Dynamic CheatSheet

Commad generator for: recon, provilege escalation, nmap and etc:

https://sygnialabs.github.io/DROPS/

#tool

Я тут решил разобраться с тем как работает cloud-init чтобы найти хоть какие-то спецификации для конфигурации. Забегая вперёд скажу - их нет. С архитектурной точки зрения это просто какой-то ужас. Но что-то откопать таки удалось.

Начнём с того что cloud-init поддерживает большое количество датасорсов, там и OpenStack, и OpenNebula, и AWS, и Azure, и Google Cloud, и всё такое…

Все они собираются в единую структуру - instance metadata, которая слава богу имеет стандартизированную спеку. Её можно использовать в скриптах и темплейтах, но передать её напрямую ни через один датасорс нельзя.

Что же из себя представляет датасорс? Как правило это метод получения конфигурации из облака, который, в зависимости от облака в котором работает, превращает метаданные облака в instance metadata. Меня интересовали в первую очередь форматы OpenStack configDrive и NoCloud, которые позволяют передавать метаданные инстанса через ISO или файловую систему со специально определённый лейбл.

И тут начинается самое весёлое, так как единого стандарта нет, но есть некоторые негласные соглашения. А именно, что данные передаются в виде четырёх структур: meta-data, user-data, vendor-data и network-config (именование может быть разное, но суть примерно одна)

- meta-data - более-менее общий для всех клаудов, в нём чаще всего передают instance-id, local-hostname и public-keys для ssh.
- user-data - позволяет принять в себя cloud-config структура, которая тоже не стандартизирована, но тоже имеет общепринятые поля, либо вообще может быть чем угодно, например баш-скриптом, jinja-темплейтом для cloud-config’а или скрипта или конкатенировать в себя всё вышеперечисленное.
- vendor-data - тоже самое что и user-data, но по логике предоставляется вендором, а не пользователем
- network-config - у разных вендоров разный, но в NoCloud он более-менее стандартизирован и представляет собой конфиг netplan в чистом виде.

Пишем микро-shellcode в формате ELF вручную
https://ift.tt/hNtgpoi

Уже не раз публиковались статьи про устройство формата ELF и написание файлов в таком формате вручную, но я не считаю лишним опубликовать и свой вариант решения задачи написания ELF-файла вручную. В результате получился файл, вызывающий /bin/sh и занимающий всего 76 байт (что на 8 байт меньше, чем сумма длин необходимых для запуска заголовков ELF).

https://appsec.guide/

Руководство по автоматизированному поиску уязвимостей от компании Trail of Bits. Рассказывают о процессах статического и динамического анализа, которые они используют в своей работе.

Пока что опубликована только одна глава, — про использование Semgrep и написание для него правил.

Winlator

Winlator — это приложение для Android, которое позволяет запускать приложения Windows (x86 64) с Wine и Box86/Box64.

https://github.com/brunodev85/winlator

Ресерчеры из GoSecure подвели итоги исследования, в рамках которого в течение 3 лет с помощью ханипота фиксировались тысячи различных RDP-атак, на основании которых удалось классифицировать и выделить пять основных классов злоумышленников.

Приманка показала, как мошенники устанавливают вредоносное ПО, майнят крипту, реализуют DDoS-атаки и мошеннические кампании.

RDP — наиболее критический вектор атаки, используемый киберпреступниками, в том числе группами программ-вымогателей.

Чтобы изучать кибератаки по мере их развития, исследователи создали инструмент перехвата RDP с открытым исходным кодом с возможностями контроля экрана, клавиатуры, мыши, буфера обмена и сбора файлов.

С помощью PyRDP исследователям удалось собрать большое количество информации, включая более 190 миллионов событий, 100 часов видеоматериалов и 470 файлов, используемых злоумышленниками.

Ресечеры отмечают, что исследование демонстрирует значительный потенциал перехвата криминальных сред RDP в ключе работы правоохранительных органов и blueteam.

В следующих публикациях они также пообещали поделиться подробной информацией об инструментах, которые использовали различные субъекты угроз.

Пока же приводят классификацию злоумышленников по категориям, за основу которой были взять типажи из популярной игры Dungeons & Dragons (DnD).

- Рейнджеры: исследуют все папки компьютера, проверяют характеристики сети и производительности хоста и запускают разведку, используя программы или скрипты. Никаких других значимых действий не предпринимают. Оценивают скомпрометированную систему.

- Воры: пытаются монетизировать полученный RDP-доступ. Меняют учетные данные и выполняют различные действия для реализации своего доступома, используя traffmonetizer (прокси-программы), браузеры (участвующие в схемах оплаты за серфинг), устанавливают крипто-майнеры, загружают эмуляторы Android (мобильное мошенничество) и т.д.

