakata

'''Обязательно:'''

1. Эмулятор android:
Установить genymotion personal edition (выбрать вариант с VirtualBox, если он не был ранее установлен): https://www.genymotion.com/fun-zone/ (будет необходимо создать учётную запись)
Запустить genymotion. Выбрать тип использования “For personal use”
Нажать + (Add new virtual device)
Зарегистрироваться с использованием созданной ранее учётной записи
Выбрать параметры виртуального девайса:
Android version – 6.0.0
Device model – Custom Phone
Нажать “Next” и скачать образ выбранного виртуального девайса
Запустить образ виртуального девайса

2. Скачать архив https://drive.google.com/file/d/0B7Ud4xPbhmAKWkRmSEh2aVNGVHc/view?usp=sharing . Запустить образ виртуального девайса. Перетащить в окно виртуального девайса скачанный архив, со всем согласиться. После установки перезапустить виртуальный девайс.

3. Установить Burp Suite Free Edition: https://portswigger.net/burp/communitydownload.

4. Установить Java Runtime Environment: http://www.oracle.com/technetwork/java/javase/downloads/jre8-downloads-2133155.html

5. Скачать dex2jar: https://github.com/pxb1988/dex2jar/releases/download/2.0/dex-tools-2.0.zip.

6. Скачать JD-GUI: http://jd.benow.ca/.

7. Установить apktool: https://ibotpeaches.github.io/Apktool/install/.

8. Установить SQlite browser: http://sqlitebrowser.org/.

9. Обязательно проверить, что всё ПО, скачанное на предыдущих пунктах, запускается без ошибок (консольные утилиты пока можно запустить без параметров).
В случае проблем – попробовать снова, поискать решения в google, если ничего не помогает – написать в tg (контакты выше).

10. Проверить, что запускается утилита adb (автоматически скачивается вместе с Genymotion). В Windows, например, она будет расположена примерно по такому пути: "C:\Program Files\Genymobile\Genymotion\tools\adb.exe", в MacOS – /Applications/Genymotion.app/Contents/MacOS/tools/adb. Для удобства лучше прописать путь в переменную окружения PATH.

11. Скачать уязвимое приложения для тестов: http://payatu.com/wp-content/uploads/2016/01/diva-beta.tar.gz

12. Скачать архив с другими приложениями для тестов: https://drive.google.com/file/d/0B7Ud4xPbhmAKU0dRWXhzWGV4SUk/view?usp=sharing

'''Желательно:'''

Установить drozer : https://labs.mwrinfosecurity.com/tools/drozer/ (при установке антивирус может среагировать на некоторые модули - надо добавить их в исключения)
1.1 Скачать и установить Java SE Development Kit 8u144
1.2 Открыть командную строку. Перейти в каталог, куда установился drozer. Ввести команду drozer console (или, в случае использования windows, команду drozer.bat console). Проверить наличие ошибки “Cannot find java”.
Если ошибки нет, то всё хорошо.
1.3 Если есть ошибка “Cannot find java”, то вы скорее всего работаете под windows. В таком случае необходимо создать файл .drozer_config (без расширения .txt) в домашнем каталоге и прописать туда путь к java.exe.
Содержимое файла .drozer_config должно быть, например, таким:
[executables]
java = C:\Program Files\Java\jdk1.8.0_144\bin\java.exe
После создания конфигурационного файла снова ввести команду drozer.bat console. Ошибка “Cannot find java” должна исчезнуть.
Подробнее см. первую запись https://github.com/mwrlabs/drozer/wiki/FAQ)
1.4 Скачать agent.apk : https://github.com/mwrlabs/drozer/releases/download/2.3.4/drozer-agent-2.3.4.apk
1.5 Скачать sieve.apk : https://github.com/mwrlabs/drozer/releases/download/2.3.4/sieve.apk

Безопасность компьютерных систем 2018/Уязвимости мобильных приложений

2018-09-13T10:10:46Z

4emodan:

ПО, которое необходимо скачать/установить к семинару (всё работает под Windows/Mac Os):

По вопросам установки ПО можно писать в tg: @nastya_jane или @rakatakatakata

'''Обязательно:'''

1. Эмулятор android:
Установить genymotion personal edition (выбрать вариант с VirtualBox, если он не был ранее установлен): https://www.genymotion.com/fun-zone/ (будет необходимо создать учётную запись)
Запустить genymotion. Выбрать тип использования “For personal use”
Нажать + (Add new virtual device)
Зарегистрироваться с использованием созданной ранее учётной записи
Выбрать параметры виртуального девайса:
Android version – 6.0.0
Device model – Custom Phone
Нажать “Next” и скачать образ выбранного виртуального девайса
Запустить образ виртуального девайса

2. Скачать архив https://drive.google.com/file/d/0B7Ud4xPbhmAKWkRmSEh2aVNGVHc/view?usp=sharing . Запустить образ виртуального девайса. Перетащить в окно виртуального девайса скачанный архив, со всем согласиться. После установки перезапустить виртуальный девайс.

3. Установить Burp Suite Free Edition: https://portswigger.net/burp/communitydownload.

4. Установить Java Runtime Environment: http://www.oracle.com/technetwork/java/javase/downloads/jre8-downloads-2133155.html

5. Скачать dex2jar: https://github.com/pxb1988/dex2jar/releases/download/2.0/dex-tools-2.0.zip.

6. Скачать JD-GUI: http://jd.benow.ca/.

7. Установить apktool: https://ibotpeaches.github.io/Apktool/install/.

8. Установить SQlite browser: http://sqlitebrowser.org/.

9. Обязательно проверить, что всё ПО, скачанное на предыдущих пунктах, запускается без ошибок (консольные утилиты пока можно запустить без параметров).
В случае проблем – попробовать снова, поискать решения в google, если ничего не помогает – написать в tg (контакты выше).

10. Проверить, что запускается утилита adb (автоматически скачивается вместе с Genymotion). В Windows, например, она будет расположена примерно по такому пути: "C:\Program Files\Genymobile\Genymotion\tools\adb.exe". Для удобства можно прописать путь в переменную окружения PATH.

11. Скачать уязвимое приложения для тестов: http://payatu.com/wp-content/uploads/2016/01/diva-beta.tar.gz

12. Скачать архив с другими приложениями для тестов: https://drive.google.com/file/d/0B7Ud4xPbhmAKU0dRWXhzWGV4SUk/view?usp=sharing

'''Желательно:'''

Установить drozer : https://labs.mwrinfosecurity.com/tools/drozer/ (при установке антивирус может среагировать на некоторые модули - надо добавить их в исключения)
1.1 Скачать и установить Java SE Development Kit 8u144
1.2 Открыть командную строку. Перейти в каталог, куда установился drozer. Ввести команду drozer console (или, в случае использования windows, команду drozer.bat console). Проверить наличие ошибки “Cannot find java”.
Если ошибки нет, то всё хорошо.
1.3 Если есть ошибка “Cannot find java”, то вы скорее всего работаете под windows. В таком случае необходимо создать файл .drozer_config (без расширения .txt) в домашнем каталоге и прописать туда путь к java.exe.
Содержимое файла .drozer_config должно быть, например, таким:
[executables]
java = C:\Program Files\Java\jdk1.8.0_144\bin\java.exe
После создания конфигурационного файла снова ввести команду drozer.bat console. Ошибка “Cannot find java” должна исчезнуть.
Подробнее см. первую запись https://github.com/mwrlabs/drozer/wiki/FAQ)
1.4 Скачать agent.apk : https://github.com/mwrlabs/drozer/releases/download/2.3.4/drozer-agent-2.3.4.apk
1.5 Скачать sieve.apk : https://github.com/mwrlabs/drozer/releases/download/2.3.4/sieve.apk

Безопасность компьютерных систем 2018/Уязвимости мобильных приложений

2018-09-13T10:03:44Z

4emodan:

ПО, которое необходимо скачать/установить к семинару (всё работает под Windows/Mac Os):

По вопросам установки ПО можно писать в tg: @nastya_jane или @rakatakatakata

'''Обязательно:'''

1. Эмулятор android:
Установить genymotion personal edition (выбрать вариант с VirtualBox, если он не был ранее установлен): https://www.genymotion.com/fun-zone/ (будет необходимо создать учётную запись)
Запустить genymotion. Выбрать тип использования “For personal use”
Нажать + (Add new virtual device)
Зарегистрироваться с использованием созданной ранее учётной записи
Выбрать параметры виртуального девайса:
Android version – 6.0.0
Device model – Custom Phone
Нажать “Next” и скачать образ выбранного виртуального девайса
Запустить образ виртуального девайса

2. Скачать архив https://drive.google.com/file/d/0B7Ud4xPbhmAKWkRmSEh2aVNGVHc/view?usp=sharing . Запустить образ виртуального девайса. Перетащить в окно виртуального девайса скачанный архив, со всем согласиться. После установки перезапустить виртуальный девайс.

3. Установить Burp Suite Free Edition: https://portswigger.net/burp/communitydownload.

4. Установить Java Runtime Environment: http://www.oracle.com/technetwork/java/javase/downloads/jre8-downloads-2133155.html

5. Скачать dex2jar: https://github.com/pxb1988/dex2jar/releases/download/2.0/dex-tools-2.0.zip.

6. Скачать JD-GUI: http://jd.benow.ca/.

7. Установить apktool: https://ibotpeaches.github.io/Apktool/install/.

8. Установить SQlite browser: http://sqlitebrowser.org/.

9. Обязательно проверить, что всё ПО, скачанное на предыдущих пунктах, запускается без ошибок (консольные утилиты пока можно запустить без параметров).
В случае проблем – попробовать снова, поискать решения в google, если ничего не помогает – написать в tg (контакты выше).

