Уххтыыы!!
Это просто бомба!
В свое время пытался поиграться с frida, но не хватило знаний и усидчивости, хотя в паре моментов было оч забавно))
С этой штукой я бы точно дальше пошел.
Если коротко, то frida -- эдакий инструмент, который умеет править код запущенного приложения на лету!)
А сие чудо -- веб интерфейс для управления этим инструментом 🤌
#revers #frida
Это просто бомба!
В свое время пытался поиграться с frida, но не хватило знаний и усидчивости, хотя в паре моментов было оч забавно))
С этой штукой я бы точно дальше пошел.
Если коротко, то frida -- эдакий инструмент, который умеет править код запущенного приложения на лету!)
А сие чудо -- веб интерфейс для управления этим инструментом 🤌
#revers #frida
Forwarded from #Beacon
https://github.com/ZupIT/horusec
#DevSecOps
Horusec is an open source tool that performs static code analysis to identify security flaws during the development process. Currently, the languages for analysis are: C#, Java, Kotlin, Python, Ruby, Golang, Terraform, Javascript, Typescript, Kubernetes, PHP, C, HTML, JSON, Dart, Elixir, Shell, Nginx. The tool has options to search for key leaks and security flaws in all files of your project, as well as in Git history. Horusec can be used by the developer through the CLI and by the DevSecOps team on CI /CD mats.
#DevSecOps
Horusec is an open source tool that performs static code analysis to identify security flaws during the development process. Currently, the languages for analysis are: C#, Java, Kotlin, Python, Ruby, Golang, Terraform, Javascript, Typescript, Kubernetes, PHP, C, HTML, JSON, Dart, Elixir, Shell, Nginx. The tool has options to search for key leaks and security flaws in all files of your project, as well as in Git history. Horusec can be used by the developer through the CLI and by the DevSecOps team on CI /CD mats.
GitHub
GitHub - ZupIT/horusec: Horusec is an open source tool that improves identification of vulnerabilities in your project with just…
Horusec is an open source tool that improves identification of vulnerabilities in your project with just one command. - ZupIT/horusec
Forwarded from #Beacon
Forwarded from infosecurity
Best of Burp Suite Tutorials.
This cheatsheet is built for the Bug Bounty Hunters and Penetration Testers such in order to help them to hunt the vulnerabilties.
https://github.com/Ignitetechnologies/BurpSuite-For-Pentester
#infosec #bugbounty #ctf #oscp #Pentesting #redteam
This cheatsheet is built for the Bug Bounty Hunters and Penetration Testers such in order to help them to hunt the vulnerabilties.
https://github.com/Ignitetechnologies/BurpSuite-For-Pentester
#infosec #bugbounty #ctf #oscp #Pentesting #redteam
GitHub
GitHub - Ignitetechnologies/BurpSuite-For-Pentester: This cheatsheet is built for the Bug Bounty Hunters and penetration testers…
This cheatsheet is built for the Bug Bounty Hunters and penetration testers in order to help them hunt the vulnerabilities from P4 to P1 solely and completely with "BurpSuite". - ...
Потрясающая статья на тему закрепления в Unix системах. Рекомендую к прочтению всем, не только ребятам ориентированным на безопасность, т.к. в приводимых способах закрепления подробно рассмотрены детали тех или иных механизмов работы Unix.
#persistence #unix
#persistence #unix
Закрепление в Linux. Linux Persistence
https://habr.com/ru/post/568298/
https://habr.com/ru/post/568298/
Шикарный перевод от Codeby.
В статье достаточно в верхнеуровневом(абстрактном) представлении описано как действительно надо проводить аудит сайта с точки зрения ИБ.
В статье достаточно в верхнеуровневом(абстрактном) представлении описано как действительно надо проводить аудит сайта с точки зрения ИБ.
Forwarded from Codeby
Мыслите вне рамок OWASP TOP-10/SANS TOP-25/Bug Bounty
В этой статье мы обсудим несколько примеров, чтобы донести главную идею о том, что если вы думаете ограниченно, то вы и будете ограниченными. Использование Bug bounty ухудшило качество тестирования на проникновение, как для клиентов, так и для специалистов. Клиенту трудно отличить хороший пентест от быстрого и грязного, при использовании топ-10/топ-25 будь то SANS или OWASP.
