Cloudlist: Инструмент для сбора активов из облачных провайдеров

Cloudlist — утилита с открытым исходным кодом от projectdiscovery, предназначенная для получения перечня активов (Assets) из множества облачных провайдеров. Инструмент ориентирован на использование командами защиты (blue team) для улучшения управления поверхностью атаки (Attack Surface Management) путем поддержания централизованного списка активов в различных облачных средах с минимальными усилиями по настройке.

👉Возможности
- Поддержка множества провайдеров (AWS, GCP, Azure, DigitalOcean, Linode, Alibaba, Cloudflare, Fastly, Heroku, Kubernetes и другие)
- Гибкая фильтрация по провайдерам, сервисам, идентификаторам
- Несколько форматов вывода (JSON, plain text, stdout для интеграции с другими инструментами)
- Исключение приватных IP-адресов при необходимости
- Простое добавление новых провайдеров
- Два подхода к GCP (организация через Asset API или проекты через сервисные API)

⬇️Установка

git clone https://github.com/projectdiscovery/cloudlist.git
cd cloudlist/cmd/cloudlist
go build .
sudo mv cloudlist /usr/local/bin/

Проверка

cloudlist -h

Конфигурация Cloudlist использует YAML-файл конфигурации для хранения учетных данных провайдеров. По умолчанию: ~/.config/cloudlist/provider-config.yaml

⏺️Пример базовой конфигурации

#AWS
- id: aws-prod
  aws:
    access-key: AKIA...
    secret-key: ...
    region: us-east-1

#GCP
- id: gcp-prod
  gcp:
    service-account-json: /path/to/sa-key.json
    project: my-project-id

#Azure
- id: azure-dev
  azure:
    subscription-id: xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx
    client-id: xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx
    client-secret: ...
    tenant-id: xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx

⏺️Расширенная конфигурация для GCP (организация через Asset API)

- id: gcp-org
  gcp:
    service-account-json: /path/to/org-sa.json
    asset-discovery: true          #использование Asset API
    organization-id: "1234567890"  #ID организации
    projects:                      #ограничение проектами (опционально)
      - project-1
      - project-2

⏺️Получение всех активов из всех настроенных провайдеров

cloudlist

⏺️Получение активов только от конкретных провайдеров

cloudlist -p aws,gcp,azure

⏺️Тихий режим (только результаты, без лишнего вывода)

cloudlist -silent

⏺️Подробный вывод с расширенными метаданными

cloudlist -p aws -extended-metadata -v

⏺️Инвентаризация всех EC2-инстансов в AWS

cloudlist -p aws -s ec2 -json | jq '.'

⏺️Получение всех доменных имен из Cloudflare

cloudlist -p cloudflare -s domain -host

⏺️Поиск публичных IP-адресов во всех облаках

cloudlist -s publicip -ep -silent > public_ips.txt

⏺️Интеграция с httpx для проверки HTTP-сервисов

cloudlist -p aws,gcp -s ec2,compute -host | httpx -title -status-code

🔎Ограничения и требования
- Требуются корректно настроенные ключи доступа для каждого провайдера
- Требует включения Cloud Asset Inventory и соответствующих разрешений на уровне организации
- Необходимы права на чтение ресурсов (рекомендуется использовать read-only ключи)
- Массовые запросы могут учитываться в квотах провайдеров

#Cloudlist #tool #pentest #Asset

🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером

HexStrike AI: Платформа для автоматизации кибератак с использованием искусственного интеллекта

HexStrike AI представляет собой специализированную платформу для автоматизации задач кибербезопасности, построенную на архитектуре мультиагентного искусственного интеллекта. Инструмент предназначен для автоматизации разведки, анализа уязвимостей и проведения тестов на проникновение, ориентирован на специалистов по безопасности, исследователей уязвимостей и участников программ bug bounty.

HexStrike AI реализует многоагентную архитектуру, включающую компоненты:
▶️Автономные AI-агенты, выполняющие специализированные задачи безопасности
▶️Механизм интеллектуального принятия решений на основе анализа контекста
▶️Система управления уязвимостями с приоритизацией угроз
▶️Интеграция с внешними инструментами через MCP (Modular Connector Protocol)

Платформа включает более

150

интегрированных модулей, охватывающих все этапы тестирования на проникновение: от разведки до эксплуатации уязвимостей.

⬇️Установка

sudo apt update
sudo apt install hexstrike-ai

Установка зависимостей вручную

pip install mitmproxy aiohttp beautifulsoup4 flask mcp psutil pwntools requests selenium

Проверка

hexstrike_server -h
hexstrike_mcp -h

HexStrike AI состоит из двух основных компонентов:
▶️hexstrike_server — центральный API-сервер, реализующий основную логику и взаимодействие с AI-агентами
▶️hexstrike_mcp — клиент для подключения к серверу через MCP-протокол

⏺️Запуск сервера

hexstrike_server

По умолчанию сервер запускается на 127.0.0.1:8888 с выводом информационного баннера и статуса работы

⏺️Параметры сервера

hexstrike_server --help

Опции:
- --debug — включение отладочного режима
- --port PORT — указание порта для API-сервера (по умолчанию 8888)

⏺️Запуск MCP-клиента

hexstrike_mcp --server http://127.0.0.1:8888

⏺️Параметры клиента

hexstrike_mcp -h

Опции:
- --server SERVER — URL API-сервера HexStrike AI (по умолчанию http://127.0.0.1:8888)
- --timeout TIMEOUT — таймаут запроса в секундах (по умолчанию 300)
- --debug — включение отладочного логирования

⏺️Базовый запуск для анализа целевой системы

#терминал 1: запуск сервера
hexstrike_server --debug
#терминал 2: подключение клиента
hexstrike_mcp --server http://127.0.0.1:8888 --timeout 600

🔎HexStrike AI построен на клиент-серверной архитектуре
▶️Серверный компонент:
- Управляет пулом процессов (по умолчанию 4 воркера)
- Реализует адаптивный AI-движок принятия решений
- Обеспечивает интеграцию с более чем 150 модулями
- Поддерживает унифицированный интерфейс операций
▶️Клиентский компонент:
- Взаимодействует с сервером через HTTP API
- Поддерживает настраиваемые таймауты для длительных операций
- Обеспечивает отладочный режим для диагностики

#HexStrike-AI #tool #pentest #MCP

🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером

PyInstaller: Упаковка Python-приложений в исполняемые файлы

PyInstaller — инструмент для создания автономных исполняемых пакетов из Python-скриптов. Пользователь может запускать собранное приложение без установки интерпретатора Python или каких-либо модулей. PyInstaller анализирует исходный скрипт, обнаруживает все необходимые модули и библиотеки, после чего собирает их копии вместе с интерпретатором Python в одну папку или, опционально, в один исполняемый файл.

