Знайшов HTML injection, але всі теги які запускають джаваскріпт - блокуються? Виявляється, є один прикольний спосіб докрутити

https://book.hacktricks.xyz/pentesting-web/dangling-markup-html-scriptless-injection

Сборник задач для обучения работы с Frid-ой при тестировании андроид приложений

Включает в себя:

Challenge 0x1 : Frida setup, Hooking a method
Challenge 0x2 : Calling a static method
Challenge 0x3 : Changing the value of a variable
Challenge 0x4 : Creating a class instance
Challenge 0x5 : Invoking methods on an existing instance
Challenge 0x6 : Invoking a method with an object argument
Challenge 0x7 : Hooking the constructor
Challenge 0x8 : Introduction to native hooking
Challenge 0x9 : Changing the return value of a native function
Challenge 0xA : Calling a native function
Challenge 0xB : Patching instructions using X86Writer and ARM64Writer

https://github.com/DERE-ad2001/Frida-Labs

Детальне і дуже круте дослідження. Вектор атаки дозволяє проводити email spoofing навіть при налаштованих SPF/DKIM/DMARC DNS записах і поштових фаєрволах

https://sec-consult.com/blog/detail/smtp-smuggling-spoofing-e-mails-worldwide/

Шановна спільнота DC8044!
Відкриваємо новорічний збір! Бойовому підрозділу FPV-водів з 59 ОМПБр, одному з найефективніших на тій ділянці фронту, потрібні якісні плати ініціації для їх дронів. Попередньо, як ви пам'ятаєте, ми вже відправляли їм десяток плат ICARUS українського виробництва для тестування - вони виявилися топовими у використанні. Реальна потреба цього підрозділу в таких платах це мінімум 100 штук на тиждень. Одна плата високої якості коштує приблизно 1000 гривень. На жаль, дешевші плати часто виявляються неприйнятної якості та хлопці вже мали загиблих побратимів через це, - ми дуже детально знаємо цю історію, тому й вирішили їм допомагати з цими платами. Зараз ми відкрили збір хоча б на сотню таких плат - так, це не багато, але і не мало, та здатно забезпечити потребу підрозділа на деякий час. Хлопці бомблять орків цими ФПВ в промислових масштабах. То пропонуємо зробити круту річ, чим більше ми назбираємо, тим більше плат зможемо купити та відправити найближчим часом. Всі репорти, як завжди, будуть тут.
З наступаючим Новим Роком!

Збір, посилання на банку
https://send.monobank.ua/jar/4fpQc1zqWh

Мы собираем на сотню или больше качественных плат инициации FPV-дронов, которые используют для уничтожения техники и отдельно взятых персонажей. Стоимость одной платки порядка 25 баксов, их надо много потому что дроны ебашат в промышленных масштабах. Есть производство, есть количество, надо только денег. Потребность одного подразделения - сотня плат в неделю. Математика простая - чем больше соберем, тем больше сможем купить. Просим наших друзей с обратной стороны луны помочь на благое дело криптой:

BTC: bc1qvnu9jpy0jazhgegkgc45wtkngu3tczj97wk9a4

USDT / ETH: 0x148a994dC8ba9eec0aa08f16D580f84946d90334

3000$ за пару годин - хороший результат, пацани і пацанесси. Думаю, зберемо ще. Побільше б дохлої русні в новому році, і світ стане трошечки краще

Спільното DC8044!
Вітаємо вас з наступаючим Новим Роком!

Це був цікавий рік, за який ми разом багато чого зробили та багато кому реально допомогли. Досягнення в кіберпросторі такі, що про них обов'язково колись напишуть книжки. Наші амбасадори реалізують надскладні кібероперації, та провідні представники кіберіндустрії дивляться і переймають фаховий досвід. За декілька років ми й не помітили, як з кола, в якому більшість на той час були ще студентами, ми виросли в спільноту, де більшість зараз є топовими фахівцями, до яких у цей складний час звертаються по допомогу абсолютно всі структури сил оборони України. Крім того, ми активно займаємось волонтерською допомогою, та завдяки нам бойова робота деяких підрозділів є більш ефективною. Це не враховуючи факт, що чимало наших амбасадорів просто зараз знаходяться на службі: в ЗСУ, НГУ, підрозділах сил спеціальних операцій, в службі безпеки, в розвідці, кіберполі та інших силових структурах. Дехто з них зараз "на нулі". Дякуючи всесвіту, наша спільнота пережила цей рік без втрат. Дуже сподіваємось, що наступаючий 2024 також не принесе нам сумних звісток. Ми безмежно вдячні всім, хто наближає перемогу та робить усе можливе для нашої країни. Ми безмежно горді тим, що DC8044 на справах доводить свою зрілість та відповідальність.

Бажаємо всім гарного Нового Року, бажаємо перемог, маленьких та великих, на складному шляху до головної перемоги. Бажаємо бути сильними, бережіть себе та своїх близьких. Попереду дуже багато цікавого, тож щастя всім нам, бо ми цього варті!

Юра, жгі 👍 🔥🔥🔥

Сьогодні буде трохи годного контенту🔥.

Я вирішив позбирати інформацію з Prozorro і трансформувати її в щось, що можна використовувати для подальшого аналізу. Пішло декілька годин на це, бо сайт мав обмеження на 60 запитів у хвилину, а пробувати використовути проксі-сервери мені було впадло. Це зайняло 1.5 години, просто щоб все зібрати.

