|SaaS attack techniques|

"Без понимания как образом совершаются наступательные действия атакующей стороны, трудно выстроить крепкую систему безопасности" - народная мудрость

🛡Данный репозитрий нацелен на сбор методов атак Software as a service (SaaS) для моделирования будущих атак на относительно новую поверхность атаки, расширяя кругозор как атакующей, так и защищающих сторон, и конечно оные могут пригодиться исследователям безопасности в целом.

Тезисы, озвучиваемые авторами:
💾Избегайте высокоэффективных средств контроля
💾Ищите функции, которыми можно злоупотреблять в долгосрочной перспективе, а не ошибки, которые будут быстро исправлены
💾Выйдите за рамки примерно дюжины основных SaaS-приложений

Можно в целом сократить до: "лучше поразмыслить в таком ключе, как другие не могут вообразить и не гнаться за 0-day эксплойтами, а думать о более долгоиграющих и недорогих способах обходах защиты". Так же можно адаптировать это и для защищающейся стороны, ибо далеко не всегда нужно искать с "потом на лице" способы защиты, оптимальнее подумать в том направлении, что редко рассматривается.

🔖Также важно понимать откуда ноги растут и по возможности читать предысторию проектов, если таковая имеется, как в данном случае.

"Without understanding how offensive actions of the attacking side are carried out, it is difficult to build a strong security system" - folk wisdom

🛡This repository is aimed at collecting Software as a service (SaaS) attack methods to simulate future attacks on a relatively new attack surface, expanding the horizons of both attacking and defending parties, and of course these can be useful to security researchers in general.

Theses voiced by the authors:
💾Avoid highly effective controls
💾Look for features that can be abused in the long run, not bugs that will be fixed quickly
💾Go beyond about a dozen basic SaaS applications

You can generally reduce it to: "it's better to think in this way, as others cannot imagine and not chase 0-day exploits, but think about longer-lasting and inexpensive ways to bypass protection." It is also possible to adapt this for the defending side, because it is not always necessary to look for ways of protection with "sweat on the face", it is more optimal to think in the direction that is rarely considered.

🔖It is also important to understand where the legs are growing from and, if possible, read the background of the projects, if any, as in this case.

#SaaS #networkless_attacks #DFIR #security_research #blue_team #red_team #Reconnaissance #Initial_Access #Execution #Persistence #PE #Defense_Evasion #Credential_Access #Discovery #Lateral_Movement #Exfiltration

#Offensive_security
Websocket REPL for pentesters
https://github.com/doyensec/wsrepl

Dynamic CheatSheet

Commad generator for: recon, provilege escalation, nmap and etc:

https://sygnialabs.github.io/DROPS/

#tool

Я тут решил разобраться с тем как работает cloud-init чтобы найти хоть какие-то спецификации для конфигурации. Забегая вперёд скажу - их нет. С архитектурной точки зрения это просто какой-то ужас. Но что-то откопать таки удалось.

Начнём с того что cloud-init поддерживает большое количество датасорсов, там и OpenStack, и OpenNebula, и AWS, и Azure, и Google Cloud, и всё такое…

Все они собираются в единую структуру - instance metadata, которая слава богу имеет стандартизированную спеку. Её можно использовать в скриптах и темплейтах, но передать её напрямую ни через один датасорс нельзя.

Что же из себя представляет датасорс? Как правило это метод получения конфигурации из облака, который, в зависимости от облака в котором работает, превращает метаданные облака в instance metadata. Меня интересовали в первую очередь форматы OpenStack configDrive и NoCloud, которые позволяют передавать метаданные инстанса через ISO или файловую систему со специально определённый лейбл.

И тут начинается самое весёлое, так как единого стандарта нет, но есть некоторые негласные соглашения. А именно, что данные передаются в виде четырёх структур: meta-data, user-data, vendor-data и network-config (именование может быть разное, но суть примерно одна)

- meta-data - более-менее общий для всех клаудов, в нём чаще всего передают instance-id, local-hostname и public-keys для ssh.
- user-data - позволяет принять в себя cloud-config структура, которая тоже не стандартизирована, но тоже имеет общепринятые поля, либо вообще может быть чем угодно, например баш-скриптом, jinja-темплейтом для cloud-config’а или скрипта или конкатенировать в себя всё вышеперечисленное.
- vendor-data - тоже самое что и user-data, но по логике предоставляется вендором, а не пользователем
- network-config - у разных вендоров разный, но в NoCloud он более-менее стандартизирован и представляет собой конфиг netplan в чистом виде.

