Казахстанское сообщество по информационной безопасности в Discord:
https://discord.gg/9uCRa5vC
Подключаемся, репостим!
https://discord.gg/9uCRa5vC
Подключаемся, репостим!
Discord
Join the qzp:~# Discord Server!
Welcome to QZP! A community of cybersecurity professionals, ethical hackers, researchers, and enthusiasts from Qazaqstan and beyond — united to build a stronger cybersecurity culture through knowledge
❤4👍3
image_2025-11-17_18-31-00.png
40.1 KB
Интересное наблюдение
Сайты, использующие верификацию от робота от Cloudflare, могут вас долго не пускать, если вы почистили браузер и напрямую зашли.
Например, на скриншоте mvnrepository.com, который уходит в цикл, при нажатии галочки.
Но если зайти один раз на Google, и что-нибудь поискать, цикл исчезает и успешно пускает на сайт. Замечаю уже не в первый раз.
Это показывает, насколько хорошо работает слежка через куки-файлы, и насколько быстро идет обмен между техногигантами.
@onebrick
Сайты, использующие верификацию от робота от Cloudflare, могут вас долго не пускать, если вы почистили браузер и напрямую зашли.
Например, на скриншоте mvnrepository.com, который уходит в цикл, при нажатии галочки.
Но если зайти один раз на Google, и что-нибудь поискать, цикл исчезает и успешно пускает на сайт. Замечаю уже не в первый раз.
Это показывает, насколько хорошо работает слежка через куки-файлы, и насколько быстро идет обмен между техногигантами.
@onebrick
2❤4👏2
👍5
Что умеет phpinfo?
Часто, после пентестов, можно встретить возмущения разработчиков, когда в отчет пишешь, что надо удалить страницу с phpinfo(). В основном, из-за неполного понимания темы, сопротивляются тем, что с phpinfo() ничего нельзя сделать.
Америку не открою, но это не так.
phpinfo позволяет:
1. Просмотреть информацию по серверу, информацию по ОС, точные версии установленных модулей, иногда даже переменные окружения с секретами
2. Загружать любые файлы на сервер, но временно. Любой файл, отправленный POST запросом на phpinfo будет загружен в TMP директорию (обычно /tmp). В тандеме с LFI, это приводит к RCE (например, тут описано как https://github.com/roughiz/lfito_rce. Только проверьте, перед тем как запустить, часто могут вредоносные пакеты импортнуть в эксплойтах).
3. Просмотреть текущие cookies, даже если они защищены всеми флагами (httponly, Secure и т.д.). При наличии межсайтового скриптинга (XSS), остается только обратиться на phpinfo и скомпрометировать нужные куки.
Поэтому всегда можете вооружиться этими аргументами. А разработчикам рекомендую всегда удалять phpinfo() файлы с любых сервисов, смотрящих в Интернет.
@onebrick
Часто, после пентестов, можно встретить возмущения разработчиков, когда в отчет пишешь, что надо удалить страницу с phpinfo(). В основном, из-за неполного понимания темы, сопротивляются тем, что с phpinfo() ничего нельзя сделать.
Америку не открою, но это не так.
phpinfo позволяет:
1. Просмотреть информацию по серверу, информацию по ОС, точные версии установленных модулей, иногда даже переменные окружения с секретами
2. Загружать любые файлы на сервер, но временно. Любой файл, отправленный POST запросом на phpinfo будет загружен в TMP директорию (обычно /tmp). В тандеме с LFI, это приводит к RCE (например, тут описано как https://github.com/roughiz/lfito_rce. Только проверьте, перед тем как запустить, часто могут вредоносные пакеты импортнуть в эксплойтах).
3. Просмотреть текущие cookies, даже если они защищены всеми флагами (httponly, Secure и т.д.). При наличии межсайтового скриптинга (XSS), остается только обратиться на phpinfo и скомпрометировать нужные куки.
Поэтому всегда можете вооружиться этими аргументами. А разработчикам рекомендую всегда удалять phpinfo() файлы с любых сервисов, смотрящих в Интернет.
@onebrick
🔥9👍8🎉3