Forwarded from Code Stars
drk1wi/portspoof
Portspoof
Language:Makefile
Total stars: 1135
Stars trend:
#makefile
Portspoof
Language:Makefile
Total stars: 1135
Stars trend:
25 Dec 2024
9am ▍ +3
10am ▏ +1
11am ▎ +2
12pm ▏ +1
1pm ▎ +2
2pm ▎ +2
3pm ▏ +1
4pm ▍ +3
5pm ▋ +5
6pm ▎ +2
7pm ▌ +4
8pm ██████▌ +52#makefile
Forwarded from CyberSecurityTechnologies (-CST-)
#Threat_Research
#Blue_Team_Techniques
AttackRuleMap:
Mapping of open-source detection rules and atomic tests, such as Sigma and Splunk ESCU
https://attackrulemap.netlify.app
#Blue_Team_Techniques
AttackRuleMap:
Mapping of open-source detection rules and atomic tests, such as Sigma and Splunk ESCU
https://attackrulemap.netlify.app
Forwarded from Code Stars
fabriziosalmi/caddy-waf
Caddy WAF (OWASP rule-based filtering, IP and DNS filtering, rate limiting, GeoIP)
Language:Go
Total stars: 96
Stars trend:
#go
#caddy, #caddyplugin, #caddyserver, #securitytools, #waf, #webapplicationfirewall, #websecurity
Caddy WAF (OWASP rule-based filtering, IP and DNS filtering, rate limiting, GeoIP)
Language:Go
Total stars: 96
Stars trend:
3 Jan 2025
4am ▏ +1
5am +0
6am +0
7am +0
8am █▎ +10
9am █▋ +13
10am ██ +16
11am █▎ +10
12pm █▉ +15
1pm █▌ +12
2pm █▎ +10#go
#caddy, #caddyplugin, #caddyserver, #securitytools, #waf, #webapplicationfirewall, #websecurity
👍1
Forwarded from AppSec & Compliance
https://jellyfin.org/
На домашнем серваке поднимаем сервис для стриминга кино/сериалов.
Для большинства современных ТВ есть app.
Запускаем transmission server,
Прибиваем папку, куда качать фильмы
Запускаем jellyfin, указываем папку на серваке, куда скачали фильмы.
Наслаждаемся.
Успешно оттестил на samsung.
Вот тут репо, с помощью которого легко можно установить app под samsung.
На домашнем серваке поднимаем сервис для стриминга кино/сериалов.
Для большинства современных ТВ есть app.
Запускаем transmission server,
Прибиваем папку, куда качать фильмы
Запускаем jellyfin, указываем папку на серваке, куда скачали фильмы.
Наслаждаемся.
Успешно оттестил на samsung.
Вот тут репо, с помощью которого легко можно установить app под samsung.
jellyfin.org
The Free Software Media System | Jellyfin
The volunteer-built media solution that puts you in control of your media. Stream to any device from your own server, with no strings attached.
👍2
Forwarded from PWN AI (Artyom Semenov)
Вот уж не знал, но у популярного инструмента ZAP, который раньше был OWASP ZAP - есть расширение Fuzz AI
https://www.zaproxy.org/docs/desktop/addons/fuzzai-files/
Оно позволяет тестировать API модели на различные атаки. К примеру можно попробовать извлечь данные об архитектуре модели, возможно реализовать попытку кражи конфиденциальной информации.
По сути для фааззинга используются промпты. Их около 17 наборов. Про модель которая оценивает результаты - нету слов вообще. Тоесть вы можете использовать данные подавать их в API, но судя по всему вам придется анализировать каждый ответ вручную.
Тут можно посмотреть промпты.
https://github.com/zaproxy/zap-extensions/tree/main/addOns/fuzzai/src/main/zapHomeFiles/fuzzers/fuzzai/AI
А тут буквально туториал как это использовать.
https://youtu.be/hZ9yeXK2DLY?si=0Dc1IcQvmzLACcke
https://www.zaproxy.org/docs/desktop/addons/fuzzai-files/
Оно позволяет тестировать API модели на различные атаки. К примеру можно попробовать извлечь данные об архитектуре модели, возможно реализовать попытку кражи конфиденциальной информации.
По сути для фааззинга используются промпты. Их около 17 наборов. Про модель которая оценивает результаты - нету слов вообще. Тоесть вы можете использовать данные подавать их в API, но судя по всему вам придется анализировать каждый ответ вручную.
Тут можно посмотреть промпты.
https://github.com/zaproxy/zap-extensions/tree/main/addOns/fuzzai/src/main/zapHomeFiles/fuzzers/fuzzai/AI
А тут буквально туториал как это использовать.
https://youtu.be/hZ9yeXK2DLY?si=0Dc1IcQvmzLACcke
www.zaproxy.org
ZAP – Fuzz AI Files
The world’s most widely used web app scanner. Free and open source. ZAP is a community project actively maintained by a dedicated international team, and a GitHub Top 1000 project.
