#news
В сеть утекли данные клиентов платформы «Яндекс.Практикум»
Эксперты обнаружили, что в даркнете опубликованы данные сервиса онлайн-образования «Яндекс.Практикум». В компании сообщают, что уже начали внутреннее расследование случившегося.
Источник: https://xakep.ru/2022/06/15/ya-practicum-leak/
В сеть утекли данные клиентов платформы «Яндекс.Практикум»
Эксперты обнаружили, что в даркнете опубликованы данные сервиса онлайн-образования «Яндекс.Практикум». В компании сообщают, что уже начали внутреннее расследование случившегося.
Источник: https://xakep.ru/2022/06/15/ya-practicum-leak/
XAKEP
В сеть утекли данные клиентов платформы «Яндекс.Практикум»
Эксперты обнаружили, что в даркнете опубликованы данные сервиса онлайн-образования «Яндекс.Практикум». В компании сообщают, что уже начали внутреннее расследование случившегося.
#bug_bounty
#28 Bug Bounty. Этап эксплуатации.
Здравствуйте, дорогие друзья.
Этап эксплуатации является завершающим. Этап разведки — это поиск активов, фаза fingerprinting — это определение того, что работает на каждом активе. Фаза эксплуатации связана со взломом Ваших целевых активов.
https://timcore.ru/2022/06/17/28-bug-bounty-jetap-jekspluatacii/
#28 Bug Bounty. Этап эксплуатации.
Здравствуйте, дорогие друзья.
Этап эксплуатации является завершающим. Этап разведки — это поиск активов, фаза fingerprinting — это определение того, что работает на каждом активе. Фаза эксплуатации связана со взломом Ваших целевых активов.
https://timcore.ru/2022/06/17/28-bug-bounty-jetap-jekspluatacii/
Этичный хакинг с Михаилом Тарасовым (Timcore)
#28 Bug Bounty. Этап эксплуатации. - Этичный хакинг с Михаилом Тарасовым (Timcore)
Здравствуйте, дорогие друзья. Этап эксплуатации является завершающим. Этап разведки - это поиск активов, фаза - это определение того, что работает на каждом активе. Фаза эксплуатации связана со взломом Ваших целевых активов.
#news
Уязвимость в Sophos Firewall подвергалась атакам задолго до выхода патча
Эксперты компании Volexity рассказали о том, как хакеры эксплуатировали 0-day уязвимость в Sophos Firewall, которая была исправлена производителем в марте 2022 года. Исследователи говорят, что багом пользовались китайские хакеры из группировки DriftingCloud.
Источник: https://xakep.ru/2022/06/17/driftingcloud/
Уязвимость в Sophos Firewall подвергалась атакам задолго до выхода патча
Эксперты компании Volexity рассказали о том, как хакеры эксплуатировали 0-day уязвимость в Sophos Firewall, которая была исправлена производителем в марте 2022 года. Исследователи говорят, что багом пользовались китайские хакеры из группировки DriftingCloud.
Источник: https://xakep.ru/2022/06/17/driftingcloud/
XAKEP
Уязвимость в Sophos Firewall подвергалась атакам задолго до выхода патча
Эксперты компании Volexity рассказали о том, как хакеры эксплуатировали 0-day уязвимость в Sophos Firewall, которая была исправлена производителем в марте 2022 года. Исследователи говорят, что багом пользовались китайские хакеры из группировки DriftingCloud.
#bug_bounty
#29 Bug Bounty. GitHub.
Здравствуйте, дорогие друзья.
Выполняя первоначальную разведку организации, не забывайте о GitHub. GitHub как правило, используется разработчиками для поддержки и обмена своим кодом, однако, в конечном итоге, они делятся гораздо большим объемом информации. Большинство организаций, с которыми я сталкиваюсь, имеют общедоступный GitHub, который может содержать множество полной инфы. У меня есть кейсы, когда я использовал только информацию, полученную из учетной записи GitHub. В зависимости от размера компании, Вы можете потратить буквально неделю или больше на поиск инфы GitHub.
https://timcore.ru/2022/06/20/29-bug-bounty-github/
#29 Bug Bounty. GitHub.
