Жизнь over DNS

https://twitter.com/pgl/status/1405614755000295427?s=20

В чем различие между "уязвимостями инфраструктуры" и "уязвимостями приложений"? По мне так разница между "уязвимостями инфраструктуры" и "уязвимостями приложений" не техническая, а скорее в способе детектирования и исправления. Это условное разделение, чтобы понимать чем должен заниматься отдел Application Security, а чем отдел Infrastructure Security. Если уязвимость публично известная и у неё есть CVE/BDU, она детектируется сканерами уязвимостей и должна исправляться обновлением ПО/воркэраундом полученным от вендора, то это "уязвимость инфраструктуры". Если уязвимость публично неизвестная, была обнаружена с помощью SAST/DAST инструментов и должна исправляться изменением в коде самописного приложения, то это "уязвимость приложения". А технически и то, и другое может быть уязвимостью одного типа, например, Path Traversal. Технических типов уязвимостей можно выделить великое множество (см. CWE), но в рамках Vulristics я стараюсь всё раскладывать в несколько основных типов, отталкиваясь от уязвимостей, которые заводит MS.

@avleonovrus #насспрашивают

🐧🏭 linux-factory

a framework used to create custom debian linux operating systems

https://gitlab.com/risserlabs/community/linux-factory

#debian #linux

Опубликовали на Хакере историю одного пентеста.

Рассказали, как недостатки конфигурации STUN сервера позволили проникнуть во внутреннюю сеть, обойти средства защиты и проэксплуатировать Log4Shell. Как удалось захватить виртуальную инфраструктуру с помощью генерации сессии для SAML-аутентификации, продвинуться по сети и получить доменного администратора с помощью классической техники «Pass the hash».

Статья родилась по итогам проекта для крупной ИТ-компании. Мы оценили возможность проникновения во внутреннюю сеть из внешней и дали рекомендации по устранению уязвимостей. Развивая атаки во внутренней сети, СЗИ блокировали вредоносный трафик, но обойдя СЗИ и проэксплуатировав Log4Shell, удалось получить доступ к гипервизору и захватить виртуальную инфраструктуру. Сделать дамп памяти, получить доменную учетную запись, повысить свои привилегии и стать администратором домена.

Короткий вывод — уровень злоумышленника необходимый для захвата ИТ-инфраструктуры должен быть достаточно высоким. Заказчик увидел пробелы в своем процессе патч-менеджмента и промашки администраторов — они хранили пароли в открытом виде и переиспользовали их на разных сервисах.

Можно ли считать этот результат удовлетворительным? Как вообще оценивать результаты пентеста? — Вот, что об этом думают специалисты со стороны заказчика:

«В одном из проектов была уязвимая библиотека, которая имела достаточно высокий CVSS и, при этом, достаточно просто эксплуатировалась. PoC не было, но составить его было вполне можно — коллеги из Китая оставили очень хорошие описания к CVE, за недельку можно заиметь боевой образец. Однако мы знали, что, в силу дополнительных усилений с нашей стороны, эта уязвимость была неприменима.

Мы ждали отчет с кричащими тегами «CRITICAL». В отчете мы увидели эту библиотеку с маркером «LOW». Исполнители прекрасно понимали, как мы защитились, сами же описали причину, по которым эта уязвимость не может быть проэксплуатирована и корректно подсветили факт того, что библиотека является уязвимой и её следует обновить, когда появится патч.

После такого понимаешь:

1) Твоё временное решение проблемы с уязвимостью в компоненте является компетентным — сторонняя команда пришла к тому же выводу.

2) Исполнитель не просто использовал какие-то анализаторы, но осмыслил происходящее, проанализировал потоки данных, сопоставлял логику уязвимости и бизнес-процессы. Получив такое, хочется верить, что он были настолько же дотошны и в других параметрах оценки.

В следующем посте расскажем другие критерии хорошего аудита. Стей Тюнд 🙌

​DBeaver – Бесплатный, мультиплатформенный инструмент баз данных

Поддерживает любую базу данных, которая имеет драйвер JDBC (что означает - почти любую базу данных)

Также поддерживаются базы не на основе драйверов JDBC, такие как MongoDB, Cassandra, Couchbase, Redis, BigTable, DynamoDB и т. д.

