Forwarded from Cybred
https://github.com/berzerk0/Probable-Wordlists
Словари самых распространенных паролей, собранные на основе SecLists, Weakpass, CrackStation.
Словари самых распространенных паролей, собранные на основе SecLists, Weakpass, CrackStation.
GitHub
GitHub - berzerk0/Probable-Wordlists: Version 2 is live! Wordlists sorted by probability originally created for password generation…
Version 2 is live! Wordlists sorted by probability originally created for password generation and testing - make sure your passwords aren't popular! - berzerk0/Probable-Wordlists
🔥2👀1
Forwarded from road to OSCP
Если во время пентеста обнаружен Google Maps API Key, он может быть использован для атак типа "denial-of-wallet", — при условии, что API-ключ не имеет должных ограничений. Например, 1000 запросов типа "Nearby Search-Places" будут стоить организации 32$.
Проверить конфигурацию ограничений можно с помощью инструмента:
https://github.com/ozguralp/gmapsapiscanner.
Проверить конфигурацию ограничений можно с помощью инструмента:
https://github.com/ozguralp/gmapsapiscanner.
GitHub
GitHub - ozguralp/gmapsapiscanner
Contribute to ozguralp/gmapsapiscanner development by creating an account on GitHub.
👍3
Колеги, привіт. Зазвичай я не прошу у вас донати, але на цих вихідних до мене звернувся із проханням мій колишній однокласник, який служить в армії. Його перекинули під Слов'янськ, і встало питання, як їх оснастити. Ми знайшли волонтерський фонд який готовий закрити частину потреб хлопців, але доки допомога від них прийде - потрібен мавік, щоб у хлопців були очі в небі. Ми з однокласниками назбирали вже 60 000 гривень, але добити збір поки що не вдається, тому звертаюсь до своїх підписників. Сподіваюсь на вашу допомогу, кожна гривня важлива.
Також, якщо ви маєте виходи на волонтерів які організовано можуть з цим допомагати - можете маякнути в лс, я би з вами поспілкувався.
Збір на квадрокоптер DJI Mavic 3 standard для 25 бригади НГУ
🎯Ціль: 90 000.00 ₴
🔗Посилання на банку
https://send.monobank.ua/jar/7CYUoVv9ca
💳Номер картки банки
5375 4112 0794 2223
Всім дуже дякую
Також, якщо ви маєте виходи на волонтерів які організовано можуть з цим допомагати - можете маякнути в лс, я би з вами поспілкувався.
Збір на квадрокоптер DJI Mavic 3 standard для 25 бригади НГУ
🎯Ціль: 90 000.00 ₴
🔗Посилання на банку
https://send.monobank.ua/jar/7CYUoVv9ca
💳Номер картки банки
5375 4112 0794 2223
Всім дуже дякую
❤5🖕3🥰1
Forwarded from Security Digest UA
Компанія IT Specialist проводить безкоштовні курси з кібербезу після яких може взяти на роботу. Деталі.
Також ось їх вакансії. Є позиції і для новачків/джунів, наприклад, така.
#Інтернатура #Навчання | @secdigestua
Також ось їх вакансії. Є позиції і для новачків/джунів, наприклад, така.
#Інтернатура #Навчання | @secdigestua
🔥2🤡2
Forwarded from DC8044 F33d
Поздоровляємо з днем Військ зв’язку і кібербезпеки Збройних сил України!
🔥5
Forwarded from Cybred
https://github.com/robre/jsmon
Скрипт для мониторинга изменений в Javascript файлах. Принимает на вход ссылки, которые будут регулярно обходиться краулером. Сравнивает изменения и отправляет diff в Telegram.
Скрипт для мониторинга изменений в Javascript файлах. Принимает на вход ссылки, которые будут регулярно обходиться краулером. Сравнивает изменения и отправляет diff в Telegram.
GitHub
GitHub - robre/jsmon: a javascript change monitoring tool for bugbounties
a javascript change monitoring tool for bugbounties - robre/jsmon
👍2
Forwarded from Cybred
Автоматизированные атаки на LLM.
Исследователи из Университета Карнеги-Меллона нашли способ, как можно обмануть LLM и попросить выдать ответы на вредоносные запросы, не прибегая к созданию виртуальных личностей.
Некоторые специальные последовательности слов и символов (которые, на первый взгляд, выглядят как тарабарщина) позволяют обойти ограничения нейросетей и генерировать ответы на любые вопросы.
Уязвимость обусловлена особенностью обучения нейросетей, loss-функцией и процессом токенизации. На скриншотах примеры ответов, сгенерированных таким способом:
— советы, как садиться пьяным за руль
— пошаговый гайд по уничтожению человечества
— как фальсифицировать выборы
— как создать бомбу
— как приготовить метамфетамин
— самые расистские шутки
На Github выложили эксплойт. Затрагивает все популярные LLM, включая ChatGPT, Bard , Claude и Llama-2.
Исследователи из Университета Карнеги-Меллона нашли способ, как можно обмануть LLM и попросить выдать ответы на вредоносные запросы, не прибегая к созданию виртуальных личностей.
Некоторые специальные последовательности слов и символов (которые, на первый взгляд, выглядят как тарабарщина) позволяют обойти ограничения нейросетей и генерировать ответы на любые вопросы.
