🤒 WebSecOps: изучаем веб-безопасность

WebSecOps (Специализация программы подготовки) — разработка безопасных веб-приложений, самостоятельное обнаружение и эксплуатация уязвимостей, а главное — предотвращение и анализ инцидентов с помощью WAF.

Сайты стали идеальной мишенью — доступны 24/7, уследить за действиями всех пользователей сложно, а сами веб-приложения могут содержать уязвимостей больше, чем весь остальной сетевой периметр компании.

🗣 Habr.com

#Info #WebSecOps / Белый хакер

🔰 «Лаборатория Касперского» обнаружила две волны вредоносных почтовых рассылок

В начале июля специалисты «Лаборатории Касперского» зафиксировали две волны таргетированных почтовых рассылок с вредоносными архивами или ссылками внутри.

Получателями этих писем, нацеленных на российские компании, были около 1000 сотрудников организаций из сфер производства, финансов и энергетики, а также государственных учреждений.

🤒 Первая волна рассылок прошла 5 июля и затронула около 400 пользователей, вторая, более массовая, была замечена 10 июля — получателями стали свыше 550 пользователей.

Сообщается, что в некоторых случаях злоумышленники писали от лица контрагентов атакуемых организаций в ответ на уже существующую цепочку писем.
Исследователи полагают, что для этого хакеры использовали взломанные почтовые ящики либо ранее похищенные переписки. Так, письма, продолжающие старую переписку, вызывают больше доверия у потенциальных жертв.

#News #Kaspersky / Белый хакер

🤒 Контролируемые утечки информации: искусство влияния или маркетинговые уловки

В этой статье рассказываем, что такое контролируемые утечки, как их использовать, и как отличить специально инициированную утечку от реальной.

Контролируемая утечка информации — это преднамеренное разглашение ограниченной части конфиденциальной информации для достижения конкретных целей.

🗣 Securitymedia.org

#Leak / Белый хакер

🤒 CrackMapExec — инструмент для пентеста Windows

CrackMapExec — предоставляет широкие возможности для сканирования сети, сбора информации о системах, выполнения атак на службы SMB и других функций.

Мощный инструмент для пентеста, специально разработанный для анализа безопасности систем Windows.

🗣 Github

#Tool #Windows / Белый хакер

📍 Вычисляем по IP с помощью Python | Как определить местоположение по IP

В данном видео разбираемся как получить страну, регион, город, почтовый индекс, провайдера и даже широту и долготу по IP адресу пользователя с помощью 🐍 Python и библиотеки requests.

Добавляем в скрипт красивое превью воспользовавшись модулем Figlet, а также сохраним карту по координатам с помощью модуля folium.

#IP #Python #Figlet / Белый хакер

🤒 Пакуем весь трафик в Ping message, чтобы не платить за интернет | ICMP NAT traversal

Бывало ли у вас такое, что вы подключились к общественной сети или мобильному интернету, но он себя странно ведёт.

Надпись «Подключено, без доступа к интернету» отсутствует, устройство думает, что всё нормально. Вы открываете браузер и видите «Пройдите проверку личности в сети нашего кафе» или в случае с мобильным интернетом «Пополнить баланс можно тут, тут и тут».

🤒 Подобная схема будет работать и в сетях, где идёт блокировка OpenVPN (с ним мы ещё сегодня пообщаемся) по косвенным признакам или просто всего неопознанного трафика кроме служебного.

🗣 Habr.com

#Info #ICMPNAT #Network / Белый хакер

🖥 В Docker патчат критическую уязвимость пятилетней давность, связанную с обходом аутентификации

Разработчики Docker выпустили обновление для устранения критической уязвимости в некоторых версиях Docker Engine.

Уязвимость позволяет злоумышленникам обойти плагины авторизации (AuthZ) при соблюдении ряда условий.

Изначально проблема была обнаружена и исправлена в Docker Engine 18.09.1, выпущенном еще в январе 2019 г. Однако по неизвестной причине это исправление не было перенесено в более поздние версии, в результате чего уязвимость проявилась вновь.

— Теперь уязвимость отслеживается под идентификатором CVE-2024-41110 и оценивается в максимальные 10 баллов по шкале CVSS.

🤒 Проблема позволяет злоумышленнику отправить специально подготовленный API-запрос с Content-Length равным 0, чтобы обманом вынудить демона Docker переслать его плагину AuthZ.

#News #Docker / Белый хакер

😒 Основы веб-хакинга. Как зарабатывать деньги этичным хакингом: Более 30 примеров уязвимостей

Книга будет потрясающим руководством на протяжении всего вашего пути.

