🕷 Обход валидации URL — основная причина многочисленных багов, включая множество кейсов SSRF, мисконфига CORS и open redirection. Они работают, используя неоднозначные URL, чтобы вызвать расхождения в парсинге URL и обойти валидацию. Однако многие из этих методов плохо документированы и в результате игнорируются.

Чтобы решить эту проблему, команда PortSwigger создала шпаргалку со всеми известными пэйлоадами. В итоге в вашем арсенале теперь есть интерактивное веб-приложение, которое автоматически настраивает свои параметры в зависимости от вашего контекста.

➡️ В настоящее время доступны три контекста:

1️⃣ Полностью определенный абсолютный URL — полезен в ситуации, когда URL используется в параметре запроса.

2️⃣ Только имя хоста — прямой ввод домена, например, в значении заголовка Host.

3️⃣ CORS Origin — где имя хоста должно использоваться в допустимом заголовке источника браузера.

➡️ Краткий обзор наиболее важных пэйлоадов:

• Обход списка разрешенных доменов: разработан для атак с путаницей доменов. Вы можете настроить тестовые домены, введя разрешенные и атакующие домены соответственно.

• Поддельные относительные URL-адреса: сюда входят допустимые браузером URL-адреса, которые могут быть неправильно проверены на стороне клиента.

• Loopback Address: этот словарь включает различные представления адресов IPv4, IPv6 и их нормализации.

➡️ Подытожим:

Не можете докрутить SSRF, мисконфиг CORS или open redirect ➡️ берете шпаргалку ➡️ выбираете нужные настройки (кодировки, кастомные параметры, имена хостов и т. д.) ➡️ копируете в Intruder ➡️ прогоняете и наслаждаетесь результатом

#шпаргалки

C2 hunting: часть 2. Ищем серверы хакеров по внешним признакам 😁

В предыдущей части мы с вами поговорили о том, как расширить знание об инфраструктуре хакеров, используя PDNS и Whois.

Сегодня обсудим, как искать серверы хакеров не только когда они уже начали использовать свою инфраструктуру в атаках, но и в момент ее развертывания.

Перед самой атакой хакеры, как правило, занимаются подготовкой инструментария и сетевой инфраструктуры. В моделях угроз этот этап обычно называется weaponization или resource development.

Практически у любого ВПО в том или ином виде есть механизм коммуникации с C2. Сам C2 обладает рядом признаков, которые могут быть получены, если его просканировать или просто обратиться на конкретный порт, например 443. Так мы, скорее всего, получим параметры TLS-сертификата, параметры TLS-соединения, заголовки ответа сервера и содержимое веб-страницы.

Соответственно, разбирая ВПО хакеров и анализируя их сетевую инфраструктуру, мы будем иметь представление об уникальных признаках, которые они используют на своих C2 для конкретного ВПО, что позволит нам в некоторых случаях обнаруживать их C2 в момент развертывания сетевой инфраструктуры для атаки и превентивно блокировать эти индикаторы на СЗИ.

Список наиболее популярных признаков, которые можно использовать для идентификации С2:

✅ Параметры TLS-сертификата
✅ Параметры TLS-соединения (JA3, JA4, JARM и т. д.)
✅ Заголовки ответа от сервера
✅ Контент и title страницы
✅ Набор открытых портов
✅ Favicon

Ограничить поиск всегда можно с помощью указания ASN, хостера или страны.

Список сервисов, которые помогут вам искать С2 таким способом:

✅ Shodan
✅ Censys
✅ FOFA
✅ ZoomEye
✅ BinaryEdge
✅ Netlas
✅ ONYPHE
✅ Самописный сканер

Руками искать по всем сервисам трудозатратно, но все же необходимо, так как каждый сервис может выдать разные результаты. Чтобы снизить затраты на ручной труд, нужна автоматизация. Мы у себя разработали систему SCANDAT, которая имеет внутренний поисковый синтаксис и автоматически генерирует поисковые правила под каждый сервис.

😠 На скриншотах 1–3 вы можете увидеть примеры запросов для обнаружения C2 для ВПО GoRed, которое использует группа ExCobalt.

Кроме того, есть базовое опенсорс-решение для автоматизации запросов.

В конечном итоге все идентифицированные C2 из нашей системы попадают в продукты компании, повышая уровень обнаружения угроз.

💡 Стоит отметить, что некоторые разработчики MaaS стараются противодействовать таким методам обнаружения. Например, с определенной версии Medusa Stealer ее разработчики убрали title, некоторый контент на странице и добавили генерацию случайных данных в TLS-сертификат, чтобы нельзя было идентифицировать панель управления стилером через популярные сервисы.

Вы можете не только собирать такие серверы и отправлять их в фиды для СЗИ, но и писать эмуляторы сетевого протокола ВПО, чтобы со свежего С2 получить пейлоад или какой-либо модуль. Это позволит вам получить дополнительные индикаторы и атрибуционные признаки.

#TI #C2 #tips #hunt #malware
@ptescalator