注册忘记密码

黑客论坛,黑客工具,黑客教程,QQ技术,黑客基地,黑客网络,黑客软件,黑客联盟,免杀,远控,ddos,cc,黑客攻防,黑客编程,黑客定位,手机定位,微信定位,hack,黑客网站,查开房,定位,信息查询

查看: 10309|回复: 0

[技术文章] 与ANDRéBAPTISTA的黑客问答:从CTF冠军到H1-202 MVH

[复制链接]
   0 UID
   0帖子
   0精华
21
   0威望
500
   0金币
47860
   0贡献
5000
   0阅读权限
   200
   积分
   0
   在线时间
   708 小时
   最后登录
   2022-8-23
发表于 2021-3-29 20:37:04 | 显示全部楼层 |阅读模式
从CTF冠军到H1-202 MVH。安德烈(André)利用CTF的创造力在野外发现并升级漏洞,并在发现第一个漏洞后不到一个月的时间就闯入了冠军腰带。

安德烈·巴普蒂斯塔(AndréBaptista)在h1-202

告诉我们一些关于你自己的事。

去年,我完成了信息安全理学硕士学位,目前是CTF团队的负责人。我在大学里上过课,目前是安全研究员。我喜欢二进制开发和逆向工程。

现在看来,我也是一个赏金猎人。老实说,这都是黑客软件,黑客联盟,免杀,远控,ddos,cc,黑客攻防的错,因为他们开始构建CTF。

您最初是如何对计算机和黑客产生兴趣的?

我11岁那年,我在父亲的内阁中找到了一本关于编程的书。我学习了编程的基础知识,此后,我开始想知道如何破解计算机。在漏洞赏金的背景下,扎实的编程技能对于理解软件的构建方式和破坏方式非常重要。

您是否有一位导师鼓励您的兴趣?

自从开始我的旅程以来,我一直在关注这一领域的知名人士的工作。所有这些博客文章和演讲都给我很大的启发。

您非常参与CTF社区,这对您的bug搜索技能有何影响?

通过“夺旗比赛”和阅读文章,我学到了很多东西。我相信,否则我将无法找到严重性较高的错误。CTF与赏金大不相同。在CTF挑战中,通常只给我们一小块软件,并且我们知道该漏洞就在那儿,但是很难利用。另一方面,漏洞赏金猎人需要知道如何在现实世界中的软件中寻找漏洞。我认为,这两个领域是相辅相成的。我认为,两者都可以提高黑客技能。那些不眠不休的CTF周末使我成为一个执着的人,因此我发现了一些很酷的错误。

在击败CTF之后,您被邀请参加首次在线黑客活动H1-702,并继续在H1-202成为最有价值的黑客。您能告诉我们有关该经历以及参加实时黑客活动对您意味着什么吗?

在赢得H1-702 CTF之后,我去年被邀请参加H1-702(您可以在此处阅读我的文章)。我去那儿时没有赏金的经验,但我什么也没发现。但是,我今年完成了H1-202 CTF并收到了新邀请。我对以前在H1-702上的表现感到失望,因此将自己推向了极限:我开始练习,阅读所有可以找到的报告,并观看谈话。其结果是:我最终收到我的第一个赏金 我ñ2月27日,我成为了H1-202 MVH!太疯狂了。

实时黑客事件令人震惊,但目标很艰巨。他们鼓励知识共享和友谊。有时,人们会一起砍伐并链接漏洞。付款是实时的,有很多赃物...您还能要求什么?

是什么促使您从事这类工作的?

安全性正在迅速发展。随着安全性的提高,更新自身的一个好方法是进行赏金活动,因为黑客攻击大目标非常具有挑战性,缓解措施也得到了广泛使用。每天学习新知识并成为更好的黑客的愿望是我最大的动力。

您喜欢狩猎哪些类型的错误?

我喜欢搜寻具有较高影响力的漏洞,例如RCE。我最喜欢的漏洞是SSRF,因为有时可以升级它。到目前为止,SSRF是我两个最大赏金的最初攻击媒介。

您最近在Shopify上发现了一个关键SSRF,支出了25,000美元。什么样的侦察程序会用于寻找这样的错误?您能告诉我们您做出决定的决定吗?

我开始研究所有资产,并试图了解它们提供的服务和功能。我不仅在寻找SSRF,还试图找到其他漏洞,例如LFI和IDOR。然后,我发现了屏幕截图功能,两个月来我一直不知道该怎么办。我决定休息一下。突然,我找到了一种可行的方法,并花了一个周末在他们的云基础架构中升级特权。有人告诉我,他们会在到达Google Cloud元数据后进行报告,但我没有退出,发现其他配置错误。在像Shopify这样的目标中获得根shell的感觉是超现实的,但是我在所有步骤中都非常小心,以免造成伤害。Shopify是黑客软件,黑客联盟,免杀,远控,ddos,cc,黑客攻防上最好的程序之一,他们总是要求公开披露,以便我们大家都能从这些报告中学到一些新东西。和他们一起工作是一种荣幸。

您会密切关注并钦佩哪些黑客?

我最喜欢的黑客软件,黑客联盟,免杀,远控,ddos,cc,黑客攻防 1337s:FransRosén,因为无论如何,他总是在实时黑客事件中发现疯狂的错误。还有许多其他文件,例如yaworsk,gerben_javado,edoverflow,cablej,intidc,avlidienbrunn,dawgyg和teknogeek。我几乎忘了泰德(Ted),他来自黑客软件,黑客联盟,免杀,远控,ddos,cc,黑客攻防,他是1338年。塔维斯(Tavis)洗澡和寻找0day。我的朋友Federico Bento去年赢得了Pwnie奖。蔡橙,天使男孩,马里奥,吸血鬼和巴尔干。

您会给想要入侵黑客的其他人提供什么建议?

如果您想成为一名黑客,则需要学习如何自学。这是黑客思维方式的核心。阅读书籍,例如Web Hacking 101,报告和文章,观看演讲,参加安全会议并尝试玩CTF或战争游戏。挑战自己,建立自己的工具。我一直在用Hacker101教学生,这也是一个好的开始。始终确保您所做的事情是完全合法的。我从基本的pentest教程开始,然后开始与朋友一起进行CTF。但请注意,CTF可能会令人上瘾!

发表回复

您需要登录后才可以回帖 登录 | 注册会员

本版积分规则


快速回复 返回顶部 返回列表