How .NET Apps Get Hacked?

0:22↗път говоря на Dot Networking и винаги

0:24↗съм супер ейтед, защото хората, които

0:26↗идват тука, са много готини, много

0:28↗хайпнати и въобще абе донес сцената.

0:32↗Обикновено са готини хора.

0:35↗Та за какво ще си говорим днес? Си

0:37↗говорим малко за това как пишем кода

0:40↗така, че да ни хакнат.

0:42↗Тоест ще ви покажа какво не трябва да

0:44↗правите и със сигурност го правите.

0:47↗Сигурност и аз го правя. Още по-сигурно

0:49↗е, че LLM и AI го правят, което е много

0:53↗модерно, нали, в последно време. Сега в

0:54↗моята лекция няма да си говорим толкова

0:56↗много за AI. Не съм модерен, аз съм олд

0:58↗scholл. Ще говорим за писането на код на

1:01↗ръка. Помните ли го това от едно време,

1:03↗от миналата година?

1:06↗Та ще си говорим за писането на код на

1:07↗ръка и поправянето на код на ръка, което

1:09↗всъщност ни трябва много заради кода,

1:11↗който лмиите пишат. Тъй че за да може да

1:14↗знаем какви глупости правят от време на

1:16↗време. Така.

1:19↗Първо, стандартният слайд малко за мен,

1:22↗да знаете защо съм тук и за какво се

1:23↗боря. Казвам се Торо Тодоров. Както

1:26↗споменаха, съм синиър софтуер инженер в

1:28↗Phoтър

1:30↗лидер на Olasp Sofia Chapter. А някой от

1:35↗вас идвал ли е на нашите митъпи?

1:40↗Много малко хора. Виждам тука една-две

1:42↗ръце. Това трябва да се промени. Имаме

1:44↗тъп. Ще видите накрая кога, къде.

1:47↗Безплатно е. Готино е. Си говорим за

1:49↗cyбер secкюрити, си говорим за хакване,

1:51↗всякакви такива неща. Елате.

1:54↗Не знам всичките дали ще има къде да ви

1:55↗поберем, ама колкото дойдете все ще

1:57↗измислим как. Пица ще намерим за всички.

1:59↗Занимавам се с пуб спикинг от доста

2:01↗години вече.

2:03↗Изложиха ме, че съм дърт и че имам над

2:05↗20 години опит в сферата. А комюниity

2:09↗supporter съм. Имаме hacker.bg едно cy

2:11↗security community, където имаме Discord

2:13↗сървър и хора като нас събират там да си

2:16↗говорят, обменят опит. обменят а някои

2:19↗не толкова легални работи от време на

2:21↗време може би, но това дисклеймър и а да

2:25↗и съм голям поддръжник на open source.

2:28↗Имам даже собствена библиотечка. Никой

2:30↗никога не я е ползвал, обаче седи там в

2:32↗GitHub. Поддържам си я от време на

2:33↗време.

2:35↗А да може да я видите. Dnet е между

2:37↗другото.

2:38↗Та,

2:40↗понеже нали securю allasp, някой знае ли

2:45↗какво значи all?

2:49↗Сега сигурно ще кажат повечето хора в

2:51↗тоя момент обикновено казват open source

2:54↗web application open. Да, ама е

2:58↗worldwide application

3:01↗security project. Това е нонпрофит

3:04↗организация, световен мащаб, която се

3:06↗занимава с това да разпространява знание

3:10↗и безплатни инструменти за подпомагане

3:13↗наберcюрити и на cyберcюрити обществото

3:15↗като цяло. И те поддържат такивал

3:18↗чаптери, както е София chapter, които

3:21↗организират локални митъпи, където

3:22↗събират напълно безплатно хора, всякакви

3:25↗хора, не само cyберcюрити хора, не само

3:28↗cyберcютиity инженери, девелопъри като

3:30↗вас, мениджъри, pми, всякакви могат да

3:33↗идват и е добре да идват. Ще си

3:35↗поговорим и за това малко по-натам.

3:37↗Та OL ASP имат едно от най-популярните

3:40↗неща, които правят е всяка година

3:44↗а курират един такъв списък, рейтват

3:46↗един такъв списък от OL ASP Топ 10. А

3:51↗това е списъкът за 2025, защото те

3:53↗обикновено по-към края на годината

3:54↗изкарват за тази година какво е било.

3:57↗Така че найлетест списък е за 2025 и той

4:02↗показва кои са 10-те топ

4:05↗найексплоатирани

4:07↗и популярни ворабилитита в апликациите в

4:10↗световен мащаб, което показва какво

4:13↗означават те и как да се предпазим от

4:16↗тях. И затова днешната лекция ще говорим

4:19↗за тях. Понеже са 10, нямаме толкова

4:22↗много време. Аз искам да покажа доста

4:24↗демо и доста код какво представлява и

4:27↗как изглежда. Затова ще си поговорим за

4:31↗пет неща. Пет от тях. Шест технически,

4:34↗защото след тях има още едно. Ще ви го

4:36↗покажа, но за тези ще си поговорим

4:38↗първо.

4:40↗Като създал съм един проект, след малко

4:42↗ще го видите, който ще бъде качен в

4:44↗GitHub. Той вече е качен, а още не е

4:45↗публично репото.

4:47↗Мислех да направя уау ефект, да го

4:49↗направя публично накрая на

4:50↗презентацията, обаче съм си оставилкия,

4:53↗няма може да го случи, ама ще бъде

4:55↗после, няма значение. А та ще си

4:58↗поговорим сега за тия пет неща. Ще ви

5:00↗покажа демо какво представляват и

5:01↗горе-долу какво не трябва да правите в

5:03↗тия пет ситуации. И затова ще почнем с

5:06↗първото, което е broken access control и

5:09↗без without further duwe. Направо

5:12↗отиваме към кода и към демото. Така.

