👩‍💻 Nginx Path Configuration Pitfalls.

• Nginx — это веб-сервер, на котором работает треть всех сайтов в мире. Но если забыть или проигнорировать некоторые ошибки в настройках, можно стать отличной мишенью для атакующих. Благодаря этому материалу, можно понять какие ошибки в конфигурациях встречаются чаще всего и как их исправить.

Attacks:
• Nginx Configuration Vulnerability;
• Exploiting Trailing Slash Misconfiguration;
• Exploiting Parent Directory Access;
• Impact Without Trailing Slash on Alias;
• Combined Impact.

Defend Against Attacks:
• Update Nginx;
• Configuration Check;
• Use Configuration Management;
• Security Headers;
• Access Control;
• Directory Listing;
• Alias Traversal Protection;
• HTTP to HTTPS Redirect;
• SSL Configuration;
• Rate Limiting;
• Connection Limits;
• Custom Error Pages;
• Gzip Compression;
• Client-Side Caching;
• HTTP2 Protocol;
• Secure File Permissions;
• Web Application Firewall (WAF);
• Monitoring and Logging;
• SSH Hardening;
• Firewall Configuration;
• Two-Factor Authentication;
• Regular Backups;
• Deny Hidden Files;
• IP Whitelisting;
• Disable Unused Modules;
• Use Trailing Slash in Alias Directives;
• Regular Expression Matching;
• Implement Strict Location Paths.

#Nginx #devsecops

⚙ Инструменты для пентеста Wi-Fi.

• В продолжение поста про пентест Wi-Fi: материал включает в себя объемный список инструментов для анализа защищенности Wi-Fi.

• Список разбит на категории и содержит краткое описание ПО с необходимыми ссылками:

- Личный топ инструментов;
- Denial of Service (DoS) \ Deauthentication;
- Атаки на шифрование;
- WEP/WPA/WPA2 ;
- WPS ;
- Атаки на Enterprise;
- Инъекции;
- Evil twin / Fake AP / MITM ;
- Wardriving ;
- Различные иные инструменты;
- Сбор информации;
- Защита / Обнаружение;
- Мониторинг.

#Пентест #ИБ #Hack

🗞 Новости обновлений к этому часу: Wine 9.0, VirtualBox 7.0.14 и MySQL 8.3.0.

• Вышел релиз Wine 9.0, в который включили начальную поддержку драйвера Wayland, WoW64 и улучшения для Direct3D. Также в новой версии: обновлён драйвер Vulkan; завершена работа над DirectMusic; внедрили экспорт протоколов URI/URL как обработчиков URL на Linux-рабочем столе; начали использовать версию Windows 10 по умолчанию в новых префиксах Wine. В версию внедрили сотни исправлений и функций для запуска современных Windows-игр и приложений вне экосистемы Microsoft.

➡️ Подробное описание обновления: https://gitlab.winehq.org/

• Компания Oracle опубликовала корректирующий релиз системы виртуализации VirtualBox 7.0.14, в котором отмечено 14 исправлений. Одновременно сформировано обновление прошлой ветки VirtualBox 6.1.50 с 7 изменениями, в числе которых поддержка пакетов с ядром из дистрибутивов RHEL 9.4 и 8.9, а также реализация возможности импорта и экспорта образов виртуальных машин с контроллерами накопителей NVMe и носителем, вставленным в виртуальный привод CD/DVD.

➡️ Источник и описание релиза: https://www.opennet.ru/

• Стала доступна новая версия СУБД MySQL 8.3.0. Одним из основных изменений является устранение 25 уязвимостей, из которых одна (CVE-2023-5363, затрагивает OpenSSL) может быть эксплуатирована удалённо. Наиболее серьёзной проблеме, которая связана с использованием протокола Kerberos, присвоен уровень опасности 8.8. Менее опасные уязвимости с уровнем опасности 6.5 затрагивают оптимизатор, UDF, DDL, DML, репликацию, систему привилегий и средства для шифрования.

➡️ Источник и описание релиза: https://www.opennet.ru/

#Новости #Разное

🌍 Полная децентрализация.

• Децентрализация — отсутствие единого центра контроля и единой точки отказа. Одни из важных принципов которые используются в децентрализованных проектах — являются такие вещи как Zero-config и нулевое доверие.

