És aki egyáltalán nem ért a témához, olyan is nevezhet? ;)

@álfirkász: Ezt a kérdést szerintem gondold át még1x

@buherator:
1. Ezt most komolyan nem értem...
2. EMBER! Tudod te, hogy mire való a smiley? :)
+1: Kijavítanád a kiírásban? A "nemrég" egy szó.

ui: "nem értem" = script kiddie nálam a "nem ért hozzá" kategória, de van egy olyanom, hogy rengeteg jelentkező lesz közülük is...

@álfirkász: Te is láthatod a szemeiddel, hogy a regisztráció nyílt, vagyis bárki regisztrálhat, de aki nem ért a témához az nyilván nem fog elérni pontot.

A typot javítottam, kösz!

@buherator: mindegy, hagyjuk! :)

Poénnak szántam a kérdést, mert kíváncsiságból én is regisztráltam, holott semmit sem értek a témához .
Viszont arra talán jó, hogy idegen gépen, legálisan kipróbáljak egy-két dolgot, szóval ismerkedésre mindenképpen jó...

Metasploit egyébként mikor hízott meg ennyire? Régről olyan emlékem volt róla, hogy egy teljesen ingyenes, pár megabájtos eszköz. Miután a linuxos repokban nem találtam, ránéztem az oldalukra és hát... kissé meglepett, hogy nem egészen olyan, ahogy az emlékeimben élt.

ui: ha én voltam figyelmetlen, akkor vedd úgy, hogy nem szóltam, de a pár nappal ezelőtt elkövetett regisztrációmra mindeddig nem jött válasz.

@álfirkász: Ismerkedéshez rengeteg ilyen anyag van a neten. Letölthető, feltörendő komplett gépek, alkalmazások meg egy csomó on-line feladvány oldal ahol küzdhetsz a feladatokkal látástól mikulásig...

A regisztrációval kapcsolatban, mivel ez egy verseny elég, ha 13.-án 13 óra 13 perckor megkapod a szükséges infót (ip cím, url)

@n4gyl4j0s: ismerkedés alatt értem, hogy kipróbálni ezeket a dolgokat egy olyan rendszeren, amit nem én raktam össze, tehát van némi izgalom is a dologban, mert nem tudhatom, mi vár.
Azt nem tudtam (a pályázatig csak olyan szinten érdekelt a téma, hogy a saját kis szemétdombjaimmal próbálkoztam), hogy ilyesmi is van a neten. Bár amilyen paranoiás vagyok e téren... Háromszor is meggondolom, hogy ilyen "gyanús" ( :) ) guest-et berakjak-e a hálómra - hosszú lenne részletezni, mennyi dologtól tartanék egy ilyen cucc esetében.

Regisztráció kapcsán ezért is nem nyüzsögtem. Jelezni meg azért bátorkodtam, mert (erre vonatkozott a "figyelmetlen voltam") lehet, hogy kiírták a regisztráció során, hogy csak az utolsó pillanatban küldik a választ, csak nem vettem észre.

ui: aki egy smiley-val jelölt mondatomba komolyan beleköt, annak legközelebb leharapom a fejit! :))

Nem kap senki emailt a regisztrációról ;)
Majd a verseny napján mennek az infók, hogy mit hol értek el(ip, scorboard, irc és a többi...).

Valami, magát töröknek nevező társulat igen gyorsan deface-elte az oldalt.
Még jó, hogy mielőtt ránéztem az oldalra, észbekaptam és linuxra váltottam :)
Valamit(úgy értem, valami kártevőt) hagytak is maguk után vagy csak a címlapot írták át?

@álfirkász: Ez benne van a pakliban, a játék ettől függetlenül játszható. Minden változtatás max 1 órát él egyébként a revertek miatt.

@buherator: egy dolgot azért nem értek. Hogy a fenébe találtak rá ezek a török gyerekek (illetve, gondolom, ez inkább valami bot, ami ismert lyukakra vadászik) ilyen hamar?
Lehet, hogy naiv vagyok, de úgy gondolom, nem valamelyik jelentkező hívta meg őket.
Joomla hirdeti magát?

@álfirkász: Szerintem folyamatosan pásztáznak bizonyos IP tartományokat, de a leak sem kizárt.

Na. Csináltam egy "solution video-t" a dologról. De csak az SSH shellig (így is hosszú lett) Tök kezdők is érteni fogják, hogy mi történik és mit hogy kellett volna csinálni. (Én úgy érzékeltem, hogy ezzel tökölt a legtöbbet mindenki)

Majd ha vége a versenynek, felteszem youtube-ra a videót.