5:18↗Ето тука това е апликацийката, която съм

5:21↗направил [прочиства си гърлото]

5:23↗под направо, разбирайте. Изкодихме я с

5:25↗AI

5:27↗сега

5:30↗[смях]

5:31↗правилно агилти

5:34↗може да се познае тука по папките, които

5:36↗се намират. А та [прочиства си гърлото]

5:41↗нали има Secure Wр бла бла бла бла бла

5:42↗бла. А по по-интересното, нали, както

5:47↗каза и лектора преди мен, като видите

5:50↗как е структуриран кодът, ви става ясно,

5:51↗че е писан от AI. Кой пише такъв код,

5:53↗толкова подреден с толкова много

5:55↗коментари и така нататък, но това е

5:57↗просто една уеб апликацийка, между

5:58↗другото. А тука ще вметна набързо, че

6:01↗OLAS поддържат и такова нещо. Нарича се

6:03↗OLASP Gold. Last Gold е а преднамерено

6:07↗vulnerable апликация, която всеки може

6:10↗да си ръне в контейнеър, която показва

6:12↗всичките топ 10 плюс

6:13↗допълнителнирабилитита.

6:15↗А тя не е дотнецка, но въпреки това с

6:19↗върху нея може да се опитвате да хаквате

6:21↗и да експлоатирате тези

6:22↗vulnerнерабилитита. Та тя е направена с

6:24↗цел обучение. А та това, което аз съм

6:27↗направил нещо подобно, само че е

6:30↗доnetско.

6:31↗И сега ще го пуснем, за да можем да

6:34↗видим.

6:37↗Е,

6:39↗къде сме? А,

6:48↗аре.

6:52↗Така.

6:54↗Ето го. Warning,

6:57↗vulnerable, бла-бла бла. Отново не съм

6:59↗ги направил аз тия неща.

7:01↗Така. А кой беше адресът? Четири осмици.

7:05↗[хърка]

7:06↗Даже има.

7:12↗Трябва да има и слагър

7:15↗или слагаът беше на главната.

7:19↗Да. Та да. Това са pointчета за всичките

7:23↗различни vulnerрабилитита, като има а

7:27↗vulnerable end point, има и secureer

7:29↗point. показва две две две двата

7:31↗варианта. Ние обаче няма да използваме

7:33↗слагаъра, защото той е много такъв

7:36↗for noops. Ние ще използваме

7:40↗аа ето това. Не знам дали сте го

7:43↗виждали. Това е такъв hht htp файл. Това

7:46↗е много готин начин за

7:49↗с текст да си описвате. Това е такова

7:52↗HTP клиентче, нещо като много лекотена

7:55↗версия на

7:57↗а на подобни

7:59↗като Postman и така нататък софтуери. Та

8:02↗ей тука сега ще започнем първото, което

8:04↗ни е а този broken access control. Значи

8:07↗какъв е тоя broken access control? Всеки

8:10↗един от endpint има get info. Всеки един

8:12↗от контролерите има get info end point,

8:13↗който ви показва линка за оasпа какво

8:17↗представлява. Това няма да го

8:18↗разглеждаме. Може да си го видите после

8:19↗след това, но идеята тука е, че примерно

8:22↗имаме някакъв някаква система, която

8:25↗връща поръчки,

8:27↗нали, по ID и аз съм а потребителя,

8:31↗хардкоднатия потребител 2 Алис.

8:34↗И тука мога да викна

8:38↗някакъв order. Цак send request. Ето

8:41↗връщаме и vulnerable. Само че това е без

8:45↗никакъв

8:47↗без никаква проверка. Отивам да проверя

8:49↗друг ордър. Също мога. Той не е за Алис,

8:52↗обаче ми се връща.

8:55↗Ето този е за Алис. Този е за боб. Обаче

8:57↗идва, защото аз просто това често пъти

9:01↗го правят хората.

9:04↗Имаме си някакъв контролер, подаваме му

9:06↗някакъв път параметър, за да си вземем

9:08↗нещата, обаче не проверяваме. Той USърде

9:09↗го вика кой е. И сега да вие ще кажете,

9:12↗ама то ние сме свикнали, нали, слагаме

9:14↗си декораторите отгоре. Декорато, да

9:18↗слагаме си декораторите отгоре. Всичко

9:20↗вика работи. Dnet ни го дава. Обаче

9:22↗много често се случва, което ми е

9:24↗направило впечатление, когато работим

9:26↗само модерно микросървисни архитектури и

9:29↗ние имаме нашия сървис, който е някъде

9:30↗по-навътре в микросървисната ни

9:33↗платформа и понеже знам, че пред мен

9:35↗стои някакъв друг сървис публичен, аз не

9:38↗проверявам тоя юзър кой е, защото той е

9:40↗проверил вместо мен.

9:43↗И много пъти се изпускат тия неща

9:45↗навътре. Уж им за бързо действие, ужм за

9:47↗не знам какво. А това е грешно. Не го

9:52↗правете. Винаги проверявайте навсякъде

9:54↗всичко, колкото и да ви коста това като

9:56↗performanceс според мен.

9:59↗Но ето тия са vulnerable. Така. И тука

10:02↗вече имаме

10:04↗secure ownership проверен. Ако искаме да

10:08↗вземем някой друг Secure казва не може

10:13↗deni и как казва denй нали проверката

10:16↗както се сещате е супер проста.

