​#devsecops

Как мы выяснили, непрерывная безопасность охватывает следующие категории:
- Безопасность на основе тестирования,
- Мониторинг и реагирование на атаки (ч. 1 и ч. 2),
- Оценка рисков и усиление безопасности.

Последняя категория в большей степени относится к человеческому фактору, однако при правильном подходе автоматизировать можно любой процесс, поэтому верный подход к управлению рисками должен преследовать следующие цели:
- оценка рисков должна проводиться в пределах небольших итераций, а также максимально часто и быстро;
- приоритет должен быть отдан задачам, которые ориентированы на DevOps;
- оценка рисков должна производиться в рамках команд по безопасности и эксплуатации.

Что касается усиления безопасности или регулярного тестирования безопасности, то оно представляет собой процесс, который внедряется в жизненный цикл продукта, чтобы оказать нагрузку на меры безопасности и смоделировать поведение атакующего.

Традиционно тестирование безопасности включает три области:
- оценку безопасности приложений и инфраструктуры изнутри посредством сканирования уязвимостей, фаззинга, статического анализа кода или контроля конфигурации;
- использование услуг сторонних фирм для проверки безопасности основных сервисов;
- запуск Bug Bounty программ.

#CVE #poc

CVE-2020-27955

Очередная 🚀 от небезызвестного исследователя Dawid Golunski. На этот раз Git <= 2.29.2 подвержен критической уязвимости через расширение git-lfs, которое позволяет удаленным
злоумышленникам выполнять произвольный код в системе Windows после
операции клонирования.

Git LFS (Large File Storage) — расширение Git с открытым исходным кодом для управления версиями больших файлов. Оно заменяет большие файлы (аудио, видео, наборы данных и графику) текстовыми указателями внутри Git, сохраняя при этом содержимое файла на удаленном сервере, например GitHub.com или GitHub Enterprise.

Описание: https://proglib.io/w/e3af1696

Акцент на имени исследователя вначале был сделан не случайно. Так, Dawid Golunski ранее находил уязвимости высокой степени критичности в MySQL, WordPress, Wget, SquirrelMail, Zend Framework и т.д. Список также можно увидеть на его сайте.

#pentest #redteam

Root Me — онлайн-платформа, предлагающая более 350 задач и более 130 виртуальных сред, позволяющих применить на практике и проверить свои навыки взлома в различных сценариях. Бросьте вызов своим навыкам взлома!

​#pentest

🔎 Исследователи из Positive Technologies постоянно радуют различными руководствами, результатами исследований, а также интересными и неочевидными находками. На этот раз актуальное руководство от PT SWARM по внедрению SQL-кода. И не где-нибудь, а в Microsoft SQL Server.

https://proglib.io/w/b44b7488

#hacktivity #writeup

DOM Based XSS с помощью postMessage в Facebook

Напомню, что XSS на основе DOM (DOM XSS) возникает, когда приложение содержит некоторый клиентский JavaScript, который обрабатывает данные из ненадежного источника небезопасным способом, обычно путем записи данных обратно в DOM.

Не так давно исследователь Youssef Sammouda обнаружил две уязвимости, первая из которых позволяла злоумышленнику отправлять сообщения из разных источников с помощью метода postMessage из домена facebook.com. Уязвимый endpoint принимает контролируемый пользователем контент в параметрах запроса и создает объект с данными, предоставленными для отправки с postMessage в окно открытия.

Вторая уязвимость связана с предыдущей и заключается в том, что сценарий небезопасно создает и отправляет форму на основе данных, полученных в сообщениях через Eventlistener.

А самое главное, что все подробно описано и наглядно показано. К слову, на данном сайте исследователь описывает все уязвимости, которые он нашел в рамках программы Bug Bounty от Facebook.

Если вы не знакомы с XSS, а уж тем более с DOM XSS, то ставьте 🤔.

#pentest #practice

XSS-атака

Почему межсайтовое выполнение сценариев или межсайтовый скриптинг (XSS, англ. Cross-Site Scripting) правильнее называть атакой, а не уязвимостью? Дело в том, что XSS является лишь одним из возможных способов эксплуатации уязвимости определенного класса.

Подробнее можно ознакомиться с довольно качественной статьей на хабре. Не обращайте внимание на год, ведь тема не теряет свою актуальность.

Так что это за зверь такой, XSS-атака? XSS позволяет злоумышленнику внедрить вредоносный код на страницу веб-приложения и отправить его обратно в браузер пользователя, где этот код будет выполнен. Причиной этому являются доверительные отношения разработчика приложения к входным данным или некорректная фильтрация входных данных.

Разновидности XSS-атак:

✔️Постоянная (хранимая) XSS, при которой вредоносный код хранится на стороне сервера (например, в базе данных) и отдается каждому пользователю, посещающему зараженную страницу
✔️Непостоянная (отраженная) XSS, при которой пользователю необходимо посетить специально сформированную ссылку
✔️XSS в DOM-модели, которая возникает на стороне клиента во время обработки данных внутри JavaScript сценария.

