Любопытный инструмент

На недавнем ZN, играя в CTF'чик, зайдя на хост, увидел любопытный инструмент - pspy64. Раньше такого не встречал.

Запустив, понял что этот инструмент находясь в *user space* показывает все запущенные процессы системы с их cmdline и т.д. (В том числе рутовые процессы и процессы других пользователей системы).

Понял что тут примешено чутка хакерской магии, т.к. просто дампнуть процессы пользователя root мы конечно же не можем. Я понимал, что можно спарсить /proc, но это не настолько подробно и мне казалось что это весьма долго.

Так вот, я решил почитать о нем и также захотелось рассказать вам. Опишу идею кратко, а вы если захотите разберетесь глубже.

Встречайте: https://github.com/DominicBreuker/pspy

pspy - unprivileged Linux process snooping

pspy - это инструмент командной строки, предназначенный для наблюдения за процессами без необходимости получения прав root. Он позволяет просматривать команды, запущенные другими пользователями, задания cron и т.д. по мере их выполнения. Отлично подходит для исследования систем Linux в CTF. Также отлично подходит для демонстрации коллегам, почему передача секретов в качестве аргументов в командной строке - плохая идея.

Как это работает

Существуют инструменты, позволяющие перечислить все процессы, выполняемые в системах Linux, включая те, которые завершились. Например, существует forkstat. Он получает уведомления от ядра о событиях, связанных с процессами, таких как fork и exec.

Эти инструменты требуют привилегий root, но это не должно вызывать у вас ложного чувства безопасности. Ничто не мешает вам подглядывать за процессами, запущенными в системе Linux. Много информации видно в procfs до тех пор, пока процесс запущен. Единственная проблема заключается в том, что вам нужно поймать недолговечные процессы за очень короткий промежуток времени, в течение которого они живы. Сканирование каталога /proc в поисках новых PID в бесконечном цикле делает этот трюк, но потребляет много CPU.

Более скрытный способ - использовать следующий трюк. Процессы обычно обращаются к таким файлам, как библиотеки в /usr, временные файлы в /tmp, файлы журналов в /var, ... Используя API inotify, вы можете получать уведомления всякий раз, когда эти файлы создаются, изменяются, удаляются, к ним обращаются и т.д. Linux не требует прав привилегированных пользователей для работы с этим API, поскольку он необходим для многих невинных приложений (например, текстовых редакторов, показывающих актуальный проводник файлов). Таким образом, хотя пользователи без права root не могут напрямую следить за процессами, они могут следить за влиянием процессов на файловую систему.

Мы можем использовать события файловой системы как триггер для сканирования /proc, надеясь, что мы сможем сделать это достаточно быстро, чтобы поймать процессы. Именно это и делает pspy. Нет гарантии, что вы не пропустите ни одного процесса, но в моих экспериментах шансы кажутся высокими. В общем, чем дольше идут процессы, тем больше шансов их поймать.

Что сказать? Гениально!

❕Камрады, я очень часто ссылаюсь на ролики Кирилла Семаева, и этот человек абсолютно безвозмездно сделал очень много хорошего для сообщества - он делился знаниями, помогал подготовиться к сертификациям, помогал людям получить работу, создавая свои курсы и уроки.

Однако, сегодня стало известно, что с Кириллом случилась беда, и похоже что теперь ему самому потребуется долгое восстановление, а его девушке нужна помощь со всем этим.

- Подробности произошедшего описаны здесь: https://serveradmin.ru/kuda-propal-kirill-semaev-kirill-semaev/
- Прямо в telegram можно прочитать о произошедшем здесь: https://t.me/srv_admin/1156
- Сообщение от его девушки на его канале: https://www.youtube.com/c/KirillSemaev/about

(Далее цитата.) UPD: пишет девушка Кирилла. он вследствие врачебной ошибки потерял здоровье и работоспособность.
кто хочет помочь в сложной ситуации, номер карты Сбербанка 4276380156637956 или пишите мне в телеграм @annse

#естьмнение, что это то самое время, когда мы можем отблагодарить человека и помочь ему.

Кому нужен собственный Uptime Robot, то рекомендую посмотреть на вот этот проект: https://github.com/louislam/uptime-kuma

Мне очень зашел.