Здравствуйте, дорогие друзья.
Выполняя первоначальную разведку организации, не забывайте о GitHub. GitHub как правило, используется разработчиками для поддержки и обмена своим кодом, однако, в конечном итоге, они делятся гораздо большим объемом информации. Большинство организаций, с которыми я сталкиваюсь, имеют общедоступный GitHub, который может содержать множество полной инфы. У меня есть кейсы, когда я использовал только информацию, полученную из учетной записи GitHub. В зависимости от размера компании, Вы можете потратить буквально неделю или больше на поиск инфы GitHub.
https://timcore.ru/2022/06/20/29-bug-bounty-github/
Этичный хакинг с Михаилом Тарасовым (Timcore)
#29 Bug Bounty. GitHub. - Этичный хакинг с Михаилом Тарасовым (Timcore)
Выполняя первоначальную разведку организации, не забывайте о GitHub. GitHub как правило, используется разработчиками для поддержки и обмена своим кодом, однако, в конечном итоге, они делятся гораздо большим объемом информации. Большинство организаций, с которыми…
#news
В Минцифры не хотят вводить наказания за использование VPN
В беседе с журналистами глава Минцифры Максут Шадаев сообщил, что власти не намерены вводить наказание для тех, кто пользуется VPN-сервисами, чтобы обходить блокировки. При этом он отмечает, что использование таких приложений не приветствуется.
Источник: https://xakep.ru/2022/06/20/no-punishment-for-vpn/
В Минцифры не хотят вводить наказания за использование VPN
В беседе с журналистами глава Минцифры Максут Шадаев сообщил, что власти не намерены вводить наказание для тех, кто пользуется VPN-сервисами, чтобы обходить блокировки. При этом он отмечает, что использование таких приложений не приветствуется.
Источник: https://xakep.ru/2022/06/20/no-punishment-for-vpn/
XAKEP
В Минцифры не хотят вводить наказания за использование VPN
В беседе с журналистами глава Минцифры Максут Шадаев сообщил, что власти не намерены вводить наказание для тех, кто пользуется VPN-сервисами, чтобы обходить блокировки. При этом он отмечает, что использование таких приложений не приветствуется.
#bug_bounty
#30 Bug Bounty. Неправильно настроенные сегменты облачного хранилища.
Здравствуйте, дорогие друзья.
10 лет назад облачные сервисы, такие как AWS, gcloud и azure, не были чем-то особенным. Компании покупали физические серверы и размещали их у себя. Сегодня компании переносят свою инфраструктуру в облако, так как это удобнее. Однако, облачные сервисы могут быть сложны в настройке, и если Вы не знаете, что делаете, то можете все испортить и внедрить уязвимости в свою среду. Одна из самых популярных уязвимостей заключается в обнаружении открытой корзины облачного хранилища. Эти корзины используются для хранения файлов, поэтому в зависимости от того, что находится в корзине, у Вас может быть доступ к конфиденциальной информации.
https://timcore.ru/2022/06/23/30-bug-bounty-nepravilno-nastroennye-segmenty-oblachnogo-hranilishha/
#30 Bug Bounty. Неправильно настроенные сегменты облачного хранилища.
Здравствуйте, дорогие друзья.
10 лет назад облачные сервисы, такие как AWS, gcloud и azure, не были чем-то особенным. Компании покупали физические серверы и размещали их у себя. Сегодня компании переносят свою инфраструктуру в облако, так как это удобнее. Однако, облачные сервисы могут быть сложны в настройке, и если Вы не знаете, что делаете, то можете все испортить и внедрить уязвимости в свою среду. Одна из самых популярных уязвимостей заключается в обнаружении открытой корзины облачного хранилища. Эти корзины используются для хранения файлов, поэтому в зависимости от того, что находится в корзине, у Вас может быть доступ к конфиденциальной информации.