👉Преимущества
- Работает с Python версий 3.8–3.14
- Поддерживает Windows (32/64-bit, ARM64), Linux (glibc/musl), macOS (x86_64/arm64)
- Корректно упаковывает популярные пакеты: numpy, PyQt5/PyQt6, PySide2/PySide6, wxPython, matplotlib и другие
- Поддерживает код-сайн на macOS
- Включает MS Visual C++ DLL на Windows
- Не требует кросс-компиляции (сборка выполняется на целевой платформе)

⬇️Установка

sudo apt install pyInstaller

Проверка

pyInstaller -h

⏺️Создание одно папочного пакета (режим по умолчанию)

pyinstaller script.py

Создает папку dist/script/ с исполняемым файлом и всеми зависимостями

⏺️Создание однофайлового исполняемого пакета

pyinstaller --onefile script.py

Создает один исполняемый файл dist/script.exe (или script на Linux/macOS), который распаковывается во временную папку при запуске

⏺️Добавление дополнительных файлов данных

pyinstaller --add-data "config.ini:." --add-data "images:images" script.py

Формат: "source:dest_dir". Для Windows разделитель — ;, для Linux/macOS — :.

⏺️Указание путей поиска импортов

pyinstaller --paths ./external_libs --paths ./helpers script.py

⏺️Исключение модулей

pyinstaller --exclude-module tkinter --exclude-module test script.py

⏺️Упаковка веб-приложения (Flask/Django)

pyinstaller --onefile --add-data "templates:templates" --add-data "static:static" --hidden-import jinja2 run.py

⏺️Создание пакета для многократного использования с очисткой кэша

pyinstaller --clean --distpath ./release --workpath ./build_tmp --onefile script.py

🔎Ограничения и требования
- Cборка выполняется на той же ОС, для которой создается пакет (не кросс-компиляция)
- Поддерживаются указанные версии (Python 3.10.0 содержит баг, несовместимый с PyInstaller)
- Требуются ldd, objdump, objcopy (пакет binutils)
- Однофайловые пакеты включают интерпретатор и библиотеки, что увеличивает размер (обычно 5–50 МБ)
- Некоторые антивирусные программы могут ложно срабатывать на упакованные приложения

#PyInstaller #tool #pentest #Python

🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером

Boofuzz: Инструмент фаззинга сетевых протоколов

Boofuzz — фреймворк для фаззинга (fuzzing) сетевых протоколов, являющийся форком и преемником известного инструмента Sulley. Разработан для генерации и передачи некорректных или неожиданных данных целевым приложениям с целью выявления уязвимостей, ошибок обработки ввода и отказов в обслуживании. Boofuzz сочетает простоту использования с расширяемостью, что позволяет применять его для тестирования самых разных протоколов и интерфейсов.

Boofuzz наследует основные концепции Sulley, добавляя исправление ошибок, актуальную документацию и поддержку современных сред. Как и предшественник, инструмент охватывает все критические элементы процесса фаззинга:
▶️Быстрое создание тестовых наборов на основе шаблонов
▶️Обнаружение отказов и аномалий в целевой системе
▶️Автоматический перезапуск цели после сбоя
▶️Запись всех тестовых данных и результатов

👉Отличия от Sulley
- Актуальная онлайн-документация и поддержка
- Поддержка произвольных каналов связи (последовательный порт, Ethernet, UDP-широковещание)
- Улучшенная регистрация данных с экспортом в CSV
- Расширяемая система инструментирования
- Упрощенная установка через pip
- Исправление многочисленных ошибок оригинального фреймворка

⬇️Установка

pip install boofuzz

Проверка

python -c "import boofuzz; print(boofuzz.__version__)"

⏺️Boofuzz используется как Python-библиотека для создания скриптов фаззинга. Простейший пример для тестирования TCP-сервера:

from boofuzz import *

def main():
    session = Session(
        target=Target(connection=TCPSocketConnection("127.0.0.1", 9999))
    )

    s_initialize("Request")
    s_string("FUZZ", name="fuzzable_field")
    
    session.connect(s_get("Request"))
    session.fuzz()

if __name__ == "__main__":
    main()

Запуск скрипта:

python fuzzer_script.py

⏺️Фаззинг HTTP-сервера

from boofuzz import *

def main():
    session = Session(
        target=Target(connection=TCPSocketConnection("127.0.0.1", 80)),
        sleep_time=0.1,
    )

    s_initialize("HTTP GET")
    s_static("GET ")
    s_string("/", name="URI")
    s_static(" HTTP/1.1\r\n")
    s_static("Host: ")
    s_string("localhost", name="Host")
    s_static("\r\n")
    s_static("User-Agent: Mozilla/5.0\r\n")
    s_static("Accept: */*\r\n")
    s_static("\r\n")

    session.connect(s_get("HTTP GET"))
    session.fuzz()

if name == "__main__":
    main()

⏺️Фаззинг с мониторингом отказов

from boofuzz import *
import subprocess

def restart_target():
    """Функция перезапуска цели"""
    subprocess.run(["systemctl", "restart", "target-service"])

def main():
    #настройка мониторинга процесса
    monitor = ProcessMonitor("192.168.1.100", 26002)
    
    session = Session(
        target=Target(
            connection=TCPSocketConnection("192.168.1.100", 9999),
            monitors=[monitor]
        ),
        restart_callbacks=[restart_target],
        crash_threshold=3,
    )

    #описание протокола...
    session.fuzz()

if name == "__main__":
    main()

⏺️Экспорт результатов

session = Session(
    target=Target(connection=connection),
    output_path="fuzz_results",           # директория для результатов
    csv_logger=True,                       # включение CSV-логирования
    log_level=logging.DEBUG,                # уровень детализации лога
)

После завершения фаззинга boofuzz создает директорию с результатами, содержащую:
▶️Тестовые кейсы (все отправленные запросы с метками)
▶️Лог сбоев (информация о крашах и аномалиях)
▶️CSV-файл (сводная таблица результатов)
Пример структуры результатов:

├── crashes.log
├── fuzz.db
├── fuzz_results.csv
└── test-cases/
    ├── test-case-000001
    ├── test-case-000002
    └── ...

