Forwarded from PurpleBear (Vadim Shelest)
Webhooks SSRF Boomerang
Сегодня хочется немного рассказать про атаки на функциональность
Согласно информации из википедии, вебхуки обычно запускаются каким-либо событием, например, отправкой кода в репозиторий или комментарием, публикуемым в блоге. Когда происходит это событие, исходный сайт отправляет HTTP-запрос на URL-адрес, указанный для вебхука. Пользователи могут настроить их так, чтобы события на одном сайте вызывали действия на другом.
Таким образом, вебхуки буквально окружают нас везде, при заказах товаров на маркетплейсах😎, интеграциях CI/CD, k8s, даже оповещения в любимые чатики в месенджерах реализовано с помощью этой технологии.
На этом закончим с теорией и перейдем к практике. Суть атаки заключается в возможности осуществить редирект вебхука для эксплуатации
Данная атака применима в кейсах, когда тестируемый сервис позволяет регистрировать пользовательские вебхуки на веб-сервере под контролем атакующего с доступом к логам. По ссылке доклад с примером с баг-баунти программы
Сегодня хочется немного рассказать про атаки на функциональность
Webhooks aka User Generated Callbacks. По сути современные веб-приложения невозможно представить без функциональности совершения каких-либо действий при наступлении определенных событий. Согласно информации из википедии, вебхуки обычно запускаются каким-либо событием, например, отправкой кода в репозиторий или комментарием, публикуемым в блоге. Когда происходит это событие, исходный сайт отправляет HTTP-запрос на URL-адрес, указанный для вебхука. Пользователи могут настроить их так, чтобы события на одном сайте вызывали действия на другом.
Таким образом, вебхуки буквально окружают нас везде, при заказах товаров на маркетплейсах😎, интеграциях CI/CD, k8s, даже оповещения в любимые чатики в месенджерах реализовано с помощью этой технологии.
На этом закончим с теорией и перейдем к практике. Суть атаки заключается в возможности осуществить редирект вебхука для эксплуатации
SSRF от имени приложения отправившего этот запрос. Но есть сложность в том, что большинство вебхуков это POST/PUT запросы, а для SSRF нам необходимо отправить GET и для этого можно использовать HTTP 303 See Other, при котором веб-сервер автоматически поменяет метод и отправит GET запрос при перенаправлении.Данная атака применима в кейсах, когда тестируемый сервис позволяет регистрировать пользовательские вебхуки на веб-сервере под контролем атакующего с доступом к логам. По ссылке доклад с примером с баг-баунти программы
Docker Hub, с раскрытием ключей AWS IMDS EKS инфраструктуры при проведении этой атаки.YouTube
NSEC2022- Abhay Bhargav - Hook, Line and Sinker - Pillaging API Webhooks
Webhooks are an important part of modern web services. The techniques showcased here will highlight unique attack vectors that can be used to perform SSRF attacks that can lead to cloud compromise
#devops #k8s #docker
При разработке приложений рано или поздно наступает момент, когда заниматься развёртыванием вручную становится затратно и неудобно. Как следствие на помощь приходит автоматизация этого процесса с помощью специально настроенных пайплайнов непрерывной интеграции и непрерывной доставки (Continuous Integration & Continuous Delivery — CI/CD). Для разных систем управления репозиториями исходного кода существуют свои способы настройки CI/CD.
В этой статье мы рассмотрим, как использовать GitLab для организации автоматической сборки и деплоя приложения в кластер Kubernetes. Сам кластер будет работать под управлением Deckhouse Kubernetes Platform (код приложения и процесс настройки кластера авторы описывали в предыдущей статье цикла), а автоматизировать процесс будем с помощью werf — Open Source CLI-утилиты, организующей полный цикл доставки приложения в Kubernetes и использующей Git как единый источник истины для состояния приложения, развёрнутого в кластере.
Please open Telegram to view this post
VIEW IN TELEGRAM
Forwarded from Внутрянка
Материал про пентест 1С
Ardent101
Еще 1 раз про пентест 1С
Введение Настоящий материал по большей части состоит из общедоступных наработок других людей. Целью было проверить указанные наработки на практике и собрать получившиеся результаты в одном месте. Именно этим объясняется название статьи.
Продолжу рассуждение…
Продолжу рассуждение…
Forwarded from Standoff 365
На митапе для профи Standoff Talks Анатолий Иванов, руководитель багбаунти Standoff 365, рассказал, как обнаружить необычное поведение в веб-приложении и сконвертировать его в уязвимость.
Предложенный фреймворк поможет сделать это в четыре шага.
Читай и делись с друзьями!
Please open Telegram to view this post
VIEW IN TELEGRAM
Please open Telegram to view this post
VIEW IN TELEGRAM
Standoff 365
Photo
Толя, как всегда красив, умён и без ипотеки. Что будет после квартиры? Дача на 100 гектар или яхта?)
🌚8😁5
Forwarded from true_security
Написал немного заметок про zabbix и интересные возможности.
читать
читать
Telegraph
заметки про zabbix
Иногда на тестах есть доступ к заббиксу с ограниченными правами, я покажу некоторые интересные вещи на примере заббикса на standoff365. У нас есть доступ к заббиксу с ограниченными правами, доступен только один хост, как на скрине: В самом заббиксе на мониторинге…
Forwarded from true_security
Дополнение к предыдущему посту, zabbix agent умеет в ключ web.page.get, что собственно может быть использовано как ssrf и обход каких либо ограничений.
Привет, Хабр! В этой статье мы разберемся, кто такой специалист по безопасной разработке, какие требования к нему предъявляют работодатели, сколько специалисты этой профессии сегодня зарабатывают и куда можно пойти учиться на AppSec-специалиста.