https://timcore.ru/2022/06/23/30-bug-bounty-nepravilno-nastroennye-segmenty-oblachnogo-hranilishha/
Этичный хакинг с Михаилом Тарасовым (Timcore)
#30 Bug Bounty. Неправильно настроенные сегменты облачного хранилища. - Этичный хакинг с Михаилом Тарасовым (Timcore)
10 лет назад облачные сервисы, такие как AWS, gcloud и azure, не были чем-то особенным. Компании покупали физические серверы и размещали их у себя. Сегодня компании переносят свою инфраструктуру в облако, так как это удобнее. Однако, облачные сервисы могут…
#news
Китайские хакеры атакуют скрипт-кидди
Эксперты Check Point обнаружили новую кампанию китайской хак-группы Tropic Trooper, в рамках которой применяются новый загрузчик Nimbda и новый вариант трояна Yahoyah. Малварь скрывается в инструменте с говорящим названием SMS Bomber, рассчитанном на «начинающих» злоумышленников.
Источник: https://xakep.ru/2022/06/23/malicious-sms-bomber/
Китайские хакеры атакуют скрипт-кидди
Эксперты Check Point обнаружили новую кампанию китайской хак-группы Tropic Trooper, в рамках которой применяются новый загрузчик Nimbda и новый вариант трояна Yahoyah. Малварь скрывается в инструменте с говорящим названием SMS Bomber, рассчитанном на «начинающих» злоумышленников.
Источник: https://xakep.ru/2022/06/23/malicious-sms-bomber/
XAKEP
Китайские хакеры атакуют скрипт-кидди
Эксперты Check Point обнаружили новую кампанию китайской хак-группы Tropic Trooper, в рамках которой применяются новый загрузчик Nimbda и новый вариант трояна Yahoyah. Малварь скрывается в инструменте с говорящим названием SMS Bomber, рассчитанном на «начинающих»…
#books
#html
#css
Название: «Отзывчивый дизайн на HTML5 и CSS3 для любых устройств. 3-е изд».
Автор: Бен Фрэйн
Год: 2022
Вы фуллстек-разработчик, которому нужно развивать навыки фронтенд-разработки? Или фронтенд-разработчик, ищущий качественный обзор современных возможностей HTML и CSS? А может,
вы создаете свой веб-сайт и хотите сделать его отзывчивым? Тогда, эта книга вам просто необходима!
Со времени выхода предыдущего издания многое изменилось, теперь отзывчивый дизайн — это
не новая технология, а стандарт разработки на HTML5 и CSS3. Неформальный и открытый стиль
автора позволяет быстро освоить все возможности современного веб-дизайна. Вы получите практические знания о SVG, разметке HTML, создании потрясающей эстетики и эффектов с помощью
CSS, переходах, преобразованиях и анимациях и многом другом. Если же вы опытный веб-игрок, то
смело переходите к новым темам — гридам (CSS Grid layout) или вариативным шрифтам.
Скачать книгу.
#html
#css
Название: «Отзывчивый дизайн на HTML5 и CSS3 для любых устройств. 3-е изд».
Автор: Бен Фрэйн
Год: 2022
Вы фуллстек-разработчик, которому нужно развивать навыки фронтенд-разработки? Или фронтенд-разработчик, ищущий качественный обзор современных возможностей HTML и CSS? А может,
вы создаете свой веб-сайт и хотите сделать его отзывчивым? Тогда, эта книга вам просто необходима!
Со времени выхода предыдущего издания многое изменилось, теперь отзывчивый дизайн — это
не новая технология, а стандарт разработки на HTML5 и CSS3. Неформальный и открытый стиль
автора позволяет быстро освоить все возможности современного веб-дизайна. Вы получите практические знания о SVG, разметке HTML, создании потрясающей эстетики и эффектов с помощью
CSS, переходах, преобразованиях и анимациях и многом другом. Если же вы опытный веб-игрок, то
смело переходите к новым темам — гридам (CSS Grid layout) или вариативным шрифтам.
Скачать книгу.
Подпишитесь на «Хакер» и прокачайте свои скиллы в ИБ!
