#ctf
#vulnhub


Прохождение машины WestWild: 1.1: VulnHub.

Здравствуйте, дорогие друзья.

Начнем проходить CTF-челлендж WestWild. Заслуга в создании этой виртуальной машины принадлежит «Хашиму Альшарефу», и это задача boot2root, в которой мы должны получить root права на сервер и захватить флаг, чтобы выполнить задачу.

Уровень безопасности: средний


https://timcore.ru/2022/04/05/prohozhdenie-mashiny-westwild-1-1-vulnhub/

#news

Эксперты обнаружили новый троян удаленного доступа Borat

В даркнете появился новый троян удаленного доступа (RAT) Borat, который может использоваться для DDoS-атак, обхода UAC и развертывания шифровальщиков.

Источник: https://xakep.ru/2022/04/04/borat-rat/

#ctf
#vulnhub

Прохождение машины Broken: Gallery VulnHub.

Здравствуйте, дорогие друзья.

Продолжаем проходить CTF-челленджи, и сегодня рассмотрим виртуальную машину, которая называется «Broken». Ее можно скачать с сайта VulnHub. Заслуга за разработку этой машины для начинающих принаддежит Аврааму Коэну.

Скачать машину можно, перейдя по ссылке: https://www.vulnhub.com/entry/broken-gallery,344/

Это CTF-челлендж на базе Linux, в котором Вы можете использовать свои базовые навыки пентеста для компрометации этой виртуальной машины, чтобы повысить уровень привилегий до root.

https://timcore.ru/2022/04/06/prohozhdenie-mashiny-broken-gallery-vulnhub/

#books
#hacking

Название: Как стать хакером. Сборник практических сценариев, позволяющих понять, как рассуждает злоумышленник.
Автор: Эдриан Прутяну
Год: 2020

Данная книга представляет собой руководство по защите веб-приложений от вредоносных воздействий. Рассматривая всевозможные уязвимости с позиции злоумышленника, автор дает читателям ключ к надежной защите своих ресурсов.

В книге рассматриваются наиболее часто встречающиеся уязвимости и показано, как хакер может использовать их в своих целях. Наряду с этим приводятся практические советы по предупреждению атак. Рассмотрены сценарии, в которых целью атаки может быть популярная система управления контентом или контейнерное приложение и его сеть.

Издание предназначено опытным разработчикам веб-приложений, специа­листам по DevOps, а также будет полезно всем читателям, интересующимся хакерскими атаками и их противодействию.

Материал может быть удален по просьбе правообладателя.

Скачать.

#bug_bounty

#16 Bug Bounty. Гугл Дорки.

Здравствуйте, дорогие друзья.

Введение

Google дорки существуют уже некоторое время. Я буду обсуждать гугл дорки подробнее далее. На данный момент, мы будем использовать дорк «intext» для поиска слов, которые присутствуют на веб-странице.

Дорк

В нижней части большинства страниц сайтов, Вы увидите, своего рода, тег копирайта. Этот уникальный тег можно использовать для поиска доменов, принадлежащих одной и той же компании.

https://timcore.ru/2022/04/07/16-bug-bounty-gugl-dorki/

Название: Cybersecurity: A Practical Engineering Approach.
Автор: Henrique M. D. Santos
Год: 2022

Cybersecurity: A Practical Engineering Approach introduces the implementation of a secure cyber architecture, beginning with the identification of security risks. It then builds solutions to mitigate risks by considering the technological justification of the solutions as well as their efficiency. The process follows an engineering process model. Each module builds on a subset of the risks, discussing the knowledge necessary to approach a solution, followed by the security control architecture design and the implementation. The modular approach allows students to focus on more manageable problems, making the learning process simpler and more attractive.

Скачать.

#news
Троян SharkBot снова проник в Google Play Store

Аналитики Check Point обнаружили, что Android-вредонос SharkBot вновь пробрался в Google Play Store, маскируясь под антивирусные приложения.

Источник: https://xakep.ru/2022/04/08/more-sharkbot/

#ctf
#vulnhub

Прохождение машины GrimTheRipper: 1 VulnHub.

Здравствуйте, дорогие друзья.

Машина доступна на VulnHub, для тестирования на проникновение. Эта лаборатория не так уж сложна, если у Вас есть необходимые базовые знания о взломе машин.

Уровень безопасности: Средний


https://timcore.ru/2022/04/11/prohozhdenie-mashiny-grimtheripper-1-vulnhub/

#news
#bruteforce

Для защиты от брутфорса из Raspberry Pi OS удалили пользователя по умолчанию

Разработчики Raspberry Pi обновили свою ОС, удалив из нее пользователя по умолчанию — pi. Эта мера призвана усложнить жизнь злоумышленникам, чтобы им было сложнее взламывать устройства, доступные через интернет, с использованием брутфорса и учетных данных по умолчанию.

Источник: https://xakep.ru/2022/04/11/ures-pi/

#bug_bounty

#17 Bug Bounty. Разведка — Фаза 2. Словарь.

Здравствуйте, дорогие друзья.

