#tips #burpsuite #bugbounty
10 полезных советов по работе с Burp Suite: https://proglib.io/w/1ebb2676
10 полезных советов по работе с Burp Suite: https://proglib.io/w/1ebb2676
Medium
Top 10 Tips for Burp Suite
Collection of useful features in Burp Suite Application
Ищете работу в ИТ и устали ежедневно просматривать десятки сайтов? Подписывайтесь в Telegram на наши каналы с вакансиями!
«Библиотека программиста» отобрала для вас лучшие на российском рынке труда предложения по разным направлениям: Go, Python, C#/C/C++, Java, JavaScript, PHP, Data Science, Quality Assurance, DevOps, мобильной разработке и другим непонятным аббревиатурам и сокращениям.
Здесь вы получите актуальную информацию первыми:
@pydevjob
@jsdevjob
@csharpdevjob
@javadevjob
@datajob
@phpdevjob
@godevjob
@mobiledevjob
@cppdevjob
@testerrjob
@devopssjob
Узнавайте о самых интересных вакансиях без лишних телодвижений!
«Библиотека программиста» отобрала для вас лучшие на российском рынке труда предложения по разным направлениям: Go, Python, C#/C/C++, Java, JavaScript, PHP, Data Science, Quality Assurance, DevOps, мобильной разработке и другим непонятным аббревиатурам и сокращениям.
Здесь вы получите актуальную информацию первыми:
@pydevjob
@jsdevjob
@csharpdevjob
@javadevjob
@datajob
@phpdevjob
@godevjob
@mobiledevjob
@cppdevjob
@testerrjob
@devopssjob
Узнавайте о самых интересных вакансиях без лишних телодвижений!
#pentest #bugbounty
GraphQL — язык запросов для API с открытым исходным кодом, который создавался как более эффективная альтернатива REST. GraphQL предоставляет полное и понятное описание данных в API, дает пользователям возможность запрашивать именно то, что им нужно, и не более того, упрощает развитие API с течением времени и предоставляет мощные инструменты разработчика.
GraphQL был разработан внутри Facebook в 2012 году до публичного выпуска в 2015 году. В 2018 году проект GraphQL был перенесен из Facebook в недавно созданный GraphQL Foundation. Такая популярность только подогревает интерес со стороны специалистов по ИБ.
О пентесте приложений с GraphQL можно почитать материал от Digital Security или специалистов Mail.ru Group, которые описали инструмент для тестирования GraphQL API. С его помощью можно увидеть полную картину и понять, как использовать GraphQL API. Прокачать практические навыки в пентесте GraphQL API можно с помощью уязвимого приложения.
GraphQL — язык запросов для API с открытым исходным кодом, который создавался как более эффективная альтернатива REST. GraphQL предоставляет полное и понятное описание данных в API, дает пользователям возможность запрашивать именно то, что им нужно, и не более того, упрощает развитие API с течением времени и предоставляет мощные инструменты разработчика.
GraphQL был разработан внутри Facebook в 2012 году до публичного выпуска в 2015 году. В 2018 году проект GraphQL был перенесен из Facebook в недавно созданный GraphQL Foundation. Такая популярность только подогревает интерес со стороны специалистов по ИБ.
О пентесте приложений с GraphQL можно почитать материал от Digital Security или специалистов Mail.ru Group, которые описали инструмент для тестирования GraphQL API. С его помощью можно увидеть полную картину и понять, как использовать GraphQL API. Прокачать практические навыки в пентесте GraphQL API можно с помощью уязвимого приложения.
#security
Руководство по предотвращению SQL-инъекций и других уязвимостей в приложениях на PHP.
https://proglib.io/w/dcbbe44a
Руководство по предотвращению SQL-инъекций и других уязвимостей в приложениях на PHP.
https://proglib.io/w/dcbbe44a
#pentest #redteam
Разбираем современные техники повышения привилегий в Windows:
- Повышение привилегий, возникающее из-за наличия доступного для записи каталога в переменной окружения
- Повышение привилегий на основе RBCD (resource-based constrained delegation)
Разбираем современные техники повышения привилегий в Windows:
- Повышение привилегий, возникающее из-за наличия доступного для записи каталога в переменной окружения
- Повышение привилегий на основе RBCD (resource-based constrained delegation)
Praetorian
Red Team Local Privilege Escalation - Writable SYSTEM Path Privilege Escalation - Part 1 -
Two Windows local privilege escalation vulnerabilities are commonly identified during red team exercises. These issues are of particular interest due to their prevalence within organizations with mature security programs.
Хотим сделать классную онлайн-школу с интересными спикерами и отзывчивыми менторами по программированию, data science и разработке игр. Какое(-ие) название(-я) вам нравится(-ятся) больше всего?
Anonymous Poll
16%
proglib.courses
5%
progcourses
51%
proglib.academy
4%
progtuts
20%
proglib.school
10%
progschool
12%
без разницы/все названия нормальные
7%
никакое не понравилось/предложу свое
#forensic
Форензика (компьютерная криминалистика, расследование киберпреступлений) представляет собой прикладную науку о раскрытии преступлений, связанных с компьютерной информацией, об исследовании цифровых доказательств, методах поиска, получения и закрепления таких доказательств.