⤷ Ссылка на проект

GitHub | #Interesting #Java #Database #SQL

Linux System Checker Script Tool

Linux System Checker Tool Script it is a bash script which can show system info, system load info, test disk speed I/O, show free space and more... System Checker can checks and shows Linux system info like as:

▫️ System Information
▫️ CPU and Memory Information
▫️ Boot Information
▫️ Mount and HDD IO Info
▫️ Top 5 memory and CPU usage processes
▫️ Speedtest
▫️ Defined Systemd Units Services State
▫️ Logged/Process users info
▫️ Listen ports
▫️ Running systemd units as list/tree
▫️ Unowned files

- [en]: Linux System Checker
- [ru]: Скрипт проверки Linux

Kraken, a modular multi-language webshell

https://github.com/kraken-ng/Kraken

​​Garlic

Garlic — это простой, быстрый и безопасный способ защитить ваш сайт от ботов и парсинга.

ИИ нужны данные, ваш сайт может оказаться в наборе данных, который он использует для обучения. Не хотите этого? Garlic должен помочь :)

https://github.com/velocitatem/garlic

​​Doctave

Генератор сайтов документации, который с минимальными усилиями преобразует ваши файлы Markdown в красивый сайт документации.

Doctave поставляется с рядом специфичных для документации функций из коробки. Плагины не нужны.

▫️ Диаграммы Mermaid.js
▫️ Полнотекстовый поиск
▫️ Локальный сервер прямой загрузки
▫️ Адаптивный дизайн
▫️ Темный режим
▫️ Минимальная конфигурация
▫️ Быстрая сборка на Rust

https://github.com/Doctave/doctave

Автор: https://www.doctave.com/

#markdown

Тестируем формы загрузки PDF файлов

Если видите форму, в которую можно загрузить PDF, то может быть полезно использовать инструмент представленный ниже. Он позволяет сгенерировать набор PDF файлов с отстуком на Burp Collaborator или Interact.sh.

Кроме того, обратите внимание, что на некоторых эндпоинтах PDF может передаваться в base64. В таком случае достаточно найти конвертер pdf в base64 и перевести сгенерированные файлы.

https://github.com/jonaslejon/malicious-pdf

#web #fileupload #soft #infosec

Новогодняя сходка SpbCTF

Выложили все доклады с прошедшей сходки SpbCTF в Питере. Доклады годные, список:

Rust’ерзание краба — пробуем ревёрсить Rust удобно
Как украсть поддомен
Прогаем, ревёрсим и пывним с помощью нейросетей
White-Box Cryptography
LockPick — the autopsy will tell
Оптография — достаём скриншот из дампа памяти Windows
SDR for Dummies
eBPF all around us
Хуки — что это, и как ими меняют бинари

#CTF

На этой неделе наша команда хочет повторить подобный формат мероприятия, т.к. получили массу положительной обратной связи.

Людей у нас прибавилось как в закрытых группах, в котрых мы проводим обучение, так и в текущей публичной группе, где мы стараемся делиться знаниями со всеми.

Напомним, что в прошлый раз наша команда провела собеседование в формате подкаста как с нашими людьми, котрых мы обучаем непосредственно, так и с людьми, просто захотевшими поучаствовать в мероприятии и проверить себя. Запись можно найти здесь.

Мероприятие на этой неделе планируем на пятницу на 19:00 аналигчно прошлому разу.
Повторю, что подобное мероприятие будет проводиться тут на канале с временным запасом в 2-3 часа. Будем опрашивать по одному и сразу давать обратную связь, остальные будут слушать, наворачивать и готовиться стать следующим!)

Всех ждём!
Сформулируй мысль,
Зарази ею ближнего!

Многие начинающие багхантеры, смотрят на профили других и на их репутацию. Приходят в недоумение: — Как они нашли баги, я неделями мучаюсь, запускаю acunetix, nuclei и ничего не нахожу.

На самом деле, чтобы найти баги достаточно простого... ротирования Proxy на каждый запрос, например используя mubeng (ip rotator) и закупившись пачкой Socks v5 ваш Acunetix начнёт приносить bounty.

Более того, в зависимости от ip который вам выпадет, можно найти уязвимости, которые не смог найти Acunetix конкурентов баг хантеров. Ведь WAF может блокировать запросы от определённых регионов, а сайт может выдавать другие страницы.

Для достижения лучших практик — также потребуется поменять подход к сканированию, нужно не сканировать одну цель в 10 потоков, а сканировать 10 целей в 10 потоков. Во-первых вы так не нарушаете политику bug bounty программы, когда у вас отсутствует задержка в 1 секунду между запросами. А во-вторых вы дополнительно избавитесь от угрозы блокировки вашей сессии со стороны приложения или WAF. Здесь можно взглянуть на плагин distribute-damage

💴 Из опыта, запуская несколько инстансов с Acunetix на большое количество таргетов можно уже "лутать" 2-3 xss и получать ~800$ в месяц.

В заключении хочу отметить, что сканирование сильно привязано к аномалиям, поэтому вам нужно сканировать одну цель несколько раз. Ваша автоматизация должна превратиться в продуманный pipeline с расписанием.