Оформляйте годовую подписку на электронный журнал «Хакер», и
получайте 20%-ю скидку, перейдя по ссылке:
https://xakep.ru/paywall/form/?init&code=xakep-promo-Timcore
Стоимость годовой подписки: 9 900 руб. (без скидки).
После оформления подписки, Вы сможете:
- читать новые актуальные материалы об информационной безопасности,
реверс-инжиниринге, хаках и компьютерных трюках;
- получить доступ к статьям, опубликованным на сайте за все время;
- скачивать PDF со всеми вышедшими номерами.
Оформляйте годовую подписку на электронный журнал «Хакер», и
получайте 20%-ю скидку, перейдя по ссылке:
https://xakep.ru/paywall/form/?init&code=xakep-promo-Timcore
Стоимость годовой подписки: 9 900 руб. (без скидки).
После оформления подписки, Вы сможете:
- читать новые актуальные материалы об информационной безопасности,
реверс-инжиниринге, хаках и компьютерных трюках;
- получить доступ к статьям, опубликованным на сайте за все время;
- скачивать PDF со всеми вышедшими номерами.
#hacking
Немного про начинающих в этичном хакинге.
Многие идеализируют профессию этичного хакера. Да, не спорю, знать нужно много, и порог вхождения в специальность высокий, хотя для кого-то это образ жизни (например, для меня). Я живу этим, и многого еще не знаю, но интерес не угасает. В хакинге я 6-й год уже, к слову сказать.
На начальном этапе Вы не сможете обладать даже базовыми скилами в хакинге, потому что нет достаточных знаний, и нужно это понимать и принимать.
Ваша задача, быть увлеченным и интересующимся в технологическом стеке, чтобы не превращаться в скрипт-кидди. Если интерес и желание узнавать информацию есть, то все у Вас хорошо и будет хорошо.
https://timcore.ru/2022/06/24/nemnogo-pro-nachinajushhih-v-jetichnom-hakinge/
Немного про начинающих в этичном хакинге.
Многие идеализируют профессию этичного хакера. Да, не спорю, знать нужно много, и порог вхождения в специальность высокий, хотя для кого-то это образ жизни (например, для меня). Я живу этим, и многого еще не знаю, но интерес не угасает. В хакинге я 6-й год уже, к слову сказать.
На начальном этапе Вы не сможете обладать даже базовыми скилами в хакинге, потому что нет достаточных знаний, и нужно это понимать и принимать.
Ваша задача, быть увлеченным и интересующимся в технологическом стеке, чтобы не превращаться в скрипт-кидди. Если интерес и желание узнавать информацию есть, то все у Вас хорошо и будет хорошо.
https://timcore.ru/2022/06/24/nemnogo-pro-nachinajushhih-v-jetichnom-hakinge/
Этичный хакинг с Михаилом Тарасовым (Timcore)
Немного про начинающих в этичном хакинге. - Этичный хакинг с Михаилом Тарасовым (Timcore)
Многие идеализируют профессию этичного хакера. Да, не спорю, знать нужно много, и порог вхождения в специальность высокий, хотя для кого-то это образ жизни (например, для меня). Я живу этим, и многого еще не знаю, но интерес не угасает. В хакинге я 6-й год…
#news
Билдер Quantum помогает создавать вредоносные LNK-файлы
Компания Cyble опубликовала отчет, посвященный новому вредоносному инструменту Quantum Lnk Builder, который позволяет создавать вредоносные файлы ярлыков Windows (.LNK), подделать расширения, выбирая более чем из 300 иконок, а также обходить UAC и Windows SmartScreen.
Источник: https://xakep.ru/2022/06/24/quantum-lnk-builder/
Билдер Quantum помогает создавать вредоносные LNK-файлы
Компания Cyble опубликовала отчет, посвященный новому вредоносному инструменту Quantum Lnk Builder, который позволяет создавать вредоносные файлы ярлыков Windows (.LNK), подделать расширения, выбирая более чем из 300 иконок, а также обходить UAC и Windows SmartScreen.
