{"id":6603,"date":"2021-04-14T14:21:45","date_gmt":"2021-04-14T12:21:45","guid":{"rendered":"https:\/\/the-s-unit.nl\/?p=6603"},"modified":"2024-07-26T11:35:17","modified_gmt":"2024-07-26T09:35:17","slug":"offensive-securitys-advanced-web-attacks-and-exploitation-awae","status":"publish","type":"post","link":"https:\/\/the-s-unit.nl\/en\/offensive-securitys-advanced-web-attacks-and-exploitation-awae\/","title":{"rendered":"Offensive Security\u2019s Advanced Web Attacks and Exploitation (AWAE)"},"content":{"rendered":"
\n\t\t\t\t\t\t
\n\t\t\t\t\t\t\t
<\/div>\n\t\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

\"\"<\/p>

Yes! Offensive Security \u2019s AWAE is in b\u00e8ta online beschikbaar en ik ben uitgenodigd om mee te doen! In april is het zover: mijn labtijd gaat van start. Na OSCP en OSWP denk ik voor deze OSWE-certificering een beetje te weten wat ik kan verwachten, maar niets is minder waar. In het eerste hoofdstuk van het boek gaat de steep learning curve meteen van start met lezen en schrijven van code in verschillende talen. Aangezien coding niet in mijn achtergrond zit, is het aanpoten om de (ten minste) zeven talen die ik in het boek tegenkom snel en voldoende eigen te maken om er mee uit de voeten te kunnen. Ik besluit iedere dag een uur te besteden aan het lezen van code, puur om er in thuis te raken en gevoel voor te krijgen.<\/p>

In de hoofdstukken die volgen worden verschillende casussen doorgewerkt waarbij, meestal vanuit de code, verschillende kwetsbaarheden worden gevonden die gecombineerd leiden tot volledige overname van het systeem. De kwetsbaarheden op zich zijn niet bijster bijzonder, de manier waarop ze gevonden en gecombineerd worden is dat wel! Het lab bevat vijf machines waarop de kwetsbare applicaties met alle benodigde tools beschikbaar zijn. Administratieve toegang tot de machines maakt het mogelijk de source code te reviewen, exploits lokaal te testen en deze te debuggen. Hoewel het boek de lezer bij de hand pakt en mee neemt door de casussen, zijn de extra miles zoals het Offensive Security past \u201ctry harder\u201d. Grofweg bestaat de cursus uit drie hoofdonderwerpen:<\/p>

1. Code reviewing<\/strong>
\u2022 Overview cre\u00ebren: Organisatie, code styling, comments. Idee\u00ebn opdoen voor search strings.
\u2022 Zoeken naar kwetsbaarheden: Search strings, kwetsbare functies, foutmeldingen, etc.
\"\"
\u2022 Volgen van code execution pad: Wat doet het? Waar kun je ongeautoriseerd bij? Hoe kun je deze functie bereiken?
\u2022 User input: Waar wordt het gebruikt? Hoe en waar wordt het gevalideerd\/ gesaneerd?<\/p>

2. Web application exploitation<\/strong>
\u2022 Vulnerability chaining<\/p>

\"\"<\/p>

\"\"
\u2022 Automatiseren van exploits
\"\"<\/p>

3. Debugging<\/strong>
\u2022 Live debuggen van applicaties
\u2022 Debuggen van onder meer exploit code
\"\"<\/p>

Als het boek uit is, en de extra miles gedaan, heb ik het gevoel dat ik nog onvoldoende basis heb om met name mijn nieuwe code reading skills in te zetten in andere situaties dan de beschreven casussen. Er zijn geen extra machines in het lab waarop geoefend kan worden, zoals bij OSCP. Een echte methodologie voor code reading en het vinden van kwetsbaarheden -een meer generieke aanpak- blijft m.i. onderbelicht in het boek. Met aanvullend onderzoek, en door middel van het zelf opbouwen en vervolgens misbruiken van andere kwetsbare webapplicaties (exploit-db is daar een mooie bron voor), verbreed ik mijn skillset.
Het examen van 48 uur is mind-blowing. Niet alleen code reading en technische skills worden getest, maar zoals bij ieder Offensive Security examen ook time-management skills, het vermijden van rabbit-holes, en het onder druk niet in paniek raken, maar blijven nadenken. Niets gaat vanzelf, niets is obvious, behalve als je de juiste overwegingen en goede route ernaartoe hebt gevolgd. Dan ineens valt alles op zijn plek. Na een killing 50 uur lever ik mijn rapportage op en sluit ik mijn examen af met 100 van de 100 punten!! I am officially OSWE certified!\u00a0www.youracclaim.com<\/a><\/p>