Nem tökéletes ez a megoldás se, de ennyire tellett. A privilégium eszkalációra egyszerűen "nem volt kedvem és motivációm se". Ha esetleg nagyon unatkoznék ehet, hogy megpróbálom és ha sikerül arról is lesz egy videó.

Ezt is elsősorban azoknak csináltam, akiket érdekel (nem full geekeknek) a megoldás és nem sikerült bejutniuk a gépre... vagy a meló és/vagy család miatt nem volt egyáltalán idejük foglalkozni a feladattal. Ők se maradjanak ki a jóból :)

A játékot egyébként nagyon élveztem! Még egyszer gratulálok a készítőknek! Szép munka volt!

@n4gyl4j0s: felrakod? Vagy fenn van, csak keresni kell? (még nem néztem körül)

www.youtube.com/watch?v=-dQ98gYF9b0

www.youtube.com/watch?v=-hUjtGQD89E

@n4gyl4j0s: köszi, nézem!

@n4gyl4j0s:
a zene külön plusz pont! :)
(ritkaság, ha a rockosított változat is tetszik, de ez egész jó, akárkik is követték el)
Bár ahogy elnézem, a zenei ízlésünk elég komoly átfedéseket mutat :)))

@n4gyl4j0s: azon töröm a fejem, hogy ez a backtrack linux, amit használtál, miféle eszköz?
Első körben azt gondoltam volna, hogy egy kifejezetten biztonsági szakemberek számára összerakott rendszer.
Ennek ellentmond a wiki-n pl. a FAQ szekció, meg a telepítési útmutató. Valahogy elég felemás érzéseket keltett bennem...
Kérhetnék egy pár szavas/soros véleményt róla?
(lehet, hogy le vagyok maradva szokás szerint, de mintha a metasploit fizetős verziója lenne belepakolva... (???? lehet, hogy valamit nagyon elnéztem?) )

@álfirkász: Hol látod az ellentmondást?

@álfirkász: A BackTrack csak egy olyan ubuntu linux, amire fel van telepítve egy sereg használható alkalmazás amik a pentesztelésre vannak kihegyezve. Annyi előnye van, hogy nem kell neked ezeket feltelepítgetned. Csak szabad szoftverek vannak benne Egyetlen fizetős eszköz sincs benne. (De már van újabb distro - úgy hívják, hogy Kali és még több cucc van belepakolva :)

Egy jó pentesztelő mindig azt használja amire szükség van és amivel a legegyszerűbb (leggyorsabb) dolgozni. Nekem virtuális gépben MAC OS-X és android is van - ha esetleg meg kell néznem valamit, hogy hogy van azokon a gépeken.

És egyébként pedig a legjobb pentesztelő eszköz maga a Google. Ezt mindenki tudja. :)

Elárulok még valamit. A "rossz fiúk" fizetős cuccokat is használnak. feltörik a védelmét és használják. Ennyi. Például Core Impact megtört verziót be lehet szerezni. Van egy fórum, ahol a legújabb verziókat megtörik és töredék pénzért értékesítik...persze nem pentesztelőknek...

A támadó a legjobb cuccokat fogja használni, efelől ne legyenek kétségeid :) Megszerzi őket és kész. Nem érdekli őt, hogy fizetős-e a dolog vagy sem.

Egy pentesztelő nem engedheti meg magának, hogy "ócskább" eszközöket használjon mint a feltételezett támadók.

Amiket a videón használtam sima ubuntu alól is lehet használni. legtöbbet apt-get installal fel tudod tenni magadnak úgyhogy még backtrack se kellett volna hozzá csak így kényelmesebb volt...

Egyébként a pentesztelő nem azért használ automata kütyüket, mert kézzel nem tudná megtalálni a hibát. hanem azért, mert nem csak egy hibát kell megtalálni, hanem az összeset és egy komolyabb web oldal esetleg több száz al-oldalból áll, többféle szoftver komponenssel modulok, pluginok és miegyebek sokaságával. ezeket meg kézzel egyesével átnézni eltartana egy ideig...

@buherator: felszínes szemlélődés alapján egy felkészült hackerek számára összerakott rendszer, alsó tagozatos ált. iskolások (van még ilyen? :) ) szintjén leírt telepítési segédlettel.