#Boofuzz #tool #pentest #Sulley

🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером

Nuitka: Компилятор Python в исполняемые файлы

Nuitka — это компилятор, транслирующий Python-код в C, а затем создающий исполняемый файл или модуль расширения. Инструмент написан на Python и обеспечивает полную совместимость с CPython, поддерживая практически все конструкции языка от Python 2.6 до 3.14. Основное назначение Nuitka — создание автономных приложений, ускорение выполнения кода и распространение программ без зависимости от интерпретатора.

👉Ключевые особенности
- Поддерживает Python 2.6–2.7 и 3.4–3.14
- Различные режимы компиляции: ускоренный (accelerated), автономный (standalone), однофайловый (onefile), модуль (module), пакет (package)
- Работает на Windows, Linux, macOS, FreeBSD
- Автоматическое управление зависимостями (включает необходимые модули и библиотеки)
- Поддержка упаковки данных (включение файлов ресурсов, DLL, метаданных)
- Интеграция с внешними компиляторами (MSVC, MinGW64, gcc, clang, zig)

⬇️Установка

pip install nuitka

Проверка

nuitka -h

⏺️Компиляция в ускоренном режиме (по умолчанию)

nuitka script.py

Создает исполняемый файл script.exe (Windows) или script.bin (Linux/macOS).

⏺️Создание автономной папки (standalone)

nuitka --mode=standalone --follow-imports script.py

Создает директорию script.dist с исполняемым файлом и всеми необходимыми библиотеками.

⏺️Создание однофайлового исполняемого файла

nuitka --mode=onefile --follow-imports script.py

Создает один исполняемый файл, который распаковывается во временную директорию при запуске.

⏺️Компиляция модуля расширения

nuitka --mode=module some_module.py

Создает some_module.so (Unix) или some_module.pyd (Windows).

⏺️Управление включением модулей

#включение конкретного модуля
nuitka --include-module=requests script.py

#включение всего пакета
nuitka --include-package=PyQt6 script.py

#исключение модулей
nuitka --nofollow-import-to=*.tests script.py

⏺️Работа с данными и ресурсами

#включение файлов данных пакета
nuitka --include-package-data=package_name script.py

#включение конкретных файлов
nuitka --include-data-files=/path/to/config.json=config.json script.py

#включение целой директории
nuitka --include-data-dir=./data=data script.py

⏺️Базовая компиляция с зависимостями

nuitka --mode=standalone --follow-imports --output-dir=./dist myapp.py

⏺️Компиляция веб-приложения Flask

nuitka --mode=onefile \
  --follow-imports \
  --include-package-data=flask \
  --include-package-data=jinja2 \
  --include-data-dir=./templates=templates \
  --include-data-dir=./static=static \
  app.py

⏺️Компиляция GUI-приложения на PyQt

nuitka --mode=standalone \
  --follow-imports \
  --include-package=PyQt6 \
  --windows-icon-from-ico=icon.ico \
  --windows-disable-console \
  main.py

⏺️Компиляция с расширенной информацией для отладки

nuitka --mode=standalone \
  --follow-imports \
  --verbose \
  --report=report.xml \
  --show-modules \
  script.py

⏺️Оптимизация с профилированием (PGO)

nuitka --mode=standalone \
  --follow-imports \
  --pgo \
  --pgo-args="--test-option" \
  script.py

⏺️Компиляция с использованием zig компилятора

nuitka --mode=standalone --zig --follow-imports script.py

⏺️Создание детального отчета

nuitka --mode=standalone --follow-imports --report=build_report.xml script.py

🎇Ограничения и требования
- Для Python 3.4 требуется дополнительный Python 2 или 3.5+ для SCons
- На Windows MinGW64 не работает с Python 3.13+
- Автономные сборки требуют копирования всей директории .dist
- Однофайловые сборки распаковываются во временную директорию при запуске

#Nuitka #Python #tool #CPython

🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером

🐗 Snort 3 — современный IDS/IPS-движок для обнаружения и предотвращения атак

Snort 3 (Snort++) — это переработанная версия легендарного IDS/IPS-движка, используемого для анализа сетевого трафика и обнаружения атак в реальном времени. Проект развивает Cisco, а сам движок активно применяется как в корпоративных SOC, так и в лабораториях для анализа и эмуляции сетевых атак.

Snort 3 получил модульную архитектуру, Lua-конфигурацию и серьёзный прирост производительности по сравнению со Snort 2.x.

🧠 Основные возможности Snort 3
⏺️ Глубокий анализ трафика (Deep Packet Inspection) — детектирование атак на уровне L3–L7 с использованием сигнатур, протокольных декодеров и препроцессоров.
⏺️ Модульная архитектура — плагины можно включать/отключать, расширять и писать собственные инспекторы.
⏺️ Многопоточность — полноценная поддержка multithreading для высокой пропускной способности.
⏺️Lua-конфигурация — гибкая настройка через snort.lua вместо громоздкого snort.conf из 2-й версии.
⏺️IDS и IPS режимы — может работать как пассивный сенсор или как inline-IPS с блокировкой пакетов.
⏺️Совместимость с правилами Snort 2.x — можно использовать существующие rule-сеты (VRT, community rules и др.).


