From JDBC URI to a New Remote Code Execution Attack Surface

ZeroNights 2019 | Программа | From JDBC URI to a New Remote Code Execution Attack Surface

12 Ноябрь, 12:00|45мин|зал Мир

Java Database Connectivity (JDBC) – API языка программирования Java, определяющий то, как клиент может получить доступ к базе данных.

В нашем докладе мы представим новую технику проведения атак – JDBC URI Attack. Используя ее, злоумышленник может перехватить контроль на JDBC URI, взломать сервер жертвы и выполнить на нем произвольный код. Мы также покажем демо различных сценариев атак, и объясним, как добиться выполнения произвольного кода, атакуя JDBC URI.

Также мы затронем тему эксплуатации Mysql, Oracle, Postresql и других баз данных, встречающихся в практически каждой корпоративной системе.

Помимо этого, мы обсудим ошибки безопасности официального стандарта JDBC, которые окажут влияние на десериализацию Java.

Юнтао Ван

Юнтао Ван (@by_Sanr) – глава Red Team в BCM Social Corp. Он имеет богатый опыт в области защиты беспроводных сетей и тестировании на проникновение. Исследовательские интересы Юнтао также включают поиск угроз Active Directory. Он представлял результаты своей исследовательской деятельности на China Internet Security Conference (ISC), Blackhat, Codeblue, POC, CanSecWest, HackInTheBox и других конференциях по информационной безопасности.

Доклады