🖼️ Как собрать контейнер и не вооружить хакера
#docker #контейнер #k8s

Проблемы с безопасностью
Типичные проблемы, связанные с информационной безопасностью контейнеров:

Уязвимые компоненты. Когда вы деплоите и собираете контейнер с уязвимыми компонентами, то они никуда не денутся и всегда будут в нём присутствовать.

Ошибки конфигурации. Когда в среде выполнения контейнеров или в самих контейнерах допущены ошибки при конфигурировании, злоумышленник может этим воспользоваться.

Наличие root-пользователя в контейнере. Эта проблема может звучать немного по-детски. Но это бич многих компаний — часто у них запускаются продукты от привилегированного пользователя внутри контейнеров. Тоже запускаете свои приложения в контейнере под root’ом? Мы расскажем, почему так однозначно не стоит делать.

➡️Читать далее

🌚 @poxek | 📺 RuTube | 🌚 Мерч Похек

Безопасность на автопилоте: взламываем авиакомпанию, чтобы летать бесплатно
#бастион #авиа

От себя добавлю, что статья большая, подробная и поэтому максимально рекомендую к прочтению!

Представьте: вы заказываете пентест, ожидая найти пару-тройку мелких багов, а в итоге получаете отчет, от которого волосы встают дыбом даже у бывалых айтишников. Знакомая ситуация? Нет? Пристегните ремни — сейчас будет турбулентность.
Сегодня у нас в блоге горячая история о том, как одна авиакомпания чуть не отправилась на небеса кибербезопасности. В этой статье мы разберем, как наша команда прошла путь от невинной SSRF-уязвимости до полного контроля над доменом заказчика. Спойлер: по пути мы нашли возможность генерировать бесконечные промокоды, отправлять SMS от имени компании и даже заглянули в святая святых — систему 1С.

❤️ Временно убрали публикацию

🌚 @poxek | 📺 RuTube | 🌚 Мерч Похек

😎 Burp Suite: надежный инструмент пентестера или источник головной боли

Burp Suite — это широко известный инструмент для пентестеров и багхантеров, который позволяет проводить глубокий анализ безопасности приложений. Он содержит массу функций и возможностей, но вместе с тем может представлять и серьезные вызовы.

➡️ В новой статье на сайте разобрались, с какими трудностями сталкиваются пентестеры при использовании Burp Suite, как справиться с «крякнутыми» версиями и есть ли альтернативы этому инструменту.

🌚 @poxek_meme

Docker Privilege Escalation
#docker #privesc

Прикольная техника, почему-то раньше о ней не задумывался. Начал вроде бы обычное, монтируем в привилегированный контейнер файловую систему. Далее через chroot создаём нового пользователя в хостовой файловой системе, но от имени рута нашего контейнера. Устанавливаем пароль. Далее чтобы добавить рута, нам необходимо создать группу sudo, а чтобы её создать надо установить sudo внутрь контейнера. Далее создаём группу sudo, добавляем в неё нашего нового пользователя. Заходим на хостовую систему и спокойно авторизуемся под новым пользователем с помощью su <user>. Добавляем себя в sudoers и вауля. Всё готово :D

➡️ Читать понятнее подробнее

🌚 @poxek | 📺 RuTube | 🌚 Мерч Похек

⚙️Нужна ли безопасная разработка вендору коммерческого ПО?

Недавно мы рассматривали, в каких ситуациях организациям стоит задуматься о внедрении процесса безопасной разработки программного обеспечения (БРПО). Сегодня давайте обсудим, нужна ли БРПО вендорам коммерческого ПО.

➡️Если рассматривать внедрение процессов БРПО с экономической точки зрения, очевидно, что дополнительные затраты на данные процессы влияют на себестоимость продукта и компенсируются за счет увеличения его стоимости для клиентов. Возрастание цены может позитивно восприниматься клиентами при условии повышения ценности от продукта, а также в случае дополнительных бенефитов безопасности (что не всегда очевидно).

➡️Кроме того, при внедрении БРПО компания может получить возможность поставки своих продуктов организациям или целым отраслевым сегментам, которые ранее были недоступны из-за специфических внутренних или регуляторных требований.

