​​ChatGPT Prompts for Bug Bounty

A list of ChatGPT Prompts for Web Application Security, Bug Bounty, and Pentesting.

https://github.com/TakSec/chatgpt-prompts-bug-bounty

​​DevSecOps 🔱

Collection and #Roadmap for everyone who wants #DevSecOps. Hope your #DevOps are more safe 😎

https://github.com/hahwul/DevSecOps

​​lurk-sonar

Download source code of all projects in a SonarQube instance.

https://github.com/topscoder/lurk-sonar

#bugbounty #opsec #infosec #sonarqube

​​Red Team Playground

The Red Team Playground is a #Dockerized vulnerable testing lab for learning and practicing #RedTeam concepts.

Docker network containing many vulnerable targets for practicing Red Teaming concepts (initial access, priv esc, persistence, lateral, C2, evasion, etc).

https://github.com/minispooner/red-team-playground

Про дипломные проекты в ВУЗах. Недавно спрашивали про актуальные темы для диплома в области ИБ.

Имхо, самые классные дипломные проекты получаются, когда студенты пишут о том, чем на работе уже занимаются. Так и работа продвигается, и текст можно в документации переиспользовать (или наоборот из существующей документации взять), и новизну с полезностью проще обосновать.

Если это не вариант, то можно дипломный проект воспринимать как инструмент для последующего трудоустройства. Смотрим на рынок - ищем "компанию мечты", выясняем чем они занимаются, выбираем тему из того, что хорошо будет смотреться на будущем собесе. 😏 Допустим компания это вендор какого-то продукта по ИБ, в разработке которого нам было бы интересно поучаствовать. Собираем проблемы/тренды для этого класса продуктов (для VM-а недавно скидывал) и попытаемся предложить для какой-нибудь из проблем свое решение. Такой дипломный проект это отличная тема для разговора на собесе (важно: даже если про тему диплома написано в резюме, не забудьте голосом акцентировать внимание на этом!). Будете выглядеть уже не как "белый лист", а как специалист с некоторым практическим опытом, который может приносить пользу практически с первого дня. Это дорогого стоит. Ну и в процессе подготовки дипломного проекта неизбежно прокачаетесь в нужную сторону. 😉

Брать тему совсем с потолка или переделывать чужой диплом про мясокомбинат с помощью ChatGPT не советую. 🙂 Конечно, может и такое прокатить, но польза от этого всего будет минимальная.

@avleonovrus #насспрашивают

"Ты начинаешь умирать в тот момент, когда в тебе начинает умирать любопытство."

​​Bootkit Showcase

Real-World Examples of Infrastructure Security Threats.

https://github.com/hardenedvault/bootkit-samples

#cybersecurity #infosec

​​wifi_db

Script to parse Aircrack-ng captures into a SQLite database and extract useful information like handshakes (in 22000 hashcat format), MGT identities, interesting relations between APs, clients and it's Probes, WPS information and a global view of all the APs seen.

https://github.com/r4ulcl/wifi_db

#cybersecurity #infosec #pentesting

#Fuzzing
#Research
"DARWIN: Survival of the Fittest Fuzzing Mutators", 2023.
]-> Repo: https://github.com/TUDA-SSL/DARWIN

Хороших пентестеров действительно есть - хороших Инженеров (с большой буквы) катастрофически не хватает 🙂

И поэтому "хорошие пентестеры" (IMHO - хороший выпускник техникума, вполне достаточно с точки зрения именно образования, а дальше много практики) и находят многочисленные дыры, порожденные недостатком хороших Инженеров и Архитекторов. А следом за ними соответственно выстраивается легион продавцов уникальных "сканеров уязвимостей", а также "наложенных средств защиты", и универсальных "моделей безопасности, инкапсулирующих любые проблемы внутри запущенных виртуальных пространств" спасающих от всех бед, которые так любят приобретать руководители некоторых организаций за скромные десятки-сотни миллионов рублей. Поскольку опираются на мнение тех самых хороших пентестеров, которые как правило и не в курсе, что компилятор может вносит баги, SDK интерпретатора - существенно увеличивать поверхность атаки, и вообще, есть несколько уровней кэша, и данные надо формировать правильными блоками, иначе есть риск получить многократное снижение скорости работы... и т. д., и т. п. 🙂 И что если инвестировать в первую очередь в свою безопасную и качественную разработку, то после первого тяжёлого года (да, первые полгода-год тяжело, пример Лаборатории Касперского 2016 г. эталонен), то стратегически ты выигрываешь значительно больше.

Регулятор осознал это раньше чем многие из нас, и это одна из причин, почему такая ставка делается на взращивание культуры безопасной и качественной разработки в организациях и, как база для этого, создание новой специальности (AppSec, Кибербезопасность - название тут не столь важно, важна суть). Поскольку только спецы такого уровня могут строить значительно безопасные и качественные системы, которые не проламываются удачным запуском ZAP+парой скрафченных json-структур. И, кстати, создавать новые инструменты анализа мирового уровня - этого тоже практически невозможно добиться не разбираясь в структуре ЭВМ в целом.


Поэтому кто хочет учиться на пентестера - отлично, все (почти) профессии важны, крутой пентестер действительно дорогого стоит. Кто на AppSec - добро пожаловать в сложный и увлекательный образовательный процесс, в ходе которого в т.ч. избавляют (тех кто захочет учиться, конечно) от "магического" мышления. В качестве хохмы - оборот курсов тарологов/нумерологов на обр. площадке Яндекса за прошлый год составил около 6.6 млрд. руб. 😂 По моему на такие деньги можно армию AppSec вырастить и ещё на развитие останется...

​GitNoter – веб-приложение, которое позволяет пользователям хранить заметки в своем репозитории git

Поддерживается формат Markdown, позволяющий пользователям добавлять гиперссылки, таблицы, заголовки, блоки кода, цитаты и т. д. внутри заметок

⤷ Ссылка на проект

GitHub | #Interesting #Useful #Git

​​Responder

Responder is a LLMNR, NBT-NS and MDNS poisoner, with built-in HTTP/SMB/MSSQL/FTP/LDAP rogue authentication server supporting NTLMv1/NTLMv2/LMv2, Extended Security NTLMSSP and Basic HTTP authentication.

https://github.com/lgandx/Responder

#cybersecurity #infosec #pentesting #redteam

Кранчим графы зависимостей

В процессе разрешения зависимостей OpenSource библиотек all-over-the-world, вспомнилась полезная работа с MSR'19. Результаты и подходы могут быть полезны тем кто занимается анализом зависимостей или же извлечением инсайдов из графовых структур данных.

Коллеги обработали более 200 тысяч библиотек и построили граф на 9.7 млн связей, который и опубликовали. Есть csv, есть дамп для Neo4j.

Граф полезен для понимания транзитивных связей компонентов, которые за собой приносят то чего не просили много всего удивительного при включении в ваши проекты.

📎 Статья: https://arxiv.org/abs/1901.05392

👀 Датасет: https://zenodo.org/record/1489120#.ZBwDMNJBxHt