⚡JWT-атаки

JSON Web Token – это открытый стандарт (RFC 7519), который определяет компактный и автономный способ безопасной передачи информации между сторонами в виде объекта JSON.

Распространенные атаки, связанные с JWT:

▪Внедрение токена (Token Injection): Злоумышленник может попытаться модифицировать содержимое токена или внедрить свои данные, чтобы расширить свои привилегии или изменить свои права доступа.

▪ Подделка токена (Token Forgery): Злоумышленник может предпринять попытку создания или подделки JWT-токена с целью получить несанкционированный доступ к приложению или его ресурсам.

▪ Перебор токенов (Token Enumeration): Если приложение предоставляет разные ответы или ошибки для существующих и неверных токенов.

▪Атака брутфорсом подписи (Signature Brute-Force) - JWT-токены зачастую защищены цифровой подписью, которая гарантирует их подлинность. Однако, если использованы слабые алгоритмы подписи или слишком короткие ключи, можно обнаружить уязвимость подписи к брутфорсу. Злоумышленник может попытаться перебрать все возможные комбинации ключей для создания поддельного токена.

Инструменты для автоматизации JWT-атаки:

jwtXploiter — это Python-инструмент, предназначенный для автоматизации взлома JWT. Он позволяет проверить соответствие всех известных CVE для JWT и поддерживает различные виды атак на JWT, начиная от простого взлома и до выполнения атак с использованием самозаверяющих токенов!

JSON Web Tokens - это дополнение для Burpsuite, которое автоматизирует распространенные атаки на JWT. Кроме того, оно позволяет быстро выполнять кодирование / декодирование и проверку токенов.

JWT Tool - это широко используемый инструмент на языке Python, который позволяет производить проверку всех возможных атак, которые могут уязвимо существовать в веб-приложении.

JWT Editor - это дополнение для Burpsuite, которое обеспечивает возможность удобно изменять JWT-токены и быстро проверять различные методы обхода. JWT Editor предлагается в двух вариантах: бесплатной версии и платной версии Pro.

Методы защиты от JWT-атак:

✔️Установить временные ограничения действия токенов и использовать механизмы обновления или повторной аутентификации при необходимости.

✔️Сохранять ключи для подписи и шифрования токенов в надежном хранилище.

✔️Применять надежные алгоритмы шифрования и подписи, такие как HMAC-SHA256 или RSA.

✔️Регулярно обновлять и повышать безопасность ключей и алгоритмов.

✔️Использовать защищенное соединение (HTTPS) при передаче JWT-токенов.

✔️Избегать передачи конфиденциальной информации напрямую в токенах.

@linuxkalii

🛡Защита от Брутфорса SSH в Linux

Сетевая видимость — повод для атак. Проблемой является перебор паролей, в том числе и для SSH.

Защититься от этого можно по-разному:

1) Используя возможности настройки демона SSH
2) Пакетный фильтр
3) Специальные приложения
4) Port knocking

▪Измените 22-й порт на 2002-й, если это возможно. Вносим запись в /etc/ssh/sshd_config:
Port 2002

▪В случаях, когда невозможно изменить порт, можно ограничить доступ к SSH определенными пользователями или группами. Это можно сделать с помощью параметров AllowUsers, AllowGroups, DenyUsers и DenyGroups в файле sshd_config. Логину также можно указать IP или подсеть. Например, можно разрешить доступ пользователю admin и user, при этом последний может подключаться только с одного IP.
AllowUsers admin user@192.168.0.1

▪Еще один действенный вариант защиты от перебора – использование для аутентификации сертификатов.
Например, запретим вход по SSH по паролю для пользователя root, разрешив всем остальным:
# всем разрешаем доступ по паролю
PasswordAuthentication yes
# root будет использовать только сертификат
match user root
PasswordAuthentication no
KbdInteractiveAuthentication no

▪Используя TCP Wrapper, также можем ограничить доступ к любому сервису только с определенных IP, для этого следует лишь прописать в файл /etc/hosts.allow или /etc/hosts.deny нужное правило. Разрешим в /etc/hosts.allow доступ только с нужной подсети:
sshd : 192.168.1.0/24 : allow

Или в /etc/hosts.deny:
sshd : ALL : deny
sshd : ALL EXCEPT 192.168.1.0/24 : allow

▪Пакетный фильтр позволяет очень точно задавать параметры соединений, отбрасывая ненужные пакеты. С его помощью легко ограничить доступ к 22-му порту только определенным адресам. Пример:
iptables -A INPUT -s !192.168.0.1 -p tcp -m tcp --dport 22 ↵
-j REJECT —reject-with icmp-port-unreachable

▪Fail2ban и Sshguard - специальные утилиты, которые помогают защитить систему от подозрительных действий. Эти программы фильтруют пакеты по портам и IP-адресам и блокируют подозрительные IP-адреса, используя iptables или TCP Wrapper.
Fail2ban был создан для защиты SSH, но сейчас он может быть настроен для использования с различными приложениями. Принцип работы очень прост - демон периодически проверяет журналы на наличие записей о подозрительной активности и блокирует подозрительные IP-адреса.

