Статический анализатор для ваших nginx конфигов
[ssrf] Подделка запроса на стороне сервера
[http_splitting] Разделение HTTP
[происхождение] Проблемы с проверкой реферера/происхождения
[add_header_redefinition] Переопределение заголовков ответа директивой add_header
[host_spoofing] Подделка заголовка узла запроса
[valid_referers] нет в valid_referers
[add_header_multiline] Многострочные заголовки ответа
[alias_traversal] Обход пути через неправильно настроенный псевдоним
https://github.com/yandex/gixy
[ssrf] Подделка запроса на стороне сервера
[http_splitting] Разделение HTTP
[происхождение] Проблемы с проверкой реферера/происхождения
[add_header_redefinition] Переопределение заголовков ответа директивой add_header
[host_spoofing] Подделка заголовка узла запроса
[valid_referers] нет в valid_referers
[add_header_multiline] Многострочные заголовки ответа
[alias_traversal] Обход пути через неправильно настроенный псевдоним
https://github.com/yandex/gixy
GitHub
GitHub - yandex/gixy: Nginx configuration static analyzer
Nginx configuration static analyzer. Contribute to yandex/gixy development by creating an account on GitHub.
Forwarded from PythonDigest
Python в атомной энергетике: сообразительные нейроморфы, предсказание поломок и анализ нормативки
https://habr.com/ru/post/699198/?utm_campaign=699198&utm_source=habrahabr&utm_medium=rss
Атомная энергетика — отрасль наукоёмкая. Python со своими инструментами для анализа данных и построения ИИ как раз подходит АЭС, здесь с ним можно решать амбициозные задачи на острие науки о данных. Поэтому Хабр решил разузнать побольше про Python в Росатоме. И попросил меня помочь.
https://habr.com/ru/post/699198/?utm_campaign=699198&utm_source=habrahabr&utm_medium=rss
Атомная энергетика — отрасль наукоёмкая. Python со своими инструментами для анализа данных и построения ИИ как раз подходит АЭС, здесь с ним можно решать амбициозные задачи на острие науки о данных. Поэтому Хабр решил разузнать побольше про Python в Росатоме. И попросил меня помочь.
Forwarded from GitHub repos
sandialabs/wiretap
Wiretap is a transparent, VPN-like proxy server that tunnels traffic via WireGuard and requires no special privileges to run.
Language: Go
Stars: 241 Issues: 0 Forks: 2
https://github.com/sandialabs/wiretap
Wiretap is a transparent, VPN-like proxy server that tunnels traffic via WireGuard and requires no special privileges to run.
Language: Go
Stars: 241 Issues: 0 Forks: 2
https://github.com/sandialabs/wiretap
GitHub
GitHub - sandialabs/wiretap: Wiretap is a transparent, VPN-like proxy server that tunnels traffic via WireGuard and requires no…
Wiretap is a transparent, VPN-like proxy server that tunnels traffic via WireGuard and requires no special privileges to run. - sandialabs/wiretap
👍1
Forwarded from 0% Privacy
|Dismember|
- Те обстоятельства, которые на первый взгляд лишь усложняют дело, чаще всего приводят вас к разгадке. Надо только как следует, не по-дилетантски разобраться в них.
- Those circumstances that at first glance only complicate the case, most often lead you to a solution. It is only necessary to understand them properly, not amateurishly.
🕵️♂️Холмс, ищешь в памяти всех процессов(*nix-like) на машине негодяя его секреты и хочешь узнать то, чего не знают другие? На помощь приходит инструментарий(Dismember, "/proc"), который находит секреты ушлого негодяя путем поиска в памяти всех процессов на наличие общих секретов, до которых наши руки доходят, Ватсон. Поэтому лучше запускать из под
Помимо прочего, можно воспользоваться
⚠️Ватсон, я забыл упомянуть главное - сей инструментарий должен использоваться только в благих целях.
