🚨Очередная критическая RCE уязвимость в модулях Bitrix (BDU:2025-03006)

На этот раз уязвимость нашли в плагинах «Экспорт/Импорт товаров в Excel». Эксплуатация уязвимости позволяет выполнять произвольные команды на сервере путём отправки специально сформированного POST-запроса.

Данной RCE уязвимости потенциально подвержены более 6000 веб-ресурсов.

Критичность - 8,8/10 CVSS 3.0

Подробнее рассказал тут

#bitrix #rce

💫 @pentestnotes

Пентестер

Пентестер — это этичный хакер, который легально взламывает системы, приложения и сети, чтобы найти уязвимости до того, как это сделают злоумышленники. Его цель — не навредить, а помочь устранить дыры в безопасности.

Чем занимается пентестер?
Он имитирует действия злоумышленника, но с разрешения владельца системы. В отличие от AppSec или DevSecOps, он не разрабатывает защиту, а ищет слабые места в уже работающих системах.

Основные направления пентеста:
1. Веб-приложения (Web Pentest) — поиск уязвимостей типа SQL-инъекций, XSS, CSRF (по стандарту OWASP Top 10).
2. Сети и инфраструктура (Network/Infra Pentest) — взлом серверов, маршрутизаторов, VPN.
3. Мобильные приложения (Mobile Pentest) — анализ iOS/Android-приложений на недостатки шифрования, логики работы.
4. Социальная инженерия — фишинг, телефонные атаки (vishing), проверка сотрудников на устойчивость к манипуляциям.
5. Физический пентест — попытки проникнуть в офис/ЦОД (например, под видом курьера).

---

Почему пентестеры важны?
- Обнаруживают то, что пропускают автоматические сканеры (логические уязвимости, 0-day).
- Помогают соответствовать стандартам (PCI DSS, ISO 27001 требуют регулярных пентестов).
- Предотвращают финансовые и репутационные потери (например, утечку данных клиентов).

---

Как может выглядеть рабочий день пентестера?
1. Планирование:
- Обсуждение скоупа (что можно тестировать, какие методы запрещены).
2. Разведка:
- Пассивная: сбор данных через Google Dorks, Shodan, WHOIS.
- Активная: сканирование портов (Nmap), поиск поддомов (Amass).
3. Атака:
- Использование инструментов (Metasploit, Burp Suite, Cobalt Strike).
- Попытки эксплуатации уязвимостей (например, через известные CVE).
4. Пост-эксплуатация:
- Закрепление доступа, перемещение по сети.
- Доказательство уязвимости (скриншоты, дампы данных).
5. Отчетность (репортинг):
- Описание уязвимостей, их критичности (CVSS-скоринг).
- Рекомендации по исправлению (например, "Обновить Apache до нужной версии").
6. Повторная проверка (ретест):
- Убедиться, что уязвимости устранены.

---

Как стать пентестером?
1. Базовые навыки:
- Сети (TCP/IP, DNS, HTTP), ОС (Linux, Windows).
- Основы программирования (Python, Bash).
- Понимание OWASP Top 10, MITRE ATT&CK.
2. Знание базовых инструментов
- Сканирование: Nmap, Nessus, OpenVAS.
- Веб: Burp Suite Pro, OWASP ZAP, SQLmap.
- Взлом сетей: Metasploit, Cobalt Strike, Impacket.
- Wi-Fi: Aircrack-ng, Wireshark.
- Социнженерия: SET (Social-Engineer Toolkit), Gophish.
- Отчетность: Dradis, Faraday, LaTeX-шаблоны.
3. Практика:
- Лабы: Hack The Box, TryHackMe, Vulnhub.
- Bug Bounty
4. Сертификации:
- OSCP (Offensive Security) — золотой стандарт для пентестеров.
- CEH (Ethical Hacker) — для базового понимания.
- eJPT — для новичков.
5. Софт-скиллы:
- Умение объяснять суть уязвимостей и тактики их эксплуатации как разработчикам, так и бизнесу.
- Креативность (поиск неочевидных векторов атаки).

---

Суммируем
Пентестер — это "белый хакер", сочетающий технические навыки, креативность и этику. Пожалуй, это самая романтизированная роль, которая еще и у всех на слуху. Ну кто не мечтал в детстве стать хакером? А тут и легально, и денег на жизнь хватать будет.

Пентест можно также использовать для входа в мир кибербезопасности, чтобы осознать, как работает наступательная безопасность, как может действовать злоумышленник и какие инструменты он для этого использует. Ну а позже уже можно либо расти в навыках, масштабируя свой доход карьерно и через БагБаунти, либо перемещаться на сторону защиты, в тот же AppSec.

#ликбез

👨‍🏫 Менторство ИБ | Чат

💻 💻 ZSH + Oh My Zsh + powerlevel10k

📌Увеличиваем эффективность работы в консолe.
‼️ Внимание! После установки omz и p10k возвращаться обратно в bash будет невероятно сложно 😃

💻 В Kali Linux zsh используется по умолчанию, можно начинать установку сразу с omz. Проверяем командой

echo $SHELL



⚙️ Установка:

sudo apt install zsh -y && sh -c "$(curl -fsSL https://raw.githubusercontent.com/robbyrussell/oh-my-zsh/master/tools/install.sh)"

git clone https://github.com/zsh-users/zsh-syntax-highlighting.git ${ZSH_CUSTOM:-~/.oh-my-zsh/custom}/plugins/zsh-syntax-highlighting

git clone https://github.com/zsh-users/zsh-autosuggestions ${ZSH_CUSTOM:-~/.oh-my-zsh/custom}/plugins/zsh-autosuggestions

sed -i 's/plugins=(git)/plugins=(git zsh-syntax-highlighting zsh-autosuggestions)/g' ~/.zshrc

🎩 Здесь ставим 2 очень полезных плагина, подсветки синтаксиса и автозавершения команд на основе вашей истории.
Sed'ом добавляем их в ~/.zshrc и включаем.

Шелл меняется командой:

chsh -s /usr/bin/zsh

Теперь ставим p10k:

git clone --depth=1 https://github.com/romkatv/powerlevel10k.git ${ZSH_CUSTOM:-$HOME/.oh-my-zsh/custom}/themes/powerlevel10k



Меняем ZSH_THEME="powerlevel10k/powerlevel10k" в ~/.zshrc
Дефолтную комментируем

Заканчиваем настройку:

exec zsh
p10k configure


Для полного погружения ставим дополнительные шрифты
Включится wizard, настраиваете по вкусу. У меня на скриншоте Lean Style (минимализм)

💻 Oh my Zsh
💻 Powerlevel10k

#zsh #omz #ohmyzsh #p10k #linux #manual

✈️Whitehat Lab