Потрясающая статья на тему закрепления в Unix системах. Рекомендую к прочтению всем, не только ребятам ориентированным на безопасность, т.к. в приводимых способах закрепления подробно рассмотрены детали тех или иных механизмов работы Unix.
#persistence #unix
#persistence #unix
Закрепление в Linux. Linux Persistence
https://habr.com/ru/post/568298/
https://habr.com/ru/post/568298/
Шикарный перевод от Codeby.
В статье достаточно в верхнеуровневом(абстрактном) представлении описано как действительно надо проводить аудит сайта с точки зрения ИБ.
В статье достаточно в верхнеуровневом(абстрактном) представлении описано как действительно надо проводить аудит сайта с точки зрения ИБ.
Forwarded from Codeby
Мыслите вне рамок OWASP TOP-10/SANS TOP-25/Bug Bounty
В этой статье мы обсудим несколько примеров, чтобы донести главную идею о том, что если вы думаете ограниченно, то вы и будете ограниченными. Использование Bug bounty ухудшило качество тестирования на проникновение, как для клиентов, так и для специалистов. Клиенту трудно отличить хороший пентест от быстрого и грязного, при использовании топ-10/топ-25 будь то SANS или OWASP.
Читать:
https://codeby.net/threads/myslite-vne-ramok-owasp-top-10-sans-top-25-bug-bounty.72818/
#owasp #bug #pentest
В этой статье мы обсудим несколько примеров, чтобы донести главную идею о том, что если вы думаете ограниченно, то вы и будете ограниченными. Использование Bug bounty ухудшило качество тестирования на проникновение, как для клиентов, так и для специалистов. Клиенту трудно отличить хороший пентест от быстрого и грязного, при использовании топ-10/топ-25 будь то SANS или OWASP.
Читать:
https://codeby.net/threads/myslite-vne-ramok-owasp-top-10-sans-top-25-bug-bounty.72818/
#owasp #bug #pentest
Некоторое время назад по работе для улучшения качества кода в организации мною был выполнен перевод OWASP Secure Coding Practices
Там как бы верхнеуровнево с небольшими пояснялками описано для разрабов в формате чек листа что и почему должно быть сделано в приложении перед его релизом в прод/сдачей заказчику.
Хотел законтрибутить, написал чувакам на мыло, но чет ответа не последовало))
Стоит поделиться?)
#БПО #CheatSheet
Там как бы верхнеуровнево с небольшими пояснялками описано для разрабов в формате чек листа что и почему должно быть сделано в приложении перед его релизом в прод/сдачей заказчику.
Хотел законтрибутить, написал чувакам на мыло, но чет ответа не последовало))
Стоит поделиться?)
#БПО #CheatSheet
#Beacon
In case you want to multi-thread Nuclei using GNU parallel - super handy if you want to save each scan results in a different file for example (the domain name here).
👆дословный перевод 👇
В случаях, когда вы хотите запустить Nuclei в несколько потоков используя GNU параллелизатор :D
Особо круто (в ситуациях), когда вы хотите сохранять каждый результат сканирования в отдельный файл
(Имя домена тут).
Сама команда текстом 👇
#nuclei #dast #tools
В случаях, когда вы хотите запустить Nuclei в несколько потоков используя GNU параллелизатор :D
Особо круто (в ситуациях), когда вы хотите сохранять каждый результат сканирования в отдельный файл
(Имя домена тут).
Сама команда текстом 👇
cat urls.txt | parallel --colsep '/' --jobs 10 nuclei -target {1}//{3} -t nuclei-templates/ -severity critical,high,medium -o /tmp/foobar/{3}.txt#nuclei #dast #tools
Из рубрики "Ленивые советики"
Если вам необходимо запустить какую-либо
команду, кототорая по определнию займет
какое-то время, например, scp,
можно воспользоваться следующей конструкцией
для издавания звука завершения "Бyy-БУ"
по завершению исполнения команды:
Следующей командой:
Как варик можно комбинировать с тем же nuclei или ffuf,
Запустить скан и спокойно идти пить свеженаваренный кофеек 😉
#tip
Если вам необходимо запустить какую-либо
команду, кототорая по определнию займет
какое-то время, например, scp,
можно воспользоваться следующей конструкцией
для издавания звука завершения "Бyy-БУ"
по завершению исполнения команды:
<some_command_here> && paplay /usr/share/sounds/sound-icons/finishДля удобства можно создать alias в .bashrс, как предложение — "beep",
Следующей командой:
echo -e "\nalias beep='paplay /usr/share/sounds/sound-icons/finish'" >> ~/.bashrcИ далее использовать как:
<some_command_here> && beepПротестированно на крайней убунте.
