Das war jetzt nicht während der Vorträge eingearbeitet.
Also der rote Totenkopf, den hatte ich tatsächlich vorher drin.
Völlig beweisen. Ja, denn die besten Dank,
dass ich hier stehen darf und einen Vortrag halten darf,
um diese Uhrzeit. Das ist super nett. Ich hoffe,
du hast keine falschen Versprechungen gemacht. Ich wundere mich,
dass noch so viele Leute da sind um diese Uhrzeit.
Auf jeden Fall vielen Dank. Ich bin Security Engineer bei
Imperver. Man hat mir erlaubt eine Folie kurz im Unternehmen
so ein bisschen was
Machen wir es ganz schnell, ich erzähle nicht zu allem was.
Was machen wir? Wir schützen die unternehmenskritischen Daten. Jetzt
nicht nur rein für Web-Applikationen, auch nicht nur DDoS,
sondern auch für Datenbanken und Dateien und Directory-Server und SharePoint.
Das war die Unternehmensfolie. Und vielleicht noch mal kurz die Strategie mit einer kleinen Metapher zu beschreiben,
wenn man sich die Mäuse anguckt und den Käse,
den sie klauen wollen und das Ganze jetzt so ein bisschen ins Unternehmen
hin übertragen und den Käse als die unternehmenskritischen Daten sehen,
dann ist der bisherige klassische Ansatz so,
dass man versucht,
über irgendwelche Mäuselöcher
zu stopfen
Das macht man mit irgendwelchen Firewalls und Petimeter-Security.
Das Problem ist, man merkt das an den ganzen Geschichten,
die ich gleich erzähle, dass das heutzutage nicht reicht.
Es kommt immer wieder mal eine Maus durch oder ein Mitarbeiter
puppt sich als Maus. Daher der Ansatz von dem Perver
, wir setzen uns wie eine Käseglocke auf den Käse.
Also wenn ich meinen Sohn fragen würde, beschützt du den Käse,
führt der auf die Idee kommen, ich setze mich drauf.
Und das machen wir im Endeffekt. Dann kleiner Disclaimer,
allein wegen der gesetzlichen Sache. Das ist kein Hacking-Training hier
. Also falls ich etwas nicht bis ins Detail erkläre,
liegt es vielleicht daran. Noch einen kleinen Witz.
Was haben einen Kreditkartendienstleister, einen Internetgigant und einen IT-Security-Hersteller gemeinsam
So, einige werden es wissen. Ist jetzt kein Witz,
es ist tatsächlich leider so, dass diese gehackt wohnt.
Wenn man sich die Namen anguckt und mal sich anschaut,
wie groß diejenigen sind und wie sicher sie eigentlich sein sollten,
weil sie ja viel Budget für Security haben,
wird man vielleicht feststellen,
dass heutzutage tatsächlich jeder irgendwie bedroht ist und dass die Lage ziemlich groß ist.
Global Payments, wem sagt das was? Wer kann mir erklären,
was Global Payments macht? Oder nein, wer wüsste,
was Global Payments macht, damit sich mehr Leute melden?
Okay, ist ein Dienstleister wie so ein Backbone für bargeldloses Bezahlen?
Also da laufen wirklich von Visa oder Mastercard sämtliche Kreditkanninformationen durchs Netzwerk. Da ist es so,
da wurden Mitarbeitersysteme komprimitiert und die Hacker haben es geschafft,
dort laut erster Pressemitteilung circa, anderthalb Millionen Kreditkartendaten samt aller Daten komplett mitzusniffen.
Das war die erste Pressemitteilung. Wenn man so ein bisschen
googelt und sich die Zeitlinie dieses Angriffs anguckt und was die Pressemitteilung nach ein paar Monaten ergeben haben,
war, dass man davon ausgeht,
dass die Hacker nicht nur die drei Monate im Netzwerk waren,
sondern fast ein Jahr unbemerkt in diesem Netzwerk waren und die sich sogar noch darüber lustig machen,
dass man dort anfing,
eine Datenbankverschlüsselung einzusetzen.
Das heißt, aus ihrer Sicht nichts gebracht hat.
Die fanden das toll, dass die Admins dort irgendwie angefangen haben,
Security zu applien, aber leider die falsche.
Man geht davon aus, 94 Millionen hat sie jetzt gekostet,
an investigativer Arbeit und anstrafen,
bis wann darf ich reden
Gibt einer den Finger? Okay. Wenn was ist,
einfach mir ein Zeichen geben oder auf den Kopf hauen.
18.10., soziales Netzwerk gehackt. Facebook wurde angegriffen.
19.12., Apple wurde gehackt. 23.2. Microsoft wurde gehackt.
Man merkt, die ganzen großen Unternehmen wurden gehackt.
Wie das passiert ist und wie es funktioniert,
erkläre ich später nochmal kurz.
Kostern auf dem Parkplatz extra.
Nee, nee
Ja, 15-jähriger Hacker knackte PCs von 259 Firmen aus Niederösterreich.
Was steckt dahinter, ein kleiner Jugendlicher aus Niederösterreich,
kann man auf die Idee, Webseiten zu hacken,
hat das Ganze ziemlich hoch frequent gemacht.
Innerhalb von 90 Tagen hat er das geschafft, sind es
circa drei Webseiten pro Tag, die er dort geknackt hat.
Diesmal nicht, wegen Profit, heutzutage macht man das meistens wegen dem Gelde,
weil man versucht, da viel Geld mitzumachen.
Er hat es tatsächlich nur gemacht und in einem E-Crime-Foto aufzustrangen.
Dort gibt es Gummipunkte, je mehr Sachen man veröffentlicht dort,
was man geschafft hat, desto höher klettert man in der Hierarchie,
dieses Foto hat über 2000 Anwender.
Und er hat es in den 90 Tagen unter die Top
50 geschafft.
Das einmal zur Motivation
Mit Gamification. Warum geht das alles so? Also das ist eine Folie,
bei der sage ich meistens hier bedinge ich selbst den Vertrieblern
bei in 60 Sekunden zu hacken, nämlich eine Webseite, wie es funktioniert.
Es gibt heutzutage wirklich Tools. Es wird einem alles vorgefertigt geliefert.
Als ich mit Security vor circa zehn Jahren anfing,
wurden Schwachstellen nicht so ganz publik gemacht oder zumindest die Tools dafür,
nur in Sourcecode mit Fehlern veröffentlicht.
Damit nicht jeder daherkommt und das Ganze rausprobiert. Heutzutage lädt man sich fertige Distributionen herunter,
die haben alle Tools mit drin,
man muss nach den Toolnamen in YouTube suchen,
findet dort die tollsten Videos,
dann sucht man sich das mit der besseren Hintergrundmusik aus und hat dann unten vielleicht sogar Notizen zu irgendwelchen Downloads oder Hinweisen,
wie man es vielleicht noch besser macht.
Havage ist ein sehr schönes Tool,
kommt aus dem Idran
Das war wertfrei. Ja. Was macht man damit?
Man fügt oben in der Zeile, Target,
den Link oder die URL zu einer SQN-Jection-Schwachstelle einer Webseite ein.
Wo findet man das? Man nimmt einfach einen Schwachstellenscanner und scannt
eine Webseite nach Schwachstellen ab. Das macht auch Anonymus.
Wir hatten auch Anonymus-Angriffe analysiert und dort haben wir sogar festgestellt,
dass sie zum Teil Kaustenpflichtige Schwachstellenscanner nutzen.
Die haben Acculetics dort in der Geschichte benutzt,
die wir so analysiert hatten. Ja,
und dann fügt man das Ganze dort ein und dann kann
man sich zu seinen Daten klicken und man klickt rechts oben
auf Analyze
Dann sagt man, okay, ohne jetzt ein Stück SQL
zu verstehen. Ich habe ja hier heute höchstwahrscheinlich
sehr viele die Ahnung von SQLs und SQL Injections haben.
