Статья про инъекцию команд | Command Injection
Всем привет, сегодня я расскажу о достаточно простой, но интересной на мой взгляд уязвимости. Итак, давайте по порядку. Суть заключается во внедрении команд ОС в поле ввода. Важно отметить разницу между инъекцией кода и инъекцией команды. При инъекции кода хакер вставляет свой код, который в дальнейшем воспроизводится приложением или программой, тогда как командная инъекция может использовать преимущества среды приложения, в которой выполняются системные команды.
📌 Читать статью
#pentest #injection
Всем привет, сегодня я расскажу о достаточно простой, но интересной на мой взгляд уязвимости. Итак, давайте по порядку. Суть заключается во внедрении команд ОС в поле ввода. Важно отметить разницу между инъекцией кода и инъекцией команды. При инъекции кода хакер вставляет свой код, который в дальнейшем воспроизводится приложением или программой, тогда как командная инъекция может использовать преимущества среды приложения, в которой выполняются системные команды.
📌 Читать статью
#pentest #injection
Ядовитое подключение. Пишем обратную оболочку используя Python
Давай вспомним, какой самый частый прием хакеры используют, чтобы завладеть устройством? Ответ на такой вопрос не заставит долго ждать. Вирусы - это главное оружие каждого хакера. Существует огромное количество вредоносного ПО, начиная со стиллеров и заканчивая ботнетами, способными управлять миллионами устройств. Но в этой статье я расскажу тебе самый простой способ получить доступ к консоли другого компьютера при помощи кода на Python.
📌 Читать далее
#forum #python #pentest
Давай вспомним, какой самый частый прием хакеры используют, чтобы завладеть устройством? Ответ на такой вопрос не заставит долго ждать. Вирусы - это главное оружие каждого хакера. Существует огромное количество вредоносного ПО, начиная со стиллеров и заканчивая ботнетами, способными управлять миллионами устройств. Но в этой статье я расскажу тебе самый простой способ получить доступ к консоли другого компьютера при помощи кода на Python.
📌 Читать далее
#forum #python #pentest
Определение технологий используемых сайтом с помощью Wappalyzer и Python
Иногда, при исследовании сайта необходимо знать, какие технологии использовались при его разработке, а также используются в данный момент. Инструментов, которые предоставляют такой функционал не так уж и много. Одним из популярных решений является Wappalyzer. Посмотрим, как можно использовать данный инструмент при определении технологий с помощью Python.
📌 Читать далее
#forum #python #pentest
Иногда, при исследовании сайта необходимо знать, какие технологии использовались при его разработке, а также используются в данный момент. Инструментов, которые предоставляют такой функционал не так уж и много. Одним из популярных решений является Wappalyzer. Посмотрим, как можно использовать данный инструмент при определении технологий с помощью Python.
📌 Читать далее
#forum #python #pentest
Инъекция XSS в скрытых полях ввода и мета-тегах
В этом посте автор покажет, как вы можете использовать новую функцию всплывающих окон HTML в Chrome для эксплуатации XSS в мета-тегах и скрытых полях ввода. Все началось, когда я заметил новое поведение всплывающих окон в Chrome на Twitter. Мы все знаем о надоедливых диалоговых окнах, которые уговаривают вас подписаться на рассылку - теперь вы можете создавать эти всплывающие окна без JavaScript!
📌 Читать далее
#forum #pentest #xss
В этом посте автор покажет, как вы можете использовать новую функцию всплывающих окон HTML в Chrome для эксплуатации XSS в мета-тегах и скрытых полях ввода. Все началось, когда я заметил новое поведение всплывающих окон в Chrome на Twitter. Мы все знаем о надоедливых диалоговых окнах, которые уговаривают вас подписаться на рассылку - теперь вы можете создавать эти всплывающие окна без JavaScript!
📌 Читать далее
#forum #pentest #xss
Способы получения обратного соединения (Reverse shell)
Доброго времени суток, уважаемые форумчане! Очередная статья будет посвящена еще одному проблемному вопросу, с которым часто приходится сталкиваться начинающим специалистам по ИБ при решении задач – это получение обратного шелла. Для начала немного теории. Что же такое шелл и зачем он нужен?
📌 Читать далее
#forum #beginner #pentest
Доброго времени суток, уважаемые форумчане! Очередная статья будет посвящена еще одному проблемному вопросу, с которым часто приходится сталкиваться начинающим специалистам по ИБ при решении задач – это получение обратного шелла. Для начала немного теории. Что же такое шелл и зачем он нужен?
