Tingyi Chang, also known as Meh Chang(@mehqq_), is a security researcher at DEVCORE. She focuses on binary program analysis and exploitation. She is a member of HITCON and 217 CTF team and has won the second place of DEF CON 25.
You can find all the videos of on our YouTube channel. Slides are published in the Conference repository
Browse the public album here.
10:30 – 10:45
[ 📺 Video ]
10:45 – 11:30
Since the beginning of distributed personal computer networks, one of the toughest problem has been to provide a secure SSO and authorization experience between unrelated servers/services. The OAuth 2.0 authorization framework enables 3rd party apps to obtain discretionary access to a web service. Built on top of OAuth, OpenID Connect is a helpful “identity layer” that provides developers with a framework to build an authentication system.
In this race of providing OAuth/Open ID Connect based access to assets, authorization service providers have been forced to release half-baked solutions in the wild because of which relying parties and users face myriad of issues ranging from authorization code compromise (unauthorized resource access) to account takeovers.
In this talk we will discuss common malpractices that “relying party” and “authorization service provider” developers perform when implementing OAuth/OpenID based solutions. We will learn the attacks that can happen thereof and mitigation.
Samit is a Web and Mobile Application security enthusiast. He joined Citrix as Security Engineer soon after completing his Master’s degree from IIIT Delhi in Mobile and Ubiquitous Computing in 2015. He has spoken on various security topics at the following venues – SecurityFest, DEFCON, BlackHat Asia, AppSec USA, CodeBlue and c0c0n X
He has published papers at the following venues
• Chiromancer: A Tool for Boosting Android Application Performance [MobileSOFT Conference 2014, Hyderabad, India], http://dl.acm.org/citation.cfm?id=2593918
• Detecting Performance Antipatterns before migrating to the Cloud [IEEE CloudCom 2013, Bristol, U.K.], http://dl.acm.org/citation.cfm?id=2568531
• Performance Antipatterns: Detection and Evaluation of their Effects in the Cloud [IEEE Services 2014, Anchorage, Alaska], http://ieeexplore.ieee.org/document/6930605/
His technical interests lie in using static program analysis techniques to mitigate security and performance issues on mobile/web apps, breaking web/mobile apps, and researching on cutting edge authentication and authorization mechanisms.
[ 📺 Video ]
11:30 – 12:15
SSL VPNs protect corporate assets from Internet exposure, but what if SSL VPNs themselves are vulnerable? They’re exposed to the Internet, trusted to reliably guard the only way to intranet. However, we found pre-auth RCEs on multiple leading SSL VPNs, used by nearly half of the Fortune 500 companies and many government organizations. To make things worse, a “magic” backdoor was found to allow changing any user’s password with no credentials required! To show how bad things can go, we will demonstrate gaining root shell from the only exposed HTTPS port, covertly weaponizing the server against their owner, and abusing a hidden feature to take over all VPN clients!
In such complicated closed-source systems, gaining root shell from outside the box certainly ain’t easy. It takes advanced web and binary exploitation techniques to struggle for a way to root shell, which involves abusing defects in web architectures, hard-core Apache jemalloc exploitation and more. We will cover every detail of all the dirty tricks, crazy bug chains, and the built-in backdoor. After gaining root shell into the box, we then elaborate on post exploitation and how we hack back the clients. In addition, we will share the attack vectors against SSL VPNs to kick start researches on similar targets. On the other hand, from our previous experience, we derive general hardening actions that mitigate not only all the above attacks, but any other potential 0days.
In summary, we disclose practical attacks capable of compromising millions of targets, including tech giants and many industry leaders. These techniques and methodologies are published in the hope that it can inspire more security researchers to think out-of-the-box; enterprises can apply immediate mitigation, and realize that SSL VPN is not merely Virtual Private Network, but also a “Vulnerable Point of your Network”.
Cheng-Da Tsai, also as known as Orange Tsai, is the principal security researcher of DEVCORE and member of CHROOT security group from Taiwan. He has spoken at conferences such as Black Hat USA/ASIA, DEF CON, HITCON, HITB, Hack.lu, CODEBLUE and WooYun. He participates in numerous Capture-the-Flags (CTF), and won 2nd place in DEF CON 22/25 as team member of HITCON.
Currently, he is focusing on application security and 0day research. Orange enjoys finding vulnerabilities and participating in Bug Bounty Programs. He is enthusiastic about Remote Code Execution (RCE), and uncovered RCEs in several vendors, such as Facebook, Twitter, Uber, Apple, GitHub, Amazon, Netflix, Yahoo and Imgur.