My tips and tricks:<\/h3>
SOURCE CODE REVIEW:<\/h5>

Train het vinden van kwetsbaarheden in verschillende talen. Dit kan ook, maar is minder leuk, zonder dat je de applicatie hebt draaien. Aandachtspunten zijn (het herkennen van) vanaf de frontend bereikbare code (unauthenticated!), userinput, en het volgen van het code execution pad. Where to start:
\u2022 Zoek op veel gebruikte termen. \u201cquery\u201d en “‘select|insert|update\u201d worden bijvoorbeeld vaak gebruikt voor database query\u2019s. $_GET geeft in PHP userinput aan. Search strings kunnen worden ge\u00efdentificeerd tijdens het cre\u00ebren van een overview van de code.
\u2022 Zoek op kwetsbare functienamen. \u201ceval\u201d, \u201cexec\u201d, en \u201cserialize\u201d zijn voorbeelden van functies die potentieel te misbruiken zijn. Zoek bronnen, of maak zelf een lijstje, van dit soort functies.
\u2022 Zoek op hints\/woorden\/foutmeldingen van de frontend. Parameters in de URL kunnen vaak worden gebruikt om (dezelfde) bijhorende functienamen in de code te vinden. Foutmeldingen kunnen gebruikt worden om het code execution pad the vinden, volgen en potentieel misbruiken.
\u2022 Grep en regex are your best friends! Get very familiar with them! Slimme greps in de code, zo nodig gecombineerd met regex search strings, geven snelle en doeltreffende resultaten.<\/p>

EXTRA TRAINING:<\/h5>

Bouw zelf machines op met kwetsbare applicaties. Zowel het opbouwen, als het zoeken en misbruiken van kwetsbaarheden, geeft nieuwe inzichten en extra oefenmateriaal. Kwetsbaarheden en bijhorende kwetsbare applicaties zijn te vinden op\u00a0www.exploit-db.com<\/a>.
\u2022 Een oudere versie van DNN
\u2022 Een oudere versie (of ander product!) van ManageEngine Applications Manager
\u2022 Willekeurige kwetsbare NodeJS applicaties
\u2022 Willekeurige kwetsbare PHP applicaties<\/p>

GENERAL:<\/h5>

Generieke dingen die mij door het examen hebben geholpen, en nuttig zijn bij klussen in de praktijk:
\u2022 Neem de tijd. De key is om volledig te begrijpen wat er gebeurt. Stay calm!
\u2022 Bevestig source code bevindingen door middel van een PoC in burp en\/of verbose errors en (database) logging.
\u2022 Don\u2019t forget: je hebt source code en een werkende applicatie. Denk vanuit een blackbox perspectief. Wat zou je dan proberen\/bypassen\/manipuleren\/etc. Welke typen kwetsbaarheden bereiken wat je wilt? Kijk vervolgens in de code of je een van die dingen kunt vinden.
\u2022 Duik dieper in de details van een exploit als je er zeker van bent dat het zou moeten werken, maar hij het toch niet doet. Wat begrijp je onvoldoende\/verkeerd? Basically: try harder!
\u2022 Debug scripts door middel van print statements.
\u2022 Last but not least: Have fun and happy hacking!<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t<\/div>","protected":false},"excerpt":{"rendered":"

Yes! Offensive Security \u2019s AWAE is in b\u00e8ta online beschikbaar en ik ben uitgenodigd om mee te doen! In april is het zover: mijn labtijd gaat van start. Na OSCP en OSWP denk ik voor deze OSWE-certificering een beetje te weten wat ik kan verwachten, maar niets is minder waar. In het eerste hoofdstuk van […]<\/p>\n","protected":false},"author":9,"featured_media":606,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"elementor_header_footer","format":"standard","meta":{"footnotes":""},"categories":[32],"tags":[],"class_list":["post-6603","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-kwetsbaarheden"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t