📌 Читать далее
#forum #beginner #pentest
Свой DNS (Orange Pi) + WebMap (Nmap)
Приветствую, гостей и обитателей форума Codeby.net! В этой статье речь пойдет о двух вещах: WebMap (Web-панель для анализа отчетов XML Nmap) и DNS для своей локальной сети. Что касается первой, мы видели очень много надстроек облегчающих вывод, анализ и прочие моменты при работе со сканером nmap, их много и они разнообразны. Но в этот раз мне попалась, довольно интересная вещь – работающая в докере web-панель, которая позволяет анализировать отчеты nmap формата XML, при этом она анализирует хосты на возможные уязвимости, а так же позволяет строить карту сети.
📌 Читать далее
#forum #pentest #dns
Приветствую, гостей и обитателей форума Codeby.net! В этой статье речь пойдет о двух вещах: WebMap (Web-панель для анализа отчетов XML Nmap) и DNS для своей локальной сети. Что касается первой, мы видели очень много надстроек облегчающих вывод, анализ и прочие моменты при работе со сканером nmap, их много и они разнообразны. Но в этот раз мне попалась, довольно интересная вещь – работающая в докере web-панель, которая позволяет анализировать отчеты nmap формата XML, при этом она анализирует хосты на возможные уязвимости, а так же позволяет строить карту сети.
📌 Читать далее
#forum #pentest #dns
В ИБ в 36. Путь джедая
Привет, всем, особенно тем кто хочет стать пентестером. Хочу поделиться с вами историей своего восхождения на гору Фудзияма пентеста. Конечно, каждый идет своей дорогой и мой путь возможно вызовет у кого-то лишь ехидную улыбку, но если помимо этого мой пост принесёт пользу еще хоть одному юному падавану, то я буду считать, что не зря потратил битый час на её написание. Оглядываясь назад, вниз этой высочайшей горы, я вижу, что нахожусь в тени деревьев, которые растут у подножья. Да, я поднялся уже метров на 5 и впереди остались какие-то жалкие 3 771 метров.
🌐 Читать статью
#learning #pentest
Привет, всем, особенно тем кто хочет стать пентестером. Хочу поделиться с вами историей своего восхождения на гору Фудзияма пентеста. Конечно, каждый идет своей дорогой и мой путь возможно вызовет у кого-то лишь ехидную улыбку, но если помимо этого мой пост принесёт пользу еще хоть одному юному падавану, то я буду считать, что не зря потратил битый час на её написание. Оглядываясь назад, вниз этой высочайшей горы, я вижу, что нахожусь в тени деревьев, которые растут у подножья. Да, я поднялся уже метров на 5 и впереди остались какие-то жалкие 3 771 метров.
🌐 Читать статью
#learning #pentest
Как злоумышленники компрометируют внутреннюю инфраструктуру
Ежедневно мы видим сообщения о взломе и сливе данных той или иной компании. Терабайты данных, сливы паспортов и процветающая торговля информацией. В этой статье будут рассмотрены способы, которыми могут воспользоваться злоумышленники для взлома внутренней инфраструктуры, а также распространенные угрозы информационной безопасности. Эта статья написана в первую очередь для системных администраторов, работников SOC и начинающих пентетеров.
📌 Читать далее
#pentest #infrastructure
Ежедневно мы видим сообщения о взломе и сливе данных той или иной компании. Терабайты данных, сливы паспортов и процветающая торговля информацией. В этой статье будут рассмотрены способы, которыми могут воспользоваться злоумышленники для взлома внутренней инфраструктуры, а также распространенные угрозы информационной безопасности. Эта статья написана в первую очередь для системных администраторов, работников SOC и начинающих пентетеров.
📌 Читать далее
#pentest #infrastructure
Инъекция XSS в скрытых полях ввода и мета-тегах
Добрый вечер, друзья!
В этом посте автор покажет, как вы можете использовать новую функцию всплывающих окон HTML в Chrome для эксплуатации XSS в мета-тегах и скрытых полях ввода. Все началось, когда я заметил новое поведение всплывающих окон в Chrome на Twitter. Мы все знаем о надоедливых диалоговых окнах, которые уговаривают вас подписаться на рассылку - теперь вы можете создавать эти всплывающие окна без JavaScript!
📌 Читать далее
#forum #pentest #xss
Добрый вечер, друзья!
В этом посте автор покажет, как вы можете использовать новую функцию всплывающих окон HTML в Chrome для эксплуатации XSS в мета-тегах и скрытых полях ввода. Все началось, когда я заметил новое поведение всплывающих окон в Chrome на Twitter. Мы все знаем о надоедливых диалоговых окнах, которые уговаривают вас подписаться на рассылку - теперь вы можете создавать эти всплывающие окна без JavaScript!
📌 Читать далее
#forum #pentest #xss
🛡Защита внешнего сетевого периметра компании через регулярный пентест
Друзья, добрый день!
Продолжаем выстраивать ИБ в организации. В этой статье я расскажу, как можно защищать внешние информационные ресурсы компании через пентест, и расскажу, почему важно пентестить себя на регулярной основе.
