https://github.com/BishopFox/sj/

Swagger Jacker — или сокращенно "sj", — сканер с открытым исходным кодом от компании BishopFox, разработанный для аудита OpenAPI спецификаций.

По ссылке на Swagger, он определяет способ аутентификации на эндпоинтах (благодаря объекту security), и отправляет множество разных запросов на каждый, чтобы проверить, насколько корректно она работает.

Облегчает жизнь пентестера для поиска Broken Authentication. В планах у разработчиков добавить генератор готовых команд для передачи всех существующих эндпоинтов с подготовленными параметрами в sqlmap.

https://www.youtube.com/watch?v=nGs8pWIj5k4

Jason Haddix выступил на конференции IWCon2023.

Рассказал много интересного о разведке, поиске поддоменов и сервисов, принадлежащих компании.

Поскольку защита рабочих станций становится все лучше (а иногда ее действительно сложно обойти), пришло время двигаться дальше.

Одним из следующих слабых устройств могут стать смартфоны. Имхо, MDM сейчас слабее, чем крутые EDR с веб-прокси и проверкой пакетов.

Вот небольшой флоу, как правильно фишить сотрудников, использующих O365 и Outlook в 2024, используя инструменты самой компании Microsoft:
1. Разворачиваем инфру O365 с сервером Exchange в бесплатном Dev Tenant по ссылке https://developer.microsoft.com/en-us/microsoft-365/dev-program
SPF, DKIM, DMARC — все из коробки, кроме того серверы Exchange доверяют друг другу, Dev-тенанты имеют хорошую репутацию, а атакующий может контролировать Entra-ID и спуфить имена.
2. Поднимаем собственную проксю для фишинга https://github.com/secureworks/squarephish где-нибудь в Azure. Один из модулей предлагает обновить сессию, чтобы продолжать пользоваться мобильной почтой, его и будем использовать. Кроме того, он генерирует сообщение с QR-кодом для перехода на наш сайт, что и позволит фишить пользователей смартфонов.
3. Microsoft любит сканировать письма, ссылки и вложения из них. Они даже приводят примеры в своем блоге с QR-кодами из squarephish https://techcommunity.microsoft.com/t5/microsoft-defender-for-office/protect-your-organizations-against-qr-code-phishing-with/ba-p/4007041. Но зачем нам отправлять картинки или ссылки — будем использовать юникод ;) Monospace с размером шрифта 8 выглядит отлично, и не палится сканером

qrencode -o - "https://msrc.microsoft.com" -l H -t UTF8| sed 's/ /\ /g' | sed -e 's/^/    <div style="direction: ltr; margin: 0cm;"><span style="font-family: \&quot;Courier New\&quot;; font-size: 8pt; color: rgb(0, 0, 0); white-space: pre-wrap;">/' -e 's/$/<\/span><\/div>/'

4. Финальный штрих — закрываем свой фишинговый сайт с помощью Azure CND Classic. Он позволяет поселиться на ".azureedge.net", стоит копейки и поставляется с SSL-сертификатом, подписанным Microsoft.

В Google долгое время существовал "бэкдор" с вечным доступом к любому аккаунту, даже после разлогина или смены пароля

Если вы используете Chrome для синхронизации данных и замечали, что сессия в браузере остается активной даже после того, как нажал кнопку "Выйти со всех устройств" — то это оно и есть.

В своей реализации OAuth, Google создала недокументированный эндпоинт, который обменивает токен на вечную куку, которую нельзя так просто инвалидировать.

Уязвимость существовала многие годы, но обратили внимание на неё только сейчас, когда ее начали активно использовать злоумышленники.

О проблеме сообщили в Google, но они пока что ее так и не исправили.

https://github.com/MegaManSec/SSH-Snake

SSH-Snake — это bash-скрипт для автоматического обхода сети с использованием ssh-ключей, обнаруженных на скомпрометированных системах, и создания полной карты всех взломанных хостов.