⛓️‍💥 Базовый сценарий использования
Запуск Snort в режиме IDS для анализа интерфейса:

snort -c snort.lua -i eth0

Проверка конфигурации перед запуском:

snort -c snort.lua -T

Анализ pcap-файла:

snort -c snort.lua -r traffic.pcap

Запуск в inline-режиме (IPS) через DAQ:

snort -Q --daq afpacket -i eth0 -c snort.lua

⬇️ Установка
🐧 Linux (из репозитория или сборка из исходников)

git clone https://github.com/snort3/snort3.git
cd snort3
export my_path=/path/to/snorty
./configure_cmake.sh --prefix=$my_path
cd build
make -j $(nproc) install

После установки — проверить версию:

snort -V

#ids #ips #networksecurity #soc #snort #tool

🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером

Certipy: Инструмент для аудита и эксплуатации служб сертификации Active Directory

Certipy — инструмент для перечисления, анализа и эксплуатации уязвимостей служб сертификации Active Directory (AD CS). Разработан для профессионального тестирования на проникновение и защиты инфраструктур, поддерживает полный спектр известных атак (ESC1–ESC16) и предоставляет возможности для обнаружения, запроса, подделки сертификатов и ретрансляции аутентификации.

🎇Certipy предназначен как для наступательных, так и для защитных задач, связанных с Active Directory Certificate Services. Инструмент обеспечивает комплексный подход к оценке безопасности PKI-инфраструктуры Windows. Функции:
▶️поиск центров сертификации (CA) и шаблонов сертификатов
▶️автоматическое выявление misconfigurations (ESC1–ESC16)
▶️создание сертификатов с заданными атрибутами
▶️использование сертификатов для получения доступа
▶️перехват и перенаправление NTLM-аутентификации на HTTP(S)/RPC-эндпоинты AD CS

⬇️Установка

pipx install certipy-ad

Проверка

certipy-ad -h

⏺️Перечисление AD CS (find)

certipy-ad find -u user@domain.local -p 'Password123!' -dc-ip 192.168.1.10

⏺️Сохранение результатов (флаг -output)

certipy-ad find -u user@domain.local -p 'Password123!' -dc-ip 192.168.1.10 -output results

⏺️Поиск уязвимостей (флаг -vulnerable)

certipy-ad find -u user@domain.local -p 'Password123!' -dc-ip 192.168.1.10 -vulnerable

⏺️Запрос сертификата (req)

certipy-ad req -u user@domain.local -p 'Password123!' -ca 'CA-SERVER' -template 'User'

⏺️Аутентификация по сертификату (auth)

certipy-ad auth -pfx user.pfx -dc-ip 192.168.1.10

⏺️Управление сертификатами (cert)

certipy-ad cert -pfx user.pfx -password 'Password123!' -export

⏺️Shadow Credentials атака (shadow)

certipy-ad shadow -u user@domain.local -p 'Password123!' -target 'computer$' -dc-ip 192.168.1.10

⏺️Ретрансляция NTLM (relay)

certipy-ad relay -ca 192.168.1.10 -template 'DomainController'

⏺️Справка по конкретной команде

certipy-ad find -h

👉Ограничения
- для эксплуатации многих уязвимостей требуются базовые права доменного пользователя
- необходим доступ к LDAP (389/636), RPC (135/445) и HTTP(S) (80/443) портам CA
- зависимости (impacket, ldap3, pyopenssl, asn1crypto и другие библиотеки)

#ActiveDirectory #AD #LDAP #Certipy #tool #pentest #ADCS

🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером

BloodyAD: Фреймворк для повышения привилегий в Active Directory

BloodyAD — инструмент, выполняющий специализированные LDAP-запросы к контроллеру домена. Поддерживает аутентификацию с использованием паролей в открытом виде, Pass-the-Hash, Pass-the-Ticket и сертификатов, обеспечивая гибкие возможности для тестирования безопасности AD-инфраструктур.

👉BloodyAD предоставляет возможность выполнять привилегированные операции через LDAP-протокол. Инструмент отличается следующими характеристиками:
▶️множество методов аутентификации (NTLM (пароль/хеш), Kerberos, сертификаты (Schannel, PKINIT))
▶️прозрачная работа через SOCKS-прокси
▶️поддержка LDAPS и шифрования
▶️интеграция с DNS-функциями Active Directory
▶️гибкая система команд для управления объектами AD

⬇️Установка

pipx install bloodyad

Проверка

bloodyad -h

⏺️Аутентификация с паролем (NTLM)

bloodyAD --host 192.168.1.10 -d bloody.local -u john.doe -p 'Password123!' get object user john.doe

⏺️Pass-the-Hash аутентификация

bloodyAD --host dc01.corp.local -d corp.local -u administrator -p :70016778cb0524c799ac25b439bd6a31 get group "Domain Admins"

⏺️Смена пароля пользователя

bloodyAD --host 172.16.1.15 -d bloody.local -u admin -p 'Admin123!' set password john.doe 'NewP@ssw0rd!'

⏺️Получение информации о пользователе

bloodyAD --host dc.corp.local -d corp.local -u user -p 'Password' get object user administrator --json

⏺️Добавление пользователя в группу

bloodyAD --host dc.corp.local -d corp.local -u admin -p 'Admin123!' add groupmember "Domain Admins" john.doe

⏺️Удаление пользователя из группы

bloodyAD --host dc.corp.local -d corp.local -u admin -p 'Admin123!' remove groupmember "Domain Admins" john.doe

⏺️Shadow Credentials (атака на основе сертификатов)

#добавление теневых учетных данных для пользователя
bloodyAD --host dc.corp.local -d corp.local -u admin -p 'Admin123!' add shadowCredentials john.doe

#получение хеша из теневых учетных данных
bloodyAD --host dc.corp.local -d corp.local -u admin -p 'Admin123!' get shadowCredentials john.doe

⏺️Изменение атрибутов безопасности

#добавление GenericAll права для пользователя на объект
bloodyAD --host dc.corp.local -d corp.local -u admin -p 'Admin123!' set genericall john.doe "CN=AdminSDHolder,CN=System,DC=corp,DC=local"

⏺️Поиск объектов с заданными атрибутами

bloodyAD --host dc.corp.local -d corp.local -u user -p 'Password' get search "(&(objectClass=user)(adminCount=1))"

