Forwarded from Похек
Совет по листингу директорий в NextJS
#tip #tips #bugbounty #nextjs #vercel
Есть небольшой лайфхак, так сказать, который позволяет одномоментно вывести все существующие роуты в NextJS приложении.
В Инструментах разработчика > Консоль >
Скрин1 был честно украден из X, т.к. скрины с проекта нельзя показывать, иначе вы слишком быстро поймёте что за компания))
Скрин2, это из моей платформы обучения. Как видите, у меня это уже не работает :)
Пришлось выйти в интернет с этим вопросом и немного покопаться в документации, чтобы прийти к этой команде. Также ещё по опыту своей разработки и отслеживания как разрабы пишут код, хочу заметить что очень редко отключают console.log, console.error и т.д. на продакшен версиях сайта. А сделать это очень легко:
На самом деле NextJS очень дырявый, у него относительно часто появляются CVE. Так что приходится следить ещё и за этим)Кроме обнов каждую наносекунду
🌚 @poxek | 📺 YT | 📺 RT | 📺 VK | 🌚 Магазин мерча
#tip #tips #bugbounty #nextjs #vercel
Есть небольшой лайфхак, так сказать, который позволяет одномоментно вывести все существующие роуты в NextJS приложении.
В Инструментах разработчика > Консоль >
allow pasting >console.log(__BUILD_MANIFEST.sortedPages.join('\n'));Скрин1 был честно украден из X, т.к. скрины с проекта нельзя показывать, иначе вы слишком быстро поймёте что за компания))
Скрин2, это из моей платформы обучения. Как видите, у меня это уже не работает :)
Работа этой строки очень проста. Берётся __BUILD_MANIFEST, в котором перечисленны все страницы и просто через join их выводим. Работает ли это до сих пор? Да, буквально недавно на одном из проектов попалось это. На главной странице отдавался 404, попытки активно или пассивно профаззить не дали результатов.
Пришлось выйти в интернет с этим вопросом и немного покопаться в документации, чтобы прийти к этой команде. Также ещё по опыту своей разработки и отслеживания как разрабы пишут код, хочу заметить что очень редко отключают console.log, console.error и т.д. на продакшен версиях сайта. А сделать это очень легко:
module.exports = {
compiler: {
removeConsole: process.env.NODE_ENV === "production",
},
};На самом деле NextJS очень дырявый, у него относительно часто появляются CVE. Так что приходится следить ещё и за этим)
Please open Telegram to view this post
VIEW IN TELEGRAM
Please open Telegram to view this post
VIEW IN TELEGRAM
Forwarded from DevSecOps Talks
Новый фреймворк по аудиту и защите контейнерной инфраструктуры JCSF!
Друзья, это, наконец, свершилось: мы нашли время и силы, чтобы объединить рекомендации производителей, лучшие практики и наш опыт в области безопасности контейнеров в едином фреймворке Jet Container Security Framework (JCSF). Благодаря ему можно как провести аудит собственной контейнерной инфраструктуры, так и запланировать дальнейшие действия в области защиты контейнеров. Детальная информация и сам фреймворк доступны по ссылке.
Фреймворк JCSF общедоступный. Навсегда 🙂
Также мы будем очень рады, если вы присоединитесь к совершенствованию JCSF и станете его контрибьютором.
Друзья, это, наконец, свершилось: мы нашли время и силы, чтобы объединить рекомендации производителей, лучшие практики и наш опыт в области безопасности контейнеров в едином фреймворке Jet Container Security Framework (JCSF). Благодаря ему можно как провести аудит собственной контейнерной инфраструктуры, так и запланировать дальнейшие действия в области защиты контейнеров. Детальная информация и сам фреймворк доступны по ссылке.
Фреймворк JCSF общедоступный. Навсегда 🙂
Также мы будем очень рады, если вы присоединитесь к совершенствованию JCSF и станете его контрибьютором.
GitHub
GitHub - Jet-Security-Team/Jet-Container-Security-Framework: Jet Container Security Framework (JCSF)
Jet Container Security Framework (JCSF). Contribute to Jet-Security-Team/Jet-Container-Security-Framework development by creating an account on GitHub.
Forwarded from The Bug Bounty Hunter
Next.js, cache, and chains: the stale elixir
https://zhero-web-sec.github.io/research-and-things/nextjs-cache-and-chains-the-stale-elixir
https://zhero-web-sec.github.io/research-and-things/nextjs-cache-and-chains-the-stale-elixir
Forwarded from Винсент 🌿 пишет...
👋 Знакомьтесь, это SIMba - устройство для управления сим-картой через Телеграм бота на ESP8266 и SIM800L:
https://github.com/spacebagel/SIMbaSIGMAbot/tree/main
Проблематика: большинство моих аккаунтов зарегистрированы не те на СИМ-карты, которыми я активно пользуюсь в смартфоне
Из этого вытекает следующее:
❌ Блокировка неактивных номеров -> вскрытие аккаунтов через "Забыли пароль" новыми владельцами
❌ Несвоевременное получение уведомлений о смене тарифа, попытках входа в УЗ и т.д.
