#conference

Через полчаса выступлю в зоне АппСек, буду рад слушателям, подтягивайтесь)))

Это был крутой опыт выступления с большой и отзывчивой аудиторией, спасибо!

Презентация по докладу.

Лучшие!

Расписали о том, как сделали и из чего состоит наш бейдж!

https://habr.com/ru/company/bizone/blog/457070/

#frida #android

Не нашел на просторах интернета, поэтому вот вам скрипт для Frida под реализацию метода putString класса SharedPreference, с помощью которого можно в реальном времени отслеживать все что приложение пишет в SP.

Java.perform(function () {
    var Shared = Java.use("android.app.SharedPreferencesImpl$EditorImpl");
    Shared.putString.implementation = function (a,b) {
        console.log("[*] SharedPreferences.putString() got called! Args: ", a,", ", b);
        var retval = this.putString(a,b);
        return retval;
    };
});

#penetst #tool

Нашел новый бастер dirble[дир’блэ], который стоит попробовать.

Из плюсов:
- Есть флаг --burp, который отправляет трафик через бурп прокси 😄
- Есть вайтлист кодов ответов, в отличие от дирсерча где нужно добавлять -X 301,302,445,403,500,etc…

Остальная таблица сравнения с dirb,dirsearch,gobuster на странице проекта:

https://github.com/nccgroup/dirble

#news

В Burp 2.1 появилась темная тема!

P.S. Release notes: http://releases.portswigger.net/2019/06/professional-community-edition-21.html

#Telegram #Channels

Очередная подборка телеграм-каналов, на которые сам подписан. Формировал по просьбе, решил заделиться раз уж сделал.

Для ламеров

(Скорее всего схавает даже тот, кто не в теме)

Канал про технологии и информационную безопасность:
https://t.me/cybershit

Агрегатор новостей ИБ:
https://t.me/HNews

Агрегатор новостей ИБ с форума Antichat:
https://t.me/antichat

Агрегатор толковых новостей ИБ и площадка типа Habr для хакеров:
https://t.me/xakep_ru

Ребята хайпят на ИБ:
https://t.me/netstalkers

Подкасты о ИБ:
https://t.me/N0iSeBit

Для ProHacker'ов

(Скорее всего будет полезно тем кто в теме)

Появляющиеся эксплойты к известному ПО:
https://t.me/exploitdbrss

Канал с заметками и информацией о BugBounty:
https://t.me/thebugbountyhunter

Информация о раскрытиях уязвимостей с HackerOne:
https://t.me/bug_bounty_channel

Про редтимминг и пр.:
https://t.me/mis_team

Про пентест и хаккинг:
https://t.me/YAH_Channel

Полезные записки для Администраторов:
https://t.me/SysadminNotes

Полезные записки для Администраторов:
https://t.me/bykvaadm

Канал форума Reverse For You:
https://t.me/R0_Crew

ИБ, утечки, хаккинг и пр.:
https://t.me/canyoupwnme

Хакинг и ИБ обучение:
https://t.me/hacker_sanctuary

Набирающие популярность GitHub репозитории:
https://t.me/github_repos

Мероприятия

OFFZONE:
https://t.me/offzone_moscow

DC7499:
https://t.me/DEFCON

DC7495:
https://t.me/DEFCON7495

DC8800:
https://t.me/DC8800

Информация о мероприятиях ИБ:
https://t.me/InfoBezEvents

OWASP RU:
https://t.me/OWASP_RU

Годно про XML-RPC

#offZone #conference

Ура! Ребята из Бизон выложили доклады!
Мой доклад по ссылке: https://www.youtube.com/watch?v=7srno3kt20M

P.S. Все комментарии и пожелания по докладу, его подаче и содержимому приветствуются!

#tool

То, что нужно

#knowledge #youtube

Нашел, помимо всем уже известного LiveOverflow, ещё один развивающийся Ютуб канал о Хакинге и CTF PwnFunction.

https://www.youtube.com/channel/UCW6MNdOsqv2E9AjQkv9we7A/videos

Видосов пока не много, но уже есть что посмотреть новичкам. Судя по контенту, дальше будет больше и интереснее.

#ruby #slqi

Только посмотрите, как круто в коде RubyOnRails выглядит SQLi в ORDER BY:

Client.order(params[:first_name])

Т.е. Active Record Query Interface после такого вызова построит следующий запрос:

'SELECT * FROM Clients ORDER BY #{params[:first_name]}’

, где #{params[:first_name]} - это user input.

Метод .order() не фильтрует и не экранирует получаемые данные. А значит, в таком случае мы легко можем раскрутить Blind SQLi c подзапросом вроде:

ORDER BY 1,(SELECT 1 FROM SLEEP(5))--

, где дальше можно крутить Boolean-based, Time-based и пр.

P.S. Почему это круто?!

Потому что разработчики, когда пишет код, даже не подозревает, что вызов вроде Client.order(params[:first_name]) приведет к SQLi. Тут ничего не режет глаз, нет конкатенации, нет опасных функций, казалось бы и пр.

Godnota

Race condition в веб-приложениях

https://bo0om.ru/race-condition-ru

PayloadsAllTheThings - коллекция полезной нагрузки ко всему, вот серьёзно.
Тут и вектора атак для CRLF, и к Path Traversal, различные пэйлоады для imagemagic и ffmpeg, XXE, ссылки на разборы и мануалы, даже старый добрый SecLists больше не нужен. Обязателен в коллекции любого bounty hunter'а. А уж сколько заданий в CTF было решено засчет него!
А чего еще нет, добавляется с помощью комьюнити, подключайтесь!

#knowledge #sqli

DQL Injections by Deteact:
https://blog.deteact.com/ru/dql-injection/

#misc

Крутейшее расследование от моего доброго друга:
https://www.anti-malware.ru/analytics/Threats_Analysis/searching-for-Neutrino-investigation

#knowledge #xss #client-side

Упустил для себя, что можно даже с возвращаемым типом содержимого страницы text/xml провести атаку типа XSS.

Пример:

<?php
header("Content-Type: text/xml");


print_r('<?xml version="1.0" encoding="UTF-8"?>
<response>
 <foo>
  <html xmlns:html="http://www.w3.org/1999/xhtml">
   <html:script>alert("Reflected XSS");</html:script>
  </html>
 </foo>
</response>');

?>

Т.е. мы подгружаем в XML пространство имен xhtml, и можем пользоваться его тегами.

Видимо, везде где есть XML можно добиться выполнения JS кода. (Это еще надо проверить)