⏺️Получение всех пользователей с непередаваемыми учетными записями

bloodyAD --host dc.corp.local -d corp.local -u user -p 'Password' get search "(userAccountControl:1.2.840.113556.1.4.803:=8192)"

🎇Ограничения и требования
- Для выполнения привилегированных операций требуются соответствующие права в AD
- Необходим доступ к портам LDAP (389/636) и, при необходимости, к Kerberos (88)
- Поддерживаются современные версии Python 3
- Кроссплатформенный инструмент (Windows, Linux, macOS)

#ActiveDirectory #AD #LDAP #BloodyAD #tool #pentest

🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером

OSSLSignCode: Инструмент для подписи кода и проверки цифровых подписей

OSSLSignCode — утилита с открытым исходным кодом для подписи исполняемых файлов и проверки цифровых подписей с использованием криптографических библиотек OpenSSL. Инструмент предназначен для создания, добавления, извлечения и верификации подписей в форматах Authenticode (PE, MSI, CAB) и других, поддерживая гибкую настройку параметров подписи и работу с различными типами сертификатов.

↗️OSSLSignCode предоставляет функциональность, аналогичную стандартной утилите signtool из Windows SDK, но с открытым исходным кодом и поддержкой различных платформ. Инструмент позволяет:
▶️создание цифровых подписей для PE-файлов (.exe, .dll), MSI-пакетов, CAB-архивов
▶️получение встроенных подписей из подписанных файлов
▶️очистку файлов от существующих цифровых подписей
▶️верификацию целостности и подлинности подписанных файлов
▶️добавление timestamp от доверенных служб

⬇️Установка

sudo apt install osslsigncode

Проверка

osslsigncode -h

⏺️Базовая подпись исполняемого файла с описанием и временной меткой

osslsigncode sign \
  -pkcs12 code_signing_cert.p12 \
  -pass secure_password \
  -n "Application Name" \
  -i https://company.com \
  -t http://timestamp.digicert.com \
  -h sha256 \
  -in app.exe \
  -out app_signed.exe

Подписание файла с указанием описания, URL компании, добавлением доверенной временной метки и использованием современного хеш-алгоритма SHA256.

⏺️Подпись MSI-инсталлятора

osslsigncode sign \
  -pkcs12 cert.p12 \
  -pass password \
  -add-msi-dse \
  -t http://timestamp.digicert.com \
  -in installer.msi \
  -out installer_signed.msi

Специализированная подпись для MSI-пакетов с обязательным флагом -add-msi-dse, обеспечивающим корректную работу цифровой подписи.

⏺️Проверка подписи с полной валидацией цепочки сертификатов

osslsigncode verify \
  -in app_signed.exe \
  -CAfile trusted_roots.pem \
  -CRLfile crl.pem \
  -verbose \
  -require-leaf-hash sha256:XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX

Комплексная проверка подписи, включающая валидацию по доверенным корневым сертификатам, проверку списков отзыва (CRL) и требование конкретного хеша листового сертификата для исключения подмены.

⏺️Извлечение подписи для анализа

osslsigncode extract-signature -pem -in app_signed.exe -out signature.pem

Извлечение встроенной подписи в PEM-формате для последующего анализа структуры PKCS#7, проверки сертификатов или интеграции с другими криптографическими инструментами.

⏺️Добавление временной метки к уже подписанному файлу

osslsigncode add \
  -t http://timestamp.sectigo.com \
  -in app_signed.exe \
  -out app_with_timestamp.exe

Обновление существующей подписи путем добавления актуальной временной метки без повторного подписания, что продлевает срок доверия к подписи после истечения сертификата.

🎇Ограничения и требования
- Требует установленной OpenSSL (версии 1.1.1 или 3.x)
- Поддерживаются PE, MSI, CAB
- Требуются действительные сертификаты подписи кода
- Для установки могут потребоваться права администратора

#OSSLSignCode #OpenSSL #tool #pentest #PKCS12 #MSI

🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером

☕️ Krakatau — инструмент для реверса и анализа Java-байткода

Krakatau — это open source-набор инструментов для анализа, дизассемблирования и декомпиляции Java-байткода. Утилита позволяет разбирать .class и .jar-файлы, исследовать структуру байткода и выполнять глубокий реверс Java-приложений.

Инструмент часто используется в reverse engineering, malware-анализе и security-исследованиях Java-ПО, где необходимо понять логику работы программы на уровне JVM-инструкций.


📐 Основные возможности Krakatau
📉 Дизассемблирование Java-байткода — преобразует .class-файлы в читаемый assembly-подобный формат JVM.
📉 Декомпиляция в Java-код — позволяет восстановить исходную логику программы из байткода.
📉 Ассемблер для JVM-байткода — можно модифицировать и пересобирать .class-файлы.
📉 Работа с JAR-архивами — поддерживает анализ и извлечение байткода из .jar.
📉 Подходит для malware-анализа — удобен для исследования обфусцированных Java-приложений.


⬇️ Установка
Krakatau v2 написан на Rust, поэтому сначала нужно установить Rust toolchain.

git clone https://github.com/Storyyeller/Krakatau.git
cd Krakatau
cargo build --release

После сборки бинарник появится в:

target/release/krak2

⏺️Его можно добавить в PATH или запускать напрямую.


💻 Базовый сценарий использования

1️⃣ Дизассемблирование .class-файла:

krak2 dis --out out_dir Example.class

2️⃣ Дизассемблирование .jar-архива:

krak2 dis --out disassembled.zip app.jar

3️⃣ Сборка .class из .j-файла:

krak2 asm --out Foo.class Foo.j

4️⃣ Сборка .jar из набора .j файлов:

krak2 asm --out modified.jar source_dir/

#reverse #java #malware #security #tool

🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером

PyADRecon: Инструмент для анализа Active Directory

PyADRecon — приложение с открытым исходным кодом для анализа и аудита Active Directory, позволяющее собирать и структурировать информацию о пользователях, компьютерах и объектах домена. Инструмент предоставляет возможности экспорта данных в форматы CSV, XLSX и HTML, поддерживает аутентификацию NTLM и Kerberos и не требует навыков программирования для использования.