— Она изобилует полноценными примерами отчетов об уязвимостях из реального мира, эти отчеты принесли их авторам реальные деньги. Она фокусируется на том, как стать этичным
хакером.

Так же в этой книге вы найдете полезный анализ и обзор от
Питера Яворски, автора и хакера.

Лучший способ научиться чему-либо - просто начать этим
заниматься. Именно так мы - Майкл Принс и Джоберт Абма
- научились хакингу

🗣 Книга

#Book / Белый хакер

🤒 NekoBotV1 | Автоматический эксплуататор с оболочкой 500+ Exploit 2000+

NekoBotV1Rev - это автоматический инструмент эксплойта, облегчающий проникновение на один или несколько серверов под веб-сайтами (Wordpress, Joomla, Drupal, Magento, Opencart и т.д.).

🗣 Github

#Tool #Exploit / Белый хакер

🤒 Как начать заниматься багхантингом веб-приложений

В этой и следующих статьях мы подробно пройдемся по теме bug bounty и расскажем о том, как прокачаться в багхантинге веб- и мобильных приложений.

Первая статья будет особенно интересна самым маленьким начинающим багхантерам.

Но и те, кто уже зарабатывал на этом, смогут найти для себя что-то новое.

🗣 Habr.com

#BugBounty / Белый хакер

🤒 Как найти человека по фотографии лица?

Как найти человека по фотографии его лица? Как по фото получить о нем много информации? Как вычислить по одной лишь фотографии его месторасположение?

Ответы на эти вопросы в данном видео.

В наше время данная привилегия доступна не только правоохранительным органам, теперь вы сами без проблем абсолютно легально сможете найти в интернете понравившуюся девушку или узнать данные обидчика.

#OSINT / Белый хакер

🤒 Где прокачать навыки белого хакинга

⏺Capture the Flag (CTF). Соревнования по захвату флага – отличный способ научиться взламывать киберсистемы.

⏺CTF для веб-эксплуатации. Pentesterlab – отличный ресурс, чтобы начать изучать веб-тестирование на проникновение. На Hacker101 CTF представлен список задач, направленных на развитие навыков веб-взлома.

⏺Реверс-инжиниринг. Потренироваться в обратном инжиниринге (англ. reverse engineering) можно на сайте Crackme, хранящем множество программ, которые можно попытаться взломать.

⏺Смешанные CTF. OverTheWire – сайт для новичков в IT, на котором обучение начинается с основ командной строки и базовых навыков программирования.

⏺Живые CTF. Если вы хотите поучаствовать в живом CTF или CTF в стиле «Атака и защита», посетите CTFtime.org и посмотрите список текущих и предстоящих событий.

⏺Платформы Bug Bounty. Bug Bounty – это вознаграждение, выплачиваемое разработчикам, обнаружившим критические недостатки в программном обеспечении.

⏺Поиск уязвимостей может проводиться на базе компании или на специализированной платформе. Одна из самых известных – Hackerone.

#CTF #BugBounty #Reverse / Белый хакер

🤒 FACCT: 97% вредоносных писем прячут малварь во вложениях

Специалисты FACCT изучили вредоносные почтовые рассылки, которые злоумышленники распространяли во втором квартале 2024 года.

В период с апреля по июнь фишинговые письма чаще всего рассылались по четвергам, а в 97% рассылок малварь была скрыта во вложениях.

В качестве бесплатных почтовых сервисов злоумышленники все чаще используют российские решения.

Отчет исследователей гласит, что пик вредоносных рассылок постепенно смещается со вторника и среды, и больше всего писем злоумышленники отправляют в четверг — 22,5% от всех писем за неделю. Меньше всего вредоносных сообщений рассылается в воскресенье.

#News #FACCT #Malware / Белый хакер

🤒 План изучения безопасности

Практический план обучения, чтобы стать успешным инженером по кибербезопасности на основе таких ролей, как Pentest, AppSec, Cloud Security, DevSecOps и так далее, с бесплатными/платными ресурсами, инструментами и концепциями для достижения успеха.

🤒 Он будет охватывать, но не ограничиваясь:
⏺Общий план обучения навыкам безопасности
⏺План исследования безопасности AWS
⏺План изучения безопасности безопасности GCP
⏺План обучения по тестированию проникновения в Интернете
⏺План тестирования безопасности приложений
⏺План изучения безопасности
⏺И много другое

🗣 Github

#Tool #Course / Белый хакер

🤒 Попались на удочку: как мы заплатили 100 тысяч рублей за фишинг

Сейчас в программе открытых кибериспытаний Innostage есть одно главное недопустимое событие и три промежуточных с меньшим вознаграждением.