➡️С другой стороны, игнорирование вопросов безопасности в ходе разработки ПО может привести к незапланированным расходам на исправления уязвимостей, которые выявляются в коммерческой эксплуатации. Это может спровоцировать ощутимый рост себестоимости, не лучшим образом повлиять на репутацию компании-разработчика, а также отразиться на экономических показателях.


Если вендор коммерческого ПО задумывается о необходимости внедрения подходов безопасной разработки и не находит однозначного ответа, рекомендуем ответить на следующие вопросы:

✅Насколько для ваших пользователей важна безопасность?
✅Готов ли пользователь заплатить чуть больше за ПО, получив гарантии безопасности?
✅Соизмерима ли стоимость по устранению уязвимостей и возможный ущерб репутации компании со стоимостью внедрения процессов БРПО?
✅Получит ли компания новые рынки, выполнив требования по безопасной разработке?

Если хотя бы на 2 вопроса вы ответили положительно, рекомендуем задуматься о внедрении процесса безопасной разработки.

#БРПО #DevSecOps

💬tg_AC

Ледибаг в деле. Как найти уязвимости в Android и попасть в топ белых хакеров Google
#android #google #bugbounty

Ни для кого не секрет, что багхантинг с каждым годом набирает популярность, привлекая внимание как компаний, стремящихся повысить безопасность своих продуктов, так и белых хакеров, желающих применить свои технические навыки и заработать на поиске уязвимостей. Все больше компаний создают собственные багбаунти-программы, некоторые интегрируются в уже существующие площадки.

В 2010 году, когда направление багбаунти еще не получило широкой известности, корпорация Google запустила свою программу вознаграждений за уязвимости. С тех пор в Google Vulnerability Reward Program поучаствовало более 3000 исследователей безопасности. Каждый год Google обновляет списки своих лучших багхантеров, которые нашли наибольшее количество уязвимостей в их продуктах. И нам удалось пообщаться с одной из них.

➡️Читать дальше

🌚 @poxek | 📺 RuTube | 🌚 Мерч Похек

Доклады с VolgaCTF 2024
#volgactf #CTF

📺 YouTube Плейлист

🌚 @poxek | 📺 RuTube | 🌚 Мерч Похек

Бэкстейдж

🌚 @poxek | 📺 RuTube | 🌚 Мерч Похек

Удобная подача списка url в ffuf по очереди
#ffuf #заметка

cat domains.txt | xargs -I@ sh -c 'ffuf -w wordlists.txt -u @/FUZZ -mc 200'

🌚 @poxek | 📺 RuTube | 🌚 Мерч Похек

Обход замедления Discord в 5 шагов
#заметка

1. Открываем консоль Google — тут. У меня консоль открывалась очень долго, просто подождите.
2. curl -sSL https://raw.githubusercontent.com/ImMALWARE/bash-warp-generator/main/warp_generator.sh | bash
3. Там сформируется WARP.conf в текстовом варианте и в виде ссылки.
4. Скачайте клиент AmneziaWG: Windows, Linux
5. Импортируем конфиг и запускаем

🌚 @poxek | 📺 Youtube | 📺 RuTube | 📺 VK Видео | 🌚 Магазин мерча

А сегодня смотрим блиц с Юрой circuit Ряднина.

Итак, вопросы те же:

🔗 Kill Chain или низко висящие фрукты?
🏖 Отдых на ивенте для багхантеров или поиск багов?
🤫 Приватка или паблик?
👾 Самая первая бага и самая большая выплата?

а вот ответы… 👀 вас, возможно, удивят.

PS: кстати, а как вам выпуск подкаста с багхантерами? Уже успели посмотреть? Если нет, то впереди выходные – запасайтесь попкорном и го смотреть 🍿

📱 VK Видео | 📱YouTube | 📺 RUTUBE

#bugbounty

Нам так понравилось общаться с багхантерами, что мы попросили каждого гостя подкаста ответить еще на несколько вопросов в формате блиц.

