Во время авторизации есть Rate Limit, который блокирует пользователя после нескольких неудачных попыток входа.

Он обходится, если отправить много запросов одновременно. Это одна из лабораторий в академии PortSwigger, для которой нужно использовать Turbo Intruder, чтобы сбрутить пароль с помощью Race Condition.

Как и Repeater, он тоже был обновлен, и теперь поддерживает "Single-packet attack".

Как использовать "атаку одним пакетом" в Turbo Intruder:
1. Отправить в него запрос.
2. В теле запроса заменить значение параметра password на %s. Это аналог привычного §, на месте которого будут пароли из словаря.
3. Создать экземпляр класса RequestEngine с параметрами

concurrentConnections=1
engine=Engine.BURP2

4. Подготовить запросы и добавить каждый в очередь с помощью

engine.queue(target.req, gate="race")

5. Вызвать

engine.openGate("race")

чтобы отправить их все в одном пакете.
6. Нажать "Attack"

На скриншоте пример готового скрипта с новым движком. Словарь загружается из буфера обмена.

Пятничное

https://github.com/mxrch/penglab

🐧 Penglab is a ready-to-install setup on Google Colab for cracking hashes with an incredible power, really useful for CTFs.

It installs by default:
— Hashcat
— John
— Hydra
— SSH (with ngrok)

And now, it can also:
— Launch an integrated shell
— Download the wordlists Rockyou and HashesOrg2019 quickly!

На бесплатной квоте доступна тесла. Но аккаунт может улететь в бан. На потоке брутить не получится, для нескольких хэшей — подойдёт.

2022 Top Routinely Exploited Vulnerabilities

Топ 12 наиболее эксплуатируемых CVE в 2022 по версии CISA, АНБ, ФБР, Национального центра кибербезопасности Великобритании и всех остальных.

https://github.blog/2023-08-17-mtls-when-certificate-authentication-is-done-wrong/

Github продолжает радовать хорошими статьими.

На примере трех недавних CVE:
— CVE-2023-2422 improper certificate validation in KeyCloak
— CVE-2023-33201 LDAP injection in Bouncy Castle
— CVE-2023-28857 credentials leak in Apereo CAS

О том, как устроены атаки на mTLS, и как их можно раскрутить до RCE с помощью собственных сертификатов. Текстовая версия доклада с недавно прошедшего Black Hat USA.

https://blog.securitybreached.org/2023/08/18/bug-bounty-blueprint-a-beginners-guide/

Подробное руководство по Bug Bounty в 2023 году. Где, что и как нужно искать, чтобы получить максимальный профит.

Много ссылок на кейсы из жизни, ресерчи известных баг хантеров, лабы и репозитории с полезными утилитами.

https://github.com/koenbuyens/securityheaders

Сканер для поиска мисконфигов в CSP и хороший Cheatsheet по всем Security Headers.

В репозитории, кроме самого скрипта, кратко описана каждая директива и возможные ошибки, которые в них можно допустить.

https://j11g.com/2023/08/07/the-legacy-of-bram-moolenaar/

Пару слов о недавно умершем Брэме Муленаре, последних годах его жизни и будущем Vim.

Чтобы собирать фидбек от пользователей, многие разработчики используют сторонние CRM. Самая известная — Zendesk.

Способов общения с ней может быть несколько, вот один из них:
1. Разработчик получает API-токен для походов в API Zendesk.
2. Создает на своем сервисе единую точку входа, которая проксирует запросы в Zendesk API с полученным токеном, и заставляет ходить в нее своих пользователей.

Предположим, точку входа мы нашли (это просто). Дальше интересно посмотреть, с каким токеном осуществляется проксирование. Для этого можно попробовать пофаззить энпоинты из документации.

В отчете с одной из крупнейших криптовалютных бирж KuCoin оказалось, что все запросы выполнялись с permissions администратора. И запрос на https://www.kucoin.com/_api/zendesk/api/v2/tickets.json раскрывал злоумышленнику все обращения, а на /_api/zendesk/api/v2/users.json - всех пользователей.

Информация о них содержала ФИО, фотографию, номер телефона, email и все остальное, что можно встретить в любом из постов об очередной утечке.