И вот 19 июля этичный хакер prorok забрал положенные 100 тысяч рублей за компрометацию учётной записи.
Как ему удалось это сделать? Рассказываем подробнее.

Чтобы забраться к нам в инфраструктуру, prorok использовал старый добрый фишинг.

🗣 Habr.com

#Phishing #BugBounty / Белый хакер

🤒 Как не стать легкой мишенью для ФСБ. О личной безопасности для журналистов

Автор рассказывает о том, какими протоколами безопасности нужно пользоваться журналистам, чтобы не попасть в ловушку спецслужб и в целом снизить риски нападений.

Проект «Поваренная книга журналиста» - 10 обучающих серий от журналистов-расследователей о том, как искать недвижимость чиновников и коррупционеров в России и за границей, как собирать профайлы по открытым источникам и какими базами данных и как лучше пользоваться.

👍🏻- если хотите видеть продолжение

#Security #FSB / Белый хакер

🤒 Неправильно настроенные Jupyter Notebook используются для DDoS-атак

ИБ-специалисты Aqua Security обнаружили новую DDoS-кампанию, направленную на неправильно настроенные экземпляры Jupyter Notebook.

Эта активность, получившая название Panamorfi, использует Java-инструмент под названием mineping для запуска DDoS-атаки с использованием TCP-флуда.

Mineping — это весьма известный DDoS-инструмент, исходно разработанный для игровых серверов Minecraft.

Атакующие эксплуатируют доступные через интернет экземпляры Jupyter Notebook для выполнения команд wget и загрузки ZIP-архива, размещенного на файлообменном сайте Filebin.

«Атака направлена на потребление ресурсов целевого сервера путем отправки большого количества TCP-запросов, — рассказывают эксперты. — Результаты фиксируются в отдельном Discord-канале».

#News #DDoS #JupyterNotebook / Белый хакер

🤒 Коллекция хакерских инструментов, ресурсов и ссылок для практики этического взлома.

Hacker-roadmap - этот репозиторий представляет собой обзор того, что вам нужно для изучения тестирования на проникновение, а также набор инструментов, ресурсов и ссылок на этический взлом.

Большинство инструментов совместимы с UNIX, бесплатны и с открытым исходным кодом.

🗣 Github

#Tool / Белый хакер

🤒 Как стать этичным хакером

Понятие "этичный хакер" - для меня это что-то вроде слова "маркетолог".
То есть в общем обо всем и ни о чем вообще.

В хакинге как и во многих отраслях нужна специализация. Когда приходят какие то заказы на этичный взлом они, как правило приходят на команду, и в этой команде есть уже какая-то специализация.

Хакинг делится на следующие области:
⏺Web-Hacking
⏺Network Hacking
⏺OSINT
⏺Forensic
⏺Anonimity
⏺Reverse Engineering
⏺Социальная инженерия
⏺Application Security
⏺App pentest
⏺Wi-FI Hacking
⏺Coding

🗣 Habr.com

#Hacking / Белый хакер

🤒 «Как найти миллиард у чиновника?» Автор рассказывает, как искать активы

Автор рассказывает, как искать имущество и недвижимость у чиновников и силовиков. Как выбрать «жертву» для расследования, с чего начать?

Проект «Поваренная книга журналиста» - 10 обучающих серий от журналистов-расследователей о том, как искать недвижимость чиновников и коррупционеров в России и за границей, как собирать профайлы по открытым источникам и какими базами данных и как лучше пользоваться.

👍🏻- если хотите видеть продолжение

#Security / Белый хакер

🤒 Журнал "Xakep #260" — В поисках утечек

Мас­штаб­ные утеч­ки дан­ных происходят каж­дый день. «Течет» отку­да толь­ко мож­но, а пос­ледс­твия быва­ют... раз­ными.

В этом выпуске мы покажем, как лег­ко зло­умыш­ленни­ки могут получить дос­туп к обширным мас­сивам все­воз­можных дан­ных и чем это грозит.

🤒 Также в этом номере:
⏺Ищем малварь с помощью Yara
⏺Автоматизируем обход периметра с помощью ScanFactory
⏺Изучаем способы удаленного исполнения кода в Windows
⏺Разбираем способы защиты микроконтроллеров
⏺Защищаем приложение для Android от отладки
⏺Перехватываем ключ от зашифрованного раздела в Linux
⏺Разбираем альтернативные протоколы VPN

🗣 Журнал

#Leak #Malware #Android #VPN / Белый хакер