Записки потомственного it'шника
275 subscribers
509 photos
40 videos
204 files
1.65K links
Краткость — сестра таланта.
Автоматизация — мать порядка.
Ransomware'щики — боги.
Батя — программист over 80+ level.
Мать — бухгалтер, соскачившая с цифр на контдитерские изделия.
Ну а я — бакалавр ИБ по собственной воле.
Update: уже магистр.
Download Telegram
Forwarded from MavisGPT
С двух ног врываюсь в фаззинг/экплоит дев браузеров. сразу получеными двумя CVE(UXSS и Adress Bar Spofing) и футболкой по почте. На самом деле потребовалось полтора года на попытки и освоение движка V8, и умение фаззить. А оказалось достаточно все просто, с нуля написать фаззер, благо если знаешь теория пишется быстро, выставление санитайзероми и https://github.com/YulinSec/ChatGPTScanner как проверка на действительно полезные вылеты программ. Наконец нормально рабочие примение LLM в ИБ. Схема проста, фаззер фаззит, дает тебе вылеты, тот скрипт проверяет на ценность вылетов, при легком изменение кода сам пишет poc. Тебе только проверять на действительные ценные poc.
В частности следующий апдейт хрома будет из за меня, так что извините.
PS? Этот канал был создан что бы выкладывать свои пет проекты/идеи которые всплывают в голове.
👍5
Forwarded from воркшоперная
переговоры по рации → голосовые в телегу. с помощью rtl-sdr.

антенна сделана из куска проволоки потому что ну больше не было ничего.

исходники тут: https://github.com/f0rthsp4ce/radiotelegram
👍2
Forwarded from Proxy Bar
prv8_nuclei_templates.zip
3.9 MB
Nuclei templates
*
6000 штук
👍1
node security best practices

Тык
👍1
Forwarded from CyberSecurityTechnologies (-CST-)
ASV.pdf
718.4 KB
#Research
"Automated Software Vulnerability Patching using Large Language Models", 2024.
Forwarded from Security Wine (бывший - DevSecOps Wine) (Rustam Guseynov)
CI/CD Attack Diagram

В развитии недавнего поста - диаграмма* атак на CI/CD на примере GitHub. Для каждого шага работы CI/CD описываются актуальные "сценарии провала", по некоторым из которых даны линки на статьи с подробными описаниями соответствующих атак и утилитами для их автоматизации.

Автор схемы - John Stawinski IV (именно так он именует себя на личном сайте) - с 2023 года сосредоточен на исследованиях атак на CI/CD в компании Praetorian.

*Фрагмент соответствующей схемы на ваших экранах

#ci #scheme
👍1
Forwarded from PWN AI (Artyom Semenov)
Базы знаний - у всех они есть... Но как их можно улучшить ?

Просматривая доклады на оффзоне я увидел доклад, который называется "Данила Урванцев. Pentest Copilot, или Как я создал AI‑помощника по пентесту". Это не суперсложный доклад и он не имеет отношения именно к безопасности ии. Однако, автор поделился полезным советом о том, как прикрутить к своей базе знаний LLM.

Для чего ? Ну в первую очередь это как вариант дообучения модели на конкретных файлах (привет RAG) ... Ещё это как вариант быстро искать по своей информации. Идея крутая. Сейчас покажу как вы можете это без проблем сделать... + некоторый эксклюзив от Данилы....


Во первых, в качестве llm, которая будет работать над нашей инфой я предлагаю использовать (как и в оригинале) llama3. Она ставится очень просто через ollama(win,linux,osx):

ollama pull llama3

и
ollama serve


кстати, порт в Ollama для сервера можно прописать через переменные окружения, вот как это сделать в powershell(в остальных случаях я думаю что понятно:-):

$env:OLLAMA_HOST="127.0.0.1:11434"; ollama serve


➡️Далее, нам нужен удобный веб-интерфейс, где уже прикручен вариант взаимодействия с RAG и самой llama3 в ollama. Автор использовал в своём докладе OpenWebUI. Вот как запустить и поставить через докер(если вы меняли порт для сервера, то в OLLAMA_BASE_URL также измените его):

docker run -d --network=host -v open-webui:/app/backend/data -e OLLAMA_BASE_URL=http://127.0.0.1:11434 --name open-webui --restart always ghcr.io/open-webui/open-webui:main


➡️После того как мы скачаем докер с open-webui, нам нужно перейти на

http://localhost:3000/

, где собственно нас попросят зарегистрироваться в open-webui(проверки почты нет).

🐇Теперь мы можем взять llama3 (выбрав сверху пункт) и без проблем подгружать какие-либо файлы(.md(владельцам обсидиана - привет),.pdf, .pptx).

▪️Предвкушаю, что некоторым может показаться это слишком очевидным и все должны знать ... Но мы рассмотрели самый простой, как мне кажется, способ сделать базу знаний с LLM.

🤨Теперь можем закидывать все ресёрчи и книги по aisecurity и пытать лламу...

PPS ... есть ещё крутая альтернатива quivr - https://t.me/ai_machinelearning_big_data/4529

Данила: А ещё есть плагин в обсидиан для AI, и в него можно как-раз просто дать ручку от OpenWebUI (потому что у него API как у OpenAI). Также есть плагин для поиска по всем чатам.
Please open Telegram to view this post
VIEW IN TELEGRAM
Please open Telegram to view this post
VIEW IN TELEGRAM
👍2
Forwarded from SHADOW:Group
🖊️Семантические уязвимости в серверах Apache

В связи с недавно прошедшими мероприятиями и моим отпуском не было времени упомянуть некоторые крутые недавно опубликованные доклады. И к одному из таких относится ресерч старины Orange Tsai, в ходе которого было найдено сразу несколько CVE и различных мисконфигов в серверах Apache.

Странно, что никто об этом еще не написал, так как материал очень интересный и я всем рекомендую ознакомиться с оригиналом по ссылке. Я также набросал несколько шаблонов для Nuclei на основе этого доклада, которые вы можете доработать или использовать как есть на своих целях (закину их в комменты под постом).

#web #apache #cve
Please open Telegram to view this post
VIEW IN TELEGRAM
👍2