10:18↗Просто отиваме в Secure end Poin не

10:21↗Secure List, пардон, ей тука Secure get

10:24↗order. Взимаме кой е current user и в

10:27↗момента, в който върне вземем ордерите,

10:29↗проверяваме тоя ордър на тоя USюer ли е?

10:31↗Може ли да му го покажем въобще?

10:33↗Естествено, има много по а интелигентни

10:36↗начини да се проверяват тия неща, но

10:37↗като цяло broken access control

10:40↗vнility-то представлява точно това. да

10:42↗не проверяваме access контрола на тоя

10:44↗човек или потребител, който в момента се

10:47↗опитва да вземе тия данни. Класическа

10:49↗схема.

10:52↗Не го правете.

10:56↗Какво да не правим? Аз си ум, че HP

10:59↗рекуестъ вече е проверен преди вас,

11:02↗особено в микросървисни компоненти. Това

11:04↗най-често съм го виждал. Както ви

11:06↗споменах, решаваме, че сървисът, който

11:08↗изиква нас или публичното AP някакъв,

11:11↗който изиква нас, е направил вече тая

11:13↗проверка. Но аз като цяло смятам, че

11:15↗всичките валидации трябва, защото това е

11:18↗бизнес логика, тия валидации, кой може

11:19↗да ги гледа, трябва да са на място,

11:21↗където се намират данните, тоест в

11:23↗сервиса, който ги дава. Изнесем ли ги

11:25↗оттам, почва да стават дискрепънсита,

11:27↗почват да се нарушават неща и да създава

11:31↗проблеми. Така, това беше първото.

11:34↗Минаваме към следващото.

11:36↗Security Miss Configuration.

11:38↗Тука

11:40↗следващия endpint. Отиваме да гледаме

11:42↗как изглежда.

11:45↗Ех, как го затвори. Така. Security miss

11:48↗configuration.

11:50↗Така.

11:53↗Ето сега тука

11:55↗[прочиства си гърлото][хърка]

11:56↗[въздиша]

11:57↗имаме взимане на

12:02↗usзъри. Пак момент, само тука да сваля

12:05↗надолу.

12:07↗Ето сега normal user look up.

12:10↗Взимаме си

12:13↗user 1 admin с vulnerable app admin.

12:17↗Така. But input хоп

12:21↗гръмна. Какво значи това? Това влизат в

12:25↗в тоя с missation влизат всички такива

12:28↗проблеми като да не си проверяваме

12:33↗как беше изключенията. Аз аз обикновено

12:36↗използвам много чуждици и така като кажа

12:37↗изключения ми се струва странно. Знам,

12:39↗че много хора не са съгласни с мен.

12:41↗Предпочетам да им викам епшъни. Но да.

12:44↗Ей това е един типичен пример защо това

12:46↗не трябва да се случва,

12:50↗когато пуснем епtшъна да излезе извън

12:53↗нас,

12:56↗който беше ето не insecure error,

12:59↗vulnerable error. Ето ретърваме директно

13:02↗епшъна с callстека, с всичко или дори да

13:05↗не го ретърваме, просто да не правим

13:09↗някакъв трайкеч в контролера или да

13:11↗нямаме някакъв хендлинг, дали ще е било

13:13↗през някакви midlear, интерсептори,

13:15↗whatever, а директно го хвърлим. Това

13:18↗стигнали навън е супер лесно за Bad

13:22↗actors и за хора, които не мислят лошото

13:25↗да разберат какви библиотеки използваме,

13:28↗каква е архитектурата на нашия сървър. А

13:31↗как изглежда кода? Какви са нашите

13:33↗лайбрита? Как сме си ги структурирали?

13:35↗Това всичкото отвън или както се спомена

13:37↗по-рано, а като ви се е случвало да

13:41↗отворите сайта на банката и ви гръмнат

13:42↗един хубав епшън, нали, и ви се карат от

13:45↗секюритита. Ами карат ви се от секюрити,

13:46↗защото това означава, че всеки извън

13:48↗банката вече знае на коя версия на

13:50↗сървъра сте, на коя версия използвате,

13:53↗какви vрабилитита най-вероятно има там,

13:55↗как могат да бъдат експлоатирани.

13:56↗Всичките тия неща

13:59↗светват тука. Или другото нещо, това пък

14:02↗това най-много го обичаме, нали?

14:03↗Примерно нещо знаем, че гърми, не може

14:05↗сега да го репродуцираме при нас. Ами

14:07↗знаеш ли какво? Ще си сложим един deбък

14:09↗end point със статус, който ще ни върне

14:11↗там едни данни. Ние ще гогледаме само на

14:12↗стейджинг, ама после ще забравим да го

14:14↗махнем. Той ще иде на продъкшъ и хората

14:17↗ще го ударят и ще кажат дай ми статус. И

14:20↗той ще каже, "Ами да, ето аз съм ей това

14:22↗ей това ми е коънекшън стринга. Ей тука

14:23↗са ми апитата, нали, за да може да си ги

14:25↗видим, да си бъгнем. То това е

14:27↗стейджинг. Кой сега на стейджинг го

14:28↗интересува, нали? Ама после тоя

14:31↗стейджинг отива на продакшъ и вече сме

14:35↗The Crown Jeels са изложени пред всички.

14:39↗Така, не правете такива работи. Има

14:42↗други начини за дебъгване, други начини

14:44↗за мониториране. Недейте да го правите

14:46↗това. Така.