Принцип работы:
1. Найти на текущей машине все приватные ssh-ключи
2. Просканировать сеть и найти живые хосты, к которым можно подключиться
3. Попытаться подключиться к хостам с ключами, найденными в первом пункте
4. После подключения к новому устройству, повторить все шаги, начиная с первого.

Возможности:
— переходит от одной системы к другой только с помощью bash и stdin, не создавая никаких файлов
— как только попал на новую систему, автоматически пытается повыситься до рута, используя sudo
— ищет закрытые ключи в часто используемых файлах и папках, обход гибко настраивается
— запоминает, какие машины уже были просканированы, чтобы не подключаться к ним снова
— генерирует на выходе готовый граф (вдохновлен bloodhound) и сохраняет все приватные ключи

https://evanhahn.com/worlds-smallest-png/

Побайтовый обзор самого маленького PNG-изображения. Автор блога даже запилил свой PNG Chunk Explorer, куда можно загрузить любую картинку и посмотреть, какой байт и за что отвечает. Напомнило The Illustrated TLS https://tls13.xargs.org/ с пошаговым TLS-хендшейком.

Побольше бы такого в самом RFC

https://github.com/hackerhouse-opensource/Marble

В 2017 году Wikileaks опубликовало утечку с самописным хакерским софтом, который использует ЦРУ. Там были исходники обфускатора под названием Marble, но не полностью, — скомпилировать код было невозможно из-за отсутствующих библиотек и целых фрагментов кода.

2 недели назад на Github выложили его полную версию — не только восстановленную, но и улучшенную — это удалось, благодаря ChatGPT и некому человеку (вероятно, бывшему сотруднику), которого удалось найти из утечек Vault7.

LeftoverLocals

В один день с новыми лабами Web LLM attacks на PortSwigger, Trail of Bits опубликовали отчет о найденной уязвимости, которую они назвали LeftoverLocals.

🔹 уязвимость позволяет читать данные из локальной памяти GPU чужих процессов

🔹 затронуты графические чипы от Apple, Qualcomm и AMD

🔹 на прикрепленной гифке показано, как хакер может прослушивать сессию чужого пользователя в llama.cpp

PoC уже выложили тут https://github.com/trailofbits/LeftoverLocalsRelease

https://huggingface.co/whiterabbitneo/WhiteRabbitNeo-13B-v1

WhiteRabbitNeo-13B — форк Llama2, созданный специально для того, чтобы спрашивать его про кибербезопасность — как Defensive, так и Offensive — бесплатно и без регистрации цензуры.

В примере из репозитория автор спрашивает, как взломать Wi-Fi, — на что LLM отвечает полным флоу со всеми командами для перехвата и взлома хэндшейка.

С написанием простенького модуля для Metasploit тоже справилась, так что моделька и правда интересная — потыкать можно еще и тут https://www.whiterabbitneo.com/

https://github.com/pwndoc/pwndoc

pwndoc — это локальный сервис для создания отчетов по пентестам, с помощью которого можно легко и быстро накликивать найденные уязвимости, и экспортировать их в популярные форматы, включая docx.

Можно настроить все под себя, включая шаблоны и базу данных уязвимостей.

Главная цель проекта — свести рутину к минимуму и уделить все доступное время пентесту.

Исследователь, который в прошлый раз взломал «Хонду», продолжает рассказывать о своих находках. На этот раз в Toyota

🔹Premium-калькулятор на сайте компании ликал секреты от учетной записи корпоративного аккаунта Microsoft.

🔹Один из запросов к калькулятору был закрыт HTTP Basic Auth, но возвращал ошибку с валидными кредами (!).

🔹Пароль можно было использовать для входа в аккаунт noreplyeicher@ttibi.co.in, 2FA был отключен

🔹В учетной записи электронной почты хранились все сообщения, которые компания когда-либо отправляла своим клиентам, а именно: 657 тысяч писем (~25 ГБ) с информацией о клиентах, PDF-файлами страховых полисов, ссылками на сброс пароля, OTP и многое другое.

