#frida #android

Не нашел на просторах интернета, поэтому вот вам скрипт для Frida под реализацию метода putString класса SharedPreference, с помощью которого можно в реальном времени отслеживать все что приложение пишет в SP.

Java.perform(function () {
    var Shared = Java.use("android.app.SharedPreferencesImpl$EditorImpl");
    Shared.putString.implementation = function (a,b) {
        console.log("[*] SharedPreferences.putString() got called! Args: ", a,", ", b);
        var retval = this.putString(a,b);
        return retval;
    };
});

#penetst #tool

Нашел новый бастер dirble[дир’блэ], который стоит попробовать.

Из плюсов:
- Есть флаг --burp, который отправляет трафик через бурп прокси 😄
- Есть вайтлист кодов ответов, в отличие от дирсерча где нужно добавлять -X 301,302,445,403,500,etc…

Остальная таблица сравнения с dirb,dirsearch,gobuster на странице проекта:

https://github.com/nccgroup/dirble

#news

В Burp 2.1 появилась темная тема!

P.S. Release notes: https://releases.portswigger.net/2019/06/professional-community-edition-21.html

#Telegram #Channels

Очередная подборка телеграм-каналов, на которые сам подписан. Формировал по просьбе, решил заделиться раз уж сделал.

Для ламеров

(Скорее всего схавает даже тот, кто не в теме)

Канал про технологии и информационную безопасность:
https://t.iss.one/cybershit

Агрегатор новостей ИБ:
https://t.iss.one/HNews

Агрегатор новостей ИБ с форума Antichat:
https://t.iss.one/antichat

Агрегатор толковых новостей ИБ и площадка типа Habr для хакеров:
https://t.iss.one/xakep_ru

Ребята хайпят на ИБ:
https://t.iss.one/netstalkers

Подкасты о ИБ:
https://t.iss.one/N0iSeBit

Для ProHacker'ов

(Скорее всего будет полезно тем кто в теме)

Появляющиеся эксплойты к известному ПО:
https://t.iss.one/exploitdbrss

Канал с заметками и информацией о BugBounty:
https://t.iss.one/thebugbountyhunter

Информация о раскрытиях уязвимостей с HackerOne:
https://t.iss.one/bug_bounty_channel

Про редтимминг и пр.:
https://t.iss.one/mis_team

Про пентест и хаккинг:
https://t.iss.one/YAH_Channel

Полезные записки для Администраторов:
https://t.iss.one/SysadminNotes

Полезные записки для Администраторов:
https://t.iss.one/bykvaadm

Канал форума Reverse For You:
https://t.iss.one/R0_Crew

ИБ, утечки, хаккинг и пр.:
https://t.iss.one/canyoupwnme

Хакинг и ИБ обучение:
https://t.iss.one/hacker_sanctuary

Набирающие популярность GitHub репозитории:
https://t.iss.one/github_repos

Мероприятия

OFFZONE:
https://t.iss.one/offzone_moscow

DC7499:
https://t.iss.one/DEFCON

DC7495:
https://t.iss.one/DEFCON7495

DC8800:
https://t.iss.one/DC8800

Информация о мероприятиях ИБ:
https://t.iss.one/InfoBezEvents

OWASP RU:
https://t.iss.one/OWASP_RU

Годно про XML-RPC

#offZone #conference

Ура! Ребята из Бизон выложили доклады!
Мой доклад по ссылке: https://www.youtube.com/watch?v=7srno3kt20M

P.S. Все комментарии и пожелания по докладу, его подаче и содержимому приветствуются!

#tool

То, что нужно

#knowledge #youtube

Нашел, помимо всем уже известного LiveOverflow, ещё один развивающийся Ютуб канал о Хакинге и CTF PwnFunction.

https://www.youtube.com/channel/UCW6MNdOsqv2E9AjQkv9we7A/videos

Видосов пока не много, но уже есть что посмотреть новичкам. Судя по контенту, дальше будет больше и интереснее.