10. Скачать уязвимое приложения для тестов: http://payatu.com/wp-content/uploads/2016/01/diva-beta.tar.gz

11. Скачать архив с другими приложениями для тестов: https://drive.google.com/file/d/0B7Ud4xPbhmAKU0dRWXhzWGV4SUk/view?usp=sharing

'''Желательно:'''

Установить drozer : https://labs.mwrinfosecurity.com/tools/drozer/ (при установке антивирус может среагировать на некоторые модули - надо добавить их в исключения)
1.1 Скачать и установить Java SE Development Kit 8u144
1.2 Открыть командную строку. Перейти в каталог, куда установился drozer. Ввести команду drozer console (или, в случае использования windows, команду drozer.bat console). Проверить наличие ошибки “Cannot find java”.
Если ошибки нет, то всё хорошо.
1.3 Если есть ошибка “Cannot find java”, то вы скорее всего работаете под windows. В таком случае необходимо создать файл .drozer_config (без расширения .txt) в домашнем каталоге и прописать туда путь к java.exe.
Содержимое файла .drozer_config должно быть, например, таким:
[executables]
java = C:\Program Files\Java\jdk1.8.0_144\bin\java.exe
После создания конфигурационного файла снова ввести команду drozer.bat console. Ошибка “Cannot find java” должна исчезнуть.
Подробнее см. первую запись https://github.com/mwrlabs/drozer/wiki/FAQ)
1.4 Скачать agent.apk : https://github.com/mwrlabs/drozer/releases/download/2.3.4/drozer-agent-2.3.4.apk
1.5 Скачать sieve.apk : https://github.com/mwrlabs/drozer/releases/download/2.3.4/sieve.apk

Безопасность компьютерных систем 2018/Уязвимости мобильных приложений

2018-09-13T09:57:42Z

4emodan:

ПО, которое необходимо скачать/установить к семинару (всё работает под Windows/Mac Os):

По вопросам установки ПО можно писать в tg: @nastya_jane или @rakatakatakata

'''Обязательно:'''

1. Эмулятор android:
Установить genymotion personal edition (выбрать вариант с VirtualBox, если он не был ранее установлен): https://www.genymotion.com/fun-zone/ (будет необходимо создать учётную запись)
Запустить genymotion. Выбрать тип использования “For personal use”
Нажать + (Add new virtual device)
Зарегистрироваться с использованием созданной ранее учётной записи
Выбрать параметры виртуального девайса:
Android version – 6.0.0
Device model – Custom Phone
Нажать “Next” и скачать образ выбранного виртуального девайса
Запустить образ виртуального девайса

2. Скачать архив https://drive.google.com/file/d/0B7Ud4xPbhmAKWkRmSEh2aVNGVHc/view?usp=sharing . Запустить образ виртуального девайса. Перетащить в окно виртуального девайса скачанный архив, со всем согласиться. После установки перезапустить виртуальный девайс.

3. Установить Burp Suite Free Edition: https://portswigger.net/burp/communitydownload.

4. Установить Java Runtime Environment: http://www.oracle.com/technetwork/java/javase/downloads/jre8-downloads-2133155.html

5. Скачать dex2jar: https://github.com/pxb1988/dex2jar/releases/download/2.0/dex-tools-2.0.zip.

6. Скачать JD-GUI: http://jd.benow.ca/.

7. Установить apktool: https://ibotpeaches.github.io/Apktool/install/.

8. Установить SQlite browser: http://sqlitebrowser.org/.

9. Проверить, что всё ПО, скачанное на предыдущих пунктах, запускается без ошибок (консольные утилиты пока можно запустить без параметров).
В случае проблем – попробовать снова, поискать решения в google, в крайнем случае – написать в tg (контакты выше).

10. Скачать уязвимое приложения для тестов: http://payatu.com/wp-content/uploads/2016/01/diva-beta.tar.gz

11. Скачать архив с другими приложениями для тестов: https://drive.google.com/file/d/0B7Ud4xPbhmAKU0dRWXhzWGV4SUk/view?usp=sharing

'''Желательно:'''

Установить drozer : https://labs.mwrinfosecurity.com/tools/drozer/ (при установке антивирус может среагировать на некоторые модули - надо добавить их в исключения)
1.1 Скачать и установить Java SE Development Kit 8u144
1.2 Открыть командную строку. Перейти в каталог, куда установился drozer. Ввести команду drozer console (или, в случае использования windows, команду drozer.bat console). Проверить наличие ошибки “Cannot find java”.
Если ошибки нет, то всё хорошо.
1.3 Если есть ошибка “Cannot find java”, то вы скорее всего работаете под windows. В таком случае необходимо создать файл .drozer_config (без расширения .txt) в домашнем каталоге и прописать туда путь к java.exe.
Содержимое файла .drozer_config должно быть, например, таким:
[executables]
java = C:\Program Files\Java\jdk1.8.0_144\bin\java.exe
После создания конфигурационного файла снова ввести команду drozer.bat console. Ошибка “Cannot find java” должна исчезнуть.
Подробнее см. первую запись https://github.com/mwrlabs/drozer/wiki/FAQ)
1.4 Скачать agent.apk : https://github.com/mwrlabs/drozer/releases/download/2.3.4/drozer-agent-2.3.4.apk
1.5 Скачать sieve.apk : https://github.com/mwrlabs/drozer/releases/download/2.3.4/sieve.apk

Безопасность компьютерных систем 2018/Уязвимости мобильных приложений

2018-09-13T09:57:06Z

4emodan:

ПО, которое необходимо скачать/установить к семинару (всё работает под Windows/Mac Os):

По вопросам установки ПО можно писать в tg: @nastya_jane или @rakatakatakata

'''Обязательно:'''

1. Эмулятор android:
Установить genymotion personal edition (выбрать вариант с VirtualBox, если он не был ранее установлен): https://www.genymotion.com/fun-zone/ (будет необходимо создать учётную запись)
Запустить genymotion. Выбрать тип использования “For personal use”
Нажать + (Add new virtual device)
Зарегистрироваться с использованием созданной ранее учётной записи
Выбрать параметры виртуального девайса:
Android version – 6.0.0
Device model – Custom Phone
Нажать “Next” и скачать образ выбранного виртуального девайса
Запустить образ виртуального девайса

2. Скачать архив https://drive.google.com/file/d/0B7Ud4xPbhmAKWkRmSEh2aVNGVHc/view?usp=sharing . Запустить образ виртуального девайса. Перетащить в окно виртуального девайса скачанный архив, со всем согласиться. После установки перезапустить виртуальный девайс.

3. Установить Burp Suite Free Edition: https://portswigger.net/burp/communitydownload.

4. Установить Java Runtime Environment: http://www.oracle.com/technetwork/java/javase/downloads/jre8-downloads-2133155.html

5. Скачать dex2jar: https://github.com/pxb1988/dex2jar/releases/download/2.0/dex-tools-2.0.zip.

6. Скачать JD-GUI: http://jd.benow.ca/.

7. Установить apktool: https://ibotpeaches.github.io/Apktool/install/.

8. Установить SQlite browser: http://sqlitebrowser.org/.

9. Проверить, что всё ПО, скачанное на предыдущих пунктах, запускается без ошибок (консольные утилиты пока можно запустить без параметров).
В случае проблем – попробовать снова, поискать решения в google, в крайнем случае – написать в tg (контакты выше).

10. Скачать уязвимое приложения для тестов: http://payatu.com/wp-content/uploads/2016/01/diva-beta.tar.gz

11. Скачать архив с другими приложениями для тестов: https://drive.google.com/file/d/0B7Ud4xPbhmAKU0dRWXhzWGV4SUk/view?usp=sharing

'''Желательно:'''

Установить drozer : https://labs.mwrinfosecurity.com/tools/drozer/ (при установке антивирус может среагировать на некоторые модули - надо добавить их в исключения)
1.1 Скачать и установить Java SE Development Kit 8u144
1.2 Открыть командную строку. Перейти в каталог, куда установился drozer. Ввести команду drozer console (или, в случае использования windows, команду drozer.bat console). Проверить наличие ошибки “Cannot find java”.
Если ошибки нет, то всё хорошо.
1.3 Если есть ошибка “Cannot find java”, то вы скорее всего работаете под windows. В таком случае необходимо создать файл .drozer_config (без расширения .txt) в домашнем каталоге и прописать туда путь к java.exe.
Содержимое файла .drozer_config должно быть, например, таким:
[executables]
java = C:\Program Files\Java\jdk1.8.0_144\bin\java.exe
После создания конфигурационного файла снова ввести команду drozer.bat console. Ошибка “Cannot find java” должна исчезнуть.
Подробнее см. первую запись https://github.com/mwrlabs/drozer/wiki/FAQ)
1.4 Скачать agent.apk : https://github.com/mwrlabs/drozer/releases/download/2.3.4/drozer-agent-2.3.4.apk
1.5 Скачать sieve.apk : https://github.com/mwrlabs/drozer/releases/download/2.3.4/sieve.apk

Безопасность компьютерных систем 2018/Уязвимости мобильных приложений

2018-09-13T09:40:11Z

4emodan:

ПО, которое необходимо скачать/установить к семинару (всё работает под Windows/Mac Os):

По вопросам установки ПО можно писать в tg: @nastya_jane или @rakatakatakata

'''Обязательно:'''

1. Эмулятор android:
Установить genymotion personal edition (выбрать вариант с VirtualBox, если он не был ранее установлен): https://www.genymotion.com/fun-zone/ (будет необходимо создать учётную запись)
Запустить genymotion. Выбрать тип использования “For personal use”
Нажать + (Add new virtual device)
Зарегистрироваться с использованием созданной ранее учётной записи
Выбрать параметры виртуального девайса:
Android version – 6.0.0
Device model – Custom Phone
Нажать “Next” и скачать образ выбранного виртуального девайса
Запустить образ виртуального девайса

2. Скачать архив https://drive.google.com/file/d/0B7Ud4xPbhmAKWkRmSEh2aVNGVHc/view?usp=sharing . Запустить образ виртуального девайса. Перетащить в окно виртуального девайса скачанный архив, со всем согласиться. После установки перезапустить виртуальный девайс.

