Zdeněk Ondra

Penetrační tester, Brno

Živím se tím, že se nabourávám do systémů, abych zjistil, kudy by se do nich dostal někdo jiný. Pracuji jako penetrační tester v NÚKIB a studuji Informační bezpečnost na FEKT VUT v Brně.

Nejvíc mě baví interní sítě a Active Directory, kde se z jednoho obyčejného účtu dá často dojít až k celé doméně. Dál hardware a webové aplikace. Ve volném čase s kamarádem stavím rybářskou aplikaci Revírník.

Co testuji

Interní síť a AD: Co se stane, když se útočník dostane dovnitř. Eskalace oprávnění, laterální pohyb, Kerberos, delegace, segmentace.
Hardware: Firmware, embedded a IoT zařízení, fyzický přístup.
Web a API: Ruční testování logiky, přihlášení a přístupových práv, ne jen automatický sken.

Na začátku si písemně potvrdíme rozsah a pravidla. Kritické věci hlásím hned, ne až v závěrečné zprávě. Report má shrnutí pro vedení a technický detail pro IT, a když je opraveno, ověřím, že to opravdu drží.

Jak vypadá nález v reportu

F-03 · Vysoká · Hesla servisních účtů lze prolomit offline (Kerberoasting)

Dopad. Libovolný zaměstnanec si může vyžádat ticket pro účet svc_backup a jeho heslo prolomit na vlastním počítači. Účet má práva na všech serverech, takže útočník tím během pár hodin získá celou doménu.

$ GetUserSPNs.py corp.local/j.novak -request
$ hashcat -m 13100 svc.hash rockyou.txt
[+] svc_backup : Zaloha2023!   (41 min)

Doporučení. Nahradit účet za gMSA, případně nastavit náhodné heslo o délce 30+ znaků a omezit práva jen na zálohovací server.

Ilustrační ukázka, prostředí i údaje jsou smyšlené.

Projekty

Revírník Rybářská aplikace pro Česko a Slovensko. Mapy revírů, pravidla a úlovkový deník, funguje i bez signálu. Přes 10 000 uživatelů, 200–300 denně. Flutter, FastAPI, vlastní server.
HomeIsland Domácí server na Raspberry Pi, který funguje i když vypadne internet. Lokální DNS, offline Wikipedie a mapy, žádný cloud. Open source.
Jarvis Hlasový asistent v češtině, který běží celý doma bez cloudu. Agent s nástroji, ale nic důležitého neudělá bez mého potvrzení. Rozpracované.

Teď

Pentesty v práci, Revírník po večerech, HackTheBox o víkendech. Jinak běhám, jezdím na kole a na motorce a v září fotím jelení říji.

Kontakt

Pokud potřebujete otestovat síť, aplikaci nebo zařízení, napište mi, co to je a kdy byste to potřebovali.