14:49↗Secure error и тука същото нещо е

14:51↗internal secure vulnerable error. Secure

14:54↗status статусът ви трябва да връща само

14:56↗това

14:58↗статус може би версия на апликацията

15:00↗най-много и това е stamp. Аз съм healthy

15:03↗жив съм не ми връщай всичко друго. И

15:06↗като да като излезе някакъв erр емижте

15:08↗сега тука нещо гръмна. Ей тука имаме

15:10↗някакво error id. Може да го дадете на

15:12↗нашия специалист, който ще го види отзад

15:13↗в логовете, ще разбере. Тъй че

15:17↗да се върнем тука.

15:22↗Така. Какво да не правим? Не тролвайте

15:26↗просто ей така в контролерите или не

15:27↗оставте нещата, които контролерите биха

15:30↗тролнали, да излязат навън. Хендълвайте

15:32↗ги, рапвайте ги в хубави exсепtion,

15:34↗хубави retт кодове. Оставете theb,

15:37↗махнете, махнете. Да, това тука за малко

15:40↗съм го написал. Оставете theb and point

15:41↗of production.

15:43↗>> [хърка]

15:43↗>> Да, махнете ги. Исках да кажа. Не ми го

15:46↗е писал я. И това си го писах аз. Личи

15:49↗си. [смях]

15:51↗[ахвания] А и не оставяйте. Да. А тонот.

15:56↗Боже. Добре. Окей. Всичко е наред.

15:59↗Забравете всичко, каквото ви казах. Това

16:01↗това не са презентациите, които

16:06↗[прочиства си гърлото] Та да. и да не

16:09↗оставяте санетизацията на клиента, което

16:11↗е някак си obvъс, но продължава да се

16:13↗случва.

16:16↗Така.

16:18↗И сега отиваме на следващото.

16:20↗Как сме за времето? Добре сме за

16:22↗времето. Cryptographic failures.

16:26↗Отиваме на крипtic failures. Това винаги

16:29↗звучи много така advanced. Често пъти не

16:32↗е.

16:34↗[прочиства си гърлото][кашляне]

16:36↗Аа

16:39↗чака да видя сега кое беше. Не е това

16:42↗секюрити. Не.

16:46↗Кой беше бе? Този ли беше?

16:52↗Чакайте. Аз тука съм си ги подретил.

16:55↗[хърка] Sensitive dat. А не та другият

16:58↗беше. Excuse me. Ето този. Така.

17:03↗>> [прочиства си гърлото]

17:03↗>> Та какви са ни вариантите тука?

17:07↗Нека пак да тестваме. Не, get info.

17:10↗Другото ни интересува.

17:12↗Vulnerable. Сега какво какво какво лошо

17:16↗виждате ей тука в тоя endp? Get

17:18↗vulnerable users.

17:20↗Ей тука отиваме. Взимаме си

17:24↗нещата от тука. Имаше ли такова да

17:26↗свети? Не. А, взимаме си нещата от

17:29↗базата, юзерите и ги връщаме. Няма лошо.

17:33↗Ето, айде. Обаче,

17:36↗понеже сме тарикати, ми то там има и

17:38↗други работи, нали, в USър таблицата,

17:41↗дето

17:42↗ако сме забравили. Между другото това е

17:45↗това, дето го виждате тука е много често

17:47↗генериран код от AI. Искам юзърите.

17:51↗Готово. Ето ги от базата. Ето ги

17:52↗юзърите. Върши ли работа? Работи ли?

17:55↗Работи. И изведнъж хоп, ма паролата,

17:57↗махаша, ама всичко е там. Чудна работа.

18:03↗А така. Другото регистрация. Значи

18:06↗най-много обичам като си направя

18:07↗регистрация някъде и да получа мейл с

18:10↗паролата си въртек. Ей това ти е

18:11↗паролата за сайта. Али, направо

18:15↗ми се иска никога повече да не го

18:16↗посещавам тоя сайт. Сега това е подобно.

18:20↗А, регистрирате се и няма проблем. Ей

18:21↗това ти е паролата. Ама що му е

18:23↗паролата? Нали той трябва да си я

18:24↗написал въобще. Не му я връщай. Дори да

18:26↗му я връщаш, ти ще кажеш: "Ами, аз съм я

18:27↗хиширал, да, с MD5,

18:31↗което е другото нещо. Не използвайте MD5

18:33↗за хиширане на пароли.

18:36↗Да, ето го тука. Или сравняване на

18:39↗едното, другото. Значи,

18:42↗едно е да използвате MD5, друга да

18:44↗ползвате примерно Bкрипt, както е

18:45↗използвано тука с с така. Едното се

18:49↗разбива буквално за секунди, другото се

18:52↗разбива буквално за години. Така че

18:57↗of course така. А малко малко

19:00↗прибройвам, защото има доста неща да

19:02↗покажем. Не искам да да изпуснам някой

19:05↗от демотата,

19:07↗затова затова малко претичвам през някои

19:10↗от енпонтите, но отново да кажа в GitHub

19:13↗ще е цялото нещо вътре с

19:14↗документацийката. Е хубаво я попълнил.

19:17↗Ще видите за всеки един endpint какво не

19:19↗трябва да правите. Значи да, не връщайте

19:22↗данните от databй и това даже по принцип

19:24↗е един такъв едно златно правило мое.

19:27↗Никога никогати

19:29↗класовете ви не трябва да излизат

19:30↗навънка. Тоест това да ретърнете

19:32↗entityти класа през контролера биг noно.

19:36↗Ама те ще кажат: "Ама да, ама то нашите

19:38↗DTO-та, дето трябва да ги направим, те

19:39↗са едно към едно. Същите е същите са,

19:41↗ама ще те накарат като да тръгнеш да ги

19:44↗мачваш едно към друго." И като тръгнеш

19:45↗да ги мачиш едно към друго, ще кажеш:"А

19:47↗тая парола май не трябва да я връщаме

19:48↗навън, нали? Малко ще светне нещо.

