#ceh
#sniffer
#sniffing

#16 Руководство по подготовке сертифицированного этичного хакера (CEH). Снифферы.

Здравствуйте, дорогие друзья.

В этом разделе Вы узнаете о сниффинге, и о том, как используется эта техника. Вы получите представление о протоколах, которые могут быть уязвимы для сниффинга, и как обнаруживать типы атак сниффинга. В этом разделе Вы также познакомитесь с мерами противодействия сниффингу. Вы также узнаете о разных видах социальной инженерии, плюс контрмеры по защите пользователей от нападения.

Подробнее: https://timcore.ru/2022/08/10/16-rukovodstvo-po-podgotovke-sertificirovannogo-jetichnogo-hakera-ceh-sniffery/

#kali_linux
#kali

Релиз Kali Linux 2022.3 (Discord и тестовая лаборатория).

В свете «Hacker Summer Camp 2022» (BlackHat USA, BSides LV и DEFCON), который проходит прямо сейчас, мы хотели выпустить Kali Linux 2022.3 в качестве приятного сюрприза для всех! С публикацией этого сообщения в блоге у нас есть ссылки для загрузки, готовые для немедленного доступа, или вы можете обновить любую существующую установку.

Подробнее: https://timcore.ru/2022/08/10/reliz-kali-linux-2022-3-discord-i-testovaja-laboratorija/

#books
#pytnon

Название: Python. Полное руководство.
Автор: Кольцов Д. М.
Год: 2022

Эта книга поможет вам освоить язык программирования Python
практически с нуля, поэтапно, от простого к сложному. Первая часть
книги посвящена базовым основам языка: переменные и типы данных,
операторы, циклы и условные операторы, математические функции,
кортежи, множества и словари, итераторы и генераторы, модули и
пакеты, а также многое другое.

Во второй части книги перейдем к более сложным вещам
в программирование, объектно-ориентированное Python:
метапрограммирование, многопоточность и масштабирование.
Отдельное внимание будет уделено документированию своего
проекта в Python, контролю и оптимизации кода.

Теоретическая часть книги сопровождается практическими примерами, позволяющими на
практике осваивать полученные теоретические знания.
Книга будет полезна как начинающим, так и тем, кто хочет улучшить
свои навыки программирования на Python.

Скачать.

#bug_bounty
#standoff

Bug Bounty от VK уже на The Standoff 365

VK — крупнейшая технологическая компания, создающая проекты и сервисы для российского потребителя. Вы или ваши родственники на регулярной основе пользуетесь десятками из них: от почты и социальных сетей до каршеринга, доставки продуктов и обучения.

Компания не первый год даёт хакерам поле для охоты на уязвимости за вознаграждение. В вашем распоряжении будет 40+ проектов. Сегодня запустили первую партию:

▪️ социальные сети ВКонтакте и Одноклассники;
▪️ образовательные платформы GeekBrains, Skillbox, Алгоритмика, Тетрика и Учи.ру;
▪️ почтовый сервис Mail.ru;
▪️ облачная платформа VK Cloud Solutions;
▪️ набор коммуникационных сервисов TAPM (Типовое Автоматизированное Рабочее Место).

⚡️ Максимальная награда за уязвимости — до 1,8 млн рублей (в зависимости от уровня угрозы).

Искать уязвимости 👉 bugbounty.standoff365.com/vendors/vk

#ceh
#social_engineering

#17 Руководство по подготовке сертифицированного этичного хакера (CEH). Социальная инженерия.

Здравствуйте, дорогие друзья.

Злоумышленник часто копирует веб-сайт жертвы и использует его позже, когда выполняет целевые фишинговые атаки. Если человек заходит на один и тот же сайт каждый день, этот пользователь с меньшей вероятностью внимательно изучит URL-адрес. Wget — это один из инструментов, который можно использовать для копирования веб-сайта

Подробнее: https://timcore.ru/2022/08/11/17-rukovodstvo-po-podgotovke-sertificirovannogo-jetichnogo-hakera-ceh-socialnaja-inzhenerija/

#books
#bug_bounty

Name: Bug Bounty Bootcamp. The Guide to Finding and Reporting
Web Vulnerabilities
Author: Vickie Li
Year: 2021

Bug Bounty Bootcamp teaches you how to hack web applications. You will learn how to perform reconnaissance on a target, how to identify vulnerabilities, and how to exploit them. You'll also learn how to navigate bug bounty programs set up by companies to reward security professionals for finding bugs in their web applications.