3. Установить Burp Suite Free Edition: https://portswigger.net/burp/freedownload. Проверить, что утилита запускается.

4. Установить Java Runtime Environment: http://www.oracle.com/technetwork/java/javase/downloads/jre8-downloads-2133155.html

5. Скачать dex2jar: https://github.com/pxb1988/dex2jar/releases/download/2.0/dex-tools-2.0.zip. Проверить, что утилита запускается.

6. Скачать JD-GUI: http://jd.benow.ca/. Проверить, что утилита запускается.

7. Установить apktool: https://ibotpeaches.github.io/Apktool/install/. Проверить, что утилита запускается

8. Установить SQlite browser: http://sqlitebrowser.org/. Проверить, что утилита запускается.

9. Скачать уязвимое приложения для тестов: http://payatu.com/wp-content/uploads/2016/01/diva-beta.tar.gz

10. Скачать архив с другими приложениями для тестов: https://drive.google.com/file/d/0B7Ud4xPbhmAKU0dRWXhzWGV4SUk/view?usp=sharing

'''Желательно:'''

Установить drozer : https://labs.mwrinfosecurity.com/tools/drozer/ (при установке антивирус может среагировать на некоторые модули - надо добавить их в исключения)
1.1 Скачать и установить Java SE Development Kit 8u144
1.2 Открыть командную строку. Перейти в каталог, куда установился drozer. Ввести команду drozer console (или, в случае использования windows, команду drozer.bat console). Проверить наличие ошибки “Cannot find java”.
Если ошибки нет, то всё хорошо.
1.3 Если есть ошибка “Cannot find java”, то вы скорее всего работаете под windows. В таком случае необходимо создать файл .drozer_config (без расширения .txt) в домашнем каталоге и прописать туда путь к java.exe.
Содержимое файла .drozer_config должно быть, например, таким:
[executables]
java = C:\Program Files\Java\jdk1.8.0_144\bin\java.exe
После создания конфигурационного файла снова ввести команду drozer.bat console. Ошибка “Cannot find java” должна исчезнуть.
Подробнее см. первую запись https://github.com/mwrlabs/drozer/wiki/FAQ)
1.4 Скачать agent.apk : https://github.com/mwrlabs/drozer/releases/download/2.3.4/drozer-agent-2.3.4.apk
1.5 Скачать sieve.apk : https://github.com/mwrlabs/drozer/releases/download/2.3.4/sieve.apk

Безопасность компьютерных систем 2018/Уязвимости мобильных приложений

2018-09-13T09:17:35Z

4emodan:

ПО, которое необходимо скачать/установить к семинару (всё работает под Windows/Mac Os):

По вопросам установки ПО можно писать в tg: @nastya_jane или @rakatakatakata

'''Обязательно:'''

1. Эмулятор android:
Установить virtualbox (VirtualBox 5.2.18 platform packages): https://www.virtualbox.org/wiki/Downloads
Установить genymotion for fun: https://www.genymotion.com/fun-zone/
Создать учётную запись на https://www.genymotion.com
Запустить genymotion. Выбрать тип использования “For personal use”
Нажать + (Add new virtual device)
Зарегистрироваться с использованием созданной на шаге 3 учётной записи
Выбрать параметры виртуального девайса:
Android version – 6.0.0
Device model – Custom Phone
Нажать “Next” и скачать образ выбранного виртуального девайса
Запустить образ виртуального девайса

2. Скачать архив https://drive.google.com/file/d/0B7Ud4xPbhmAKWkRmSEh2aVNGVHc/view?usp=sharing . Запустить образ виртуального девайса. Перетащить в окно виртуального девайса скачанный архив, со всем согласиться. После установки. Перезапустить виртуальный девайс.

3. Установить Burp Suite Free Edition: https://portswigger.net/burp/freedownload

4. Установить Java Runtime Environment: http://www.oracle.com/technetwork/java/javase/downloads/jre8-downloads-2133155.html

5. Скачать dex2jar: https://github.com/pxb1988/dex2jar/releases/download/2.0/dex-tools-2.0.zip

6. Скачать JD-GUI: http://jd.benow.ca/

7. Установить apktool: https://ibotpeaches.github.io/Apktool/install/

8. Установить SQlite browser: http://sqlitebrowser.org/

9. Скачать уязвимое приложения для тестов: http://payatu.com/wp-content/uploads/2016/01/diva-beta.tar.gz

10. Скачать архив с другими приложениями для тестов: https://drive.google.com/file/d/0B7Ud4xPbhmAKU0dRWXhzWGV4SUk/view?usp=sharing

'''Желательно:'''

Установить drozer : https://labs.mwrinfosecurity.com/tools/drozer/ (при установке антивирус может среагировать на некоторые модули - надо добавить их в исключения)
1.1 Скачать и установить Java SE Development Kit 8u144
1.2 Открыть командную строку. Перейти в каталог, куда установился drozer. Ввести команду drozer console (или, в случае использования windows, команду drozer.bat console). Проверить наличие ошибки “Cannot find java”.
Если ошибки нет, то всё хорошо.
1.3 Если есть ошибка “Cannot find java”, то вы скорее всего работаете под windows. В таком случае необходимо создать файл .drozer_config (без расширения .txt) в домашнем каталоге и прописать туда путь к java.exe.
Содержимое файла .drozer_config должно быть, например, таким:
[executables]
java = C:\Program Files\Java\jdk1.8.0_144\bin\java.exe
После создания конфигурационного файла снова ввести команду drozer.bat console. Ошибка “Cannot find java” должна исчезнуть.
Подробнее см. первую запись https://github.com/mwrlabs/drozer/wiki/FAQ)
1.4 Скачать agent.apk : https://github.com/mwrlabs/drozer/releases/download/2.3.4/drozer-agent-2.3.4.apk
1.5 Скачать sieve.apk : https://github.com/mwrlabs/drozer/releases/download/2.3.4/sieve.apk

Безопасность компьютерных систем 2017/Задание 1

2017-09-20T15:13:12Z

4emodan:

== Описание задания ==

Для заданного приложения, выдающего сообщения о запуске на устройстве с root-доступом, необходимо создать эквивалентную версию этого приложения, не выдающую таких сообщений.
В некоторых вариантах задания такое сообщение является лишь уведомлением, в остальных никакая функциональность приложения недоступна при запуске на устройстве с root-доступом. Необходимо сделать основную функциональность приложения доступной в тех вариантах, где она блокируется.

== Формат решения ==
Итоговый apk-файл и описание решения (модифицированный код метода/методов, в котором осуществляется проверка наличия root-доступа).
Решения присылать по адресу: mikhail.kalinin@solidlab.ru, nastya_jane@seclab.cs.msu.su

== Варианты задания ==
Архив с 4 вариантами задания: [https://drive.google.com/file/d/0B5GidR0bCDEuaVpLWWFnSnNCUnc/view?usp=sharing]

Распределение вариантов задания: [https://drive.google.com/file/d/0B5GidR0bCDEuMHBWRmFFTGpYaEk/view?usp=sharing]

== Оценивание ==
Выполненное задание дает 2 балла.

== Сроки ==
Задание принимается до 15 октября.

== Примечание ==
Для запуска некоторых вариантов приложений в genymotion нужно будет установить транслятор с ARM.
Для этого нужно (см. [http://www.techbae.com/download-install-arm-translation-v1-1-zip-genymotion/]):
# Загрузить архив https://www.dropbox.com/s/tdye2pobix70gqw/%5BTechBae.com%5DGenymotion-ARM-Translation_v1.1.zip?dl=0
# Перетащить архив в окно genymotion, соглашаться во всплывающих диалогах
# Перезагрузить устройство командой adb reboot (или закрыть окно эмулятора и заново его запустить)

Безопасность компьютерных систем 2017

2017-09-20T15:11:12Z

4emodan: The Mobile Application Hacker's Handbook

Безопасность компьютерных систем 2017

2017-09-19T10:04:19Z

4emodan:

Безопасность компьютерных систем 2017

2017-09-19T09:43:51Z

4emodan: презентация

Безопасность компьютерных систем 2017

2017-09-10T14:37:08Z

4emodan: + tg

== Безопасность компьютерных систем ==

Курс по выбору для студентов 3 и 4 курса ФКН ВШЭ, осень 2017 года (1 и 2 модуль).
Курс состоит из лекций и семинаров. Основной акцент сделан на безопасности приложений и разработке безопасного программного обеспечения.