По умолчанию Fail2ban защищает только SSH, но может быть настроен для контроля нескольких сервисов одновременно. Все события отображаются в журнале fail2ban.log и могут быть отправлены по электронной почте.

В Ubuntu и Debian устанавливается командой:
$ sudo apt-get install fail2ban

▪Все настройки производятся в нескольких файлах, размещенных в каталоге /etc/fail2ban. В fail2ban.conf хранятся параметры запуска самого демона, в jail.conf описываются контролируемые сервисы (внутри секции SSH).
[ssh]
enabled = true
port = 22
filter = sshd
logpath = /var/log/auth.log
maxretry = 3

▪Фильтры и действия настраиваются в файлах в подкаталогах filter.d и action.d. Файлы по умолчанию имеют расширение .conf и их лучше не изменять, включая jail.conf. Лучше все изменения делать в файле с расширением .local (например, jail.local), который переопределяет настройки из первого файла и сохраняет их при обновлении. Для проверки работы фильтра можно использовать утилиту fail2ban-regex.

@linuxkalii

🐧Использование Lynis для проверки защищенности Linux

▪ Установка Lynis на Linux

Lynis надежно проверяет соответствие системы рекомендациям CIS. Этот инструмент также применим в пентестировании, но в данной статье мы рассмотрим его как средство для проверки безопасности Linux. Помимо Linux, Lynis работает также на операционных системах AIX, FreeBSD, HP-UX, Mac OS, NetBSD, OpenBSD, Solaris и даже Raspberry Pi.

Для установки Lynis, выполните команду:
root@debian:~/# sudo apt-get install lynis

▪ Использование Lynis для проверки защищенности Linux
Ознакомитесь с основными параметрами Lynis:

✔️--auditor "имя" — присвоить аудиту имя.
✔️--checkall -c — начать проверку.
✔️--check-update — проверить актуальность Lynis.
✔️--cronjob — запустить Lynis как cronjob (включает -c -Q).
✔️--help — отобразить справку.
✔️--nocolors — не использовать цвета.
✔️--pentest — выполнить тестирование на проникновение (без привилегий).
✔️--quick — не ждать ввода данных пользователем, за исключением ошибок.
✔️--quiet — показать только предупреждения (включает —quick, но не ждет).
✔️--reverse-colors — использовать другую цветовую схему для светлого фона.
✔️--version — проверить версию программы (и выйти).

Затем запустите Lynis с помощью команды sudo. Чтобы запустить аудит, вы должны иметь права на запись в /tmp (временные файлы).

root@debian:~/# sudo lynis audit system
...

Lynis security scan details:

Hardening index : 84 [############## ]
Tests performed : 260
Plugins enabled : 1

Components:
- Firewall [V]
- Malware scanner [V]

Scan mode:
Normal [V] Forensics [ ] Integration [ ] Pentest [ ]

Lynis modules:
- Compliance status [?]
- Security audit [V]
- Vulnerability scan [V]

Files:
- Test and debug information : /var/log/lynis.log
- Report data : /var/log/lynis-report.dat

▪ Использование профилей Lynis

Lynis позволяет использовать профили, чтобы иметь набор предопределенных параметров для каждой операционной системы.

Если вы не укажете профиль --profile имя_профиля, будет использоваться профиль по умолчанию (default.prf). Рекомендуется скопировать файл default.prf и настроить его под свои нужды.

На этом все. Теперь вы знаете, как проверить защищенность дистрибутивов Linux.

🔐 11 Бесплатных курсов по кибербезопасности:

1) Stepik Математика в кибербезопасности

2) SkillFactory Этичный/Белый хакер: полный гид по профессии

3) Youtube Этичный хакинг

4) Курсера Cybersecurity Roles, Processes & Operating System Security

5) Stepik Кибербезопасность

6)Анализ безопасности веб-проектов

7) Технические методы и средства, технологии защиты информации

8) Школа системного администратора · курсы-по-ит.рф

9) Курс кибербезопасности для начинающих, UdeMy

10) Обеспечение безопасности цифровой демократии, Мичиганский университет

11) Введение в ИТ и кибербезопасность, Cybrary

@linuxkalii

🐍Продвинутые методы веб-скрейпинга с помощью Python

1. Скраппинг динамических сайтов

Одним из популярных инструментов является Selenium.