Bug bounty programs are company-sponsored programs that invite researchers to search for vulnerabilities on their applications and reward them for their findings. This book is designed to help beginners with little to no security experience learn web hacking, find bugs, and stay competitive in this booming and lucrative industry.

Скачать.

#news
#darknet

Новые маркетплейсы в даркнете якобы связаны с мексиканскими картелями

Аналитики из компании DarkOwl обратили внимание, что в даркнете появилось сразу несколько новых маркетплейсов, которые якобы работают под эгидой известных мексиканских картелей. На таких сайтах торгуют наркотиками, предлагают услуги киллеров и утверждают, что ресурсы поддерживают «опытные» игроки из соответствующих областей.

Источник: https://xakep.ru/2022/08/11/darknet-cartel-marketplaces/

#news

Исследователь взломал терминал Starlink с помощью самодельной платы за 25 долларов

Эксперт из Левенского католического университета Леннерт Воутерс (Lennert Wouters) рассказал, что ему удалось скомпрометировать терминал Starlink с помощью мод-чипа стоимостью всего 25 долларов. На конференции Black Hat 2022 Воутерс сообщил, что намерен сделать этот инструмент доступным для копирования.

Источник: https://xakep.ru/2022/08/12/starlink-attack/

#hackthebox
#htb
#hacking

HackTheBox - Phoenix

01:00 - Start of nmap
02:22 - Taking a look at the SSL Certificates and website to find blog/forum
04:57 - Running WPScan, explaining why i like aggressive scanning
09:00 - Finding public vulnerability in Asgaros Forms (Blind Time Based SQLi)
10:45 - Running SQLMap to confirm the injection
21:00 - Examining the Wordpress Database structure, so we can run SQLMap to dump very specific things
25:20 - Cracking wordpress credentials to find out we can't use any because of MFA
30:10 - Using our SQL Injection to dump a list of activated plugins in wordpress
32:00 - Finding an exploit in the Download From Files plugin, converting it to ignore SSL Validation Errors
35:45 - Uploading a malicious phtml (php) file to get a shell on the box
41:00 - Examining how MFA is enabled on SSH/SU by looking at PAM files
42:10 - Discovering the 10.11.12.13 network can bypass MFA, which our host is on.
45:10 - Using find to show files created between two dates
48:20 - Discovering backups are created in /backups and explaining why we cannot view other users processes (hidepid)
48:50 - Looking in the */local/bin directories to discover an obfuscated shell script (sh.x)
51:30 - Running the script and then examining the /proc/pid directory to find the shell script unobfuscated in the cmdline
52:50 - Explaining wildcard injection
56:00 - Exploiting the wildcard injection in rsync
57:30 - Showing how we could of used the SQL Injection to leak all the secrets in the MFA Plugin and generate our own codes
59:10 - Looking at the MiniOrange MFA Source Code, the uninstall.php shows a lot of good information
1:03:45 - Showing how to do a "pretty print" or format output better in a MySQL Command (using \G instead of ;)
1:06:45 - Failing to generate a QR Code that we can use google authenticator to login with
1:12:44 - Going back to the source code to find another way to generate MFA Codes
1:15:45 - Fixing our generator script to decrypt the secret which we can paste to oauthtool and get a MFA Code

https://www.youtube.com/watch?v=Zngo-QzZYtw

#tcpdump
#pentest

tcpdump Cheat Sheet

#books
#wordpress

Название: Разработка веб-приложений на WordPress.
Авторы: Брайан Мессенленер, Джейсон Коулман
Год: 2021

Подробно рассматривается создание веб-приложений на платформе WordPress, в том числе для мобильных устройств, принципы работы таких приложений. Описана структура каталогов и базы данных, приведены типы записей, метаданных и таксо­номий, перечислены основные классы и функции. Уделено внимание разработке
соб­ственной темы оформления с адаптивным дизайном. Рассказывается о типах пользо­вателей и их ролях в архитекзуре WordPress. Огдельная глава посвящена работе с API-интерфейсами, объектами и вспомогательными функциями, рассматриваются
вопросы безопасности веб-приложений, принципы написания безопасного кода.

