Похек
16.4K subscribers
2.08K photos
110 videos
243 files
3.06K links
All materials published on the channel are for educational and informational purposes only.

Мнение автора ≠ мнение компании, где работает автор

Чат: @poxek_chat

Реклама: @PoxekAds_bot или
https://telega.in/c/poxek

РКН: https://clck.ru/3FsVhp
Download Telegram
This media is not supported in your browser
VIEW IN TELEGRAM
NodeJS DOS с помощью битых HTTP/2 фреймов (CVE-2024-27983)
#nodejs #js #dos #http2 #CVE

Node.js сервер может быть положен на лопатки с помощью специального набора HTTP/2 фреймов. Уязвимость возникает, когда злоумышленник отправляет HTTP/2 фреймы, содержащие фреймы CONTINUATION, после чего внезапно завершает TCP-соединение. Это вызывает состояние гонки (race condition) в памяти библиотеки nghttp2, оставляя необработанные данные в памяти. Конкретно проблема возникает при обработке HTTP заголовков в момент закрытия соединения, что провоцирует сбой работы сессии HTTP/2.

😵 Проблема касается всех версий Node.js: 18.x, 20.x и 21.x.

🖥 Security Release

📱 Github PoC (а также в комментариях выложил сбилдженный эксплойт)

😈 HackerOne Отчёт

Также есть лаба, которую вы можете поднять себе в контейнере и потренироваться
📱 Github Лаба

Убедитесь, что у вас стоит docker. Запуск:
git clone https://github.com/lirantal/CVE-2024-27983-nodejs-http2.git ; cd CVE-2024-27983-nodejs-http2 ; chmod u+x ./start.sh ;./start.sh


➡️Советую почитать подробнее про HTTP/2 CONTINUATION Flood

🌚 @poxek | 📺 Youtube | 📺 RuTube | 📺 VK Видео | 🌚 Магазин мерча
Please open Telegram to view this post
VIEW IN TELEGRAM
👍11🔥1
Защита данных — твоя суперсила? Тогда должность AppSec Engineer в «Киберпротекте» ждет тебя!

Привет! Мы — «Киберпротект», российская аккредитованная ИТ-компания. Разрабатываем решения, которые делают кибермир безопаснее и уютнее для всех! Наша миссия — не просто защищать, а строить безопасное кибербудущее.

⭐️ Сейчас мы ищем талантливого AppSec Engineer, которому предстоит:
• разгадывать тайны кода: статический и динамическим анализ — твоя сильная сторона кода;
• охотиться на уязвимости — вручную или автоматически;
• проводить фаззинг-тестирование;
• анализировать отчеты, зависимости и устранять CVE — твоя логика и внимание выше всех похвал!
• определять и контролировать изменения в поверхности атаки продукта;
• обеспечивать покрытие модульными тестами объектов безопасности.

💎 Наш идеальный кандидат:
• имеет опыт работы AppSec от 1 года и более;
• уверенно владеет языком C;
• отлично знает Linux (RHEL-based).
Знание AFL++, addrsanitizer, valgrind, libfuzzer, statsviz, GO будет плюсом.

Мы предлагаем
• Трудоустройство по ТК РФ с первого дня, официальную зарплату, которая растет вместе с тобой
• Уютный офис в БЦ ФизТехПарк, гибрид или удаленка — выбирай сам! Есть релокационный бонус
• ДМС со стоматологией, страхование от несчастных случаев
• Компенсация занятий спортом и питания — поддержим твой активный образ жизни
• Профессиональный рост — внутреннее и внешнее обучение, чтобы помочь друг другу покорять новые высоты

⭐️ Если тебе откликается, давай знакомиться! Оффер уже готов. Приходи на собеседование и жди результата!

Для отклика пиши Дарье или переходи на вакансию по ссылке.