Уязвимость обусловлена особенностью обучения нейросетей, loss-функцией и процессом токенизации. На скриншотах примеры ответов, сгенерированных таким способом:
— советы, как садиться пьяным за руль
— пошаговый гайд по уничтожению человечества
— как фальсифицировать выборы
— как создать бомбу
— как приготовить метамфетамин
— самые расистские шутки
На Github выложили эксплойт. Затрагивает все популярные LLM, включая ChatGPT, Bard , Claude и Llama-2.
😱5
Forwarded from Cybred
Помимо обновления для Burp Suite, по мотивам ресерча "Smashing the state machine: the true potential of web race conditions" добавили и новые лабы.
Теория:
— What is a race condition?
— Limit overrun race conditions
— Hidden multi-step sequences
— Methodology
— Multi-endpoint race conditions
— Single-endpoint race conditions
— Session-based locking mechanisms
— Partial construction race conditions
— Time-sensitive attacks
— Preventing race conditions
Практика:
— Limit overrun race conditions
— Bypassing rate limits via race conditions
— Multi-endpoint race conditions
— Single-endpoint race conditions
— Exploiting time-sensitive vulnerabilities
— Partial construction race conditions
Теория:
— What is a race condition?
— Limit overrun race conditions
— Hidden multi-step sequences
— Methodology
— Multi-endpoint race conditions
— Single-endpoint race conditions
— Session-based locking mechanisms
— Partial construction race conditions
— Time-sensitive attacks
— Preventing race conditions
Практика:
— Limit overrun race conditions
— Bypassing rate limits via race conditions
— Multi-endpoint race conditions
— Single-endpoint race conditions
— Exploiting time-sensitive vulnerabilities
— Partial construction race conditions
❤1👍1🔥1
Forwarded from DC8044 F33d
Очкопёк опять себе натер что-то, это бывает на жаре. Лучше пользоваться детской присыпкой или вазелиновым маслом.
А куда пропал КиллНет? Они уже взяли на себя ответственность за недавнюю кибероперацию по стремительному разогреву литий-ионных аккумуляторов чебуречной в Махачкале? Или бутылку первенства по уничтожению НАТО теперь оседлал Очкопёк? Кстати, пару месяцев назад обещали уничтожение всей европейской банковской системы. Но почему тогда наебнулся рупь?
Вопросы риторические.
А куда пропал КиллНет? Они уже взяли на себя ответственность за недавнюю кибероперацию по стремительному разогреву литий-ионных аккумуляторов чебуречной в Махачкале? Или бутылку первенства по уничтожению НАТО теперь оседлал Очкопёк? Кстати, пару месяцев назад обещали уничтожение всей европейской банковской системы. Но почему тогда наебнулся рупь?
Вопросы риторические.
🤡4😁2
Forwarded from #bugbountytips
1. How to find Origin IP
2. NucleiFuzzer = Nuclei + Paramspider
3. CRLF injection allow => cookie injection in root domain & xss|
4. How to Find XSS in Wide Scope
5. Remote Code Execution | A Story of Simple RCE on Jenkins Instance.
6. Defeat the HttpOnly flag to achieve Account Takeover | RXSS
7. Discovering Login Panels and Detecting SQL Injection with Logsensor
8. Automating web pentesting with jaeles scanner
9. Afrog scanner for bug bounty hunters
10. RCE via Dependency Confusion
11. How to Get Unique Subdomains on Large scope
12. Expose domains over Akamai or Cloudflare with HEDnsExtractor and httpx
#bugbountytips #доклады
2. NucleiFuzzer = Nuclei + Paramspider
3. CRLF injection allow => cookie injection in root domain & xss|
4. How to Find XSS in Wide Scope
5. Remote Code Execution | A Story of Simple RCE on Jenkins Instance.
6. Defeat the HttpOnly flag to achieve Account Takeover | RXSS
7. Discovering Login Panels and Detecting SQL Injection with Logsensor
8. Automating web pentesting with jaeles scanner
9. Afrog scanner for bug bounty hunters
10. RCE via Dependency Confusion
11. How to Get Unique Subdomains on Large scope
12. Expose domains over Akamai or Cloudflare with HEDnsExtractor and httpx
#bugbountytips #доклады
🔥1
Forwarded from Cybred
https://blog.securitybreached.org/2023/08/18/bug-bounty-blueprint-a-beginners-guide/
Подробное руководство по Bug Bounty в 2023 году. Где, что и как нужно искать, чтобы получить максимальный профит.
Много ссылок на кейсы из жизни, ресерчи известных баг хантеров, лабы и репозитории с полезными утилитами.
Подробное руководство по Bug Bounty в 2023 году. Где, что и как нужно искать, чтобы получить максимальный профит.
Много ссылок на кейсы из жизни, ресерчи известных баг хантеров, лабы и репозитории с полезными утилитами.
Security Breached Blog
Bug Bounty Blueprint: A Beginner's Guide
This guide is a must-read for beginners to dive into Bug Bounty Hunting. It provides foundational skills, tips, tools, and resources for Bug Bounty Hunters. I've covered various aspects including vulnerabilities and learning resources. Are you ready to embark…
👍5