Скачать.

#ceh
#social_engineering


#18 Руководство по подготовке сертифицированного этичного хакера (CEH). Компьютерная социальная инженерия.

Здравствуйте, дорогие друзья.

Компьютерная социальная инженерия зависит от программного обеспечения, для выполнения целенаправленного действия. Например, троянский конь — это вредоносное ПО, которое выглядит как нормальная, рабочая программа, но на самом деле внутри спрятан вирус. А бэкдор может использоваться для обхода обычных методов аутентификации на системе.


Подробнее: https://timcore.ru/2022/08/14/18-rukovodstvo-po-podgotovke-sertificirovannogo-jetichnogo-hakera-ceh-kompjuternaja-socialnaja-inzhenerija/

#ceh
#dos
#ddos

#19 Руководство по подготовке сертифицированного этичного хакера (CEH). Отказ в обслуживании (DoS).

Здравствуйте, дорогие друзья.

Примеры атак типа «отказ в обслуживании» (DoS) включают заполнение идентифицированной системы большим объемом трафика, и переполнением службы значительным количеством событий, чем она может обработать, или сбой стека TCP/IP из-за отправки поврежденных пакетов. В этом разделе Вы научитесь распознавать и исследовать симптомы DoS-атаки и получать информацию о том, как распознать методы обнаружения и стратегии противодействия данного типа атак.

Подробнее: https://timcore.ru/2022/08/15/19-rukovodstvo-po-podgotovke-sertificirovannogo-jetichnogo-hakera-ceh-otkaz-v-obsluzhivanii-dos/

#ceh
#session_hijacking

#20 Руководство по подготовке сертифицированного этичного хакера (CEH). Перехват сеанса.

Здравствуйте, дорогие друзья.

В этом разделе Вы узнаете о перехвате сеанса, включая шаги, различные типы и контрмеры, которые могут быть использованы для защиты от такого типа атак.

К концу этого раздела Вы сможете:

1. Определять правильный порядок шагов, используемых для захвата сеанса.
2. Распознавать различные типы перехвата сеанса.
3. Выявлять перехваты TCP/IP.
4. Описывать контрмеры для защиты от перехвата сеанса.



Подробнее: https://timcore.ru/2022/08/15/20-rukovodstvo-po-podgotovke-sertificirovannogo-jetichnogo-hakera-ceh-perehvat-seansa/

#ceh
#hacking_web_servers

#21 Руководство по подготовке сертифицированного этичного хакера (CEH). Взлом веб-серверов.

Здравствуйте, дорогие друзья.

В этом разделе Вы узнаете о том, что происходит в процессе взлома веб сервера. Вы получите представление о базовой архитектуре веб-сервера, и познакомитесь с уязвимостями, связанными с серверами. Вы также узнаете об эффективных контрмерах для защиты от атак на веб-сервер.

К концу этого раздела, Вы сможете:

1. Определять архитектуру веб-сервера.
2. Описывать атаки на веб-приложения.
3. Исследовать различные атаки веб-сервера.

Подробнее: https://timcore.ru/2022/08/16/21-rukovodstvo-po-podgotovke-sertificirovannogo-jetichnogo-hakera-ceh-vzlom-veb-serverov/

#ceh
#armitage
#hacking_web_servers

#22 Руководство по подготовке сертифицированного этичного хакера (CEH). Использование Armitage для атаки на сеть.

Здравствуйте, дорогие друзья.

