7.02K subscribers
246 photos
19 videos
29 files
517 links
Yet another hacker

Я Егор Богомолов, с 2015 в кибербезе, основатель проектов Singleton Security и CyberEd.

На канале разбираю новости из мира кибербезопасности через призму личного опыта, делюсь инсайтами, шучу шутки.

По вопросам - @Marta_Irinos
Download Telegram
Forwarded from Positive Events
Программа Standoff 10 на ближайшие два часа

12:00—12:30. Гуру кибербезопасности разрушат главные мифы о профессии специалиста по ИБ. Ведущий — Владимир Кочетков, руководитель отдела разработки анализаторов кода и исследований Positive Technologies. Участники — Егор Богомолов, специалист по анализу защищенности, основатель Singleton Security, управляющий директор CyberEd, и Алексей Морозов, руководитель отдела AppSec BP, Tinkoff.

12:30—13:00. «Можно ли взломать Dota?». Владимир Кочетков и Роман Дворянкин, директор по развитию бизнеса Standoff, обсудят информационную безопасность в геймдеве.

13:30—14:00. Эксперты обсудят технологические партнерства в сфере кибербезопасности. Ведущий — Эльман Бейбутов, директор по развитию продуктового бизнеса, Positive Technologies. Участники — Анна Олейникова, директор по продуктам, Security Vision, и Николай Арефьев, сооснователь RST Cloud.

Онлайн-трансляцию также можно смотреть на нашем YouTube-канале.

#Standoff10
👍3
Standoff 365
Вишенка на Толксе! 🍑 Во вторник в 17:30 слушателей на площадке митапа Standoff Talks ждёт круглый стол по багбаунти. Обсудим острые и провокационные вопросы для багхантеров и держателей багбаунти-программ. ⚖️ Модератор — @empty_jack Эксперт кибербезопасности.…
А вот и что-то повесомее.

Круглый стол на тему BugBounty глазами хакеров и владельцев:
Link: https://www.youtube.com/watch?v=rgnjO9aROcY

Получилась классная сессия вопросов и ответов для баунтихантеров, владельцев и держателей платформ, на которой подняли множество тонких мест, существующих в багбаунти.

А также все участники поделились своим опытом работы: баунтеры рассказали как они грабят караваны, а владельцы как они отстаивают интересы бизнеса ;D

Если есть интересные вопросы, которые можно поднять, велком в комментарии к видео или к посту.

P.S. В виду этой 🔥горячей🔥 темы и замеченного нами ранее запроса на помощь в первых шагах в багбаунти.

Мы в CyberEd создали простой и ценный продукт, обучающий правилам игры, инструментам и тактикам в BugBounty для тех, кто давно хотел начать участвовать и зарабатывать на поиске ошибок. Всем любителям обучаться новому и обмениваться знаниями в живом общении - Присоединяйтесь!

Link: https://cyber-ed.ru/bugbounty-hunter-intensive/
Please open Telegram to view this post
VIEW IN TELEGRAM
👍8🔥4
Очень интересно изучить:

https://owasp.org/www-project-top-10-ci-cd-security-risks/

Инициатива "Топ-10 рисков безопасности CI/CD".

Этот документ помогает защитникам определить приоритетные области для обеспечения безопасности экосистемы CI/CD. Он является результатом обширного исследования векторов атак, связанных с CI/CD, а также анализа известных нарушений и недостатков безопасности.
👍11
Контентище.
Forwarded from KOTELOV (Влад Савин)
Новый выпуск подкаста! Один из самых известных русских белых хакеров — Егор Богомолов! Расскажет, как взламывал банк и какие хакеры круче!

Добавь в себе в "Посомтреть потом" на ютубе, чтобы по дороге домой преисполниться!

https://www.youtube.com/watch?v=9VgL1IGarH4&t=1831s
🔥28👍9👏2🎉2
Больше можно не искать глазками.
Forwarded from Cybershit
Понял тут, что не рассказывал о trufflehog, наверное лучшем на сегодншний день решении для поиска секретов. SSH и API ключи, пароли к бд, токены, облачные учетные данные и многое другое. Там уже 700 детекторов/регулярок, причем для некоторых есть сразу автоматическая проверка. Нашли например креды к AWS или GCP, нажали кнопочку и trufflehog любезно постучал в нужную апишку для валидации.

Еще помимо привычных множественных сканов репозиториев, есть возможность поиска по файловой системе и даже s3 бакетам. Бонусом можно скачать плагин для браузера чтобы и по JS пройтись.

