#pentest Pentest Collaboration Framework (gitlab.com/invuls/pentest-projects/pcf)- утилита, позволяющая обмениваться информацией по тестированиям на проникновение внутри команды. У каждого пользователя есть свое рабочее пространство, которым он может поделиться с командой. По сути PCF является аналогом таких фреймворков как Dradis & Faraday, но это бесплатно, портативно и кросс-платформенно (python 3.9)!

В каждом командном проекте можно манипулировать следующими данными:

⁃ Сети/Сервера/Открытые порты
⁃ Обнаруженные уязвимости вместе с Proof-of-concept
⁃ Найденные учетные данные
⁃ Файлы/заметки
⁃ Проектные чаты

Для удобства использования внедрена поддержка таких утилит как:
⁃ nmap/masscan,
⁃ acunetix,
⁃ nessus,
⁃ burpsuite и т.д.

Приятной фишкой, как по мне, является то, что в каждом из «проектов» можно создавать http-снифферы, чтобы знать, на какой проект прилетел отстук.

Ну а на последнем этапе тестирования можно сгенерировать отчет- достаточно сделать его шаблон в plaintext/zip-plaintext/docx, отправить его и на выходе получить отчет в нужном формате.

Демо-стенд: https://testing-pcf.herokuapp.com/login
Cloud deploy: https://bit.ly/2O9vExD

Дайджест Beholder’s TOOLBOX - OSINT 27/02/21


1. OSI.IG [https://github.com/th3unkn0n/osi.ig] Сбор информации из Instagram
2. Snoop [https://github.com/snooppr/snoop] Поиск по никнейму
3. Pimeyes [pimeyes.com/en] Поиск фото
4. GHunt [github.com/mxrch/GHunt] Извлечение данных из google аккаунтов
5. [220vk.com] Сервис по поиску социальных связей в ВК
6. [https://mattw.io/youtube-geofind/location] Поиск геолокаций по видео в YouTube
7. Cartography [github.com/lyft/cartography] Построение контекстных зависимостей
8. Raven [github.com/0x09AL/raven.git] Извлечение данных из Linkedin
9. LittleBrother [github.com/darkcoding12/LB] OSINT- комбайн
10. TIGMINT [https://github.com/TIGMINT/TIGMINT] Геотаргетирование твиттер и инстаграмм
11. Hunter.io поиск почтовых аккаунтов в домене
12. Photon [github.com/s0md3v/photon.git] поисковый движок для OSINT разведки
13. Big Bro [https://github.com/Bafomet666/Bigbro] OSINT комбайн
14. Dedigger [https://www.dedigger.com/] поиск файлов в Google дисках
15. OSINT SAN [https://github.com/Bafomet666/OSINT-SAN] OSINT комбайн
16. EagleEye [github.com/ThoughtfulDev/EagleEye] Распознование лиц в медиа социальных сетей
17. YaSeeker [github.com/HowToFind-bot/YaSeeker] Извлечение данных из Yandex аккаунта.

Дайджест Beholder’s TOOLBOX - Network pentest 27/02/21

1. Nearby [https://github.com/wisespace-io/nearby] Показывает все wifi сети и клиенты
2. Default http login hunter [https://github.com/InfosecMatter/default-http-login-hunter] Поиск админок со стандартными паролями
3. Skydive [https://github.com/skydive-project/skydive] Построение сетевой топологии
4. Fing [fing.com] Сетевой сканер
5. zANTI [https://www.zimperium.com/zanti-mobile-penetration-testing] Pentest комбайн
6. PwnDoc [https://github.com/pwndoc/pwndoc] Формирование отчетности по тестированию
7. Xerror [https://github.com/Chudry/Xerror] Платформа для проведения пентестов
8. Bopscrk - Before Outset PaSsword CRacKing [https://github.com/r3nt0n/bopscrk] Генератор паролей
9. Ethsploiter [https://github.com/maxiwoj/Ethsploiter] HW платформа для пентестов
10. Pi Sniffer [github.com/tenable/pi_sniffer] HW снифер
11. TinyCam [tinycammonitor.com/] просмотр вебкамер в сети
12. Router Scan [stascorp.com/load/1-1-0-56] подбор пароля к wifi
13. Ehtools Framework [https://github.com/aresmart/ehtools] Пентест комбайн
14. Admin-Scanner [github.com/alienwhatever/Admin-Scanner] Поиск веб-админок
15. DEDSECURITY [github.com/dedsecubr/dedsecurity-framework] Пентест комбайн
16. TheFatRat [github.com/Screetsec/TheFatRat] Генератор пайлодов
17. CameRadar [github.com/Ullaakut/cameradar] Поиск видеопотоков в сети
18. Web Brutator [github.com/koutto/web-brutator] Брутфорс веб-админок
19. MACtrack [gitlab.com/Aresesi/mactrack] Отслеживание местоположения по wifi сетям