• Другими словами — сервис можно считать полностью децентрализованным, если для его запуска достаточно просто запустить приложение без дальнейшего ввода каких-либо данных для подключения. Нулевое доверие означает, что атака типа MITM должна быть в принципе не осуществима из-за реализации протокола.

• По итогу, сервисы, которые расцениваются как полностью децентрализованные, отвечают следующим требованиям: открытый исходный код, Zero-Config, защита от MITM на уровне протокола и низкий порог входа. Примеры приводить не буду, просто загляните в эту коллекцию ресурсов, выбирайте нужную категорию и переходите по ссылке:

- Cloud and Storage;
- Collaborative web editors;
- Cryptocurrencies and markets;
- Developer tools and frameworks;
- Hosting and media;
- Identity;
- Messaging;
- Networking;
- Protocols;
- Search Engines;
- Social Networks;
- Telephony.

• В дополнение: "Почему нам нужна децентрализация интернета".

#Конфиденциальность #ИБ

🦮 Необычные проекты на Raspberry Pi: пёс-охранник.

• Виртуальная собака Woof — это простенький скрипт на Python, который запускает аудиозапись собачьего лая через динамики, чтобы отпугнуть барсуков, енотов или людей, если те приблизились к дому.

• Пара колонок подключена Raspberry Pi. Одна из колонок направлена на входную дверь, а другая — на заднюю, откуда тоже может исходить угроза. Громкость лая динамически изменяется между динамиками, словно собака бегает по дому от одной двери ко второй и заливается лаем.

• Технически виртуальная собака работает следующим образом:

- Камеры наблюдения транслируют RTSP-поток в программу Blue Iris NVR, которая крутится на отдельной коробочке под Windows.
- Когда Blue Iris обнаруживает объект в определённой области, то отправляет MQTT-сообщение в канал iot/cameras брокера Mosquitto, запущенного на медиасервере.
- На Raspberry Pi работает скрипт, который прослушивает iot/cameras с помощью модуля asyncio-mqtt. Он получает JSON-сообщение вида {"serial": "SE-N-ZoneB"} и декодирует его. Если название камеры соответствует указанному в скрипте, то запускается на воспроизведение соответствующий аудиофайл с помощью Pygame.

• Ложные срабатывания (на свет автомобильных фар или мелких животных) не слишком опасны. Скорее наоборот, они делают виртуальную собаку более реалистичной, потому что у настоящих собак происходят такие же «ложные срабатывания».

• В будущем автор планирует добавить в систему физический триггер на ступеньках перед домом, чтобы пёс начинал лаять конкретно на человека, который подошёл к двери. Рассматривается возможность установки внутри дома радарного датчика HFS-DC06, который срабатывает через внешнюю стену.

• Известно, что лай собак и камеры видеонаблюдения — главные отпугивающие факторы для взломщиков. Даже виртуальная собака из колонок — это лучше, чем отсутствие собаки. К автору этого изобретения уже заходил потенциальный грабитель, который подёргал ручку двери гаража. Дверь была закрыта, поэтому он залез в гараж соседа. В любом случае, дополнительная безопасность никогда не помешает.

#Разное

📝 Прогнозы по теневому рынку и угрозам из даркнета на 2024 год.

• Вспоминаем прошлогодние прогнозы, касающиеся корпоративных угроз и теневого рынка, и делимся ожиданиями от 2024 года.

Обзор прошлогодних прогнозов:
- Будет еще больше утечек персональных данных, появятся комбинированные базы;
- Программа-вымогатель как услуга: больше однотипных атак, сложнее инструментарий;
- Шантаж в медиа: компании будут узнавать о взломе из публичных постов хакеров c обратным отсчетом до публикации данных;
- «Потехе час»: киберпреступники будут чаще публиковать фейки о взломах;
- Популярными векторами атак станут облачные технологии и скомпрометированные данные из даркнета.

Прогнозы на 2024 год:
- Вырастет количество сервисов, предлагающих крипторы для обхода защитного ПО;
- Сервисы распространения загрузчиков продолжат развиваться;
- На теневых рынках увеличится число сервисов с вредоносным ПО для кражи криптовалютных активов;
- Будут очень популярны схемы генерации черного трафика;
- Рынок биткойн-миксеров и сервисов анонимизации криптовалюты эволюционирует.

#Отчет #ИБ

📶 Forward Proxy vs Reverse Proxy.