19:52↗И да, естествено не си строите паролите

19:54↗с MD5. Значи това мисля, че от сигурно

19:59↗20 години хората го казват и продължава

20:00↗да се случва. Така че поне аз съм

20:03↗сигурен, че вие всичките дето сте тука

20:04↗няма да го направите вече. Казано ви е.

20:07↗Тъй че не използвайте MD5 за хиширане на

20:10↗пароли. Така. Инкшъ.

20:14↗Сега [прочиства си гърлото]

20:17↗всички сега ще си помислите, че си

20:18↗говорим за SQ, но не, защото аз вече се

20:23↗уморих да говоря за SQ икшъ и не мога да

20:25↗повярвам, че това все още е нещо през

20:27↗2026 година, но повярвайте ми е.

20:31↗А затова ще си говорим за Command и

20:33↗injection. Сега injection то е горе-долу

20:36↗същото, само че не е нещо, което отива

20:38↗към базата, а нещо, което отива към

20:40↗вашия шел.

20:42↗И сега да кажем ето тука сме си

20:43↗направили някаква някакво поintче.

20:46↗Искаме да си къмвъртваме и това много

20:49↗често. Ей тука отваряме, правим едно

20:52↗сайтче, да могат хората да си качат

20:55↗някакъв

20:56↗MDF

20:58↗Mark и да си го направят на PDF през

21:01↗нашия сървис. Що пък не? Е го. Готино е.

21:05↗Ей тука казваме vulnerable. Хоп. Да де.

21:08↗Обаче, ако е exзеeна

21:12↗с ето това,

21:16↗с файл нейма, който го подаваме като име

21:20↗тока

21:23↗и понеже отзад използваме някакъв CLI

21:26↗tool за мигриране от Markdown към PDF,

21:30↗защото е безплатен и защото ни е лесно и

21:32↗сме го инсталирали на сървъра и просто

21:34↗го викаме, викаме там execют това хоп.

21:37↗Еми, ето. О, ето ти го. Да. А, и ти си

21:39↗Тото. Мхм. Ето, значи вече знаем кой

21:43↗съм. Сещате се тука, че че вместо HIM

21:46↗мога да направя 1000 други неща. Мога да

21:48↗направя дропни базата, рестартирай

21:50↗сървъра, пуснир sha, всичко.

21:54↗И то защо се случва това нещо? Ами ей

21:56↗тука може да видим как се случва. Ей

21:58↗това е командата.

22:01↗Нарочно си я правим ехо, за да видим

22:03↗каква ни е.

22:05↗и сме казали

22:07↗ето тука ето подаваме файлнейма

22:10↗класическа класически сценарии като с SQ

22:12↗инжекtion това което ни е пуснал юзъра

22:15↗ние просто го конкатенираме в командата

22:17↗и го засилваме към шела с процес inf

22:22↗какво може да се случи какво лошо може

22:23↗да се случи много лоши неща может да се

22:25↗случат повярвайте ми сега ето тука

22:29↗същото нещо хоп опа целият ни passвад

22:33↗файл ни се върна

22:35↗в рекуеста

22:37↗или какво имаме в папката. Хоп, ето ни я

22:40↗папката с всичките работи. Общо взето

22:42↗много много неща може да си заиграем

22:44↗тука. Какъв би бил secure начин? Сега в

22:48↗SQL инжекшъна е малко по-лесно, защото

22:50↗там нали имаме параметризирани заявки,

22:52↗където това нещо може да ни помогне.

22:54↗Тука ще трябва малко по-ръчно да ги

22:55↗направим нещата. Неща от рода на регекс.

22:59↗Знам, че така много хора като чуват

23:00↗регекси а

23:02↗не не да но да но не се притеснявайте.

23:08↗AI пише много хубав регикс.

23:11↗Сега има и едни regxabilityта. Няма да

23:13↗си говорим сега за тях ама да. Та regx

23:19↗след това ние искаме да бъде да да ни

23:21↗изглежда инпутат. Общо взето long story

23:25↗short сенатизиране на инпута

23:27↗най-възможните начини. Нали, ако искаме

23:30↗наистина да го направим по тоя начин, че

23:31↗да викаме някаква команда към шела или

23:33↗към нещо друго, това е начинът. За

23:36↗съжаление няма кой знае колко по-други

23:40↗доракоустойчиви начини това нещо да се

23:41↗постигне.

23:43↗Така.

23:45↗Та какво да не правим?

23:48↗Take paramet sanitization for granted.

23:50↗Отново да не си мислим, че юзърт ще

23:54↗напише хубави неща или още по-лошото да

23:57↗ги оставим да се валидират на ниво

23:59↗клиент. Това също ми е било винаги

24:01↗най-любимото нещо. Казват е добре де,

24:03↗ние имаме нашия сървис, ние си пишем и

24:05↗уеб апликацията. Ние си го санетизираме

24:07↗в уеб апликацията. Като сме го

24:09↗санетизирали там, няма проблем, нали? Е,

24:11↗да де, ама то това, че вашата уеб

24:12↗апликация вие си я санетизирате тоя

24:15↗сървис и други могат да го ползват, ама

24:17↗ние не сме дали апи, ама те ще си го

24:19↗намерят.

24:21↗Тъй че да, не го Don't take it for

24:23↗granted. Не го взимайте за даденост. Не,

24:25↗не, не очаквайте, че то винаги ще е

24:27↗така. И това да си подаваш аргументите

24:30↗директно на шела, без да си направил

24:31↗някаква санитизация. Бикно no. Няма

24:35↗значение под каква форма.