Пишем микро-shellcode в формате ELF вручную
https://ift.tt/hNtgpoi

Уже не раз публиковались статьи про устройство формата ELF и написание файлов в таком формате вручную, но я не считаю лишним опубликовать и свой вариант решения задачи написания ELF-файла вручную. В результате получился файл, вызывающий /bin/sh и занимающий всего 76 байт (что на 8 байт меньше, чем сумма длин необходимых для запуска заголовков ELF).

https://appsec.guide/

Руководство по автоматизированному поиску уязвимостей от компании Trail of Bits. Рассказывают о процессах статического и динамического анализа, которые они используют в своей работе.

Пока что опубликована только одна глава, — про использование Semgrep и написание для него правил.

Winlator

Winlator — это приложение для Android, которое позволяет запускать приложения Windows (x86 64) с Wine и Box86/Box64.

https://github.com/brunodev85/winlator

Ресерчеры из GoSecure подвели итоги исследования, в рамках которого в течение 3 лет с помощью ханипота фиксировались тысячи различных RDP-атак, на основании которых удалось классифицировать и выделить пять основных классов злоумышленников.

Приманка показала, как мошенники устанавливают вредоносное ПО, майнят крипту, реализуют DDoS-атаки и мошеннические кампании.

RDP — наиболее критический вектор атаки, используемый киберпреступниками, в том числе группами программ-вымогателей.

Чтобы изучать кибератаки по мере их развития, исследователи создали инструмент перехвата RDP с открытым исходным кодом с возможностями контроля экрана, клавиатуры, мыши, буфера обмена и сбора файлов.

С помощью PyRDP исследователям удалось собрать большое количество информации, включая более 190 миллионов событий, 100 часов видеоматериалов и 470 файлов, используемых злоумышленниками.

Ресечеры отмечают, что исследование демонстрирует значительный потенциал перехвата криминальных сред RDP в ключе работы правоохранительных органов и blueteam.

В следующих публикациях они также пообещали поделиться подробной информацией об инструментах, которые использовали различные субъекты угроз.

Пока же приводят классификацию злоумышленников по категориям, за основу которой были взять типажи из популярной игры Dungeons & Dragons (DnD).

- Рейнджеры: исследуют все папки компьютера, проверяют характеристики сети и производительности хоста и запускают разведку, используя программы или скрипты. Никаких других значимых действий не предпринимают. Оценивают скомпрометированную систему.

- Воры: пытаются монетизировать полученный RDP-доступ. Меняют учетные данные и выполняют различные действия для реализации своего доступома, используя traffmonetizer (прокси-программы), браузеры (участвующие в схемах оплаты за серфинг), устанавливают крипто-майнеры, загружают эмуляторы Android (мобильное мошенничество) и т.д.

- Варвары: используют большой набор инструментов для взлома еще большего количества других систем. Работают брутом, со списками IP-адресов, имен пользователей и паролей.

- Wizards: используют RDP-доступ в качестве канала для подключения к другому компьютеру, который был скомпрометирован аналогичным образом. Скрывают свою личность, задействуя скомпрометированные хосты.

- Барды: отсутствие явных хакерских навыков. Получают доступ к системе для выполнения поиска вредоносных программ с помощью Google или ведут просмотр порнографии. Обычно приобретают RDP-доступ у IAB.

Поначалу кажется, что это какая-то детская статья, где рассказывают, из чего состоит компьютер и зачем там процессор. Но ты не замечаешь, как втягиваешься, и к третьей главе, когда тебя по лицу хлещут сисколами, просто получаешь удовольствие.

https://cpu.land/

#Cloud_Security
"Container Orchestration Honeypot:
Observing Attacks in the Wild", 2023.

Black Hat USA 2023 slides

https://github.com/onhexgroup/Conferences/tree/main/Black%20Hat%20USA%202023%20slides

Speeding up nmap service scanning 16x

https://joshua.hu/nmap-speedup-service-scanning-16x

#Threat_Research
#Blue_Team_Techniques
"Adversarial ModSecurity: Countering Adversarial SQL Injections with Robust Machine Learning", 2023.

Если нужно быстро сориентироваться по системным вызовам ядра Linux.
Числа и параметры для различных архитектур и версий ядра.
https://syscalls.mebeim.net

#linux #syscalls #arch