Deswegen muss ich ja nicht so viel erklären. Aber jetzt für alle,
die wissen wollen, wie man es attackieren kann.
Man knügt mal auf Betty Beast danach,
aktiviert hier die Datenbank und wählt sich dann jeweils die Tabelle aus,
dann die Spalten aus und sagt dann, gedate on,
die kriegt man hier angezeigt.
Diese kann man nun jetzt in verschiedenen Formaten abspeichern. Ist es jetzt so,
wie hier zum Beispiel das Passwort, vielleicht MD5-Hash,
geschützt abgelegt ist, gibt es oben so einen Schlüssel mit so einem Symbol MD5.
Dort ist die Anbindung an über fünf Cloud-Dienste,
wo man direkt on the flight per Abi-Schnittstelle in der Cloud
den MD5 aus einer Rainbow Table draus lesen kann.
Um den vielleicht zu entschlüssen. Also man merkt,
wie das Ganze funktioniert, ist kostenpflichtig. Es gibt eine
kostenlose Version für MySquell, eine kostenflüssigtige für andere Datenbanken.
Da gibt es auch 24-Stunden-Support, SLAs. Also da sind
richtige Geschäftsmodelle deinen Teil. Und jetzt ist etwas,
was tatsächlich benutzt wird. Es ist jetzt nicht irgendwie ein
Imperver-Tool oder sonst was, sondern es wird wirklich genutzt.
Wenn man bei Heise einfach nach dem Begriff Zyklon B sucht,
findet man einen Artikel, in dem es um die Vorratsdatenspeicherung geht.
Und dass es in Deutschland ziemlich schwer ist,
den bösen Jungs auf die Spur zu kommen und hier haben sie ein Beispiel,
wo sie jemanden aus Frankreich schnappen konnten, dort die Vorratsdaten ein Jahr gespeichert werden.
Und weil er, obwohl er das Tornetzwerk zum Anonymisieren genutzt hat,
zeitgleich mit seiner IP bei Facebook sich eingeloggt hat.
Also hier nochmal ein Hinweis, Facebook-Leaver ausmacht. Ja,
was hat der Zyklon B gemacht? Zyklon B hat das Tool
Havage benutzt und hat damit die Passwörter von 23 Webservern einer
deutschen Partei erbeutet und diese per Twitter und Link veröffentlicht.
War eine ganz schlechte Installation mit sehr vielen Schwachstellen.
Gibt es halt heutzutage sehr oft. Auch schöne Tatsache,
er war erst 14 Jahre alt,
hat mit dem Hacken erst begonnen, wahrscheinlich zwei,
drei YouTube-Videos schon gesehen und hatte einen Internetanschluss seiner Großeltern benutzt
An alle, die Eltern sind, guck mal zu Hause,
was die Kinder auf dem Desktop liegen haben.
Vielleicht kann man da so an einigen Tools so ein bisschen die Hobbys erkennen.
Ja, willkommen im Waffenland. Ich hatte ja schon eine Andeutung gemacht.
Früher war es ein bisschen komplexer, sich damit zu befassen.
Heutzutage kann man da sehr schnell ins Thema hinabtauchen.
Es gibt ganz normale, offizielle Datenbanken für Schwachstellen.
Zum Beispiel Exploited-Dibby, exploiteminus-db.com, glaube ich.
Dort gibt es sogar verschiedene Genrete von Schwachstellen,
die man sich angucken kann. An dem Tag,
wo ich den Screenshot gemacht habe,
waren es 21.000 Schwachstellen,
die dort veröffentlicht sind
Ist so die Sammelstelle. Man kann dort speziell nach Web-Application
Exploits gucken. Und wenn man sich die im Detail anguckt,
ist es sehr schön, denn die sind nicht nur beschrieben
und nicht nur teilweise werden dazu Tools geliefert.
Da werden sogar Dogs angeboten. Google Dog oder Shoudan Search Dog
. Was ist eine Google Dog mit einer Google Dog?
Liefere ich einen Strink, den man in Google eingeben muss,
um potenzielle Opfersysteme direkt zu finden?
Ich verstehe den tatsächlichen Mehrwert nicht,
wenn ich nicht auf der bösen Seite bin von dieser Suche.
Weil wer wird sich da selber vielleicht mit suchen? Aber damit,
da juckt es doch einen in den Fingern,
wenn man sieht, oh, hier gibt es eine Schwange mit,
da kann ich vielleicht viel Böses machen und dann finde ich auch gleich potenzielle Opfer.
Was hält mich jetzt davon ab, das nicht anzuklicken und auszuprobieren
Shodan ist noch schöner, das ist eine spezielle Suchmaschine,
mit der kann man nach so Gedrehten im Internet suchen.
Also Geräte, die übers Internet verfügbar sind,
wie Windkraftanlagen, Stromwerke, Webcams, Router.
Einfach mal nach Shodan suchen, da findet ihr bestimmt tolle Beispiele.
So möchte ich aber Exploits, die sonst keiner kennt,
nämlich Zero Day Exploits, also Schwachstellen,
die dem Hersteller noch nicht bekannt sind oder für die es noch kein Patch gibt.
Da gibt es so zwei Arten der Bedeutung,
muss man halt gucken, wie man es definiert.
Aber es ist halt eine Schwachstelle,
die vom Tag heute nicht gepatcht ist.
Das heißt,
man kann diese Schwachstelle überall attackieren
Zum Beispiel das DAX-Netwurm hatte als erster Wurm 5 Zero-Day-Fachstellen.
Die eine, worüber er wahrscheinlich in das idranische Udan-Anreicherungsprogramm eingedrungen ist,
war wahrscheinlich die USB-Geschichte, wo man eine Verknüpfungsdatei infizieren konnte.
Die war für alle Windows-Versionen gültig. Man konnte damit sämtliche
Windows-Versionen attackieren. So, solche Schwachstellen sind sehr wertvoll.
Man kann damit sehen, was man damit machen kann.
Und somit werden die auch gehandelt. Da gibt es
den Shop, gibt es jetzt nicht mehr.
Sonst würde ich das Ganze so ein bisschen unkenntlicher machen.
Da gibt es nicht die Auktionshäuser, wo damit gehandelt wird
mit solchen Zero-Day-Attacken, ja?
Was ist denn so
eine Zero-Day
Nee, das steht jetzt hier nicht, aber richtig gute,
sagt man, 50.000 aufwärts, also die richtig guten.
Und wenn man auf der Blackhead zum Beispiel ist oder in der USA auf der DevCon,
da laufen auch manchmal Leute im Anzug drum,
ohne Namensschild, ohne nix,
und die haben eine Visitenkarte, wo auch nichts draufsteht,
außer so eine E-Mail-Adresse wie Zero Day Broker at yahoo.com oder so.
Also da gibt es richtige Anbieter, die als Vermittler zwischen
höchstwahrscheinlich regierungsnahen Unternehmen und den Hackern mit diesen Schwachstellen handeln.
Das ist ein, da gibt es sogar schon Zwischenhändler,
nicht mehr direkt
So, ich habe gesagt, wir kommen wieder auf
die Angriffe zurück mit Global Payments und den anderen Sachen.
Global Payments, wann Comptromise Insider-Angriff. Das heißt,
man hat wirklich Mitarbeitersysteme, die privilegierte Zugegriffe haben auf sensible Daten,
die hat man komplimentiert. Es gibt natürlich auch den Malicious Insider,
wo ein Mitarbeiter einfach motiviert ist, dadurch,
dass er schlecht bezahlt wird,
gemobbt wird oder vielleicht eine Kaffee nicht so gut in der Firma ist.
Auch da an einem Angriff mit teilzunehmen oder diesen zu unterstützen.