Источник: https://xakep.ru/2022/06/24/quantum-lnk-builder/
XAKEP
Билдер Quantum помогает создавать вредоносные LNK-файлы
Компания Cyble опубликовала отчет, посвященный новому вредоносному инструменту Quantum Lnk Builder, который позволяет создавать вредоносные файлы ярлыков Windows (.LNK), подделать расширения, выбирая более чем из 300 иконок, а также обходить UAC и Windows…
#bug_bounty
#31 Bug Bounty. Облачное хранилище Google.
Здравствуйте, дорогие друзья.
Облачное хранилище Google, в частности, корзины Amazon S3, — это место для хранения файлов. Как и S3 Buckets, облачное хранилище Google также уязвимо для анонимного списка файлов. Следующий инструмент можно использовать для брутфорса имен корзин. Аналогично AWS —
этот инструмент использует перестановки для создания имен корзин.
● https://github.com/RhinoSecurityLabs/GCPBucketBrute
https://timcore.ru/2022/06/27/31-bug-bounty-oblachnoe-hranilishhe-google/
#31 Bug Bounty. Облачное хранилище Google.
Здравствуйте, дорогие друзья.
Облачное хранилище Google, в частности, корзины Amazon S3, — это место для хранения файлов. Как и S3 Buckets, облачное хранилище Google также уязвимо для анонимного списка файлов. Следующий инструмент можно использовать для брутфорса имен корзин. Аналогично AWS —
этот инструмент использует перестановки для создания имен корзин.
● https://github.com/RhinoSecurityLabs/GCPBucketBrute
https://timcore.ru/2022/06/27/31-bug-bounty-oblachnoe-hranilishhe-google/
GitHub
GitHub - RhinoSecurityLabs/GCPBucketBrute: A script to enumerate Google Storage buckets, determine what access you have to them…
A script to enumerate Google Storage buckets, determine what access you have to them, and determine if they can be privilege escalated. - RhinoSecurityLabs/GCPBucketBrute
#pwn
#reverse_engineering
Pwn 2. Переполнение буфера. Перетирание переменных
https://www.youtube.com/watch?v=dufqyid8b-Q
#reverse_engineering
Pwn 2. Переполнение буфера. Перетирание переменных
https://www.youtube.com/watch?v=dufqyid8b-Q
YouTube
Pwn 2. Переполнение буфера. Перетирание переменных
Встреча SPbCTF (https://vk.com/spbctf)
Влад Росков показывает, как работают переполнения буфера, и что с помощью них можно достичь
Порешать таски — https://pwn.spbctf.ru
Бинарник demo2 — https://t.me/spbctf/156146
✄ − − − − − − − − − − − − − − − − − − −…
Влад Росков показывает, как работают переполнения буфера, и что с помощью них можно достичь
Порешать таски — https://pwn.spbctf.ru
Бинарник demo2 — https://t.me/spbctf/156146
✄ − − − − − − − − − − − − − − − − − − −…
#hacking
#vulnhub
Прохождение машины DC: 1 VulnHub.
Здравствуйте, дорогие друзья.
Сегодня будем проходить машину с площадки VulnHub, которая называется: DC: 1.
Заслуга в создании этой виртуальной машины принадлежит «DCAU7», и это еще одна задача boot2root, в которой наша цель — получить root-доступ.
Уровень безопасности: Новичок.
https://timcore.ru/2022/06/27/prohozhdenie-mashiny-dc-1-vulnhub/
#vulnhub
Прохождение машины DC: 1 VulnHub.
Здравствуйте, дорогие друзья.
Сегодня будем проходить машину с площадки VulnHub, которая называется: DC: 1.
Заслуга в создании этой виртуальной машины принадлежит «DCAU7», и это еще одна задача boot2root, в которой наша цель — получить root-доступ.