24:38↗И последното от тоя списък.

24:44↗Добре, добре се движим. Последното от

24:47↗тоя списък,

24:49↗което е insecure design.

24:53↗А

24:55↗мас беше да така

24:59↗имаме тук сега inure design пак.

25:04↗register directly binding.

25:07↗Какво правим?

25:10↗Vulnerable register. Ето тука имаме си

25:13↗регистрация на user, нали? И какво

25:16↗очакваме? Директно сме казали дай ми

25:18↗тука от бодито юзъра. Виж, лесно сме си

25:21↗го мапнали. А сменяме му там ID-то с

25:24↗някакво друго. Правим муш на паролата.

25:26↗Добавяме го тука в контекста. Се save.

25:28↗Оп, готово. Да де. Май тука има едно

25:30↗хубаво такова. Ние така си различаваме

25:32↗админите в нашето приложение, защото той

25:34↗е и админ, нали? И ние сме преценили,

25:37↗нали, понеже нашата нашият фронтенд ще

25:39↗ни подаде тоя USър без и админ, всичко е

25:43↗супер. Е, да, да де, [смях]

25:46↗ама като си го подам ето така

25:50↗и му подам и тия неща, които не

25:51↗очакваме, че ще ни ги дадат, пък то ни

25:53↗пък те ни ги дават и хоп, вече съм

25:55↗админ. Значи регистрирам се като

25:57↗обикновен потребител

26:00↗или поне през сайта на за обикновени

26:02↗потребители. Обаче пращам и това и с

26:04↗webеб admin и с adдмин, защото преди

26:06↗това съм направил друга регистрация и то

26:08↗ми е върнало как ще изглежда USюзъ

26:11↗и аз я виж тука едно adдмиin това много

26:14↗хубаво много хубаво ми харесва така като

26:15↗го видя така

26:19↗как може secure емили

26:23↗създавате нов user и тия неща не ги

26:25↗взимате директно отпут и още по-хубавото

26:29↗направете си друго DTO въобще да няма

26:31↗тоя

26:32↗Това това прорти в смисъл колкото можете

26:34↗тия неща да ги разграничите, толкова

26:36↗по-добре.

26:38↗Това е secкюр начин. Ето тука можем сега

26:41↗да се регистрираме. Тука хакер се е

26:42↗регистрирал с парола рол администратор.

26:45↗Той всичко пробва, нали се сещате, че те

26:46↗като се опитват да да ви хакнат ей

26:49↗такива работи всякакви ще наредят, ще

26:51↗наредят роля, ще наредят adminн, ще

26:53↗наредят Permisш, всичко каквото мине, ще

26:57↗го пробват.

27:00↗Ето или друго.

27:02↗Такава вор тука акаунт баланс голям

27:04↗сники user registered общо взето не

27:08↗пускайте такива неща навън от вашата

27:10↗апликация ето го secure тука дори слагам

27:13↗и adдми обаче secure point казвари брат

27:16↗ти не си админ

27:20↗и така

27:24↗та какво да не правим

27:29↗да ползвате вашите интерне

27:31↗за еnal нужди. Ей това е лош дизайн.

27:36↗Винаги, винаги, винаги имайте отделни

27:38↗публични DTO-та, които нямат нищо общо.

27:40↗Знам, че е много лесно. Знам, че ами

27:42↗тука имаме един клас. Сега що ще го

27:43↗пишем 10 пъти тоя клас? То става

27:46↗глупаво. Ще трябва после да правим

27:47↗мапъри. Ще трябва Ами трябва да трябва

27:51↗така. Така си пазите се пазите от

27:54↗хакване. Та тука сега ви показах тия пет

27:58↗а пет неща, както казахме. Има още

28:00↗други. Аа има ги и в проекта, може да си

28:03↗го видите. Обаче преди това си поговорим

28:07↗за още едно друго нещо, което така ми е

28:08↗много интересно и любимо в последната

28:11↗година-две, защото не е само кода, не е

28:13↗само вашият код, не е само това какво

28:15↗вие сте написали, може да счупи вашата

28:17↗апликация и да помогне да бъдете

28:18↗хакнати.

28:21↗Сигурно сте гледали новините последните

28:23↗една-две години, освен ако не сте били

28:25↗под камък.

28:27↗Supply chain атаките са the next big

28:30↗sting и те превелват навсякъде. Чупят

28:34↗всичко а на огромни то не бяха аси то не

28:40↗бяха

28:42↗отс не знам колко от вас знаят заx от

28:45↗проблема.

28:47↗Това беше уникален уникална suly chin

28:50↗атака by the book. Просто толкова ерт.

28:54↗Microsoft човек я откри.

28:56↗и ги хвана.

28:58↗А, Евала, за което нали аз казах, че

29:01↗трябва да му вдигнат паметник на тоя

29:02↗човек.

29:04↗А sul chin attack атакта пак. Добре, че

29:06↗много бързо я хванаха. Това също бе.

29:07↗Абе, общо взето последно време suly chй

29:09↗атаките са най-популярната

29:12↗атака, която все още работи с пълна сила

29:15↗и продължава да бъде огромен проблем. И

29:18↗това също е едно от топ 10 на OASP

29:21↗supply chain vulnerabilityтата,

29:24↗защото както казахме само като

29:25↗погледнете последните години, ей тука

29:26↗извадих една статистика от един сайт,

29:29↗защото много ми хареса колко много са

29:31↗големи цифрите и а накрая в сорсовете

29:35↗може да видите 1 200 000 open source

29:39↗maware packages, логнати при тях от 2019

29:43↗само досега.