Дайджест Beholder’s TOOLBOX - Forensic 27/02/21

1. Encrypted Disk Detector [https://www.magnetforensics.com/resources/encrypted-disk-detector/] Поиск крипто-контейнеров
2. Nyuki Forensic Investigator [https://www.silensec.com/downloads-menu/software/nfi] Извлечение данных с мобильных телефонов
3. Autopsy [http://www.sleuthkit.org/autopsy/] Криминалистический комбайн
4. Kroll Artifact Parser and Extractor [https://www.kroll.com/en/services/cyber-risk/incident-response-litigation-support/kroll-artifact-parser-extractor-kape] Сборщик артифактов
5. NetworkMiner [https://www.netresec.com/?page=NetworkMiner] Сниффер
6. WhatsApp Viewer [https://github.com/andreas-mausch/whatsapp-viewer] Просмотрщик данных whatsapp
7. Tsurugi [tsurugi-linux.org] Forensic дистрибутив
8. Forensicaiiy [29a.ch/photo-forensics/#forensic-magnifier] Fyfkbp фотографий
9. Suncalc [suncalc.org] Калькулятор положения солнца на фото
10. OCCRP [vis.occrp.org] Построение контекстных зависимостей при криминалистическом анализе
11. R-Studio [www.r-studio.com] Восстановление данных
12. USB Detective [usbdetective.com] Извлечение данных из USB
13. NirSoft Collection [launcher.nirsoft.net] Извлечение данных Windows
14. Watchog [github.com/flipkart-incubator/watchdog] Анализ сетевой активности
15. KBD-audio [github.com/ggerganov/kbd-audio] Восстановление данных по звуку клавиатуры
16. h8mail [github.com/khast3x/h8mail] Утечки почтовых аккаунтов
17. Skit play.google.com/store/apps/details?id=com.pavelrekun.skit] Анализ андроид-приложений
18. ShellBagsView [https://www.nirsoft.net/utils/shell_bags_view.html] Анализ папок с открытым доступом в Windows
19. Microsoft Application Inspector [github.com/microsoft/ApplicationInspector] Анализ кода
20. BruteShark [github.com/odedshimon/BruteShark] Поиск сетевых артифактов
21. Forensic Architecture [https://github.com/forensic-architecture] Набор инструментов команды «Forensic Architecture»
22. TinyCheck [github.com/KasperskyLab/TinyCheck] Анализ смартфонов на наличие программ-шпионов
23. Meshroom [github.com/alicevision/meshroom] Воссоздание 3d моделей по фото
24. ExifTool [play.google.com/store/apps/details?id=com.exiftool.free] просмотр EXIF
25. Depix [github.com/beurtschipper/Depix] Восстановление изображений
26. Maltrail [github.com/stamparm/maltrail] Анализ сетевого траффика
27. Timesketch [github.com/google/timesketch] Система криминалистического анализа windows систтем
28. Hindsight [github.com/obsidianforensics/hindsight] Извлечение данных из Google Chrome
29. Paladin [sumuri.com/product-category/brands/paladin/]
30. Xplico [www.xplico.org] Анализ сетевой активности
31. Mobile Revelator [github.com/bkerler/MR] извлечения данных с мобильных платформ
32. Logon Tracker [github.com/JPCERTCC/LogonTracer] отслеживание сетевой активности и действий пользователей
33. Getghiro [www.getghiro.org] Форензика фото
34. SmartDeblur [github.com/Y-Vladimir/SmartDeblur] Восставновление смазанных изображений
35. Video Cleaner [videocleaner.com] Восстановление видео данных
36. HttpCanary [https://github.com/MegatronKing/HttpCanary] Анализ сетевой активности
37. App Manager [https://muntashirakon.github.io/AppManager/] Анализ андроид приложений