Selenium – это библиотека Python, которая позволяет управлять веб-браузером из кода.
Пример:
from selenium import webdriver
from bs4 import BeautifulSoup

driver = webdriver.Firefox()
driver.get('https://www.example.com')

# Wait for the JavaScript to load
time.sleep(5)

# Get the page source
soup = BeautifulSoup(driver.page_source, 'html.parser')

# Extract the data
table = soup.find('table', attrs={'id':'dynamic-table'})
data = []
for row in table.find_all('tr'):
data.append([cell.text for cell in row.find_all('td')])

# Close the browser
driver.quit()

2. Работа с CAPTCHA и IP-блокировками

• Существует ряд инструментов, которые могут помочь вам решить CAPTCHA.
Одним из популярных инструментов является Anti-Captcha.

Anti-Captcha – это сервис, который предлагает решение CAPTCHA с помощью человека. Это означает, что вы можете отправить CAPTCHA в Anti-Captcha, и они попросят человека решить ее за вас.
Пример:
import requests

url = 'https://anti-captcha.com/api/create'
data = {
'type': 'image',
'phrase': captcha_text
}

response = requests.post(url, data=data)

captcha_id = response.json()['captchaId']

url = 'https://anti-captcha.com/api/solve'
data = {
'captchaId': captcha_id
}

response = requests.post(url, data=data)

solution = response.json()['solution']

• Существует несколько способов изменить свой IP-адрес. Одним из популярных способов является использование прокси-сервиса.

Прокси-сервис – это сервер, который выступает в качестве посредника между вашим компьютером и сайтом, с которого вы собираете информацию. Это означает, что сайт будет видеть IP-адрес прокси-сервера, а не ваш собственный IP-адрес.
Пример:
import requests
import random

def get_proxy():
"""Gets a proxy from the proxy scrape service."""
response = requests.get('https://www.proxyscrape.com/')
data = response.json()
proxy = random.choice(data['results'])['ip'] + ':' + data['results'][0]['port']
return proxy

def scrape_website(proxy):
"""Scrape the website using the proxy."""
response = requests.get(url, proxies={'http': proxy, 'https': proxy})
soup = BeautifulSoup(response.text, 'html.parser')
data = []
for row in soup.find_all('tr'):
data.append([cell.text for cell in row.find_all('td')])
return data

if __name__ == '__main__':
proxy = get_proxy()
data = scrape_website(proxy)
print(data)

# Rotate the proxy
proxy = get_proxy()
data = scrape_website(proxy)
print(data)

• Главный цикл будет многократно вызывать функции get_proxy() и scrape_website(), каждый раз поворачивая прокси. Это поможет предотвратить блокировку веб-сайта по вашему IP-адресу.

• Для выполнения этого кода вам потребуется установить следующие библиотеки Python:

- requests
- BeautifulSoup4

Вы можете установить эти библиотеки с помощью следующей команды:
pip install requests BeautifulSoup4

Сохраняй пост себе, чтобы не потерять.

@linuxkalii

🛠Инструменты Взлома Беспроводной Сети

▪Aircrack-ng - набор тестовых инструментов для проверки безопасности беспроводных сетей.

▪Fluxion - набор атак на WPA, основанных на использовании социальной инженерии.

▪Wifite - автоматизированный инструмент беспроводной атаки.

▪Kismet - детектор беспроводной сети, сниффер и идентификаторы.

▪Reaver — атака грубой силы против WiFi защищенной установки.

@linuxkalii

🧑‍💻 PLOW

Plow инструмент, который пред­назна­чен для наг­рузоч­ного тес­тирова­ния HTTP-сер­веров.

Он осно­ван на Go-биб­лиоте­ке fasthttp, которая до десяти раз быс­трее стан­дар­тной реали­зации, что дела­ет его каким‑то ано­маль­но быс­трым.

Plow может отда­вать ста­тис­тику в реаль­ном вре­мени не толь­ко в окне тер­минала, но и в бра­узе­ре (по стан­дарту встро­енный сер­вер дос­тупен на 18888-м пор­те).