#selfhosted #monitoring

Ох ребятушки, тут Mikrotik кто-то покусал и они просто завалили нас новостями. Мне дико не хватает времени, чтобы вести канал. Так что вот вам пачка новостей от Mikrotik:

- RouterOS v7.1:
What's new in 7.1rc1 (2021-Aug-19 13:06):

!) added support for IPv6 NAT (CLI only);
!) added support for L2TPv3 (CLI only);
*) added "expired" user status with suggestion to change password (WinBox v3.29 required);
*) added bridge HW offload support for vlan-filtering on RTL8367 switch chip (RB4011, RB1100AHx4);
*) added password strength requirement settings;
*) added skin support for WinBox (WinBox v3.29 required);
*) fixed support for RIP (Routing Information Protocol);
*) improved general stability and performance;
*) other minor fixes and improvements;


- [Winbox] Что новенького в v3.29:

*) added "Windows" menu for list of all currently opened windows;
*) added separate "Show Columns" window for list of visible columns;
*) allow changing column order by using drag and drop;
*) made "Terminal" window titles unique;

- Видео про rb5009 по-русски
- Вопросы по нему же

Новое видео из серии #Divingdeep

Diving deep into RouterOS: Switching

Слайды презентации:
https://box.mikrotik.com/f/d7fbb163d26945a99a0a/?dl=1

Подборка ресурсов по облачным и не только сертификациям

https://jayendrapatil.com/

https://tutorialsdojo.com/

https://exam-universe.com/

Если некто ещё скажет вам, что в России всё по закону - смело плюйте некту в рожу и называйте его лошадью:

https://zona.media/news/2021/09/04/votesmart

Канва: какая-то мусорная контора зарегистрировала трейд-марк "Умное голосование" на все виды деятельности. Сделали они это за месяц (тот, кто хоть раз пытался зарегистрировать трейд-марк на этом месте должны уже офигеть). А теперь подали судебный иск НА ГУГЛ. Это было 1 сентября. А 4 сентября, в субботу (sic!) после 18 (!!!) арбитражный суд Москвы принимает решение об 'обеспечительных мерах', которые заключаются в запрете Гуглу выдавать 'умное голосование' в поиске. Кстати, в Штатах праздник - там никого на работе нету, ага.

Если вы попытаетесь сделать что-то похожее, но правда по нарушению торговых знаков, то вам потребуется на такое же - год. Или два.

И скорее всего, вы проиграете.

Но закон же у нас - лошадиный.

Ну а что происходит против фишинговых сайтов, которых, как мне кажется, уже миллион - я позже напишу. Там не менее трэш, угар и содомия. Хвалёные CERT - они ж тоже 'в рамках компетенции' работают. Позорище

Тут JUG Ru Group сделали расшифровку доклада Баруха Садогурского и Леонида Игольника с DevOops 2020. Экспертом там выступал Денис, который ведёт каналы @sec_devops и @cloud_sec.

Сильно нового там ничего нет, но послушать/почитать интересно.

Security — как много в этом звуке для сердца девопсного слилось
https://habr.com/ru/company/jugru/blog/573370/

Различия между Docker, containerd, CRI-O и runc

#docker #k8s

https://habr.com/ru/company/domclick/blog/566224/

У микротика прилёг клауд. Рабочее решение на текущий момент выглядит так:

/ip dns static
add forward-to=159.148.147.201 regexp=".*\\.sn\\.mynetname\\.net\$" type=FWD
add forward-to=159.148.172.251 regexp=".*\\.sn\\.mynetname\\.net\$" type=FWD

За последние 4 недели вышло несколько Release Candidate (RC) версий #RouterOS версии 7.1 (ветка Development).

Это первые релиз кандидаты (RC), до этого публиковались только Бэта-версии.

RouterOS 7.1rc1 (2021-Aug-19):
❗️) добавлена поддержка NAT для IPv6 (только в CLI);
❗️) добавлена поддержка L2TPv3 (только в CLI);
🔅) добавлена поддержка bridge HW offload для vlan-filtering на switch чипах RTL8367 (модели RB4011, RB1100AHx4);
🔅) добавлены настройки требований сложности для паролей;
🔅) исправлена поддержка RIP (Routing Information Protocol);
🔅) добавлена поддержка скинов для WinBox (требуется WinBox v3.29);
🔅) добавлен статус пользователя "expired" с предложением изменить пароль (требуется WinBox v3.29);
🔅) общие улучшения стабильности и производительности;
🔅) другие изменения и улучшения.

RouterOS 7.1rc2 (2021-Aug-31):
🔅) добавлен флаг "failure" для VRRP;
🔅) исправлена поддержка IGMP-Proxy;
🔅) исправлена поддержка NV2;
🔅) исправлена работа virtual AP при использовании пакета wifwave2 на устройствах с заблокированным выбором страны (country locks);
🔅) улучшения конфигурации фильтров (routing filter);
🔅) улучшена стабильность системы при использовании новых типов очередей (queues): CAKE и fq_codel;
🔅) другие изменения и улучшения.