29:45↗Това са не версии, пакети общо пакети.

29:50↗9,8 трилиона долауда на ма на Малиша с

29:56↗пакети през върху всичките системи.

29:58↗Mavon,

30:00↗PP, MPM, Nugget, навсякъде, нали. Това

30:03↗не е нещо, което е специфично за DNET

30:06↗света. Всички страдат от това нещо.

30:08↗И тука още други. Тука е малко

30:10↗по-интересното, нали, че 65% от open

30:13↗source CV CV-тата, което значи

30:16↗vulnerрабилититата

30:18↗са без CVSS. Някой знае ли какво е CVSS?

30:23↗Това е скоринг на venбилити-то, което е

30:26↗много важно, защото когато скорнем

30:28↗vраabлити-то и се намира в Vраability

30:31↗database, тогава като инсталирате някой

30:35↗NPM пакет, получавате онова там. А, ама

30:37↗това тука е vulnerable, да знаете.

30:39↗Тоест, като нямаме такова, никой няма да

30:41↗ви предупреди, че тоя пакет е vulnerable

30:43↗и че има малиш код в него. Та 65% по

30:47↗статистика нямат такава такова нещо.

30:50↗Нямат скоринг, че са хакнати.

30:54↗И сега ще ви покажа и едно демо. Това

30:55↗как се случва

30:57↗сега? Представете си, аз съм един лош

31:00↗хакер, черче шапка,

31:04↗черен хакер. И а съм си създал един

31:07↗ногет пакет. Ей го. Казва се Consol

31:09↗Magic. Consol Magic е сет от яки extensш

31:13↗методи, с които екстеншъни на на stringн

31:16↗мога да си пиша в конзолата цветни

31:18↗работи. Няма да пиша consol right line,

31:21↗не знам какво. String тоtто to consol и

31:23↗с цвят. И кой не иска такова нещо

31:26↗особено. Всеки ще си кажей това ще

31:27↗направи апликацията ми е гати яката.

31:29↗Свалям си го веднага. Ей го тука вижте

31:32↗има една камаралоуди. Общо взето сега

31:37↗това нещо съм го изфабрикувал. Не съм

31:39↗качил такова нещо в getт, защото ще ми

31:40↗баннат акаунта, както се досещате,

31:43↗но съм но for presentation needs съм

31:45↗направил едно такова нещо и за веднага

31:47↗сега ще ви покажа и демото.

31:51↗Супер. Така.

31:55↗Демото също се намира тука в тоя същия

31:57↗solution. Досега гледахме Vulnerable

31:59↗App. Ето го Consol Magic.

32:03↗Сега аз вътре съм направил това аз съм

32:05↗го правил. Това не е от AI. Личи си,

32:08↗нали? [смях]

32:10↗А

32:12↗не съм направил кой знае колко много

32:14↗пакети. Имаме тоя пакет ту конзol. Ето

32:16↗то нещо супер семle extensншъ на string

32:19↗с някакъв consol color и просто пише те.

32:23↗За да си спестим тия четири реда код си

32:25↗инсталираме тоя пакет. Супер много яко.

32:29↗Така. И а

32:32↗и тука имаме и едно демо апликацийка,

32:36↗която аз тръгвам да пиша и си казвам ей

32:38↗тука ще си ех сега гледай колко е

32:40↗грозно. Сега трябва да пиша consol right

32:42↗line два пъти. Няма ли някакъв пакет,

32:44↗дето да ми спести това ужасно нещо?

32:46↗Отивам и веднага нека да го пробваме.

32:50↗Така.

32:52↗Ето отиваме тука и сега казваме първо да

32:56↗покажем. Значи нямаме го в момента

32:59↗нямаме тука такъв пакет. Имаме някакви

33:02↗други неща.

33:04↗А не дру друго другото отворих. Това

33:06↗нямаме инсталиран пакет. И сега отиваме

33:08↗и си го инсталираме. Dnet

33:13↗add Ето пакетът отново не си го

33:16↗инсталирам от noetwork, защото не е

33:18↗качен там. Инсталирам си го от

33:19↗локалното, където съм си го билднал

33:20↗преди това. Source local packages. Бам.

33:24↗Готово. Инсталиране. Всичко е точно.

33:27↗Ето тука. Опа, ето тука в local packages

33:30↗ми е едно get пакетчето, което аз преди

33:32↗това съм си билднал и ето той ми се

33:34↗инсталира всичко точно. И сега тука нали

33:38↗ще си кажа ей тия тука глупости ги

33:40↗махаме и правим тук

33:47↗во айде де.

33:50↗Сега трябваше using да си направим.

33:52↗Добре, благодаря ти.

33:55↗using

33:58↗color magic ли се казваше? Май така се

34:00↗казваше.

34:03↗Consol magic е. Thank you.

34:08↗Consol magic. Така. Дали работи това

34:11↗нещо? Сега ще видим. Предварително ей

34:13↗тука съм си отворил една папчица бул,

34:16↗която няма нищо в нея. Може да видите

34:18↗празна.

34:20↗Ето да се уверите, че няма нищо в нея.

34:23↗И сега тука ще кажем Dnet run

34:28↗проектчето.

34:29↗[хърка]

34:32↗А вижте колко е яко. Оранжево е. А е

34:37↗само с два реда код. Да де. Обаче сега

34:39↗тия два реда код отиваме тука в бу.

34:43↗Правим пак LS и се появил едно файлче. И

34:46↗какво има в това файлче?

34:49↗Пава D файла ми.

34:53↗Яко, нали? А сега ще ви покажа колко е

34:56↗лесно. Ето тука е магията.