• Наглядно о разнице между Forward Proxy и Reverse Proxy. В обоих случаях Proxy — это сервер-посредник. Разница в том, какую роль он играет в цепочке client <-> proxy <-> server. Forward Proxy работает в связке с клиентом (выступает от его имени), а Reverse proxy — с сервером (выступает за сервер).

#Разное

😟 Токены. От появления до продвижения в Active Directory.

• О токенах, используемых в операционных системах семейства Windows слышали многие, ведь они являются важным звеном, участвующим в контексте безопасности всей операционной системы.

• В данной статье последовательно изложены теоретическая и практическая части, позволяющие понять важность токенов в операционных системах семейства Windows.

➡️ https://habr.com/ru/articles/776298/

#AD #ИБ

👩‍💻 Top 4 Kubernetes Service Types in one diagram.

• ClusterIP — открывает доступ к сервису по внутреннему IP-адресу в кластере. Этот тип делает сервис доступным только внутри кластера;

• NodePort — открывает сервис на том же порту каждого выбранного узла в кластере с помощью NAT. Делает сервис доступным вне кластера через <NodeIP>:<NodePort>. Является надмножеством ClusterIP;

• LoadBalancer — создает внешний балансировщик нагрузки в текущем облаке (если это поддерживается) и назначает фиксированный внешний IP-адрес для сервиса. Является надмножеством NodePort;

• ExternalName — открывает доступ к сервису по содержимому поля externalName (например, foo.bar.example.com), возвращая запись CNAME с его значением. При этом прокси не используется. Для этого типа требуется версия kube-dns 1.7+ или CoreDNS 0.0.8+.

➡ Подробнее тут: https://kubernetes.io/ru/

#Kubernetes

Очередной понедельник... Доброе утро...🫠

• Pwn2Own – ежегодное хакерское соревнование, которое проводится с 2007 года. Ивент интересен тем, что участники демонстрируют различные zero day и компрометируют Tesla, операционные системы, приложения и мобильные устройства.

• В этом году появилась новая категория: Cloud-Native/Container category. Организаторы готовы выплатить $60,000 всем исследователям, если эксплойт будет запущен внутри контейнера/microVM и выполнен произвольный код в операционной системе хоста.

➡️ Подробнее: https://www.zerodayinitiative.com/

• Напомню, что победителем прошлогоднего соревнования стала французская команда Synacktiv. На соревнованиях исследователи продемонстрировали шесть успешных эксплоитов, которые принесли им 530 000 долларов США и новенькую Tesla Model 3. Это самая крупная награда, когда-либо полученная участниками Pwn2Own.

#Новости

👩‍💻 Кручу-верчу, запутать хочу.

• Короткая, но полезная статья, в которой собраны необычные и малоизвестные трюки с перенаправлениями в bash.

- /dev/tcp;
- Placeholder -
- Группировка команд;
- Подмена процессов.

➡️ https://habr.com/ru/post/786224/

• Не забывайте, что в нашем канале есть другой полезный материал для изучения bash:

- Bash-скрипты, руководство в 11 частях;
- Introduction to Bash Scripting;
- Bash Cheat Sheet: Tips and Tricks for the Terminal;
- Bash Introduction for Hackers.

#bash

💾 «Цифровой археолог» обнаружил копию самой старой версии DOS. Как работала и выглядела 86-DOS 0.1?

• В открытом доступе на портале Archive.org выложена оригинальная ОС 86-DOS version 0.1 C от Seattle Computer Products 1980 года для Intel 8086, которая фактически является прародителем проектов PC DOS и MS-DOS. До этого момента присутствующая в сети самая ранняя сборка 86-DOS имела версию 0.34.

• Энтузиаст под ником f15sim выложил на Archive.org копию файлов из оригинальной 5,25" дискеты, на которой было 8 утилит, включая программу для копирования файлов (имеющая отношение к оригинальной CP/M), EDLIN (строковый редактор, включённый в MS-DOS, здесь его скромные корни), текстовую игру в шахматы и приложения для разработки: HEX2BIN (приложение для компиляции кода, которое, по словам разработчика 86-DOS Тима Паттерсона, «имело все основные утилиты для разработки на ассемблере, кроме редактора», ASM (ассемблер 8086, первоначально написанный на Z80 ASM), TRANS (транслятор Z80 в 8086) и SYS (вероятно, утилита для записи интерпретатора команд на новую дискету, аналогично тому, как это делали ранние версии MS-DOS).