#вакансия
😁15🌚1
От машинного обучения к вопросам безопасности ИИ. Борис Захир - Борис_ь с ml
#подкаст #podcast #борис_ь

❗️ Подкаст выходит на новый уровень и теперь его можно слушать прямо в Telegram!
❗️ Слушать здесь

У меня в гостях Борис Захир, админ телеграм канала Борис_ь с ml. Канала где вы сможете вдохновиться изучением ML, ИИ, а также российского законодательства в области нейросетей.

Подкаст будет интересен:

Исследователям в области ИИ
Владельцам бизнеса, которые собираются внедрять или защищать ИИ
Всем, кто хочет узнать больше о безопасности ИИ

В этом подкасте мы обсудили:
Развитие от ML к AI
Научные исследование ИИ
Исследование рынка ИИ
Кибербезопасность в ИИ
ИИ в кибербезопасности

➡️ Ссылки
💬 Подкасты в Telegram
📹 YouTube
📺 RuTube
💙 VK Видео
🎵 Apple Podcasts
🎵 Яндекс.Музыка
☕️ Mave
💬 Канал Борис_ь с ml

Обязательно смотрите до конца!

🌚 @poxek | 📺 Youtube | 📺 RuTube | 📺 VK Видео | 🌚 Магазин мерча
Please open Telegram to view this post
VIEW IN TELEGRAM
👍148🔥61😁1
©️ Staffcop — лидер рынка расследования инцидентов внутренней информационной безопасности представляет ключевое обновление года. Релиз Staffcop Enterprise 5.5: эволюция внутренней безопасности.

🔴 Ключевое нововведение версии 5.5 — продвинутый анализ рисков, позволяющий администраторам системы не только фиксировать потенциальные инциденты, но и оценивать их критичность для более оперативного реагирования на реальные угрозы.

Что еще вас ждет в новой сборке продукта:

▶️ Анализ рисков
▶️ Централизованная установка меток
▶️ Перехват командной строки
▶️ Учет активности в ВКС
▶️ Перехват в RDP

Добавляя новый функционал, разработчики не забывают улучшать ключевые функции для более глубокого мониторинга событий и инцидентов ИБ.

🕑 30 октября в 11:00 МСК топ-менеджеры Staffcop в прямом эфире проведут презентацию новой версии продукта. Для участников вебинара приготовлены пасхалки, за разгадку которых можно выиграть ЛИМИТИРОВАННЫЙ релизный мерч от Staffcop.

👤 Регистрируйтесь уже сейчас и не упустите возможность узнать все детали из первых уст и задать все волнующие вопросы в прямом эфире!

➡️ Ссылка на регистрацию

Реклама. ООО «АТОМ БЕЗОПАСНОСТЬ»,  ИНН 5408298569 , ОГРН 1125476195459 erid:2SDnjbq3DpX
Please open Telegram to view this post
VIEW IN TELEGRAM
😁6👍3🌚11
💻 Popping Android Vulnerabilities From Notification to WebView XSS
#en #android #mobile #xss #webview

Если вы всегда думали, что взлом Android-приложений сводится лишь к обходу проверки на root, SSL pinning'а или проксирования HTTP-запросов через Burp Suite для выявления уязвимостей в серверной части, возможно, пришло время изменить своё мышление. Хотя эти шаги действительно полезны, но они не раскрывают сущности всех уязвимостей Android-приложений. Автор, глубоко погрузившийся в безопасность мобильных приложений, может сказать, что настоящие уязвимости часто скрываются в самом Java-коде Android, а не только в API серверной части.

В этой статье автор покажет вам пример вредоносной отправки расширенного уведомления, которое приводит к XSS-уязвимости при обработке в WebView. Это яркий пример того, как понимание внутренних механизмов Android-приложений может помочь обнаружить значимые уязвимости, которые в противном случае могли бы остаться незамеченными.

