🎯 Когда вы сосредоточиваетесь на чем-то одном при поиске багов, получаются весьма любопытные результаты.
Так, автор статьи начал исследовать широко используемый фреймворк Next.js и нашел несколько багов, связанных с отравлением кэша:
🔸 Уязвимость с x-middleware-prefetch
🔸 Уязвимость с React Server Component и CDN
🔸 Уязвимость с внутренним заголовком x-invoke-status
#writeup #bugbounty #pentest
Так, автор статьи начал исследовать широко используемый фреймворк Next.js и нашел несколько багов, связанных с отравлением кэша:
🔸 Уязвимость с x-middleware-prefetch
🔸 Уязвимость с React Server Component и CDN
🔸 Уязвимость с внутренним заголовком x-invoke-status
#writeup #bugbounty #pentest
Forwarded from Proglib.academy | IT-курсы
В 2024 году IT-специалисты остаются на пике популярности. Но стоит ли вам становиться одним из них? Рассмотрим основные аргументы, чтобы понять, стоит ли вам становиться IT-специалистом в нашей статье.
Please open Telegram to view this post
VIEW IN TELEGRAM
✍️ «Библиотека программиста» находится в поиске автора на написание книжных рецензий
Кто нужен?
● Энтузиасты (джуны и выше), которые которые разбираются в IT
● Любители книг, которые хотели бы получать деньги за чтение и написание рецензий
● Работаем с самозанятыми (компенсируем налог), ИП
Мы предлагаем частичную занятость и полностью удаленный формат работы — можно совмещать с основной и находиться в любом месте🌴
✉️ Станьте частью нашей команды — присылайте резюме и примеры работ hello@proglib.io
Кто нужен?
● Энтузиасты (джуны и выше), которые которые разбираются в IT
● Любители книг, которые хотели бы получать деньги за чтение и написание рецензий
● Работаем с самозанятыми (компенсируем налог), ИП
Мы предлагаем частичную занятость и полностью удаленный формат работы — можно совмещать с основной и находиться в любом месте🌴
✉️ Станьте частью нашей команды — присылайте резюме и примеры работ hello@proglib.io
🤔 Что не так с этим HTTP-ответом?
В заголовке отсутствует атрибут💰
👉 Читать
#pentest #research #bugbounty
В заголовке отсутствует атрибут
charset. Звучит не так уж и важно, однако это можно использовать для внедрения произвольного JavaScript-кода путем сознательного изменения набора символов, который предполагает браузер. Команда SonarSource выступала на конференции с этой темой, а под катом — текстовая расшифровка доклада👉 Читать
#pentest #research #bugbounty
Please open Telegram to view this post
VIEW IN TELEGRAM
HR-команда KnowBe4 наняла инженера (пока ничего удивительного). Как только он получил по почте свой рабочий Mac, SOC засветился как рождественская елка из-за загружаемых вредоносов.
Оказалось, что на самом деле это был северокорейский хакер, использовавший действительную, но украденную личность и фотографию, улучшенную с помощью ИИ 🤷♂️
👉 Подробнее
#incidentresponse
Please open Telegram to view this post
VIEW IN TELEGRAM
🔍 Если в ходе пентеста/багбаунти вы нашли домен Docker Registry (подсказка: HTTP-заголовок Docker-Distribution-Api-Version: registry/2.0) , обязательно проверьте эндпоинт /v2/_catalog.
По умолчанию он не требует аутентификацию и позволяет раскрыть конфиденциальные данные. Ниже — пруфы и инструмент для автоматизация.
🥷 Эксплуатация Docker Registry
🛠 DockerRegistryGrabber
#pentest #tools #writeup #bugbounty
По умолчанию он не требует аутентификацию и позволяет раскрыть конфиденциальные данные. Ниже — пруфы и инструмент для автоматизация.
🥷 Эксплуатация Docker Registry
🛠 DockerRegistryGrabber
#pentest #tools #writeup #bugbounty
Please open Telegram to view this post
VIEW IN TELEGRAM
Please open Telegram to view this post
VIEW IN TELEGRAM
🔥 Продвинутые методы эксплуатации SQL-инъекций от nav1n0x
Шпаргалка с техниками, которые выходят за рамки основ и используют определенные функции и конфигурации баз данных.
