Для тех, кто вдруг решит стать высококвалифицированным пентестером 😏

Dependency analysis ⛓

Если вы вдруг работаете с безопасной разработкой,
То рано или поздно задумаетесь об анализе тех зависимостей,
Что лежат в корне функциональности вашего приложения.

Старые версии библиотек, уязвимости в них, а так же, возможно, совместимость лицензий, вот это все. На помощь в отслеживании данной проблемы ребята из под начала OWASP запилили супер комбайн.

Dependency-Track - это интеллектуальная платформа анализа компонентов цепочки поставок, которая позволяет организациям идентифицировать и снижать риск от использования сторонних и открытых компонентов на базе OWASP. Инструмент анализирует файлы, содержащие перечень всех зависимостей для проекта, так называемые BOM (bill of material) файлы.
Эти файлы описываются по спецификации cycloneDX BOM
(https://cyclonedx.org/docs/1.1/)

Исходный код: https://github.com/DependencyTrack/dependency-track


Рассмотрим с вами вариант использования "На скорую руку" с помощью Docker:

docker pull owasp/dependency-track
docker volume create --name dependency-track
docker run -d -p 8080:8080 --name dependency-track -v dependency-track:/data owasp/dependency-track

После завершения установки необходимо перейти по адресу развертывания DependencyTrack, в данном случае http://localhost:8080,
ввести в форму авторизации admin admin, изменить пароль на более надежный, создать проект, к которому будут односиться проанализированные зависимости.
Ометить в url UUID проекта.
Перейти в настройки, отметить token для автоматизации.

Для проектов, написанных на java и собираемых Maven'ом необходимо использовать плагин cyclonedx-maven-plugin
https://github.com/CycloneDX/cyclonedx-maven-plugin,
который генерирует необходимые для дальнейшего анализа BOM-файлы при сборке проекта.

Необходимо в корне проекта в файле pom.xml в разделе plugins добавить следующие строки:

<plugins>
<plugin>
<groupId>org.cyclonedx</groupId>
<artifactId>cyclonedx-maven-plugin</artifactId>
<version>2.1.1</version>
<executions>
<execution>
<phase>verify</phase>
<goals>
<goal>makeAggregateBom</goal>
</goals>
</execution>
</executions>
<configuration>
<projectType>library</projectType>
<schemaVersion>1.1</schemaVersion>
<includeBomSerialNumber>true</includeBomSerialNumber>
<includeCompileScope>true</includeCompileScope>
<includeProvidedScope>true</includeProvidedScope>
<includeRuntimeScope>true</includeRuntimeScope>
<includeSystemScope>true</includeSystemScope>
<includeTestScope>false</includeTestScope>
<includeLicenseText>false</includeLicenseText>
<outputFormat>all</outputFormat>
</configuration>
</plugin>
</plugins>

Для генерации BOM-файлов вручную, можно воспользоваться следующей командой:

mvn -X -DSPDXParser.OnlyUseLocalLicenses=true org.cyclonedx:cyclonedx-maven-plugin:2.1.1:makeBom

Для дальнейшего анализа необходимо загрузить сгенерированные файлы в развернутый контейнер.
Т.к. файлов обычно слишком много, для автоматизации загрузки необходимо воспользоваться следующим скриптом, используя ранее отмеченные UUID проекта и token для автоматизации.

Скрипт:

AUTO_TOKEN=<TOKEN>
NIFI_UUID=<PROJECT_UUID>
DEP_TRACK_URL=<Dependency_Track_url>

find $PWD -type f -name "bom.xml" |
while read -r line
do
echo $line;
curl -X "POST" "$DEP_TRACK_URL" \
-H "X-Api-Key: $AUTO_TOKEN" \
-F "project=$NIFI_UUID" \
-F "bom=@/$line";
done

После выполнения скрипта необходимо открыть web интерфейс, перейти в созданный проект и наслаждаться\ужасаться результатами))

#OpenSource #Dependencies #Analysis #tools #БПО

Defcon archives

Принес вам ссылочку на архивы метриалов с defcon (всех)
Пусть будет, почему нет?))

http://m6rqq6kocsyugo2laitup5nn32bwm3lh677chuodjfmggczoafzwfcad.onion

#defcon #onion #archive #pentest

Облако тегов #️⃣☁️
---------------------------------------------------
Им лучше пользоваться из чата.
Ссылка на чат: https://t.me/ItShittyNotesChat
Ссылка на облако тэгов в чате: https://t.me/ItShittyNotesChat/265
---------------------------------------------------
#БПО -- безопасная разработка ПО, решения, подходящие в рамках обеспечения ГОСТа 56939.
#OpenSource -- решения, базе открытого кода.
#tools -- инструменты, решающие весьма конкретные задачи.
#fuzz -- фаззинг, вид тестирования продукта, путем ввода заведомо неправильных данных.
#linux -- операционная система класса unix.
#python -- интерпретируемый язык программирования высокой прикладной применимости.
#go -- компилируемый язык программирования, идеально подходящий для сетевых задач (завязанный на I/O)
#onion -- ресурс, находящийся в "луковом" сетевом пространстве.
#sast -- средства статического анализа исходных текстов.
#dast -- средства динамического тестирование приложения.
#notes -- записки, статейки, исследования.
#cheatsheet -- шпаргалки, дорожные карты, показательные примеры.
#android -- все что связано с зеленым роботом.
#mobile -- все что связано с мобилками.
#sec -- тематика безопасности.

Дорки по поиску в Яндексе лишними не будут 😏

Очень интересные материалы, стоит учитывать при перекройке своих загрузочных дистрибутивов #linux
⬇️⬇️⬇️⬇️⬇️⬇️⬇️⬇️⬇️

А порция одноразовых почтовых ящиков ещё никому не мешала 🥸📧

Еще порция одноразовых почтовых ящиков 🤫

​​Подборка сервисов временной почты

Как часто вам приходится вводить свою почту для регистрации? Около 90% людей пишут свою настоящую почту, чем и "убивают" свою малейшую анонимность. В этой подборке мы и будем обходить такие случаи, с помощью бесплатных сервисов.

Ниже представлены анонимные, временные почты, которые будут подходить под любой сервис.

1. crazymailing.com - сервис временной почты для борьбы со спамом
2. temp-mail.org - временная одноразовая почта
3. dropmail.me - бесплатный анонимный временный адрес электронной почты
4. my10minutemail.com - сервис временной анонимной электронной почты (tempmail)
5. 10minemail.com - временная почта на 10 минут
6. mohmal.com - бесплатный анонимный временный адрес электронной почты
7. emailondeck.com - сервис временной почты для борьбы со спамом
8. 10minutemail.net - временная почта на десять минут
9. tempail.com - бесплатный анонимный временный адрес электронной почты
10. emkei.cz — онлайн фальшивый почтовик с вложениями, шифрованием, HTML-редактор и расширенные настройки, можно установить любой адрес отправителя
11. gmailnator.com — прием почты на email адрес gmail.com

Надеюсь, теперь не будешь вводить куда-угодно свою настоящую почту

Отличное чтиво от Codeby,
На тему #БПО, почему так важно и нужно соблюдать такие практики, как динамическое тестирование, ака "#fuzz", "#dast" и статический анализ, как говорит мой начальник, "Исходных текстов", ака "#sast".

Супер шпаргалка по #xss тактикам и трюкам, которые работают в 2021 году.
Обязательно иметь ввиду всем, как разработчикам, так и тестерам ☝️

#pentest #web #cheatsheet