🎅Advent of Cyber — бесплатный челлендж для этичного хакера от TryHackMe. Каждый день в декабре будут публиковаться задания на различные интересные темы.

John Hammond уже показал первое задание, изучил на практике AI prompt injection и затронул темы других заданий.

#hacking #pentest #ctf

🔥 Открыта традиционная номинация десяти топовых техник веб-хакинга 2023 года

Многие из исследований содержат инновационные идеи, ожидающие, пока тот самый белый хакер адаптирует их и объединит в новые открытия в будущем.

📌 Вот как выглядит список на текущий момент:

• Ransacking your password reset tokens
• mTLS: When certificate authentication is done wrong
• Smashing the state machine: the true potential of web race conditions
• Bypass firewalls with of-CORs and typo-squatting
• RCE via LDAP truncation on hg.mozilla.org
• Cookie Bugs - Smuggling & Injection
• OAuth 2.0 Redirect URI Validation Falls Short, Literally
• Prototype Pollution in Python - Abdulrah33m's Blog
• Pretalx Vulnerabilities: How to get accepted at every conference
• From Akamai to F5 to NTLM... with love.
• can I speak to your manager? hacking root EPP servers to take control of zones
• Blind CSS Exfiltration: exfiltrate unknown web pages
• Compromising F5 BIGIP with Request Smuggling
• Server-side prototype pollution: Black-box detection without the DoS
• Tricks for Reliable Split-Second DNS Rebinding in Chrome and Safari
• HTML Over the Wire
• SMTP Smuggling - Spoofing E-Mails Worldwide
• DOM-based race condition: racing in the browser for fun
• Metamask Snaps: Playing in the Sand
• You Are Not Where You Think You Are, Opera Browsers Address Bar Spoofing Vulnerabilities
• CVE-2022-4908: SOP bypass in Chrome using Navigation API
• Code Vulnerabilities Put Proton Mails at Risk

#hacking #pentest #bugbounty

🆕👾 Команда Bi.Zone раскрыла главные мотивы хакеров, атакующих российскую инфраструктуру

📌 Что к чему:

☑️ 76% хакеров, атакующих российские компании, движимы финансовой выгодой.
☑️ Среди них есть как опытные профессионалы, так и новички с низким уровнем подготовки.
☑️ Основной способ получения доступа — фишинг.
☑️ Для публикации сообщений об атаках и утечках данных активно используются Telegram-каналы

👉 И еще много интересного

#analytics #hacking #news

🥷🔥 Плейлист с видеозаписями докладов на DEF CON 32

87 выступлений и очень много интересных тем!

👉 Смотреть

#secevent #hacking

😵 0-day уязвимости в реальных атаках

На прошлой неделе подразделение Mandiant из Google выпустило отчет, в котором сделана попытка проанализировать реальную эксплуатацию уязвимостей в атаках. Это достаточно важная метрика: далеко не все уязвимости, информация о которых так или иначе становится доступной, могут быть эксплуатированы для нанесения реального ущерба. Исследователи ограничили анализ уязвимостями, обнародованными в 2023 году. Из них был выделен набор из 138 багов, которые использовались в реальных атаках.

Главный вывод: организаторы атак стали гораздо активнее использовать недавно обнаруженные уязвимости. Средний срок между появлением информации об уязвимости до начала ее эксплуатации для данного набора багов составил всего 5 дней. В предыдущем отчете за 2021 и 2022 годы этот показатель составлял 32 дня, а в начале 2021 года — и вовсе 44 дня. Более того, из 138 реально эксплуатируемых проблем в ПО 70% были впервые эксплуатированы до выпуска патчей.

👉 Подробнее

#hacking

🌐 Браузерный zero-day на сайте криптовалютной игры

На прошлой неделе в Индонезии прошла очередная конференция по кибербезопасности Security Analyst Summit, организованная «Лабораторией Касперского».

Один из ключевых докладов конференции был посвящен истории обнаружения уязвимости нулевого дня в браузере Google Chrome еще в мае этого года.

С помощью уязвимости атаковались посетители веб-сайта онлайн-игры, использующей инструменты децентрализованного финансирования. Подробный анализ двух уязвимостей, приводящих к выполнению произвольного кода на компьютере жертвы, также опубликован на сайте Securelist.

👉 Читать & Краткий обзор

#apt #hacking