#misc
Крутейшее расследование от моего доброго друга:
https://www.anti-malware.ru/analytics/Threats_Analysis/searching-for-Neutrino-investigation
Крутейшее расследование от моего доброго друга:
https://www.anti-malware.ru/analytics/Threats_Analysis/searching-for-Neutrino-investigation
Anti-Malware
В поисках Neutrino: расследование Positive Technologies
С августа 2018 года система поиска следов компрометации в сетевом трафике PT Network Attack Discovery и ловушки-ханипоты компании Positive Technologies начали фиксировать массовые сканирования систем
#knowledge #xss #client-side
Упустил для себя, что можно даже с возвращаемым типом содержимого страницы
Пример:
Т.е. мы подгружаем в XML пространство имен xhtml, и можем пользоваться его тегами.
Видимо, везде где есть XML можно добиться выполнения JS кода. (Это еще надо проверить)
Упустил для себя, что можно даже с возвращаемым типом содержимого страницы
text/xml провести атаку типа XSS.Пример:
<?php
header("Content-Type: text/xml");
print_r('<?xml version="1.0" encoding="UTF-8"?>
<response>
<foo>
<html xmlns:html="https://www.w3.org/1999/xhtml">
<html:script>alert("Reflected XSS");</html:script>
</html>
</foo>
</response>');
?>
Т.е. мы подгружаем в XML пространство имен xhtml, и можем пользоваться его тегами.
Видимо, везде где есть XML можно добиться выполнения JS кода. (Это еще надо проверить)
#knowledge #android
Зацепился глаз за годный репозиторий. Не знаю куда эти знания сложить у себя, поэтому пусть полежит тут.
https://github.com/MindorksOpenSource/android-developer-roadmap
Roadmap для Android девелопера, ну или список необходимых знаний для людей, работающих с Android.
Зацепился глаз за годный репозиторий. Не знаю куда эти знания сложить у себя, поэтому пусть полежит тут.
https://github.com/MindorksOpenSource/android-developer-roadmap
Roadmap для Android девелопера, ну или список необходимых знаний для людей, работающих с Android.
GitHub
GitHub - amitshekhariitbhu/android-developer-roadmap: Android Developer Roadmap - A complete roadmap to learn Android App Development
Android Developer Roadmap - A complete roadmap to learn Android App Development - amitshekhariitbhu/android-developer-roadmap
#fun #android
Прочитал давеча статью [History of the worst Android app ever: mAadhaar](https://github.com/fs0c131y/ConPresentations/blob/master/AppSecVillageDefcon27.mAadhaar.pdf)
, где чувак забайпасил проверки на рута, ссл, дебаг, патч, etc… фридой и счел, что теперь это приложение “Худшее в мире”. Но суть не в том.
В статье был слайд, вдухе, забайпасил SSL Pinning с CVE-2019-14516.
Я подумал, что видимо упустил, какую-то CVE на SSL Pin Bypass. Но когда нашел информацию по CVE…
Тут: https://nvd.nist.gov/vuln/detail/CVE-2019-14516
Чувак просто завел CVE на байпас SSL в этой говноПриложухе)))
Кто тут хотел много CVE в резюме?😉
Прочитал давеча статью [History of the worst Android app ever: mAadhaar](https://github.com/fs0c131y/ConPresentations/blob/master/AppSecVillageDefcon27.mAadhaar.pdf)
, где чувак забайпасил проверки на рута, ссл, дебаг, патч, etc… фридой и счел, что теперь это приложение “Худшее в мире”. Но суть не в том.
В статье был слайд, вдухе, забайпасил SSL Pinning с CVE-2019-14516.
Я подумал, что видимо упустил, какую-то CVE на SSL Pin Bypass. Но когда нашел информацию по CVE…
Тут: https://nvd.nist.gov/vuln/detail/CVE-2019-14516
Чувак просто завел CVE на байпас SSL в этой говноПриложухе)))
Кто тут хотел много CVE в резюме?😉
GitHub
ConPresentations/AppSecVillageDefcon27.mAadhaar.pdf at master · fs0c131y/ConPresentations
Slide decks from my conference presentations. Contribute to fs0c131y/ConPresentations development by creating an account on GitHub.
#android
Прикольная статья, как работает и хитрит Android-банкер
https://xakep.ru/2019/08/14/cerberus/
Рекомендую.
“Вредонос считывает данные с акселерометра и, используя простой шагомер,….Это помогает избегать запуска на тестовых устройствах или в песочнице.”
