[{"data":1,"prerenderedAt":160},["ShallowReactive",2],{"track-bits-n-bites-nl":3},{"id":4,"title":5,"backToProgram":6,"body":7,"description":144,"differentiator":149,"extension":150,"intro":151,"meta":152,"name":153,"navigation":154,"path":155,"seo":156,"stem":157,"tagline":158,"__hash__":159},"tracks\u002Fnl\u002Ftracks\u002Fbits-n-bites.md","Bits n Bites: diepgaand","Terug naar het programma",{"type":8,"value":9,"toc":143},"minimark",[10,15,19,23,26,29,32,40,74],[11,12,14],"h2",{"id":13},"waarom-het-ertoe-doet-in-de-echte-wereld","Waarom het ertoe doet in de echte wereld",[16,17,18],"p",{},"Dit zijn geen theoretische kwetsbaarheden. In 2017 verloor Equifax 147 miljoen records doordat een enkele webframework niet werd gepatcht. In 2023 compromitteerde een SQL injection-fout in MOVEit data bij meer dan 2.000 organisaties. In 2012 liet een mass assignment-bug op GitHub een aanvaller zijn eigen SSH-sleutel toevoegen aan elke repository. In 2016 stelden gebroken toegangscontroles bij Uber 57 miljoen gebruikersrecords bloot. Bits n Bites combineert al deze kwetsbaarheidsklassen in een enkel doelwit, want precies zo falen echte applicaties: niet door een enkele fout, maar door een keten ervan. De track begint zoals een echte aanvaller zou beginnen, door gelekte breachdata te ontginnen. Weten hoe je deze zwakheden opspoort en aan elkaar verbindt is het verschil tussen veilige code shippen en het volgende incidentrapport worden.",[11,20,22],{"id":21},"wat-je-gaat-hacken","Wat je gaat hacken",[16,24,25],{},"Je doelwit is Bits n Bites, een mobiele bezorgapp waarvan de API-endpoints bijna alles doen behalve gebruikersdata beschermen. Voordat je de app uberhaupt aanraakt, bevraag je een gelekte Equifax-achtige dataset in Azure Table Storage en gebruik je verschillen in loginresponses om actieve accounts te identificeren. Vanaf daar stopt de aanvalsketen niet meer.",[16,27,28],{},"Boolean-based blind SQL injection op het zoekendpoint voor restaurants laat je MFA-identifiers extraheren die de UI nooit toont. Insecure direct object references laten je TOTP-secrets van andere gebruikers lezen. Een mass assignment-fout laat je MFA-configuraties kapen die de frontend bewust verbergt. Client-side JavaScript onthult hardcoded AES-encryptiesleutels. Opgeslagen XSS in de chat tussen chauffeur en vendor steelt live authenticatietokens. En een XML-exportfunctie, kwetsbaar voor XXE, wordt een server-side request forgery-gadget die het interne financiele grootboek bereikt.",[16,30,31],{},"Elke kwetsbaarheid voedt de volgende. Je voert geen losstaande oefeningen uit. Verspreid over 13 challenges en 5 fases bouw je een enkele, doorlopende aanvalsketen van een gelekte dataset helemaal tot aan het interne grootboek dat bewijst dat de witwasoperatie bestaat.",[33,34],"challenge-highlight",{":items":35,":stats":36,"description":37,"eyebrow":38,"title":39},"[{\"title\":\"Equifax-achtige Data Recon\",\"tabLabel\":\"Data Recon\",\"description\":\"De aanval begint voordat je de app aanraakt. Bevraag een gelekte dataset in Azure Table Storage met OData-filters, kruisreferenceer treffers vervolgens met het loginformulier van het platform, dat het bestaan van accounts lekt via verschillende foutmeldingen. Zo wapenen echte aanvallers breachdata.