#news
#darknet

Новые маркетплейсы в даркнете якобы связаны с мексиканскими картелями

Аналитики из компании DarkOwl обратили внимание, что в даркнете появилось сразу несколько новых маркетплейсов, которые якобы работают под эгидой известных мексиканских картелей. На таких сайтах торгуют наркотиками, предлагают услуги киллеров и утверждают, что ресурсы поддерживают «опытные» игроки из соответствующих областей.

Источник: https://xakep.ru/2022/08/11/darknet-cartel-marketplaces/

#news

Исследователь взломал терминал Starlink с помощью самодельной платы за 25 долларов

Эксперт из Левенского католического университета Леннерт Воутерс (Lennert Wouters) рассказал, что ему удалось скомпрометировать терминал Starlink с помощью мод-чипа стоимостью всего 25 долларов. На конференции Black Hat 2022 Воутерс сообщил, что намерен сделать этот инструмент доступным для копирования.

Источник: https://xakep.ru/2022/08/12/starlink-attack/

#hackthebox
#htb
#hacking

HackTheBox - Phoenix

01:00 - Start of nmap
02:22 - Taking a look at the SSL Certificates and website to find blog/forum
04:57 - Running WPScan, explaining why i like aggressive scanning
09:00 - Finding public vulnerability in Asgaros Forms (Blind Time Based SQLi)
10:45 - Running SQLMap to confirm the injection
21:00 - Examining the Wordpress Database structure, so we can run SQLMap to dump very specific things
25:20 - Cracking wordpress credentials to find out we can't use any because of MFA
30:10 - Using our SQL Injection to dump a list of activated plugins in wordpress
32:00 - Finding an exploit in the Download From Files plugin, converting it to ignore SSL Validation Errors
35:45 - Uploading a malicious phtml (php) file to get a shell on the box
41:00 - Examining how MFA is enabled on SSH/SU by looking at PAM files
42:10 - Discovering the 10.11.12.13 network can bypass MFA, which our host is on.
45:10 - Using find to show files created between two dates
48:20 - Discovering backups are created in /backups and explaining why we cannot view other users processes (hidepid)
48:50 - Looking in the */local/bin directories to discover an obfuscated shell script (sh.x)
51:30 - Running the script and then examining the /proc/pid directory to find the shell script unobfuscated in the cmdline
52:50 - Explaining wildcard injection
56:00 - Exploiting the wildcard injection in rsync
57:30 - Showing how we could of used the SQL Injection to leak all the secrets in the MFA Plugin and generate our own codes
59:10 - Looking at the MiniOrange MFA Source Code, the uninstall.php shows a lot of good information
1:03:45 - Showing how to do a "pretty print" or format output better in a MySQL Command (using \G instead of ;)
1:06:45 - Failing to generate a QR Code that we can use google authenticator to login with
1:12:44 - Going back to the source code to find another way to generate MFA Codes
1:15:45 - Fixing our generator script to decrypt the secret which we can paste to oauthtool and get a MFA Code

https://www.youtube.com/watch?v=Zngo-QzZYtw

#tcpdump
#pentest

tcpdump Cheat Sheet

#books
#wordpress

Название: Разработка веб-приложений на WordPress.
Авторы: Брайан Мессенленер, Джейсон Коулман
Год: 2021

Подробно рассматривается создание веб-приложений на платформе WordPress, в том числе для мобильных устройств, принципы работы таких приложений. Описана структура каталогов и базы данных, приведены типы записей, метаданных и таксо­номий, перечислены основные классы и функции. Уделено внимание разработке
соб­ственной темы оформления с адаптивным дизайном. Рассказывается о типах пользо­вателей и их ролях в архитекзуре WordPress. Огдельная глава посвящена работе с API-интерфейсами, объектами и вспомогательными функциями, рассматриваются
вопросы безопасности веб-приложений, принципы написания безопасного кода.

Скачать.