Как варик можно комбинировать с тем же nuclei или ffuf,
Запустить скан и спокойно идти пить свеженаваренный кофеек 😉
#tip
Forwarded from Security Wine (бывший - DevSecOps Wine) (Denis Yakimov)
Managing SSH Access at Scale with HashiCorp Vault
Выходим из затяжной паузы по постам и начинаем неделю с материала HashiCorp Vault об управлении SSH-ключами. Подобная интеграция может быть нужна по нескольким причинам. Во-первых, закрытые ключи пользователей хостов нередко становятся скомпрометированными по той или ной причине. Во-вторых, управление закрытыми ключами зачастую становится довольно сложной задачей, как и масштабирование данного процесса. Как итог процесс сопровождается отсутствием инвентаризации, что ведет к хаосу с точки зрения управления доступами.
В результате интеграции Vault предоставляет механизм управления ключами совместно с политиками (порядок того, кто куда имеет доступ) и аудитом. Теперь вместо долгосрочных ключей используются кратковременные сертификаты с помощью SSH CA хранилища, которые можно создать в несколько экземпляров для различных сред (dev, stage, prod, infra).
Managing SSH Access at Scale with HashiCorp Vault
#vault #ops
Выходим из затяжной паузы по постам и начинаем неделю с материала HashiCorp Vault об управлении SSH-ключами. Подобная интеграция может быть нужна по нескольким причинам. Во-первых, закрытые ключи пользователей хостов нередко становятся скомпрометированными по той или ной причине. Во-вторых, управление закрытыми ключами зачастую становится довольно сложной задачей, как и масштабирование данного процесса. Как итог процесс сопровождается отсутствием инвентаризации, что ведет к хаосу с точки зрения управления доступами.
В результате интеграции Vault предоставляет механизм управления ключами совместно с политиками (порядок того, кто куда имеет доступ) и аудитом. Теперь вместо долгосрочных ключей используются кратковременные сертификаты с помощью SSH CA хранилища, которые можно создать в несколько экземпляров для различных сред (dev, stage, prod, infra).
Managing SSH Access at Scale with HashiCorp Vault
#vault #ops
Forwarded from Open Source
Incoming SMS to URL forwarder
Приложение для Android которое способно пересылать каждое входящее SMS на указанный вами URL-адрес.
https://github.com/bogkonstantin/android_income_sms_gateway_webhook
F-droid: https://f-droid.org/packages/tech.bogomolov.incomingsmsgateway/
=============
Если нашел интересный софт, поделись с сообществом: @FOSS_triangle_bot
Приложение для Android которое способно пересылать каждое входящее SMS на указанный вами URL-адрес.
https://github.com/bogkonstantin/android_income_sms_gateway_webhook
F-droid: https://f-droid.org/packages/tech.bogomolov.incomingsmsgateway/
=============
Если нашел интересный софт, поделись с сообществом: @FOSS_triangle_bot
Со мной поделился находкой очень близкий мне по духу, делу и генам человек со следующим комментарием:
"Это не хрен собачий, а институт системного программирования им Иванникова. Некоторые считают, что под их крышей одна из гос APT..." 🧑🏻🏭
За отечественным фаззером переходим по ссылочке 👇
https://github.com/ispras/crusher
#fuzz #OpenSource #БПО
"Это не хрен собачий, а институт системного программирования им Иванникова. Некоторые считают, что под их крышей одна из гос APT..." 🧑🏻🏭
За отечественным фаззером переходим по ссылочке 👇
https://github.com/ispras/crusher
#fuzz #OpenSource #БПО
GitHub
GitHub - ispras/crusher
Contribute to ispras/crusher development by creating an account on GitHub.
Опа, ответочка мелкомягким на их дистрибутив linux от Торвальдса лично!)
А если серьезно, то похоже нам очень скоро подвезутwindowsSubsystemForLinux поддержку файловой системы windows в unix-системах из коробки!
https://habr.com/ru/news/t/568752/
#linux #news #win
А если серьезно, то похоже нам очень скоро подвезут
https://habr.com/ru/news/t/568752/
#linux #news #win
Хабр
Линус Торвальдс заявил, что драйвер NTFS готов к добавлению в ядро Linux
Драйвер файловой системы NTFS, разработанный российской компанией Paragon Software, готов для включения в ядро ОС Linux, если Paragon сама займется его интеграцией и сопровождением, сообщил создатель...
Хмм, надо будет потестить...
Вроде как можно из burp экпортнуть необходимые запросы,
И скормить этому скриптику...
