10 Types of Web Vulnerabilities that are Often Missed, OWASP Top 10 Over Time

Сегодня у нас на очереди снова веб, а именно 10 уязвимостей, которые часто упускают.

Среди них:
- HTTP/2 Smuggling
- XXE via Office Open XML Parsers
- SSRF via XSS in PDF Generators
- XSS via SVG Files
- Blind XSS
- Web Cache Deception
- Web Cache Poisoning
- h2c Smuggling
- Second Order Subdomain Takeovers
- postMessage bugs

А на картинке вы, кстати, видете, как менялся OWASP Top 10 с 2004 по 2021 год.

#dev

The JSON Web Token Toolkit v2 (EN)

https://github.com/ticarpi/jwt_tool

Host Header Injection to SQL Injection

https://blog.usejournal.com/bugbounty-database-hacked-of-indias-popular-sports-company-bypassing-host-header-to-sql-7b9af997c610


https://github.com/dwisiswant0/hinject - github tools for find Header Injection

IDOR

Коллеги,
@timeisblack из ГАРДА Технологии сделал отличную автоматизацию фаззинга библиотеки re2 на основе docker-контейнера.
Во время фаззинга делаются скриншоты окна AFL, контейнер автоматически занимает все доступные ядра и прекращает фаззинг после 2 часов с момента нахождения последнего пути. После завершения фаззинга автоматически запускается сбор покрытия. Предлагаю брать на вооружение.
https://github.com/fuzzah/TrustedDynamic/tree/re2-container/Containers/re2

Telegram History Dumper — Exports messages and media from Telegram dialogs, groups and channels 🧐

Алиса рассказывает 🖐🏻

How to open a TCP/UDP socket in a bash shell

Может быть полезно, когда попали в контейнер и нужно поработать с сетью, а любимых netcat, curl и wget нет и поставить нельзя ...

На помощь идут файловые устройства /dev/tcp и /dev/udp ;)

https://www.xmodulo.com/tcp-udp-socket-bash-shell.html

А если вы хотите не оставлять такую лазейку в своих контейнерах с bash внутри, то надо собрать его без флага --enable-net-redirections.

Атака Trojan Source для внедрения изменений в код, незаметных для разработчика
Исследователи из Кембриджского университета опубликовали новую технику незаметной подстановки вредоносного кода в рецензируемые исходные тексты. Подготовленный метод атаки (CVE-2021-42574) представлен под именем Trojan Source и базируется на формировании текста по разному выглядящего для компилятора/интерпретатора и человека, просматривающего код. Примеры применения метода продемонстрированы для различных компиляторов и интерпретаторов, поставляемых для языков C, C++ (gcc и clang), C#, JavaScript (Node.js), Java (OpenJDK 16), Rust, Go и Python.

​“Hello world” на каждом языке программирования. Всего собрано 832 примеров!

GitHub | #Archive #Code

​Wtfpython – Забавный проект, пытающийся объяснить, что именно происходит под капотом у некоторых нелогичных фрагментов и менее известных функций в Python.

>>> a = 256
>>> b = 256
>>> a is b —> True

>>> a = 257
>>> b = 257
>>> a is b —> False
Это самый простой пример из имеющихся 65+

GitHub | #Python #Interesting

ImageIP
Get target ip address and information from framed image https://github.com/EagleTube/ImageIP

Немного материалов для заинтересованных возней с компиляторами, также в реплаях я оставил ссылку на русско говорящее коммьюнити, которая собрало очень неплохую подборку. Я лично просто в свое время скинул в чат немного литературы из личных источников. Полезно.

https://twitter.com/1101_debian/status/1456346324794806274?s=21