👉 Прокачаться в эксплуатации SQL-инъекций
#bugbounty #pentest #cheatsheets
Шпаргалка с техниками, которые выходят за рамки основ и используют определенные функции и конфигурации баз данных.
👉 Прокачаться в эксплуатации SQL-инъекций
#bugbounty #pentest #cheatsheets
☑️ повысить эффективность сбора памяти и форензики, предоставив централизованное, визуальное и улучшенное веб-приложение;
☑️ позволить пользователям собирать техническую информацию, которую впоследствии можно импортировать в современные платформы Cyber Threat Intelligence.
Please open Telegram to view this post
VIEW IN TELEGRAM
Какой у вас уровень английского?
Anonymous Poll
19%
Не знаю английский/элементарный уровень
47%
Средний: немного говорю, могу смотреть и читать несложные материалы
21%
Высокий: читаю, смотрю сериалы и уроки, все понимаю
9%
Идеальный: могу работать на английском и свободно говорю
0%
Свой вариант (напишу в комментариях)
4%
Посмотреть результаты
🧑💻 Статьи для IT: как объяснять и распространять значимые идеи
Напоминаем, что у нас есть бесплатный курс для всех, кто хочет научиться интересно писать — о программировании и в целом.
Что: семь модулей, посвященных написанию, редактированию, иллюстрированию и распространению публикаций.
Для кого: для авторов, копирайтеров и просто программистов, которые хотят научиться интересно рассказывать о своих проектах.
👉Материалы регулярно дополняются, обновляются и корректируются. А еще мы отвечаем на все учебные вопросы в комментариях курса.
Напоминаем, что у нас есть бесплатный курс для всех, кто хочет научиться интересно писать — о программировании и в целом.
Что: семь модулей, посвященных написанию, редактированию, иллюстрированию и распространению публикаций.
Для кого: для авторов, копирайтеров и просто программистов, которые хотят научиться интересно рассказывать о своих проектах.
👉Материалы регулярно дополняются, обновляются и корректируются. А еще мы отвечаем на все учебные вопросы в комментариях курса.
🎙 Новый выпуск Responsible Disclosure Podcast: Андрей 4lemon Леонов — 40k$ от Facebook* за одну уязвимость, дают ли хакерам американские визы?
⏳ Таймкоды:
03:46 C чего начинался интерес к информационной безопасности
09:09 Первые выплаты во времена, когда еще не существовали баг баунти платформы
19:14 Работа в Positive Technologies
22:43 Случайная узяивомсть в Facebook на 40k$ за 3 часа
27:07 Куда тратились приятные выплаты за уязвимости?
37:33 Начало работы в компании и постепенный уход от баг баунти
42:46 AI наступает на пятки исследователям?
47:38 Отношение к сертификациям и их необходимость
50:44 Как сохранить интерес к работе и не выгореть
53:28 Дают ли хакерам визы? Сколько нужно ждать визу в США?
58:04 Напутствия и пожелания исследователям и тем, кто интересуется информационной безопасностью.
#podcasts #bugbounty #infosec
*Организация Meta запрещена на территории РФ
⏳ Таймкоды:
03:46 C чего начинался интерес к информационной безопасности
09:09 Первые выплаты во времена, когда еще не существовали баг баунти платформы
19:14 Работа в Positive Technologies
22:43 Случайная узяивомсть в Facebook на 40k$ за 3 часа
27:07 Куда тратились приятные выплаты за уязвимости?
37:33 Начало работы в компании и постепенный уход от баг баунти
42:46 AI наступает на пятки исследователям?
47:38 Отношение к сертификациям и их необходимость
50:44 Как сохранить интерес к работе и не выгореть
53:28 Дают ли хакерам визы? Сколько нужно ждать визу в США?
58:04 Напутствия и пожелания исследователям и тем, кто интересуется информационной безопасностью.
#podcasts #bugbounty #infosec
*Организация Meta запрещена на территории РФ
🔥 Методология багхантинга Katie Paxton-Fear
Katie — преподаватель по кибербезу в Manchester Metropolitan University и начинающий исследователь в области безопасности.
На видео вас ждет уникальная методология Katie, которая отлично работает в её практике. Очень важно изучить множество успешных подходов и выбрать то, что подходит именно вам.