🔐 Читать далее
#forum #pentest
Друзья, добрый день!
Продолжаем выстраивать ИБ в организации. В этой статье я расскажу, как можно защищать внешние информационные ресурсы компании через пентест, и расскажу, почему важно пентестить себя на регулярной основе.
🔐 Читать далее
#forum #pentest
Fortigate - собираем виртуальный стенд для практики
Всем привет, друзья!
Fortigate это фаервол/межсетевой экран (далее МСЭ) энтерпрайз уровня, один из лидеров в этом секторе наряду с Checkpoint и Palo Alto так что вероятность что встретите его в работе большая. Одно из его преимуществ дружелюбность и интуитивность работы для администратора. Поэтому для новичков в МСЭ будет особенно интересен как первый опыт.
📌 Читать статью
#fortigate #pentest
Всем привет, друзья!
Fortigate это фаервол/межсетевой экран (далее МСЭ) энтерпрайз уровня, один из лидеров в этом секторе наряду с Checkpoint и Palo Alto так что вероятность что встретите его в работе большая. Одно из его преимуществ дружелюбность и интуитивность работы для администратора. Поэтому для новичков в МСЭ будет особенно интересен как первый опыт.
📌 Читать статью
#fortigate #pentest
🧑💻 Эксплуатируем переполнение буфера в простом TCP-сервере
Привет всем бинарщикам и людям, которые хотят попрактиковаться с эксплуатацией уязвимости переполнения буфера.
Мы для своего киберполигона придумываем различные сценарии атак и насыщаем его различными мисконфигурациями и многочисленным уязвимым ПО для тренировок “синих” и “красных”. И рассматриваемое ПО в данной статье, как раз одно из таких.
В этой статье мы разберем весь процесс от идентификации уязвимости до получения обратной оболочки со скомпрометированного хоста.
⚡️Читать далее
#tcp #pentest #фаззинг #эксплоиты
Привет всем бинарщикам и людям, которые хотят попрактиковаться с эксплуатацией уязвимости переполнения буфера.
Мы для своего киберполигона придумываем различные сценарии атак и насыщаем его различными мисконфигурациями и многочисленным уязвимым ПО для тренировок “синих” и “красных”. И рассматриваемое ПО в данной статье, как раз одно из таких.
В этой статье мы разберем весь процесс от идентификации уязвимости до получения обратной оболочки со скомпрометированного хоста.
⚡️Читать далее
#tcp #pentest #фаззинг #эксплоиты
📲 Эксплуатация CVE-2020-5902
Приветствуем, Codeby!
Сегодня поговорим про уязвимость CVE-2020-5902. Найдём уязвимую машину и проэксплуатируем данную уязвимость на конкретном примере.
🖇 Читать статью
#pentest #rce
Приветствуем, Codeby!
Сегодня поговорим про уязвимость CVE-2020-5902. Найдём уязвимую машину и проэксплуатируем данную уязвимость на конкретном примере.
🖇 Читать статью
#pentest #rce
Доступ к удаленному компьютеру с помощью .jpg
Добрый день, друзья!
Сегодня я хочу продемонстрировать, как с помощью инструмента FakeImageExploiter можно получить доступ к удаленному компьютеру с помощью полезной нагрузки внедренной в файл изображения.
📌 Читать далее
#pentest #vander
Добрый день, друзья!
Сегодня я хочу продемонстрировать, как с помощью инструмента FakeImageExploiter можно получить доступ к удаленному компьютеру с помощью полезной нагрузки внедренной в файл изображения.
📌 Читать далее
#pentest #vander
Карманный бот для анализа веб-сайта в Телеграме
Думаю многие сталкивались с проблемой, когда нужно было сделать базовый анализ какого либо вебсайта и ПК/Ноутбука рядом не находились, но был смартфон. В таких случаях есть несколько решений, например кто-то имеет SSH доступ к основной машине, кто-то VNC. Главной проблемой остается управление, нужно что-то удобное, почему бы нам не взять телеграм ботов? Они гораздо более удобные, в них есть список комманд на которые достаточно нажать, а не печатать полностью, да и сам интерфейс более юзер-френдли.
📌 Читать далее
#programming #python #pentest
Думаю многие сталкивались с проблемой, когда нужно было сделать базовый анализ какого либо вебсайта и ПК/Ноутбука рядом не находились, но был смартфон. В таких случаях есть несколько решений, например кто-то имеет SSH доступ к основной машине, кто-то VNC. Главной проблемой остается управление, нужно что-то удобное, почему бы нам не взять телеграм ботов? Они гораздо более удобные, в них есть список комманд на которые достаточно нажать, а не печатать полностью, да и сам интерфейс более юзер-френдли.
