​​UP HTTP Server

Really simple wrapper around Flask / Waitress, dropping in as a replacement for the classic "python3 -m http.server". Useful for security testing ¯(ツ)/¯

This tool has a couple of advantages over the simple version:

▫️ Optionally show request headers -- useful for debugging or if you're looking for connections back from a target webserver
▫️ Pretty colours to differentiate requests (can be disabled with --accessible or -c/--no-colour)
▫️ Disable file-sharing (this increases security if you're only wanting connection info -- will respond with 404 to every request)
▫️ Display information about the working environment (e.g. network addresses, current directory, files being served, etc) at start and whenever you press enter

https://github.com/MuirlandOracle/up-http-tool

Nuclei Template Generator Burp Plugin

https://github.com/projectdiscovery/nuclei-burp-plugin

Статья "Exploiting Distroless Images" с прикольной техникой эксплотации в контейнерах на базе gcr.io/distroless/base, которая позволяет читать, писать произвольные файлы и выполнять команды в этом distroless image!

А все это базируется на присутствующей внутри этого образа OpenSSL! Да, shell внутри такого образа нет, но зато можно использовать interactive command prompt от OpenSSL ;)

Таким образом, атакующий, получивший доступ к Kubernetes кластеру, может, через установленный OpenSSL в distroless base образе, прочитать service account tokens (SA), прокинутые secrets и даже получить интерактивное выполнение команд через загрузку custom shell.

Помните в одном из прошлых постов писал, что не все Distroless Images одинаковые (static/base/cc/interpreted)?!

Так что distroless images это не панацея, а лишь одна из техник усиления (hardening) - и никто behavior monitoring, AppArmor не отменял.

P.S. О данной проблеме/особенности было сообщено Google в августе 2021 и они решили не фиксить это.