35:00↗Вно пакетите може да имате MS build

35:02↗таргети, които се екзекют всеки път при

35:05↗билд пристор на пакета. А знаете ли кое

35:08↗е още по-якото, че не може да ги спрете?

35:12↗Няма

35:14↗лесен начин да кажете на рестора не ми

35:17↗екзекютвай тия MSB от таргетчета. Избил

35:20↗таргет е супер прост. Създай ми тука

35:22↗една папка blue и копирай пасав в нея.

35:27↗That's it. Имайте в предвид, нали, че

35:30↗като пускате restore, това нещо се

35:32↗екзекютва в контекста на вашия user

35:34↗което означава, че езева в контекста на

35:36↗root, което нещо се случва и на

35:38↗локалната ви машина. Restore, бум,

35:41↗компрометирани сте, имате троянец,

35:43↗изтекаха ви всичките пароли. Пускате го

35:45↗на C-я, бум. Компрометира ви CPйна.

35:49↗тегли по време на Cware, инжектира го

35:52↗във вашия код и вече вашият сървър е

35:54↗компрометиран и почва да разпространява

35:56↗Maware навсякъде. Тъй че [смях]

35:59↗това е много неприятна атака.

36:04↗Та [хърка]

36:07↗ама тука сега ще ми кажете да де, ама аз

36:09↗не използвам естърnalл такива работи или

36:11↗имам аа много сериозен процес по

36:14↗добавяне на външни пакети. и всичките ги

36:16↗отваряме, им проверяваме вътре таarгет

36:18↗файловете и така нататък. Супер. Добре.

36:22↗Ползвате [прочиства си гърлото] ли вие а

36:24↗Visual Studio Code?

36:27↗Колко от вас имат инсталирано Visual

36:28↗Studio Code на компютъра си?

36:33↗Нали знаете, че Visual Studio Code е

36:34↗просто билдната уеб апликация с

36:37↗електрон нали?

36:40↗А електрон е MPM пакет.

36:45↗И тоя пакет има някакви dependнта

36:51↗и ти сега ще си кажете ама те са само

36:52↗три.

36:54↗Добре, ей това е графа

36:57↗на тия три dependнънсита.

37:00↗А за тия всичките тука, ако извадим

37:03↗списъка с мейтенъри и хора, които са

37:06↗включени в тия пакети, той изглежда

37:09↗горе-долу ей така.

37:11↗И аз не знам за вас.

37:15↗Ама аз нямам много голямо доверие на I

37:18↗am evalбиit

37:21↗и какъв код е сложил в пакета си.

37:29↗[аплодисменти]

37:31↗Обаче сега със сигурност ще има и други,

37:33↗които ще казват: "Е, ние ползваме Visual

37:35↗Studio, vsД ползваме."

37:38↗Е, то има и други апликации с електрон.

37:41↗А мога да се хвана на бас, че няма тука

37:43↗в тая зала нито един, който да няма поне

37:44↗една от тия четирите.

37:47↗Така че

37:49↗keep ком [смях]

37:51↗не всичко е загубено. Сега не казвам, че

37:53↗вие че vs кот е компрометиран, разбира

37:55↗се. Просто давам една ментална идея

37:58↗какво може да се случи, когато един

38:01↗достатъчно мотивиран зъл хакер от

38:04↗Северна Корея с достатъчно време и

38:06↗ресурси реши да го направи.

38:10↗Какво може да направите?

38:12↗Използвайте стрикт вършани. Не

38:14↗използвайте Wild Characts за пакетите

38:17↗си, тоест стая и всичките нагоре майъри,

38:19↗защото така хакват хората. Знайте си

38:22↗dependдънситета. Винаги бъдете много

38:24↗майнф от това какво инсталирате. Не

38:25↗просто никога не добавийте една

38:27↗библиотека. Сега това в DNET света,

38:29↗слава богу, не е така. В npm светът е

38:32↗Wild West за това за какво използваме

38:34↗пакети. Тука поне е така, но все пак

38:37↗знаете си dependнситата. Ако може, не

38:40↗използвайте пакети на особено на

38:43↗най-sensi частите от вашата система,

38:45↗частите свързани с autentication, с пари

38:49↗и с такива работи.

38:53↗И educate your developers.

38:56↗Сега аз защо го казвам това нещо? Аз съм

38:59↗девелопър и смятам, че е много важно а

39:06↗да се обучат хората на secкр кодинг,

39:09↗защото за мен е това е най-големият гап

39:11↗и най-големият проблем в момента.

39:14↗Тъй че

39:16↗отдавна трябва да мислим, че

39:20↗секюрити-то не е само за

39:23↗не е само за secкюрити хора или за

39:25↗хакери и за бели хакери и така нататък.

39:28↗А знаете ли за какво е чие

39:29↗responsiбилити е

39:32↗всъщност?

39:38↗Developers, developers developers

39:39↗developers developers

39:42↗developers developers developers

39:44↗developers.

39:50↗И затова искам да ви поканя на следващия

39:53↗Олап, който ще се случи на 30-ти. Елате,

39:56↗ще си говорим за secюрити, ще си говорим

39:58↗за това как се хакват посттерминали.

40:01↗Имаме такава лекция. Напълно безплатно

40:03↗е. Това е QR кода за регистрация в

40:06↗Meetup. Искаме някаква регистрация само

40:08↗за да знаем колко пица трябва да купим.

40:10↗Нищо друго не се изисква или нямате

40:12↗някаква ангажираност.

40:15↗И с това искам да ви благодаря, че бяхте

40:19↗тук днес и че ме изслушахте. Bra.

40:22↗[аплодисменти]