Уровень безопасности: Новичок.
https://timcore.ru/2022/06/27/prohozhdenie-mashiny-dc-1-vulnhub/
Этичный хакинг с Михаилом Тарасовым (Timcore)
Прохождение машины DC: 1 VulnHub. - Этичный хакинг с Михаилом Тарасовым (Timcore)
Здравствуйте, дорогие друзья.Сегодня будем проходить машину с площадки которая называется: Заслуга в создании этой виртуальной машины принадлежит «DCAU7», и это еще одна задача boot2root, в которой наша цель — получить root-доступ. Вы можете скачать эту виртуальную…
#news
Фишеры могут обойти многофакторную аутентификацию с помощью Microsoft WebView2
ИБ-эксперт, известный под ником mr.d0x, разработал новую технику атак, которая злоупотребляет приложениями Microsoft Edge WebView2 для кражи аутентификационных файлов cookie. Теоретически это позволяет обойти многофакторную аутентификацию при входе в украденные учетные записи.
Источник: https://xakep.ru/2022/06/27/webview2-phishing/
Фишеры могут обойти многофакторную аутентификацию с помощью Microsoft WebView2
ИБ-эксперт, известный под ником mr.d0x, разработал новую технику атак, которая злоупотребляет приложениями Microsoft Edge WebView2 для кражи аутентификационных файлов cookie. Теоретически это позволяет обойти многофакторную аутентификацию при входе в украденные учетные записи.
Источник: https://xakep.ru/2022/06/27/webview2-phishing/
XAKEP
Фишеры могут обойти многофакторную аутентификацию с помощью Microsoft WebView2
ИБ-эксперт, известный под ником mr.d0x, разработал новую технику атак, которая злоупотребляет приложениями Microsoft Edge WebView2 для кражи аутентификационных файлов cookie. Теоретически это позволяет обойти многофакторную аутентификацию при входе в украденные…
#bug_bounty
#32 Bug Bounty. Elastic Search DB.
Здравствуйте, дорогие друзья.
Вы, наверное, слышали о популярной реляционной базе данных MySQL Elastic Search, такой как MySQL, которая представляет собой базу данных, используемую для хранения и запроса информации. Однако Elastic Search обычно используется для выполнения полнотекстового поиска в очень больших наборах данных.
https://timcore.ru/2022/06/30/32-bug-bounty-elastic-search-db/
#32 Bug Bounty. Elastic Search DB.
Здравствуйте, дорогие друзья.
Вы, наверное, слышали о популярной реляционной базе данных MySQL Elastic Search, такой как MySQL, которая представляет собой базу данных, используемую для хранения и запроса информации. Однако Elastic Search обычно используется для выполнения полнотекстового поиска в очень больших наборах данных.
https://timcore.ru/2022/06/30/32-bug-bounty-elastic-search-db/
Этичный хакинг с Михаилом Тарасовым (Timcore)
#32 Bug Bounty. Elastic Search DB. - Этичный хакинг с Михаилом Тарасовым (Timcore)
Вы, наверное, слышали о популярной реляционной базе данных MySQL Elastic Search, такой как MySQL, которая представляет собой базу данных, используемую для хранения и запроса информации. Однако Elastic Search обычно используется для выполнения полнотекстового…
Подпишитесь на «Хакер» и прокачайте свои скиллы в ИБ!
Оформляйте годовую подписку на электронный журнал «Хакер», и
получайте 20%-ю скидку, перейдя по ссылке:
https://xakep.ru/paywall/form/?init&code=xakep-promo-Timcore
Стоимость годовой подписки: 9 900 руб. (без скидки).
После оформления подписки, Вы сможете:
- читать новые актуальные материалы об информационной безопасности,
реверс-инжиниринге, хаках и компьютерных трюках;
- получить доступ к статьям, опубликованным на сайте за все время;
- скачивать PDF со всеми вышедшими номерами.
Оформляйте годовую подписку на электронный журнал «Хакер», и
получайте 20%-ю скидку, перейдя по ссылке:
https://xakep.ru/paywall/form/?init&code=xakep-promo-Timcore
Стоимость годовой подписки: 9 900 руб. (без скидки).
После оформления подписки, Вы сможете:
- читать новые актуальные материалы об информационной безопасности,
реверс-инжиниринге, хаках и компьютерных трюках;
- получить доступ к статьям, опубликованным на сайте за все время;
- скачивать PDF со всеми вышедшими номерами.