Призраки в коммитах: пылесосим историю Git в поиске утекших секретов

#статья #перевод #bugbounty #leak #osint

Это был очень любопытный проект. Я объединил несколько уже известных идей, автоматизировал поиск и в итоге нашел тысячи активных секретов, многие из которых пылились на GitHub годами. К тому же собрал на коленке довольно удобную платформу для охоты за секретами, позволяющую искать иголки в стоге сена. Ну и заработал более $25 000 на этих находках.

🔗 Ссылка на статью

LH | News | OSINT | AI

Checklists

#pentest #redteam #полезное

Несмотря на то, что тестирование на проникновение — процесс креативный, большинство людей придерживаются личных чек-листов, чтобы не забыть протестировать различные сценарии и добиться качественной, всесторонней оценки.

Цель этого проекта — создать подробные чек-листы, которые могут использоваться специалистами по тестированию на проникновение и участниками RedTeam проектов. Каждый чек-лист будет связан с подробной статьей в блоге PentestLab, которая опишет технику и как выполнить необходимую задачу.

🔗 Ссылка на GitHub

LH | News | OSINT | AI

Большой гайд по тестированию CMS Bitrix

#cтатья #pentest #полезное

В статье показаны все существующие на данный момент известные методы и техники поиска уязвимостей в битриксе, включая атаки на кастомные модули. Также есть информация по структуре модулей и матчасть по самому Битриксу. Даже если вы только знакомитесь с этой CMS, после прочтения точно что-нибудь найдете.

🔗 Ссылка на статью

LH | News | OSINT | AI

Twixify

#AI #полезное

Гуманизатор текста с искусственным интеллектом, который может преобразовывать контент, созданный с помощью ИИ, чтобы отразить ваш личный стиль письма, делая его необнаружимым и неотличимым от текста, написанного человеком. Идеально подходит для обхода инструментов обнаружения искусственного интеллекта.

🔗 Ссылка на сервис

LH | News | OSINT | AI

История жизни и смерти хакера, взломавшего пентагон и NASA в 15 лет

#статья

Как правило, хакеры стараются вести скрытный образ жизни и соблюдать анонимность. Многим это удается, но некоторые из них обретают популярность вопреки собственной воле. Так случилось, например, с Кевином Митником или Робертом Моррисом. Но есть и другие компьютерные гении, о судьбе которых известно гораздо меньше, чем об их подвигах. Одного из таких парней, оставивших заметный след в истории мирового хакерства, звали Джонатан Джеймс. Это человек с яркой, но трагичной историей жизни, завершившейся ранней и таинственной смертью.

🔗 Ссылка на статью

LH | News | OSINT | AI

DeepBlueCLI

#DFIR #blueteam #admin

Инструмента от SANS, а точнее модуль PowerShell для поиска угроз с помощью журналов событий Windows. Поможет выявить подозрительную активность учетных записей и найти подозрительные службы или вредоносное ПО (например mimikatz). В репозитории есть различные примеры журналов, которые можно использовать для оттачивания навыков реагирования и расследования. Умеет экспортировать результаты во все основные форматы файлов.

🔗 Ссылка на GitHub

LH | News | OSINT | AI

Awesome Injection

#evasion #bypass #pentest #redteam #malware

Большой сборник статей и исходных кодов различных методов инъекции в процессы для Windows и Linux. Полезный ресурс для тех кто устал разбиваться об антивирусные решения.

🔗 Ссылка на GitHub

LH | News | OSINT | AI

За неделю от ночных кошмаров до спокойного сна: как я автоматизировал защиту от AI-хакеров

#AI #статья

Никто не любит быть тем парнем, который говорит «а давайте еще и защиту поставим». Особенно когда речь идет о блестящем новом AI‑продукте, который должен был запуститься «еще вчера». Но когда твой корпоративный чат‑бот начинает выдавать системные промпты направо и налево, а в 2 ночи тебе в Telegram прилетают сообщения «СРОЧНО! Хакеры взломали бота!» — понимаешь, что без брони в бой идти нельзя.

🔗 Ссылка на статью

LH | News | OSINT | AI

🙌🙌🙌🙌

⚡️ Топ популярных/полезных постов за прошедшую неделю (сохрани себе чтобы не потерять):

1. Предыдущий топ статей
2. ТОП офлайн-приложений для связи, навигации и выживания
3. Инструмент аудита Active Directory
4. Инструмент для поиска секретов. Ищет чувствительные данные (API-ключи, токены, пароли) в JavaScript-файлах на веб-сайтах
5. Как узнать геолокацию человека по номеру телефона
6. Цель этого проекта — создать подробные чек-листы, которые могут использоваться специалистами по тестированию на проникновение и участниками RedTeam проектов
7. Большой гайд по тестированию CMS Bitrix

#подборка #лучшиестатьи #информационнаябезопасность #ИБ #хакинг

LH | News | OSINT | AI

PANIX - Persistence Against *NIX

#persistence #linux #pentest

Мощный, модульный и легко настраиваемый инструмент для закрепления в ОС Linux, предназначенный для пентестеров, CTF энтузиастов и исследователей. Имеет широкий спектр возможностей, что делает его важным инструментом для понимания и реализации различных методов закрепления.

🔗 Ссылка на GitHub

LH | News | OSINT | AI

Почтовая корова? Как поднять свой почтовый сервер Mailcow

#mail #pentest #полезное

В мире, где ваша деловая переписка зависит от чужих алгоритмов и сомнительной репутации общих IP-адресов, полный контроль — это не прихоть, а фундамент цифровой независимости. Нас годами убеждали, что управлять своей почтой — удел корпораций. Но это не так. Имея надежную платформу и правильные инструменты, вы можете стать хозяином своей коммуникации.