• Примечательно, что в интерпретаторе текущей сборки 86-DOS уже включены базовые команды, такие как dir, copy и clear. Также там можно использовать комбинацию клавиш CTRL-C для прерывания исполнения при запуске файлов.

• Разработка 86-DOS от Seattle Computer Products является одним из клонов CP/M для 16-битных процессоров. В 1981 году этот проект появился на компьютерном рынке под именем MS-DOS.

➡️ https://youtu.be/TeucAgScjhU

#Разное

🕔 Cron — лучшие практики.

• Планировщик задач cron существует с 7 версии Unix, а его синтаксис crontab знаком даже тем, кто нечасто сталкивается с системным администрированием Unix. Это стандартизированный, довольно гибкий, простой в настройке и надёжно работающий планировщик, которому пользователи и системные пакеты доверяют управление важными задачами.

- Применяйте принцип минимальной привилегии;
- Тестируйте задачи;
- Не отказывайтесь от вывода ошибок или полезных результатов выполнения;
- Отправляйте результат выполнения в полезное место;
- Добавляйте задачи в собственный файл сценария оболочки;
- Избегайте /etc/crontab;
- Добавьте время ожидания;
- Избегайте переполнения — включите блокировку файла;
- Используйте статусы выхода с пользой;
- Рассмотрите альтернативы cron.

➡️ https://blog.sanctum.geek.nz/cron-best-practices/

• В качестве дополнения, к посту подгрузил полезную шпаргалку по работе с Cron.

#Cron #Linux #Unix #CheatSheet

🍎 Украдено у Apple.

• В 1980 году компания Franklin Computer выпустила клон Apple II (фото 1) под названием Franklin Ace (фото 2), разработанный под «яблочное» ПО. Из Apple II скопировали практически все, включая программное обеспечение из ПЗУ и документацию, и продали клон по более низкой цене. Что бы вы понимали, скопировали всё настолько, что в одном из мануалов забыли поменять «Apple» на «Ace». В Apple пришли в ярость и подали на Franklin в суд, который выиграли и сумели убрать Ace с рынка.

• Несмотря на то, что Apple выиграла дело, какое-то время было страшно и не до конца понятно, вынесет ли судья решение в пользу Apple в следующий раз — во Franklin утверждали, что они имеют право копировать ПЗУ Apple II, поскольку это просто «функциональный механизм», необходимый для программной совместимости. В Apple думали, что кто-нибудь может попробовать аналогичный трюк с Macintosh. Возможно, кто-то достаточно сообразительный мог бы замаскировать код (скажем, путем систематической перестановки некоторых регистров), чтобы он не выглядел похожим на оригинал на двоичном уровне и лучше принять меры предосторожности.

• Стив Джобс решил, что если какая-нибудь компания скопирует ПЗУ Mac’а на свой компьютер, то он хотел бы иметь возможность сделать демонстрацию во время испытания, где мог ввести несколько комбинаций клавиш на скопированном компьютере и получить большой значок «Stolen from Apple» на экране. Процедуры и данные для выполнения этого должны быть незаметно встроены в ПЗУ, чтобы «клонировщики» не знали, как их найти и удалить.

• Из такой каверзной задачи получился забавный проект. Разработчики придумали симпатичную иконку «Stolen from Apple» с тюремными решетками (фото 3) и простую схему сжатия значков из ПЗУ для экономии места, поэтому Apple сжимали значок с помощью метода, который не только уменьшал накладные расходы, но и значительно усложнял обнаружение значка. Наконец, разработчики написали крошечную процедуру для распаковки значка, его масштабирования и отображения на экране. Программу спрятали в середине некоторых таблиц данных, чтобы ее не нашли при дизассемблировании ПЗУ.

• Все, что нужно было сделать для ее вызова, — это войти в отладчик, ввести букву «G» и шестизначный шестнадцатеричный адрес, что означает выполнение процедуры по этому адресу. Работу продемонстрировали Стиву, и ему понравилось. Apple даже надеялись, что кто-то скопирует ПЗУ, чтобы продемонстрировать работу данной схемы. Но в дальнейшем никто и никогда не копировал ПЗУ в коммерческом проекте, так что во всем этом не было особого смысла.

➡️ https://www.folklore.org/Stolen_From_Apple.html

#Разное