Дайджест Beholder’s TOOLBOX - Phishing & SE 27/02/21

1. King Phisher [https://github.com/rsmusllp/king-phisher] Фишинговая платформа
2. Lockphish [github.com/jaykali/lockphish] Фишинг ввода пин-кода
3. Seeker [https://github.com/thewhiteh4t/seeker.git] получение данных о геолокации и мобильной системе
4. TrackUrl [https://github.com/Mauladen/TrackUrl] получение данных геолокации
5. Trape [https://github.com/boxug/trape.git] получение данных о геолокации и активности в социальных сетях
6. IPLogger: [https://iplogger.ru/location-tracker/]
7. SayHello [github.com/d093w1z/sayhello] Аудио контроль
8. Словари для БрутФорса [https://github.com/FlameOfIgnis/Pwdb-Public]
9. Пароли по умолчанию [https://github.com/ihebski/DefaultCreds-cheat-sheet]
10. ShotDroid [github.com/kp300/shotdroid] Кейлогер

Дайджест Beholder’s TOOLBOX - RF pentest 27/02/21

1. RFIDtools [github.com/RfidResearchGroup/RFIDtools] Инструменты для исследований NFC и RFID
2. Universal Radio Hacker [github.com/jopohl/urh] Исследование радиосигналов
3. bluescan [github.com/fO-000/bluescan] Сканер Bluetooth
4. RadareEye [github.com/souravbaghz/RadareEye] выполнение команд при появление определенного мак-адреса

Как следить за человеком через Google Maps на Android:

1. На смартфоне отслеживаемого запустите Google Maps
2. Откройте настройки профиля — «Передача геоданных»
3. Нажмите «Показывать, где я» и выберите «Доступ по ссылке»
4. Отправьте ссылку себе любым удобным способом

☝️😉 Впрочем... подобный "фокус" существует практически во всех популярных мессенджерах. Некоторым особняком стоить лишь Viber, в котором можно настроить передачу геолокации отправителя сообщений каждому отдельному собеседнику. Делается это в меню:

Чат с пользователем - Информация - Добавлять геометку

​FBI - инструмент для получения конфиденциальной информации о пользователе Facebook

Перед вами софтина, которая поможет получить информацию о месте жительства, дате рождения, роде занятий, номере телефона и адресе электронной почты вашей жертвы.

Установка

$ apt update && apt upgrade
$ apt install git python2
$ git clone https://github.com/Zefro1/FBI.git
$ cd fbi

Настройка

$ pip2 install -r requirements.txt

Запуск

$ python2 fbi.py

Если вы не знаете, как его использовать, введите «help», чтобы отобразить меню справки ✌️

Мутим стиллер в termux

Всем привет сегодня мы с вами научимся делать свой мини-стиллер прямо в термукс.

Установка

▪️apt update -y
▪️apt upgrade -y
▪️apt install git
▪️apt install python
▪️git clone https://github.com/Pix-head/stealBuilder
▪️cd stealBuilder
▪️pip download pyinstaller

Запуск

▪️tar -xzf <Downloaded file>
▪️cd <Downloaded file>
▪️sed -i'' -e 's#"/usr/tmp"#"/data/data/com.termux/files/usr/tmp"#g' bootloader/src/pyi_utils.c
▪️CFLAGS="-I/data/data/com.termux/files/usr/include/libandroid-support" LDFLAGS="-landroid-support" pip install 
▪️cd 
▪️python StealBuilder.py

Воруй, убивай 🦆

​​Установка дистрибутивов Linux (и 1 windows) в Termux

Deskify – дает уникальную возможность установить дистрибутивы Linux в приложении Termux для Android. Также вы получите среду рабочего стола с помощью VNC Viewer. Для работы с Deskify понадобится Termux и VNC Viewer, который можно скачать в Google Play Store.