🕵️♂️Holmes, are you looking for his secrets in the memory of all processes (*nix-like) on the scoundrel's machine and want to find out what others don't know? The toolkit (Dismember,
"
Among other things, you can use
⚠️Watson, I forgot to mention the main thing - this toolkit should be used only for good purposes.
#SherlockHolmes #secrets #forensics #memoryScan #processes
- Те обстоятельства, которые на первый взгляд лишь усложняют дело, чаще всего приводят вас к разгадке. Надо только как следует, не по-дилетантски разобраться в них.
- Those circumstances that at first glance only complicate the case, most often lead you to a solution. It is only necessary to understand them properly, not amateurishly.
🕵️♂️Холмс, ищешь в памяти всех процессов(*nix-like) на машине негодяя его секреты и хочешь узнать то, чего не знают другие? На помощь приходит инструментарий(Dismember, "/proc"), который находит секреты ушлого негодяя путем поиска в памяти всех процессов на наличие общих секретов, до которых наши руки доходят, Ватсон. Поэтому лучше запускать из под
рута для большего охвата. Помимо прочего, можно воспользоваться
grep(настолько просто и очевидно, Ватсон) для сопоставления регулярных выражений по памяти до которой наши руки и находить сокровенные информацию негодяя в памяти и не только. А еще этот инструментарий, Ватсон, нам поможет в составлении списка процессов, просмотре состояния процесса и связанной с ним информации, строить дерева процессов и найти собаку Баскервилей, используя таинственные команды.⚠️Ватсон, я забыл упомянуть главное - сей инструментарий должен использоваться только в благих целях.
🕵️♂️Holmes, are you looking for his secrets in the memory of all processes (*nix-like) on the scoundrel's machine and want to find out what others don't know? The toolkit (Dismember,
"
/proc") comes to the rescue, which finds the secrets of a cunning scoundrel by searching the memory of all processes for the presence of common secrets that our hands reach, Watson. Therefore, it is better to run from under the root for greater coverage. Among other things, you can use
grep(so simple and obvious, Watson) to match regular expressions from memory to which our hands and find the scoundrel's innermost information in memory and not only. And this toolkit, Watson, will help us in compiling a list of processes, viewing the status of the process and related information, building process trees and finding the Baskervilles dog using mysterious commands.⚠️Watson, I forgot to mention the main thing - this toolkit should be used only for good purposes.
#SherlockHolmes #secrets #forensics #memoryScan #processes
Forwarded from Life-Hack - Хакер
EvilnoVNC
Это готовая фишинговая платформа.
В отличие от других методов фишинга, EvilnoVNC позволяет обойти 2FA, используя настоящий браузер через соединение noVNC.
Кроме того, этот инструмент позволяет нам в режиме реального времени видеть все действия жертвы, доступ к их загруженным файлам и всему профилю браузера, включая файлы cookie, сохраненные пароли, историю просмотров и многое другое.
https://github.com/JoelGMSec/EvilnoVNC
Это готовая фишинговая платформа.
В отличие от других методов фишинга, EvilnoVNC позволяет обойти 2FA, используя настоящий браузер через соединение noVNC.
Кроме того, этот инструмент позволяет нам в режиме реального времени видеть все действия жертвы, доступ к их загруженным файлам и всему профилю браузера, включая файлы cookie, сохраненные пароли, историю просмотров и многое другое.