Читать:
https://codeby.net/threads/myslite-vne-ramok-owasp-top-10-sans-top-25-bug-bounty.72818/
#owasp #bug #pentest
В этой статье мы обсудим несколько примеров, чтобы донести главную идею о том, что если вы думаете ограниченно, то вы и будете ограниченными. Использование Bug bounty ухудшило качество тестирования на проникновение, как для клиентов, так и для специалистов. Клиенту трудно отличить хороший пентест от быстрого и грязного, при использовании топ-10/топ-25 будь то SANS или OWASP.
Читать:
https://codeby.net/threads/myslite-vne-ramok-owasp-top-10-sans-top-25-bug-bounty.72818/
#owasp #bug #pentest
Некоторое время назад по работе для улучшения качества кода в организации мною был выполнен перевод OWASP Secure Coding Practices
Там как бы верхнеуровнево с небольшими пояснялками описано для разрабов в формате чек листа что и почему должно быть сделано в приложении перед его релизом в прод/сдачей заказчику.
Хотел законтрибутить, написал чувакам на мыло, но чет ответа не последовало))
Стоит поделиться?)
#БПО #CheatSheet
Там как бы верхнеуровнево с небольшими пояснялками описано для разрабов в формате чек листа что и почему должно быть сделано в приложении перед его релизом в прод/сдачей заказчику.
Хотел законтрибутить, написал чувакам на мыло, но чет ответа не последовало))
Стоит поделиться?)
#БПО #CheatSheet
#Beacon
In case you want to multi-thread Nuclei using GNU parallel - super handy if you want to save each scan results in a different file for example (the domain name here).
👆дословный перевод 👇
В случаях, когда вы хотите запустить Nuclei в несколько потоков используя GNU параллелизатор :D
Особо круто (в ситуациях), когда вы хотите сохранять каждый результат сканирования в отдельный файл
(Имя домена тут).
Сама команда текстом 👇
#nuclei #dast #tools
В случаях, когда вы хотите запустить Nuclei в несколько потоков используя GNU параллелизатор :D
Особо круто (в ситуациях), когда вы хотите сохранять каждый результат сканирования в отдельный файл
(Имя домена тут).
Сама команда текстом 👇
cat urls.txt | parallel --colsep '/' --jobs 10 nuclei -target {1}//{3} -t nuclei-templates/ -severity critical,high,medium -o /tmp/foobar/{3}.txt#nuclei #dast #tools
Из рубрики "Ленивые советики"
Если вам необходимо запустить какую-либо
команду, кототорая по определнию займет
какое-то время, например, scp,
можно воспользоваться следующей конструкцией
для издавания звука завершения "Бyy-БУ"
по завершению исполнения команды:
Следующей командой:
Как варик можно комбинировать с тем же nuclei или ffuf,
Запустить скан и спокойно идти пить свеженаваренный кофеек 😉
#tip
Если вам необходимо запустить какую-либо
команду, кототорая по определнию займет
какое-то время, например, scp,
можно воспользоваться следующей конструкцией
для издавания звука завершения "Бyy-БУ"
по завершению исполнения команды:
<some_command_here> && paplay /usr/share/sounds/sound-icons/finishДля удобства можно создать alias в .bashrс, как предложение — "beep",
Следующей командой:
echo -e "\nalias beep='paplay /usr/share/sounds/sound-icons/finish'" >> ~/.bashrcИ далее использовать как:
<some_command_here> && beepПротестированно на крайней убунте.
Как варик можно комбинировать с тем же nuclei или ffuf,
Запустить скан и спокойно идти пить свеженаваренный кофеек 😉
#tip
Forwarded from Security Wine (бывший - DevSecOps Wine) (Denis Yakimov)
Managing SSH Access at Scale with HashiCorp Vault
Выходим из затяжной паузы по постам и начинаем неделю с материала HashiCorp Vault об управлении SSH-ключами. Подобная интеграция может быть нужна по нескольким причинам. Во-первых, закрытые ключи пользователей хостов нередко становятся скомпрометированными по той или ной причине. Во-вторых, управление закрытыми ключами зачастую становится довольно сложной задачей, как и масштабирование данного процесса. Как итог процесс сопровождается отсутствием инвентаризации, что ведет к хаосу с точки зрения управления доступами.