=== План курса ===

Лекции:
# (05.09) Вводная лекция. Безопасность приложений как фактор технологической конкуренции. Уязвимости программного обеспечения и атаки на них.
# (12.09) Основные понятия и определения. Модель нарушителя.
# (19.09) Безопасность приложений. Мобильные приложений и их уязвимости.
# (26.09) Безопасность приложений. Уязвимости веб-приложений ч. 1.
# (03.10) Безопасность приложений. Уязвимости веб-приложений ч. 2.
# (10.10) Безопасность приложений. Исполнение программ на процессоре, стек, подпрограммы и функции, передача аргументов, возврат значения. Системные вызовы. Размещение объектов в памяти: статическое, динамическое, автоматическое. Загрузчик программных модулей. Формат исполняемых файлов ELF. Зависимости модулей. Символы. Уязвимости, связанные с переполнением буфера.Уязвимости, связанные с подменой программных модулей. Уязвимости, связанные с некорректной проверкой прав доступа, TOCTOU.
# (17.10) Безопасность приложений. Уязвимости переполнения кучи. Механизмы защиты в современных операционных систем. ASLR, защита стека. Методы обхода.
# (24.10) Безопасность приложений. Secure Development Life Cycle ч. 1
# (31.10) Безопасность приложений. Secure Development Life Cycle ч. 2
# (7.11) Безопасность операционных систем.
# (14.11) Криптография. Введение и история
# (21.11) Криптография. Симметричные шифры и атаки на них.
# (28.11) Криптография, Асимметричные шифры и атаки на них.
# (5.12) Криптография. Приложения - PKI, WoT, Блокчейн.
# (12.12) Криптография. Пост-квантовая криптография.
# (19.12) Заключительная лекция.

Семинары:
# (12.09) Уязвимости мобильных приложений ч. 1

ПО, которое необходимо скачать/установить к семинару (всё работает под Windows/Mac Os):

По вопросам установки ПО можно писать в tg: @rakatakatakata

'''Обязательно:'''

1. Эмулятор android:
Установить virtualbox (VirtualBox 5.1.26 platform packages): https://www.virtualbox.org/wiki/Downloads
Установить genymotion for fun: https://www.genymotion.com/fun-zone/
Создать учётную запись на https://www.genymotion.com
Запустить genymotion. Выбрать тип использования “For personal use”
Нажать + (Add new virtual device)
Зарегистрироваться с использованием созданной на шаге 3 учётной записи
Выбрать параметры виртуального девайса:
Android version – 6.0.0
Device model – Custom Phone
Нажать “Next” и скачать образ выбранного виртуального девайса
Запустить образ виртуального девайса

2. Скачать архив https://drive.google.com/file/d/0B7Ud4xPbhmAKWkRmSEh2aVNGVHc/view?usp=sharing . Запустить образ виртуального девайса. Перетащить в окно виртуального девайса скачанный архив, со всем согласиться. После установки. Перезапустить виртуальный девайс.

3. Установить Burp Suite Free Edition: https://portswigger.net/burp/freedownload

4. Установить Java Runtime Environment: http://www.oracle.com/technetwork/java/javase/downloads/jre8-downloads-2133155.html

5. Скачать dex2jar: https://github.com/pxb1988/dex2jar/releases/download/2.0/dex-tools-2.0.zip

6. Скачать JD-GUI: http://jd.benow.ca/

7. Установить apktool: https://ibotpeaches.github.io/Apktool/install/

8. Установить SQlite browser: http://sqlitebrowser.org/

9. Скачать уязвимое приложения для тестов: http://payatu.com/wp-content/uploads/2016/01/diva-beta.tar.gz

10. Скачать архив с другими приложениями для тестов: https://drive.google.com/file/d/0B7Ud4xPbhmAKU0dRWXhzWGV4SUk/view?usp=sharing

'''Желательно:'''

Установить drozer : https://labs.mwrinfosecurity.com/tools/drozer/ (при установке антивирус может среагировать на некоторые модули - надо добавить их в исключения)
1.1 Скачать и установить Java SE Development Kit 8u144
1.2 Открыть командную строку. Перейти в каталог, куда установился drozer. Ввести команду drozer console (или, в случае использования windows, команду drozer.bat console). Проверить наличие ошибки “Cannot find java”.
Если ошибки нет, то всё хорошо.
1.3 Если есть ошибка “Cannot find java”, то вы скорее всего работаете под windows. В таком случае необходимо создать файл .drozer_config (без расширения .txt) в домашнем каталоге и прописать туда путь к java.exe.
Содержимое файла .drozer_config должно быть, например, таким:
[executables]
java = C:\Program Files\Java\jdk1.8.0_144\bin\java.exe
После создания конфигурационного файла снова ввести команду drozer.bat console. Ошибка “Cannot find java” должна исчезнуть.
Подробнее см. первую запись https://github.com/mwrlabs/drozer/wiki/FAQ)
1.4 Скачать agent.apk : https://github.com/mwrlabs/drozer/releases/download/2.3.4/drozer-agent-2.3.4.apk
1.5 Скачать sieve.apk : https://github.com/mwrlabs/drozer/releases/download/2.3.4/sieve.apk

# (19.09) Уязвимости мобильных приложений ч. 2
# (26.09) Веб-уязвимости. Обзор, инструменты.
# (03.10) Веб-уязвимости. XSS.
# (10.10) Веб-уязвимости. SQLi.
# (17.10) Веб-уязвимости. XXE, прочее интересное.
# (24.10) Бинарные программы. Инструменты.
# (7.11) Бинарные программы. Обнаружение уязвимостей и эксплуатация.
# (14.11) Уязвимости в бинарных программах. Advanced.
# (21.11) Безопасная разработка.
# (28.11) Механизмы безопасности операционных систем.
# (5.12) Атаки на блочные шифры. CBC.
# (12.12) Атаки на RSA.

=== Материалы лекций ===

Лекционные материалы публикуются по мере продвижения по курсу.

=== Практические задания ===

В рамках курса нужно выполнять домашние задания, выдаваемые на семинарах. Всего запланировано 4 задания.

==== Общее ====

=== Итоговый тест ===

=== Оценки ===

=== Расчет оценки ===
Вклад в оценку:
* Практические задания (4 штуки) - 80%, для зачета обязательно нужно выполнить все задания
* Итоговый тест (на экзамене) - 20%

=== Литература ===
Основная литература:
* Michał Zalewski. The Tangled Web: A Guide to Securing Modern Web Applications.
* Chris Anley, John Heasman, Felix Lindner, Gerardo Richarte. The Shellcoder's Handbook: Discovering and Exploiting Security Holes.
* Dafydd Stuttard, Marcus Pinto. The Web Application Hacker's Handbook: Detecting and Exploiting Security Flaws.
* Christopher Swenson, Modern Cryptanalysis: Techniques for Advanced Code Breaking.
* Æleen Frisch. Essential system administration.

Дополнительная литература:
* [https://docs.google.com/document/d/13zgZ_CRRHADwxf41mSSSuoJQLkMc67TXxpYLoW6lRak/edit#heading=h.l7t8ktb3r2q7 Веб-безопасность 101. Курс молодого бойца.]

=== Контакты ===
* Почта: gamajun@gmail.com, dgamaunov@hse.ru
* Tg: @jamadharma

Безопасность компьютерных систем 2017

2017-09-10T14:34:22Z

4emodan: + SSL

== Безопасность компьютерных систем ==

Курс по выбору для студентов 3 и 4 курса ФКН ВШЭ, осень 2017 года (1 и 2 модуль).
Курс состоит из лекций и семинаров. Основной акцент сделан на безопасности приложений и разработке безопасного программного обеспечения.

=== План курса ===

Лекции:
# (05.09) Вводная лекция. Безопасность приложений как фактор технологической конкуренции. Уязвимости программного обеспечения и атаки на них.
# (12.09) Основные понятия и определения. Модель нарушителя.
# (19.09) Безопасность приложений. Мобильные приложений и их уязвимости.
# (26.09) Безопасность приложений. Уязвимости веб-приложений ч. 1.
# (03.10) Безопасность приложений. Уязвимости веб-приложений ч. 2.
# (10.10) Безопасность приложений. Исполнение программ на процессоре, стек, подпрограммы и функции, передача аргументов, возврат значения. Системные вызовы. Размещение объектов в памяти: статическое, динамическое, автоматическое. Загрузчик программных модулей. Формат исполняемых файлов ELF. Зависимости модулей. Символы. Уязвимости, связанные с переполнением буфера.Уязвимости, связанные с подменой программных модулей. Уязвимости, связанные с некорректной проверкой прав доступа, TOCTOU.
# (17.10) Безопасность приложений. Уязвимости переполнения кучи. Механизмы защиты в современных операционных систем. ASLR, защита стека. Методы обхода.
# (24.10) Безопасность приложений. Secure Development Life Cycle ч. 1
# (31.10) Безопасность приложений. Secure Development Life Cycle ч. 2
# (7.11) Безопасность операционных систем.
# (14.11) Криптография. Введение и история
# (21.11) Криптография. Симметричные шифры и атаки на них.
# (28.11) Криптография, Асимметричные шифры и атаки на них.
# (5.12) Криптография. Приложения - PKI, WoT, Блокчейн.
# (12.12) Криптография. Пост-квантовая криптография.
# (19.12) Заключительная лекция.

Семинары:
# (12.09) Уязвимости мобильных приложений ч. 1

ПО, которое необходимо скачать/установить к семинару (всё работает под Windows/Mac Os):

'''Обязательно:'''

1. Эмулятор android:
Установить virtualbox (VirtualBox 5.1.26 platform packages): https://www.virtualbox.org/wiki/Downloads
Установить genymotion for fun: https://www.genymotion.com/fun-zone/
Создать учётную запись на https://www.genymotion.com
Запустить genymotion. Выбрать тип использования “For personal use”
Нажать + (Add new virtual device)
Зарегистрироваться с использованием созданной на шаге 3 учётной записи
Выбрать параметры виртуального девайса:
Android version – 6.0.0
Device model – Custom Phone
Нажать “Next” и скачать образ выбранного виртуального девайса
Запустить образ виртуального девайса

2. Скачать архив https://drive.google.com/file/d/0B7Ud4xPbhmAKWkRmSEh2aVNGVHc/view?usp=sharing . Запустить образ виртуального девайса. Перетащить в окно виртуального девайса скачанный архив, со всем согласиться. После установки. Перезапустить виртуальный девайс.

