🧰 6 расширений для Burp Suite, которые значительно упростят поиск багов:

1️⃣Turbo Intrumer: позволяет отправлять большое количество HTTP-запросов и анализировать результаты при выполнении атак, требующих чрезвычайной скорости или сложности.
2️⃣Retire.js: интегрирует Burp с репозиторием Retire.js для поиска уязвимых библиотек JavaScript.
3️⃣ActiveScan++: расширяет возможности активного и пассивного сканирования Burp, позволяя определять поведение приложений, которое может представлять интерес для опытных багхантеров.
4️⃣Autorize: помогает обнаружить уязвимости авторизации, одну из наиболее трудоемких задач в пентесте веб-приложений.
5️⃣Param Miner: идентифицирует скрытые, несвязанные параметры. Оно особенно полезно для поиска уязвимостей, связанных с отравлением веб-кэша.
6️⃣ JSON Beautifier/JSON Decoder: отображает JSON в удобочитаемом виде.

#tools #pentest #bugbounty

😎 Алексей Лямкин и Пётр Уваров: «ББусидо — путь багхантера»

Презентация экспертов VK на OFFZONE 2023 про рост багхантера и критичность найденных уязвимостей с примерами самостоятельного докручивания багов до высокого импакта.

#bugbounty

🤔 Вы только начинаете карьеру в ИБ и ищите подходящие вакансии?

ИБ-эксперт Денис Батранков рассказывает о том, cколько займет времени получить знания по темам, которые требуются в вакансиях по ИБ на hh.ru.

🕐Таймкоды:

00:00:46 SANS Top 20 Cybersecurity Professions
00:01:21 Вакансии на hh.ru и почему студенты могут им соответствовать
00:02:07 Вакансия стажера в КРОК
00:03:40 Вакансия, где требуется анализ кода
00:04:17 Рекомендую изучать Kubernetes
00:06:37 Курсы PT START в edu.ptsecurity.com у Positive Technologies
00:08:08 Вакансия, где надо знать SAST/DAST/IAST/RASP
00:12:56 Вакансия, где нужно знать уязвимости OWASP Top10 и реверс-инжиниринг
00:17:21 Вакансия, где нужно заниматься документами и законами
00:20:05 А сколько просить денег за свою работу?
00:20:52 Вакансия, где надо знать SaaS, IaaS, PaaS, FaaS, SecaaS
00:23:37 Что такое семиуровневая модель OSI ISO
00:30:20 Вакансия где надо знать SIEM и SOC
00:35:50 Вакансия SecDevOps и зачем вам Ansible и AWS
00:39:20 IPSEC стоит изучить всем
00:40:40 PKI стоит знать всем
00:42:58 Identity Management важная часть знаний
00:46:08 Вакансия в Read Team и про экзамен OSCP
00:47:12 Что такое Kill Chain, MITRE ATT&CK и TTP
00:49:08 Почему популярен DFIR
00:49:39 Что такое OSINT
00:51:04 Можно пойти в отдел маркетинга рассказывать про безопасность
00:51:38 Вакансия на 500000 рублей или почему стоит стать reverse инженером и что изучать
00:53:23 Можно стать пресейлом и там нужно уметь выступать

📌Материалы по теме:

🛤 Дорожная карта для специалиста по кибербезопасности
🛤 Дорожная карта для пентестеров и инженеров appsec
🕵 20 лучших ресурсов для обучения этичному хакингу в 2021 году

#career

🔥Любопытный райтап, посвященный получению прав админа через PassTheCert: прохождение HackTheBox Authority.

👉 Читать

#pentest #redteam

📖Взлом хешей. Полное руководство, версия 3.0

Вольный перевод на русский язык расширенного справочного руководства по методам и инструментам восстановления (взлома) паролей.

Руководство содержит синтаксис и примеры наиболее популярных инструментов для взлома хешей и сэкономит вам часы исследований в этом направлении.

#pentest #redteam

👩‍💻 Firefox для пентестера: гайд по настройке + обзор самых полезных расширений

◆ Wappalyzer
◆ Foxyproxy
◆ Hacktool
◆ Hackbar
◆ Tamper data
◆ User-agent Switcher
◆ Cookie editor
◆ Temp mail
◆ Built with

👉 Читать

#tools #pentest

🔎 Найти секреты в исходном коде — достаточно редкое явление в ходе пентеста. Но может быть вопрос в том, что вы плохо искали?

🛠Обратите внимание на инструмент TruffleHog, который активно поддерживается, обновляется и имеет несколько преимуществ по сравнению с другими подобными инструментами:

☑️Написан на Go
☑️Большая поддержка различных систем
☑️Встраивание в процессы CI/CD
☑️Высокая скорость работы и многое другое

👉 Читать обзор на русском

#tools #pentest #bugbounty #redteam