[ 📺 Video ]
12:15 – 13:00
Introduzione al processo di reverse engineering del firmware dei dispositivi IoT (Internet of Things). Il processo, descritto attraverso l’hacking di un router domestico, è applicabile a tutti i dispositivi IoT con un sistema operativo Open Source come i dispositivi basati su Linux.
Il processo si basa su
1. Raccolta di informazioni relativamente all’hardware e al software, per identificare i circuiti integrati principali, per localizzare le interfacce UART e JTAG e per ottenere il file del firmware o il contenuto della EEPROM e, infine, il root file system
2. Costruzione di un ambiente di emulazione che faciliti il debugging, per farci girare i binari più interessanti del dispositivo, utilizzando QEMU e con un root file system costruito con un apposito software come “Buildroot”
3. Tecniche per analizzare, “hackerare”, fare il reverse engineer a modificare il firmware originale utilizzando l’analisi del file system, analizzando l’output sulla console seriale e utilizzando lo Gnu Debugger nell’ambiente di emulazione
L’originalità di questo approccio è nella costruzione di un ambiente di emulazione, con kernel e root file system, simili a quelli del dispositivo IoT, con le stesse versioni, o versioni compatibili, delle librerie, compilate con le informazioni di debugging.
Questo permette il reverse engineering dei binari più interessanti del dispositivo IoT, nell’ambiente di emulazione, utilizzando lo Gnu Debugger (GDB), mettendo dei breakpoints all’entrata delle funzioni di libreria. Questo approccio è assai più semplice che utilizzare software come IDA Pro su binari e librerie originali che sono prive di informazioni di debugging.
Il reverse engineering e la modifica del firmware del router domestico, fatta dall’autore su un modello recente di router D-Link, deve superare vari ostacoli: il file di upgrade del firmware ed il kernel sono firmati digitalmente per prevenire proprio la modifica del firmware ed il caricamento di kernel non firmati da parte del boot-loader.
Valerio Di Giampietro e’ un IT Infrastructure Manager con una robusta conoscenza tecnica ed esperienza nelle infrastrutture, sia in cloud che on premise, nel networking, web servers, databases Oracle e mySQL, grandi installazioni di server Linux, ambienti di virtualizzazione, SAN e IoT.
E’ un entusiasta di Linux sin dal 1993 e appassionato di elettronica e tecnologia sin da quando era un bambino.
13:00 – 14:30
[ 📺 Video ]
14:30 – 15:15
Una multinazionale ci ha contattato richiedendo la fornitura di una attività, reale (non il solito vuappitti mascherato) di “Red Teaming”, atta a mimare un attaccante che disponesse esclusivamente dell’accesso fisico ad una delle loro sedi, composta da due edifici.
Da questa posizione, ci è stato chiesto di tentare di acquisire il controllo completo dell’infrastruttura. Abbiamo iniziato a lavorare per prima cosa sulla parte legale, che risulta essere la più critica, soprattutto in italia dove la legislazione è molto complessa e dove è necessario interpellare molteplici attori (risorse Umane, sindacati, etc…) al fine di comprendere cosa può e non può essere fatto
Poichè ogni azienda è differente, queste valutazioni devono essere effettuate di volta in volta coinvolgendo gli attori adeguati. Abbiamo dunque curato al meglio gli aspetti legali lavorando con due team di avvocati, riuscendo così a fornire al nostro cliente tutta la documentazione e la contrattualistica necessaria a poter effettuare l’attività in sicurezza.
Dopo aver smarcato gli aspetti legali, abbiamo iniziato a lavorare sugli aspetti tecnici. In questa fase, abbiamo proceduto all’acquisto, alla valutazione una grande quantità di tool, sia hardware che software, effettuando test e fine-tuning e decidendo infine cosa tenere e cosa scartare, basandoci sui risultati dei test effettuati nei nostri laboratori.
In questa fase abbiamo anche implementato un’infrastruttura che ci permettesse l’esfiltrazione di dati ed il controllo remoto dei vari RAT in uso, il tutto senza inficiare la sicurezza dell’infrastruttura che stavamo attaccando.
Un terzo step è stato costituito dalla creazione di un “play book”, nel quale ogni membro del team aveva un ruolo da interpretare ed era a conoscenza di una “finta storia” e di molteplici risposte preconfezionate, da fornire a diverse persone in diversi contesti (es: come e cosa rispondere ad una guardia che ci avesse colto sul fatto).