Zusammengefasst kann man hier sagen,
ein Prozent aller Mitarbeiter im Unternehmen können vielleicht bösartig sein,
gewollt bösartig
Wenn es mehr als ein Prozent sind, würde ich mal
vielleicht überlegen, ob man etwas an der Unternehmenskultur macht.
Vielleicht ein Fitnessstudio irgendwie ins Gebäude setzen oder irgendwie etwas zum Ausgleich.
Aber 100 Prozent aller Mitarbeiter, die an IT-Systemen sitzen,
die können natürlich von der Comptomize-Geschichte betroffen sein.
Manchmal reicht das wirklich aus irgendeinem einfache System als Sprungbrett zu nutzen.
Warum macht man das Ganze? Ich habe gesagt,
heutzutage wird das meistens eher dafür gemacht oder Daumen gemacht,
um da wirklich Geld aus der Sache rauszuholen. Der klassische Weg,
was die Leute sich immer noch heutzutage oft vorstellen,
ist, dass der böse Hacker in einem dunklen Zimmer
mit einer schwarzen Konsole und Grüner Schrift durch die geheimnisvolle Fiwall
den Server hackt
Das macht keiner mehr. Es wird so nicht betrieben,
ganz, ganz selten, dass so etwas noch irgendwo aufgeht.
Denn die Datencenter und diese Multimillionen beschützten Geschichten sind es halt,
wie gesagt, gut beschützt.
Es dauert zu lange, dort durch die Firewall durchzukommen.
Was macht man? Man nutzt den einfachen Desktop-User oder den Admin.
Die haben nämlich den Zugriff auf die gleichen Daten und da will ich ja ran.
Also warum vorne durch den beschützten Eingang, wenn hinten die
Tür offen steht? Ich habe mal bei einem Pen-Test,
als ich hier draus ging, mein Handy in der Firma vergessen,
also dort, wo ich die Überprüfung gemacht habe,
es war Feierabend, vorne war der Frontesk zu.
Ich kam nicht rein,
ich wollte auch mein Handy haben und ihr habt gesehen,
die Leute kamen durch so
eine Feuerschutztür hinten raus
Klappt aber immer zu. Was habe ich gemacht? Habe mir einen Karton genommen,
habe mir den vor das Gesicht gehalten,
dass man mich nicht erkennt und habe nur,
als jemand rauskam, kurz Entschuldigung getrufen und ich kam rein.
Also manchmal reicht das wirklich aus, andersrum zu denken und
von einer anderen Ecke für einen Angriff zu kommen.
Jetzt überlegen wir uns, wir wollen jemanden angreifen,
wir suchen jetzt nach Opfersystem.
Was kann man machen? Man nutzt die sozialen Netzwerke,
soziale Netzwerke sind was ganz Tolles, ganz Spannendes.
Ich denke, jeder hieß sich irgendwie ein Xing,
sonst käme er wahrscheinlich nicht so sehr auf den Webmontag zu.
Hier haben wir mal ein Pendant mit LinkedIn.
Es gibt dort eine erweiterte Suche. Man kann hier
nach Person mit einer speziellen Stellenbeschreibung suchen
Wenn ich jetzt die Daten einer Datenbank eines Unternehmens will,
attackiere ich doch den Datenbangab mit.
Der hat doch Vollzuggegriffe. Also suche ich nach DBA
und als Beispiel hier Bank of America und dann bekomme ich
hier sogar den Oracle und den Cybers DBA.
Es ist spannend, wenn ich den Vortrag halte,
sind die meisten holen das Handy draus und fange an zu gucken,
wen sie aus dem eigenen Unternehmen da finden.
Das ist so ein bisschen interaktiv. Man kann das aber
auch anders machen. Eine andere Form von Smart Bombing.
Und zwar, oder erklären wir hierzu etwas,
wer öffnet Fakt heute keine E-Mail von einer fremden Person,
die einen Anhang enthält?
Veröffnet das nicht
Ich wette, die Hälfte wird gleich nicht mehr aufheben.
Wer hat schon mal E-Mails von Headhuntern geöffnet?
Nur die ich kenne. Man kennt Allethuntern, genau,
die sind ja auch immer zum Vater-Takter. Die wollen zufälligerweise
, ja. Ich habe auch meine Wiese, nein.
Das ist das Spannende, also man sagt eigentlich,
man öffnet nichts von fremden Leuten. Passt der soziale Aspekt
daran irgendwie? Oder ist es einfach aus einer anderen Richtung?
Dann fangen Leute an, doch so etwas zu öffnen.
Wenn es ein Headhunter ist und der gerade jetzt dem in
die Sasse schreibt hier, wir suchen jemanden,
der marketingtechnisch unsere veranstaltungstechnisch was Gutes macht.
Wir sind neu auf dem Markt, wir versuchen nur zu etablieren,
deswegen zahlen wir anfangs nur 200.000, aber ich hoffe,
das ist okay für dich.
Stellenbestreibung ist im Anhang als PDF. PDF ist ein schönes
Format, wird sehr oft für Angriffe benutzt.
Da klickst du drauf
Also auch ich öffne solche E-Mails, außer die kommen von jemandem von euch hier.
Oder man nimmt Facebook, wert schon mal in Facebook Werbung geschaltet?
Ach doch, ein paar, schön. Wie schaltet man
Facebook in Facebook Werbung? Also ihr merkt das wahrscheinlich,
wenn irgendwelche Interessen dort tauschen,
dass rechts auf der Werbeseite ganz viel ziemlich Gezieltes auftaucht.
Bei mir natürlich nur Security. Man klickt ja auf Get Started,
sieht dann die Möglichkeit, einen Link zu hinterlegen,
der dahin verweist, wo jemand hingeführt werden soll,
wenn er auf die Werbung klickt.
Hier hat ein Student die Idee,
sich bei Google zu bewerben.
Also nimmt er
den Link zu seinem LinkedIn-Account
Dann kann man eine Suchmaske hier definieren, wonach man gezielt sagt,
wer soll denn diese Werbung angezeigt bekommen? Zum Beispiel Leute,
die bei, die etwas mit Webmontakt zu tun haben.
Also man kann da wirklich gezielt Unternehmen raussuchen. Auch die
Stadt angeben. Er sucht jetzt in der USA Mitarbeiter bei Google.
Also damit kann man wirklich gezielt bestimmte Unternehmen einfach nutzen.
Dann braucht man einen tollen Werbetext und ein tolles Foto.
Meistens ist es besser, ein iPad da irgendwie zu platzieren,
anstelle 1000 Euro. Denn irgendwie greifen die Leute zum iPad
, vielleicht auch noch einen tollen Text.
Das ist heutzutage heutzutage irgendwie nur noch heute in Hamburg ein Preisfehler.
Gebt mir ein iPad, wenn man eine alte Kaffeemaschine abgibt,
kriegt man das iPad zum halben Preis oder so.
Also man muss irgendwie was Tolles finden,
wo die Leute vielleicht darauf klingen
Ich hatte schon die Idee für unser HR,
damit Leute vom Mitbewerb abzuwerben. Wäre doch mal was.
So, was macht man dann? Also man sieht rechts
oben hier auch, wie viele Leute das betreffen kann.
Also man sieht damit, wie genau der Filter wird.
Dann gibt man an, wie viel Budget hat man?
Wie groß ist der Geldtopf, den ich dafür verwenden will?
Man gibt seine Bezahldaten, eins seiner Kreditkarteninformationen, bekommt danach eine statistische Auswertung.
Damit kann ich Smartbombing betreiben. Wirklich gezielt Leute dazu bringen,
eine Webseite zu öffnen, die vielleicht sehr bösartig ist.