\",\"type\":\"gif\",\"src\":\"\u002Fcontent\u002Fgif\u002Fbits.gif\"},{\"title\":\"Boolean Blind SQL Injection\",\"tabLabel\":\"SQL Injection\",\"description\":\"Het zoekendpoint voor restaurants geeft resultaten of een lege lijst terug afhankelijk van een geinjecteerde booleaanse voorwaarde. Geen foutmeldingen, geen timing-trucs. Alleen waar of onwaar, een bit per keer, totdat je MFA-identifiers hebt geextraheerd die de API was gebouwd om te verbergen. Hetzelfde patroon achter de MOVEit-breach die in 2023 meer dan 2.000 organisaties compromitteerde.\",\"type\":\"video\",\"src\":\"\u002Fcontent\u002Fvideo\u002Fbits.mp4\"},{\"title\":\"Mass Assignment & MFA Hijack\",\"tabLabel\":\"Mass Assignment\",\"description\":\"De frontend verbergt het MFA-eigenaarschapsveld, maar de API accepteert het. Stuur een opgemaakte JSON-body met andermans e-mailadres en je eigen MFA-instellings-ID, en het platform wijst hun tweede factor aan jou toe. In 2012 liet dezelfde klasse kwetsbaarheid op GitHub een aanvaller zijn SSH-sleutel toevoegen aan elke repository.\",\"type\":\"image\",\"src\":\"\u002Fcontent\u002Fimg\u002Fbitsnbites\u002Fmail.png\"},{\"title\":\"Opgeslagen XSS & XXE Chain\",\"tabLabel\":\"XSS & XXE\",\"description\":\"De chat tussen chauffeur en vendor blokkeert exacte scripttags maar geen case-variaties. Injecteer een opgeslagen XSS-payload die het authenticatietoken van de vendor uit localStorage steelt. Gebruik dat token vervolgens om toegang te krijgen tot het vendor-portaal en misbruik een XXE-kwetsbaarheid in de XML-exportfunctie, die je omzet in een SSRF-gadget die het interne financiele grootboek bereikt.\",\"type\":\"image\",\"src\":\"\u002Fcontent\u002Fimg\u002Fbitsnbites\u002Fxxe-injection.svg\"},{\"title\":\"IDOR & Cryptografische Fouten\",\"tabLabel\":\"IDOR & Crypto\",\"description\":\"Verander een enkele ID in het MFA-instellings-endpoint en lees de TOTP-secret van een andere gebruiker. Vind vervolgens een hardcoded AES-sleutel begraven in client-side JavaScript en gebruik die om het e-mailadres van de chauffeur uit orderbonnen te ontsleutelen. Uber verloor in 2016 57 miljoen records aan gebroken toegangscontroles zoals deze.\",\"type\":\"image\",\"src\":\"\u002Fcontent\u002Fimg\u002Fbitsnbites\u002Fsettings.png\"}]","[\"13 challenges\",\"5 fases\",\"8+ kwetsbaarheidstypes\"]","Chain echte kwetsbaarheden over vijf fases, van Equifax-achtige data-recon tot een volledige XXE-naar-SSRF exfiltratieketen. Elke techniek is gekoppeld aan een gedocumenteerde breach.","Challenges","Mobiele applicaties kunnen dezelfde kwetsbaarheden hebben",[41,42,43,50,56,62,68],"attack-chain",{},[44,45,47],"attack-step",{"label":46},"Account verkenning",[16,48,49],{},"Bevraag een gelekte Equifax-achtige dataset opgeslagen in Azure Table Storage met OData-filters. Probeer vervolgens het loginformulier van het platform met de data die je hebt gevonden.",[44,51,53],{"label":52},"Infiltratie",[16,54,55],{},"Maak een account aan, inspecteer de profile-API en ontdek verborgen instellingen.",[44,57,59],{"label":58},"Account overname",[16,60,61],{},"Kaap configuraties via mass assignment-fouten, stuur authenticatiecodes om naar jezelf en neem volledige controle over het account van een verdachte.",[44,63,65],{"label":64},"Laterale beweging",[16,66,67],{},"Pivot van klant naar chauffeur door SQL injection te chainen. Gebruik IDOR om hun TOTP-secret te stelen, en AES-decryptie om identificerende informatie over de chauffeur te onthullen. Genereer vervolgens TOTP-codes en reset hun