- Варвары: используют большой набор инструментов для взлома еще большего количества других систем. Работают брутом, со списками IP-адресов, имен пользователей и паролей.

- Wizards: используют RDP-доступ в качестве канала для подключения к другому компьютеру, который был скомпрометирован аналогичным образом. Скрывают свою личность, задействуя скомпрометированные хосты.

- Барды: отсутствие явных хакерских навыков. Получают доступ к системе для выполнения поиска вредоносных программ с помощью Google или ведут просмотр порнографии. Обычно приобретают RDP-доступ у IAB.

Поначалу кажется, что это какая-то детская статья, где рассказывают, из чего состоит компьютер и зачем там процессор. Но ты не замечаешь, как втягиваешься, и к третьей главе, когда тебя по лицу хлещут сисколами, просто получаешь удовольствие.

https://cpu.land/

#Cloud_Security
"Container Orchestration Honeypot:
Observing Attacks in the Wild", 2023.

Black Hat USA 2023 slides

https://github.com/onhexgroup/Conferences/tree/main/Black%20Hat%20USA%202023%20slides

Speeding up nmap service scanning 16x

https://joshua.hu/nmap-speedup-service-scanning-16x

#Threat_Research
#Blue_Team_Techniques
"Adversarial ModSecurity: Countering Adversarial SQL Injections with Robust Machine Learning", 2023.

Если нужно быстро сориентироваться по системным вызовам ядра Linux.
Числа и параметры для различных архитектур и версий ядра.
https://syscalls.mebeim.net

#linux #syscalls #arch

Remote Desktop on Linux Containers

Этот проект создает безопасную многопользовательскую среду виртуальных рабочих столов с открытым исходным кодом для удаленной работы.

Удаленная среда основана на Docker-контейнере, эффективна и масштабируема, и ее можно развернуть для неограниченного числа пользователей.

Пользователи в вашей организации могут получить доступ к удаленному рабочему столу на базе ОС GNU/Linux, запускать приложения, а также получать доступ к другим важным ресурсам.

Доступна панель управления веб-администратора, позволяющая администраторам контролировать среду организации.

https://github.com/nubosoftware/linux-remote-desktop

Шпаргалка по быстрому развертыванию старой Убунты

Зачем? Статистика не врет – бо́льшая часть проломов с внешки начинается с дырявого веба. Веб же, в основном, крутится на *NIX-ах, и чаще всего, на жесть как не до конца обновленных. К сожалению (нет, на самом деле, к частью), реал-лайф отличается от CTF-таска, поэтому нестандартного SUID-ника / сплойтабельной cron-задачи / нестойкого sudo -l правила найти удается далеко не всегда, а залутаться от рута ой как хочется. Следовательно, если сходу не взлетает PwnKit, linPEAS (по секрету) запускать никто не будет, ведь ядерным сплоитом проще и быстрее.

Однако, предвосхищая контраргументы на тему небезопасности их применения, ядерные уязвимости требуют бережного использования в проде. Обычно под этим подразумевается предварительное тестирование оных на подготовленном стенде с продовым сетапом (ревизия ОС, версия ядра). На примере Убунты покажем, как быстро задеплоить такой стенд.

1. Смотрим ОС и ядро на таргете:

$ cat /etc/os-release
$ uname -a

2. Идем на old-releases.ubuntu.com и хватаем нужный ISO-шник торрентом, разворачиваем на ВМ.

3. Меняем репозитории системных пакетов на архивные:

$ sudo sed -i -re 's/([a-z]{2}\.)?archive.ubuntu.com|security.ubuntu.com/old-releases.ubuntu.com/g' /etc/apt/sources.list
$ sudo apt-get update

4. Накатываем нужное ядро:

$ sudo apt-get install linux-image-$(uname -r)

5. Правим настройки GRUB, чтобы при загрузке иметь возможность свичнуть ядро:

$ gksudo gedit /etc/default/grub
--> GRUB_TIMEOUT=-1
--> #GRUB_HIDDEN_TIMEOUT=0
$ sudo update-grub
$ sudo reboot  # (on boot select the kernel from "Previous Linux versions")

6. Ставим метапакеты компиляции и gcc-multilib на случай, если древний сплоит будет собираться с -m32:

$ sudo apt-get install build-essential gcc-multilib

В среднем процесс занимает не более 15 минут вместе с загрузкой образа и адаптацией команд выше под тестируемый дистрибутив.

P. S. Если версия ОСи достаточно старая, чтобы libssl не дал скачать сорцы с Гитхаба с помощью wget/curl (i. e., не поддерживает хотя бы TLSv1.2), репозитории можно клонировать, отключив в клиенте гита проверку SSL-ей (для гетов/курлов такое не прокатит – все равно обосрутся):

$ export GIT_SSL_NO_VERIFY=1
$ git clone https://github.com/<EXP_AUTHOR>/<EXP_REPO>