Новый релиз Naabu от ProjectDiscovery
https://github.com/projectdiscovery/naabu/releases/tag/v2.3.2

awerqo который нашел и раздебажил утечку - это я 😎

🎄 С Новым годом! 🎉

Пусть в 2025 году ни одна уязвимость не останется без патча, ни один инцидент — без внимания, а ваши пароли всегда будут длиннее, чем новогодние каникулы.

И пусть фраза "Это не баг, а фича" остаётся только в шутках!

Спасибо что читаете ❤️ и до встречи в следующем году!

Недавно с бро занимались ресерчем одной крупной финансовой организации. Он очень здорово выцепил debug.log с гигабайтом стектрейсов на домене, который на первый взгляд вообще был не в скоупе.

В этих ошибках мы заметили странную связанность с другими сервисами, что привело к выводу, что скорее всего "Out of scope" система отвечает за "выкатку" контента на главный домен 🙈

Дальше интересней - мы начали видеть другие связанные сервисы, и один из них "поделился 📢" с нами секретами. Стандартный пак - Lateral movement, Credential Reuse, возможность выполнять команды, и у нас доступ к админке на главной странице

Мы захекали основной сайт банка миллионника официально (Triagged ✔️)

Такой кайф, адреналин и я чуть меньше чувствую себя самозванцем

Фичу с удалением глобального стейта парсера влили в Katana(у)

https://github.com/projectdiscovery/katana/releases/tag/v1.2.0

Теперь можно параллельно краулить несколько сайтов с разными настройками извлечения URL-ов в своих комбайнах

Это мой второй принятый PR в большой проект — обожаю ProjectDiscovery 🤗

🕵️‍♂️ SQLi без пробелов и tamper-ов: как с этим жить и ломать:

Сайт и статический путь вида /api/action, на сканировании странное чередование ошибок, сгенерировано несколько Informative уведомлений. Вроде ничего серьезного, но ведь интересно почему, на разных, логически не связанных категориях payload-ов сервис меняет код ответа?

Если багбаунтер видит поле ввода, он вводит «О'Коннор» и ждет ошибки 🤣)) И тут воспроизводимая ошибка оказалась на нечетное число кавычек после URL пути 🤯

Пробел, как оказалось, использовать нельзя, space2comment, space2dash, space2hash тоже не заработали. URLencode и другие варианты записи пробела - мимо. Просто запуск sqlmap на --level 5 --risk 3 с указанием injection point - мимо.  Но бага то видно что есть 😊

В доке PostgreSQL обнаружилось что:

Tokens are normally separated by whitespace (space, tab, newline), but need not be if there is no ambiguity

Проще: Postgresу пофиг, есть пробелы или нет, пока токены различимы. То есть это валидный запрос:

SELECT*FROM"employee"WHERE"dept"='Sales';

Дергаем имя БД:

/api/action')AND(ascii(substr(current_database(),1,1)))=(80)AND('1')=('1

Пример для таблиц (ASCII 97 = ‘a’):

/api/action')AND(ascii(substr((SELECT"table_name"FROM"information_schema"."tables"WHERE"table_catalog"='{DB_NAME_HERE}'LIMIT(1)OFFSET(1)),1,1)))=(97)AND('1')=('1

Далее все стандартно — инкрементим параметры substring и OFFSET, попутно подбирая символы составляем отчет

🙏 Cпасибо @ValyaRoller за годные советы

P.S. Повезло что иньекция Boolean Based, pg_sleep() если что сами добавляйте 😄

P.P.S. Чего должен был надышаться дев, чтобы пульнуть СТАТИЧЕСКИЙ путь в SQL-запрос — неразрешимая загадка))

Если вы думаете что на больших бб существуют PHP проекты, где параметры пользователя пропихиваются в file_get_contents() и отдаются... То вы правы 😯

Просто тыкайте и не думайте, что до вас уже сотни человек это сделало - реально простая вещь когда то сказанная Валерой @ValyaRoller, и ее осознание двигает дальше

Спасибо за крутой коллаборейт 😊

P.S. Примитив спонсора сегодняшнего поста. По косвенным признакам бага жила на проде около 9 лет, бб известной компании

$filepath = $_GET['param-name'];

switch ({condition}) {
    case '{XYZ}':
        echo file_get_contents($filepath);

P.P.S. Найдено логически - было понятно что приложение должно читать файлы и хотелось разобраться как

Положили 3 репорта за 3 дня в ББ с Поросёнком 🤩.  Все Server Side 🤗, по ощущениям каждый между HIGH и CRIT

Новый экспириенс в жизни разблокирован ✅

Даже не мог представить что такое возможно

Сегодня обновился набор платных программ от Apple, теперь большая их часть вместе называется Apple Creator Studio. Первые ощущения - вам стоит посмотреть

- AI генерация слайдов в Keynote минималистична и точна, упаковывает ваши тезисы в выбранный шаблон (на базе OpenAI, но результат другой)
- Pixelmator Pro справится с простыми редактированиями картинок из интернета для ваших презентаций
- Final Cut Pro, Motion и компрессор входят в подписку, Photomator (аналог Lightroom) нет

И да - мне нравится тенденция появления конкурентов у Adobe 👏

P.S.
- Чтобы работала генерация картинок смените язык устройства на Английский
- AI фичи Pages с RU текстом не работают. А вот Keynote порадовал
- Если вы студент - можете подписаться за 3 бакса ежемесячно

Кстати, за время работы в облаке и после этого курса окончательно сформировалась идея, чем могу поделиться с комьюнити из своего опыта - в контексте облачного рекона. Постараюсь всё обобщить и за месяц склепать CFP на BalCCon 2026 - буду надеяться, что примут 🥺

Пожелайте мне удачи 🤞