👀 Сегодня смотрим и слушаем, что Алексей Трофимов (он же kwel), ответил на вопросы:

🍎 Низко висящий фрукт или Kill Chain?
😎 Приватка или паблик?
🍿 Охота за багами или отдых на ивенте?
🤓 Самая первая бага, за которую получил вознаграждение
💲 Самая большая выплата

#bugbounty

ПРЕДЗАКАЗ Новый мерч Похек | Оверсайз Худи Вы мержите Мы смотрим
#похек #poxek #мерч

⚡️ Коллаборация с каналом Blue (h/c)at Café

❗️ https://shop.poxek.cc/product/hudi-vy-merzhite-my-smotrim

➡️После 20 предзаказов оформлю его и будет готово через 15-20 дней

🌚 @poxek | 📺 Youtube | 📺 RuTube | 📺 VK Видео | 🌚 Магазин мерча

Подборка должностей в ИБ от "Инфосистемы Джет"
#jetinfo #должностная_карта

Часто стал слышать, что вот в пентесте конкуренция высокая. Что правда, но а чего вы ожидали?)

Поэтому для тех, кто не хочет в пентест или боится конкуренции, вот табличка понятная.

🌚 @poxek | 📺 Youtube | 📺 RuTube | 📺 VK Видео | 🌚 Магазин мерча

😈 Кастомные правила Logger++
#logger #burpsuite #portswigger

Все знакомы с Logger++ в Burp Suite, но мало кто его использует. Хотя в Logger из коробки есть недостатки некоторые, с которыми лично я не встречался, но в разных чатах порой вижу жалобы. Для таких ценителей высокого было разработано расширение Logger++. Преимуществ у него много, можете прочитать на сайте.

Но естественно я пишу этот пост не ради напоминания об этом расширении, а о расширении этого расширения. Как бы странно это не звучало)

Logger++ Custom Filters - очередной индус написал годноту для нас) Собственно это список фильтров для Logger++, который позволит в real time подсвечивать вам какие-нибудь "точки интереса" или ключи, которые пролетают в запросах и ответах.
В посте собрал самые интересные на мой взгляд:

➡️REST API

(Request.Path CONTAINS "api" OR Request.Host CONTAINS "api") AND !(Request.Method == "OPTIONS

➡️GraphQL

(Request.Path CONTAINS "graphql" OR Request.Host CONTAINS "graphql") AND !(Request.Method == "OPTIONS")

➡️Google_API_Key

Response.Body == /AIza[0-9A-Za-z\\-_]{35}/

➡️GCP_OAUTH_KEY

Response.Body == /[0-9]+-[0-9A-Za-z_]{32}\\.apps\\.googleusercontent\\.com/

➡️GCP_Service_KEY

Response.Body == /\"type\": \"service_account\"/

➡️GOOGLE_OAUTH_KEY

Response.Body == /ya29\\.[0-9A-Za-z\\-_]+/

➡️Firebase_URL

Response.Body == /.*firebaseio\.com/

➡️GitHub_KEY

Response.Body == /[g|G][i|I][t|T][h|H][u|U][b|B].*['|\"][0-9a-zA-Z]{35,40}['|\"]/

➡️CSRF & SSRF

Request.Method == "POST" AND !(Request.Headers CONTAINS "Content-Type: application/json" OR Response.Headers CONTAINS "application/json")

Request.Method == "POST" OR (Request.Headers CONTAINS "Content-Type: application/json" AND Request.Headers CONTAINS "Content-Length: 0")

(Request.Query MATCHES ".*(http%3A%2F%2F|https%3A%2F%2F)?(www.)?[a-z0-9]+([\-\.]{1}[a-z0-9]+)*\.[a-z]{2,5}.*" OR Request.Body MATCHES ".*(http%3A%2F%2F|https%3A%2F%2F)?(www.)?[a-z0-9]+([\-\.]{1}[a-z0-9]+)*\.[a-z]{2,5}.*")

➡️CORS Misconfiguration

!(Request.Headers CONTAINS "Authorization:") AND (Response.Headers CONTAINS "Access-Control-Allow-Credentials" OR Response.Headers CONTAINS "Access-Control-Allow-Origin")

📱 Github

🌚 @poxek | 📺 Youtube | 📺 RuTube | 📺 VK Видео | 🌚 Магазин мерча