Awillix Award 2024

ТАЙМЛАЙН

НОМИНАЦИИ

ЖЮРИ

НАГРАДЫ

ПОЗДРАВЛЯЕМ ПОБЕДИТЕЛЕЙ PENTEST AWARD 2024! СПАСИБО ВСЕМ ЗА УЧАСТИЕ И ДО ВСТРЕЧИ НА PENTEST AWARD 2025

Цель премии — отметить заслуги пентестеров, поднять боевой дух, показать, что рынок заинтересован и высоко оценивает их навыки, а также создать пространство для обмена уникальным опытом и улучшить общий уровень компетенций специалистов.

ВИДЕООТЧЕТ

Победители Pentest Award 2024

В номинации «Пробив web»

Кейс «Cache Engine Deserialization»

Создание нового пользователя в системе без проверки сессии, обход средств защиты и выполнение команд ОС на целевой системе.

@Danr0

3 место

Кейс «Cache Engine Deser»

RCE через получение доступа в панель администратора и установку уязвимого модуля. RCE через десериализацию в движке кеша одного из модуля CMS.

@Tr3harder

2 место

Кейс «Multiple Take Over»

Bypass 2FA путем изменения GET параметра:переход страницу завершения регистрации, минуя ввод кода из СМС, с установкой нового логина и пароля.

@shin0_by

1 место

В номинации «Пробив инфра-структуры»

Кейс «.NET Init»

Создание нового пользователя в системе без проверки сессии, обход средств защиты и выполнение команд ОС на целевой системе.

@Secm3_n

3 место

Кейс «Pivot Point»

Petit Potam для получения NTLM хеша, DCSync атака и создание Golden Ticket.

@Snovvcrash

2 место

Кейс «FreeIPA»

Анализ инфраструктуры на базе FreeIPA. Извлечение соли для пользователя и перебор паролей с расшифровкой TGS.

@Im10n

1 место

В номинации «Девайс»

Кейс «Printer»

Воспользовавшись уязвимостями в шаблонах сертификатов, автор получил сертификат и извлек NTLM хеш, что дало ему права администратора домена.

@Ka1_ne

3 место

Кейс «Davinci»

Автор обнаружил уязвимую камеру Hikvision, установив точку доступа с ESSID "davinci" для подключения через CVE-2017-14953.

@VlaDriev

2 место

Кейс «SMS Heap Overflow»

Исследователи выявили уязвимость переполнения кучи в модеме, позволяющую выполнить произвольный код путем отправки специально сформированных SMS.

@N0um3n0n

1 место

В номинации «Hack
the logic»

Кейс «RCE bot»

Исследователь обнаружил уязвимость в Telegram-боте сервиса онлайн-образования, позволяющую внедрить команду через некорректную обработку ссылок в сообщении.

@Guleroman

3 место

Кейс «Take Over»

Автор использовал уязвимость с чувствительностью к регистру в email, чтобы обойти проверку и выполнить захват учетных записей через подмену JWT токенов.

@Arkiix

2 место

Кейс «From Bot to Admin»

Автор использовал возможность создания ботов в ПО на без Mattermost, манипулируя параметром bot-roles-fiel для повышения привилегий до уровня администратора.

@only4u2day

1 место

В номинации «Раз bypass, два bypass»

Кейс «BYOVD»

Автор использовал уязвимый драйвер PDFWKRNL.sys для выполнения чтения и записи памяти через IOCTL запросы, обходя защиту Driver Signature Enforcement (DSE) ядра Windows 11.

@Human1231

3 место

Кейс «Hollowing»

Использовал уязвимость в веб-приложении для выполнения команд ОС, а для обхода AV - shell-код с применением техники process hollowing.

@Maledictos

2 место

Кейс «SafetyNDump»

Автор использовал TokenDuplicator для получения привилегий SYSTEM, затем применил NanoDump и обход AV.

@snovvcrash

1 место

В номинации «Ловись рыбка»

Кейс «VISHING»

Автор собрал открытую информацию о сотрудниках компании и отправил фишинговое письмо с неоткрывающимся файлом.

@S3n_q

3 место

Кейс «Real SEngineering»

Команда участников квеста по социальной инженерии использовала поддельные бейджи, чтобы получить доступ к различным зонам фестиваля.

@Szybnev

2 место

Кейс «Advanced Rogue RDP»

Автор использовал технику Rogue RDP, отправив фишинговое письмо с RDP-файлом, который автоматически подключался к внешнему серверу и создавал прокси-туннель.

@X0red

1 место

ТАЙМЛАЙН

прием заявок до

голосование жюри

формирование шорт-листа

вручение премии

НОМИНАЦИИ

пробив инфраструктуры

за выдающиеся достижения в области тестирования на проникновение и эксплуатации уязвимостей сетевой инфраструктуры, включая, но не ограничиваясь, сетевыми устройствами, сетевыми сервисами и IoT-устройствами. В фокусе этой номинации — сложность и оригинальность подходов к обнаружению уязвимостей, приводящих к компрометации сетевой инфраструктуры с незначительным взаимодействием веб-компонентов.