#ruby #slqi

Только посмотрите, как круто в коде RubyOnRails выглядит SQLi в ORDER BY:

Client.order(params[:first_name])

Т.е. Active Record Query Interface после такого вызова построит следующий запрос:

'SELECT * FROM Clients ORDER BY #{params[:first_name]}’

, где #{params[:first_name]} - это user input.

Метод .order() не фильтрует и не экранирует получаемые данные. А значит, в таком случае мы легко можем раскрутить Blind SQLi c подзапросом вроде:

ORDER BY 1,(SELECT 1 FROM SLEEP(5))--

, где дальше можно крутить Boolean-based, Time-based и пр.

P.S. Почему это круто?!

Потому что разработчики, когда пишет код, даже не подозревает, что вызов вроде Client.order(params[:first_name]) приведет к SQLi. Тут ничего не режет глаз, нет конкатенации, нет опасных функций, казалось бы и пр.

Godnota

Race condition в веб-приложениях

https://bo0om.ru/race-condition-ru

PayloadsAllTheThings - коллекция полезной нагрузки ко всему, вот серьёзно.
Тут и вектора атак для CRLF, и к Path Traversal, различные пэйлоады для imagemagic и ffmpeg, XXE, ссылки на разборы и мануалы, даже старый добрый SecLists больше не нужен. Обязателен в коллекции любого bounty hunter'а. А уж сколько заданий в CTF было решено засчет него!
А чего еще нет, добавляется с помощью комьюнити, подключайтесь!

#knowledge #sqli

DQL Injections by Deteact:
https://blog.deteact.com/ru/dql-injection/

#misc

Крутейшее расследование от моего доброго друга:
https://www.anti-malware.ru/analytics/Threats_Analysis/searching-for-Neutrino-investigation

#knowledge #xss #client-side

Упустил для себя, что можно даже с возвращаемым типом содержимого страницы text/xml провести атаку типа XSS.

Пример:

<?php
header("Content-Type: text/xml");


print_r('<?xml version="1.0" encoding="UTF-8"?>
<response>
 <foo>
  <html xmlns:html="https://www.w3.org/1999/xhtml">
   <html:script>alert("Reflected XSS");</html:script>
  </html>
 </foo>
</response>');

?>

Т.е. мы подгружаем в XML пространство имен xhtml, и можем пользоваться его тегами.

Видимо, везде где есть XML можно добиться выполнения JS кода. (Это еще надо проверить)

#knowledge #android

Зацепился глаз за годный репозиторий. Не знаю куда эти знания сложить у себя, поэтому пусть полежит тут.

https://github.com/MindorksOpenSource/android-developer-roadmap

Roadmap для Android девелопера, ну или список необходимых знаний для людей, работающих с Android.

#fun #android

Прочитал давеча статью [History of the worst Android app ever: mAadhaar](https://github.com/fs0c131y/ConPresentations/blob/master/AppSecVillageDefcon27.mAadhaar.pdf)
, где чувак забайпасил проверки на рута, ссл, дебаг, патч, etc… фридой и счел, что теперь это приложение “Худшее в мире”. Но суть не в том.

В статье был слайд, вдухе, забайпасил SSL Pinning с CVE-2019-14516.

Я подумал, что видимо упустил, какую-то CVE на SSL Pin Bypass. Но когда нашел информацию по CVE…

Тут: https://nvd.nist.gov/vuln/detail/CVE-2019-14516

Чувак просто завел CVE на байпас SSL в этой говноПриложухе)))

Кто тут хотел много CVE в резюме?😉

P.S. С такой х…ей можно выступить на Defcon

P.P.S. Это не шутка, чел рили на Defcon в LA с этим выступил.

#android

Прикольная статья, как работает и хитрит Android-банкер

https://xakep.ru/2019/08/14/cerberus/

Рекомендую.

“Вредонос считывает данные с акселерометра и, используя простой шагомер,….Это помогает избегать запуска на тестовых устройствах или в песочнице.”