Ваш словарь может помочь Вам на этапе разведки. Плохой список приведет к тому, что Вы пропустите важные активы и конечные точки. Словари позволяют находить новые поддомены, интересные файлы, а также взламывать пароли и многое другое. Использование правильного словаря мгновенно повысит вероятность успеха при поиске уязвимостей.

https://timcore.ru/2022/04/12/17-bug-bounty-razvedka-faza-2-slovar/

#bug_bounty

#18 Bug Bounty. Перечисление поддоменов.

Здравствуйте, дорогие друзья.

Каждый этап поиска уязвимостей жизненно важен, но это особенно актуально в этом разделе. Если Вы не планируете атаковать главный сайт организации, то Вам нужно научиться перечислять поддомены, так как Вы собираетесь найти большее количество целей. Интернет наводнен методами перечисления поддоменов, и все они очень хороши.

https://timcore.ru/2022/04/13/18-bug-bounty-perechislenie-poddomenov/

#bug_bounty

#19 Bug Bounty. Поисковый движок.

Здравствуйте, дорогие друзья.

Гугл Дорки можно использовать для поиска поддоменов со следующим дорком:

● site:

Этот конкретный дорк вернет все ссылки, принадлежащие определенному домену.

https://timcore.ru/2022/04/14/19-bug-bounty-poiskovyj-dvizhok/

#ctf
#vulnhub

Прохождение машины DC-7. VulnHub.

Здравствуйте, дорогие друзья.

Сегодня будем проходить машину «DC-7». Это CTF-челлендж на базе Linux, в котором Вы можете использовать свои базовые навыки пентеста, чтобы скомпрометировать эту виртуальную машину и повысить уровень привилегий до root.


https://timcore.ru/2022/04/15/prohozhdenie-mashiny-dc-7-vulnhub/

Подпишитесь на «Хакер» и прокачайте свои скиллы в ИБ!

После оформления подписки, Вы сможете:

- читать новые актуальные материалы об информационной безопасности,
реверс-инжиниринге, хаках и компьютерных трюках;

- получить доступ к статьям, опубликованным на сайте за все время;

- скачивать PDF со всеми вышедшими номерами.

#cryptography

#9 Криптография. Симметричное шифрование с использованием GnuPG.

Здравствуйте, дорогие друзья.

В этой статье я покажу Вам, как зашифровать файл с помощью gpg. Существует два типа шифрования:

Симметричное, также известное как шифрование с закрытым ключом, и асимметричное или шифрование с открытым ключом.


https://timcore.ru/2022/04/19/9-kriptografija-simmetrichnoe-shifrovanie-s-ispolzovaniem-gnupg/

#news
СМИ: Роскомнадзор планирует создать федеральную систему защиты от DDoS-атак

По информации собственных источников Forbes, близких к Роскомнадзору и администрации президента, регулятор намерен модернизировать оборудование, которое использует для исполнения закона о суверенном интернете, и на его базе создать федеральную систему защиты от DDoS-атак.

Источник: https://xakep.ru/2022/04/19/ddos-protection/

Название: «Практический хакинг интернета вещей. Подробное руководство по атакам на устройства интернета вещей.»
Авторы: Чанцис Ф., Стаис И., Кальдерон П., Деирменцоглу Е., Вудс Б.
Год: 2022

Устройств, управляемых через интернет, с каждым годом становится больше, но не все грамотно оценивают сопутствующие риски. Из этой книги читатель узнает, каким образом подключать умную технику у себя дома и на предприятиях, чтобы наилучшим образом себя обезопасить. Авторы подробно описывают уязвимости
в сфере интернета вещей (IoT), моделируют угрозы и представляют эффективную методологию тестирования умных устройств – от инфузионной помпы до беговой
дорожки. Практические упражнения научат вовремя распознавать угрозы и предотвращать атаки злоумышленников.

Издание будет полезно тестировщикам безопасности, системным администраторам, а также разработчикам и пользователям IoT-систем.

Материал может быть удален по просьбе правообладателя.

Скачать.

#books
#rootkit
#reversing

Название: «Руткиты и буткиты. Обратная разработка вредоносных программ и угрозы следующего поколения.»
Авторы: Алекс Матросов, Евгений Родионов, Сергей Братусь
Год: 2022

Эта книга посвящена обнаружению, анализу и обратной разработке вредоносного ПО. В первой части описываются примеры руткитов, показывающие, как атакующий видит операционную систему изнутри и находит способы надежно внедрить свои импланты, используя собственные структуры ОС.

Вторая часть рассказывает об эволюции буткитов, условиях, подхлестнувших эту эволюцию, и методах обратной разработки таких угроз.

Издание адресовано широкому кругу специалистов по информационной безопасности, интересующихся тем, как современные вредоносные программы обходят защитные механизмы на уровне операционной системы.

Материал может быть удален по просьбе правообладателя.

Скачать.

#bug_bounty

#20 Bug Bounty. Перестановка поддоменов.

Здравствуйте, дорогие друзья.

Один из лучших способов найти скрытые активы — использовать перестановки. Перестановка — это способ изменения набора слов. Например, если у нас есть поддомен test.starbcuks.com и слова dev, stage и production, то мы можем придумать несколько возможных поддоменов. Это может выглядеть так: test.starbucks.com, dev.test.starbucks.com, production-test.starbucks.com и другие.


https://timcore.ru/2022/05/30/20-bug-bounty-perestanovka-poddomenov/