В этом руководстве мы пройдем весь путь: от развертывания сервера до отправки первого письма с настроенной и автономной почтовой системы. Никаких «черных ящиков» и компромиссов. Только вы, надежное «железо» и стопроцентный контроль.

🔗 Ссылка на статью

LH | News | OSINT | AI

GitMiner

#pentest #OSINT #bugbounty

Инструмент для автоматизированного сбора и анализа данных из публичных репозиториев GitHub. Позволяет искать конфиденциальную информацию, уязвимости и другие важные артефакты в коде и метаданных проектов.

🔗 Ссылка на GitHub

LH | News | OSINT | AI

Kerberoasting v2

#статья #pentest #redteam

В 61% внутренних тестирований на проникновение успешно применяется атака Kerberoasting. Это мотивировало меня разобраться в атаке, а также ответить на следующие вопросы: почему Kerberoasting так часто эксплуатируется и какие практики по защите существуют и успешно применяются на текущий момент. Перед тем как перейти к сути атаки, полезно получить общее представление о том, как именно устроена проверка подлинности Kerberos.

🔗 Ссылка на статью

LH | News | OSINT | AI

Koadic — удалённое управление системами Windows

#Pentest #payload

Инструмент для постэксплуатации (post-exploitation) и управления заражёнными системами, написанный на Python.

Ключевые возможности:
• Выполнение команд и скриптов на заражённой системе.
• Сбор информации о системе, пользователях и настройках сети.
• Управление файлами и процессами.
• Поддержка множества модулей для расширения функционала.
• Взаимодействие по протоколам HTTP(S), что облегчает обход фаерволов и прокси.

🔗 Ссылка на GitHub

LH | News | OSINT | AI

Управляем паролем локального администратора с помощью LAPS

#AD #статья #admin #pentest #полезное

Одной из самых распространенных проблем, с которой сталкивается почти каждый системный администратор, является управление паролями локального администратора. Одним из вариантов решения является LAPS.

В этой статье рассмотрены основные этапы развертывания LAPS (Local Administrator Password Solution), он бесплатен и не требует дополнительных расходов на инфраструктуру, так как использует Active Directory в качестве базы данных.

🔗 Ссылка на статью

LH | News | OSINT | AI

1Panel

#linux #admin #полезное

Веб-интерфейс для управления Linux-серверами. Интегрирует функции мониторинга серверов, управления контейнерами, базами данных и веб-сайтами, а также систему резервного копирования и восстановления. Платформа поддерживает развертывание сайтов (включая WordPress) с одной кнопки, автоматическое обновление приложений и безопасность через контейнеризацию.

🔗 Ссылка на Github

LH | News | OSINT | AI

Практическое руководство по атакам на IPv6 в локальной сети

#статья #pentest

IPv6 всё ещё далёк от повсеместного внедрения, однако большинство современных операционных систем имеют IPv6, включённый по умолчанию. В корпоративных сетях это часто приводит к появлению скрытых уязвимостей: даже если используется только IPv4, системы Windows по умолчанию предпочитают IPv6 и периодически запрашивают его настройки.

Злоумышленники могут использовать доверительную природу протоколов IPv6 для проведения атак внутри локальной сети. Особенно опасны атаки подмены (спуфинг), когда злоумышленник выдаёт себя за легитимный узел сети или внедряет поддельные пакеты с целью проведения MITM и/или DNS-спуфинга в локальной сети.

🔗 Ссылка на статью

LH | News | OSINT | AI

Как проверить утекли ли ваши данные: сервисы для проверки сливов

#OSINT #статья #утечки

Приветствуем дорогих читателей! В этой статье разберём для вас некоторые пути для проверки утечки ваших данных в сеть. Рассмотрим наиболее популярные сервисы и телеграм-ботов для проверки. Оценим их эффективность и доступность для пользователей.

🔗 Прочитать нашу статью можно тут

LH | News | OSINT | AI

GPTKit

#AI #полезное

Бесплатный инструмент для обнаружения сгенерированного с помощью искусственного интеллекта текста. Использует шесть различных методов для точной идентификации и классификации машинного текста. Предоставляет отчеты о подлинности и реальности проанализированного контента.

🔗 Ссылка на сервис

LH | News | OSINT | AI

Если вам звонят из службы безопасности банка — будьте осторожны. Это может быть служба безопасности банка

#статья #полезное #мошенники

"Здравствуйте это служба безопасности банка. Вам срочно необходимо подтвердить ваши операции. Вот прям завтра до 18:00 необходимо собрать полный комплект документов и предоставить нам. Вы под подозрением в отмывании денег! Отправили письмо на почту, срочно ответьте!."
Чем заканчиваются подобные звонки - знает, наверное, каждый. А вот и нет...

До сего дня, я имел достаточно плодотворное взаимодействие с одним из ведущих банков страны. Называть я его не буду, скажу только, что название начинается на «В», заканчивается на «Б», посередине «Т». Тон звонка был достаточно категоричный и не подразумевал сомнений. Сомнений в том, что это мошенники…

🔗 Ссылка на статью

LH | News | OSINT | AI

Public Pentesting Reports

#обучение #pentest

Список публичных отчетов по проведению пентестов, опубликованных несколькими консалтинговыми фирмами и академическими группами по исследованию безопасности.

🔗 Ссылка на GitHub

LH | News | OSINT | AI