Finite le verifiche preliminari, abbiamo iniziato con la ricognizione fisica degli edifici e con il fine-tuning della strumentazione precedentemente configurata, per poter operare al meglio al fine di raggiungere gli obiettivi dell’attività. Di seguito, abbiamo proseguito con le attività più malevole, cercando di acquisire privilegi amministrativi dell’infrastruttura.
Abbiamo avuto successo? Unitevi al talk per scoprirlo 😛
Francesco “RageMan” Perna è un ricercatore di sicurezza italiano che fa parte della scena hacker italiana sin da quando era giovane. Francesco ha una forte conoscenza delle tematiche inerenti la sicurezza informatica sia per quanto riguarda i sistemi che le reti. Francesco ha speso gli ultimi 15 anni nel campo della ricerca focalizzando il suo impegno sulla sicurezza delle applicazioni e dei protocolli di comunicazione sia dal punto di vista difensivo che dal punto di vista offensivo.
Francesco partecipa attivamente alla scena hacker italiana: egli fa parte del direttivo dell’associazione culturale Metro Olografix ed è uno degli organizzatori di eventi hacker internazioni come il Metro Olografix Hacker Camp (MOCA) e BSides (Rome e Milano)
Francesco predilige la strategia alla forza bruta: più è semplice e ben progettato un attacco e più sarà efficace
Lorenzo Nicolodi si occupa di sicurezza informatica da circa 10 anni ed attualmente fornisce consulenza in questo ambito per clienti nazionali ed esteri tramite la sua azienda.
Interessato esclusivamente ad attività di alto profilo tecnico, è appassionato dalle problematiche di sicurezza a basso livello, che comprendono vulnerabilità e misconfigurazioni a livello di networking, demolizione di implementazioni non corrette di protocolli di varia natura, interazioni malevole con dispositivi embedded/IoT e similari.
Per aggiungere un poco di adrenalina, supporta spesso Francesco in attività non-standard (whatever it means).
[ 📺 Video ]
15:15 – 16:00
Being appointed by the top management to secure the Active Directory of a multinational, I faced difficulties with IT admins. Especially when you deal with merger, acquisition and companies located in other countries!
So I had to develop my own tool to collect information without involving the admin. It started with collecting trust information of my domain (that admins were reluctant to give) and I added over time more and more information.
This talk will focus on the experience I gathered on the field to protect a very complex & multi domain environment and I’ll present the result of my research: the tool PingCastle.
Vincent Le Toux is working in a French utility at the edge of management & blue team.
He is the author of Ping Castle, an Active Directory security tool.
He has also made many open source contributions in projects such as mimikatz, OpenPGP, OpenSC, GIDS applet, etc.
Finally, he already did presentations in security events, mainly FIRST, BlueHat, BlackHat, Troopers and Hack In Paris
[ 📺 Video ]
16:00 – 16:45
Deep Learning has been shown to be very effective when applied to binary analysis. In this talk we will present SAFE, an open source tool using a recurrent neural network to create similarity preserving vectorial representations of binary functions (the so called embeddings).
Using them it is possible to detect if two functions are similar or not, thus embeddings can be a useful support for reverse engineering.
As example, they permit to identify library functions inside a binary even if we don’t have access to the exact compiled version of the linked library. Moreover, embeddings can be used also as a signature for vulnerability discovery and malware hunting.
Finally, embeddings permit to identify the behaviour of a function, such as encryption.
Luca Massarelli is PhD Student at Sapienza University of Rome from October 2017. After his master degree in Physics and some years of experience as analyst programmer in a consulting company he decided to focus on cybersecurity research.
Its main research interest is application of Machine Learning to binary analysis, porting natural language processing technique in this new field.
16:45 – 17:00
19:00 – 24:00
Si è svolta dopo RomHack (dalle 19:00 alle 24:00) per 5 ore
16 team hanno giocato 15 challenges (Fullpwn, Web, Pwn, Reversing, Crypto, Forensic) sulla piattaforma CTF di Hack The Box
TRX17 ha vinto con i Donkeys in seconda posizione e JBZ in terza.
RomHack is made possible thanks to our generous sponsors. We want to thank them for their support.
Get the RomHack Camp app
To install it, tap the Share button, then “Add Magi to Home Screen”.