За­пуск воз­можен из Docker или уста­нов­кой из исходни­ков:

go install github.com/six-ddc/plow@latest
plow <args>

Аль­тер­натива:

docker run --rm --net=host ghcr.io/six-ddc/plow <args>

Ар­гумен­ты в целом ничего необыч­ного собой не пред­став­ляют: тут у нас стан­дар­тная для таких прог­рамм нас­трой­ка количес­тва потоков (-c), жела­емо­го количес­тва зап­росов (-n), вре­мени тес­та (-d 30s или -d 5m, нап­ример) и HTTP-метода (--method="GET"). Про дру­гие парамет­ры мож­но под­робно про­читать в справ­ке прог­раммы (--help). Цель переда­ется без спе­циаль­ных парамет­ров.

▪ Github

@linuxkalii

🗃Slips v1.0.6

• Slips - система, написанная на Python, для предотвращения вторжений (IDS/IPS), использующая машинное обучение для обнаружения вредоносного поведения в сетевом трафике.

git clone https://github.com/stratosphereips/StratosphereLinuxIPS.git

cd StratosphereLinuxIPS/

docker build --no-cache -t slips -f docker/ubuntu-image/Dockerfile .

docker run -it --rm --net=host --name slips slips

./slips.py -c config/slips.conf -f dataset/test3-mixed.binetflow

▪ Github

@linuxkalii

🐙 OpenSquat

OpenSquat — это полезный инструмент с открытым исходным кодом, который выявляет угрозы киберсквоттинга для компаний или доменов.

OpenSquat поддерживает такие функции, как автоматическое обновление домена, обнаружение фишингового домена, подсчет схожести слов, интеграцию с другими службами, такими как VirusTotal, Quad9 DNS и еще много полезных функций.

git clone https://github.com/atenreiro/opensquat

pip install -r requirements.txt

Пример использования:

# Lazy run with default options
python opensquat.py

# for all the options
python opensquat.py -h

# Search for generic terms used in phishing campaigns (can lead to false-positives)
python opensquat.py -k generic.txt

# With DNS validation (quad9)
python opensquat.py --dns

# Subdomain search
python opensquat.py --subdomains

# Check for domains with open ports 80/443
python opensquat.py --portcheck

# With Phishing validation (Phishing Database)
python opensquat.py --phishing phish_results.txt

# Save output as JSON
python opensquat.py -o example.json -t json

# Save output as CSV
python opensquat.py -o example.csv -t csv

# Conduct a certificate transparency (ct) hunt
python opensquat.py --ct

# Period search - registrations from the last month (default: day)
python opensquat.py -p month

# Tweak confidence level. The lower values bring more false positives
# (0: very high, 1: high (default), 2: medium, 3: low, 4: very low
python opensquat.py -c 2

# All validations options
python opensquat.py --phishing phishing_domains.txt --dns --ct --subdomains --portcheck

▪Github
▪Docs

@linuxkalii

Kali Linux - идеальное решение для продвинутых тестов на проникновение, позволяющее обойти проверку MAC-адреса и использовать открытую аутентификацию.

• MAC-адрес связан с сетевым адаптером или устройством с сетевыми возможностями и может быть назван физическим адресом. Первые три пары цифр в MAC-адресе представляют уникальный идентификатор организации, а последние три пары - серийный номер устройства.
• MAC-адрес используется для идентификации пользователя в сети, как в проводных, так и в беспроводных сетях. Он также может быть использован для идентификации хакера или сетевого тестера, пытающегося получить несанкционированный доступ к сети.

Для обеспечения анонимности в сети тестер может изменить MAC-адрес атакующей системы с помощью команды ifconfig:

sudo ifconfig wlan0 down
sudo ifconfig wlan0 | grep HW

Чтобы вручную изменить IP-адрес, используйте следующие команды:
sudo ifconfig wlan0 hw ether 38:33:15:xx:xx:xx
sudo ifconfig wlan0 up

Выполните следующие действия:

1. Отключите беспроводной интерфейс перед изменением MAC-адреса.
2. Используйте автоматизированный инструмент macchanger для замены выражений xx другими шестнадцатеричными парами.
3. В окне терминала выполните соответствующую команду:
sudo macchanger wlan0 –e

Чтобы изменить существующий MAC-адрес, на совершенно случайный MAC, используйте следующую команду:
sudo macchanger wlan0 –r

Вы увидите инструмент macchanger.

• Некоторые злоумышленники используют автоматизированные сценарии для частой смены своих MAC-адресов при тестировании анонимности. Большие академические группы, такие как колледжи и университеты, используют фильтрацию MAC-адресов для контроля доступа к беспроводным ресурсам.
Однако этот тип фильтрации не обеспечивает полной защиты, так как информация о MAC-адресе передается в открытом виде.

Шифрование является следующим уровнем защиты беспроводной сети.

В следующих постах, мы рассмотрим более сложные примеры.

▪Описание macchanger

@linuxkalii