#knowledge #python

Еще узнал кое-чего новое о изменениях в синтаксисе python 3.7, а точнее о возможности самодокументирования участков кода, описывающих типы данных.
Только посмотрите на изображение)
(По сути такое указание типа ничего не меняет, но говорит читающему о предполагаемом типе переменной)

#ctf
Наконец-то затащил что годное. Спасибо Валарму за возможность!

1. empty.jack 1096
2. Beched 1096
3. BlackFan 1096
4. yarbabin 1096
5. Kaimi 1096
6. r0hack 1096
7. drakylar 842
8. Forst 842
9. Sailor 842
10. swan'i 842

#hacking #recon

Крутейшая статья с описанием способов и инструментов разведки в сети. К каждому инструменту описан способ инсталляции и пример запуска.

https://pentester.land/cheatsheets/2018/11/14/subdomains-enumeration-cheatsheet.html

#knowledge #hacking #web

Презентация ребят из FBKSecurity о давно известной, но постоянно возраждающейся из пепла атаке DNS Rebinding’a, мало кто о ней знает, потому как ее применение не самое простое в исполнении. Но знать о существовании таких возможностей всегда интересно и полезно!)

https://speakerdeck.com/fbkcs/dns-rebinding-in-2k18

#knowledge #hacking #mobileApp

Потихоньку открываю для себя мир анализа защищенности мобильных приложений. Все началось конечно же с OWASP MSTG и ADB c Drozer’ом. Но сейчас мне подсказали попробовать MobSF и это просто «обожечки 10 из 10».
Не могу до сих пор (час ночи) оторваться от изучения APK.
MobSF проводит статический анализ APK (Умеет и в динамический), декомпилирует код, делает основыне проверки и указывает на важные места в коде приложения. Теперь изучать APK намного удобнее и интереснее. Рекомендую всем, кто еще не пробовал!

https://github.com/MobSF/Mobile-Security-Framework-MobSF

#knowledge #beginners

Действительно классная шпаргалка по Git: https://github.com/nicothin/web-development/tree/master/git

Объясню тем, кто еще не знаком с Git. Git - это система контроля версий, проект которой разработан Линусом Торвальдсом для удобной совместной разработки группой разработчиков одного продукта (Ядра Линукс, например).

Знания этой технологии помогают не только разработчикам, но и пентестерам, в случае если с этой системой приходится столкнуться.

Пасхалка для #professional’ов:
git blame README.md --date=short -L 5,8 показывает строки 5-8 указанного файла и коммиты, в которых строки были добавлены, а соответственно и тех, кто эти строки добавил )

#knowledge #beginners

Только посмотрите! Лабораторные работы по Линукс от @bukva! Всем начинающим рекомендую изучить лабораторные и задания к ним: https://github.com/bykvaadm/OS/

Пы. Сы. Уверен что и некоторым "старичкам" будет полезно.

#knowledge #beginners #professional

Всю свою сознательную жизнь мучался тем, что поднимал PHP-сервер для тестов, то на XAMPP, то в Apache на хосте, то в докере, и сегодня, посмотрев видео на канале LiveOverflow, был просто поражен своей глупостью.
У интерепретатора PHP есть ключ -S запускающий PHP-сервер на указанном порту!
См. рис. 1

#knowledge #professional

Годнота подъехала.

Bo0oM - I <"3 XSS
H D, Pavel Rukavishnikov - Blind XSS
Ivan Chalykin - Key methods of CSP bypassing
Sergey "BlackFan" Bobrov - BugBounty Automation
Andrey "L1kvID" Kovalev - Introduction into browser hacking
Alexey "SooLFaa" Morozov - Misconfiguration in development infrastructure
Alexey "GreenDog" Tiurin - (A)typical vulnerabilities
Omar "Beched" Ganiev - PHP insecurity stack
Pavel "Paul_Axe" Toporkov - PHP unserialize
Alexandr "Webr0ck" Romanov - Spel injection
Egor "ShikariSenpai" Karbutov & Sergey "BeLove" Belov - Defense. Change my mind!

#knowledge #beginners #professional

Смешная штука. Если хотите козырнуть знаниями в области веб-уязвимостей, блесните своей эрудицией и спросите своего собеседника за XST (Cross-Site Tracing).

Я не особо погружался в уязвимости связанные с работой метода TRACE на сервере. Понятно, что можно узнать некоторую полезную информацию о внутренних адресах или о том, какие заголовки добавляет прокси-сервер при запросе к веб-серверу. Но недавно случайно наткнулся на такую атаку (XST), возможную из-за включенного метода TRACE на сервере.

В общем, т.к. обращение с методом TRACE к серверу возвращает содержимое самого запроса, в этом содержимом можно обнаружить Cookie данные и прочитать их, соответственно не имеет значения ставился ли на них флаг httpOnly. Атаку можно провести только в связке с другой уязвимостью, например, XSS. Т.е. отправить TRACE запрос на текущий веб-сервер и, при чтении ответа, получить Cookie данные, недоступные нам из JS (В современных браузерах такая возможность устранена).