#ceh
#social_engineering


#18 Руководство по подготовке сертифицированного этичного хакера (CEH). Компьютерная социальная инженерия.

Здравствуйте, дорогие друзья.

Компьютерная социальная инженерия зависит от программного обеспечения, для выполнения целенаправленного действия. Например, троянский конь — это вредоносное ПО, которое выглядит как нормальная, рабочая программа, но на самом деле внутри спрятан вирус. А бэкдор может использоваться для обхода обычных методов аутентификации на системе.


Подробнее: https://timcore.ru/2022/08/14/18-rukovodstvo-po-podgotovke-sertificirovannogo-jetichnogo-hakera-ceh-kompjuternaja-socialnaja-inzhenerija/

#ceh
#dos
#ddos

#19 Руководство по подготовке сертифицированного этичного хакера (CEH). Отказ в обслуживании (DoS).

Здравствуйте, дорогие друзья.

Примеры атак типа «отказ в обслуживании» (DoS) включают заполнение идентифицированной системы большим объемом трафика, и переполнением службы значительным количеством событий, чем она может обработать, или сбой стека TCP/IP из-за отправки поврежденных пакетов. В этом разделе Вы научитесь распознавать и исследовать симптомы DoS-атаки и получать информацию о том, как распознать методы обнаружения и стратегии противодействия данного типа атак.

Подробнее: https://timcore.ru/2022/08/15/19-rukovodstvo-po-podgotovke-sertificirovannogo-jetichnogo-hakera-ceh-otkaz-v-obsluzhivanii-dos/

#ceh
#session_hijacking

#20 Руководство по подготовке сертифицированного этичного хакера (CEH). Перехват сеанса.

Здравствуйте, дорогие друзья.

В этом разделе Вы узнаете о перехвате сеанса, включая шаги, различные типы и контрмеры, которые могут быть использованы для защиты от такого типа атак.

К концу этого раздела Вы сможете:

1. Определять правильный порядок шагов, используемых для захвата сеанса.
2. Распознавать различные типы перехвата сеанса.
3. Выявлять перехваты TCP/IP.
4. Описывать контрмеры для защиты от перехвата сеанса.



Подробнее: https://timcore.ru/2022/08/15/20-rukovodstvo-po-podgotovke-sertificirovannogo-jetichnogo-hakera-ceh-perehvat-seansa/

#ceh
#hacking_web_servers

#21 Руководство по подготовке сертифицированного этичного хакера (CEH). Взлом веб-серверов.

Здравствуйте, дорогие друзья.

В этом разделе Вы узнаете о том, что происходит в процессе взлома веб сервера. Вы получите представление о базовой архитектуре веб-сервера, и познакомитесь с уязвимостями, связанными с серверами. Вы также узнаете об эффективных контрмерах для защиты от атак на веб-сервер.

К концу этого раздела, Вы сможете:

1. Определять архитектуру веб-сервера.
2. Описывать атаки на веб-приложения.
3. Исследовать различные атаки веб-сервера.

Подробнее: https://timcore.ru/2022/08/16/21-rukovodstvo-po-podgotovke-sertificirovannogo-jetichnogo-hakera-ceh-vzlom-veb-serverov/

#ceh
#armitage
#hacking_web_servers

#22 Руководство по подготовке сертифицированного этичного хакера (CEH). Использование Armitage для атаки на сеть.

Здравствуйте, дорогие друзья.

После запуска сканирования, для поиска открытых портов с помощью Zenmap прокрутите до 80/tcp, на вкладке вывод. Изучите файл robots.txt, который ограничивает местоположения каталогов. Просмотрите рисунок ниже, который показывает использование Zenmap для сканирования общедоступного IP-адреса XYZ компании, а затем выберите вкладку Nmap Output.