wachtwoord.",[44,69,71],{"label":70},"Exfiltratie",[16,72,73],{},"Misbruik een XXE-kwetsbaarheid in de XML-exportfunctie van de vendor om server-side request forgery uit te voeren tegen het interne grootboek.",[75,76,77,94,102,110,124,135],"owasp-panel",{},[78,79,81],"owasp-item",{"number":80},"A01",[82,83,84,88,91],"ul",{},[85,86,87],"li",{},"Misbruik insecure direct object references om MFA-instellingen van andere gebruikers te benaderen.",[85,89,90],{},"Misbruik mass assignment-kwetsbaarheden om accounteigenaarschapsvelden te overschrijven die de API nooit had mogen blootstellen.",[85,92,93],{},"Maak gebruik van server-side request forgery via XML external entity injection om interne diensten te bereiken.",[78,95,97],{"number":96},"A02",[82,98,99],{},[85,100,101],{},"Herstel zogenaamd verwijderde berichten uit de localStorage van de browser die het platform vergat te wissen, waardoor de naam van de bank achter de witwasoperatie wordt onthuld.",[78,103,105],{"number":104},"A04",[82,106,107],{},[85,108,109],{},"Achterhaal hardcoded encryptiesleutels die zijn achtergebleven in client-side JavaScript en gebruik ze om beschermde chauffeurmetadata te ontsleutelen.",[78,111,113],{"number":112},"A05",[82,114,115,118,121],{},[85,116,117],{},"Voer boolean-based blind SQL injection uit tegen het zoekendpoint voor restaurants. Resultaten verschijnen of verdwijnen afhankelijk van geinjecteerde voorwaarden, waardoor data lekt die de UI was gebouwd om te verbergen.",[85,119,120],{},"Omzeil zwakke sanitisatiefilters met case-variation payloads om opgeslagen XSS af te leveren via de chat tussen chauffeur en vendor, en steel authenticatietokens in real time.",[85,122,123],{},"Bouw XXE-payloads die een XML-exportfunctie omzetten in een gateway naar interne financiele grootboeken.",[78,125,127],{"number":126},"A07",[82,128,129,132],{},[85,130,131],{},"Enumereer geldige accounts door te observeren hoe de loginflow anders reageert op geregistreerde en ongeregistreerde gebruikers.",[85,133,134],{},"Kaap MFA-flows door tweede-factor-uitdagingen om te leiden naar een account onder jouw controle, gebruik vervolgens de onderschepte codes om het wachtwoord van het doelwit te resetten en volledige controle te nemen.",[78,136,138],{"number":137},"A08",[82,139,140],{},[85,141,142],{},"Misbruik een generiek update-endpoint dat geposte objecten blind koppelt zonder eigenaarschap te valideren, waardoor volledige MFA-kaping mogelijk is met een enkel zorgvuldig opgesteld verzoek.",{"title":144,"searchDepth":145,"depth":145,"links":146},"",2,[147,148],{"id":13,"depth":145,"text":14},{"id":21,"depth":145,"text":22},null,"md","Bits n Bites zet je middenin het Bits n Bites-platform: een strak ontworpen bezorgapp die Sine Nomine verdenkt van witwassen. Je dekmantel is een gewoon klantenaccount. Je missie: het financiele netwerk van binnenuit in kaart brengen. Daarvoor moet je gebroken toegangscontroles doorbreken, injecteerbare endpoints misbruiken, authenticatieflows omzeilen en transactiepatronen traceren die geen enkele legitieme bezorgapp ooit zou mogen produceren.",{},"Operation Bits n Bites",true,"\u002Fnl\u002Ftracks\u002Fbits-n-bites",{"title":5,"description":144},"nl\u002Ftracks\u002Fbits-n-bites","Een live witwasoperatie verborgen in een bezorgapp: klim door de gelederen om erachter te komen wie er achter de verdacht ogende restaurants zit.","IlJteTvVjRmd8Q0XuliJloE0Gt1MIg3XtrgRZpOouWc",1778504767625]