#Research
"Compiling Parallel Symbolic Execution with Continuations", 2023.
]-> https://github.com/Generative-Program-Analysis/GenSym

Template Editor Nuclei

https://templates.nuclei.sh

🛠 Любопытный tui тренажёр для обучения основам работы в терминале.

https://github.com/learnbyexample/TUI-apps/tree/main/CLI-Exercises

#tui #cli #shell

Учебник Docker для новичков, компиляция материалов, 2023

https://github.com/morpheuslord/HackBot

Как WormGPT, но бесплатный. Чат-бот без цензуры, который умеет отвечать на любые вопросы по кибербезопасности. Создан на базе модели Meta-LLama2.

https://lana.codes/lanavdb/

Lana Codes Vulnerability Database (LANAVDB) — база данных уязвимостей от команды lana.codes, которые они находят в плагинах Wordpress.

По каждой написан небольшой райтап с примерами кода, инфографикой, PoC и даже поднятым тестовым стендом.

Для подавляющей части уязвимостей уже есть свой шаблон для Nuclei, их можно найти тут.

https://github.com/noraj/haiti

CLI-утилита для идентификации хэшей. Лучшая альтернатива дефолтного hash-identifier из Kali Linux. Поддерживает более 519 алгоритмов и выдает готовые команды для John The Ripper и hashcat.

https://github.com/jehna/humanify/

LLM-Based деобфускатор для Javascript. Под капотом использует Babel — для восстановления исходников на уровне AST, webcrack — для нормализации и ChatGPT/llama2 — чтобы вернуть переменным человекочитаемый вид.

Гайд по комплексному анализу Javascript файлов в 2023 году я публиковал тут.

Самая важная часть Vulnerability Management-а не имеет прямого отношения к уязвимостям. Подумал, что если суммировать весь опыт практического внедрения VM-а и выделить самое важное, то это будет оно.

В первую очередь у безопасника VM-щика должна голова болеть не об автоматически продетектированных на каком-то скоупе уязвимостях, а о том, что где-то есть какие-то IT-активы, о которых он вообще ни сном, ни духом.

По закону подлости именно там будет основное адище и именно там будут резвиться злоумышленники. А когда произойдёт инцидент, VM-щику будет нечего сказать кроме "а я не знал, что у нас такие активы есть" и вид он будет иметь весьма бледный. 😱

К существующей в организации системе инвентаризации должно быть максимальные недоверие. У вас действительно нет неучтённых активов? А если найду? (с)

Вопросы навскидку к системе инвентаризации:

🔹 А филиалы все? А дочерние/купленные компании все?
🔹 А десктопы все? И ноутбуки все? И у удалёнщиков, которые по VPN-у не подключаются? И на всех ОС?
🔹 А сервера все? И которые не в домене? И которые в закрытых сетках? И которые в облаке? И которые на других внешних хостингах когда-то подрядчиками развенуты? А ERP-система? А Kubernetes?
🔹 А сетевые устройства все?
А вот телефония? А вот камеры? А вот СКУДы? А вот экраны в переговорках? А вот система бронирования переговорок?

Можно до бесконечности продолжать.

Поддерживать такую систему инвентаризации в актуальном состоянии это прям работа-работа. И это имеет мало общего с тем, что обычно VM-вендоры говорят: ну вот вы сеточки просканите, получите активы и запустите VM-сканы с аутентификацией. Нет, ребята. Может посканить сеточку (ещё нужно понимать какую и получить права), поснифать трафик (опять же где именно), сделать выгрузку из AD (опять же из какого именно) и т.д. это и неплохо, но это скорее нужно для того, чтобы найти ошибки в основной системе инвентаризации активов, а не её замена.

Когда есть информация, что активы в принципе есть, можно копать вглубь:

🔸 А кто ответственный за актив? Кто должен обновлять этот актив? С какой периодичностью это делается? Что будет, если обновление по факту не производится.
🔸 А что это за актив? Какая у него критичность?
🔸 А можем ли мы сканировать этот актив на уязвимости? А если не можем, то как мы будем с этим активом дальше жить?
🔸 Откажемся от использования актива, купим сканер, напишем свой сканер, будем руками проверять?
🔸 Если это сервер/десктоп можно уже инвентаризацией софтов заниматься и тоже прикидывать есть ли у нас средства для детектирования уязвимостей для этих софтов и как жить, если нет. Откажемся от использования софта, купим сканер, напишем свой сканер, будем руками проверять?