📺 Смотреть
#bugbounty
Katie — преподаватель по кибербезу в Manchester Metropolitan University и начинающий исследователь в области безопасности.
На видео вас ждет уникальная методология Katie, которая отлично работает в её практике. Очень важно изучить множество успешных подходов и выбрать то, что подходит именно вам.
📺 Смотреть
#bugbounty
🍒 Подборка лучших статей «Библиотеки программиста» за июль: сохраняй в заметки, чтобы не пропустить #самыйсок
🤖 Создание собственного ИИ-бота на Python за 33 строчки кода
🆚 Docker или Podman: что лучше подойдет для вашего проекта
🏅🏃 Кто такие Junior, Middle, Senior и чем они различаются между собой
🎓 Как я перешел из математиков в аналитики данных
🏝️ Решаем очень сложную SQL-задачу об островах и проливах
🚩 Как понять, что с компанией точно что-то не так: 11 красных флагов на собеседовании
🤤 Жадные алгоритмы: все, что нужно знать для собеседования
💬😊 Как найти общий язык с коллегами на новой работе: 11 простых советов
🤔 Инварианты: проектирование эффективных алгоритмов
🐬🐘 PostgreSQL или MySQL: что лучше подойдет для вашего проекта
🐛 5 признаков неопытного разработчика: как избежать типичных ошибок и ускорить профессиональный рост
🏃 Самоучитель по Go для начинающих. Часть 14
🆕 JavaScript эволюционирует: новые методы и функции для эффективной разработки
🤖 Создание собственного ИИ-бота на Python за 33 строчки кода
🆚 Docker или Podman: что лучше подойдет для вашего проекта
🏅🏃 Кто такие Junior, Middle, Senior и чем они различаются между собой
🎓 Как я перешел из математиков в аналитики данных
🏝️ Решаем очень сложную SQL-задачу об островах и проливах
🚩 Как понять, что с компанией точно что-то не так: 11 красных флагов на собеседовании
🤤 Жадные алгоритмы: все, что нужно знать для собеседования
💬😊 Как найти общий язык с коллегами на новой работе: 11 простых советов
🤔 Инварианты: проектирование эффективных алгоритмов
🐬🐘 PostgreSQL или MySQL: что лучше подойдет для вашего проекта
🐛 5 признаков неопытного разработчика: как избежать типичных ошибок и ускорить профессиональный рост
🏃 Самоучитель по Go для начинающих. Часть 14
🆕 JavaScript эволюционирует: новые методы и функции для эффективной разработки
🛡 Под видом Google Authenticator распространяется инфостилер DeerStealer
🤦♂️ Google снова стала жертвой собственной рекламной платформы. Разберем по шагам:
☑️ Злоумышленники создают объявления с рекламой фальшивого приложения Google Authenticator, под видом которого распространяют малварь DeerStealer.
☑️ При клике на фальшивое объявление посетитель проходит через серию перенаправлений, а в итоге попадает на целевую страницу chromeweb-authenticators.com, которая выдает себя за подлинный портал Google.
☑️ При нажатии на кнопку Download Authenticator происходит загрузка подписанного исполняемого файла с именем Authenticator.exe (подписан компанией Songyuan Meiying Electronic Products Co., Ltd.), размещенного на GitHub.
☑️ В итоге в системе пользователя разворачивается малварь DeerStealer, ворующая учетные данные, файлы cookie и другую информацию, хранящуюся в браузере.
👉 Источник
#security
🤦♂️ Google снова стала жертвой собственной рекламной платформы. Разберем по шагам:
☑️ Злоумышленники создают объявления с рекламой фальшивого приложения Google Authenticator, под видом которого распространяют малварь DeerStealer.
☑️ При клике на фальшивое объявление посетитель проходит через серию перенаправлений, а в итоге попадает на целевую страницу chromeweb-authenticators.com, которая выдает себя за подлинный портал Google.
☑️ При нажатии на кнопку Download Authenticator происходит загрузка подписанного исполняемого файла с именем Authenticator.exe (подписан компанией Songyuan Meiying Electronic Products Co., Ltd.), размещенного на GitHub.
☑️ В итоге в системе пользователя разворачивается малварь DeerStealer, ворующая учетные данные, файлы cookie и другую информацию, хранящуюся в браузере.
👉 Источник
#security