После запуска сканирования, для поиска открытых портов с помощью Zenmap прокрутите до 80/tcp, на вкладке вывод. Изучите файл robots.txt, который ограничивает местоположения каталогов. Просмотрите рисунок ниже, который показывает использование Zenmap для сканирования общедоступного IP-адреса XYZ компании, а затем выберите вкладку Nmap Output.


Подробнее: https://timcore.ru/2022/08/16/22-rukovodstvo-po-podgotovke-sertificirovannogo-jetichnogo-hakera-ceh-ispolzovanie-armitage-dlja-ataki-na-set/

#news

Смартфоны Xiaomi с чипами MediaTek уязвимы перед подделкой платежей

Аналитики выявили проблемы в платежной системе, присутствующей на смартфонах Xiaomi с чипами MediaTek, которые обеспечивают Trusted Execution Environment (TEE, «доверенную среду исполнения»), отвечающую за подписание транзакций. Баги могут использоваться как для отключения механизма мобильных платежей, так и для подделки транзакций.

Источник: https://xakep.ru/2022/08/16/xiaomi-soter/

#ceh
#hacking_web_applications

#23 Руководство по подготовке сертифицированного этичного хакера (CEH). Взлом веб-приложений.

Здравствуйте, дорогие друзья.

В этом разделе Вы узнаете о взломе компонентов веб-приложений, и что происходит во время атаки на веб-приложение. Вы сможете также получить знания об эффективных контрмерах, помогающих защитить системы.

К концу этого раздела Вы сможете

1. Определять компоненты веб-приложения.
2. Описывать атаки на веб-приложения.
3. Определять меры противодействия.

Подробнее: https://timcore.ru/2022/08/16/23-rukovodstvo-po-podgotovke-sertificirovannogo-jetichnogo-hakera-ceh-vzlom-veb-prilozhenij/

Добрый день всем. В IT я являюсь программистом js, профиль автоматизация – эмуляция действий человека в PC браузере. Сделал сотни скрипов на заказ и для себя. Это роботы которые работают даже там где требуется аналитика на сайте. Делал роботов для криптобирж, блокчейна WAX и майнинговых NFT. Михаил Тарасов знает моё творчество, мы с ним даже записывали видеоработы скриптов. Это преамбула.

Раньше, у меня было хобби – целительство, медитации, работа с энергетикой. Я перерос хобби, сейчас это моя профессиональная деятельность. Итак, предлагаю вашему вниманию систему по личностному росту, работе со своей энергетикой. Занимаясь в системе, вы сможете наладить свою жизнь во всех сферах (здоровье, любовной сфере – гармонизация любовной жизни, поиск второй половинки, улучшение социальной жизни, станете магом). Система работает со светлой магией и уже со второй ступени уже начинаются чудеса ))) Систему предусматривает работу с Высшими силами – это даст прилив к творчеству, огромную энергию для свершения любых задач и неограниченное виденье и перспективы для ваших проектов. Обучение достаточно простое, сделана очень удобная выжимка бери и работай – без идеологий и домыслов, только энергетические практики. Я сам практикую уже больше 20 лет, и как целитель в энергетических сферах являюсь профессионалом. Программирование с целительством поменялись местами. Js роботы для NFT крипты стали хобби, целительство и обучение целительству – работой.

Энергетическая диагностика у меня бесплатная – вы можете оценить возможности, когда, не зная вас, по вашей энергетике я опишу вашу жизнь. Подать заявку вы сможете в разделе Диагностика https://chakra.plus/diagnostics/

Как проходят энергетические сеансы, что ощущают люди, вы можете посмотреть на видео в разделе Целительство https://chakra.plus/healing/

P.S. Моё мнение и как целителя и как программиста js, энергия работа над собой обязательно нужна программистам. Всех благ вам и добра, пишите, заказывайте медитации, оставляйте отзывы, проходите диагностику, начинайте заниматься своей энергетикой.

С уважением к вам, Анатолий, целитель, Система Energy-Age https://energy-age.ru/ (это старый сайт, но там работает форум, в будущем планирую под систему новый сайт)

Мои контакты @energy-age i@energy-age.ru