Форензика является одной из самых интересных и сложных сфер ИБ, особенно с учетом повышения востребованности специалистовв по реагированию на инциденты. Подборка полезных ресурсов по форензике собрана в данной статье. А здесь представлена кладезь полезной информации по цифровой криминалистике и реагированию на инциденты.
Форензика (компьютерная криминалистика, расследование киберпреступлений) представляет собой прикладную науку о раскрытии преступлений, связанных с компьютерной информацией, об исследовании цифровых доказательств, методах поиска, получения и закрепления таких доказательств.
Форензика является одной из самых интересных и сложных сфер ИБ, особенно с учетом повышения востребованности специалистовв по реагированию на инциденты. Подборка полезных ресурсов по форензике собрана в данной статье. А здесь представлена кладезь полезной информации по цифровой криминалистике и реагированию на инциденты.
SecurityLab.ru
Немного ресурсов по форензике (практика расследования кибер-преступлений)
Небольшая подборка ключевых фундаментальных ресурсов по теме цифровой форензики (digital forensic) - искусству расследования кибер-преступлений
Хотите больше мемов от пикчера Библиотеки программиста? Подписывайтесь: @itmemlib
#pentest #bugbounty
А вы задумываетесь о безопасности пакета, который устанавливаете для своего проекта с помощью pip / npm или других инструментов? Alex Birsan рассказывает о том, как слепая вера в источник пакета может быть использована злоумышленниками.
https://proglib.io/w/9bf59ded
Перевод
А вы задумываетесь о безопасности пакета, который устанавливаете для своего проекта с помощью pip / npm или других инструментов? Alex Birsan рассказывает о том, как слепая вера в источник пакета может быть использована злоумышленниками.
https://proglib.io/w/9bf59ded
Перевод
Medium
Dependency Confusion: How I Hacked Into Apple, Microsoft and Dozens of Other Companies
The Story of a Novel Supply Chain Attack
Правильный тон задает сообщество и разработчики языка Go в плане безопасности. Так, недавно вышел черновой вариант базы данных уязвимостей Go, который представил описание записей об известных уязвимостях импортируемых (неосновных) пакетов Go в общедоступных модулях 👇.
Forwarded from Библиотека Go-разработчика | Golang
Черновой вариант базы данных уязвимостей Go
Представлен документ, содержащий записи об известных уязвимостях импортируемых (неосновных) пакетов Go в общедоступных модулях, которые будет включать база данных. Данная база данных должна предоставить разработчикам Go надежный способ оповещения об известных недостатках безопасности, влияющих на их приложения.
https://proglib.io/w/d94002bd
Представлен документ, содержащий записи об известных уязвимостях импортируемых (неосновных) пакетов Go в общедоступных модулях, которые будет включать база данных. Данная база данных должна предоставить разработчикам Go надежный способ оповещения об известных недостатках безопасности, влияющих на их приложения.
https://proglib.io/w/d94002bd
#security
Если вы когда-нибудь задумывались, как OAuth 2.0 работает «под капотом» — посмотрите это. Автор статьи рассматривает все потоки OAuth 2.0 с использованием простых и понятных файлов GIF, а также короткого текстового описания.
Если вы когда-нибудь задумывались, как OAuth 2.0 работает «под капотом» — посмотрите это. Автор статьи рассматривает все потоки OAuth 2.0 с использованием простых и понятных файлов GIF, а также короткого текстового описания.
DEV Community
🔑 OAuth 2.0 flows explained in GIFs
In this post, we will be covering all OAuth 2.0 flows using GIFs that are simple and easier to unders...
#pentest #bugbounty
От ошибки 500 Internal Server Error до захвата учетной записи
В статье описан путь, который исследователь прошел для захвата пользовательского аккаунта, используя обход Cloudflare WAF и Content Security Policy, а также Google Analytics для извлечения токенов сеанса.
https://proglib.io/w/e522091c
От ошибки 500 Internal Server Error до захвата учетной записи
В статье описан путь, который исследователь прошел для захвата пользовательского аккаунта, используя обход Cloudflare WAF и Content Security Policy, а также Google Analytics для извлечения токенов сеанса.
https://proglib.io/w/e522091c
Sensepost
SensePost | From 500 to account takeover
Leaders in Information Security
#pentest
Writeup Test lab 15 от Pentestit под кодовым названием «Who is the n0v1ch0k».
Напомним, что ребята делают уникальные лаборатории, которые позволяют закрепить навыки в тестировании на проникновение на практике. Ранее мы публиковали ссылки на описание решений предыдущих лабораторий.
Writeup Test lab 15 от Pentestit под кодовым названием «Who is the n0v1ch0k».
Напомним, что ребята делают уникальные лаборатории, которые позволяют закрепить навыки в тестировании на проникновение на практике. Ранее мы публиковали ссылки на описание решений предыдущих лабораторий.
DefconRU
Test lab 15 writeup: как вам н0в1ч0к?
15-го марта 2021 г. мы запустили пятнадцатую по счёту лабораторию тестирования на проникновение Test lab под кодовым названием названием: Who is the n0v1ch0k?