PyADRecon спроектирован для упрощения сбора и анализа данных Active Directory, предоставляя как интерактивный графический интерфейс, так и функциональность командной строки для автоматизации. Основные функции:
▶️Получение информации о пользователях, компьютерах, группах и других объектах
▶️Поддержка NTLM и Kerberos, включая использование TGT-файлов
▶️Множество форматов экспорта (CSV, Excel (XLSX), HTML-дашборды)
▶️Генерация отчетов из ранее сохраненных CSV-файлов без подключения к AD
▶️Кроссплатформенность (работа на Windows, macOS и Linux)

⬇️Установка

pipx install PyADRecon

Проверка

pyadrecon -h

⏺️Базовый сбор данных с NTLM-аутентификацией

pyadrecon -dc 192.168.1.10 -u administrator -p 'Password123!' -d DOMAIN.LOCAL

⏺️Сбор с аутентификацией Kerberos (обход channel binding)

pyadrecon -dc dc01.domain.local -u admin -p 'Password123!' -d DOMAIN.LOCAL --auth kerberos

⏺️Генерация HTML-дашборда из CSV-файлов

pyadrecon --generate-dashboard-from /path/to/csv/files -o dashboard.html

⏺️Аудит неактивных учетных записей

pyadrecon -dc dc01.domain.local -u auditor -p 'Password123!' -d DOMAIN.LOCAL --dormant-days 60 --collect users --only-enabled

⏺️Инвентаризация компьютеров в домене

pyadrecon -dc dc01.domain.local -u admin -p 'Password123!' -d DOMAIN.LOCAL --collect computers -o computer_inventory

⏺️Еженедельный отчет с ротацией

#!/bin/bash
DATE=$(date +%Y%m%d)
pyadrecon -dc dc01.domain.local -u svc_report -p 'Password123!' -d DOMAIN.LOCAL -o "ad_report_$DATE"

⏺️Анализ устаревших паролей

pyadrecon -dc dc01.domain.local -u admin -p 'Password123!' -d DOMAIN.LOCAL --collect users --password-age 90 --only-enabled

👉Ограничения
- Необходима учетная запись с правами на чтение объектов AD
- Требуется доступ к контроллеру домена (порты 389/636)
- Для аутентификации Kerberos требуется корректная настройка времени и DNS
- При больших доменах (более 5000 объектов) рекомендуется увеличить --page-size

#PyADRecon #ActiveDirectory #ADRecon #Kerberos #Audit #tool #pentest

🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером

IntelMQ: Платформа для автоматизации сбора и обработки данных об угрозах

IntelMQ — это решение для команд IT-безопасности (CERT, CSIRT, SOC), предназначенное для автоматизации сбора и обработки потоков данных о безопасности (фидов угроз) с использованием системы очередей сообщений. Его основная цель — предоставить аналитикам простой способ сбора и обработки информации об угрозах, что значительно улучшает процессы реагирования на инциденты.

IntelMQ часто используется для:
- Автоматизированной обработки инцидентов
- Получения ситуационной осведомленности (Situational Awareness)
- Автоматической отправки уведомлений
- Сбора данных для других инструментов

⬇️Установка

pipx install intelmq

Теперь необходимо выполнить начальную настройку базы данных и создать структуру для работы IntelMQ.
1️⃣Инициализация базы данных (IntelMQ использует PostgreSQL для хранения конфигураций, очередей и, опционально, событий)

intelmq_psql_initdb

Эта команда создаст необходимые таблицы и роли в PostgreSQL.

2️⃣Настройка окружения

intelmqsetup

Эта команда создаст необходимые директории и файлы конфигурации, обычно в /etc/intelmq/ и /opt/intelmq/.

После установки вам становятся доступны ключевые команды.
▶️intelmqctl - главный инструмент для управления IntelMQ. С его помощью вы запускаете, останавливаете и перезапускаете ботов, проверяете их статус и управляете очередями.

#статус всех ботов
intelmqctl status
    
#запуск конкретного бота
intelmqctl start intelmq.bots.collectors.shadowserver.collector_reports_api
    
#остановить всех ботов
intelmqctl stop
    
#перезапустить всех ботов
intelmqctl restart

▶️intelmqdump - инструмент для работы с «дампами» (сообщениями, которые не удалось обработать и которые были помещены в карантин. Это ключевой элемент надежности IntelMQ, предотвращающий потерю данных)

#просмотреть все файлы дампов
intelmqdump list
   
#обработать конкретный дамп (например, для очереди my-queue)
intelmqdump /opt/intelmq/var/log/my-queue.dump

Функционал IntelMQ реализован через боты трех основных типов:
🔔Коллекторы (Collectors) - отвечают за получение данных из внешних источников
▶️intelmq.bots.collectors.http.collector_http (скачивает фиды по HTTP/HTTPS)
▶️intelmq.bots.collectors.mail.collector_mail_attach (получает данные из вложений электронной почты)
▶️intelmq.bots.collectors.shadowserver.collector_reports_api (собирает отчеты от Shadowserver Foundation)

🔔Парсеры (Parsers) - преобразуют сырые данные, полученные коллекторами, в унифицированный формат IntelMQ (словарь данных, соответствующий Harmonization)
▶️intelmq.bots.parsers.shadowserver.parser (парсит отчеты Shadowserver)
▶️intelmq.bots.parsers.json.parser (парсит данные в формате JSON)
▶️intelmq.bots.parsers.csv.parser (парсит данные в формате CSV)

🔔Эксперты (Experts) - обогащают, нормализуют, фильтруют или изменяют данные
▶️intelmq.bots.experts.asn_lookup.expert (добавляет информацию об автономной системе (ASN) для IP-адреса)
▶️intelmq.bots.experts.maxmind_geoip_expert (добавляет геолокационные данные по IP)
▶️intelmq.bots.experts.taxonomy.expert (классифицирует событие в соответствии с таксономией eCSIRT.net)

Рабочий процесс называется pipeline и описывается в конфигурационных файлах. Простейший pipeline может выглядеть так:
▶️intelmq.bots.collectors.http.collector_http загружает список подозрительных IP-адресов с публичного источника
▶️intelmq.bots.parsers.csv.parser преобразует этот список в стандартные события IntelMQ
▶️intelmq.bots.experts.asn_lookup.expert для каждого IP-адреса определяет номер AS
▶️Output (например, бот вывода в файл или базу данных) сохраняет обогащенные данные

Конфигурация такого pipeline задается в файлах /etc/intelmq/pipeline.conf и /etc/intelmq/runtime.conf, где для каждой очереди (например, shadowserver-queue) прописывается цепочка ботов.

