#offZone #conference
Ура! Ребята из Бизон выложили доклады!
Мой доклад по ссылке: https://www.youtube.com/watch?v=7srno3kt20M
P.S. Все комментарии и пожелания по докладу, его подаче и содержимому приветствуются!
Ура! Ребята из Бизон выложили доклады!
Мой доклад по ссылке: https://www.youtube.com/watch?v=7srno3kt20M
P.S. Все комментарии и пожелания по докладу, его подаче и содержимому приветствуются!
YouTube
Attacks on Android Activity & Intents or where to start learning about attacks on Android apps
Attacks on Android Activity & Intents or where to start learning about attacks on Android apps // Egor Bogomolov
This report is designed for professionals who want to find something interesting in the field of security analysis of Android applications. The…
This report is designed for professionals who want to find something interesting in the field of security analysis of Android applications. The…
#knowledge #youtube
Нашел, помимо всем уже известного LiveOverflow, ещё один развивающийся Ютуб канал о Хакинге и CTF PwnFunction.
https://www.youtube.com/channel/UCW6MNdOsqv2E9AjQkv9we7A/videos
Видосов пока не много, но уже есть что посмотреть новичкам. Судя по контенту, дальше будет больше и интереснее.
Нашел, помимо всем уже известного LiveOverflow, ещё один развивающийся Ютуб канал о Хакинге и CTF PwnFunction.
https://www.youtube.com/channel/UCW6MNdOsqv2E9AjQkv9we7A/videos
Видосов пока не много, но уже есть что посмотреть новичкам. Судя по контенту, дальше будет больше и интереснее.
#ruby #slqi
Только посмотрите, как круто в коде RubyOnRails выглядит SQLi в ORDER BY:
Т.е. Active Record Query Interface после такого вызова построит следующий запрос:
, где #{params[:first_name]} - это user input.
Метод .order() не фильтрует и не экранирует получаемые данные. А значит, в таком случае мы легко можем раскрутить Blind SQLi c подзапросом вроде:
, где дальше можно крутить Boolean-based, Time-based и пр.
P.S. Почему это круто?!
Потому что разработчики, когда пишет код, даже не подозревает, что вызов вроде
Только посмотрите, как круто в коде RubyOnRails выглядит SQLi в ORDER BY:
Client.order(params[:first_name])
Т.е. Active Record Query Interface после такого вызова построит следующий запрос:
'SELECT * FROM Clients ORDER BY #{params[:first_name]}’, где #{params[:first_name]} - это user input.
Метод .order() не фильтрует и не экранирует получаемые данные. А значит, в таком случае мы легко можем раскрутить Blind SQLi c подзапросом вроде:
ORDER BY 1,(SELECT 1 FROM SLEEP(5))--
, где дальше можно крутить Boolean-based, Time-based и пр.
P.S. Почему это круто?!
Потому что разработчики, когда пишет код, даже не подозревает, что вызов вроде
Client.order(params[:first_name]) приведет к SQLi. Тут ничего не режет глаз, нет конкатенации, нет опасных функций, казалось бы и пр.Forwarded from Кавычка (Bo0oM)
This media is not supported in your browser
VIEW IN TELEGRAM
Forwarded from Кавычка (Bo0oM)
PayloadsAllTheThings - коллекция полезной нагрузки ко всему, вот серьёзно.
Тут и вектора атак для CRLF, и к Path Traversal, различные пэйлоады для imagemagic и ffmpeg, XXE, ссылки на разборы и мануалы, даже старый добрый SecLists больше не нужен. Обязателен в коллекции любого bounty hunter'а. А уж сколько заданий в CTF было решено засчет него!
А чего еще нет, добавляется с помощью комьюнити, подключайтесь!
Тут и вектора атак для CRLF, и к Path Traversal, различные пэйлоады для imagemagic и ffmpeg, XXE, ссылки на разборы и мануалы, даже старый добрый SecLists больше не нужен. Обязателен в коллекции любого bounty hunter'а. А уж сколько заданий в CTF было решено засчет него!
А чего еще нет, добавляется с помощью комьюнити, подключайтесь!