3. Установить Burp Suite Free Edition: https://portswigger.net/burp/freedownload

4. Установить Java Runtime Environment: http://www.oracle.com/technetwork/java/javase/downloads/jre8-downloads-2133155.html

5. Скачать dex2jar: https://github.com/pxb1988/dex2jar/releases/download/2.0/dex-tools-2.0.zip

6. Скачать JD-GUI: http://jd.benow.ca/

7. Установить apktool: https://ibotpeaches.github.io/Apktool/install/

8. Установить SQlite browser: http://sqlitebrowser.org/

9. Скачать уязвимое приложения для тестов: http://payatu.com/wp-content/uploads/2016/01/diva-beta.tar.gz

10. Скачать архив с другими приложениями для тестов: https://drive.google.com/file/d/0B7Ud4xPbhmAKU0dRWXhzWGV4SUk/view?usp=sharing

'''Желательно:'''

Установить drozer : https://labs.mwrinfosecurity.com/tools/drozer/ (при установке антивирус может среагировать на некоторые модули - надо добавить их в исключения)
1.1 Скачать и установить Java SE Development Kit 8u144
1.2 Открыть командную строку. Перейти в каталог, куда установился drozer. Ввести команду drozer console (или, в случае использования windows, команду drozer.bat console). Проверить наличие ошибки “Cannot find java”.
Если ошибки нет, то всё хорошо.
1.3 Если есть ошибка “Cannot find java”, то вы скорее всего работаете под windows. В таком случае необходимо создать файл .drozer_config (без расширения .txt) в домашнем каталоге и прописать туда путь к java.exe.
Содержимое файла .drozer_config должно быть, например, таким:
[executables]
java = C:\Program Files\Java\jdk1.8.0_144\bin\java.exe
После создания конфигурационного файла снова ввести команду drozer.bat console. Ошибка “Cannot find java” должна исчезнуть.
Подробнее см. первую запись https://github.com/mwrlabs/drozer/wiki/FAQ)
1.4 Скачать agent.apk : https://github.com/mwrlabs/drozer/releases/download/2.3.4/drozer-agent-2.3.4.apk
1.5 Скачать sieve.apk : https://github.com/mwrlabs/drozer/releases/download/2.3.4/sieve.apk

# (19.09) Уязвимости мобильных приложений ч. 2
# (26.09) Веб-уязвимости. Обзор, инструменты.
# (03.10) Веб-уязвимости. XSS.
# (10.10) Веб-уязвимости. SQLi.
# (17.10) Веб-уязвимости. XXE, прочее интересное.
# (24.10) Бинарные программы. Инструменты.
# (7.11) Бинарные программы. Обнаружение уязвимостей и эксплуатация.
# (14.11) Уязвимости в бинарных программах. Advanced.
# (21.11) Безопасная разработка.
# (28.11) Механизмы безопасности операционных систем.
# (5.12) Атаки на блочные шифры. CBC.
# (12.12) Атаки на RSA.

=== Материалы лекций ===

Лекционные материалы публикуются по мере продвижения по курсу.

=== Практические задания ===

В рамках курса нужно выполнять домашние задания, выдаваемые на семинарах. Всего запланировано 4 задания.

==== Общее ====

=== Итоговый тест ===

=== Оценки ===

=== Расчет оценки ===
Вклад в оценку:
* Практические задания (4 штуки) - 80%, для зачета обязательно нужно выполнить все задания
* Итоговый тест (на экзамене) - 20%

=== Литература ===
Основная литература:
* Michał Zalewski. The Tangled Web: A Guide to Securing Modern Web Applications.
* Chris Anley, John Heasman, Felix Lindner, Gerardo Richarte. The Shellcoder's Handbook: Discovering and Exploiting Security Holes.
* Dafydd Stuttard, Marcus Pinto. The Web Application Hacker's Handbook: Detecting and Exploiting Security Flaws.
* Christopher Swenson, Modern Cryptanalysis: Techniques for Advanced Code Breaking.
* Æleen Frisch. Essential system administration.

Дополнительная литература:
* [https://docs.google.com/document/d/13zgZ_CRRHADwxf41mSSSuoJQLkMc67TXxpYLoW6lRak/edit#heading=h.l7t8ktb3r2q7 Веб-безопасность 101. Курс молодого бойца.]

=== Контакты ===
* Почта: gamajun@gmail.com, dgamaunov@hse.ru
* Tg: @jamadharma

Безопасность компьютерных систем 2017

2017-09-07T10:12:35Z

4emodan: +apktool

== Безопасность компьютерных систем ==

Курс по выбору для студентов 3 и 4 курса ФКН ВШЭ, осень 2017 года (1 и 2 модуль).
Курс состоит из лекций и семинаров. Основной акцент сделан на безопасности приложений и разработке безопасного программного обеспечения.

=== План курса ===

Лекции:
# (05.09) Вводная лекция. Безопасность приложений как фактор технологической конкуренции. Уязвимости программного обеспечения и атаки на них.
# (12.09) Основные понятия и определения. Модель нарушителя.
# (19.09) Безопасность приложений. Мобильные приложений и их уязвимости.
# (26.09) Безопасность приложений. Уязвимости веб-приложений ч. 1.
# (03.10) Безопасность приложений. Уязвимости веб-приложений ч. 2.
# (10.10) Безопасность приложений. Исполнение программ на процессоре, стек, подпрограммы и функции, передача аргументов, возврат значения. Системные вызовы. Размещение объектов в памяти: статическое, динамическое, автоматическое. Загрузчик программных модулей. Формат исполняемых файлов ELF. Зависимости модулей. Символы. Уязвимости, связанные с переполнением буфера.Уязвимости, связанные с подменой программных модулей. Уязвимости, связанные с некорректной проверкой прав доступа, TOCTOU.
# (17.10) Безопасность приложений. Уязвимости переполнения кучи. Механизмы защиты в современных операционных систем. ASLR, защита стека. Методы обхода.
# (24.10) Безопасность приложений. Secure Development Life Cycle ч. 1
# (31.10) Безопасность приложений. Secure Development Life Cycle ч. 2
# (7.11) Безопасность операционных систем.
# (14.11) Криптография. Введение и история
# (21.11) Криптография. Симметричные шифры и атаки на них.
# (28.11) Криптография, Асимметричные шифры и атаки на них.
# (5.12) Криптография. Приложения - PKI, WoT, Блокчейн.
# (12.12) Криптография. Пост-квантовая криптография.
# (19.12) Заключительная лекция.

Семинары:
# (12.09) Уязвимости мобильных приложений ч. 1

ПО, которое необходимо скачать/установить к семинару (всё работает под Windows/Mac Os):

'''Обязательно:'''

1. Эмулятор android:
Установить virtualbox (VirtualBox 5.1.26 platform packages): https://www.virtualbox.org/wiki/Downloads
Установить genymotion for fun: https://www.genymotion.com/fun-zone/
Создать учётную запись на https://www.genymotion.com
Запустить genymotion. Выбрать тип использования “For personal use”
Нажать + (Add new virtual device)
Зарегистрироваться с использованием созданной на шаге 3 учётной записи
Выбрать параметры виртуального девайса:
Android version – 6.0.0
Device model – Custom Phone
Нажать “Next” и скачать образ выбранного виртуального девайса
Запустить образ виртуального девайса
2. Установить Burp Suite Free Edition: https://portswigger.net/burp/freedownload

3. Установить Java Runtime Environment: http://www.oracle.com/technetwork/java/javase/downloads/jre8-downloads-2133155.html

4. Скачать dex2jar: https://github.com/pxb1988/dex2jar/releases/download/2.0/dex-tools-2.0.zip

5. Скачать JD-GUI: http://jd.benow.ca/

6. Установить apktool: https://ibotpeaches.github.io/Apktool/install/

7. Установить SQlite browser: http://sqlitebrowser.org/

8. Скачать уязвимое приложения для тестов: http://payatu.com/wp-content/uploads/2016/01/diva-beta.tar.gz

'''Желательно:'''

Установить drozer : https://labs.mwrinfosecurity.com/tools/drozer/ (при установке антивирус может среагировать на некоторые модули - надо добавить их в исключения)
1.1 Скачать и установить Java SE Development Kit 8u144
1.2 Открыть командную строку. Перейти в каталог, куда установился drozer. Ввести команду drozer console (или, в случае использования windows, команду drozer.bat console). Проверить наличие ошибки “Cannot find java”.
Если ошибки нет, то всё хорошо.
1.3 Если есть ошибка “Cannot find java”, то вы скорее всего работаете под windows. В таком случае необходимо создать файл .drozer_config (без расширения .txt) в домашнем каталоге и прописать туда путь к java.exe.
Содержимое файла .drozer_config должно быть, например, таким:
[executables]
java = C:\Program Files\Java\jdk1.8.0_144\bin\java.exe
После создания конфигурационного файла снова ввести команду drozer.bat console. Ошибка “Cannot find java” должна исчезнуть.
Подробнее см. первую запись https://github.com/mwrlabs/drozer/wiki/FAQ)
1.4 Скачать agent.apk : https://github.com/mwrlabs/drozer/releases/download/2.3.4/drozer-agent-2.3.4.apk
1.5 Скачать sieve.apk : https://github.com/mwrlabs/drozer/releases/download/2.3.4/sieve.apk

# (19.09) Уязвимости мобильных приложений ч. 2
# (26.09) Веб-уязвимости. Обзор, инструменты.
# (03.10) Веб-уязвимости. XSS.
# (10.10) Веб-уязвимости. SQLi.
# (17.10) Веб-уязвимости. XXE, прочее интересное.
# (24.10) Бинарные программы. Инструменты.
# (7.11) Бинарные программы. Обнаружение уязвимостей и эксплуатация.
# (14.11) Уязвимости в бинарных программах. Advanced.
# (21.11) Безопасная разработка.
# (28.11) Механизмы безопасности операционных систем.
# (5.12) Атаки на блочные шифры. CBC.
# (12.12) Атаки на RSA.

