#security #appsec

Практика управления безопасностью ПО в масштабных продуктах: Дмитрий Гадарь из Тинькофф рассказывает, как выстроить защиту и чем можно пожертвовать.

https://proglib.io/w/5ca8e512

#tools

🔧 gokey — простой менеджер паролей на Go от Cloudflare, который не требует хранилища паролей.

Вместо того, чтобы хранить ваши пароли в хранилище, он получает их «на лету» из мастер-пароля и предоставленной строки (например, URL-адрес ресурса).

Таким образом, вам не нужно управлять, создавать резервные копии, синхронизировать хранилище паролей или доверять его управление третьей стороне, поскольку ваши пароли доступны немедленно в любом месте.

https://proglib.io/w/87e73b95

#tools #security #pentest #recon #appsec

🔧 scanbox — коллекция инструментов для белых хакеров и автоматизации безопасности.

https://proglib.io/w/bdab50a1

#pentest #bugbounty #writeup

Обнаружение тысячи открытых баз данных на AWS с конфиденциальными данными в 2022 году 🤷‍♂️

Подробно о том, как это было 👉 https://proglib.io/w/1b860fea

#reverse #practice

Четырехчасовой воркшоп по особенностям использования и работы с Frida

Внутри практические примеры, обзор особенностей работы Frida, способов подмены функций и много другого.

Видео & Слайды

​#forensic #security

🔧Tracee — инструмент для форензики и исследования безопасности Linux. Он использует eBPF для отслеживания системы и приложений во время выполнения, анализирует собранные события для обнаружения подозрительных моделей поведения. И да, документация просто прекрасна.

https://proglib.io/w/7b276d51

#security #blueteam #pentest #redteam

История об именно той ситуации, при которой патчинг является не комплексным исправлением уязвимостей, а всего лишь «латанием дыр». Печально это осознавать в 2022 году.

https://proglib.io/w/d342a728

#pentest #bugbounty #practice

Разбираем несколько проблем с безопасностью веб-сервера Nginx, на которые стоит обращать внимание при анализе веб-приложения.

https://proglib.io/w/19f88a57

Главное преимущество летнего поиска работы — низкий уровень конкуренции. К тому же, сейчас на IT-рынке большая нехватка кадров и множество открытых вакансий.

Чтобы наши читатели не отвлекались на нерелевантные предложения, мы сделали ряд тематических телеграм-каналов с вакансиями по отдельным языкам (Python, Java, Go, C#, C++, PHP, JavaScript) и различным направлениям: тестированию, мобильной разработке, информационной безопасности и Data Science.

Присоединяйтесь! Будем рады помочь найти вам лучшую работу.

Оценка безопасности Android-приложений многогранна и может включать автоматическое тестирование безопасности, фаззинг, ручное тестирование на проникновение и многое другое. Если хотите попрактиковаться в этом деле, то добро пожаловать на YouTube-канал Android AppSec.

https://proglib.io/w/6d0a483e

#news

Очередная подборка новостей для этичного хакера:

— Security Week от «Лаборатории Касперского»
— Хакеры угоняют автомобили Honda, новый неуловимый Linux-вредонос Orbit. Security-новости от главреда Securitylab.ru
— CWE Top 25 2022: обзор изменений от PVS-Studio

Воркшоп на тему «Разработка вредоносного ПО для чайников»

Внутри репозитория слайды, упражнения, примеры кода и ресурсы, которые помогут вам начать разработку вредоносных программ на C# и Nim. И да, информация приводимся в учебных целях.

https://proglib.io/w/b5fe284d

#pentest #bugbounty #practice

GraphQL набирает обороты, а вместе с популярностью приходят исследователи безопасности. Разбираемся, какие атаки встречается в API на основе GraphQL.

https://proglib.io/w/59797a27

#humor

Когда говоришь тимлиду, что нашел багу, но не можешь ее докрутить

#writeup #recon #bugbounty #pentest

История успешной автоматизации разведки, которая привела к выявлению критической уязвимости.

https://proglib.io/w/a588c4ac

#OSINT #recon #pentest #redteam

«Полезные приемы OSINT», «Обнаружение более 90% атак, зная лишь 5% техник злоумышленников», «Почему возможен фишинг даже на официальных сайтах крупных компаний». Эти и другие темы в треке «Технический доклад» на PHDays 11.

https://proglib.io/w/5648481d

#security #appsec #blueteam

Коллекция руководств, инструментов и лучших практик по усилению безопасности.

https://proglib.io/w/804ff981

#security #appsec #blueteam

OWASP Kubernetes топ-10 — документ, который призван помочь специалистам по безопасности, системным администраторам и разработчикам определить приоритеты рисков в экосистеме Kubernetes.

Список основан на данных, собранных в организациях разной степени зрелости и сложности.

https://proglib.io/w/aa3659fc

#writeup #bugbounty #pentest

Подробная история объединения нескольких выявленных уязвимостей в плагине Wordpress для повышения привилегий от неаутентифицированного посетителя до администратора.

https://proglib.io/w/1735ec97

#blockchain #security #pentest

Введение в исследование безопасности смарт-контрактов:

— Reentrancy Attack
— Overflow (перевод)
— Selfdestruct
— Accessing Private Data
— Delegatecall: ч. 1 & ч. 2

#cloud #security #pentest

Cloud Attack Vectors: Building Effective Cyber-Defense Strategies to Protect Cloud Resources, 2022

Авторы: Morey J. Haber, Brian Chappell, Christopher Hills

Перед вами книга, которая подробно описывает:

— риски, связанные с облачным развертыванием,
— методы, которые используют злоумышленники,
— эмпирически проверенные защитные меры, которые должны принять организации,

и показывают, как улучшить обнаружение вредоносной активности.