В результате интеграции Vault предоставляет механизм управления ключами совместно с политиками (порядок того, кто куда имеет доступ) и аудитом. Теперь вместо долгосрочных ключей используются кратковременные сертификаты с помощью SSH CA хранилища, которые можно создать в несколько экземпляров для различных сред (dev, stage, prod, infra).
Managing SSH Access at Scale with HashiCorp Vault
#vault #ops
Выходим из затяжной паузы по постам и начинаем неделю с материала HashiCorp Vault об управлении SSH-ключами. Подобная интеграция может быть нужна по нескольким причинам. Во-первых, закрытые ключи пользователей хостов нередко становятся скомпрометированными по той или ной причине. Во-вторых, управление закрытыми ключами зачастую становится довольно сложной задачей, как и масштабирование данного процесса. Как итог процесс сопровождается отсутствием инвентаризации, что ведет к хаосу с точки зрения управления доступами.
В результате интеграции Vault предоставляет механизм управления ключами совместно с политиками (порядок того, кто куда имеет доступ) и аудитом. Теперь вместо долгосрочных ключей используются кратковременные сертификаты с помощью SSH CA хранилища, которые можно создать в несколько экземпляров для различных сред (dev, stage, prod, infra).
Managing SSH Access at Scale with HashiCorp Vault
#vault #ops
Forwarded from Open Source
Incoming SMS to URL forwarder
Приложение для Android которое способно пересылать каждое входящее SMS на указанный вами URL-адрес.
https://github.com/bogkonstantin/android_income_sms_gateway_webhook
F-droid: https://f-droid.org/packages/tech.bogomolov.incomingsmsgateway/
=============
Если нашел интересный софт, поделись с сообществом: @FOSS_triangle_bot
Приложение для Android которое способно пересылать каждое входящее SMS на указанный вами URL-адрес.
https://github.com/bogkonstantin/android_income_sms_gateway_webhook
F-droid: https://f-droid.org/packages/tech.bogomolov.incomingsmsgateway/
=============
Если нашел интересный софт, поделись с сообществом: @FOSS_triangle_bot
Со мной поделился находкой очень близкий мне по духу, делу и генам человек со следующим комментарием:
"Это не хрен собачий, а институт системного программирования им Иванникова. Некоторые считают, что под их крышей одна из гос APT..." 🧑🏻🏭
За отечественным фаззером переходим по ссылочке 👇
https://github.com/ispras/crusher
#fuzz #OpenSource #БПО
"Это не хрен собачий, а институт системного программирования им Иванникова. Некоторые считают, что под их крышей одна из гос APT..." 🧑🏻🏭
За отечественным фаззером переходим по ссылочке 👇
https://github.com/ispras/crusher
#fuzz #OpenSource #БПО
GitHub
GitHub - ispras/crusher
Contribute to ispras/crusher development by creating an account on GitHub.
Опа, ответочка мелкомягким на их дистрибутив linux от Торвальдса лично!)
А если серьезно, то похоже нам очень скоро подвезутwindowsSubsystemForLinux поддержку файловой системы windows в unix-системах из коробки!
https://habr.com/ru/news/t/568752/
#linux #news #win
А если серьезно, то похоже нам очень скоро подвезут
https://habr.com/ru/news/t/568752/
#linux #news #win
Хабр
Линус Торвальдс заявил, что драйвер NTFS готов к добавлению в ядро Linux
Драйвер файловой системы NTFS, разработанный российской компанией Paragon Software, готов для включения в ядро ОС Linux, если Paragon сама займется его интеграцией и сопровождением, сообщил создатель...
Хмм, надо будет потестить...
Вроде как можно из burp экпортнуть необходимые запросы,
И скормить этому скриптику...
И будет 🔜 магия 🪄 инъекции 💉
Скриптик запустит sqlmap применительно ко всем запросам из экпортированного burp сета.
Сложит все в папочку по файликам, а в консоль будет сыпать результатами по мере поступления таковых.
#python #tools #OpenSource #dast
Вроде как можно из burp экпортнуть необходимые запросы,
И скормить этому скриптику...
И будет 🔜 магия 🪄 инъекции 💉
Скриптик запустит sqlmap применительно ко всем запросам из экпортированного burp сета.
Сложит все в папочку по файликам, а в консоль будет сыпать результатами по мере поступления таковых.
#python #tools #OpenSource #dast