Короче, мастхев для безопасности ваших пайплайнов и обнаружения секретов, которые кто-то случайно забыл положить куда следует или удалить. Ну или не случайно 😏

> https://github.com/trufflesecurity/trufflehog
Please open Telegram to view this post
VIEW IN TELEGRAM
👍22
Если вы еще нет, то обязательно попробуйте. Всю жизнь до этого я потел и конфижил под себя терминал, а сейчас это переплюнуло все что у меня было.
Forwarded from frozen@rivens.life (Danila Saschenko)
Не могу не написать про прекрасный эмулятор терминала, который использует под капотом ИИ, так еще и написан на Rust!

Речь идет про Warp. Терминальный эмулятор, который использует GPU Based Rendering (прям как Alacritty, речь о котором шла тут), но куда проще конфигурируется и может быть использовал сразу после установки (прям как ITerm).

Я достаточно долго сидел на Alacritty и могу сказать одно - посидев день на Warp я сразу же удалил Alacritty и все то, что связывало меня с данным эмулятором. Свяазано это с тем, что Warp банально удобнее и поставляет те фишки, речь о которых и не шла в Alacritty.

Из того, что может заинтересовать:
📶 Возможность редактировать мульти-лайны;
При написании нескольких команд, есть возможность редактировать сразу их все вместе взятые, как в какой-нибудь IDE или в текстовом редакторе.

📶 ИИ под капотом;
Есть возможность задать ИИ вопрос о линуксе, на что он вернет подсказку. Очень удобно, можно не лезть в гугл!

📶 Разделение результатов выполнения команд на плашки;
Когда сидишь в терминале круглыми сутками, важным аспектом является восприятие информации. И с этим помогает Warp прямиком из коробки! Все результаты выполнения разделены на плашки и у каждой плашки - свое меню, позволяющее скопировать результат выполнения или скопировать команду.

📶 Интерактивная помощь при вводе флагов для команд;
После ввода команды, можно нажать на TAB, откроется окошко, в котором можно прочитать об опциях, доступных для той или иной тулзы.

📶 Можно работать в 1 терминале командой!
Честно говоря, пока не успел воспользоваться этой фишкой, но в доке и в видео видел такую возможность. Не очень полезно, но прикольно. Своего рода screen на максималках.

📶 При прокрутке результатов выполнения - промпты снизу и сверху!
Когда исполняется команда - сверху остается command prompt с самой командой, ниже - результаты выполнения, а под ними - плашка для ввода команды. Эти плашки закреплены, что не позволяет потеряться в информации.


В настоящий момент я использую следующую сборку:
Warp + Starship + Zsh. Сборку подсмотрел тут. Не пожалел, что установил Starship вместо какого-нибудь "Oh my Zsh". Starship крайне гибок и удобен в настройке. Гайд по настройке может быть найден в документации.


Если будете устанавливать, имейте ввиду: для того чтоб кастомные темы (к примеру из Oh My Zsh или Starship) работали - нужно сделать следующее:
1. Перейти в настройки;
2. Перейти в Features;
3. Включить опцию PS1 (Honor user's custom prompt).

Из минусов - собирается крайне много спорной статистики. Прочитать подробнее можно тут.
Please open Telegram to view this post
VIEW IN TELEGRAM
👍17
Редакция рекомендует.
Forwarded from RedTeam brazzers
Продолжаем серию наших ламповых встреч в формате собеседования. На подходе наша четвертая по счету и заключительная встреча в этом формате с подписчиками канала. Как всегда, я и Роман зададим вам несколько вопросов на темы:
- Тировая архитектура;
- Системы, "ломающие" тировую архитектуру;
- Обход защиты конечных точек.
Если вы пропустили предыдущие выпуски, то можете послушать их на яндексе.
До встречи сегодня (8 января) в 18:00 по мск.
👍15🎉6
Присоединяйтесь к нам. Делитесь интересными тулами!
Forwarded from YAH - Pentest Tools (ArroizX)
Puredns - отличный инструмент для резолвинга доменов и брутфорса поддоменов. Он работает поверх С'шного Massdns (высокопроизводительный инструмент для резолвинга доменов), однако, в отличии от него Puredns фильтрует отравленные DNS-ответы и вайлдкарды с помощью своих алгоритмов.