RouterOS 7.1rc3 (2021-Sep-08):
❗️) добавлена поддержка аппаратного ускорения IPSec для RB5009;
❗️) добавлена поддержка запуска Docker (TM) контейнеров;
❗️) добавлена поддержка ZeroTier (TM) для ARM и ARM64;
🔅) исправления соединений по L2TP (introduced in v7.1rc2);
🔅) исправления в работе LDPv6;
🔅) улучшения производительности и стабильности L2TPv3;
🔅) улучшения производительности и стабильности VPLS;
🔅) другие изменения и улучшения.

В РФ блокируют публичные DNS серверы. Будьте осторожны! Выбирайте работающие варианты для критически важных систем

Introduction to OWASP Top 10 2021

OWASP выпустили драфт документа OWASP Top 10 2021!

Из нового, что отсутствовало в последнем Top 10 2017:
- A04:2021-Insecure Design
- A08:2021-Software and Data Integrity Failures
- A10:2021-Server-Side Request Forgery

Также по списку поднялись уязвимости класса A06:2021 – Vulnerable and Outdated Components, что автоматически повышает перспективы инструментов SCA.

В начале этого года Wallarm также представили свою версию Top10, основанную на анализе базы данных Vulners.

#web #dev

Выложены доклады с ZeroNights 2021. В том числе и доклад Valdik'а, про кнопочные телефоны, про который я раньше писал.

Помимо основного трека ещё выложены Web Village и Defensive Track

Все материалы и ссылки на видео доступны тут
https://zeronights.ru/materials/

Давно заглядываю на систему CI/CD для сети. Много слышал про Batfish, но руки так и не дошли. Насколько я понимаю смысл этого: тут вы можете построить аналог своей сети и тестировать изменения в нем вместо боевой сети. Это практики DevOps и QA, перенесенные на сеть. Сначала тестируем всё, что можно, потом переносим в прод.

Но вебинар я ещё не смотрел, это просто мои представления о системе

​​На днях Рик Донато провел вебинар Batfish 101 на котором дал ответы на следующие вопросы:

✅ Что такое Batfish?
✅ Что может Batfish?
✅ Как настроить Batfish
✅ Демо:
- Снэпшоты;
- Как анализировать конфигурацию сети;
- Panda DataFrames (TL;DR);
- Как анализировать состояние плоскости управления(OSPF, BGP)

Круто, спасибо иду смотреть!- 🔥
Однозначно в закладки!-✌️
Мне не интересно!- 😏

Хотите обсудить? Айда в чат - https://t.me/automate_devnet

Больше ресурсов вы можете найти по хештегам:
#batfish

А вот и разбор нашумевшей DDoS атаки с использованием Mikrotik
https://habr.com/ru/company/yandex/blog/577026/

What's new in [Winbox v3.30]:

*) added support for mouse wheel scroll in field & table show columns windows;
*) double click on word in "Terminal" now automatically selects and copies it to clipboard;
*) fixed WinBox disconnect when selecting entries in QuickSet's "WiFi Clients" table;
*) fixed crash when all inner windows were closed;
*) fixed crash when opening some of interfaces;
*) fixed glitches while resizing column widths or reordering table entries;
*) fixed visual glitch when showing table filters and categories;
*) fixed visual glitches when scrolling "Terminal" window and Zoom In or Zoom Out is used;
*) made Ctrl++ & Ctrl+- still work if focus is on checkbox;
*) made Ctrl+C and Enter right after text selection in "Terminal" window work as copy to clipboard;
*) made Ctrl+D pass-through to "Terminal", so it is possible to terminate inner telnet or SSH sessions;
*) made Ctrl+V work as paste from clipboard;
*) made double click in "Torch" window work again;
*) properly show "I" flag for invalid entries;
*) use router's time when filling default time in "Scheduler" items;

Легкий пятничный пост.

Те, кто занимаются пентестами и имеют дело с Linux и Windows окружениями определённо должны знать о таких проектах как:
- GTFOBin для Linux
- LOLBAS для Windows (есть даже drivers)

Это набор/список/перечень легитимных исполняемых файлов, библиотек, скриптов, которые можно использовать для атакующих целей: что-то скачать и выгрузить, выключить, обойти, спрятать, поднять привилегии и т.д. При этом как вы понимаете сигнатуру/правило на это написать, конечно, можно, но нужно будет часто фильтровать от нормального использования ;)

Так вот пользователь twitter подметил, что всеми нами любимый kubectl с флагом --raw отлично подходит для замены тех же curl и/или wget, если их нет под рукой, и отлично подходит для пополнения данных проектов!