Подробнее: https://timcore.ru/2022/08/16/22-rukovodstvo-po-podgotovke-sertificirovannogo-jetichnogo-hakera-ceh-ispolzovanie-armitage-dlja-ataki-na-set/

#news

Смартфоны Xiaomi с чипами MediaTek уязвимы перед подделкой платежей

Аналитики выявили проблемы в платежной системе, присутствующей на смартфонах Xiaomi с чипами MediaTek, которые обеспечивают Trusted Execution Environment (TEE, «доверенную среду исполнения»), отвечающую за подписание транзакций. Баги могут использоваться как для отключения механизма мобильных платежей, так и для подделки транзакций.

Источник: https://xakep.ru/2022/08/16/xiaomi-soter/

#ceh
#hacking_web_applications

#23 Руководство по подготовке сертифицированного этичного хакера (CEH). Взлом веб-приложений.

Здравствуйте, дорогие друзья.

В этом разделе Вы узнаете о взломе компонентов веб-приложений, и что происходит во время атаки на веб-приложение. Вы сможете также получить знания об эффективных контрмерах, помогающих защитить системы.

К концу этого раздела Вы сможете

1. Определять компоненты веб-приложения.
2. Описывать атаки на веб-приложения.
3. Определять меры противодействия.

Подробнее: https://timcore.ru/2022/08/16/23-rukovodstvo-po-podgotovke-sertificirovannogo-jetichnogo-hakera-ceh-vzlom-veb-prilozhenij/

Добрый день всем. В IT я являюсь программистом js, профиль автоматизация – эмуляция действий человека в PC браузере. Сделал сотни скрипов на заказ и для себя. Это роботы которые работают даже там где требуется аналитика на сайте. Делал роботов для криптобирж, блокчейна WAX и майнинговых NFT. Михаил Тарасов знает моё творчество, мы с ним даже записывали видеоработы скриптов. Это преамбула.

Раньше, у меня было хобби – целительство, медитации, работа с энергетикой. Я перерос хобби, сейчас это моя профессиональная деятельность. Итак, предлагаю вашему вниманию систему по личностному росту, работе со своей энергетикой. Занимаясь в системе, вы сможете наладить свою жизнь во всех сферах (здоровье, любовной сфере – гармонизация любовной жизни, поиск второй половинки, улучшение социальной жизни, станете магом). Система работает со светлой магией и уже со второй ступени уже начинаются чудеса ))) Систему предусматривает работу с Высшими силами – это даст прилив к творчеству, огромную энергию для свершения любых задач и неограниченное виденье и перспективы для ваших проектов. Обучение достаточно простое, сделана очень удобная выжимка бери и работай – без идеологий и домыслов, только энергетические практики. Я сам практикую уже больше 20 лет, и как целитель в энергетических сферах являюсь профессионалом. Программирование с целительством поменялись местами. Js роботы для NFT крипты стали хобби, целительство и обучение целительству – работой.

Энергетическая диагностика у меня бесплатная – вы можете оценить возможности, когда, не зная вас, по вашей энергетике я опишу вашу жизнь. Подать заявку вы сможете в разделе Диагностика https://chakra.plus/diagnostics/

Как проходят энергетические сеансы, что ощущают люди, вы можете посмотреть на видео в разделе Целительство https://chakra.plus/healing/

P.S. Моё мнение и как целителя и как программиста js, энергия работа над собой обязательно нужна программистам. Всех благ вам и добра, пишите, заказывайте медитации, оставляйте отзывы, проходите диагностику, начинайте заниматься своей энергетикой.

С уважением к вам, Анатолий, целитель, Система Energy-Age https://energy-age.ru/ (это старый сайт, но там работает форум, в будущем планирую под систему новый сайт)

Мои контакты @energy-age i@energy-age.ru

#books
#social_engineering

Название: Социальная инженерия и этичный хакинг на практике.
Автор: Джо Грей
Год: 2022

АННОТАЦИЯ

Даже самые продвинутые службы безопасности мало что могут сделать для защиты от вреда, причиняемого простым сотрудником, который перешел по вредоносной ссылке, открыл вложение электронной почты или раскрыл конфиденциальную информацию во время телефонного звонка. Эта книга поможет вам лучше понять методы, лежащие в основе атак социальной инженерии, и узнать, как помешать киберпреступникам и злоумышленникам, которые используют человеческие слабости в своих целях.

