Что общего у 50-секундного детектива, баскетболистов и разработки фишинговых атак
#история #фишинг

Спойлерить статью не буду, но редактор очень креативно подошла к теме Awareness. Поэтому всем советую почитать эту статью)

➡️ Читать далее

🌚 @poxek

0 == "0" — TRUE

❤️ Prototype Pollution — это атака, с помощью которой изменяют прототип базовых объектов (Object.prototype, Function.prototype, Array.prototype) для модификации хода выполнения программы. Например, если код обращается к свойству window.foo и выполняет его содержимое с помощью eval, то в некоторых ситуациях можно добиться выполнения произвольного кода, переписав в прототипе объекта свойство foo (Object.prototype.foo = 'alert(1)'). Чаще всего на клиенте prototype pollution используется для реализации XSS с помощью изменения GET-параметров.

➡️ Тут можете более подробно почитать про Prototype Pollution

❤️ Но как же я могу вас оставить без автоматизации))

pphack
Прокаченный сканер на Prototype Pollution.

Установка:

go install github.com/edoardottt/pphack/cmd/pphack@latest

FAQ:

Usage:
  pphack [flags]

Flags:
INPUT:
   -u, -url string   Input URL
   -l, -list string  File containing input URLs

CONFIGURATION:
   -c, -concurrency int     Concurrency level (default 50)
   -t, -timeout int         Connection timeout in seconds (default 10)
   -px, -proxy string       Set a proxy server (URL)
   -rl, -rate-limit int     Set a rate limit (per second)
   -ua, -user-agent string  Set a custom User Agent (random by default)

SCAN:
   -p, -payload string            Custom payload
   -js, -javascript string        Run custom Javascript on target
   -jsf, -javascript-file string  File containing custom Javascript to run on target

OUTPUT:
   -o, -output string  File to write output results
   -v, -verbose        Verbose output
   -s, -silent         Silent output. Print only results

Использование:

pphack -u https://edoardottt.github.io/pp-test/

pphack -l targets.txt

также вы можете встроить его в свой pipeline

echo https://edoardottt.github.io/pp-test/ | pphack

cat targets.txt | pphack

❤️ #You_have_been_poxeked

🌚 @poxek

Книга Хакерство. Секреты Мастерства
Библиотека журнала Xakep
Издание 2024 года

🔓 @poxek

🔻Mama AMA Criminal - AMA эфир
#AMA

Что такое AMA (Ask Me Anything) эфир? Стрим, когда вы мне сможете задавать любые адекватные и даже личные вопросы в разумных рамках. Подобное уже делал уважаемый @CuriV на своем канале @pathsecure. Не реклама, если что 🌚 Формат зашёл, решил у себя устроить подобное)

⛈ Основная повестка встречи: Проект Похек, рефлексия про прошлое и будущее, ИБ-неИБ и т.д.

📆 Дата: 17 февраля (суббота), 14:00

⏺ Запись встречи будет

Буду благодарен коллегам за репост!

🌚 @poxek

Признавайтесь! Кто любит фолзы? Правильно, никто :)

Поэтому делюсь с вами Living off the False Positive. Это автогенерируемая коллекция ложных срабатываний, взятых из некоторых наиболее популярных наборов правил. Информация классифицирована по методам ATT&CK, источнику правил и источнику данных. Записи включают детали связанных правил, а также их описание и логику обнаружения.

Цель состоит в том, чтобы предоставить эту информацию как красным, так и синим командам. Красные команды могут использовать эту информацию для маскировки, а синие - для оценки слабых мест в своей логике обнаружения. Интересно, что эта информация также может помочь при сортировке и расследовании предупреждений, позволяя выявить общие False Positive, связанные с определенными методами и источниками данных.

➡️ https://br0k3nlab.com/LoFP/

🌚 @poxek

Это пока анонс, как выйдет, обязательно выложу тут)

P.S. но обещаю, что будет смешно и интересно 😉

SQLMap Cheat Sheet
#sqli #cheatsheet

Очередная, но максимальная полная методчика по использованию sqlmap, включая tamper'sы. Советую всем сохранить на всякий случай)

💻 Github репозиторий

🌚 @poxek

Важное объявление!

Завтра вероятно эфир переноситься на другую дату. Я не успел выздороветь и не хочу вам портить качество стрима. Поэтому, если завтра, не очнусь резко здоровым, то перенесу на другую ближайшую свободную дату.

Не болейте! ❤️

POST based Reflected XSS = SelfXSS, but...

Сама по себе POST based Reflected XSS - хрень. Заставить пользователя ввести в какую-то формочку на сайте вашу полезную нагрузку, звучит как SelfXSS 😁
Но, но, но...

Однако есть несколько сценариев, в которых эти уязвимости вполне можно использовать. Reflected XSS в POST просто нужно соединить с другими уязвимостями. Есть три сценария, которые я хотел бы проиллюстрировать:

- Method Tampering
- Подделка межсайтовых запросов (CSRF)
- Spoofed JSON с CSRF

➡️ Это всё можно изучить в статье от TrustedSec: Цепочка уязвимостей для эксплуатации POST based Reflected XSS

А для любителей практики есть:

git clone https://github.com/hoodoer/postBasedXSS; cd postBasedXSS; pip install -r requirements.txt; python postXssServer.py; xdg-open http://localhost

🌚 @poxek