Отзыв по Zero Nights 2025

Отзыв будет с двух сторон, как просто гостя конференции и как медиа/админа канала

С точки зрения админа канала орги провалили коммуникацию с инфо партнерами подчистую. Начнем с фактов:
1. Общение по почте - в 25 году со скрежетом, но окей, если отвечаете быстро. А это было не всегда. Советую поучиться у других компаний, которые просто приходят в лс с просьбой что-то опубликовать
2. Объективно говоря, некоторые конфы сильно меньше посещали бы, если PR/маркетинг не приходил к админам с предложением о бартерной рекламе. Но в случае ZN я понимаю, что делали/не делали бы рекламу, то все равно бы был около аншлаг из тех людей, кто ранее бывал хотя бы на одном ZN до его закрытия. Значит посмотрим на обратный эффект, уменьшится ли кол-во посетителей)
3. Непонятные внутренние условия/регламент по работе с комьюнити-партнерами инфо-партнерами. Конкретно сгорело с выдачи билетов некоторым партнерам конфы, по принципу - ну ты попроси и мы тебе озвучим условия. Нормально подход, но не когда блет узнаешь это от других админов, а когда пишешь сам - тебе говорят сори, но проходки уже не даем, гуляй мальчик. Собственно странно ограничено давали комьюнити партнёрам, которые были со стендами
4. Разбавим ноткой того, что VK ооочень крупно по ощущениям вложился и офигенно красиво, полезно наполнил территорию ивента своими точками и особенно крутая была зона лаунджа для багхантеров. Плюс слышал что там была классная CTF от вк. Петя Уваров +rep за такое)
5. Собственно как админ я может и ЧСВ, но ценю какое-то уважение и всегда сравниваю между конференциями
10. Заключение: в след году я вряд ли посещу конференцию

Оценка как гость будет более благоприятной
1. Объективно суперская атмосфера мероприятия. Есть лёгкие вайбы OFFZONE, но круче
2. Доклады очень субъективно, когда я в 2017 году смотрел записи докладов - меня будоражило слово exploit, linux, malware. То сейчас конечно нет, просто подожду записей докладов и посмотрю выборочно. Ходил на доклады больше, чтобы поддержать знакомых
3. Довольно много людей на площадке говорило, что они путались. Тут не соглашусь с ними, на полу было много наклеено указателей куда идти, просто повнимательнее надо было. Но объективно я сколько раз доходил до 3ье трека, который был на другом конце здания - там было 1,5 землекопа. Не очень удачно выбрали место
4. Поспрашивал людей, которые никогда не были на ZN. Сказали, что вау эффекта не случилась. Просто питерский аналог OFFZONE и если честно я с ними согласен. Те кто бывали ранее на ZN были ради возрождение, но могла и просто ностальгия сыграть. С другой стороны, некоторые хорошие эмоции испытали все
5. С Маркетом конечно проебались знатно. Каким-то образом сформировалось две очереди и та что было длиннее в итоге отрезали и сказали вставать в другую очередь. А когда ты уже минут 40-60 отстоял за несчастной футболкой - желание стоять в другой очереди уже не было. 1 терминал оплаты был всего, на всех покупателей - это даже в голове у меня не сошлось "как так..." Плюс в какой-то момент произошли технические шоколадки и терминал сдох, только налом оплачивать
6. Но давайте о хорошем. Организаторы сделали наверное один из лучших на моей памяти кейтеринг (еда). Я не был голодный, но от всех только хорошие отзывы услышал.
7. Про связь и интернет на конфе особо ничего не скажешь, чаще всего оно не работало. Но был WiFi, но что-то делать с него, когда к нему подключена еще пачка хакеров - такое себе))

10. Пункт от меня. Я за свои деньги покупал билет со спикер пати за 25к рублей. В итоге там был полупустой зал, не дождался начала и ушел с друзьями в бар. Цените своих друзей) Им потом еще вам помогать идти до номера 😂

Немного успел поспрашивать спикеров, точно знаю что некоторым хорошо заплатили за доклад, но спикерский мерчпак на уровне OFFZONE и точно не догоняет Underconf

Как итог: сделали хороший питерский аналог OFFZONE. Для питерчан самое то

Если что-то упустил, то пишите

Поздравляю всех нас с днём защиты информации!

а еще совпал с Днем Матери, поэтому не забудьте поздравить свою )

Какой вывод на утро?

Бага критичная? да
А что по фактической эксплуатации? Она требует чтобы вебсервер уже использовал RSC и при этом RCE не является прямым следствием CVE, а скорее побочка при том, что в RSC уже был exec в различной вариации
Существующие скрипты и шаблоны для скана дёргают конкретные пути или функции, которые не факт что будут совпадать с атакующим сервером
О чём нам говорит это история? Что всем хотелось верить в RCE 11/10 CVSS, но вероятнее это ближе к теоритической баге, чем к реальной

Может до завтра снова всё поменяется, но главное за ночь пропатил свои системы, откусил хайпа и можно дальше работать)

Всем хорошего рабочего дня и с кем-то увидимся на КОД ИБ ИТОГИ через 1,5 часа!