=== Материалы лекций ===

Лекционные материалы публикуются по мере продвижения по курсу.

=== Практические задания ===

В рамках курса нужно выполнять домашние задания, выдаваемые на семинарах. Всего запланировано 4 задания.

==== Общее ====

=== Итоговый тест ===

=== Оценки ===

=== Расчет оценки ===
Вклад в оценку:
* Практические задания (4 штуки) - 80%, для зачета обязательно нужно выполнить все задания
* Итоговый тест (на экзамене) - 20%

=== Литература ===
Основная литература:
* Michał Zalewski. The Tangled Web: A Guide to Securing Modern Web Applications.
* Chris Anley, John Heasman, Felix Lindner, Gerardo Richarte. The Shellcoder's Handbook: Discovering and Exploiting Security Holes.
* Dafydd Stuttard, Marcus Pinto. The Web Application Hacker's Handbook: Detecting and Exploiting Security Flaws.
* Christopher Swenson, Modern Cryptanalysis: Techniques for Advanced Code Breaking.
* Æleen Frisch. Essential system administration.

Дополнительная литература:
* [https://docs.google.com/document/d/13zgZ_CRRHADwxf41mSSSuoJQLkMc67TXxpYLoW6lRak/edit#heading=h.l7t8ktb3r2q7 Веб-безопасность 101. Курс молодого бойца.]

=== Контакты ===
* Почта: gamajun@gmail.com, dgamaunov@hse.ru
* Tg: @jamadharma

Безопасность компьютерных систем 2017

2017-09-07T10:06:02Z

4emodan:

== Безопасность компьютерных систем ==

Курс по выбору для студентов 3 и 4 курса ФКН ВШЭ, осень 2017 года (1 и 2 модуль).
Курс состоит из лекций и семинаров. Основной акцент сделан на безопасности приложений и разработке безопасного программного обеспечения.

=== План курса ===

Лекции:
# (05.09) Вводная лекция. Безопасность приложений как фактор технологической конкуренции. Уязвимости программного обеспечения и атаки на них.
# (12.09) Основные понятия и определения. Модель нарушителя.
# (19.09) Безопасность приложений. Мобильные приложений и их уязвимости.
# (26.09) Безопасность приложений. Уязвимости веб-приложений ч. 1.
# (03.10) Безопасность приложений. Уязвимости веб-приложений ч. 2.
# (10.10) Безопасность приложений. Исполнение программ на процессоре, стек, подпрограммы и функции, передача аргументов, возврат значения. Системные вызовы. Размещение объектов в памяти: статическое, динамическое, автоматическое. Загрузчик программных модулей. Формат исполняемых файлов ELF. Зависимости модулей. Символы. Уязвимости, связанные с переполнением буфера.Уязвимости, связанные с подменой программных модулей. Уязвимости, связанные с некорректной проверкой прав доступа, TOCTOU.
# (17.10) Безопасность приложений. Уязвимости переполнения кучи. Механизмы защиты в современных операционных систем. ASLR, защита стека. Методы обхода.
# (24.10) Безопасность приложений. Secure Development Life Cycle ч. 1
# (31.10) Безопасность приложений. Secure Development Life Cycle ч. 2
# (7.11) Безопасность операционных систем.
# (14.11) Криптография. Введение и история
# (21.11) Криптография. Симметричные шифры и атаки на них.
# (28.11) Криптография, Асимметричные шифры и атаки на них.
# (5.12) Криптография. Приложения - PKI, WoT, Блокчейн.
# (12.12) Криптография. Пост-квантовая криптография.
# (19.12) Заключительная лекция.

Семинары:
# (12.09) Уязвимости мобильных приложений ч. 1

ПО, которое необходимо скачать/установить к семинару (всё работает под Windows/Mac Os):

'''Обязательно:'''

1. Эмулятор android:
Установить virtualbox (VirtualBox 5.1.26 platform packages): https://www.virtualbox.org/wiki/Downloads
Установить genymotion for fun: https://www.genymotion.com/fun-zone/
Создать учётную запись на https://www.genymotion.com
Запустить genymotion. Выбрать тип использования “For personal use”
Нажать + (Add new virtual device)
Зарегистрироваться с использованием созданной на шаге 3 учётной записи
Выбрать параметры виртуального девайса:
Android version – 6.0.0
Device model – Custom Phone
Нажать “Next” и скачать образ выбранного виртуального девайса
Запустить образ виртуального девайса
2. Установить Burp Suite Free Edition: https://portswigger.net/burp/freedownload

2. Скачать dex2jar: https://github.com/pxb1988/dex2jar/releases/download/2.0/dex-tools-2.0.zip (для работы утилиты необходимо установить Java Runtime Environment: http://www.oracle.com/technetwork/java/javase/downloads/jre8-downloads-2133155.html)

3. Скачать JD-GUI: http://jd.benow.ca/

4. Установить SQlite browser: http://sqlitebrowser.org/

5. Скачать уязвимое приложения для тестов: http://payatu.com/wp-content/uploads/2016/01/diva-beta.tar.gz

'''Желательно:'''

Установить drozer : https://labs.mwrinfosecurity.com/tools/drozer/ (при установке антивирус может среагировать на некоторые модули - надо добавить их в исключения)
1.1 Скачать и установить Java SE Development Kit 8u144
1.2 Открыть командную строку. Перейти в каталог, куда установился drozer. Ввести команду drozer console (или, в случае использования windows, команду drozer.bat console). Проверить наличие ошибки “Cannot find java”.
Если ошибки нет, то всё хорошо.
1.3 Если есть ошибка “Cannot find java”, то вы скорее всего работаете под windows. В таком случае необходимо создать файл .drozer_config (без расширения .txt) в домашнем каталоге и прописать туда путь к java.exe.
Содержимое файла .drozer_config должно быть, например, таким:
[executables]
java = C:\Program Files\Java\jdk1.8.0_144\bin\java.exe
После создания конфигурационного файла снова ввести команду drozer.bat console. Ошибка “Cannot find java” должна исчезнуть.
Подробнее см. первую запись https://github.com/mwrlabs/drozer/wiki/FAQ)
1.4 Скачать agent.apk : https://github.com/mwrlabs/drozer/releases/download/2.3.4/drozer-agent-2.3.4.apk
1.5 Скачать sieve.apk : https://github.com/mwrlabs/drozer/releases/download/2.3.4/sieve.apk

# (19.09) Уязвимости мобильных приложений ч. 2
# (26.09) Веб-уязвимости. Обзор, инструменты.
# (03.10) Веб-уязвимости. XSS.
# (10.10) Веб-уязвимости. SQLi.
# (17.10) Веб-уязвимости. XXE, прочее интересное.
# (24.10) Бинарные программы. Инструменты.
# (7.11) Бинарные программы. Обнаружение уязвимостей и эксплуатация.
# (14.11) Уязвимости в бинарных программах. Advanced.
# (21.11) Безопасная разработка.
# (28.11) Механизмы безопасности операционных систем.
# (5.12) Атаки на блочные шифры. CBC.
# (12.12) Атаки на RSA.

=== Материалы лекций ===

Лекционные материалы публикуются по мере продвижения по курсу.

=== Практические задания ===

В рамках курса нужно выполнять домашние задания, выдаваемые на семинарах. Всего запланировано 4 задания.

==== Общее ====

=== Итоговый тест ===

=== Оценки ===

=== Расчет оценки ===
Вклад в оценку:
* Практические задания (4 штуки) - 80%, для зачета обязательно нужно выполнить все задания
* Итоговый тест (на экзамене) - 20%

=== Литература ===
Основная литература:
* Michał Zalewski. The Tangled Web: A Guide to Securing Modern Web Applications.
* Chris Anley, John Heasman, Felix Lindner, Gerardo Richarte. The Shellcoder's Handbook: Discovering and Exploiting Security Holes.
* Dafydd Stuttard, Marcus Pinto. The Web Application Hacker's Handbook: Detecting and Exploiting Security Flaws.
* Christopher Swenson, Modern Cryptanalysis: Techniques for Advanced Code Breaking.
* Æleen Frisch. Essential system administration.

Дополнительная литература:
* [https://docs.google.com/document/d/13zgZ_CRRHADwxf41mSSSuoJQLkMc67TXxpYLoW6lRak/edit#heading=h.l7t8ktb3r2q7 Веб-безопасность 101. Курс молодого бойца.]

=== Контакты ===
* Почта: gamajun@gmail.com, dgamaunov@hse.ru
* Tg: @jamadharma

Безопасность компьютерных систем 2017

2017-09-07T08:38:08Z

4emodan: + dex2jar, JD-GUI

== Безопасность компьютерных систем ==

Курс по выбору для студентов 3 и 4 курса ФКН ВШЭ, осень 2017 года (1 и 2 модуль).
Курс состоит из лекций и семинаров. Основной акцент сделан на безопасности приложений и разработке безопасного программного обеспечения.