Посыл такой:

➕ С более-менее адекватной инвентаризацией активов и возможностью транслировать политики в сторону IT нам (крамола!) возможно и детектировать уязвимости не так и важно. Видим хосты и то, что они полностью обновляются раз в месяц - отлично. Скорее всего там всё +- нормально. Если видим хост с EOL операционкой, то тоже сканировать на уязвимостей излишне - нужно мигрировать. Если видим хост, который не обновлялся год, то тоже сканировать смысла нет - критичных уязвимостей за год гарантированно набежит, нужно разбираться почему процесс регулярного обновления не сработал.

➖ А вот когда у нас нормальной инвентаризации активов нет, то VM-процесс будет напоминать мальчика, который увлеченно ковыряет в грязной луже палочкой. Ну, чего-то там сканим, как-то эти сканы разбираем, какие-то таски на обновление заводим, как-то эти таски закрывают. Можно график нарисовать. Насколько этой активности достаточно и насколько она вообще реальный уровень защищенности повышает - да пёс его знает. Соблазнительно сказать: а вот мы пока на ограниченном скоупе запустимся, а потом - ух! Как расширимся на всё! Очень маловероятно, что это расширение действительно произойдет, т.к. в итоге мало кто в этом расширении скоупа оказывается заинтересован. Так что гораздо лучше изначательно правильно акценты расставлять.

@avleonovrus #AssetManagement

Исследователь использовал Flipper Zero для Bluetooth-спама на iOS-устройства
https://xakep.ru/2023/09/07/flipper-zero-ios/

Группируем Телеграм каналы в RSS ленту

Для некоторых кейсов необходимо собирать информацию сразу из нескольких источников, иногда — из нескольких каналов в Телеграм.

1. Сначала проверяем можно ли открыть канал используя t.me/s/название_канала. Если да, значит веб-просмотр включен, значит двигаемся дальше.

2. Пользуясь сервисом RSSHub создаём линк следующего формата — rsshub.app/telegram/channel/название_канала

3. Регистрируемся на бесплатном сервисе feed.informer.com, создаём RSS Feed. Добавляем ссылки такого плана:

- rsshub.app/telegram/channel/название_канала1
- rsshub.app/telegram/channel/название_канала2
- rsshub.app/telegram/channel/название_канала…

Будет особо полезно для мониторинга локальных СМИ или следующего военного переворота. Ну или для скрепинга без Telegram API.

#mssql #pentest #lab #qemu #virtualisation

На днях решил (разгрестить в чулане на хате) поднять лабу по исследованию безопасности MSSQL. Давно еще видел доклад Ильи Шапошникова на Standoff Talks про атаку на Linked Server MSSQL, а также находил на проекте SQL Injection в базу MSSQL (повыситься не удалось).

Атак на MSSQL довольно много и есть свои приколы, например, Linked Servers или xp_cmdshell, xp_dirtree. Подробнее можно посмотреть на HackTricks.

Поводом стал эпизод моего любимого подкаста по безопасности 7MinSec #567 "How to Build an Intentionally Vulnerable SQL Server". Нужно было развернуть две виртуалки с WinAD и MSSQL, но я решил использовать не привычный VirtualBox, а QEMU гипервизор. Знакомый еще давно пытался "продать" мне этот гипервизор и я решил попробовать. На самом деле, что на арче (I use btw), что на убунте поднимается довольно просто:

Вот пример для Ubuntu:
sudo apt install qemu-kvm qemu-system qemu-utils python3 python3-pip libvirt-clients libvirt-daemon-system bridge-utils virtinst libvirt-daemon virt-manager -y
sudo systemctl start libvirtd.service
sudo virsh net-start default
sudo virsh net-autostart default
sudo usermod -aG libvirt $USER
sudo usermod -aG libvirt-qemu $USER
sudo usermod -aG kvm $USER
sudo usermod -aG input $USER
sudo usermod -aG disk $USER


Ну, а после установки можно запускать графический клиент QEMU - VirtManager и тыкать кнопочки. Трайхардеры могут пользоваться chad-like инструментом virsh и взаимодействовать с гипервизором через CLI.

QEMU работает в разы быстрее, чем VirtualBox. Я даже удивился и решил перекатить свои виртуалки на новый гипервизор. Сконвертить виртуальный диск из формата VirtualBox в QEMU можно через qemu-img:

qemu-img convert -f vdi -O qcow2 rocky.vdi rocky8.qcow2

Таки дела. Буду дальше поднимать лабу по MSSQL. Возможно, напишу гайд, так как на просторах Ру-инфосек сегмента я такого не нашел.

@pathsecure

August 2023 (version 1.82) of Visual Studio Code now supports Port Forwarding to allow easier access from Threat Actors.

inb4 Visual Studio Code as a C2?

Very cool 👍

More information: https://code.visualstudio.com/docs/editor/port-forwarding