Ja, was macht man dann? Was ist mit AV? Ich denke mal,
spätestens nach Stuxnet, Flame und diesen ganzen Schädlingen,
die teilweise aus Regierungshänden höchstwahrscheinlich stammen, Vermutung,
merkt man, dass AV nicht mehr reicht.
Also es gab sehr viele Schädlinge, die über ein Jahr irgendwie
in The Wild waren und die keiner bei sich erkannt hat.
Es gibt sogar eine richtige Industrie, die sich mit nichts
anderem beschäftigt, als wie umgehe ich AV.
Und danach muss man nur googeln, AV-Bipes, einfach danach mal googeln.
Dann findet man so Anleitungen wie Writing Cryptor, BuyPassing,
Anti-Virus 4 Beginn aus Mit-YouTube-Video.
Wie versprochen, Totenkopf hoch. Haben wir? Haben wir
? Ja. Achso, okay. Schön. Ja,
genau. Aber nicht droht, muss ich mal ergänzen
Genau. Und was sind diese Krypta?
Krypta sind im Endeffekt nichts anderes als Echtzeitpacker,
wo man einen Schädling, der bekannt ist, durchschießt,
dann wird er dadurch gepackt und der AV-Hersteller kennt die Packroutine nicht.
Und dann ist das auf einmal was Unbekanntes.
So einfach kann es funktionieren. Ich hecke gerne für Testzwecke
mit Metasploit. Auch für Metasploit gibt es Anleitungen.
Fully undetectable Backdoor-Generator for Maintasploit, hier mit dem PDF-Beispiel.
Und dann liefern die gleich als Nachweis dort die Möglichkeit,
wie man es, wie man sich so ein PDF gestellt hat,
das nicht erkannt wird und laden das bei virus toto.com hoch,
wo über 40 AV-Hersteller mal eben drüber scannen
Als Ergebnis, vier haben es erkannt,
der Rest halt nicht, dann ist die Wahrscheinlichkeit ziemlich hoch,
dass das Opfer, was die E-Mail,
was die Stellenbestrangung für die 200.000-Euro-Stelle öffnen will,
dass die höchstwahrscheinlich davon betroffen wird.
Wer findet Krossheitskripting? Ist was sehr, sehr Gefährliches?
Wir haben hier sehr viele Web-Entwickler, richtig, ja,
ne? Krossheitskripting ist etwas,
was ich so meistens irgendwie offen messen sehe als uralten Hut,
wenn jemand irgendwie Krosshaltskripting eine Live-Demo macht, steht dann Cookie und das war's.
Und das ist so das, was die meisten darunter sehen.
Oder es kommt halt dieses Pop-up mit Alert
Man kann das aber zu viel gefährlicheren Sachen benutzen.
Ich erkläre trotzdem auch, wenn es die meisten hier schon
kennen, was Knossheitskripting ist. Knossheitskripting ist nichts anderes,
als dass ein Angreifer auf einer legitimen Webseite fremde Inhalte hinterlegt.
Diese Inhalte können so böse sein,
dass sie nicht nur ein Cookie stehlen,
sondern vielleicht auf dem Endpunkt Schwachstellen missbrauchen, um dort Vollzuzugriff zu erhalten.
Das, was Vergleich einmal machen wird. Diese Angriffsform,
insgesamt nennt man Waterholing, so wurde Microsoft-Gag, sowohl Twitter-Gag,
so wurde Facebook-Gag. Man hat nicht durch die Firewall den Server-Gag,
sondern es haben sich Mitarbeiter einfach beim Surfen auf Seiten infiziert,
mit sogenannten Rive By Downloads
Watt um Waterhole? Waterhole ist das Wasserloch,
die Oase in der Wüste, wo die meisten Opfertiere sind.
Was haben die angegreifbar gemacht? Die haben geguckt,
ich will jetzt bestimmte Unternehmensgrößen attackieren,
wo finde ich denn Mitarbeiter von denen woanders im Internet,
wo vielleicht nicht so viel Web-Applikationsschutz ist, was waren es?
Es waren die Entwickler von. Also hat man Entwickler von
geknackt und infiziert. So kann man ins Unternehmen.
Fangen wir mit dem taktischen Teil jetzt ein. So,
ich habe hier drei Maschinen vorbereitet, einen Web-Server mit einer Webseite,
so ähnlich wie wir es eben schon bei Mittwebbewerb gesehen haben,
auch mit vielen schönen Schwachstellen
Dann habe ich ein Backpack-Linux, was man so drunter laden kann.
In der neuen Version heißt es jetzt Carli. Da habe ich
das Metasploit Famic schon mal gestartet und habe ein klassisches...
Damit man das nicht verwechselt. Also wenn ich jetzt
so springe, weiß jeder, wo wir sind.
Genau, das ist jetzt das, der ahnungslose Admin davor.
Okay. Was haben wir jetzt? Wir hatten gesagt,
wir haben einen Webshop. Schauen wir uns den Webshop einmal
an. Das ist der Shop, wo man Bücher,
CDs und alles Mögliche kaufen kann,
teilweise ziemlich alte Sachen
Man kann in diesem Shop sich anmelden, wie hier rechts oben.
Und dann kann man Kommentare hinterlassen. Und das ist jetzt
der Punkt, wo hier Crossfit-Cripting möglich ist.
Da werden die Eingaben nicht maskiert,
nicht überprüft und man kann einfach JavaScript-Code hinterlassen,
da dann beim Laden der Webseite durch das Opfersystem komplett vom Browser interpretiert wird.
Also wie gesagt, man lädt, man startet das Metasploit-Famook,
lädt ein zusätzliches Modul, nämlich das Knossheit-Scripting-Framework.
Also was sind diese Frameworks? Das sind Baukästen,
die kann ich auswählen, ich nehme den Angriff,
das geht auf das Opfer und soll diese böse Sache durchführen.
Also man kann
das Modul lasse ich zusammenbauen
So, nachdem man das gemacht hat, erstellt man dadurch
einen Link oder einen JavaScript-Tech-Script, Dex JavaScript, denkt,
die meisten können mir das besser erklären als ich ihn.
Das verweist auf meine angegreifte Maschine und lädt Inhalte alle fünf Sekunden nach.
Also ich habe hier nicht nur ein Cross-Site-Script,
was ich irgendwo einmalig hinterlege, sondern das ist,
wie der Fuß in der Tür um ins Haus an den Käse zu kommen.
Denn da kann ich immer wieder was anderes durch diese Lücke
in der Tür reinwerfen. Das werden wir jetzt einmal machen
. Wir hinterlegen diesen Kommentar auf dieser Webseite,
nehmen wir mal jetzt dieses tolle Buch
Ja, der Kindle ist zu teuer, ich weiß.
So, ich habe hier vorne eine Raute, damit man gleich etwas sieht.
Also, dass man nicht nur nichts sieht. So,
hab's jetzt, submitted. Wo sind wir jetzt? Beim Opfersystem. So,
wenn das Opfer jetzt auf diese Seite verlinkt wird wegen irgendeiner Nachricht,
hier, guck mal,
dafür ist die Stellenbeschlagung für die 200.000-Euro-Stelle oder derjenige eh auf dieser Seite surft,
kann es sein, dass der die Seite lädt.
Und man sieht hier nur toll und die Traute.
Also komplett der JavaScript wurde interpretiert und vom Browser ausgeführt
Wenn wir jetzt wieder aufs Angegreifer-System gehen, kann man jetzt mit
XSSF Victims sich die Opfer anzeigen lassen. Und man sieht
hier Opfer Nummer 23 ist noch in der Session aktiv.
Das wäre hier in der Tabelle so beschrieben. Ich habe
das schon öfters durchgeführt. Und jetzt, was haben wir jetzt?
Also wir gehen wieder von dieser Metapher mit dem Haus und dem Käse.