=== План курса ===

Лекции:
# (05.09) Вводная лекция. Безопасность приложений как фактор технологической конкуренции. Уязвимости программного обеспечения и атаки на них.
# (12.09) Основные понятия и определения. Модель нарушителя.
# (19.09) Безопасность приложений. Мобильные приложений и их уязвимости.
# (26.09) Безопасность приложений. Уязвимости веб-приложений ч. 1.
# (03.10) Безопасность приложений. Уязвимости веб-приложений ч. 2.
# (10.10) Безопасность приложений. Исполнение программ на процессоре, стек, подпрограммы и функции, передача аргументов, возврат значения. Системные вызовы. Размещение объектов в памяти: статическое, динамическое, автоматическое. Загрузчик программных модулей. Формат исполняемых файлов ELF. Зависимости модулей. Символы. Уязвимости, связанные с переполнением буфера.Уязвимости, связанные с подменой программных модулей. Уязвимости, связанные с некорректной проверкой прав доступа, TOCTOU.
# (17.10) Безопасность приложений. Уязвимости переполнения кучи. Механизмы защиты в современных операционных систем. ASLR, защита стека. Методы обхода.
# (24.10) Безопасность приложений. Secure Development Life Cycle ч. 1
# (31.10) Безопасность приложений. Secure Development Life Cycle ч. 2
# (7.11) Безопасность операционных систем.
# (14.11) Криптография. Введение и история
# (21.11) Криптография. Симметричные шифры и атаки на них.
# (28.11) Криптография, Асимметричные шифры и атаки на них.
# (5.12) Криптография. Приложения - PKI, WoT, Блокчейн.
# (12.12) Криптография. Пост-квантовая криптография.
# (19.12) Заключительная лекция.

Семинары:
# (12.09) Уязвимости мобильных приложений ч. 1

ПО, которое необходимо скачать/установить к семинару (всё работает под Windows/Mac Os):

'''Обязательно:'''

1. Эмулятор android:
Установить virtualbox (VirtualBox 5.1.26 platform packages): https://www.virtualbox.org/wiki/Downloads
Установить genymotion for fun: https://www.genymotion.com/fun-zone/
Создать учётную запись на https://www.genymotion.com
Запустить genymotion. Выбрать тип использования “For personal use”
Нажать + (Add new virtual device)
Зарегистрироваться с использованием созданной на шаге 3 учётной записи
Выбрать параметры виртуального девайса:
Android version – 6.0.0
Device model – Custom Phone
Нажать “Next” и скачать образ выбранного виртуального девайса
Запустить образ виртуального девайса
2. Установить Burp Suite Free Edition: https://portswigger.net/burp/freedownload

2. Скачать dex2jar: https://github.com/pxb1988/dex2jar/releases/download/2.0/dex-tools-2.0.zip

3. Скачать JD-GUI: http://jd.benow.ca/

4. Установить SQlite browser: http://sqlitebrowser.org/

5. Скачать уязвимое приложения для тестов: http://payatu.com/wp-content/uploads/2016/01/diva-beta.tar.gz

'''Желательно:'''

Установить drozer : https://labs.mwrinfosecurity.com/tools/drozer/ (при установке антивирус может среагировать на некоторые модули - надо добавить их в исключения)
1.1 Скачать и установить Java SE Development Kit 8u144
1.2 Открыть командную строку. Перейти в каталог, куда установился drozer. Ввести команду drozer console (или, в случае использования windows, команду drozer.bat console). Проверить наличие ошибки “Cannot find java”.
Если ошибки нет, то всё хорошо.
1.3 Если есть ошибка “Cannot find java”, то вы скорее всего работаете под windows. В таком случае необходимо создать файл .drozer_config (без расширения .txt) в домашнем каталоге и прописать туда путь к java.exe.
Содержимое файла .drozer_config должно быть, например, таким:
[executables]
java = C:\Program Files\Java\jdk1.8.0_144\bin\java.exe
После создания конфигурационного файла снова ввести команду drozer.bat console. Ошибка “Cannot find java” должна исчезнуть.
Подробнее см. первую запись https://github.com/mwrlabs/drozer/wiki/FAQ)
1.4 Скачать agent.apk : https://github.com/mwrlabs/drozer/releases/download/2.3.4/drozer-agent-2.3.4.apk
1.5 Скачать sieve.apk : https://github.com/mwrlabs/drozer/releases/download/2.3.4/sieve.apk

# (19.09) Уязвимости мобильных приложений ч. 2
# (26.09) Веб-уязвимости. Обзор, инструменты.
# (03.10) Веб-уязвимости. XSS.
# (10.10) Веб-уязвимости. SQLi.
# (17.10) Веб-уязвимости. XXE, прочее интересное.
# (24.10) Бинарные программы. Инструменты.
# (7.11) Бинарные программы. Обнаружение уязвимостей и эксплуатация.
# (14.11) Уязвимости в бинарных программах. Advanced.
# (21.11) Безопасная разработка.
# (28.11) Механизмы безопасности операционных систем.
# (5.12) Атаки на блочные шифры. CBC.
# (12.12) Атаки на RSA.

=== Материалы лекций ===

Лекционные материалы публикуются по мере продвижения по курсу.

=== Практические задания ===

В рамках курса нужно выполнять домашние задания, выдаваемые на семинарах. Всего запланировано 4 задания.

==== Общее ====

=== Итоговый тест ===

=== Оценки ===

=== Расчет оценки ===
Вклад в оценку:
* Практические задания (4 штуки) - 80%, для зачета обязательно нужно выполнить все задания
* Итоговый тест (на экзамене) - 20%

=== Литература ===
Основная литература:
* Michał Zalewski. The Tangled Web: A Guide to Securing Modern Web Applications.
* Chris Anley, John Heasman, Felix Lindner, Gerardo Richarte. The Shellcoder's Handbook: Discovering and Exploiting Security Holes.
* Dafydd Stuttard, Marcus Pinto. The Web Application Hacker's Handbook: Detecting and Exploiting Security Flaws.
* Christopher Swenson, Modern Cryptanalysis: Techniques for Advanced Code Breaking.
* Æleen Frisch. Essential system administration.

Дополнительная литература:
* [https://docs.google.com/document/d/13zgZ_CRRHADwxf41mSSSuoJQLkMc67TXxpYLoW6lRak/edit#heading=h.l7t8ktb3r2q7 Веб-безопасность 101. Курс молодого бойца.]

=== Контакты ===
* Почта: gamajun@gmail.com, dgamaunov@hse.ru
* Tg: @jamadharma

Безопасность компьютерных систем 2017

2017-09-06T21:20:09Z

4emodan:

== Безопасность компьютерных систем ==

Курс по выбору для студентов 3 и 4 курса ФКН ВШЭ, осень 2017 года (1 и 2 модуль).
Курс состоит из лекций и семинаров. Основной акцент сделан на безопасности приложений и разработке безопасного программного обеспечения.

=== План курса ===

Лекции:
# (05.09) Вводная лекция. Безопасность приложений как фактор технологической конкуренции. Уязвимости программного обеспечения и атаки на них.
# (12.09) Основные понятия и определения. Модель нарушителя.
# (19.09) Безопасность приложений. Мобильные приложений и их уязвимости.
# (26.09) Безопасность приложений. Уязвимости веб-приложений ч. 1.
# (03.10) Безопасность приложений. Уязвимости веб-приложений ч. 2.
# (10.10) Безопасность приложений. Исполнение программ на процессоре, стек, подпрограммы и функции, передача аргументов, возврат значения. Системные вызовы. Размещение объектов в памяти: статическое, динамическое, автоматическое. Загрузчик программных модулей. Формат исполняемых файлов ELF. Зависимости модулей. Символы. Уязвимости, связанные с переполнением буфера.Уязвимости, связанные с подменой программных модулей. Уязвимости, связанные с некорректной проверкой прав доступа, TOCTOU.
# (17.10) Безопасность приложений. Уязвимости переполнения кучи. Механизмы защиты в современных операционных систем. ASLR, защита стека. Методы обхода.
# (24.10) Безопасность приложений. Secure Development Life Cycle ч. 1
# (31.10) Безопасность приложений. Secure Development Life Cycle ч. 2
# (7.11) Безопасность операционных систем.
# (14.11) Криптография. Введение и история
# (21.11) Криптография. Симметричные шифры и атаки на них.
# (28.11) Криптография, Асимметричные шифры и атаки на них.
# (5.12) Криптография. Приложения - PKI, WoT, Блокчейн.
# (12.12) Криптография. Пост-квантовая криптография.
# (19.12) Заключительная лекция.

Семинары:
# (12.09) Уязвимости мобильных приложений ч. 1

ПО, которое необходимо скачать/установить к семинару (всё работает под Windows/Mac Os):

'''Обязательно:'''

1. Эмулятор android:
Установить virtualbox (VirtualBox 5.1.26 platform packages): https://www.virtualbox.org/wiki/Downloads
Установить genymotion for fun: https://www.genymotion.com/fun-zone/
Создать учётную запись на https://www.genymotion.com
Запустить genymotion. Выбрать тип использования “For personal use”
Нажать + (Add new virtual device)
Зарегистрироваться с использованием созданной на шаге 3 учётной записи
Выбрать параметры виртуального девайса:
Android version – 6.0.0
Device model – Custom Phone
Нажать “Next” и скачать образ выбранного виртуального девайса
Запустить образ виртуального девайса
2. Установить Burp Suite Free Edition: https://portswigger.net/burp/freedownload

3. Установить SQlite browser: http://sqlitebrowser.org/

4. Скачать уязвимое приложения для тестов: http://payatu.com/wp-content/uploads/2016/01/diva-beta.tar.gz

'''Желательно:'''