Этапы работы тулзы:
1) С помощью Massdns происходит очень быстрый резолвинг всех доменов и поддоменов сайта. После этого полученный результат нужно отфильтровать, так как он содержит отравленные DNS-ответы и вайлдкарды.
2) Puredns использует свой алгоритм обнаружения вайлдкардов для нахождения и извлечения всех корневых поддоменов с вайлдкардом из полученного ранее результата.
3) На последнем этапе происходит фильтрация от отравленных DNS-ответов, для этого используется Massdns вместе со списком доверенных DNS-резолверов (8.8.8.8 и 8.8.4.4).

Для того, чтобы инструмент работал быстрее и эффективнее нужно сначала составить словарик проверенных и рабочих резолверов. Чтобы это сделать нужно сначала получить список публичных резолверов, а после отфильтровать из них те, что дают только валидные ответы с помощью инструмента DNS Validator.

Также стоит упомянуть, что использовать тулзу надо только с VPS, так как роутер может не выдержать то количество запросов, которое отправит Puredns!

Применение:

Выполнить брутфорс поддоменов, используя словарь all.txt:
puredns bruteforce all.txt domain.com

Выполнить резолвинг доменов из domains.txt, вывести найденные домены с помощью ключа -q и передать домены тулзе httprobe для проверки работоспособности HTTP-сервера:
cat domains.txt | puredns resolve -q | httprobe
👍7
Forwarded from YAH - Pentest Tools (ArroizX)
Katana - быстрый сrawler от создателей Nuclei, Httpx, Interactsh и др.

На фоне других подобных тулз его выделяют следующие особенности:
1) Помимо обычного режима работы поддерживается также и режим Headless
2) Парсинг и затем последующий сrawling Javascript-файлов
3) Настраиваемое автоматическое заполнение форм на сайтах
4) Детальное управление скоупом
5) Настраиваемый вывод работы тулзы
6) Инструмент отлично подходит для работы в связке с другими тулзами
7) Есть большое количество ключей, благодаря которым можно гибко настроить работу инструмента

Применение:

Передать тулзе Httpx список доменов, чтобы она дальше передала Katan'е список URL-адресов, на которых работает HTTP, для дальнейшего сrawling'а
cat domains | httpx | katana

Прокраулить домен example.com, включая ссылки не из скоупа, результат вывести в json и передать тулзе jq, которая поможет с выводом именного нужного вам аутпута
katana -u https://example.com -json -do | jq .
👍10
На правах рекламы собственных проектов;) Присоединяйтесь к нашим новым профессиональным трекам!

Еще больше на сайте cyber-ed.ru.
Forwarded from CyberED (CyberEd)
​​Начнем рабочую неделю со статистики 👀 В SuperJob посчитали, что за 2022 год вакансий в ИБ стало больше на 96%, а резюме – наоборот – меньше на 5%. Так что с прошлого года на рынке труда кибербезопасности продолжается эра соискателя. Самое время получить новую специальность🧑‍💻А мы поможем вам в этом!
📆Календарь старта образовательных программ в феврале:
☝️у вас еще есть возможность попасть!
📍6 февраля стартует новый курс Профессия – ХАКЕР. Поток бесплатный, количество мест ограничено!
📍16 февраля – профессиональный трек Специалист по тестированию на проникновение веб-приложений
📍17 февраля – профессиональный трек Специалист по тестированию на проникновение ИТ-инфраструктуры
📍21 февраля – курс Введение в тестирование на проникновение
📍27 февраля – базовый трек Администратор безопасности
До встречи на занятиях!
🔥7
Есть вообще такие заряженные ИБшники?
Forwarded from Positive Events
🔥 В этом году у нас большие планы по развитию Standoff, и сегодня мы начинаем кастинг на роль контент-мейкера для наших мероприятий и соцсетей 📸

Нам нужен человек, который станет образом и голосом Standoff, и будет вносить свой творческий вклад в разработку и запуск видео разных форматов. Так что, если тебе интересна сфера ИБ, ты не боишься камеры, а ещё и умеешь пилить тиктоки, – ты наш кандидат. Понимание специфики ИБ будет плюсом, но не станет решающим критерием при выборе победителя.

Чтобы поучаствовать в кастинге, до 21 февраля заполни короткую гугл-форму.

Авторы десяти лучших видео будут приглашены на финальный этап в Москву. Победитель получит постоянную работу в команде, максимальный простор для творческой самореализации и поддержку самых смелых идей 🥊

Мы в Standoff за равные возможности, поэтому никаких ограничений по полу, возрасту, ориентации и музыкальным предпочтениям кандидатов у нас нет.
🔥5👍1🤯1
Обязательно к изучению всем веберочкам!