Пример нагрузки для получения заголовков запроса не доступных из JS:
var xhr = new XMLHttpRequest();
xhr.open('TRACE', 'http://domain.ru/', false);
xhr.send(null);
if(200 == xhr.status)
alert(xhr.responseText);

Также следующая нагрузка имеет право на жизнь:
TRACE /<script>alert(42)</script> HTTP/1.0

Только в случае если эти данные сохранятся в логи и отрендерятся на какой-нибудь из страниц веб-приложения. Само по себе отражение такого контента (HTML-тегов) в ответе на TRACE запрос к XSS привести не может, по ряду причин.

+ одна бесполезная уязвимость в копилку вебера;)

#hacking #professional

Под руку попался очень полезный ресурс со слитыми базами паролей. Обычно такие ресурсы могут устанавливать только факт утечки пароля или E-mail адреса, но сами данные они не возвращают.
В данном случае, можно получить описание всех данных, которые были украдены.
Поиск можно производить не толко по E-mail адресу, но и по доменному имени или URL.

https://intelx.io/

P.S. Триалка на просмотр действует неделю, но вы сами знаете, что с этим делать.

#hacking #inTheWild #professional

Действительно очень интересная статья про простоту устройства современных систем для паркинга. Не взлом карт метро конечно, но тоже очень любопытно.

https://habr.com/post/431570/

#knowledge

Кто-то из подписчиков уже знает, что я писал вопросы и методичку по Анализу защищенности приложений для сертификации Лаборатории Касперского.

Сертификация стала доступна для прохождения, примерно, с месяц назад, и я сразу же запросил код для ее опытной эксплуатации.

Сертификация эта представляет из себя тест из 100 вопросов по 9 темам:

- Основные понятия кибербезопасности
- Криптография
- Архитектура компьютера
- Сетевая безопасность
- Операционные системы
- Безопасность приложений
- Анализ вредоносного программного обеспечения
- Реагирование на инциденты и компьютерная криминалистика
- Промышленная кибербезопасность

Сдать удалось с первого раза, моих вопросов мне досталось не более 10 штук (Может 6-7), в остальном были интересные вопросы по прикладным вещам, иногда сложные, иногда простые.
(Были и те, что казались нежелательными, но тут спорить бессмысленно).

В целом подобная проверка знаний, в случае если она была проведена с наблюдением за участниками, гарантирует наличие у экзаменуемых некоторый, достаточно глубокий, уровень знаний в области ИБ и прикладных ее аспектах.

Можете ознакомиться с программой по прикрепленному ниже файлу.

#knowledge

Знакомимся с HTTP/3!

FYI, Daniel Stenberg (автор cURL-а, входит в состав рабочей группы HTTPbis и QUIC) дописал док, в котором он знакомит нас с HTTP/3

https://github.com/bagder/http3-explained

И кстати в соседней репе можно найти небольшой материал по HTTP/2, для тех кто еще не успел с ним познакомиться

#knowledge #beginners

Для тех кто хочет подтянуть понимание работы ОС Линукс @bykva создал отличный ресурс с лекциями и заданиями: http://linux.myctf.ru

Материал очень увлекает, особенно если читаешь его с уже имеющимся бэкграундом. По мере прочтения многое встаёт на свои места и ты начинаешь видеть полную картину работы этого непросто механизма.

#hacking #knowledge #professional

Рубрика InTheWild. Чего не встретишь на просторах сети... Во время тестирования приложений мы ищем зацепки при помощи догадок, вроде: "А что если ...?". Дело в том, что нужно иметь набор таких "А что если ...?", т.к. бывают вещи, которые тебе и в голову бы не пришли, а проверить стоило бы. Одна из таких вещей продемонстрирована ниже:

// Show info by typing code 'dev'
var code = 'dev';
$(window).keydown(function (event) {
    if (event.keyCode == '68' && code == 'dev') {
        code = 'ev';
    }
    if (event.keyCode == '69' && code == 'ev') {
        code = 'v';
    }
    if (event.keyCode == '86' && code == 'v') {
        $('div[dev=true]').remove();
        $('input[type!=button],textarea').each(function () {
            var area = $(this);
            var div = $('<div/>').attr('dev', 'true').html(area.attr('id'));
            area.after(div);
        });
        $('span[dictlink]').show();
        code = 'dev';
    }
});

Это код на одном из крупных веб-приложений одной коммерческой компнии. Выполняет он следующее, если пользователем были нажаты клавиши 'd', 'e', 'v', то отображается отладочная информаци о различных полях и html-объектах на странице.

Зачем это оставлять в продакшне? ;)

#knowledge

Зачитался немножко про UUID и GUID, и наткнулся на фразу, которая вообще-то не нова, но когда ты пытаешься ее осмыслить - разрывает мозг.

Общее количество уникальных ключей UUID составляет 2^128 = 256^16 или около 3,4 × 10^38. Это означает, что генерируя 1 триллион ключей каждую наносекунду, перебрать все возможные значения удастся лишь за 10 миллиардов лет.

Для тех, кто когда-либо задумывался о переборе GUID.