Nessus WINDOWS 10.6.0+20230830 plugin set
Network security scanner.

posted this in cyberarsenal.org resources but forgot to drop it here.

Десять отличных людей есть, спасибо! 💪🏻
Можно и повыкладывать что-нибудь такого беклоггерского

#pentest #web
Киллер-фича для black-box / redteam (и не только) пентеста.
Как банальный пример: Account TakeOver via OTP brute bypass IP Ban (используем iprotate для обхода бана, соответственно)

Сегодня при тестировании одного из веб-ресурсов мне потребовалось обойти блокировки по IP-адресу, но я обнаружил, что в русскоязычных ресурсах совсем нет гайдов на эту тему. Собственно, поэтому с «лёгкой руки» и буквально за 30 минут родилась эта заметка, описывающая один из методов обхода блокировки по айпишнику - с помощью IPRotate расширения для BurpSuite.

Плагин позволяет направлять каждый запрос Burp через AWS API Gateway, а, значит, изменять IP-адрес клиента, видимый целевым сервером.
Использование плагина может быть полезно для перебора учетных данных, обхода ограничений на частоту запросов API или блокировки WAF.
Пошаговая инструкция по ссылке:
https://w0lfreak.medium.com/ip-rotate-burpsuite-18020efe4f79

Приятного чтения и, надеюсь, будет полезно! 😉

#burp #WAF #iprotate #medium #aws #tools

#pentest #AD

Active Directory pen test cheat sheet (Revision #33, march 2023) by BlackWasp

#pentest
Шикарный справочник с ссылками на обучающими ресурсы/пейлоадами/примерами атак, разбитый на темы

Полезно держать такое на втором мониторе, в целом может даже и hacktricks заменить

#pentest #web

pass: 311138

README (en+ru) inside, plz read it before run BS.

Happy Hacking! 🥳

Run with Java 18

Итоги пентестов — 2022 от PT

В Positive Technologies проанализировали состояние защищенности российских компаний1. В ходе пентестов 96% организаций оказались не защищены от проникновения в локальную сеть, во всех организациях был получен полный контроль над инфраструктурой. Получить доступ во внутреннюю сеть компании в среднем оказалось возможно за пять дней и четыре часа. Среди всех обозначенных организациями недопустимых событий для 89% удалось подтвердить возможность их реализации.

Источник + PDF

Дополнительно:
1. 96% российских компаний не сдали пентест
2. 77% организаций в России недостаточно защищены от взлома
3. Обзор рынка услуг тестирования на проникновение
4. Еще аналитика от PT за 2021год
5. За год компании укрепили внешний периметр, но забыли про внутренние сети

#analytics

Итоги пентестов — 2022 Подробный отчет от компании PT

Движение, поворот и настойчивость для пентестеров и этических хакеров.

Продвинутый курс по тестированию на проникновение и этичному хакерству.
MP&P будет охватывать такие темы, как:
📍Генерация списка имен пользователей и паролей
📍Распыление пароля
📍Фишинг по электронной почте
📍Командование и контроль (C2)
📍Сбор и передача учетных данных
📍Маршрутизация, переадресация портов, прокси-серверы SOCKS и использование привязки
📍Наступательный PowerShell
📍Практика в реальных пентестах
📍Общие стратегии исправления всех ситуации
Однако этот курс не предназначен для новичков. Предполагается, что каждый студент имеет базовое или среднее понимание тестирования на проникновение и этического взлома, включая использование Nmap, Metasploit, OWASP ZAP или Burp Suite и других широко используемых инструментов, хотя в курсе будут и использоваться некоторые базовые вещи.
А совсем новичкам не стоит унывать воспользуйтесь закрепом и хештегами, начните с более базового курса

#cours

Movement, Pivoting and Persistence.

Библиотека Cobalt Strike

#движение #поворот #настойчивость 😋