❌ Необходимость в периодическом открытии слота для СИМ-карт в смартфоне
Задачи проекта:
1. Обеспечение 24/7 подключения СИМ-карты к сети
2. Отправка сервисных сообщений о сбоях, пересылка СМС на указанный номер при потере сети
3. Пересылка сообщений с датой и отправителем, также номеров звонивших в ТГ-бота
4. Отправка СМС, совершение звонков-сбросов по параметрам через бота
✅ Реализовано: получение и декодирование СМС, отправка в ТГ-бота
https://github.com/spacebagel/SIMbaSIGMAbot/tree/main
Проблематика: большинство моих аккаунтов зарегистрированы не те на СИМ-карты, которыми я активно пользуюсь в смартфоне
Из этого вытекает следующее:
❌ Блокировка неактивных номеров -> вскрытие аккаунтов через "Забыли пароль" новыми владельцами
❌ Несвоевременное получение уведомлений о смене тарифа, попытках входа в УЗ и т.д.
❌ Необходимость в периодическом открытии слота для СИМ-карт в смартфоне
Задачи проекта:
1. Обеспечение 24/7 подключения СИМ-карты к сети
2. Отправка сервисных сообщений о сбоях, пересылка СМС на указанный номер при потере сети
3. Пересылка сообщений с датой и отправителем, также номеров звонивших в ТГ-бота
4. Отправка СМС, совершение звонков-сбросов по параметрам через бота
✅ Реализовано: получение и декодирование СМС, отправка в ТГ-бота
Forwarded from Code Stars
Forwarded from Code Stars
opengrep/opengrep
🔎 Static code analysis engine to find security issues in code.
Language:OCaml
Total stars: 164
Stars trend:
#ocaml
🔎 Static code analysis engine to find security issues in code.
Language:OCaml
Total stars: 164
Stars trend:
23 Jan 2025
8am ▎ +2
9am ▍ +3
10am ▏ +1
11am ▏ +1
12pm ▋ +5
1pm █▊ +14
2pm ██▏ +17
3pm ██▋ +21
4pm ██▉ +23#ocaml
Forwarded from DevSecOps Talks
Stratoshark: анализ сетевого трафика …!
Всем привет!
Если вам показалось, что название чем-то напоминает Wireshark, то… Вы правы! Stratoshark – новая утилита от той же команды, что создала Wireshark!
С ее помощью можно анализировать нет, не сетевой трафик, но системные вызовы. Например, взаимодействие с файлами, выполнение команд, сетевую активность, взаимодействие между процессами и т.д.
Как и его старший брат, Stratoshark позволяет:
🍭 Просматривать результаты в UI
🍭 Использовать гибкую систему фильтрации для того, что нужно именно вам
🍭 Анализировать записи, созданные Falco
🍭 Изменять отображение информации в соответствии с вашими потребностями
Согласно заверениям разработчиков, если вы пользовались Wireshark, то со Stratoshark вы будете «чувствовать себя, как дома» 😊
Подробнее о проекте – документация, установка, quick start guide, исходный код, немного видео – все это можно найти вот по этой ссылке.
Всем привет!
Если вам показалось, что название чем-то напоминает Wireshark, то… Вы правы! Stratoshark – новая утилита от той же команды, что создала Wireshark!
С ее помощью можно анализировать нет, не сетевой трафик, но системные вызовы. Например, взаимодействие с файлами, выполнение команд, сетевую активность, взаимодействие между процессами и т.д.
Как и его старший брат, Stratoshark позволяет:
🍭 Просматривать результаты в UI
🍭 Использовать гибкую систему фильтрации для того, что нужно именно вам
🍭 Анализировать записи, созданные Falco
🍭 Изменять отображение информации в соответствии с вашими потребностями
Согласно заверениям разработчиков, если вы пользовались Wireshark, то со Stratoshark вы будете «чувствовать себя, как дома» 😊
Подробнее о проекте – документация, установка, quick start guide, исходный код, немного видео – все это можно найти вот по этой ссылке.
Forwarded from CyberSecurityTechnologies (-CST-)
openapi_sec.pdf
5.6 MB
#WebApp_Security
"A Deep Dive Into OpenAPI Security", 2024.
"A Deep Dive Into OpenAPI Security", 2024.
Forwarded from bin
FastCVE или база Mitre & NVD на личном сервере
Наткнулся на очень крутую штуку с GitHub, которая может быть полезна ресерчерам.
Инструмент буквально скачивает базы CVE, CPE, CWE, CAPEC с Mitre и NIST NVD в PostgreSQL СУБД и поднимает API, по которому вы сможете очень быстро делать любой необходимый поиск.
Установка простая, но добавлю от себя, что перед запуском компоса лучше создать .env файлик в корне репозитория и заполнить его так:
В README в том числе и о NVD_API_KEY нет ни слова, его можно достать бесплатно тут.