#IntelMQ #CTI #CERT #CSIRT #SOC #tool #pentest

🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером

☁️ pwnat — инструмент для обхода NAT и создания соединения через firewall

pwnat — утилита для обхода NAT и firewall-ограничений, позволяющая устанавливать прямое TCP-соединение между двумя хостами, даже если один из них находится за NAT. Инструмент использует особенности обработки ICMP-пакетов и позволяет создавать канал связи без необходимости проброса портов.

Основные возможности pwnat
📉 Обход NAT и firewall — позволяет устанавливать соединения между хостами без port forwarding.
📉 Работа через ICMP-трафик — использует особенности сетевых стеков для передачи данных через ping-пакеты.
📉 Создание TCP-туннеля — позволяет пробрасывать локальные порты через NAT.
📉 Минимальные зависимости — лёгкий инструмент, который можно быстро собрать и запустить.
🖱 Кроссплатформенность — поддерживает Linux, macOS и другие Unix-подобные системы.

⬇️ Установка
Сборка из исходников

git clone https://github.com/samyk/pwnat.git
cd pwnat
make

После сборки бинарник pwnat можно запускать напрямую.

🔎 Базовый сценарий использования
pwnat работает по модели server-client.

⛓️‍💥 Запуск сервера (публичная машина)

pwnat -s 2222

Это создаёт сервер, который будет принимать соединения и пробрасывать их на указанный порт.

🕸 Подключение клиента (машина за NAT)

pwnat -c <server_ip> 2222

После установления соединения создаётся TCP-канал между машинами.

🎇 Пример использования с SSH
Можно получить доступ к машине за NAT через SSH:

ssh user@localhost -p 2222

Таким образом создаётся туннель через NAT без проброса портов.

#network #pentest #redteam #nat #security #tool

🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером

🔎 gitGraber — инструмент для поиска утекших секретов в GitHub

gitGraber — open source-утилита для автоматического поиска утекших секретов в публичных GitHub-репозиториях. Инструмент анализирует коммиты, код и изменения в репозиториях и пытается обнаружить API-ключи, токены, пароли и другие чувствительные данные, случайно опубликованные разработчиками.

Такие утечки встречаются достаточно часто и могут привести к компрометации инфраструктуры, облачных сервисов и CI/CD-систем.

🌐 Основные возможности gitGraber
⏺️ Поиск секретов в GitHub — анализирует коммиты и код на наличие токенов, ключей и паролей.
⏺️ Поддержка множества сервисов — AWS, Google API, Slack, Stripe, Telegram, GitHub tokens и других.
⏺️ Фильтрация по ключевым словам — можно искать утечки, связанные с конкретной компанией или проектом.
⏺️ Автоматический мониторинг GitHub — инструмент способен отслеживать новые коммиты и изменения.
⏺️ Лёгкая интеграция — работает через GitHub API и может использоваться в OSINT-исследованиях.

⬇️ Установка

git clone https://github.com/hisxo/gitGraber.git
cd gitGraber
pip3 install -r requirements.txt

После установки инструмент можно запускать напрямую через Python.

⛓️‍💥 Базовый сценарий использования
Поиск утекших ключей по ключевому слову:

python3 gitGraber.py -k companyname

Инструмент будет искать коммиты и репозитории, где встречается указанное ключевое слово.

#osint #github #security #bugbounty #tool

🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером

💻 Meg by tomnomnom — инструмент для массовых HTTP-запросов

meg — лёгкая CLI-утилита для массовой отправки HTTP-запросов к большому количеству целей. Инструмент разработан исследователем безопасности Tom Hudson (известным как tomnomnom) и широко используется в bug bounty, OSINT и web-разведке. Утилита позволяет быстро отправлять один и тот же HTTP-запрос на сотни или тысячи доменов, что особенно полезно при поиске уязвимостей, скрытых эндпоинтов и конфигурационных ошибок.

Основные возможности meg
▶️Массовые HTTP-запросы — отправка одного запроса сразу на большое количество хостов.
▶️ Работа с кастомными запросами — можно использовать подготовленный raw HTTP-запрос.
▶️Высокая скорость — оптимизирован для обработки больших списков целей.
▶️Разделение результатов — ответы сохраняются отдельно для каждой цели.
▶️Интеграция с другими инструментами — удобно комбинируется с инструментами из экосистемы tomnomnom.

⬇️ Установка
meg написан на Go, поэтому установить его можно через go install.

go install github.com/tomnomnom/meg@latest

После установки бинарник появится в $GOPATH/bin.

❓ Базовый сценарий использования
meg использует два основных входных файла:
⏺️список целей (targets)
⏺️HTTP-запрос (request)

👉 Пример списка целей

example.com
api.example.com
test.example.com

👉 Пример HTTP-запроса

GET /admin HTTP/1.1
Host: example.com
User-Agent: meg
Connection: close

👉 Запуск сканирования

meg request.txt targets.txt

Инструмент отправит указанный HTTP-запрос ко всем целям из списка.

👉 Пример с pipe
meg часто используется в цепочках recon-инструментов:

cat domains.txt | meg request.txt

#bugbounty #recon #websecurity #pentest #tool

🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером

🔎 DetectFlow — инструмент для автоматизации разработки detection-правил

DetectFlow — open source-инструмент от SOC Prime, предназначенный для автоматизации процессов Detection Engineering. Он помогает создавать, тестировать и поддерживать правила обнаружения угроз для SIEM, EDR и других систем мониторинга безопасности.