Gehen wir mal davon aus. Was ich jetzt gemacht habe,
ist, dass sich durch dieses JavaScript es geschafft hat,
Fuß in die Tür zu bekommen.
Aber ich bin noch nicht an den Daten verdrannt.
Jetzt muss ich irgendwie was finden, um die Tür ganz aufzubrechen.
Und dafür brauche ich ein bisschen mehr Rechte auf dem System.
Also lade ich eine Schwachstelle nun hinein
Wir nehmen jetzt einfach etwas Betriebssystemunabhängiges, deswegen Multi-Browser,
weil es eine Browserschwichtstelle ist und werden nun ein Java-Applet hineinpflanzen.
Danach time Java-Applet ist, das muss man bestätigen.
Es könnte auch eine PDF-Schwachstelle sein oder irgendeine Internet-Expert-Zero-Day-Schwachstelle,
die nicht gepatcht ist, so wie es vor zwei Wochen
jetzt ungefähr war, dann würde gar nichts aufpoppen.
Dann wird direkt die Schwachstelle ausgeführt werden. So,
jetzt müssen wir also, dieses Java-Applet ist nun die Granate,
die ich jetzt durch diesen Türspalt ins Haus werfe.
Jetzt muss die Granate ja eine Füllung haben,
es kann ja eine Blendgranate sein,
eine Splittergranate,
das nennt man dann Payload
Man merkte, ich arbeite oft mit Vertrieblern, denen ich das erklären muss.
Keine bösen Mails an meine Kollegen, bitte.
So, das heißt, die Payload haben wir ausgewählt.
Und jetzt kann man sagen, mit Set-Options,
was kann ich hier noch alle setzen?
Ich muss jetzt dem System bekannt machen, was mein Angetreifer-System ist,
damit du weißt, wohin es sich zurück verbinden soll.
Und wir ändern mal jetzt eine Sache, nämlich den Namen des Applets.
Das nennen wir jetzt einfach mal Otto. So,
wir ziehen den Stift an der Granate, damit die Granate scharf ist.
Und jetzt müssen wir die Granate reinwerfen.
Also, unter Job sieht man nun die Granate.
Man kann hier mehrere Angetriffe
parallel steuern
Ich habe jetzt eine Granate vorbereitet, die unter der Job-ID 0 läuft.
Und mit XSSF-Fiktom sehe ich die Opfer-Opfer 23. Okay.
Jetzt sage ich, nimm Granate, wirf auf Opfer, 23.
Also XSSF-F-F-Exploit, Opfer 23, Granate 0. So, das
ist der Angriff. Da muss man einen kleinen Moment.
Vatermittags dort ja in diesem 5-Sekunden-Intervall nachgeladen wird. So,
und wenn man jetzt aufs Opfer guckt,
meldet sich Otto und will hier irgendwie was mit Applet und so.
Wie gesagt, wäre das eine SEO-Day-Schwachstelle, wird die zu etwas nicht führen.
Also wenn da so irgendwie so ein PDF dort direkt geöffnet werden würde,
wird der Browser vielleicht abstürzen, ich bin dann schon drauf.
Hier ist das Ganze halt mit einem Klick
noch verbunden
Selbst mit ein bisschen Social-Engine kriegt man es meistens hin,
dass die Leute draufklingen.
Dann freuen sie sich, dass die Seite immer noch geht.
Hier ist es jetzt so, ja, es ist so.
Oh, Moment, und kenne ich nicht.
Seite geht noch. Jetzt sehen wir hier Session 1 Open.
Ich habe ja gesagt, hier kann man mehr Dritte Angegriffe verwalten.
Es gibt hier kein Tool, womit man sich Notizen machen kann.
Das muss man dann im Text-Editor um den Farben nicht zu verlieren.
So, jetzt mit Sessions minus i. 1 gehe ich in
diese Session rein. Ich bin auf dem System
jetzt komplett drauf
So, mit Screenshot, lasse ich mir einen Screenshot zeigen,
damit sie mir auch glauben. Sie sehen, ich bin drauf.
Was haben wir denn? Wir wollen einen Keylogger starten.
Keys kennen unterstrich Start, startet ein Keylogger. Wir gehen
aufs Angegreifer-System, geben hier oben mal ein Dom Dombrowski.
Dann geben wir hier mein supersicheres Passwort ein.
Mit vielen Sonderzeichen. Wir sagen nun hier,
Keys kennen unterstrich Dump und holen uns die Tasteneingaben.
Also man kriegt alles mit. Dann gibt's,
man kann Dateien hochladen, Dateien runterladen, Dateien manipulieren,
man kann einen Zeitstempel von manipulierten Dateien wiederum manipulieren.
Man kann die Event-Lock löschen, um Spuren zu verwischen.
Man kann sich routen ins interne Netz
von dem Mitarbeitersystem auf andere Netze
wiederum auch bauen
Also das ist erst der Einstiegspunkt. Eine sehr schöne Sache,
die ich heute nicht in die Tiefe erklären möchte,
aber die es wert ist, bei YouTube mal nachzugucken.
Heißt Pass The Hash, der Pass, der Hash-Angriff ist nichts anderes,
als dass man ein sicherheits Feature und Windows missbraucht.
Wie ist das in Windows,
wenn man in der Firma sitzt mit seinem Admin-System und auf einen Fall-Server
mit den super wichtigen geheimtechnischen Zeichnungen meiner Ross Barry Peer-Anlage,
dem Smart-Kritt-Meter-Grät, dort darauf zugreift,
ist es ja meistens so,
dass man sich als Benutzer authentisiert.
Man muss sich aber auf diesen Fall-Server nicht nochmal authentisieren.
Das passiert als Single-Sign-On, man hat ja an seinem Windows
sich mit seinen Benutzern Wir hatten ja einmal angemeldet, was macht Windows?
Speichert die im Cash? Da ist es in der Self-File. Und das Tolle ist,
ganz viele Unternehmen haben immer so einen lokalen Admin,
mit dem alle Systeme, Unternehmen installiert wurden.
Da ist das Passwort und alles überall gleich.
Man könnte jetzt dahergehen und dieses Kryptische dahinternehmen und ist mit
einer Rainbow-Table als Cloud-Service irgendwo knacken gegen 16 Dollar.
Oder selber eine Rainbow-Table erstellen und das damit machen.
Oder man lässt es. Denn in Windows ist es jetzt so,
dass wenn man sich gegen einen Fallserver authentisiert,
man ja nicht das Klartext-Passwort über das Netzwerk übermittelt,
ist ja unsicher
Das nimmt man, man nimmt den Hash und authentisiert sich mit dem Hash.
Das ist PES, The Hash. Man muss den Hash nicht mehr knacken,
man nimmt den einfach und kommt nun auf File-Server.
Sind es nun aber andere Admin-Rechner? Weil ich habe jetzt gemerkt,
das ist eher der faule Admin,
dort habe ich zwei andere, die vielleicht fleißiger sind,
nehme ich den lokalen Admin-Hash und authentiziere mich mit dem Tool PS Exec,
mit dem Hash als Passwort einfach an den anderen Maschinen.
Also man merkt, man kann wirklich von einem System aufs nächste
springen im Unternehmen und kann dann auf Datenbanken und andere Sachen zugreifen.
Und das alles durch eine Web-Schwachstelle. Ich versuche noch eine Sache,
für die muss ich immer auf mein Spicksell gucken.
Wenn wir jetzt aufs Opfersystem gehen, haben wir hier so
ein paar Tools
Wenn uns alles, wenn SCP? Schön. Speichert jemand
von euch nicht das Passwort Arm hoch?
Wer speichert das Passwort in Win-SCP? Die werden in Klartext
nach Reggaespy abgelegt. Jetzt muss ich kurz in meinen Spickzettel
gucken. Wir haben ja noch Zeit.