➡️Читать далее

🌚 @poxek | 📺 YT | 📺 RT | 📺 VK | 🌚 Магазин мерча
Please open Telegram to view this post
VIEW IN TELEGRAM
5👍9🔥1
Forwarded from BI.ZONE Bug Bounty
Media is too big
VIEW IN TELEGRAM
😆 Анонсируем BUGS ZONE 3.0!

Наш приватный ивент BUGS ZONE возвращается. Традиционно обещаем сочный скоуп, приятные призы и офлайн-тусовку с топами нашей платформы.

Вас ждут:

🔵онлайн-этап с хантингом на закрытом скоупе;
🔵церемония награждения с приватной вечеринкой;
🔵много нового опыта, общения и приятных бонусов.

Ивент будет проходить с начала ноября, а церемония награждения состоится 22 ноября в Москве, так что букайте календари и ничего не планируйте :)

Скоро мы разошлем приглашения нашим самым крутым исследователям. Но у вас еще есть шанс попасть в элитный список участников BUGS ZONE 3.0!

Для этого активно сдавайте баги на нашей платформе и качайте рейтинг. Мы обязательно вас заметим и придем с приглашением.

А еще мы разыграем несколько проходок на церемонию награждения. Это отличная возможность пообщаться с крутыми экспертами в неформальной обстановке. Розыгрыш начнем чуть позже, следите за уведомлениями на канале.
Please open Telegram to view this post
VIEW IN TELEGRAM
🔥13
Сегодня буду на ивенте Сохранить Всё от Гарда

➡️https://saveall.garda.ai/

🌚 @poxek
Please open Telegram to view this post
VIEW IN TELEGRAM
😁122
Сохранить Всё от Гарда

➡️https://saveall.garda.ai/

🌚 @poxek
Please open Telegram to view this post
VIEW IN TELEGRAM
Please open Telegram to view this post
VIEW IN TELEGRAM
👾14🔥42😁1🌚1
Гарда, спасибо вам большое! Отлично провел день. Большое спасибо отличную организацию, хорошие подарки для спикеров и очень дружественную атмосферу)

На последних фотках, это гости учавствовали в хакатоне

🌚 @poxek
Please open Telegram to view this post
VIEW IN TELEGRAM
2210👍3
Как выглядит мобильный пентест в команде
#meme

🌚 @poxek
Please open Telegram to view this post
VIEW IN TELEGRAM
🔥26😁118
Forwarded from AKTIV.CONSULTING
⚡️Кому и зачем нужна безопасная разработка, и что необходимо для запуска подхода DevSecOps в организации?

Обсудили эту актуальную тему в свежем выпуске подкаста «Безопасный выход». Вместе с Ильей Шмаковым, BISO и DevSecOps TeamLead в Росбанке, разобрали распространение DevSecOps, его адаптацию и внедрение в процесс разработки в отечественных компаниях.

Смотрите подкаст и вы узнаете:

• что драйвит внедрение DevSecOps, и как посчитать его эффективность;
• какой нужен MVP для запуска процессов безопасной разработки;
• кто может стать DevSecOps, и где готовят таких специалистов;
• кто такие Security Champion, и как их вырастить среди своих разработчиков;
• каковы перспективы развития безопасной разработки в России.

💬VK Видео

📱Rutube

📹YouTube

🎼Podster

Подписывайтесь на подкаст, чтобы не пропустить новые выпуски! #подкаст #Безопасныйвыход
Please open Telegram to view this post
VIEW IN TELEGRAM
👍143🔥3
Forwarded from Ever Secure (Aleksey Fedulaev)
А вот и видос про пентесты контейнеров👩‍💻

Познакомимся с атаками на контейнеры, находясь непосредственно в них,  и с атаками на Docker👩‍💻daemon, находясь на хостовой машине👩‍💻.
Еще попробуем инструменты автоматизации пентестов контейнеров 📦

📹Смотреть
💳Смотреть

👀@ever_secure
Please open Telegram to view this post
VIEW IN TELEGRAM
🔥15👍411