Infrastructure-as-code security tool compare

Сравнение инструментов для анализа конфигурационных файлов IaC: Checkov, Indeni Cloudrail, Kics, Snyk, Terrascan, Tfsec. В качестве тестовой выборки был взят Terraform для AWS. Каждый test-case можно увидеть в репо. Полезно также будет для понимания типовых ошибок.

#terraform #iac #sast #dev #ops

Nuclei and DevSecOps

Если вы сидите в чатиках, посвященных пентестам / уязвимостям веба, то наверняка могли слышать про инструмент Nuclei. Nuclei позиционируется как быстрый сканер уязвимостей в вебе, в котором можно определять шаблоны отправки запросов на базе yaml. Похожий подход используется, как мы знаем, современными SAST (Checkmarx, CodeQL, semgrep). Также, как и в CodeQL, предполагается, что эти же заполненные шаблоны могут быть переданы исследователями безопасности в рамках Bug Bounty. В дальнейшем Nuclei вместе со всеми шаблонами встраивается в CI/CD. У инструмента также есть отдельное репо с готовыми шаблонами на разные случаи жизни (от фаззинга до IoT).

Прилагаю также дополнительный полезный материал на тему Nuclei:

- Exploiting Race conditions with Nuclei

- How to Scan Continuously with Nuclei?

- Nuclei - Fuzz all the things

#dev #ops #attack #dast

Go Developer Roadmap 2021

Читать подробнее

Secrets and Kubernetes can be a challenge. This webhook provides one option, injecting secrets into Kubernetes resources from various secrets managers including Vault, AWS, GCP and Azure secrets managers.

https://github.com/OT-CONTAINER-KIT/k8s-vault-webhook

#k8s #kubernetes #secrets #scurity

​​↪️ Фаззинг при редиректе

Во время проведения этапа разведки, важно проверять доступ к директориям на страницах с кодом состояния 301 / 302, потому что некоторые директории могут быть доступны.

Например, если при переходе на поддомен, происходит перенаправление на главный домен:

https://corp.int.company.com (302) ->
https://corp.company.com (302) ->
https://www.company.com

Не забывайте проводить фаззинг конечных точек https://corp.company.com и https://corp.int.company.com

Сделать это можно с помощью ffuf:

ffuf -w wordlist.txt -u https://corp.company.com/FUZZ -fc 302 -replay-proxy http://127.0.0.1:8080

ffuf -w wordlist.bxt -u https://corp.int.company.com/FUZZ -fc 302 -replay-proxy http://127.0.0.1:8080

Опция -replay-proxy прогонит все через Burp.

Подобным образом была найдена уязвимость в Google, стоимостью 13,337$. Более подробно про неё можете прочитать в блоге автора.

#web #fuzz

OpenVas Basic to Advanced For Ethical Hacking & Pentesting

Link: udemy.com/course/openvas-basic-to-advanced-for-ethical-hacking-pentesting

@RedBlueHit 💀👀
@RedBlueTM 🔒

OpenVas Basic to Advanced For Ethical Hacking & Pentesting

Password: @redbluehit

@RedBlueHit 💀👀
@RedBlueTM 🔒

OpenVas Basic to Advanced For Ethical Hacking & Pentesting

Password: @redbluehit

@RedBlueHit 💀👀
@RedBlueTM 🔒

Крутая картинка со систематизацией Kubernetes Privilege Escalation! (Автор не известен.)

И Red team и Blue team это все очень полезно знать.

P.S. Сегодня на ZeroNights - буду рад пообщаться лично, пообсуждать Kubernetes ;)

Добрый день!

Релиз Crusher v2.6.1 (минорный) - доступен по постоянной ссылке https://nextcloud.ispras.ru/s/y4JQq7K5YXmfDSy.
Изменения:
1. Обновление документации по фаззеру.
2. Возможность устанавливать Crusher из apt-репозитория - см. раздел "Установка Crusher из apt-репозитория" в документации.

https://github.com/knassar702/scant3r

echo #target | hakrawler -nocolor | awk '{print $2}' | python3 scant3r.py -R

"Безопасность веб-приложений" Эльдар Заитов" - Школа информационной безопасности Яндекс 2018.

Первая лекция из серии уроков Яндекса по безопасности. + Авторский бонусный материал в виде майнд-мапы по серверным и клиентским уязвимостям, а также способам защиты

https://www.youtube.com/watch?v=rSp2cpAI4Tc&list=PLdJo1XilUTZPOJ1kSnoKheT7YSygP9FIO

#web #code #lecture #dev