Klein Moment
So, Windows, Gay Far Credentials, Venesseka.
Also da gibt es auch Skripte für,
nachdem ich drinnen bin, noch mal ein paar Sachen machen.
So, das machen wir jetzt. Run, Post.
Vielleicht klappt es jetzt nicht. Jerus Post. Windows,
Gay Far Credentials. Wenn man jetzt guckt,
was man hier alles klingen kann, sehr viel,
sehr schönes,
Jetzt sagt man Session 1,
wir hatten ja eben die Metapreta Session 1,
so und dann sagt man Exploit, wenn nicht alles jetzt richtig gemacht habe,
zieht es jetzt mal eben aus dem Opfersystem, also Reguestry,
die Daten zu meinem kritischen Server, nämlich dem Web-Server,
mit dem Benutzernamen Ruth und dem Passwort Ruth 12.
Auch an alle der Hinweis, alle,
die ihre Zugangsdaten zu eBay Papel und so einen Browser speichern,
das ist das erste,
was Schädlinge rausziehen und dann auf irgendwelchen Shops verkaufen,
auch da einfach mal aufpassen
Soviel von meiner Seite. Vielen Dank nochmal,
dass ihr so aufmerksam wart, trotz der späten Stunde.
Und ich hoffe, man sieht sie irgendwo mal.
Dankeschön. Ach so, gibt's Fragen? Genau, Fragen
. Gibt's noch Fragen oder seid ihr jetzt alle deprimiert?
Du hast eine Frage,
ich komme
Das war jetzt, glaube ich, alles auf Windows bezogen, oder?
Wie ist das beim Mac? Da funktioniert das doch aber
sicherlich dann genauso. Ich hörte mal die Gerüchte,
das geht nur mit Windows, aber das interessiert mich einfach mal,
ob das auch mit Mac eben halt möglich ist.
Also gezielte Angriffe, wenn man ein Unternehmen gezielt angegreifen will,
geht es eigentlich Betriebssystem unabhängig.
Es gibt auch für den Mac mittlerweile Schädlinge.
Bereit gestreute Sachen passieren momentan auf dem Mac nicht,
weil es noch nicht genügend User gibt oder es sich noch nicht lohnt, unternehmenstechnisch.
Aber da gibt es auch schon viel. Mir hat jemand
mal ein Gigabyte an Schädling von Mac schon mitgegeben.
Und Schafer-Applette ist etwas Unabhängiges, also generell vom
Von der Art her. Genau. Okay, ist noch
eine. Ich kriege das hier zum Tool auch.
Nein, gar nicht. Also ich benutze das,
weil es ist halt cooler, ne, grüne Schrift und hier und da.
Dafür einfach mal googeln, Amitage, Amitage geschrieben,
das ist ein Frontend und dann klickt man sich auf einen Rechner
und von dem versucht dann alles automatisch die anderen Rechner und dann klickt man sich bis zur Datenbank durch.
Benjamin, das ist komplett automatisierte Tools.
Ja, wenn du mal die E-Mails schon nicht willst.
Wir haben noch eine Frage hier. Ja,
das ist, wie du schon sagst,
das ist ein Problem in der gezielten Atakus des A-Plattform unabhängig,
aber Was mache ich denn als Back... Best Practice und meine Mitarbeiter zu schulen,
zu sensibilisieren.
Weil, wie du schon sagtest, jeder klickt irgendwie,
boah, fast jeder irgendwie Mails von einem Headhunter oder sonst was.
Oder 0815 Beispiel für eine Social Engineering basierte Attacke.
Ich falte die E-Mail-Adresse oder den Namen irgendetwas mit.
Oh, ich falte die E-Mail-Adresse oder den Namen irgendeines Mitarbeiters
nach dem Motto, öh, für Präsentation morgen.
Guck das doch bitte einmal durch. Zack, bin ich im System.
Aber wie kann ich denn wirklich reell mein Team an Leuten,
die im schlimmsten Fall einfach mal nicht sonderlich versiert sind,
wirklich sensibilisieren und Schulen.
Ist nicht nur tun,
sondern es regelmäßig tun
Es reicht ja nicht nur Sensibilisierung durchzuführen,
sondern man muss sich tatsächlich jedes halbe Jahr laut Statistik durchführen.
Ein Beispiel war mal so ein Pantest, ich habe im Forting-Leben
mal bei einem Security-Distributor gearbeitet und dort in allen möglichen Rollen.
Da war es so, dass wir als stumpfe Idee,
weil der Admin sagte, meine Mitarbeiter,
die klicken ja nicht auf wilde Sachen und so,
die machen sowas nicht.
Wir haben an das gesamte Unternehmen damals eine E-Mail geschickt mit
einem Batch-Script, was in der E-Mail dran war.
Und das Batch-Script hat damals nichts anderes gemacht als Net-Message.
Also quasi über Swindows einfach ein Pop-up.
Auf die IP des Admin-PCs mit Hello.
Und wir haben in die E-Mail den Text reingeschrieben,
bitte nicht das Batch-Script
Ausführen. Der Admin war genervt, er konnte nicht arbeiten,
weil ständig diese Pop-ups von den Mitarbeitern kamen.
Und man sah auch immer, von welcher IP man wusste direkt,
wo man hinlaufen kann und dann... Ja gut, das heißt,
also die effektivste Lösung, die ich als Admin daraus ziehe,
ich muss in meinen Mitarbeitern dann so konsequent auf die Finger hauen,
bis sie irgendwann gar nicht mehr machen.
Kaffee reglementieren oder so. Ich meine, es ist,
ich sag mal, einfach mal einen blöden Spruch,
die faule Seite des Admins,
das ist ja so schon recht interessant,
wenn dauernd Leute ankommen,
darf ich darauf klicken,
darf ich
darauf klicken
Was tue ich gegen das Beispiel mit den Devices zum Beispiel?
Smartphones. Smartphones sind das beste Beispiel, wo sich Leute
dauerhaft in anderen Netzwerken aufhalten, zum Beispiel in dem hier.
Also nicht nur Smartphones, sondern generell fremde Geräte im Netz,
welches Unternehmen hat bei sich wirklich komplett eine gute Nacktlösung,
so als Beispiel, jetzt unabhängig von dem, was unsere Firma macht.
Es gibt, für draus Barry P,
gibt es komplett Carly, die Spectrack als fertige,
fertiges Image für die SD, da muss man nichts konfigurieren,
man lädt das Image direkt auf die SD,
bootet es hoch und hat alles, was ich hier gezeigt habe, da drauf.
Und dieses kleine Gerät drama nur irgendwo beim Kunden,
wenn man mal so ein Produkt vorstellt,
wie irgendwie ein DDoS-Schutz oder sonstige,
könnte man einfach irgendwo an der Netzwerkdose anklemmen.
Es gibt sogar einen Anbieter, der bietet einem ein Netzteil an.
Da kann man sich Aufkleber drauf machen, die dann wie Empervar,
Cisco, F5, Radware oder sonst was aussehen.
Da gibt es sogar ein Label-Tool für, damit die Aufkleber
realistisch aussehen. Und das hat unten einen Mann Stromkabel.
Und einmal ein Erd 540-Anschluss. Und wenn das irgendwo im Serverraum
dort im Kabelbaum irgendwo unten drum baumelt, das sieht keiner.
Und in diesem Gerät ist eine, kann man eine SIM-Karte
reintun, um eine 3G-Bedrückung ins Internet aufzumachen.
Das heißt, man ist dann per UMTS,
an der gesamten Pedemeter-Security vorbei,
direkt im Netzwerk
Traurig, aber wahr. Ja, das gibt es bestimmt
bestimmt ganz oft. Und ich habe das noch nicht mal
selber. Das ist noch zu teuer. Ja genau,
wir verlosen ja gleich nochmal drei, ne? Nee,
das Brosberry P habe ich, sondern das,
was wirklich wie so ein Netzteil aussieht, das dann nochmal.