Пробив WEB

за мастерство идентификации и эксплуатации уязвимостей в веб-сервисах, API и других компонентах веб-приложений. Оценивается глубина анализа, сложность обнаруженных технических и логических уязвимостей. Особое внимание уделяется уникальным и ранее не известным уязвимостям.

пробив web

Куратор номинации

пробив инфраструктуры

Куратор номинации

**ck the logic

За находку самых топовых логических баг.

**ck the logic

Дивайс

За выдающиеся достижения в области анализа уязвимостей и исследования технических недостатков, обнаруженных в разнообразных устройствах, прошивках и окружении. Основное внимание уделяется устройствам, которые активно задействованы в ИТ-процессах организаций, включая, но не ограничиваясь, контроллерами, мобильными устройствами, банкоматами, камерами, МФУ и так далее.

Девайс

ловись рыбка

За самый оригинальный фишинг или попытку засоциалить сотрудников. Оценивается всё: нагрузка, текст фишинга, использование нестандартных инструментов.

Ловись рыбка

Раз bypass, два bypass

За самый красивый обход средств защиты информации.

Раз bypass, два bypass

НАГРАДЫ ДЛЯ КАЖДОЙ НОМИНАЦИИ

ЖЮРИ

ИЛЬЯ КАРПОВ

Руководитель группы экспертизы безопасности АСУ ТП в BI.ZONE. Более 12 лет ищу уязвимости, участвую в аудитах и пентестах КИИ. Зарегистрировал более
300 CVE\BDU, топ-10 разных записей в рейтинге BDU ФСТЭК. Сооснователь сообщества Ruscadasec и группы исследователей ScadaXSecurity.

Павел Топорков (Paul Axe)

Независимый исследователь. Багхантер, докладчик на международных конференциях, автор уязвимостей нулевого дня в таких известных продуктах как Siemens, Redis, OpenStack

Вячеслав Касимов

CISO в МОСКОВСКОМ КРЕДИТНОМ БАНКЕ — ТОП-10 Банков в РФ и входящий в перечень системно-значимых. Последние 15 лет работал на позициях CISO в крупнейших банках России и НСПК. Адепт риск-ориентированного подхода в построении информационной безопасности и использования в работе лучших мировых практик. Имеет большой опыт построения практической информационной безопасности с нуля, проектирования комплексных систем информационной безопасности, антифрода и отражения таргетированных атак.

Михаил Сидорук

Руководитель управления анализа защищенности, BI.ZONE

Дмитрий Морев

Директор по информационной безопасности ”RuStore”. Больше 15 лет в ИБ. Основное направление AppSec и безопасность инфраструктуры.

Антон Лопаницын
(bo0om)

исследователь информационной безопасности и блогер

РОМАН ШЕМЯКИН

Lead Application Security Engineer at Yandex

СЕРГЕЙ КУЗМИНОВ

Руководитель отдела тестирования на проникновение и RedTeam BI.ZONE

Павел Никитин

во главе команды Red & Purple Team оценивает и улучшает защищенность инфраструктуры VK. Более 10 лет в индустрии информационной безопасности, проверял на прочность системы ОПК, банков и различных коммерческих организаций.

Александр Герасимов

Сооснователь Awillix, автор телеграм-канала Just Security.

Вадим Шелест

Руководитель группы анализа защищенности в Wildberries. Более 12 лет в пентестах. Автор многочисленных статей на тему практической ИБ, спикер международных конференций и ИБ митапов. Автор телеграм-канала PurpleBear.

Роман Панин

руководитель направления Архитектуры ИБ в МТС и автор телеграм-канала «Пакет Безопасности»

ОРГАНИЗАТОР ПРЕМИИ

Awillix — одна из лучших пентестерских компаний в РФ. Специализируемся на сложных и уникальных проектах по оценке рисков информационной безопасности, анализу защищенности информационных систем и ИТ-инфраструктуры.

более 400

проектов провели по пентесту

AWILLIX

более 10 000

выявленных уязвимостей для разных российских компаний

За 5 лет

существования компании

СПОНСОРЫ

VK — крупнейшая российская технологическая компания, которая одной из первых в России начала платить внешним исследователям безопасности за найденные уязвимости. В 2024 году VK переосмыслила общепринятый в индустрии подход к выплатам, отказавшись от фиксированных максимальных сумм и внедрив механизм Bounty Pass.

VK BUG BOUNTY

Платформа BI.ZONE Bug Bounty — это 75 приватных и публичных программ, более 6000 багхантеров, выплаты в течение 30 часов и много-много приятных бонусов. Все просто: вы им — баги, они вам — деньги.

BI.ZONE BUG BOUNTY

кейсы победителей на обложке легендарного журнала хакер

наш информационный партнер

победителям билеты
на OFFZONE

СПОНСОР ПРЕМИИ

OFFZONE

OFFZONE — конференция по практической безопасности. С 2018 года объединяет более 3000 специалистов по кибербезу, разработчиков, инженеров, исследователей, преподавателей и студентов со всего мира. Здесь можно отбросить все формальности и круто провести время в компании лучших специалистов в индустрии.

ИНФОПАРТНЕРЫ