Od zera do pierwszego 0-daya!

W tym roku konferencji „SECURITY PWNing”, której organizatorem jest Instytut PWN, a Przewodniczącym Rady Programowej Gynvael Coldwind towarzyszyć będą specjalistyczne warsztaty. Dwudniowe szkolenie „Od zera do pierwszego 0-daya! Warsztaty automatycznego wyszukiwania podatności i ich analiza” odbędą się 12-13 listopada w Warszawie. Skierowane do wąskiego grona specjalistów, składać się będą z około 70 ćwiczeń praktycznych przeplatanych sporą dawką teorii i ciekawych case study.

Warsztaty opracowane zostały z myślą o wprowadzeniu uczestników w arkana najlepszych metod i narzędzi służących do automatycznego wykrywania podatności i analizy błędów w oprogramowaniu w praktyczny sposób. Początek warsztatów to zrozumienie technik: analizy binarnej, wyszukiwania różnych typów podatności oraz debuggowania. Uczestnicy poznają techniki do analizy słabych stron aplikacji, pisania gramatyk oraz pozyskiwania korpusów testowych gwarantujących interesujące wyniki. Po zrozumieniu aspektów bughuntingu nadejdzie czas na automatyzację analizy podatności i sposoby debuggowania gwarantujące szybkie znalezienie wadliwych elementów kodu. Szkolenie skupia się na architekturze x86/x64 i atakowaniu parserów (tekstowych, sieciowych, binarnych), fuzzingu sieciowym na platformach Windows i Linux.

Każdy uczestnik warsztatów nauczy się:

• charakterystyk klas podatności i sposobów obrony przed nimi;
• technik automatycznego poszukiwania błędów i doboru najlepszych narzędzi w branży do odkrywania podatności (blackbox, graybox, whitebox);
• podstaw analizy binarnej;
• analizować i automatyzować analizę znalezionych błędów;
• tunigować (sieć, pliki, binaria) i skalować proces fuzzingu na wielu poziomach: fuzzera, systemu operacyjnego i harnessu;
• pisania własnego fuzzera dla wybranego projektu open-source;
• gotowego do wdrożenia podejścia Fuzz-Driven Development;

Warsztaty dedykowane są specjalistom ds. bezpieczeństwa IT, pentesterom, programistom, testerom, badaczom bezpieczeństwa IT, dostawcom rozwiązań w zakresie bezpieczeństwa IT, pasjonatom bezpieczeństwa teleinformatycznego, oraz tym, którzy myślą o karierze w obszarze ofensywnego bezpieczeństwa aplikacji. Osoby biorące udział w warsztatach muszą znać podstawy programowania w C/C++ lub Python, podstawy obsługi systemów operacyjnych z rodziny GNULinux i Windows oraz posiadać własny komputer.

Prowadzącym warsztaty jest Kamil Frankowicz, Senior Security Engineer w CERT Polska, fan fuzzingu oraz nowych metod powodowania awarii programów. Odkrywca ponad 130 podatności bezpieczeństwa i 450+ błędów w oprogramowaniu.