📌 Читать далее
#programming #python #pentest
WebSocket. Краткий экскурс в пентест ping-pong протокола
"Краткость - сестра таланта" - именно так сказал Антон Павлович Чехов, и теперь говорю я. Сегодня, завтра и до конца дней площадки речь пойдет о WebSocket-ах: "Что это?", "Как работает?" и главное - "Как это взламывать?" (в целях этичного хакинга конечно). Начнем с простого и будем идти к более сложному, пробираясь через тернии к звёздам. Приятного чтения
📌 Читать далее
#beginner #pentest #websocket
"Краткость - сестра таланта" - именно так сказал Антон Павлович Чехов, и теперь говорю я. Сегодня, завтра и до конца дней площадки речь пойдет о WebSocket-ах: "Что это?", "Как работает?" и главное - "Как это взламывать?" (в целях этичного хакинга конечно). Начнем с простого и будем идти к более сложному, пробираясь через тернии к звёздам. Приятного чтения
📌 Читать далее
#beginner #pentest #websocket
Лаборатория в коробке. Создаем систему для пентестов
Добрый день, друзья!
В случае с обычной эксплуатацией дыр идет работа с частным случаем, когда все доступно и понятно. Ты знаешь, куда тебе нужно ползти и по каким путям можно взломать операционную систему. Теперь подумай, где можно тренировать все это дело? Давай попробуем смастерить собственную лабораторию, которая буквально запускается "из коробки" и позволяет тебе безгранично тестировать различные системы на проникновение. Приступим к делу. Читать далее
⚡️ NEW⚡️ Мы создали новый курс "Устройства для тестирования на проникновение", где вы получите самую современную информацию, навыки сборки и работы с микрокомпьютерами и микроконтроллерами.
🟢 Программа курса
🟢 Написать менеджеру курса @Codeby_Academy
(Успейте воспользоваться скидкой за раннее бронирование)
#пентест #устройства_на_проникновение
#pentest_devices
Добрый день, друзья!
В случае с обычной эксплуатацией дыр идет работа с частным случаем, когда все доступно и понятно. Ты знаешь, куда тебе нужно ползти и по каким путям можно взломать операционную систему. Теперь подумай, где можно тренировать все это дело? Давай попробуем смастерить собственную лабораторию, которая буквально запускается "из коробки" и позволяет тебе безгранично тестировать различные системы на проникновение. Приступим к делу. Читать далее
(Успейте воспользоваться скидкой за раннее бронирование)
#пентест #устройства_на_проникновение
#pentest_devices
Please open Telegram to view this post
VIEW IN TELEGRAM
Определение технологий используемых сайтом с помощью Wappalyzer и Python
Добрый день, Codeby!
Иногда, при исследовании сайта необходимо знать, какие технологии использовались при его разработке, а также используются в данный момент. Одним из популярных решений является Wappalyzer. Посмотрим, как можно использовать данный инструмент при определении технологий с помощью Python.
📌 Читать далее
#forum #python #pentest
Добрый день, Codeby!
Иногда, при исследовании сайта необходимо знать, какие технологии использовались при его разработке, а также используются в данный момент. Одним из популярных решений является Wappalyzer. Посмотрим, как можно использовать данный инструмент при определении технологий с помощью Python.
📌 Читать далее
#forum #python #pentest
Привет, Кодебай! 😎
В новой статье автор занялся тестом одного интересного приложения под названием Vampi — оказалось там много уязвимостей из списка OWASP API Security Top 10. Всё началось с простого скана с помощью Nuclei...👀
Что мы нашли?
⏺ Чрезмерный доступ: отладочные эндпоинты не защищены должным образом — легко получить информацию о пользователях
⏺ Несанкционированная смена пароля: используя токен одного юзера, меняем пароль другого — классика
⏺ Mass Assignment: добавил лишний параметр при регистрации — бац, и ты админ! Ну разве не красота?
⏺ SQL инъекция: SQLmap рулит — кавычку подкинул и ошибка полетела
Какие выводы?
Эти косяки — не шутки, и если их не чинить, ваши данные могут легко утечь. Защищайтесь как положено: используйте проверку прав, параметризуйте запросы и думайте об авторизации!
🟢 Читать подробнее
#API #Pentest
В новой статье автор занялся тестом одного интересного приложения под названием Vampi — оказалось там много уязвимостей из списка OWASP API Security Top 10. Всё началось с простого скана с помощью Nuclei...
Что мы нашли?
Какие выводы?
Эти косяки — не шутки, и если их не чинить, ваши данные могут легко утечь. Защищайтесь как положено: используйте проверку прав, параметризуйте запросы и думайте об авторизации!
#API #Pentest
Please open Telegram to view this post
VIEW IN TELEGRAM