Подробнее с каждой разновидностью ознакомимся в следующих постах, а сейчас вы можете попрактиковаться на тестовых лабораториях от компании PortSwigger. Переходите по каждой кликабельной ссылке и повышайте мастерство эксплуатации XSS-атак.👇

https://proglib.io/w/8831f5f0

#OSINT

Мы с вами рассматривали тему OSINT и разбирались с инструментами, которые можно использовать для автоматизации работы. Кроме того, на канале приводились специальные ключевые слова (дорки) для поисковой системы Google, которые позволяют отфильтровать ненужные результаты поиска и отыскать только то, что вас интересует.

Сегодняшний материал позволит поставить все на свои места. В статье приводятся источники и инструменты OSINT, методы сбора информации при проведении OSINT, ссылки на обучающие материалы и многое другое.

https://proglib.io/sh/qx6W2tumAo

#pentest #redteam #book

Black Hat Python: Python Programming for Hackers and Pentesters 1st Edition (2015)

Автор: Justin Seitz

Специалисты по ИБ выбирают Python, когда появляется необходимость в создании инструментов автоматизации, которые включают в себя всевозможные фаззеры, прокси и даже эксплойты.

Если вы заинтересованы в решении задач информационной безопасности, Python — отличный язык для изучения по многим причинам. Теперь, если бы разработчики Metasploit одумались и перешли с Ruby на Python, сообщество было бы единым.

Книга включает пошаговые инструкции о том, как:
✔️читать и писать сетевые пакеты;
✔️сканировать сеть;
✔️автоматизировать такие задачи, как кейлоггинг и снятие скриншотов;
✔️защищать приложений от взлома и атак;
✔️писать вирусы и защищать от них свои приложения;
✔️повышать привилегии и писать инструменты, которые могут понадобиться для аудита и атак на веб-приложения /инфраструктуру.

Кроме того, книга отлично подойдёт как веб-разработчикам, так и разработчикам сетевых приложений.

Подписывайтесь на наш основной канал @proglibrary, чтобы не пропускать новые статьи и квизы!

#bugbounty #pentest #recon

Прокачиваем знания и навыки в Bug Bounty и разведке с помощью четвёртого издания Bug Hunter's Methodology (3е издание).

Видео

#pentest

Подделка запросов на стороне сервера (Server-side request forgery, SSRF) — это веб-уязвимость, которая предоставляет злоумышленнику возможность отправлять запросы от имени скомпрометированного хоста.

Успешная атака SSRF часто может привести к несанкционированным действиям или доступу к данным внутри организации либо в самом уязвимом приложении, либо в других серверных системах, с которыми приложение может взаимодействовать. В некоторых ситуациях уязвимость SSRF может позволить злоумышленнику выполнить произвольное выполнение команды.

В презентации достаточно подробно описана природа данной уязвимости, а также способы ее нахождения и эксплуатации с множеством примеров.

https://proglib.io/w/5b93de56

#pentest

Kali Linux — один из лучших дистрибутивов для проведения тестирования на проникновение. Сложно поверить, но его популярность выросла после показа в нескольких эпизодах сериала Mr. Robot. Дистрибутив включает весь арсенал, предназначенный для тестирования безопасности веб-приложений, инфраструктур на базе различных ОС, WiFi-сетей и многого другого.

Буквально вчера вышел релиз 2020.4, который включил в себя следующие нововведения:

— ZSH is the new default shell
— Bash shell makeover
— Partnership with tools authors
— Message at the login
— AWS image refresh
— Packaging Guides
— New Tools & Updates
— NetHunter Updates
— Win-KeX 2.5
— Vagrant & VMware

Подробности

#pentest

Интересная презентация на Black Hat USA 2018 об уязвимостях десериализации в PHP

​#blockchain

Немного о безопасности приложений, созданных на основе блокчейн-инфраструктуры: https://proglib.io/w/c73f386c

#devops

Build Automation, Configuration Management, Deployment, Exploratory Testing, Hybrid Cloud, Platform-as-a-Service, Rollback и еще много терминов в словаре DevOps-инженера.

https://proglib.io/sh/QOIHkpmzSr

​#recon #bugbounty #OSINT

Список максимально полезных поисковым систем для автоматизации, упрощения и ускорения поиска информации об исследуемом объекте:

- censys.io
- shodan.io
- viz.greynoise.io
- zoomeye.org
- onyphe.io
- wigle.net
- intelx.io
- fofa.so
- hunter.io
- zorexeye.com
- pulsedive.com
- netograph.io
- vigilante.pw
- pipl.com
- abuse.ch
- insecam.org

#cheatsheet #blueteam

Максимально полезный набор шпаргалок для специалиста Blue Team, но подойдет любому инженеру в сфере ИБ.

#pentest #bugbounty

Видеозаписи с конференции BugCrowd LevelUp 0x01 2017 года, в рамках которой обсуждались тренды веб-безопасности и участия в программах Bug Bounty, актуальные и сегодня.

https://proglib.io/w/9ded56d7