Утечка московского туристического магазина sport-marafon.ru

Основные поля:
— ФИО
— телефон
— адрес эл. почты
— хешированный пароль
— адрес проживания
— пол
— дата рождения
— дата регистрации
— дата последнего захода

Всего записей: 361 987

https://www.youtube.com/watch?v=dzolXhUhxlU

Продолжение, но уже с OneKey

https://www.youtube.com/watch?v=EMXnJMCoFYI

Сегодня не до вебчика, наблюдаем за физическим пентестом

https://www.bugbountyhunting.com/

Поисковик по Bug Bounty райтапам. На сайте собрано почти 2.5к ссылок на отчеты.

https://frycos.github.io/vulns4free/2023/06/18/fortinac.html

In February, 2023, a new vulnerability hit the mainstream news: CVE-2022-39952 (see FG-IR-22-300). Exploitation allowed an unauthenticated attacker to achieve remote code execution (RCE) on FortiNAC devices prior to version 9.4.1 through a chain targeting TCP port 8443. In short: an unprotected JSP file reachable via allowed to upload a ZIP file which then got extracted to fully controlled paths./configWizard/keyUpload.jsp

Интересная особенность, связанная с парсингом кук. Некоторые серверы, такие как Jetty или Undertow, в своей работе реализуют спецификацию RFC2965, в которой есть необычная реализация синтаксического анализа.

Если Jetty примет на вход

Cookie: search_history="lolkek; JSESSIONID=1337; asdf=end";

То такой заголовок будет разобран как одна кука search_history со значением lolkek; JSESSIONID=1337; asdf=end, вместо трех отдельных. Если Jetty видит значение, которое начинается с двойных кавычек, то он будет пытаться прочитать строку до тех пор, пока не увидит закрывающую кавычку, даже если на пути встретится точка с запятой.

Опасно это тем, что если search_history где-то рендерится на странице, то ее можно будет использовать для эксфильтрации любой куки (например, JSESSIONID) с флагом HttpOnly. Для этого нужно будет найти XSS и проэксплуатировать ее, записав в search_history двойные кавычки, чтобы оставшаяся часть заголовка отобразилась на странице.

К этому восприимчивы Jetty, Undertow, TomCat, Python Zope и любые другие серверы и фреймворки, которые руководствуются RFC2616, когда парсят строки. Библиотека http.cookies для Python, а именно классы BaseCookie и SimpleCookie тоже реализуют эту спеку. Ее используют aiohttp, cherrypy, web.py, bottle, webob (Pyramid, TurboGears).

https://github.com/0xStarlight/CRTP-Notes

This repository contains my notes while preparing for the CRTP (Certified Red Team Pentesting) exam. These notes were a valuable resource during my study sessions, helping me reinforce critical concepts and improve my understanding of various red teaming and penetration testing topics.

Коллекцию утекших наследников BreachForums пополнил дамп еще одного теневого форума, darkforums.me. В нем 134 таблицы, одна из которых содержит имена пользователей, их пароли (с солью), email-адреса, дату последней активности и IP. Суммарно в сливе оказалось 1777 пользователей.

Теория
— What is GraphQL?
— Finding GraphQL endpoints
— Exploiting unsanitized arguments
— Discovering schema information
— Bypassing GraphQL introspection defences
— Bypassing rate limiting using aliases
— GraphQL CSRF

Практика
— Accessing private GraphQL posts
— Accidental exposure of private GraphQL fields
— Finding a hidden GraphQL endpoint
— Bypassing GraphQL brute force protections
— Performing CSRF exploits over GraphQL

На Portswigger добавили новые лабы с GraphQL. Для сдачи экзамена пока не обязательны.

Обычный день из жизни оператора Google Street View

https://github.com/indigo-sadland/quick-tricks

Quick-tricks - Bitrix vulnerability scanner based on Attacking Bitrix guide

Добавил к себе после эпичного дефейса.

https://github.com/mindedsecurity/semgrep-rules-android-security

This project is a compilation of Semgrep rules derived from the OWASP Mobile Application Security Testing Guide (MASTG) specifically for Android applications.