Купить книгу на сайте издательства: https://dmkpress.com/catalog/computer/securuty/978-5-97060-980-4/

#bug_bounty
#ethical_hacking

Best Learning Strategies For Bug Bounty | Ethical Hacking

0:00 Active & Passive Learning
1:03 Review Often
2:06 Teach Yourself
2:53 Write Down Questions
3:25 Sleeping
4:45 Bonus Tip

https://www.youtube.com/watch?v=aPJKqooMb7s

#news
#android

Android-банкер SOVA получил функциональность шифровальщика

Банковский троян SOVA, предназначенный для Android, продолжает развиваться, говорят ИБ-эксперты из компании Cleafy, специализирующейся на безопасности мобильных устройств. Авторы малвари улучшают свой код, а недавно добавили SOVA новую вымогательскую функцию, которая шифрует файлы на зараженных мобильных устройствах.

Источник: https://xakep.ru/2022/08/16/sova/

#books
#linux

Название: UЬuntu Linux с нуля.
Автор: Сергей Волох
Год: 2021

С позиции пользователя рассмотрена работа в популярной операционной сис­теме Ubuntu Linux, в том числе установка и настройка системы, драйверов для ра­боты с принтерами, сканерами и другим периферийным оборудованием.

Описан процесс установки программ и настройка подключения к Интернету. Даны советы по использованию графического режима и командной строки. Описаны системные службы Ubuntu Linux, освещены вопросы по пользовательским правам доступа. Приведена информация по поиску неисправностей работы сети и устранению сбоев системы.

Материал книги актуален и применим для работы с другими Linuх­
подобными операционными системами. Во втором издании учтены особенности и новшества последней версии ОС UЬuntu Linux, добавлены главы по созданию и установке сертификатов Let's Encrypt и на­стройке файлового сервер_а Samba.

Электронный архив на сайте издательства содержит дополнительные материа­лы и статьи по теме книги.

Скачать.

#ceh
#hacking_web_applications

#22 Руководство по подготовке сертифицированного этичного хакера (CEH). Взлом веб-приложений.

Здравствуйте, дорогие друзья.

В этом разделе Вы узнаете о взломе компонентов веб-приложений, и что происходит во время атаки на веб-приложение. Вы сможете также получить знания об эффективных контрмерах, помогающих защитить системы.

К концу этого раздела Вы сможете

1. Определять компоненты веб-приложения.
2. Описывать атаки на веб-приложения.
3. Определять меры противодействия.

Подробнее: https://timcore.ru/2022/08/19/4739/

#ceh
#sql_injection

#23 Руководство по подготовке сертифицированного этичного хакера (CEH). SQL-инъекции.

Здравствуйте, дорогие друзья.

Язык структурированных запросов (SQL) — это язык, который позволяет взаимодействовать с сервером базы данных. Программисты используют команды SQL для выполнения операции с использованием баз данных. Внедрение SQL использует преимущества непроверенныех входных данных. Злоумышленники вводят SQL-команды через веб-приложение, которое выполняется в серверной базе данных. Любое веб-приложение, которое принимает пользовательский ввод, для выполнения действия или выполнения запроса может быть уязвимо для SQL-инъекций.

В этом разделе, Вы узнаете о SQL-инъекциях, о том, как они работают, и что могут сделать администраторы, чтобы предотвратить их.

К концу этого раздела Вы сможете

Изучить атаки с внедрением SQL.
Определить стратегии защиты от атак путем внедрения кода SQL.


Подробнее: https://timcore.ru/2022/08/19/23-rukovodstvo-po-podgotovke-sertificirovannogo-jetichnogo-hakera-ceh-sql-inekcii/