https://blog.securitybreached.org/2023/08/18/bug-bounty-blueprint-a-beginners-guide/

Подробное руководство по Bug Bounty в 2023 году. Где, что и как нужно искать, чтобы получить максимальный профит.

Много ссылок на кейсы из жизни, ресерчи известных баг хантеров, лабы и репозитории с полезными утилитами.

https://github.com/koenbuyens/securityheaders

Сканер для поиска мисконфигов в CSP и хороший Cheatsheet по всем Security Headers.

В репозитории, кроме самого скрипта, кратко описана каждая директива и возможные ошибки, которые в них можно допустить.

https://j11g.com/2023/08/07/the-legacy-of-bram-moolenaar/

Пару слов о недавно умершем Брэме Муленаре, последних годах его жизни и будущем Vim.

Чтобы собирать фидбек от пользователей, многие разработчики используют сторонние CRM. Самая известная — Zendesk.

Способов общения с ней может быть несколько, вот один из них:
1. Разработчик получает API-токен для походов в API Zendesk.
2. Создает на своем сервисе единую точку входа, которая проксирует запросы в Zendesk API с полученным токеном, и заставляет ходить в нее своих пользователей.

Предположим, точку входа мы нашли (это просто). Дальше интересно посмотреть, с каким токеном осуществляется проксирование. Для этого можно попробовать пофаззить энпоинты из документации.

В отчете с одной из крупнейших криптовалютных бирж KuCoin оказалось, что все запросы выполнялись с permissions администратора. И запрос на https://www.kucoin.com/_api/zendesk/api/v2/tickets.json раскрывал злоумышленнику все обращения, а на /_api/zendesk/api/v2/users.json - всех пользователей.

Информация о них содержала ФИО, фотографию, номер телефона, email и все остальное, что можно встретить в любом из постов об очередной утечке.

Т​ри утилиты для эксплуатации XXE:
— XXEinjector
— XXExploiter
— docem

XXEinjector и XXExploiter автоматически генерируют пэйлоады. XXEinjector — для OOB методов, XXExploiter — умеет как в базовые сценарии, так и в более сложные вектора с DTD, размещая подключаемые XML на вашем сервере.

docem — встраивает в офисные OXML документы (DOCX/XLSX/PPTX) пэйлоады, созданные с помощью двух предыдущих утилит.

https://github.com/b1tg/CVE-2023-38831-winrar-exploit

Exploit для
https://www.group-ib.com/blog/cve-2023-38831-winrar-zero-day/

https://github.com/morpheuslord/HackBot

Как WormGPT, но бесплатный. Чат-бот без цензуры, который умеет отвечать на любые вопросы по кибербезопасности. Создан на базе модели Meta-LLama2.

https://lana.codes/lanavdb/

Lana Codes Vulnerability Database (LANAVDB) — база данных уязвимостей от команды lana.codes, которые они находят в плагинах Wordpress.

По каждой написан небольшой райтап с примерами кода, инфографикой, PoC и даже поднятым тестовым стендом.

Для подавляющей части уязвимостей уже есть свой шаблон для Nuclei, их можно найти тут.

https://gist.github.com/BuffaloWill/fa96693af67e3a3dd3fb

Полный словарь хостов внутренних Metadata-инстансов у облачных провайдеров. На случай, если вам удалось найти SSRF в одном из сервисов, который расположен в:
— AWS
— Google Cloud
— Digital Ocean
— Azure
— Oracle Cloud
— Alibaba Cloud
— OpenStack/RackSpace
— Tencent Cloud

Из них можно достать IAM токены владельца сервиса для авторизации запросов в AWS API, проэскалировав тем самым найденную SSRF до RCE.

https://github.com/noraj/haiti

CLI-утилита для идентификации хэшей. Лучшая альтернатива дефолтного hash-identifier из Kali Linux. Поддерживает более 519 алгоритмов и выдает готовые команды для John The Ripper и hashcat.

https://github.com/jehna/humanify/

LLM-Based деобфускатор для Javascript. Под капотом использует Babel — для восстановления исходников на уровне AST, webcrack — для нормализации и ChatGPT/llama2 — чтобы вернуть переменным человекочитаемый вид.

Гайд по комплексному анализу Javascript файлов в 2023 году я публиковал тут.

Bypassing Hardened Android Applications

Как обойти проверки:
— на обнаружение root
— на запуск приложения в эмуляторе
— на запущенную Frida
— кастомную реализацию SSL-пиннинга

Статья про реверс современных мобильные приложений (например, банковских) со множеством защитных механизмов, с которыми они поставляются "из коробки".