The aim is to enhance and support Mobile Application Penetration Testing (MAPT) activities conducted by the ethical hacker community. The primary objective of these rules is to address the static tests outlined in the OWASP MASTG.

https://github.com/Orange-Cyberdefense/KeePwn

Позволяет батчем искать и эксплуатировать CVE для Keepass на машинах в домене, и извлекать содержимое .kdb(x) файлов.

Hands-On AWS Penetration Testing with Kali Linux

This book aims to help pentesters as well as seasoned system administrators with a hands-on approach to pentesting the various cloud services provided by Amazon through AWS using Kali Linux.

The book covers a large variety of AWS services that are often overlooked during a pentest — from serverless infrastructure to automated deployment pipelines.

Облачные лабы тут: https://t.me/cybred/504

https://www.youtube.com/watch?v=I_nJltUokE0

Спустя 4 года отсутствия на Youtube, @mrexodia (разработчик x64dbg) опубликовал новое видео Windows Internals Crash Course.

https://github.com/wuseman/EMAGNET

Automated hacking tool that will find leaked databases with 97.1% accurate to grab mail + password together from recent uploads from https://pastebin.com. Bruteforce support for spotify accounts, instagram accounts, ssh servers, microsoft rdp clients and gmail accounts.

В ChatGPT был найден Account Takeover, который позволял увести сессию у пользователя с помощью перехода по безобидной, на первый взгляд, ссылке.

Как это работало: после авторизации, на сайте делается GET-запрос, который отдает метаинфу об аккаунте, вроде имени, емейла и других данных, включая JWT-токен.

Это запрос к API, поэтому он не кэшируется. Но мы можем попытаться обмануть балансер, сказав ему, что это не API, а статический ресурс (например, файл стилей) и попросить его закэшировать ответ.

https://chat.openai.com/api/auth/session => CF-Cache-Status: DYNAMIC (не кэширует)
https://chat.openai.com/api/auth/session/test.css => CF-Cache-Status: HIT (кэширует)

Обе эти ссылки отдают метаинфу об аккаунте, просто во втором случае балансер откидывает правую часть /test.css и роутит запрос (не выдавая ошибки) на /api/auth/session/, при этом думая, что это по прежнему файл стилей и поэтому кэширует его, в отличие от первого варианта.

Это опасно тем, что после того, как авторизированный пользователь перешел по ссылке, злоумышленник может следом зайти по ней и увидеть закэшированный JWT-токен жертвы.

Работает это не всегда и иногда нужно поиграться с расширениями (полный список для Cloudflare можно посмотреть тут), либо просто воспользоваться готовым плагином для эксплуатации Web Cache Deception - атаки, которую я и описал в этом посте https://github.com/SpiderLabs/Airachnid-Burp-Extension.

https://orca.security/resources/blog/examining-two-xss-vulnerabilities-in-azure-services/

— We found two dangerous vulnerabilities in Azure Bastion and Azure Container Registry, that allowed an attacker to achieve Cross-Site Scripting (XSS) by using iframe-postMessages.
— The vulnerabilities allowed unauthorized access to the victim’s session within the compromised Azure service iframe, which can lead to severe consequences, including unauthorized data access, unauthorized modifications, and disruption of the Azure services iframes.
— Despite several Azure security enhancements to mitigate the postMessage iframe XSS vulnerability, we still managed to uncover two Azure services – Azure Bastion and Azure Container Registry— that were exploitable via this vulnerability.
— We immediately notified Microsoft Security Response Center (MSRC) when we discovered the vulnerabilities. We notified Microsoft about the postMessage XSS in Azure Bastion on April 13th, and the postMessage XSS in the Azure Container Registry on May 3rd.
— Microsoft was able to reproduce the issues and has since fixed both vulnerabilities in the Azure infrastructure.