Ja, besten Dank. Okay, haben wir noch eine Frage.
Ansonsten da. Du speicherst sicher deine Passwörter nicht im Browser,
aber wie verwaltest du deine Passwörter? Ich habe ein Passwort-Verwaltungstool,
wo ich wieder um den Container, wo es drinnen liegt,
auch nochmal in einem verschlüsselten Container ablege mit verschiedenen Passwörtern.
Ja, ist nervig. Es dauert halt immer,
bis man irgendwie was draus holt,
aber ich mache das so
Aber auch da, wenn ein Keylogger irgendwie am Start ist,
kriegt er ja alles mit. Es gibt so ein schönes Sprichwort.
Nichts ist sicher. Und selbst das ist nicht sicher.
Und ich glaube, das ist so der Punkt,
an dem wir uns hier alle festhalten können.
Wir sollten alle ein bisschen genauer schauen,
was wir da aufmachen, worauf wir klicken,
welche Pop-up-Meldungen wir bestätigen und mit okay sagen, ja,
oh, super, die Webseite geht noch.
Letzter Hinweis, ich bin ein Xing, wer möchte bitte vernetzen?
Ich versende auch keine Stellenbeschreibung. Oh, ich sehe gerade
wieder hier Totenköpfe. Ich habe auch einen in der Tasche
. Also es ist heute irgendwie sehr wild.
Ich glaube, einfach Sidescripting. Ihr kriegt,
ihr kriegt den Vortrag als PDF wahrscheinlich
Ja, ja. Ich werde den am wenigsten gedownloadeten,
ich werde wahrscheinlich dann am wenigsten gedownloadeten Vortrag haben dann.
Also ich denke, es wird jetzt gerade generell
überhaupt kein PDF mehr runtergeladen von unserer Seite.
Dann mach mal einen Punkt. Auch ein ganz schöner Trick.
Es kann zum Beispiel Trojaner.exe, dann macht man halt Trojaner.pdf,
macht 100 Leerzeichen da rein und dann Punkt Echse.
Und das Schöne ist in Outlook und so,
man sieht gar nicht diesen langen Annang,
sondern man sieht immer nur den Kurznamen.
Und dann denkt man, das wäre ein PDF,
funktioniert auch wunderbar. Geht das eigentlich noch unter Windows,
dass man sagt... Mit den Doplex? Mit den Doplex
. Ja, funktioniert immer noch. Ich glaube ja,
je nachdem, wie man die Ansicht konfiguriert hat.
Es wird bei keiner Datei angezeigt außer bei der,
da sollte man skeptisch werden normalerweise.
Ja, strange
Punkt pdf.exe. Man benennt eine Exrum,
dass man Punkt pdf.exe sagt und normalerweise in Windows,
wer hat immer Punkt Exit,
Punkt Butt oder so nicht angezeigt, das letzte Mal ausblenden.
Und dann hat man auf einmal einen Punkt Pdf und das Icon
sieht auch noch aus wie ein Pdf und viele klinken dann drauf.
Wundern sich nicht, warum gerade diese Datei auf einmal
eine Dateiänderung hat. Hinten gibt es noch eine Frage,
ich komme. Ich muss heute noch nach Bielefeld.
Gibt es Bielefeld überhaupt? Ich bin mit dem Auto da
Ja, ja. Okay, ganz kurze Frage nur.
Gerade gegen die ganzen Sachen, wie sind die Naturs
wie No-Script? Ich glaube, Gastley heißt das andere.
Oder halt Alternative PDF-Reader wie Foxtred oder sowas halt.
Bringen die da wirklich dann Schutz oder ist es auch nur vermeintlich?
Also ich benutze die halt alle und fühle mich damit relativ sicher.
Wie ist... Bis jetzt. Je nachdem, vor was sicher,
sicher vom Inhalt der Webseite, also mit Nausknippern, das Problem,
dass viele Seiten nicht mehr so wirklich sauber lesbar sind.
War zumindest meine Erfahrung. Man muss halt die leiten,
die Domains explizit freigeben. Also natürlich so ein Cross-Site-Scripting-Attack,
die auf eine andere Domain geht, dann geht das nicht.
Wenn das jetzt foto.de wäre, wäre das halt,
dann würdest du es freigeben.
Ja, aber du hast JavaScriptley von einer anderen Seite runter
und das gebe ich nicht frei
Stimmt. Aber das könnte ich ja dort auch hinterlegen.
Da müsste man es ja wieder hochladen erstmal. Diese Drive-Buy-Downloads,
wo Seiten infiziert werden, das war ein komplexer Weg,
um alles Mögliche zu zeigen.
Es gibt ja auch einen Skript-Outto-Browser, äh, Browser-Auto-Porn,
das lädt alle möglichen Webbrowser-Schwachstellen auf eine Seite,
man öffnet die Seite und ist direkt drauf.
Aber der Hack hätte unter 60 Sekunden gedauert und wäre langweilig gewesen.
Dann würde man glauben, ich hätte hier einfach nur einen Skript abgespült.
Da wären die bösen Sachen auf die Seiten hinterlegt.
Warum? Weil die Webseiten unsicher sind und man auf
dem Webserver schreiben einen Zugriff irgendwie kriegt.
Das passiert ja heutzutage ganz oft. Gut, ich meine, äh,
Knowskript bietet ja auch mit dabei Schüttel für bestimmten Sachen,
die da hinterlegt werden und sowas halt.
Also. Es ist schon mal besser als gar nichts.
Okay. Ja
Noch eine Frage? Nein. Okay. Vielen Dank,
Martin. Ich habe zu danken. Doch, hey.
Wirklich nur noch mal so aus Eigeninteresse und Eigenschutz. Wenn das,
was du eben gerade gemacht hast, dass jemand bei mir machen würde,
wie finde ich das raus, wenn ich nachträglich gucken will,
wie viele Leute lesen eigentlich meine Passwörter mittlerweile mit?
Okay, Papp private Handlungshinweise. Wenn man eine lokale Firewall auf dem Endpunkt hat,
würde die schon mal eine nach außen gehende Verbindung anmeckern.
Das, was sie vorhin die ganze Zeit gesehen habt
Ja, sowas. Genau, ja, ernsthaft. Wenn jetzt
ein PDF-Exploit geladen wird, wird halt eine Meldung kommen,
Adobe versucht sich ins Internet zu verbinden.
Die meisten klingen drauf her, ist okay, es zieht Updates.
Da muss man wieder gucken. Generell, früher war es so,
ja, ich bin infiziert, mein Rechner ist langsam.
Heutzutage hat man einen Superprozessor und man hat eine dicke Anbindung.
Man merkt nicht mehr, dass der Wurm das halbe Internet-Ups kennt.
Das ist ja das Problem. Ich habe ein Autohaus bei mir in der Nachbarschaft,
wo das WLAN offen ist und das habe ich,
da habe ich dreimal schon Bescheid gesagt,
die sollen zumachen, weil da können böse Sachen passieren.
Da hat er mir tatsächlich gesagt,
wir haben ja eine dicke Leitung, das stört mir nicht.
Ja, das ist ja heute
das Problem
Ich kann euch zeigen, was man mit infizierten Systemen macht.
Da gibt es ja wirklich diese Botnets zu legen.
Man kann mit fünf Klicks solche Rechner sich mieten,
über die kann man Kinderpornos irgendwo hochladen.
Die Polizei klopft dann bei dem Rechnersystem an, was sich
infiziert hat. Und die Seite sieht total legitim aus.
Man merkt nicht mal, dass man dort infizierte Systeme benutzt.