#misc
Крутейшее расследование от моего доброго друга:
https://www.anti-malware.ru/analytics/Threats_Analysis/searching-for-Neutrino-investigation
Крутейшее расследование от моего доброго друга:
https://www.anti-malware.ru/analytics/Threats_Analysis/searching-for-Neutrino-investigation
Anti-Malware
В поисках Neutrino: расследование Positive Technologies
С августа 2018 года система поиска следов компрометации в сетевом трафике PT Network Attack Discovery и ловушки-ханипоты компании Positive Technologies начали фиксировать массовые сканирования систем
#knowledge #xss #client-side
Упустил для себя, что можно даже с возвращаемым типом содержимого страницы
Пример:
Т.е. мы подгружаем в XML пространство имен xhtml, и можем пользоваться его тегами.
Видимо, везде где есть XML можно добиться выполнения JS кода. (Это еще надо проверить)
Упустил для себя, что можно даже с возвращаемым типом содержимого страницы
text/xml провести атаку типа XSS.Пример:
<?php
header("Content-Type: text/xml");
print_r('<?xml version="1.0" encoding="UTF-8"?>
<response>
<foo>
<html xmlns:html="https://www.w3.org/1999/xhtml">
<html:script>alert("Reflected XSS");</html:script>
</html>
</foo>
</response>');
?>
Т.е. мы подгружаем в XML пространство имен xhtml, и можем пользоваться его тегами.
Видимо, везде где есть XML можно добиться выполнения JS кода. (Это еще надо проверить)
#knowledge #android
Зацепился глаз за годный репозиторий. Не знаю куда эти знания сложить у себя, поэтому пусть полежит тут.
https://github.com/MindorksOpenSource/android-developer-roadmap
Roadmap для Android девелопера, ну или список необходимых знаний для людей, работающих с Android.
Зацепился глаз за годный репозиторий. Не знаю куда эти знания сложить у себя, поэтому пусть полежит тут.
https://github.com/MindorksOpenSource/android-developer-roadmap
Roadmap для Android девелопера, ну или список необходимых знаний для людей, работающих с Android.
GitHub
GitHub - amitshekhariitbhu/android-developer-roadmap: Android Developer Roadmap - A complete roadmap to learn Android App Development
Android Developer Roadmap - A complete roadmap to learn Android App Development - amitshekhariitbhu/android-developer-roadmap
#fun #android
Прочитал давеча статью [History of the worst Android app ever: mAadhaar](https://github.com/fs0c131y/ConPresentations/blob/master/AppSecVillageDefcon27.mAadhaar.pdf)
, где чувак забайпасил проверки на рута, ссл, дебаг, патч, etc… фридой и счел, что теперь это приложение “Худшее в мире”. Но суть не в том.
В статье был слайд, вдухе, забайпасил SSL Pinning с CVE-2019-14516.
Я подумал, что видимо упустил, какую-то CVE на SSL Pin Bypass. Но когда нашел информацию по CVE…
Тут: https://nvd.nist.gov/vuln/detail/CVE-2019-14516
Чувак просто завел CVE на байпас SSL в этой говноПриложухе)))
Кто тут хотел много CVE в резюме?😉
Прочитал давеча статью [History of the worst Android app ever: mAadhaar](https://github.com/fs0c131y/ConPresentations/blob/master/AppSecVillageDefcon27.mAadhaar.pdf)
, где чувак забайпасил проверки на рута, ссл, дебаг, патч, etc… фридой и счел, что теперь это приложение “Худшее в мире”. Но суть не в том.
В статье был слайд, вдухе, забайпасил SSL Pinning с CVE-2019-14516.
Я подумал, что видимо упустил, какую-то CVE на SSL Pin Bypass. Но когда нашел информацию по CVE…
Тут: https://nvd.nist.gov/vuln/detail/CVE-2019-14516
Чувак просто завел CVE на байпас SSL в этой говноПриложухе)))
Кто тут хотел много CVE в резюме?😉
GitHub
ConPresentations/AppSecVillageDefcon27.mAadhaar.pdf at master · fs0c131y/ConPresentations
Slide decks from my conference presentations. Contribute to fs0c131y/ConPresentations development by creating an account on GitHub.
#android
Прикольная статья, как работает и хитрит Android-банкер
https://xakep.ru/2019/08/14/cerberus/
Рекомендую.
“Вредонос считывает данные с акселерометра и, используя простой шагомер,….Это помогает избегать запуска на тестовых устройствах или в песочнице.”
Прикольная статья, как работает и хитрит Android-банкер
https://xakep.ru/2019/08/14/cerberus/
Рекомендую.
“Вредонос считывает данные с акселерометра и, используя простой шагомер,….Это помогает избегать запуска на тестовых устройствах или в песочнице.”
