Любопытный тред от Евгения Волошина [BI.ZONE] и Омара Ганиева aka Beched [Deteact] про правильный инфраструктурный пентест и почему без четкой методики и разношерстной команды экспертов можно сделать только хуже.

Тред в соседнем чатике: t.me/codeibcommunity/956

Прошло как-то мимо глаз, надеюсь не ваших — нерекурсивная ZIP-бомба, способная из 10 МБайт превращаться в 281 ТБайт, а из 46 МБайт в 4.5 ПБайт! Лучший подарок для вашей песочницы!

И никакой магии, тот же самый алгоритм DEFLATE при сжатии.

[RU] https://habr.com/ru/post/459254/
[EN] https://www.bamsoftware.com/hacks/zipbomb/

Там на хабре ребята из Джет пиарят свой SOC, рассказывают об IoC lifecycle и о том, как утроен их Threat Intelligence.

https://habr.com/ru/company/jetinfosystems/blog/459674/

Race condition в веб-приложениях

https://bo0om.ru/race-condition-ru

Ничего не могу с собой поделать и пройти мимо таких новостей, поэтому просто оставлю это здесь.

Стартап Neuralink во главе с Илоном Маском представил свои технологии «нитей» для считывания информации из мозга, а также устройство для их вживления.

[RU] https://vc.ru/future/75589-startap-ilona-maska-neuralink-predstavil-niti-implanty-dlya-schityvaniya-informacii-iz-mozga-i-robota-dlya-ih-vzhivleniya
[EN] https://www.theverge.com/2019/7/16/20697123/elon-musk-neuralink-brain-reading-thread-robot

Ответ коммьюнити не заставил себя долго ждать, вот вам черновик Всеобщей декларации прав киборгов > https://cyborgrights.eu/

Ну вы поняли.

На anti-malware опубликовали сравнение популярных в России облачных сервисов по защите от DDoS-атак. https://www.anti-malware.ru/compare/DDoS-attack-protection-services

Немного комплаенса: 8 августа в 11:00 (МСК) у Digital Security пройдет вебинар на тему: "Как пережить комплаенс? Оптимальный подход к выполнению требований регуляторов".

Надеюсь будут конкретные практические советы и лайфхаки, а не как всегда :)

Регистрация свободная: https://events.webinar.ru/732031/2536961

Любители опенсорсных проектов из Cloud Native Computing Foundation (CNCF), руками парней из Trail of Bits и Atredis Partners провели аудит Kubernetes. А это, на секундочку, около 2 миллионов строк кода и 4 месяца кропотливой работы!

Результат: 34 уязвимости - 4 [critical], 15 [medium], 8 [low] и 7 [info]

Ознакомиться с результатами аудита, а также скачать полные отчеты с проблемными кусками кода можно по ссылке: https://www.cncf.io/blog/2019/08/06/open-sourcing-the-kubernetes-security-audit/

Какой интересный дизайн у банковских карт от Яндекса — если раньше нужно было просить сфотографировать карту с двух сторон, то теперь достаточно и одной. Удобно!

Тут читатели подсказывают, что подобный дизайн это новая концепция от MasterCard, хотя на большинстве карт "cardholder name" все же вынесено на лицевую часть. Хотя кого это раньше волновало? :)

А что если эксперимент с сертификатом в Казахстане придумали в России и просто обкатывали технологии? ;)

​​Вот и доклады с BlackHat начинают подтягиваться.

Например подробнейший материал о возрождении техники HTTP Request Smuggling, позволяющей вмешаться в обмен между клиентом и веб-сервером, когда в HTTP цепочке участвует несколько промежуточных узлов (например прокси, fw и пр.).

https://portswigger.net/blog/http-desync-attacks-request-smuggling-reborn

https://portswigger.net/web-security/request-smuggling

Какие есть варианты проникнуть внутрь вражеской сети?
Можно прикинуться злобным хакером и страшно взломать сеть.
Можно стать мастером социально инженерии и уговорить человека внутри на всякое.
Можно записаться на собеседование и втихаря подключиться к сети.
Но самый весёлый способ сейчас, это отправить по почте миникомп с 3G и WiFi модулями. Сам метод довольно старый, но с развитием сотовых сетей и остальных технологий, играет всё более и более весёлыми красками.


https://techcrunch.com/2019/08/06/warshipping-hackers-ship-exploits-mail-room/

Nmap 7.80 Defcon Release.

- Выпилили старый winpcap под винду, теперь там npcap.
- Добавили 11 новых NSE скриптов, включая долгожданный Vulners NSE.
- Исправления/улучшения.

It is KISS after all.

https://seclists.org/nmap-announce/2019/0

​​Страшный сон фотографа или как ребята из CheckPoint исследовали камеру Canon и даже нашли несколько критических уязвимостей в протоколе передачи изображений.

[EN] https://research.checkpoint.com/say-cheese-ransomware-ing-a-dslr-camera/
[RU] https://xakep.ru/2019/08/12/canon-flaws/

Спойлер: изображение на камере не настоящее :)

Неплохой блог одного грузинского реверсера, работающего в F-Secure. Рекомендуется к ознакомлению.

https://secrary.com/

Не успели отойти от предыдущей уязвимости в RDS (BlueKeep), получайте новые — CVE-2019-1181, CVE-2019-1182, CVE-2019-1222, CVE-2019-1226, в этот раз обнаруженные самой командой Microsoft.

Уязвимы:
*7SP1
*Server 2008 R2 SP1
*Server 2012 & R2
*8.1
*все версии Windows 10, включая серверные

Не уязвимы:
*XP
*Server 2003, 2008

[RU] https://habr.com/ru/post/463591

Патчи:
https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2019-1181
https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2019-1182
https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2019-1222
https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2019-1226

Сон для слабаков, вперед патчить!

А вот еще вчерашний набор джентельмена от Netflix, раскрывший аж 8 способов вызвать DoS в текущей реализации HTTP/2. Проблема заключается в многопоточности протокола и очередях, завязанных на потоках, когда атакующий может запрашивать большое количество даты, а потом просто от нее отказываться. Классика.

[EN] https://www.bleepingcomputer.com/news/security/new-http-2-flaws-expose-unpatched-web-servers-to-dos-attacks/

[EN] https://vuls.cert.org/confluence/pages/viewpage.action?pageId=56393752