👍2
Forwarded from CyberSecurityTechnologies (-CST-)
LLM4CVE.pdf
2.3 MB
#Sec_code_review
"LLM4CVE: Enabling Iterative Automated Vulnerability Repair with Large Language Models", 2025.
]-> https://sites.google.com/view/llm4cve
"LLM4CVE: Enabling Iterative Automated Vulnerability Repair with Large Language Models", 2025.
]-> https://sites.google.com/view/llm4cve
Forwarded from CyberSecurityTechnologies (-CST-)
#tools
#WebApp_Security
"AutoRestTest: A Tool for Automated REST APITesting Using LLMs and MARL", 2025.
]-> https://github.com/selab-gatech/AutoRestTest
#WebApp_Security
"AutoRestTest: A Tool for Automated REST APITesting Using LLMs and MARL", 2025.
]-> https://github.com/selab-gatech/AutoRestTest
Forwarded from CyberSecBastion 📖
Vulncov - A tool that correlates Semgrep scans with Python test code coverage
A small tool-experiment from a week ago is VulnCov . Its goal is to prioritize Semgrep finding, excluding vulnerabilities found in "dead code". To do this, the tool takes Semgrep finding and combines them with the results of Pytest unit tests.
To better understand this, it's easiest to look at a demo example where there are several vulnerabilities inside an unreachable section of code:
- Commented router #@app.route
- Impossible condition if 1 == 2
Based on the results of the Semgrep scan, for obvious reasons, it will return all vulnerabilities, including those in unreachable code. The project also has tests that, upon execution, generate a coverage.json file. The coverage file from the unit test report contains information about which lines of code were executed during testing, and also provides summary statistics about the code coverage of tests. This file helps developers understand which parts of the code are covered by tests and which are not, which creates an ideal basis for prioritizing Semgrep results. As a result, VulnCov compares two file and outputsJSON with the most relevant finding.
A small tool-experiment from a week ago is VulnCov . Its goal is to prioritize Semgrep finding, excluding vulnerabilities found in "dead code". To do this, the tool takes Semgrep finding and combines them with the results of Pytest unit tests.
To better understand this, it's easiest to look at a demo example where there are several vulnerabilities inside an unreachable section of code:
- Commented router #@app.route
- Impossible condition if 1 == 2
Based on the results of the Semgrep scan, for obvious reasons, it will return all vulnerabilities, including those in unreachable code. The project also has tests that, upon execution, generate a coverage.json file. The coverage file from the unit test report contains information about which lines of code were executed during testing, and also provides summary statistics about the code coverage of tests. This file helps developers understand which parts of the code are covered by tests and which are not, which creates an ideal basis for prioritizing Semgrep results. As a result, VulnCov compares two file and outputsJSON with the most relevant finding.
Forwarded from GitHub repos
isd-project/isd
isd (interactive systemd) — a better way to work with systemd units
Language: Python
#cli #systemctl #systemd #textual #tui
Stars: 271 Issues: 2 Forks: 3
https://github.com/isd-project/isd
isd (interactive systemd) — a better way to work with systemd units
Language: Python
#cli #systemctl #systemd #textual #tui
Stars: 271 Issues: 2 Forks: 3
https://github.com/isd-project/isd
GitHub
GitHub - kainctl/isd: isd (interactive systemd) – a better way to work with systemd units
isd (interactive systemd) – a better way to work with systemd units - kainctl/isd
Forwarded from Похек
Совет по листингу директорий в NextJS
#tip #tips #bugbounty #nextjs #vercel
Есть небольшой лайфхак, так сказать, который позволяет одномоментно вывести все существующие роуты в NextJS приложении.
В Инструментах разработчика > Консоль >
Скрин1 был честно украден из X, т.к. скрины с проекта нельзя показывать, иначе вы слишком быстро поймёте что за компания))
Скрин2, это из моей платформы обучения. Как видите, у меня это уже не работает :)
Пришлось выйти в интернет с этим вопросом и немного покопаться в документации, чтобы прийти к этой команде. Также ещё по опыту своей разработки и отслеживания как разрабы пишут код, хочу заметить что очень редко отключают console.log, console.error и т.д. на продакшен версиях сайта. А сделать это очень легко:
На самом деле NextJS очень дырявый, у него относительно часто появляются CVE. Так что приходится следить ещё и за этим)Кроме обнов каждую наносекунду
🌚 @poxek | 📺 YT | 📺 RT | 📺 VK | 🌚 Магазин мерча
#tip #tips #bugbounty #nextjs #vercel
Есть небольшой лайфхак, так сказать, который позволяет одномоментно вывести все существующие роуты в NextJS приложении.
В Инструментах разработчика > Консоль >
allow pasting >console.log(__BUILD_MANIFEST.sortedPages.join('\n'));Скрин1 был честно украден из X, т.к. скрины с проекта нельзя показывать, иначе вы слишком быстро поймёте что за компания))
Скрин2, это из моей платформы обучения. Как видите, у меня это уже не работает :)
Работа этой строки очень проста. Берётся __BUILD_MANIFEST, в котором перечисленны все страницы и просто через join их выводим. Работает ли это до сих пор? Да, буквально недавно на одном из проектов попалось это. На главной странице отдавался 404, попытки активно или пассивно профаззить не дали результатов.