https://github.com/JoelGMSec/EvilnoVNC
Forwarded from Proxy Bar
regex GitHub Dorks
/ssh:\/\/.*:.*@.*target\.com/
/ftp:\/\/.*:.*@.*target\.com/Forwarded from k8s (in)security (Дмитрий Евдокимов)
Мой хороший товарищ Сергей Солдатов опубликовал замечательную вещь -
Там отдельными разделами идут:
-
-
-
- Image Risks
mindmap для Major Risks for Core Components of Container Technologies (NIST SP 800-190) !Там отдельными разделами идут:
-
Host OS Risks -
Container Risks -
Registry Risks
- Orchestrator Risks - Image Risks
Forwarded from k8s (in)security (Дмитрий Евдокимов)
Очередная крутая статья "Digging into the OCI Image Specification" от авторов "Digging Into Runtimes – run", опять глубоко про основы, и на этот раз про
Из статьи вы на теории и на практике познакомитесь с:
-
-
OCI спецификацию образов.Из статьи вы на теории и на практике познакомитесь с:
-
Limitations of the Runtime Specification (runtime-spec)-
Image Format Specification (image-spec)
- Image Manifest
- Image Index
- Image Layout
- Image Configuration
- Conversion
- Descriptors
- File System Layer
MUST READ для всех кто работает с контейнерами и хочет понимать, что такое контейнеризация на самом деле.Forwarded from RSS bot
Игры искусственного разума: атаки на модели машинного обучения и их последствия
https://habr.com/ru/post/702480/?utm_campaign=702480&utm_source=habrahabr&utm_medium=rss
https://habr.com/ru/post/702480/?utm_campaign=702480&utm_source=habrahabr&utm_medium=rss
Хабр
Игры искусственного разума: атаки на модели машинного обучения и их последствия
Насколько легко обмануть искусственный интеллект? Можно ли подстроить аварию с участием автопилота, или скрыться от «умных» камер, оставаясь у всех на виду? Специалисты компании «Криптонит» провели...
Forwarded from Sys-Admin Up (Yevgeniy Goncharov)
Forwarded from Мемный Болт Генона
Давненько такого не было
Удалённо эксплуатируемая root-уязвимость в утилите ping, поставляемой во FreeBSD
https://www.opennet.ru/opennews/art.shtml?num=58232
Уязвимость вызвана переполнением буфера в коде разбора ICMP-сообщений, приходящих в ответ на проверочный запрос. Код отправки и приёма ICMP-сообщений в ping использует raw-сокеты и выполняется с повышеннымми привилегиями (утилита поставляется с флагом setuid root). Обработка ответа производится на стороне ping через реконструкцию IP- и ICMP-заголовков пакетов, получаемых из raw-сокета. Выделенные IP- и ICMP-заголовки копируются функцией pr_pack() в буферы, не принимая во внимание то, что в пакете после заголовка IP могут присутствовать дополнительные расширенные заголовки.
Удалённо эксплуатируемая root-уязвимость в утилите ping, поставляемой во FreeBSD
https://www.opennet.ru/opennews/art.shtml?num=58232
Forwarded from SHADOW:Group
Sam Curry у себя в Twitter поделился историей о том, как им удалось захватить учетную запись и выполнять все команды на автомобилях Hyundai и Genesis. Что примечательно, хватило только уязвимостей в вебе и ничего кроме.
Если еще не видели, то рекомендую глянуть. Перевод истории доступен по ссылке ниже.
Читать статью
#web #carhacking #ato
Please open Telegram to view this post
VIEW IN TELEGRAM
Telegraph
Взлом автомобилей Hyundai и Genesis
Оригинал на английском тут. Недавно мы обнаружили уязвимость, затрагивающую автомобили Hyundai и Genesis, с помощью которой можно удаленно управлять замками, двигателем, звуковым сигналом, фарами и багажником автомобилей, выпущенных после 2012 года. Наше…
Forwarded from SHADOW:Group
SHADOW:Group
А если вам понравилась предыдущая статья, то тут еще одна история, про взлом автомобилей Honda, Nissan, Infiniti и Acura, перевод которой также доступен по ссылке ниже.
Читать статью
#web #carhacking #idor
Please open Telegram to view this post
VIEW IN TELEGRAM
Telegraph
Ещё больше про взлом автомобилей
Оригинал на английском тут. Ранее в этом году мы смогли удаленно разблокировать, завести, определить местонахождение, мигать и сигналить любым удаленно подключенным автомобилем Honda, Nissan, Infiniti и Acura, совершенно неавторизованно, зная только VIN-номер…