Please open Telegram to view this post
VIEW IN TELEGRAM
Forwarded from КОД ИБ: информационная безопасность
ИБ-Стар(т)
🗓 29 февраля, 12:00 Мск
В этой рубрике мы рассмотрим основные принципы информационной безопасности, перспективы развития данной области, особенности сферы в России, а также ключевые навыки — как технические, так и мягкие — необходимые для успешной карьеры в этом увлекательном и важном направлении.
📚 Механика
— Что такое ИБ?
— Какие перспективы этой области?
— Из чего состоит ИБ в России
— Хард и софт скиллы
— Мотивация в ИБ
— BugBounty программы
🗣 Эксперт
Сергей Зыбнев, специалист по анализу защищенности компании Awillix.
Зарегистрироваться можно тут.
*тем, кто уже состоит в Клубе Код ИБ | ЗУБРЫ Кибербеза или в Код ИБ академии ссылка на встречу придет на почту.
🗓 29 февраля, 12:00 Мск
В этой рубрике мы рассмотрим основные принципы информационной безопасности, перспективы развития данной области, особенности сферы в России, а также ключевые навыки — как технические, так и мягкие — необходимые для успешной карьеры в этом увлекательном и важном направлении.
📚 Механика
— Что такое ИБ?
— Какие перспективы этой области?
— Из чего состоит ИБ в России
— Хард и софт скиллы
— Мотивация в ИБ
— BugBounty программы
🗣 Эксперт
Сергей Зыбнев, специалист по анализу защищенности компании Awillix.
Зарегистрироваться можно тут.
*тем, кто уже состоит в Клубе Код ИБ | ЗУБРЫ Кибербеза или в Код ИБ академии ссылка на встречу придет на почту.
Forwarded from Cyber Media
🔥 Обзор платформ для практического обучения: направления Offensive и Defensive
В современном цифровом мире безопасность стала одной из наиболее приоритетных задач для организаций и частных лиц. Каждый день появляются новые угрозы, требующие постоянного повышения уровня защиты. И лучше всего это делать на практике.
➡️ В новой статье на сайте сделали обзор ключевых платформ, предназначенных для практики в направлениях Offensive Security — Hack The Box, PortSwigger Academy, TryHackMe, Root-Me и Defensive Security — Defbox, Letsdefend, Defendtheweb, Cyberdefenders.
Отдельно благодарим всех экспертов за уделенное время.
В современном цифровом мире безопасность стала одной из наиболее приоритетных задач для организаций и частных лиц. Каждый день появляются новые угрозы, требующие постоянного повышения уровня защиты. И лучше всего это делать на практике.
Отдельно благодарим всех экспертов за уделенное время.
Please open Telegram to view this post
VIEW IN TELEGRAM
🔥9
Rust из года в год становится популярнее, как у разработчиков, так и в нашей ИБ сфере. На нём можно писать, как безопасные проекты, так и инструменты, которую эту безопасность проверяют. Его выбирают за высокую производительность, удобную экосистему, компилируемость и т.д.
Поэтому рекомендую вам репозиторий, где демонстрируются 44 техники + код, которые будут полезны при RedTeam или R&D.
Please open Telegram to view this post
VIEW IN TELEGRAM
😁7🔥5🐳1
Forwarded from BI.ZONE Bug Bounty
Раньше наша команда проводила встречи «Клуба неанонимных багхантеров». А последний раз мы с вами собирались в офлайне аж летом, на OFFZONE 2023. Пора двигаться дальше!
Представляем вам BUGS ZONE. Это две недели хардкорного багхантинга и закрытый митап в Москве с ограниченным количеством мест. Нескольким счастливчикам уже отправились инвайты, а остальные могут побороться за приглашение: рейтинг при отборе учитываться не будет.
Вот какие этапы вас ждут:
Будет жарко, не пропустите!
Please open Telegram to view this post
VIEW IN TELEGRAM
🔥7
Недавно проскакивала вакансия на разработчика анти-чита Standoff2. Я посмотрел требования, в принципе неплохо. Вспомнил, что писать читы довольно сложно, чтобы они не детектились. На данный момент лучшим анти-читом считается защита у Valorant. Вполне себе игра, которая в комьюнити считается хорошим аналогом CS 2, с точки зрения киберспортивной дисциплины. Но в CS2 читеров много и читы штампуются каждый день.
Но как же связаны мы, безопасники с создателями продвинутых читов?
Тем что, мы делаем постоянно ресерчи, чтобы научиться обходить антивирусные/античит системы. Ведь некоторые механизмы у них общие, к примеру проверка памяти или инициализация до старта системы. Это я всё подводил к такой интересной теме, как программирование kernel драйверов для любых Windows систем.
Please open Telegram to view this post
VIEW IN TELEGRAM
Forwarded from antiSOCial (Anton Kalashnikov)
Привет!🤝
Недавно обнаружил крутую фичу в Burp Suite - макросы
Настолько я удивился такому функционалу, что решил написать коротенькую статью про это😁
Читать: https://teletype.in/@hackerblog/j5dnrOte0dt
Отпишитесь, кто знал, что такая тема есть.
Недавно обнаружил крутую фичу в Burp Suite - макросы
Настолько я удивился такому функционалу, что решил написать коротенькую статью про это😁
Читать: https://teletype.in/@hackerblog/j5dnrOte0dt
Отпишитесь, кто знал, что такая тема есть.
Teletype
Раскрываем секретные функции: магия макросов в Burp Suite
Привет! Если ты думаешь, что знаешь всё о Burp Suite, я тебя удивлю! Этот мощный инструмент для тестирования веб-приложений скрывает...