🕸 Основные возможности DetectFlow
📉 Автоматизация разработки detection-правил — упрощает создание и поддержку правил обнаружения.
📉 Поддержка Sigma — интеграция с популярным форматом правил Sigma.
📉 Workflow-подход — управление жизненным циклом detection-правил: разработка, тестирование, обновление.
📉 Интеграция с CI/CD — правила можно автоматически проверять и развёртывать.
🖱 Стандартизация Detection Engineering — помогает командам SOC структурировать процессы создания детектов.

💻Пример workflow разработки детекта
DetectFlow помогает выстроить pipeline создания detection-правил.

Типичный процесс может выглядеть так:
1️⃣ Анализ угрозы или техники из MITRE ATT&CK
2️⃣ Создание detection-правила (например, Sigma)
3️⃣ Тестирование на логах
4️⃣ Проверка корректности правила
5️⃣ Развёртывание в SIEM
Такой workflow позволяет SOC-командам быстрее внедрять новые детекты и уменьшать количество ошибок.

⬇️ Базовый запуск
Клонирование репозитория и запуск

git clone https://github.com/socprime/detectflow-one-click-local-deployment.git
cd detectflow-one-click-local-deployment
chmod +x deploy-detectflow-minikube.sh
./deploy-detectflow-minikube.sh

После запуска можно создавать и тестировать detection-правила в рамках workflow.

#soc #detectionengineering #sigma #threathunting #security #tool

🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером

🧠 AttackGen — генератор сценариев атак на основе MITRE ATT&CK и LLM

AttackGen — open source-инструмент, который использует LLM-модели для генерации реалистичных сценариев кибератак на основе фреймворка MITRE и базы знаний MITRE ATT&CK.

Инструмент предназначен для специалистов по безопасности, SOC-аналитиков и Red Team-команд, помогая быстро создавать реалистичные цепочки атак, которые можно использовать для обучения или тестирования защиты.

❓ Как работает AttackGen
AttackGen принимает входные данные о целевой инфраструктуре (например, тип организации или используемые технологии) и на их основе генерирует цепочку действий злоумышленника, используя техники из MITRE ATT&CK.

Типичный сценарий может включать этапы:
1️⃣ Initial Access — фишинг, эксплуатация уязвимости или компрометация учётных данных
2️⃣ Execution — запуск вредоносного кода
3️⃣ Persistence — закрепление в системе
4️⃣ Privilege Escalation — повышение привилегий
5️⃣ Lateral Movement — перемещение по сети
6️⃣ Data Exfiltration — кража данных

Таким образом получается полная kill chain атаки, которую можно использовать для моделирования угроз.

🎯 Для чего используют AttackGen
➡️ Tabletop-упражнения — генерация сценариев для тренировки SOC и incident response команд.
➡️ Threat modeling — моделирование возможных атак на инфраструктуру.
➡️ Red Team подготовка — идеи для новых сценариев тестирования безопасности.
➡️ Обучение специалистов — наглядные примеры цепочек атак.
➡️ Purple Team упражнения — совместная работа Red и Blue команд.

⬇️ Установка и запуск
Клонирование репозитория

git clone https://github.com/mrwadams/attackgen.git
cd attackgen

Установка зависимостей

pip install -r requirements.txt

Запуск инструмента

streamlit run 00_👋_Welcome.py

После запуска можно вводить параметры инфраструктуры и генерировать сценарии атак.

↗️ Пример генерации сценария
После запуска AttackGen можно задать контекст организации:

Industry: Financial services
Infrastructure: Cloud + Active Directory
Security maturity: Medium

Инструмент может сгенерировать сценарий атаки, например:

Initial Access: Spear phishing campaign targeting employees
Execution: Malicious macro payload
Persistence: Scheduled task
Privilege Escalation: Token manipulation
Lateral Movement: SMB and remote service execution
Exfiltration: Data transfer over HTTPS

Такие сценарии можно использовать как основу для тренировок или моделирования угроз.

#ai #threatmodeling #mitre #redteam #soc #tool

🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером

🍯 ADTrapper — инструмент для обнаружения атак в Active Directory с помощью honeypot-аккаунтов

ADTrapper — open source-инструмент для обнаружения атак внутри инфраструктуры Microsoft Active Directory. Он создаёт honeypot-объекты и ловушки в AD, которые позволяют выявлять злоумышленников во время разведки, lateral movement и попыток повышения привилегий.

Идея инструмента проста: создать в каталоге приманки, которые выглядят как реальные учётные записи или ресурсы. Любая попытка взаимодействия с такими объектами практически всегда означает подозрительную активность.

🪧 Основные возможности ADTrapper
▶️ Honeypot-учётные записи — создание ловушек в Active Directory для обнаружения злоумышленников.
▶️ Обнаружение reconnaissance-активности — выявляет попытки сканирования и enumeration AD.
▶️ Отслеживание lateral movement — реагирует на попытки использования trap-учёток.
▶️ Интеграция с логированием — события можно отправлять в SIEM или системы мониторинга.
▶️ Минимальное влияние на инфраструктуру — ловушки не мешают работе пользователей.

🕸 Как работает ADTrapper
ADTrapper разворачивает специальные honeypot-объекты внутри Active Directory:
⏺️фальшивые сервисные аккаунты
⏺️приманки-администраторы
⏺️ложные ресурсы или группы

Когда злоумышленник выполняет разведку например через:
⏺️BloodHound
⏺️LDAP enumeration
⏺️AD reconnaissance
он может обнаружить эти объекты.

Любое взаимодействие с ними генерирует событие безопасности, которое можно использовать для обнаружения атаки.

💻 Базовый сценарий использования
Клонирование репозитория

git clone https://github.com/MHaggis/ADTrapper.git
cd ADTrapper
cp env.example .env

Запуск инструмента

./deploy.sh

docker-compose up -d
docker-compose exec -T database psql -U postgres < supabase/migrations/0001_simple_setup.sql

После запуска веб-сервис будет доступен по адресу http://localhost:3000

#activedirectory #blueteam #defense #honeypot #security #tool

🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером