#learning #hacking #pentest #bugbounty #reverse

Обзор лучших платформ для обучения этичному хакингу: https://proglib.io/w/ae170579

#mindmap #hacking #bugbounty #pentest

Репозиторий, который позволит ежедневно прокачивать разнообразные хакерские скиллы, чтобы через год стать профи.

https://proglib.io/w/421c5898

#hacking #pentest

Взлом тюнера Harley

Перед вами увлекательная серия статей, которая включает взлом прошивки, перепроектирование протокола связи по USB-каналу, обход существующей системы лицензирования и много интересных технических деталей.

— Часть 1
— Часть 2
— Часть 3

#cybersecurity #career

Упрощенная дорожная карта для безопасника:

🔗 Читать в Твиттере
🔗 Читать в Thread Reader App, если Твиттер не открывается

#hacking #pentest #redteam #bugbounty

Наиболее интересные доклады с DEFCON 30 August 2022, опубликованные на сегодняшний день:

— DEF CON 30 – Sam Quinn, Steve Povolny – Perimeter Breached Hacking an Access Control System
— DEF CON 30 – Silk – How to Lock Pick
— DEF CON 30 BiC Village – Ochuan Marshall – The Last Log4J Talk You Ever Need
— DEF CON 30 – James Kettle – Browser-Powered Desync Attacks: A New Frontier in HTTP Request Smuggling
— DEF CON 30 – Daniel Jensen – Hunting Bugs in the Tropics
— DEF CON 30 – Orange Tsai – Let’s Dance in the Cache – Destabilizing Hash Table on Microsoft IIS
— DEF CON 30 – Michael Bargury – Low Code High Risk – Enterprise Donation via Low Code Abuse
— DEF CON 30 – Jeffrey Hofmann – PreAuth RCE Chains on an MDM – KACE SMA
— DC30 DCGVR Talks – Careful Who You Colab With
— DEF CON 30 – Samuel Erb, Justin Gardner – Crossing the KASM – a Webapp Pentest Story
— DEF CON 30 – Thomas Roth , Solana – JIT – Lessons from fuzzing a smart contract compiler
— DEF CON 30 – Richard Thieme – UFOs, Alien Life, and the Least Untruthful Things I Can Say
— DEF CON 30 – stacksmashing – The Hitchhacker’s Guide to iPhone Lightning and JTAG Hacking
— DEF CON 30 Retail Hacking Village – Spicy Wasabi – Rock The Cash Box

#hacking

Наиболее заметные атаки, взломы, утечки, фейлы и другие события 2022-го по версии журнала «Хакер».

Читать

Positive Research 2023: сборник исследований по практической безопасности

▫️Топ–10 самых громких атак 2022 года
▫️Государственные организации — цель No 1
▫️Недопустимые события для госучреждений: реальные примеры
▫️Атаки на пользователей: масштабные утечки данных
▫️Кто и как атакует российские организации
▫️Уязвимости ради безопасности. Результативная стратегия управления уязвимостями

#research #hacking

Внедрение в процесс sshd и получение паролей пользователей с SSH-сервера в открытом виде: пошаговая реализация на заметку этичному хакеру.

Читать

#hacking #redteam

🎅Advent of Cyber — бесплатный челлендж для этичного хакера от TryHackMe. Каждый день в декабре будут публиковаться задания на различные интересные темы.

John Hammond уже показал первое задание, изучил на практике AI prompt injection и затронул темы других заданий.

#hacking #pentest #ctf

🔥 Открыта традиционная номинация десяти топовых техник веб-хакинга 2023 года

Многие из исследований содержат инновационные идеи, ожидающие, пока тот самый белый хакер адаптирует их и объединит в новые открытия в будущем.

📌 Вот как выглядит список на текущий момент:

• Ransacking your password reset tokens
• mTLS: When certificate authentication is done wrong
• Smashing the state machine: the true potential of web race conditions
• Bypass firewalls with of-CORs and typo-squatting
• RCE via LDAP truncation on hg.mozilla.org
• Cookie Bugs - Smuggling & Injection
• OAuth 2.0 Redirect URI Validation Falls Short, Literally
• Prototype Pollution in Python - Abdulrah33m's Blog
• Pretalx Vulnerabilities: How to get accepted at every conference
• From Akamai to F5 to NTLM... with love.
• can I speak to your manager? hacking root EPP servers to take control of zones
• Blind CSS Exfiltration: exfiltrate unknown web pages
• Compromising F5 BIGIP with Request Smuggling
• Server-side prototype pollution: Black-box detection without the DoS
• Tricks for Reliable Split-Second DNS Rebinding in Chrome and Safari
• HTML Over the Wire
• SMTP Smuggling - Spoofing E-Mails Worldwide
• DOM-based race condition: racing in the browser for fun
• Metamask Snaps: Playing in the Sand
• You Are Not Where You Think You Are, Opera Browsers Address Bar Spoofing Vulnerabilities
• CVE-2022-4908: SOP bypass in Chrome using Navigation API
• Code Vulnerabilities Put Proton Mails at Risk

#hacking #pentest #bugbounty

🆕👾 Команда Bi.Zone раскрыла главные мотивы хакеров, атакующих российскую инфраструктуру

📌 Что к чему:

☑️ 76% хакеров, атакующих российские компании, движимы финансовой выгодой.
☑️ Среди них есть как опытные профессионалы, так и новички с низким уровнем подготовки.
☑️ Основной способ получения доступа — фишинг.
☑️ Для публикации сообщений об атаках и утечках данных активно используются Telegram-каналы

👉 И еще много интересного

#analytics #hacking #news

🥷🔥 Плейлист с видеозаписями докладов на DEF CON 32

87 выступлений и очень много интересных тем!

👉 Смотреть

#secevent #hacking

😵 0-day уязвимости в реальных атаках

На прошлой неделе подразделение Mandiant из Google выпустило отчет, в котором сделана попытка проанализировать реальную эксплуатацию уязвимостей в атаках. Это достаточно важная метрика: далеко не все уязвимости, информация о которых так или иначе становится доступной, могут быть эксплуатированы для нанесения реального ущерба. Исследователи ограничили анализ уязвимостями, обнародованными в 2023 году. Из них был выделен набор из 138 багов, которые использовались в реальных атаках.

Главный вывод: организаторы атак стали гораздо активнее использовать недавно обнаруженные уязвимости. Средний срок между появлением информации об уязвимости до начала ее эксплуатации для данного набора багов составил всего 5 дней. В предыдущем отчете за 2021 и 2022 годы этот показатель составлял 32 дня, а в начале 2021 года — и вовсе 44 дня. Более того, из 138 реально эксплуатируемых проблем в ПО 70% были впервые эксплуатированы до выпуска патчей.

👉 Подробнее

#hacking

🌐 Браузерный zero-day на сайте криптовалютной игры

На прошлой неделе в Индонезии прошла очередная конференция по кибербезопасности Security Analyst Summit, организованная «Лабораторией Касперского».

Один из ключевых докладов конференции был посвящен истории обнаружения уязвимости нулевого дня в браузере Google Chrome еще в мае этого года.

С помощью уязвимости атаковались посетители веб-сайта онлайн-игры, использующей инструменты децентрализованного финансирования. Подробный анализ двух уязвимостей, приводящих к выполнению произвольного кода на компьютере жертвы, также опубликован на сайте Securelist.

👉 Читать & Краткий обзор

#apt #hacking