Прикольная статья, как работает и хитрит Android-банкер
https://xakep.ru/2019/08/14/cerberus/
Рекомендую.
“Вредонос считывает данные с акселерометра и, используя простой шагомер,….Это помогает избегать запуска на тестовых устройствах или в песочнице.”
XAKEP
Android-банкер Cerberus использует шагомер, чтобы избежать обнаружения
Эксперты амстердамской компании ThreatFabric обнаружили нового вредоноса для Android, который избегает обнаружения весьма необычным образом.
#android
Зачитался статьей про безопасность хранения данных на Android девайсах. Очень круто Олег Афонин расписал все архитектурные и кастомные проблемы девайсов и пользователей.
Если задаетесь вопросом насколько безопасен ваш Android девайс при попадении в руки третьим лицам, обязательно ознакомьтесь.
https://blog.elcomsoft.com/ru/2019/07/antikriminalistika-kak-zashhitit-smartfon-na-android/
Зачитался статьей про безопасность хранения данных на Android девайсах. Очень круто Олег Афонин расписал все архитектурные и кастомные проблемы девайсов и пользователей.
Если задаетесь вопросом насколько безопасен ваш Android девайс при попадении в руки третьим лицам, обязательно ознакомьтесь.
https://blog.elcomsoft.com/ru/2019/07/antikriminalistika-kak-zashhitit-smartfon-na-android/
Блог Элкомсофт
Антикриминалистика: как защитить смартфон на Android
Большинство наших статей рассказывает о том, как взломать защиту и получить доступ к данным. Сегодня мы попробуем сыграть за другую команду, рассказав о том, как защитить свои данные.
Для кого написана эта статья? По статистике, почти половина пользователей…
Для кого написана эта статья? По статистике, почти половина пользователей…
#webinar
Алоха!
Через 20 минут проведу водянистый вебинар про безопасность облаков, подход в тестировании, новые сложности для владельцев сервисов и немного про сложности для пентесетров.
Ничего пушечного не обещаю, но буду рад всех видеть)
https://cloud.croc.ru/blog/pochemu-krok-oblachnye-servisy/webinar_05092019/?fbclid=IwAR388DT8xoIm-oIGwKZhXUZ3Zy-yyKCfp0iaXWbb6RMt7ygFkVS6gwP57Q8#webinar
Алоха!
Через 20 минут проведу водянистый вебинар про безопасность облаков, подход в тестировании, новые сложности для владельцев сервисов и немного про сложности для пентесетров.
Ничего пушечного не обещаю, но буду рад всех видеть)
https://cloud.croc.ru/blog/pochemu-krok-oblachnye-servisy/webinar_05092019/?fbclid=IwAR388DT8xoIm-oIGwKZhXUZ3Zy-yyKCfp0iaXWbb6RMt7ygFkVS6gwP57Q8#webinar
#secespresso
Сегодня в Кишеневе по приглашению выступаю со своей презентацией по атакам на Android Activity.
Может удастся затащить местный ctf'чик. ;)
Сегодня в Кишеневе по приглашению выступаю со своей презентацией по атакам на Android Activity.
Может удастся затащить местный ctf'чик. ;)
#kube
Kubernetes security cheat-sheet:
- Security notes
- Security hardening and best practices
- Security flags checklist
- Attacker's guide
- Vulnerabilities
The research was conducted during Summ3r 0f h4ck traineeship.
https://github.com/kabachook/k8s-security
Kubernetes security cheat-sheet:
- Security notes
- Security hardening and best practices
- Security flags checklist
- Attacker's guide
- Vulnerabilities
The research was conducted during Summ3r 0f h4ck traineeship.
https://github.com/kabachook/k8s-security
GitHub
GitHub - kabachook/k8s-security: Kubernetes security notes and best practices
Kubernetes security notes and best practices. Contribute to kabachook/k8s-security development by creating an account on GitHub.
#knowledge #beginners
Небольшой набор подкастов про все что связано с ИБ. Думаю, что будет полезно новичкам и интересно остальным заинтересованным в области.
https://hochu-v-ib.ru/
Гости:
#1 – Дмитрий Волков, GroupIB
#2 – Омар Ганиев, DeteAct
#3 – Алексей Мещеряков, Яндекс
«Хочу в ИБ» – подкаст для тех, кто задумывается о работе в области информационной безопасности или только начинает свою карьеру в данном направлении.
