Ставим лайки и подписывайся на канал моего хорошего знакомого. Дальше больше и детальнее будут ресерчи!

Для тех кто просил материальчик по пентесту облачков. Поресерчил, что фактически только AWS интересен для пентеста. Поэтому подобрал материал с Хакера.

Скрываясь на виду у всех. №1

В этом блоге представлен высокоуровневый обзор трассировки стека, того, как EDR/AV используют ее для обнаружения, использования телеметрии ETWTI и того, что можно сделать, чтобы обойти ее. Итак, прежде чем мы обсудим уклонение, давайте сначала поймем, почему трассировка стека важна для EDR.

Если вам понравится данная статья, то выложу вторую часть. Приятным фидбеком будут комментарии и репосты)

Linux Kernel ksmbd Use-After-Free RCE
CVE-2022-47939

CVSS SCORE: 10.0

Эта уязвимость позволяет удаленным злоумышленникам выполнить произвольный код на уязвимых версиях Linux Kernel. Для использования этой уязвимости не требуется аутентификация, но уязвимы только системы с включенным ksmbd.
KSMBD - это сервер ядра linux, который реализует протокол SMB3 в пространстве ядра (ksmbd) для обмена файлами по сети. При запуске серверный демон запускает поток forker (ksmbd/interface name) во время инициализации и открывает выделенный порт 445 для прослушивания SMB-запросов.
Специфический недостаток существует в обработке команд SMB2_TREE_DISCONNECT. Проблема возникает из-за отсутствия проверки существования объекта перед выполнением операций над ним. Злоумышленник может использовать эту уязвимость для выполнения кода в контексте ядра.

#CVE

Растем, ребята!

CVE-2022-21587
Oracle E-Business Suite (EBS)
Status: Exploited in the Wild

CVE-2022-21587 может привести к неавторизованному удаленному выполнению кода. 16 января 2023 года компания Viettel Security опубликовала анализ этой проблемы, подробно описав первопричину и метод использования уязвимости для получения возможности выполнения кода через полезную нагрузку Perl. Эксплойт, основанный на методе анализа Viettel Security, был опубликован на GitHub "HMs" 6 февраля 2023 года. Oracle приписала "l1k3beef" в качестве первооткрывателя уязвимости.

Анализ показал, что во время эксплуатации также возможно использование полезной нагрузки на основе Java Server Page (JSP) для RCE.

P.S. POC

#CVE #POC

А PT добавили новые программы на свою багбаунти площадку:
1. ЕСИА - выплаты до 1.000.000 рублей
2. Госуслуги - выплаты до 1.000.000 рублей

https://bugbounty.standoff365.com/programs

Скрываясь на виду у всех. №2

Судя по реакции и просмотрам на статье. Она вам понравилась, поэтому выкладываю вторую часть статьи!

Это вторая часть блога о проксировании загрузки DLL для скрытия подозрительных следов стека, ведущих к выделенной пользователем области RX. Я не буду углубляться в то, как работает стек, потому что я уже рассказал об этом в предыдущем блоге, который доступен по вышеуказанной ссылке.

#RedTeam #Bypass

Как вы заметили. Я сделал для своего сайта специальный шаблон Telegram IV (Instant View). Теперь статьи можно читать не покидая телеграм. Но если вы хотите глубже погрузиться в разбор кода в моих статьях, то читайте на сайте. Там есть подсветка синтаксиса для всех ЯПов. Удобнее и приятнее читать будет

LocalPotato CVE-2023-21746 Windows LPE

Еще одно повышение привилегий локальной Windows с помощью новой техники Potato ;)

Атака LocalPotato - это тип атаки отражения NTLM, направленной на локальную аутентификацию. Эта атака позволяет произвольно читать/записывать файлы и повышать привилегии.

#CVE #POC

Разбор уязвимости LocalPotato CVE-2023-21746 на русском языке!

LocalPotato CVE-2023-21746 Windows LPE

После обширного исследования мы пришли к "LocalPotato", не очень распространенной атаке отражения NTLM в локальной аутентификации, позволяющей произвольное чтение/запись файлов. Сочетание возможности произвольной записи в файл с выполнением кода позволило нам добиться повышения привилегий по всей цепочке от пользователя до SYSTEM.

В этой статье есть разбор эксплойта и то, как он был пропатчен. Данная статья представляет большой интерес для Red&Blue Team!