🔹 Помимо почты, были доступны и другие облачные ресурсы Microsoft, включая SharePoint, Teams, и многое другое

🫠 Спустя два месяца, баг исправили, но до сих пор не сменили пароль от найденной учетки.

Orange Cyberdefense Active Directory Mindmap

Лучший Mindmap по пентесту AD. В зависимости от того, какие данные у вас есть, расписан каждый этап с готовыми командами и краткии описанием.

Hi, My Name is Keyboard

Чтобы общаться с устройствами, какие-то разработчики беспроводных мышек и клавиатур используют USB-донгл и Bluetooth, а какие-то пишут свои проприетарные протоколы (как правило, общаются на 2.4ГГц).

Над безопасностью там не задумываются, поэтому возникают уязвимости типа MouseJack, когда можно подключиться к компьютеру без аутентификации от мышки и "накликивать" любые нажатия клавиш.

Исследование провел инженер из SkySafe в 2016, но не стал исследовать Bluetooth, так как подумал, что там все безопасно.

Выяснилось обратное, что стало следствием CVE-2023-45866 в Bluetooth, с которой можно подключиться к устройству, например, работающему на MacOS, Linux, Windows, и засылать любые команды.

На видео пример 0-сlick рикролла в Android. Его и эксплойты для остальных платформ можно взять отсюда https://github.com/marcnewlin/hi_my_name_is_keyboard.

🔥 CVE-2024-0204: Fortra GoAnywhere MFT Authentication Bypass Deep-Dive
Base Score: 9.8 CRITICAL

🔎 Shodan/Zoomye: title:"GoAnywhere"

🐞 PoC
https://192.168.1.1:8001/goanywhere/images/..;/wizard/InitialAccountSetup.xhtml

GoAnywhere MFT — это инструмент для передачи файлов, разработанный с целью помочь организациям безопасно обмениваться файлами с партнерами и вести журналы аудита того, кто получил доступ к общим файлам.

В 2023 Clop другим эксплойтом для GoAnywhere вытащили данные из Crown Resorts, CHS, Hatch Bank, Rubrik, the City of Toronto, Hitachi Energy, Procter & Gamble, и Saks Fifth Avenue.

Horizon не стали разбираться, почему не срабатывает условие isAdminUserCreated, и дропнули отчет как есть https://www.horizon3.ai/cve-2024-0204-fortra-goanywhere-mft-authentication-bypass-deep-dive/.

CVEMap

cvemap — новая утилита от компании ProjectDiscovery, которая создана для быстрого и удобного поиска по всем известным базам данных уязвимостей.

Объединяет данные из нескольких известных источников, и возвращает наличие PoC на основе двух публичных репозиториев в Github — Live-Hack-CVE и PoC-in-GitHub.

Slippy-book: CVE-2023-44451 & CVE-2023-52076

Directory Traversal -> RCE при открытии электронных книг EPUB. Затрагивает все дистрибутивы, использующие DE Mate, включая Mint, Kali, Parrot, Manjaro, Xubuntu.

🔹 Уязвимости найдены в программах Atril Document Viewer and Xreader Document Viewer, которые используются по умолчанию для чтения формата EPUB.

🔹 Эксплоит создает произвольный файл в системе. На видео пример записи .desktop в $HOME/.config/autostart, который запустит калькулятор после перезагрузки.

🔹Atril и Xreader поддерживают форматы PDF и EPUB. Если изменить расширение .epub на .pdf и отправить его цели, код все равно сработает.

🔹 Можно использовать для прокидывания реверс-шелла или записи своих публичных ключей в authorized_keys, и подключения к машине через SSH.