@n4gyl4j0s:
Köszi. Azt hiszem, egy-két dologban félreértettél.

A metasploit fizetős verzión azért csodálkoztam (volna), mert ahogy elnéztem, a backtrack, a szavaiddal élve a "jófiúk" eszköze. Abba meg nálam nem fér bele az illegális cucc.

Az meg sem fordult a fejemben, hogy akik disznóságokra használják ezeket az eszközöket, azok kizárólag ingyenes szoftvereket használnának.

És az automatizálásról sem hittem, hogy azért kell, mert akinek szüksége van, nem ért hozzá :)
(ilyen csak én vagyok, hogy játszom vele, de fogalmam sincs, mit művelek ;) )

A látszat ellenére úgy húsz évig éltem szoftverfejlesztésből, meg üzemeltetésből. Csak a biztonsági és hálózatos témáktól sikerült távol maradnom és egy ideje már-már paranoiás vagyok, mert egyre jobban látom, mennyi mindent nem ismerek és egyre több dologról derül ki, hogy milyen veszélyes lehet.

@álfirkász: Nézd meg tetszőleges enterprise hipertermék dokumentációját - ugyanezt fogod látni. Kellően nagy user bázis mellett a hülyék száma eléri azt a szintet, amikor jobban megéri összerakni egy FAQ-t, mint fizetni a support teamet.

Metasploittal kapcsolatban mitől lesz illegálisabb a pro mint a community edition?

"A látszat ellenére úgy húsz évig éltem szoftverfejlesztésből, meg üzemeltetésből. Csak a biztonsági és hálózatos témáktól sikerült távol maradnom" - Na ez a rohadt nagy probléma, ami messze nem csak téged érint, de tiszteletre méltó, hogy te legalább belátod

@buherator: na jó, de azért egy Oracle RDMS install guide sem úgy indít (ha jól emlékszem), hogy elmagyarázza, melyik a gépen a bekapcsoló gomb ;)

Metasploit - könnyen lehet, hogy félreértettem a dolgot, de úgy értelmeztem, a Pro, amihez már nem csak webes GUI van, hanem "natív" is, az már fizetős. Ha ez így van, akkor nem értem, hogy kerülhet egy ingyenes rendszerbe. (_ha_ így van... felületesen néztem meg, nem érne nagy meglepetésként, ha kiderülne, hogy valami kimaradt)

Ami a sokakat érintő problémát illeti: életemben két munkahelyem volt összesen. A második helyen 15+ év alatt nagyon beszűkült a terület, amin dolgoztam. Amíg tartott a lelkesedésem, időm nem volt tanulni, mikor már lett volna időm, akkor meg már magasról, nagy ívben... :(
Mostanában próbálok tanulgatni ezt-azt, de ez már nem az igazi.
És a gúgli egyre kevésbé barátom, amilyen találati listákat kapok időnként. :D

@buherator: félreértések elkerülése végett: amikor fejlesztéssel foglalkoztam, akkoriban itthon egy LSP nevű eszköz képezte a "hálózatot" egy csepeli gépteremben. ;)
DECnet/LAT volt az utolsó hálózati protokoll, amit fejlesztőként láttam. Szóval nem kell aggódni, webes rendszerekhez nem nyúltam fejlesztői oldalról. :)))

@álfirkász:

docs.oracle.com/cd/B28359_01/install.111/b32281/toc.htm#BABIBGFA

www.rapid7.com/products/metasploit/editions-and-features.jsp?p=torso_content

Teljesen mindegy, hogy mivel foglalkoztál, azzal a hozzáállással van a baj, hogy a security az egy plusz, amivel majd foglalkozunk, ha már "működik" a rendszer (aztán persze erőforrás sose marad rá). A félreértések elkerülése végett: ezzel nem megsérteni akarlak, hanem rámutatni egy általános problémára.

@buherator:
Oracle: csak az látszik, hogy rég néztem ilyen doksit. :D

A biztonsági téma meg... Bizonyos szempontból jobb, ha nem bolygatjuk a témát. :)

@buherator: metasploit... ezt nem értem. Jó, az elmúlt két napban rengeteg szoftverbe belenéztem, aminek csak közelítőleg is köze volt a "pentest" és/vagy "ids" kifejezésekhez. Ezek után halvány fogalmam sincs, mire emlékeztem, aminek a fizetős verziója lényegesen eltért a free/community változattól. No mindegy, nincs jelentősége. Ha legalább a böngészőm history-jában megtalálnám...