Установка

$ git clone https://github.com/AbirHasan2005/Deskify
$ cd Deskify
$ chmod +x deskify.sh

Запуск

$ bash deskify.sh

Дистрибутивы

1. Ubuntu 18 & 19
2. Kali Linux
3. Debain
4. Arch Linux
5. Manjaro
6. Windows 7

Поздравляю, теперь у вас есть мобильный хакерфон ✌️

​​Брутфорсим социальные сети

SocialBox - это полноценный фреймворк для проведения брутфорс атаки на такие соц-сети, как Facebook, Gmail, Instagram, Twitter.

Установка

$ git clone https://github.com/samsesh/SocialBox-Termux.git
$ cd SocialBox-Termux
$ chmod +x SocialBox.sh
$ chmod +x install-sb.sh
$ ./install-sb.sh

Использование

$ ./SocialBox.sh

Более подробнее про данную утилиту читайте на GitHub ✌️

​Взлом фронтальной камеры с помощью ссылки

Wish Fish - это инструмент захвата изображений, который позволит вам захватывать изображения с телефона жертвы и сохранять их внутри вашего termux. используя этот инструмент, вы можете сделать снимок лица любого человека, просто отправив ему фишинговую ссылку. Этот инструмент может помочь в ситуациях, когда вы хотите узнать чью-то личность.

Как работает инструмент WishFish?

1. Создайте ссылку с помощью инструмента WishFish.
2. Отправьте ссылку, сгенерированную инструментом, жертве.
3. Когда жертва нажмет на ссылку, вы получите снимки с его камеры на свой телефон.
3. После этого вы можете непосредственно увидеть изображение или переместить его в свою внутреннюю память.

Как установить инструмент WishFish в Termux?

apt update & & apt upgrade -y
apt install php wget git -y

Это позволит установить Php wget и git в termux, которые будут использоваться при использовании инструмента WishFish. Если у вас уже есть что-то из этого, вы можете удалить это имя из команды во время установки.

Теперь все зависимости установлены в вашем termux, и теперь мы можем установить инструмент WishFish в termux, используя приведенную ниже команду. Размер файла этого инструмента настолько мал, что just скопируйте и вставьте приведенную ниже команду, и инструмент будет установлен через 10 секунд.

git clone https://github.com/kinghacker0/WishFish.git
cd WishFish
bash wishfish.sh

Как использовать WishFish в Termux?

bash wishfish.sh

Если вы впервые используете этот инструмент, он установит NGrok в Termux. Этот процесс может занять 1 минуту, если у вас медленный интернет. (кроме того, если вы не получаете ссылку, пожалуйста, перезагрузите ваш termux, и он решит эту проблему.)

Теперь вы получите ссылку, которую вы отправите жертве и подождите, когда жертва нажмет на эту ссылку, вы увидите Ip-адрес жертвы, после чего вы получите несколько файлов изображений в вашем приложении termux. Который будет снят с передней камеры жертвы. Вы получите более 1 изображения, если жертва остается на странице в течение длительного времени.

Теперь, когда вы закончили Захват изображений просто нажмите ctrl + C кнопку и введите команду ls, и вы увидите файлы изображений.

ls

Теперь, чтобы увидеть изображения, вам просто нужно ввести следующую команду, и вы сможете увидеть изображения в том же приложении termux.

 termux-open название_фотографии

Всем сочных фоточек ✌️

​​Подборка важных инструментов для повышения вашей анонимности и безопасности

Привет друзья! Сегодня собрал для вас разного рода инструменты, при использовании которых ваша анонимность станет чуточку выше.

Мессенеджеры:
Briar. Может работать как через интернет, так и без него (локальная сеть в одном WiFi и Bluetooth). Только Android.
Tox. Мессенджер, работающий по P2P. Внимание: для каждого устройства нужен свой ключ. Один ключ на нескольких устройствах не работает. iOS не поддерживается.
Jabber. Внезапно (нет). Федеративный (т.е. можно регистрироваться на любом сервере, а не одном).
Delta Chat. Использует обычный EMail под капотом, так что вы можете использовать свою почту.
Element. Тоже федеративный, протокол Matrix. https://element.io/get-started . Список серверов
Signal. Мессенеджер с открытым исходным кодом.