XAKEP
Android-банкер Cerberus использует шагомер, чтобы избежать обнаружения
Эксперты амстердамской компании ThreatFabric обнаружили нового вредоноса для Android, который избегает обнаружения весьма необычным образом.
#android
Зачитался статьей про безопасность хранения данных на Android девайсах. Очень круто Олег Афонин расписал все архитектурные и кастомные проблемы девайсов и пользователей.
Если задаетесь вопросом насколько безопасен ваш Android девайс при попадении в руки третьим лицам, обязательно ознакомьтесь.
https://blog.elcomsoft.com/ru/2019/07/antikriminalistika-kak-zashhitit-smartfon-na-android/
Зачитался статьей про безопасность хранения данных на Android девайсах. Очень круто Олег Афонин расписал все архитектурные и кастомные проблемы девайсов и пользователей.
Если задаетесь вопросом насколько безопасен ваш Android девайс при попадении в руки третьим лицам, обязательно ознакомьтесь.
https://blog.elcomsoft.com/ru/2019/07/antikriminalistika-kak-zashhitit-smartfon-na-android/
Блог Элкомсофт
Антикриминалистика: как защитить смартфон на Android
Большинство наших статей рассказывает о том, как взломать защиту и получить доступ к данным. Сегодня мы попробуем сыграть за другую команду, рассказав о том, как защитить свои данные.
Для кого написана эта статья? По статистике, почти половина пользователей…
Для кого написана эта статья? По статистике, почти половина пользователей…
#webinar
Алоха!
Через 20 минут проведу водянистый вебинар про безопасность облаков, подход в тестировании, новые сложности для владельцев сервисов и немного про сложности для пентесетров.
Ничего пушечного не обещаю, но буду рад всех видеть)
https://cloud.croc.ru/blog/pochemu-krok-oblachnye-servisy/webinar_05092019/?fbclid=IwAR388DT8xoIm-oIGwKZhXUZ3Zy-yyKCfp0iaXWbb6RMt7ygFkVS6gwP57Q8#webinar
Алоха!
Через 20 минут проведу водянистый вебинар про безопасность облаков, подход в тестировании, новые сложности для владельцев сервисов и немного про сложности для пентесетров.
Ничего пушечного не обещаю, но буду рад всех видеть)
https://cloud.croc.ru/blog/pochemu-krok-oblachnye-servisy/webinar_05092019/?fbclid=IwAR388DT8xoIm-oIGwKZhXUZ3Zy-yyKCfp0iaXWbb6RMt7ygFkVS6gwP57Q8#webinar
#secespresso
Сегодня в Кишеневе по приглашению выступаю со своей презентацией по атакам на Android Activity.
Может удастся затащить местный ctf'чик. ;)
Сегодня в Кишеневе по приглашению выступаю со своей презентацией по атакам на Android Activity.
Может удастся затащить местный ctf'чик. ;)
#kube
Kubernetes security cheat-sheet:
- Security notes
- Security hardening and best practices
- Security flags checklist
- Attacker's guide
- Vulnerabilities
The research was conducted during Summ3r 0f h4ck traineeship.
https://github.com/kabachook/k8s-security
Kubernetes security cheat-sheet:
- Security notes
- Security hardening and best practices
- Security flags checklist
- Attacker's guide
- Vulnerabilities
The research was conducted during Summ3r 0f h4ck traineeship.
https://github.com/kabachook/k8s-security
GitHub
GitHub - kabachook/k8s-security: Kubernetes security notes and best practices
Kubernetes security notes and best practices. Contribute to kabachook/k8s-security development by creating an account on GitHub.
#knowledge #beginners
Небольшой набор подкастов про все что связано с ИБ. Думаю, что будет полезно новичкам и интересно остальным заинтересованным в области.
https://hochu-v-ib.ru/
Гости:
#1 – Дмитрий Волков, GroupIB
#2 – Омар Ганиев, DeteAct
#3 – Алексей Мещеряков, Яндекс
«Хочу в ИБ» – подкаст для тех, кто задумывается о работе в области информационной безопасности или только начинает свою карьеру в данном направлении.
Небольшой набор подкастов про все что связано с ИБ. Думаю, что будет полезно новичкам и интересно остальным заинтересованным в области.
https://hochu-v-ib.ru/
Гости:
#1 – Дмитрий Волков, GroupIB
#2 – Омар Ганиев, DeteAct
#3 – Алексей Мещеряков, Яндекс
«Хочу в ИБ» – подкаст для тех, кто задумывается о работе в области информационной безопасности или только начинает свою карьеру в данном направлении.