Установить drozer : https://labs.mwrinfosecurity.com/tools/drozer/ (при установке антивирус может среагировать на некоторые модули - надо добавить их в исключения)
1.1 Скачать и установить Java SE Development Kit 8u144
1.2 Открыть командную строку. Перейти в каталог, куда установился drozer. Ввести команду drozer console (или, в случае использования windows, команду drozer.bat console). Проверить наличие ошибки “Cannot find java”.
Если ошибки нет, то всё хорошо.
1.3 Если есть ошибка “Cannot find java”, то вы скорее всего работаете под windows. В таком случае необходимо создать файл .drozer_config (без расширения .txt) в домашнем каталоге и прописать туда путь к java.exe.
Содержимое файла .drozer_config должно быть, например, таким:
[executables]
java = C:\Program Files\Java\jdk1.8.0_144\bin\java.exe
После создания конфигурационного файла снова ввести команду drozer.bat console. Ошибка “Cannot find java” должна исчезнуть.
Подробнее см. первую запись https://github.com/mwrlabs/drozer/wiki/FAQ)
1.4 Скачать agent.apk : https://github.com/mwrlabs/drozer/releases/download/2.3.4/drozer-agent-2.3.4.apk
1.5 Скачать sieve.apk : https://github.com/mwrlabs/drozer/releases/download/2.3.4/sieve.apk

# (19.09) Уязвимости мобильных приложений ч. 2
# (26.09) Веб-уязвимости. Обзор, инструменты.
# (03.10) Веб-уязвимости. XSS.
# (10.10) Веб-уязвимости. SQLi.
# (17.10) Веб-уязвимости. XXE, прочее интересное.
# (24.10) Бинарные программы. Инструменты.
# (7.11) Бинарные программы. Обнаружение уязвимостей и эксплуатация.
# (14.11) Уязвимости в бинарных программах. Advanced.
# (21.11) Безопасная разработка.
# (28.11) Механизмы безопасности операционных систем.
# (5.12) Атаки на блочные шифры. CBC.
# (12.12) Атаки на RSA.

=== Материалы лекций ===

Лекционные материалы публикуются по мере продвижения по курсу.

=== Практические задания ===

В рамках курса нужно выполнять домашние задания, выдаваемые на семинарах. Всего запланировано 4 задания.

==== Общее ====

=== Итоговый тест ===

=== Оценки ===

=== Расчет оценки ===
Вклад в оценку:
* Практические задания (4 штуки) - 80%, для зачета обязательно нужно выполнить все задания
* Итоговый тест (на экзамене) - 20%

=== Литература ===
Основная литература:
* Michał Zalewski. The Tangled Web: A Guide to Securing Modern Web Applications.
* Chris Anley, John Heasman, Felix Lindner, Gerardo Richarte. The Shellcoder's Handbook: Discovering and Exploiting Security Holes.
* Dafydd Stuttard, Marcus Pinto. The Web Application Hacker's Handbook: Detecting and Exploiting Security Flaws.
* Christopher Swenson, Modern Cryptanalysis: Techniques for Advanced Code Breaking.
* Æleen Frisch. Essential system administration.

Дополнительная литература:
* [https://docs.google.com/document/d/13zgZ_CRRHADwxf41mSSSuoJQLkMc67TXxpYLoW6lRak/edit#heading=h.l7t8ktb3r2q7 Веб-безопасность 101. Курс молодого бойца.]

=== Контакты ===
* Почта: gamajun@gmail.com, dgamaunov@hse.ru
* Tg: @jamadharma

Безопасность компьютерных систем 2017

2017-09-06T21:13:53Z

4emodan: + sqlite browser

== Безопасность компьютерных систем ==

Курс по выбору для студентов 3 и 4 курса ФКН ВШЭ, осень 2017 года (1 и 2 модуль).
Курс состоит из лекций и семинаров. Основной акцент сделан на безопасности приложений и разработке безопасного программного обеспечения.

=== План курса ===

Лекции:
# (05.09) Вводная лекция. Безопасность приложений как фактор технологической конкуренции. Уязвимости программного обеспечения и атаки на них.
# (12.09) Основные понятия и определения. Модель нарушителя.
# (19.09) Безопасность приложений. Мобильные приложений и их уязвимости.
# (26.09) Безопасность приложений. Уязвимости веб-приложений ч. 1.
# (03.10) Безопасность приложений. Уязвимости веб-приложений ч. 2.
# (10.10) Безопасность приложений. Исполнение программ на процессоре, стек, подпрограммы и функции, передача аргументов, возврат значения. Системные вызовы. Размещение объектов в памяти: статическое, динамическое, автоматическое. Загрузчик программных модулей. Формат исполняемых файлов ELF. Зависимости модулей. Символы. Уязвимости, связанные с переполнением буфера.Уязвимости, связанные с подменой программных модулей. Уязвимости, связанные с некорректной проверкой прав доступа, TOCTOU.
# (17.10) Безопасность приложений. Уязвимости переполнения кучи. Механизмы защиты в современных операционных систем. ASLR, защита стека. Методы обхода.
# (24.10) Безопасность приложений. Secure Development Life Cycle ч. 1
# (31.10) Безопасность приложений. Secure Development Life Cycle ч. 2
# (7.11) Безопасность операционных систем.
# (14.11) Криптография. Введение и история
# (21.11) Криптография. Симметричные шифры и атаки на них.
# (28.11) Криптография, Асимметричные шифры и атаки на них.
# (5.12) Криптография. Приложения - PKI, WoT, Блокчейн.
# (12.12) Криптография. Пост-квантовая криптография.
# (19.12) Заключительная лекция.

Семинары:
# (12.09) Уязвимости мобильных приложений ч. 1

ПО, которое необходимо скачать/установить к семинару (всё работает под Windows/Mac Os):

'''Обязательно:'''

1. Эмулятор android:
Установить virtualbox (VirtualBox 5.1.26 platform packages): https://www.virtualbox.org/wiki/Downloads
Установить genymotion for fun: https://www.genymotion.com/fun-zone/
Создать учётную запись на https://www.genymotion.com
Запустить genymotion. Выбрать тип использования “For personal use”
Нажать + (Add new virtual device)
Зарегистрироваться с использованием созданной на шаге 3 учётной записи
Выбрать параметры виртуального девайса:
Android version – 6.0.0
Device model – Custom Phone
Нажать “Next” и скачать образ выбранного виртуального девайса
Запустить образ виртуального девайса
2. Установить Burp Suite Free Edition: https://portswigger.net/burp/freedownload
3. Установить SQlite browser: http://sqlitebrowser.org/
4. Скачать уязвимое приложения для тестов: http://payatu.com/wp-content/uploads/2016/01/diva-beta.tar.gz

'''Желательно:'''

Установить drozer : https://labs.mwrinfosecurity.com/tools/drozer/ (при установке антивирус может среагировать на некоторые модули - надо добавить их в исключения)
1.1 Скачать и установить Java SE Development Kit 8u144
1.2 Открыть командную строку. Перейти в каталог, куда установился drozer. Ввести команду drozer console (или, в случае использования windows, команду drozer.bat console). Проверить наличие ошибки “Cannot find java”.
Если ошибки нет, то всё хорошо.
1.3 Если есть ошибка “Cannot find java”, то вы скорее всего работаете под windows. В таком случае необходимо создать файл .drozer_config (без расширения .txt) в домашнем каталоге и прописать туда путь к java.exe.
Содержимое файла .drozer_config должно быть, например, таким:
[executables]
java = C:\Program Files\Java\jdk1.8.0_144\bin\java.exe
После создания конфигурационного файла снова ввести команду drozer.bat console. Ошибка “Cannot find java” должна исчезнуть.
Подробнее см. первую запись https://github.com/mwrlabs/drozer/wiki/FAQ)
1.4 Скачать agent.apk : https://github.com/mwrlabs/drozer/releases/download/2.3.4/drozer-agent-2.3.4.apk
1.5 Скачать sieve.apk : https://github.com/mwrlabs/drozer/releases/download/2.3.4/sieve.apk

# (19.09) Уязвимости мобильных приложений ч. 2
# (26.09) Веб-уязвимости. Обзор, инструменты.
# (03.10) Веб-уязвимости. XSS.
# (10.10) Веб-уязвимости. SQLi.
# (17.10) Веб-уязвимости. XXE, прочее интересное.
# (24.10) Бинарные программы. Инструменты.
# (7.11) Бинарные программы. Обнаружение уязвимостей и эксплуатация.
# (14.11) Уязвимости в бинарных программах. Advanced.
# (21.11) Безопасная разработка.
# (28.11) Механизмы безопасности операционных систем.
# (5.12) Атаки на блочные шифры. CBC.
# (12.12) Атаки на RSA.

=== Материалы лекций ===

Лекционные материалы публикуются по мере продвижения по курсу.

=== Практические задания ===

В рамках курса нужно выполнять домашние задания, выдаваемые на семинарах. Всего запланировано 4 задания.

==== Общее ====

=== Итоговый тест ===

=== Оценки ===

=== Расчет оценки ===
Вклад в оценку:
* Практические задания (4 штуки) - 80%, для зачета обязательно нужно выполнить все задания
* Итоговый тест (на экзамене) - 20%

=== Литература ===
Основная литература:
* Michał Zalewski. The Tangled Web: A Guide to Securing Modern Web Applications.
* Chris Anley, John Heasman, Felix Lindner, Gerardo Richarte. The Shellcoder's Handbook: Discovering and Exploiting Security Holes.
* Dafydd Stuttard, Marcus Pinto. The Web Application Hacker's Handbook: Detecting and Exploiting Security Flaws.
* Christopher Swenson, Modern Cryptanalysis: Techniques for Advanced Code Breaking.
* Æleen Frisch. Essential system administration.

Дополнительная литература:
* [https://docs.google.com/document/d/13zgZ_CRRHADwxf41mSSSuoJQLkMc67TXxpYLoW6lRak/edit#heading=h.l7t8ktb3r2q7 Веб-безопасность 101. Курс молодого бойца.]

=== Контакты ===
* Почта: gamajun@gmail.com, dgamaunov@hse.ru
* Tg: @jamadharma