VPN для мобильных устройств:
ProtonVPN. Требует регистрацию. Бесплатно доступно около 15 серверов.
NordVPN. Требует регистрацию. Есть триал на 30 дней.
Psiphon. Не требует регистрацию.
OpenVPN

Почта:
https://cock.li
https://protonmail.com - не требует номер телефона, это одна из опций подтверждения регистрации. Можно просто пройти капчу, например, или указать адрес другой почты.
https://tutanota.com - вроде подтверждает аккаунты через некоторое время.

Файлообменники:
Пригодятся, если кому-то нужно что-то передать.

https://anonfiles.com
https://bayfiles.com

Главное:
Tor. https://torproject.org
I2P. https://geti2p.net/ru/

​Helicon Focus Pro - программа, которая создает одно полностью сфокусированное изображение из нескольких частично сфокусированных изображений, комбинируя сфокусированные области. Программа создана для макрофотографии, микрофотографии и гиперфокальной ландшафтной фотографии и позволяет решить проблему малой глубины резкости.
Обзор программы

🖥 ОС: Windows
📀 Разрядность: x64
🇷🇺 Язык интерфейса: Русский
🔑 Лечение: Crack

Дорк для поиска выходных нод сети Tor с самой что ни на есть дефолтной конфигурацией. 3500 тачек, по 10 CVE на каждой.

Поиск , позволяющий получить версию софта ноды, например, для поиска старых уязвимых версий.

Анонимусам привет.

Beholder’s дайджест - Получение доступа к ip видеокамера.

• angryip.org - удобный сетевой сканер
• https://github.com/Ullaakut/cameradar - поиск видеопотока в сети с возможностью подбора пароля
• https://github.com/Ullaakut/camerattack - глушилка rtsp потока по ip
• https://github.com/AngelSecurityTeam/Cam-Hackers - поиск открытых видеокамер по странам
• https://github.com/aktechunt3r/CamPhish - получение фото с камеры телефона/компьютера при помощи СИ
• https://github.com/analyserdmz/Pyllywood - брутфорс для видеокамер
• http://www.ispyconnect.com/cameras - API для подключения к видео потоку с камер различных вендоров
• https://www.mangocam.com/help/supported-cameras/ - синтаксис получения доступа к видеопотоку с IP камер различных вендоров.
• https://github.com/vanpersiexp/expcamera - поиск видеокамер с уязвимостью встроенного веб-сервера GoAhead
• https://www.hikvision.com/en/support/download/software/ivms4200-series - удобный просмотрщик видеопотоков.

Очень крутой проект для владельцев автомобилей Tesla - SCOUT (github.com/tevora-threat/Scout) позволяющий превратить свою Теслу в автомобиль наблюдения. Используя бортовые видеокамеры, позволяет отслеживать номера машин в потоке и лица людей регулярно появляющиеся в поле зрения камер и сигнализировать о факте преследования или наружнего наблюдения за вами.

Сам же автор объясняет, что систему можно использовать в различных целях: как для разведки, так и для контрразведки. Например, если система часто замечает один и тот же автомобильный номер или одного и того же человека — хозяину отправляется сообщение о подозрительной активности. Кто-то может планировать угон автомобиля, ограбление близлежащего дома или что-то подобное.

Лично проект не пробовал, но если вы вдруг обеспеченный парень или девчонка с Теслой, свободным временем, и тягой к интересному - расскажите уж как оно! Ибо звучит прям фантастически.

ImSter (github.com/armytricks/ImSter) - инструмент, позволяющий прятать текст в фотографии (стеганографией называется) Конечно же текст шифруется паролем с использованием 256-битного ключа AES и скрывается в самом теле картинки в виде пикселей, не оставляя при этом никаких следов в метаданных файла.

Конечно же это можно использовать в качестве способа передачи зашифрованных сообщений, но мне больше нравится идея с контролем утечки данных в виде графических файлов, используя этот инструмент в качестве нанесения такого своеобразного водяного знака.