Пришлось выйти в интернет с этим вопросом и немного покопаться в документации, чтобы прийти к этой команде. Также ещё по опыту своей разработки и отслеживания как разрабы пишут код, хочу заметить что очень редко отключают console.log, console.error и т.д. на продакшен версиях сайта. А сделать это очень легко:
module.exports = {
compiler: {
removeConsole: process.env.NODE_ENV === "production",
},
};На самом деле NextJS очень дырявый, у него относительно часто появляются CVE. Так что приходится следить ещё и за этим)
Please open Telegram to view this post
VIEW IN TELEGRAM
Please open Telegram to view this post
VIEW IN TELEGRAM
Forwarded from DevSecOps Talks
Новый фреймворк по аудиту и защите контейнерной инфраструктуры JCSF!
Друзья, это, наконец, свершилось: мы нашли время и силы, чтобы объединить рекомендации производителей, лучшие практики и наш опыт в области безопасности контейнеров в едином фреймворке Jet Container Security Framework (JCSF). Благодаря ему можно как провести аудит собственной контейнерной инфраструктуры, так и запланировать дальнейшие действия в области защиты контейнеров. Детальная информация и сам фреймворк доступны по ссылке.
Фреймворк JCSF общедоступный. Навсегда 🙂
Также мы будем очень рады, если вы присоединитесь к совершенствованию JCSF и станете его контрибьютором.
Друзья, это, наконец, свершилось: мы нашли время и силы, чтобы объединить рекомендации производителей, лучшие практики и наш опыт в области безопасности контейнеров в едином фреймворке Jet Container Security Framework (JCSF). Благодаря ему можно как провести аудит собственной контейнерной инфраструктуры, так и запланировать дальнейшие действия в области защиты контейнеров. Детальная информация и сам фреймворк доступны по ссылке.
Фреймворк JCSF общедоступный. Навсегда 🙂
Также мы будем очень рады, если вы присоединитесь к совершенствованию JCSF и станете его контрибьютором.
GitHub
GitHub - Jet-Security-Team/Jet-Container-Security-Framework: Jet Container Security Framework (JCSF)
Jet Container Security Framework (JCSF). Contribute to Jet-Security-Team/Jet-Container-Security-Framework development by creating an account on GitHub.
Forwarded from The Bug Bounty Hunter
Next.js, cache, and chains: the stale elixir
https://zhero-web-sec.github.io/research-and-things/nextjs-cache-and-chains-the-stale-elixir
https://zhero-web-sec.github.io/research-and-things/nextjs-cache-and-chains-the-stale-elixir
Forwarded from Винсент 🌿 пишет...
👋 Знакомьтесь, это SIMba - устройство для управления сим-картой через Телеграм бота на ESP8266 и SIM800L:
https://github.com/spacebagel/SIMbaSIGMAbot/tree/main
Проблематика: большинство моих аккаунтов зарегистрированы не те на СИМ-карты, которыми я активно пользуюсь в смартфоне
Из этого вытекает следующее:
❌ Блокировка неактивных номеров -> вскрытие аккаунтов через "Забыли пароль" новыми владельцами
❌ Несвоевременное получение уведомлений о смене тарифа, попытках входа в УЗ и т.д.
❌ Необходимость в периодическом открытии слота для СИМ-карт в смартфоне
Задачи проекта:
1. Обеспечение 24/7 подключения СИМ-карты к сети
2. Отправка сервисных сообщений о сбоях, пересылка СМС на указанный номер при потере сети
3. Пересылка сообщений с датой и отправителем, также номеров звонивших в ТГ-бота
4. Отправка СМС, совершение звонков-сбросов по параметрам через бота
✅ Реализовано: получение и декодирование СМС, отправка в ТГ-бота
https://github.com/spacebagel/SIMbaSIGMAbot/tree/main
Проблематика: большинство моих аккаунтов зарегистрированы не те на СИМ-карты, которыми я активно пользуюсь в смартфоне
Из этого вытекает следующее:
❌ Блокировка неактивных номеров -> вскрытие аккаунтов через "Забыли пароль" новыми владельцами
❌ Несвоевременное получение уведомлений о смене тарифа, попытках входа в УЗ и т.д.
❌ Необходимость в периодическом открытии слота для СИМ-карт в смартфоне
Задачи проекта:
1. Обеспечение 24/7 подключения СИМ-карты к сети
2. Отправка сервисных сообщений о сбоях, пересылка СМС на указанный номер при потере сети
3. Пересылка сообщений с датой и отправителем, также номеров звонивших в ТГ-бота
4. Отправка СМС, совершение звонков-сбросов по параметрам через бота
✅ Реализовано: получение и декодирование СМС, отправка в ТГ-бота