Подделка подписей на Github

Перед тем, как что-нибудь закоммитить в репозиторий, git просит пользователя указать имя и email. Если сделать так

git config --global user.name "Linus Torvalds"
git config --global user.email "torvalds@linux-foundation.org"

Github подхватит почту и будет помечать твои коммиты, как будто их на самом деле сделал Линус, — с его именем, аватаркой и ссылкой на профиль https://github.com/torvalds.

Так может сделать любой, и поэтому существует зеленая надпись "Verified" напротив коммитов, подписанных с помощью GPG.

Если отправить что-нибудь через веб, коммит подпишется от имени GitHub <noreply@github.com> и тоже будет считаться верифицированным.

Для этого сырой блоб отправляется на внутренний эндпоинт https://api.github.com/vscs_internal/commit/sign, где его подхватывает gh-gpgsign и возвращает подписанный результат.

На бэкенде проверяется условие, что строка автора из коммита, полученная с помощью регулярки /\Aauthor (.+?) <(.+)>/, должны быть равна имени текущего залогиненного пользователя.

Но имя может быть пустым, тогда коммит будет таким

author  <583231+octocat@users.noreply.github.com> 1682188800 +0000
author username <user@example.com> 1682188800 +0000

где первая строка — сгенерирована автоматически,
а вторая — фейковая, уже отправленная нами.

Первая не подойдет под регулярку, поэтому будет взята вторая, которую мы контролируем. И так мы можем получить галочку "Verified" на коммит с именем Торвальдса без его подписи, или с любым другим именем.

Автору заплатили $10.000. Баг удалось найти в Codespaces, благодаря реверсу GitHub Enterprise Server Trial VM.

https://github.com/z0m31en7/Uscrapper

Uscrapper — инструмент командной строки, который создан чтобы искать и извлекать личные данные с веб-сайтов.

🔹 Обходит страницы и собирает с помощью регулярных выражений емейлы, ссылки на социальные сети, имена людей, номера телефонов и юзернеймы.

🔹 Имеет несколько модулей для обхода защиты от парсинга, после завершения работы генерирует отчет со всеми находками.

Можно использовать в качестве легковесной замены SpiderFoot на стадии сбора информации.

В 2022 году ресерчер с ником mrd0x предложил для фишинга новую технику, которую назвал BItB (browser-in-the-browser).

Она заключается в том, чтобы оставлять скомпрометированную страницу входа как есть, но хукать нажатия на кнопки входа через Google, Microsoft и других OAuth-поставщиков, и, вместо оригинальной ссылки — подсовывать iframe на свой сайт, оформляя его как pop-up окно браузера.

Техника интересная, но использовать ее получится крайне редко. В то же время TrustedSec проводили свой ресерч и столкнулись с другой проблемой — им нужно было сохранять персистенс в браузере цели, чтобы тяжелый, заинжекченный в результате эксплуатации xss, скрипт, успевал полностью выполниться.

И решили, используя наработки mrd0x, пойти дальше — использовать схожую с BItB идею, но сделать буквально браузер в браузере — открывать iframe текущей страницы так, чтобы конечный пользователь этого не заметил. Все клики и переходы, которые он сделает в дальнейшем, будут не в оригинальной вкладке, а в iframe, который мы полностью контролируем.

Это совпало с закрытием публичного XSS Hunter, и теперь они представили свой. Он использует технику, про которую я писал выше, и выжимает максимум от XSS, собирая буквально все, что только можно:
— IP-адрес клиента, OS, браузер
— Пользовательский ввод (учетные данные, etc.)
— Посещенные страницы
— Куки (без флага HttpOnly)
— Local Storage
— Session Storage
— HTML-код посещенных страниц
— Скриншоты посещенных страниц
— Копии XHR и Fetch-вызовов (с помощью monkeypatch'инга) с методами, эндпоинтами, заголовками, телами запросов и ответами

Сервис назвали JS-Tap, а найти его можно тут https://github.com/hoodoer/JS-Tap.