Компос сам подтянет .env без необходимости постоянного экспорта.
hashbin.t.me
Наткнулся на очень крутую штуку с GitHub, которая может быть полезна ресерчерам.
Инструмент буквально скачивает базы CVE, CPE, CWE, CAPEC с Mitre и NIST NVD в PostgreSQL СУБД и поднимает API, по которому вы сможете очень быстро делать любой необходимый поиск.
Установка простая, но добавлю от себя, что перед запуском компоса лучше создать .env файлик в корне репозитория и заполнить его так:
INP_ENV_NAME=<пустота>
POSTGRES_PASSWORD=testpostgrepass # опционально
FCDB_USER=admin # опционально
FCDB_PASS=testuserpass # опционально
NVD_API_KEY=<ключ>
В README в том числе и о NVD_API_KEY нет ни слова, его можно достать бесплатно тут.
Компос сам подтянет .env без необходимости постоянного экспорта.
hashbin.t.me
👍1
Forwarded from Code Stars
albertan017/LLM4Decompile
Reverse Engineering: Decompiling Binary Code with Large Language Models
Language:Python
Total stars: 3674
Stars trend:
#python
#binary, #decompile, #largelanguagemodels, #reverseengineering
Reverse Engineering: Decompiling Binary Code with Large Language Models
Language:Python
Total stars: 3674
Stars trend:
8 Feb 2025
9pm ▎ +2
10pm █ +8
11pm ▌ +4
9 Feb 2025
12am ▋ +5
1am ▊ +6
2am █▏ +9
3am █▋ +13
4am █▍ +11
5am █▏ +9
6am █▍ +11
7am █▊ +14
8am █▍ +11#python
#binary, #decompile, #largelanguagemodels, #reverseengineering
Forwarded from Code Stars
ashishps1/awesome-system-design-resources
Learn System Design concepts and prepare for interviews using free resources.
Language:Java
Total stars: 20456
Stars trend:
#java
#awesome, #backend, #computerscience, #distributedsystems, #highleveldesign, #hld, #interview, #interviewquestions, #scalability, #systemdesign
Learn System Design concepts and prepare for interviews using free resources.
Language:Java
Total stars: 20456
Stars trend:
9 Feb 2025
3am ▏ +1
4am ▍ +3
5am █▊ +14
6am █▍ +11
7am █▌ +12
8am █▏ +9
9am █ +8
10am █▎ +10
11am ▊ +6
12pm █▎ +10#java
#awesome, #backend, #computerscience, #distributedsystems, #highleveldesign, #hld, #interview, #interviewquestions, #scalability, #systemdesign
👍1
Forwarded from Code Stars
T8RIN/ImageToolbox
🖼️ Image Toolbox is a powerful app for advanced image manipulation. It offers dozens of features, from basic tools like crop and draw to filters, OCR, and a wide range of image processing options
Language:Kotlin
Total stars: 4913
Stars trend:
#kotlin
#aes256, #android, #backgroundremoval, #cleanarchitecture, #crop, #djvu, #editphoto, #exif, #fdroid, #filterimage, #imagemanipulation, #jetpackcompose, #jxl, #kotlin, #materialyou, #ocrrecognition, #pdf, #psd, #qrcodescanner, #watermark
🖼️ Image Toolbox is a powerful app for advanced image manipulation. It offers dozens of features, from basic tools like crop and draw to filters, OCR, and a wide range of image processing options
Language:Kotlin
Total stars: 4913
Stars trend:
9 Feb 2025
5am ▏ +1
6am █ +8
7am ▊ +6
8am █▋ +13
9am █▎ +10
10am █▍ +11
11am █ +8
12pm ▌ +4
1pm ▎ +2
2pm ▍ +3
3pm ▍ +3
4pm ▉ +7#kotlin
#aes256, #android, #backgroundremoval, #cleanarchitecture, #crop, #djvu, #editphoto, #exif, #fdroid, #filterimage, #imagemanipulation, #jetpackcompose, #jxl, #kotlin, #materialyou, #ocrrecognition, #pdf, #psd, #qrcodescanner, #watermark
Forwarded from Code Stars
ahmedkhaleel2004/gitdiagram
Replace 'hub' with 'diagram' in any GitHub url to instantly visualize the codebase as an interactive diagram
Language:TypeScript
Total stars: 2128
Stars trend:
#typescript
#ai, #code, #github, #systemdesign
Replace 'hub' with 'diagram' in any GitHub url to instantly visualize the codebase as an interactive diagram
Language:TypeScript
Total stars: 2128
Stars trend:
14 Feb 2025
3am ▏ +1
4am █ +8
5am ▍ +3
6am ▊ +6
7am █▋ +13
8am ▊ +6
9am █▏ +9
10am █▊ +14
11am ▊ +6
12pm ██▌ +20
1pm █▋ +13#typescript
#ai, #code, #github, #systemdesign