Ja, es macht alles keinen Spaß. Ich denke,
ihr geht jetzt alle nach Hause. Schaltet euer WLAN zu Hause
ab. Klingt nicht, klickt nicht mehr alles an.
Zum nächsten Weppenkontakt stricken wir. Ja. Genau, kommen
wir zum nächsten Thema. Erstmal vielen Dank, dass ihr
so lange durchgehalten habt. Es ist jetzt nämlich echt verdammt spät.
Wir haben noch genau 45 Minuten in diesen heiligen Hallen.
Wir müssen dann nämlich hier auch die Türen zumachen.
Wir haben, glaube ich, noch ein paar Getränke,
ein paar halbe Brötchen vorne oder haben wir noch halbe Brötchen
oder hast du sie alle aufgegessen?
Ja, da ist so gerade jemand, der sagt,
das ist ihre Folge von 23.
Das habe ich gerade gesagt und wir sind um 23 Uhr raus.
Schnittchen sind noch da. Kekse. Brezel, ach,
hervorragend. Ich habe schon Warnvorstellungen. Was wollte ich
sagen? Wir machen jetzt erstmal eine hübsche Sommerpause.
Wir sind erst Ende August wieder da. Ich wollte Benjamin
nochmal danken für die Versicherung für dieses Jahr.
Da haben wir das auch nämlich wieder geklärt,
Noch eine freudige Botschaft. A Five hat mir
vorhin in der Pause noch ein bisschen Unterstützung oder uns vielmehr
etwas Unterstützung für den Webmontag im laufenden Jahr gegeben.
Wir werden so ein bisschen mit Equipment unterstützt. Das heißt,
dass wir jetzt vielleicht auch mal in einer richtigen Präsentationsklein Laptop
zum Beispiel uns vorne hinstellen können,
damit sowas wie vorher nicht nochmal passiert.
Das war nämlich sehr ärgerlich. Finde ich super.
Vielen Dank dafür. Die Jungs von den Five haben auch
noch draußen Tonnen an Aufkleber,
also alle für euch,
die ihre Laptops bekleben
Besorgt euch schnell noch die Aufklärung und ein paar Sassen
stehen da, glaube ich, auch noch rum.
Die möchten wir nachher alle nicht mitnehmen. Also auf der
Seite, oh, die Verlosung. Die Frage ist,
wo wir die Verlosung hier auf der Bühne stehen.
Ja, logisch, komm her. Ich muss die Box holen
. Ja. Die letzten, wer hatte noch Zettel,
ich sammle sie ein, du holst die Box.
Du hast noch die Box. Hat noch jemand einen Zettel
, letzte Chance? Ich weiß die Lösung auch nicht.
Ich musste auch diskutieren. Wir haben ja gar nicht gesagt
, müssen die anwesend sein, die Leute?
Keine Ahnung, wird zu lange gezogen bis, ja,
bis der da ist. Peng. Kommen wir nach vorne
. Noch mal her
Komm, wir haben hier die hübsche Kamera noch, Johannes.
Oh, die hübsche, wieder auf den Boden. Ja,
nee, wir werden ja hier die ganze Zeit,
da so, glaube ich, ne?
Ja. Dann, äh... Machen wir die Verlosung jetzt.
Geht ganz schnell. Die Gewinner sollten anwesend sein, um abzuholen.
Und wir haben, ich würde vorschlagen, wir haben eine Ausnahme.
Es gab da draußen so einen neunjährigen Jungen.
Das war Leug, der wollte unheimlich gerne gewinnen,
muss aber morgen in die Schule.
Und da habe ich gesagt, mach mal eine Ausnahme.
Also, falls... Nimm mal du den hier.
Ich nehme den mal, ja. Du bist Leug.
Meine Hand passt dann hier im Leben rein.
Nee, der hat noch nicht gewonnen.
Nur falls er gezogen wird. Ja,
dann greif auf das Ding
Also normalerweise sind ja gefaked, diese Ziehung. Und dann
klingt schon einer, oder? Ja. Erstmal die Antwort.
Was ist denn die... Nicht korrekt, würde ich sagen.
Rote Linsen. Nee, können wir nicht gelten lassen.
Die Antwort war rote Linsen. Ach so, die
richtige Antwort, Jörn. Ja, hoffentlich auch gleich.
Lösung null. Ist auch nicht korrekt. Wo ist denn
Robert? Robert ist der Antwort da hier.
Erklär doch mal eben, wie die Lösung ist.
Also wir haben es gelöst,
es ist lösbar
Ich meine, ich glaube, keiner die Lösung löst.
Also, die Aufgabe kommt aus meinem ersten Semesterinformatik.
Und ich bin wieder über die Aufgabe gestolpert,
vor zwei Wochen, als ich zum Seminargruppentreffen eingeladen wurde.
Da wurden uns einige Aufgaben präsentiert und die Lösung ging an
unseren ersten Prof. Ich hoffe, ich behalte mein Diplom.
Hat keiner gelöst. Ich ziel noch ein bisschen.
Also, es funktioniert, es funktioniert halt, nee,
das ist leider falsch. Es tut mir leid.
Lakritz. Ja, können wir fast gelten lassen.
Also,
die Aufgabe ist relativ
Könnte jetzt die Lösung. Heute noch. Also,
man hat ja, man nimmt in jeder Ziehung quasi,
man hat ja die Möglichkeit,
quasi zwei Karamell oder zwei Lakritzs oder zwei unterschiedliche zu ziehen.
Das heißt, pro Ziehung nimmt quasi die Menge der Süßigkeiten
ab, die in diesem Glas sich befinden.
Das heißt, am Ende bleiben zwei übrig. Genau,
und da steht ja, ist ja quasi die Aufgabe schon beschrieben im Prinzip.
Also es können zwei Karamell übrig bleiben,
es können zwei Lakritzs übrig bleiben oder zwei unterschiedliche übrig bleiben.
Wenn zwei Karamell übrig bleiben, dann essen wir beide auf.
Ein Lakritz bleibt dann am Ende übrig.
Wenn zwei Lakritzs übrig bleiben, essen wir auch wieder
weiter auf
Nehmen wieder ein Lakritz nach, dann bleibt auch ein Lakritz übrig.
Wenn zwei unterschiedliche übrig bleiben, dann essen wir den Lakritz
auf und legen den peramell übrig, wieder rein.
Das heißt, ein Karamell bleibt übrig. Das heißt,
die Lösung ist im Prinzip, eine Süßigkeit bleibt übrig.
Und es hängt ganz von der Eingabemenge ab.
Kann man das jetzt beerkratzen? Damit der Van Ding hat
Van der? Also das hier ist dann schon falsch.
Ja, ihr habt gerade Geld passen. Das ist
halb richtig. Okay. Vielleicht finden wir ja jemanden,
der hat das jemand gelöst.
Von uns
Zieht man doch ein bisschen dran oder ein Like hilft.
Das ist richtig. Da haben wir eine richtige Antwort.
Was gestern gewinnt. Also einen Gewinner haben wir ja,
das ist Kolja Krückmeier. Kolja. Ja,
das geht nicht, ne? Da kriegst du oder Mel
? Karamell oder gar nicht? Oh Gott. Also ich
hätte nicht gedacht, dass das so wenige sind.
Freunde. Freunde. Ich nehme mich persönlich diesmal nicht.
Ja, denke ich auch. Also ich habe hier auch
noch einen Hals, das ist mir alles halb betrieben
Ja, anscheinend. Ja, genau, die Hybrid.
Oh, da, wo der... Die wollen ja nicht
Text... Ja, genau.
Ja, ja, richtig. Ja. Wir haben einen
zweiten Gewinner, das ist Malte Fürsterwalder.
Ja. Und wir haben... Wie das? Ja,
ist auch richtig.
Frank Sohns
Ja. Im Winterfoto und bitte.
Gute Augen.
Kein Problem