#pentest #bugbounty
С появлением NodeJS JavaScript приобрел популярность как серверный язык, что при худшем раскладе позволяет злоумышленнику потенциально выполнить произвольный код в контексте сервера и взаимодействовать с файловой системой.
Не стоит также забывать про отказ в обслуживании, реализованный путем остановки процесса или входа в бесконечный цикл, т. к. NodeJS работает в одном потоке. Давайте разберемся, из-за чего возникают данные уязвимости, как их проэксплуатировать и как защититься.
https://proglib.io/w/6146ba12
С появлением NodeJS JavaScript приобрел популярность как серверный язык, что при худшем раскладе позволяет злоумышленнику потенциально выполнить произвольный код в контексте сервера и взаимодействовать с файловой системой.
Не стоит также забывать про отказ в обслуживании, реализованный путем остановки процесса или входа в бесконечный цикл, т. к. NodeJS работает в одном потоке. Давайте разберемся, из-за чего возникают данные уязвимости, как их проэксплуатировать и как защититься.
https://proglib.io/w/6146ba12
Secforce
Server Side JavaScript Injection
What? The Gist of It Let’s first start by explaining some core concepts necessary to understand the security implications of Server Side JavaScript Injection:
JavaScript - JavaScript is a programming language on its own right. However, it is normally associated…
JavaScript - JavaScript is a programming language on its own right. However, it is normally associated…
#bugbounty #writeup
Очередной отчет о найденном баге в инфраструктуре Facebook. На этот раз исследователь выявил ошибку, которая позволяет захватить учетные записи Facebook / Instagram из-за отсутствия проверки URL-пути в параметре fallbackredirecturi, указанном в конечных точках потока OAuth.
Суммарный профит от Bug Bounty программы — 42 000💲.
https://proglib.io/w/cb42fd2f
Очередной отчет о найденном баге в инфраструктуре Facebook. На этот раз исследователь выявил ошибку, которая позволяет захватить учетные записи Facebook / Instagram из-за отсутствия проверки URL-пути в параметре fallbackredirecturi, указанном в конечных точках потока OAuth.
Суммарный профит от Bug Bounty программы — 42 000💲.
https://proglib.io/w/cb42fd2f
#security
Неправильная обработка email-адреса может сыграть ключевую роль в безопасности приложения. Давайте разберёмся, какой должна быть правильная логика проверки электронной почты.
https://proglib.io/w/7382ff10
Неправильная обработка email-адреса может сыграть ключевую роль в безопасности приложения. Давайте разберёмся, какой должна быть правильная логика проверки электронной почты.
https://proglib.io/w/7382ff10
www.netmeister.org
Your E-Mail Validation Logic is Wrong
Nope,
you don't know how to validate an email address. Even
if you think you'd get the domain part right,
fuggeddabout the local part. Seriously.
you don't know how to validate an email address. Even
if you think you'd get the domain part right,
fuggeddabout the local part. Seriously.
#pentest #bugbounty #security
Небезопасная десериализация: понимание и выявление.
https://proglib.io/w/1680205f
Небезопасная десериализация: понимание и выявление.
https://proglib.io/w/1680205f
Medium
Understanding & Identifying Insecure Deserialization Vulnerabilities
This post explains the nitty-gritty of Insecure Deserialization Vulnerabilities. We will be covering basic understanding and…
#security
Николай Мозговой (разработчик и ментор в Sigma Software) знакомит читателей с основными понятиями информационной безопасности для разработчиков.
https://proglib.io/w/12c121f4
Николай Мозговой (разработчик и ментор в Sigma Software) знакомит читателей с основными понятиями информационной безопасности для разработчиков.
https://proglib.io/w/12c121f4
ДОУ
Шпаргалка по кибербезопасности для разработчиков
Вопрос кибербезопасности должен быть предметом особого внимания не только для экспертов, но и для рядовых разработчиков. Однако не каждый проект может позволить себе отдельного специалиста по безопасности, поэтому весьма вероятно, что нести это бремя придется…
#bugbounty #security
nOtWASP bottom 10
Михаил Степанкин из PortSwigger подготовил полезный для любого исследователя безопасности список из 10 уязвимостей, которые просто не имеют смысла.
Информация для данного списка взята из многочисленных отчетов о пентестах и результатов поиска ошибок в рамках программ Bug Bounty, которые исследователи публикуют в надежде получить вознаграждение.
https://proglib.io/w/4b14251c
nOtWASP bottom 10
Михаил Степанкин из PortSwigger подготовил полезный для любого исследователя безопасности список из 10 уязвимостей, которые просто не имеют смысла.
Информация для данного списка взята из многочисленных отчетов о пентестах и результатов поиска ошибок в рамках программ Bug Bounty, которые исследователи публикуют в надежде получить вознаграждение.
https://proglib.io/w/4b14251c
PortSwigger Research
nOtWASP bottom 10: vulnerabilities that make you cry
Everyone's heard of the OWASP Top 10 - the often-cited list of major threats that every web developer should be conscious of. But if you cast your gaze across pentest reports and bug bounty findings,