Как чувство осознанности может повлиять на безопасность жизни?

Мое интервью на тему кибербезопасности, как можно обезопасить себя, свое окружение, следить за собой - быть осторожным.

Отдельное спасибо хочу выразить авторам проекта Commutator Казахстан - Узлу связи между государством, бизнесом, обществом и масс-медиа и в частности Татьяне Бендзь за интересно поднятую тему.

Как вести себя с умными колонками, что делать нашим бабушкам и дедушкам в эпоху цифровизации, что такое OpenBLD.net и зачем существует этот проект.

Приятного и полезного просмотра (титры на Казахском, Русском языках присутствуют):

- https://youtu.be/MxWD1N0Bmv8?si=nSmTxUH_AAzsng-5

Детали проекта Commutator о чем он, множество других интересных интервью можно посмотреть на официальном сайте проекта:

- https://commutator.tilda.ws/

ChatGPT помог заработать $28 000 на 0-day.

Базовый XXE-пейлоад выглядит как-то так
<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE foo [ <!ENTITY xxe SYSTEM "file:///etc/passwd"> ]>
<stockCheck><productId>&xxe;</productId></stockCheck>

Можно залить файл с таким содержимым на сервер и, если у либы, которая его распарсит, включена поддержка внешних сущностей, на выходе мы получим содержимое /etc/passwd.

Это касается библиотек, но не браузеров. Если вы откроете нечто подобное у себя в Chrome, то ничего не сработает, т.к. в нем external entities отключены по дефолту.

Но выяснился забавный факт.

Помимо XML, современные браузеры поддерживают еще много форматов, например, XSL. Это старая спека, которая является надстройкой над XML со своими директивами.

О нем и о том, что там тоже можно объявлять внешние сущности, почему-то все забыли, но напомнил ChatGPT. Он подсказал, что это можно делать с помощью директивы, вроде
<xsl:copy-of select="document('file:///etc/passwd')"/>
которая подгрузит содержимое, вопреки всем запретам.

Поэтому полная цепочка выглядит так:
1. Создаем XSL пейлоад с функцией document()
2. Импортируем полученное содержимое как внешнюю сущность в XML
3. Готовый XML-пейлоад вставляем в SVG-картинку и используем по назначению ;)

💰 Выплаты
Apple (CVE-2023-40415): $25 000
Google (CVE-2023-4357): $3 000

Снова собрались казахи, русские и украинцы в одну команду, на этот раз в DreamTeam и выиграли очередной Standoff.

Механика была спорная, но я не сомневаюсь, что каждый участник DreamTeam был достоен победы.

Ждем в следующий раз старую или улучшенную механику, который обеспечит fair-play от начала до конца мероприятия.

#standoff

Работать в оффенсиве надо так, чтобы Elastic написал правило по детекту твоего никнейма 😆

Казалось, что может быть увлекательного в сетевом скане, когда XXI век готов разменять второй четвертак? Клонул Git, мейкнул гошечку и знай подноси себе эзерченелы и пфрниги. Но все не так однозначно. Даже грубый скан может быть веселым, если ему добавить интеллекта. Пусть даже и искусственного.

В этом докладе мы расскажем:

об использовании reinforcement learning для 64К транспортного контроля;
поисках «золотой пробы» пользовательских датаграмм;
фаззи-хешах и кластеризации (чтобы GET не казался таким бесконечным);
разговорах с ChatGPT о регэкспах;
скрытом интернете, где хостится Минсельхоз N-ской губернии;
блондинках, брюнетках, рыженьких и как не потеряться в медовых ловушках. А еще поговорим о других применениях ML и аналитики больших данных при гигасканах всего интернета.

Видео:
https://phdays.com/forum/broadcast/?tag=offense&talk=651

🔐 Spray Passwords, Avoid Lockouts

In this blog post, learn how to effectively use password spraying in Active Directory environments without triggering account lockouts. Dive into authentication mechanisms, password policies, GPO and PSOs.

Research
🔗 https://en.hackndo.com/password-spraying-lockout/

Tool
🔗 https://github.com/login-securite/conpass

#ad #spraying #passpol

Scriptblock Smuggling... Или как прятать скрипт Powershell, чтобы он не мелькал в логах, и обходить AMSI без исправлений в памяти (патчей)

https://bc-security.org/scriptblock-smuggling/

#bypass #redteam #amsi #evasion

#redteam MDSec 💪

Offensive VBA

https://github.com/X-C3LL/congresos-slides/blob/master/Offensive%20VBA.pdf

#PURPLETEAM #SOC #BYPASS
Оказывается Elastic EDR слеп перед простой кодировкой base64 🤦‍♂️

Пример чтения /etc/shadow файла:

eval "$(echo c3VkbyBjYXQgL2V0Yy9zaGFkb3cgPiAvdG1wL1QxMDAzLjAwOC50eHQ7IGNhdCAvdG1wL1QxMDAzLjAwOC50eHQ= | base64 --decode)"

А ваш SIEM детектит? )

UPDATE:
Правило детекта в KQL:

(process.args: *base64* AND (process.args: *--decode* OR process.args: *-d*) AND NOT process.parent.name: (apt-key)) OR 
(process.args: *base32* AND (process.args: *--decode* OR process.args: *-d*) AND NOT process.parent.name: (apt-key)) OR 
(process.args: *xxd* AND process.args: *-r* AND NOT process.parent.name: (apt-key))

#packt | Malware Development for Ethical Hackers: Learn how to develop various types of malware to strengthen cybersecurity

More : https://www.packtpub.com/en-in/product/malware-development-for-ethical-hackers-9781801810173