И будет 🔜 магия 🪄 инъекции 💉
Скриптик запустит sqlmap применительно ко всем запросам из экпортированного burp сета.
Сложит все в папочку по файликам, а в консоль будет сыпать результатами по мере поступления таковых.
#python #tools #OpenSource #dast
Вроде как можно из burp экпортнуть необходимые запросы,
И скормить этому скриптику...
И будет 🔜 магия 🪄 инъекции 💉
Скриптик запустит sqlmap применительно ко всем запросам из экпортированного burp сета.
Сложит все в папочку по файликам, а в консоль будет сыпать результатами по мере поступления таковых.
#python #tools #OpenSource #dast
Ухтыы, надо будет обязательно потестить,
Хотя мне казалось, у vault'а нативная поддержка кубера...
Надо будет добавить сюда инфы
Хотя мне казалось, у vault'а нативная поддержка кубера...
Надо будет добавить сюда инфы
Forwarded from Sysadmin Tools 🇺🇦
k8s vault webhook
is a Kubernetes webhook that can inject secrets into Kubernetes resources by connecting to multiple secret managers
#k8s #kubernetes #vault #hashicorpGitHub
GitHub - OT-CONTAINER-KIT/k8s-vault-webhook: A k8s vault webhook is a Kubernetes webhook that can inject secrets into Kubernetes…
A k8s vault webhook is a Kubernetes webhook that can inject secrets into Kubernetes resources by connecting to multiple secret managers - OT-CONTAINER-KIT/k8s-vault-webhook
Forwarded from Open Source
Libki
Libki - это кроссплатформенная система бронирования компьютеров и управления временем для предоставления ограниченного по времени доступа к компьютерам в сети.
Libki идеально подходит для использования в местах, где контролируемая вычислительная среда имеет первостепенное значение, таких как системы общего доступа, библиотеки, школьные компьютерные лаборатории, игровые клубы и многое другое!
Он состоит из двух частей: сервера Libki и клиента Libki.
https://github.com/Libki
Cайт: https://libki.org/
=============
Если нашел интересный софт, поделись с сообществом: @FOSS_triangle_bot
Libki - это кроссплатформенная система бронирования компьютеров и управления временем для предоставления ограниченного по времени доступа к компьютерам в сети.
Libki идеально подходит для использования в местах, где контролируемая вычислительная среда имеет первостепенное значение, таких как системы общего доступа, библиотеки, школьные компьютерные лаборатории, игровые клубы и многое другое!
Он состоит из двух частей: сервера Libki и клиента Libki.
https://github.com/Libki
Cайт: https://libki.org/
=============
Если нашел интересный софт, поделись с сообществом: @FOSS_triangle_bot
Почему именно такие штуки всегда пробегают мимо меня? 🧐
"GitHub - hoppscotch/hoppscotch: 👽 Open source API development ecosystem https://hoppscotch.io" https://github.com/hoppscotch/hoppscotch
"GitHub - hoppscotch/hoppscotch: 👽 Open source API development ecosystem https://hoppscotch.io" https://github.com/hoppscotch/hoppscotch
hoppscotch.io
Hoppscotch • Open source API development ecosystem
Helps you create requests faster, saving precious time on development.
Вооот, а все почему?
Потому что в организациях нет политик разработки Безопасных Продуктов.
А OWASP secure code practice, гайд-чеклист, о котором, я уже упоминал тут
Доходчиво поясняет, что и почему должно быть реализовано перед выходом в прод.
Закрывает все 25 штук самых распространенных уязвимостей 19-20-го года...
Он может стать вашей отправной точкой на пути в реализации Качественно Продукта.
Для него есть перевод, и я все ещё думаю, стоит им делиться, или нет 🤷🏻♂
Потому что в организациях нет политик разработки Безопасных Продуктов.
А OWASP secure code practice, гайд-чеклист, о котором, я уже упоминал тут
Доходчиво поясняет, что и почему должно быть реализовано перед выходом в прод.
Закрывает все 25 штук самых распространенных уязвимостей 19-20-го года...
Он может стать вашей отправной точкой на пути в реализации Качественно Продукта.
Для него есть перевод, и я все ещё думаю, стоит им делиться, или нет 🤷🏻♂
Telegram
Записки потомственного it'шника
Некоторое время назад по работе для улучшения качества кода в организации мною был выполнен перевод OWASP Secure Coding Practices
Там как бы верхнеуровнево с небольшими пояснялками описано для разрабов в формате чек листа что и почему должно быть сделано…
Там как бы верхнеуровнево с небольшими пояснялками описано для разрабов в формате чек листа что и почему должно быть сделано…