Для початку я вирішив, що візьму певний сегмент всіх тендерів. Вирішив, що буде це все пов'язано із Закарпатською обл, бо це моя рідна область. Вибрав всі завершені тендери за 2023 рік. Я трансформував це в невеликий Google Sheet документ. Я даю доступ кожному на аналіз. Щоб працювати з ним, вам просто треба скопіювати цей документ до себе.

Для початку я вирішив дізнатися на що витрачаються переважно кошти і в яких сумах. Це можна було досягнути через класифікатори. Тим не менш, я був неприємно здивований, бо великий сегмент тендерів без цих класифікаторів і як на мене це вже мутно.

Я не data scientist, тому мені складно ще сформулювати, які запитання було би цікаво дослідити з такою інформацією. Тому я буду радий почути ваші ідеї в коментарях. Також, якщо ви думаєте, що треба добавити додаткові поля, то кажіть. Я добавлю. Якщо вам таке буде цікаво, то я зроблю продовження для всіх інших областей.

Як варіант, можу зробити стрім, де ми будемо аналізувати це все чудо, а для постів вирішимо, що саме сочне було.

Я, наприклад, з цієї інфи уже бачу, що було витрачено майже 52к грн на "ДК 021:2015: 33710000-0 — Парфуми, засоби гігієни та презервативи"🤔

https://github.com/BishopFox/sj/

Swagger Jacker — или сокращенно "sj", — сканер с открытым исходным кодом от компании BishopFox, разработанный для аудита OpenAPI спецификаций.

По ссылке на Swagger, он определяет способ аутентификации на эндпоинтах (благодаря объекту security), и отправляет множество разных запросов на каждый, чтобы проверить, насколько корректно она работает.

Облегчает жизнь пентестера для поиска Broken Authentication. В планах у разработчиков добавить генератор готовых команд для передачи всех существующих эндпоинтов с подготовленными параметрами в sqlmap.

1. My recon process (command-line)
2. Best Recon methodology
3. Recon For Web Pen-Testing!!
4. How I found CRITICAL Vulnerability in BYJU'S and Got HALL OF FAME
5. How I placed into Apple Hall of Fame in 5 Minutes
6. How I identified and reported vulnerabilities in Oracle
7. How I Gained Access to a Multi-Billion Dollar Retailer’s MySQL Databases Using Simple SQL Injection
8. Elasticsearch A Easy Win For Bug Bounty Hunters
9. How I Prevented a Mass Data Breach - $15,000 bounty
10. How I got Hall of Fame in Microsoft by hunting WordPress website?
11. I received a Bank offer in my mailbox and discovered an IDOR vulnerability - $5,000 bounty
12. My debut with a Critical Bug: How I found my first bug (API misconfiguration)
13. How I found a critical P1 bug in one of Google’s products- with google
14. CRITICAL BUG Alert: How I HACKED into a company's DATABASE
15. How do I found Critical Bug in 5 Minutes

#bugbountytips

Чудова можливість для військових, які хочуть заглибитись в кібербезпеку

💻 Ветеранів запрошують на навчання з кібербезпеки. Обіцяють допомогу із подальшим працевлаштуванням

Серед умов участі:
- англійська на рівні не нижче А2,
- базові знання у сфері кібербезпеки чи IT,
- перебування у Києві на період навчання.

Програма безплатна, а з подальшим працевлаштуванням учасникам допомагатиме платформа Lobby X.

👉 https://dou.ua/goto/CJGQ

Запрошуємо 🫵 студентів, підприємства та заклади вищої освіти до Програми стажування з кібербезпеки

☝️ Програма стажування з кібербезпеки створена USAID Cybersecurity Activity для отримання практичного досвіду студентами-бакалаврами у галузі. Для роботодавців це прекрасна можливість віднайти та підготувати кваліфікованих кадрів, адже Програма передбачає стажування у структурних підрозділах із кібербезпеки приватних компаній та державних підприємств, що є операторами критичної інфраструктури.

👩‍🎓 Що дасть Програма студентам?
• Отримати практичний досвід у галузі кібербезпеки та стати конкурентними на ринку праці, а також підвищити свої шанси на працевлаштування
• Познайомитися з представниками галузі та дізнатися про останні тенденції у сфері кібербезпеки
• Розширити професійну мережу та отримати рекомендації від роботодавців

🧰 Чим Програма вигідна для підприємств?
• Знайдіть та заагітуйте талановитих молодих фахівців
• Допоможіть студентам отримати необхідні навички для кар'єри в галузі кібербезпеки
• Сприяйте розвитку співпраці із закладами вищої освіти (ЗВО), щоб отримувати кваліфікованих, талановитих та перспективних спеціалістів

👨‍🏫 Чому ЗВО варто звернути увагу на Програму?
• Допомагайте подолати розрив між теоретичними знаннями та практичним досвідом, з'єднуючи студентів з працею в компаніях
• Сприяйте зв'язкам студентів з галуззю через ярмарки вакансій та спеціалізовані заходи, допомагаючи їм залишатися в курсі, розширювати професійні компетенції та робити усвідомлений вибір кар'єри

❗️Щоб взяти участь у програмі як студент або організація, заповніть ✍️реєстраційну форму на участь у Програмі за посиланням ⬇️ до 31 січня 2024 р.

https://form.collect.dai.com/x/moIQOxrR

📌 Посол Брінк: X | IG 🇺🇸 Сайт | FB | X | IG