Небольшой набор подкастов про все что связано с ИБ. Думаю, что будет полезно новичкам и интересно остальным заинтересованным в области.
https://hochu-v-ib.ru/
Гости:
#1 – Дмитрий Волков, GroupIB
#2 – Омар Ганиев, DeteAct
#3 – Алексей Мещеряков, Яндекс
«Хочу в ИБ» – подкаст для тех, кто задумывается о работе в области информационной безопасности или только начинает свою карьеру в данном направлении.
Exness-meetup .pptx
4.3 MB
#conference #meetup
Сегодня выступил в офисе компании Exness на Кипре с докладом на тему:
"Анализ защищенности мобильного API. Что бывает когда ваш код пишут за вас."
Выложу здесь получившуюся презентацию. Посмотрите в презентации топ 5 примеров уязвимостей из последних моих 5 проектов по анализу защищенности мобильного API. Уверен всем, кто занает толк в багах, понравится;)
Сегодня выступил в офисе компании Exness на Кипре с докладом на тему:
"Анализ защищенности мобильного API. Что бывает когда ваш код пишут за вас."
Выложу здесь получившуюся презентацию. Посмотрите в презентации топ 5 примеров уязвимостей из последних моих 5 проектов по анализу защищенности мобильного API. Уверен всем, кто занает толк в багах, понравится;)
#xss #portswigger
This XSS cheat sheet contains many vectors that can help you bypass WAFs and filters. You can select vectors by the event, tag or browser and a proof of concept is included for every vector.
https://portswigger.net/web-security/cross-site-scripting/cheat-sheet
This XSS cheat sheet contains many vectors that can help you bypass WAFs and filters. You can select vectors by the event, tag or browser and a proof of concept is included for every vector.
https://portswigger.net/web-security/cross-site-scripting/cheat-sheet
#work
Увидел классный канал от ребят из r0crew, который собирает с HH.ru вакансии связанные с ИБ. Будет очень полезно тем, кто ищет что-то интересное.
https://t.iss.one/r0_jobs
Увидел классный канал от ребят из r0crew, который собирает с HH.ru вакансии связанные с ИБ. Будет очень полезно тем, кто ищет что-то интересное.
https://t.iss.one/r0_jobs
Telegram
r0 Crew (Jobs, BETA)
Security Related Tasks💰:
- Reverse Engineering;
- Malware Research;
- Pentest;
- etc;
Join to chat: @r0crew_bot
You can create a task in the forum here: https://forum.reverse4you.org/t/about-the-one-time-work-category
Then it will appear on the channel
- Reverse Engineering;
- Malware Research;
- Pentest;
- etc;
Join to chat: @r0crew_bot
You can create a task in the forum here: https://forum.reverse4you.org/t/about-the-one-time-work-category
Then it will appear on the channel
#mobile #android
Действительно годный гайд по анализу защищенности мобильных приложений Android: https://nightowl131.github.io/AAPG/
Для себя что-то новое, что и как стоит искать.
Действительно годный гайд по анализу защищенности мобильных приложений Android: https://nightowl131.github.io/AAPG/
Для себя что-то новое, что и как стоит искать.
Надо же как, именно сегодня эта возможность пригодилась. Всем советую держать в голове, что так можно.
Forwarded from [MIS]ter & [MIS]sis Team
Заметки на полях
Довольно часто в Burp Suite требуется профазить какой-либо заенкоженный параметр, например, поле username в basic authorization, или значение userid внутри заенкоженного параметра cookie. Например, session=eyJhdXRoIjp7InVzZXJpZCI6ImFkbWluIiwidXNlcnRva2VuIjoiMTIzNDUifX0= ( {"auth":{"userid":"admin","usertoken":"12345"}} ).
В таком случае из стандартных средств нам подойдёт только Burp Intruder. Однако тогда не получится использовать Active Scan и дополнительные экстеншны, а устраивать танцы с бубнами вокруг составления итогового payload с последующим енкодингом - потраченное время и никакого удовольствия.
Но нас может выручить полезный экстеншн - Python Scripter. После его подключения появляется отдельная вкладка - Script, куда мы можем вписать свои скрипт для питона. Таким образом алгоритм работы следующий: декодим нужную cookie в Repeater или Intruder, устанавливаем место для фазинга (через scan manual insertion points или спец символ в Intruder), а во вкладке Script - пишем скрипт по енкодингу в base64. После этого - отправляем запрос на активное сканирование.
Для енкодинга нужных параметров мы используем следующие скрипты (https://github.com/mis-team/burpscripts):
1. В скрипте param-replacer.py необходимо указать:
- header и/или GET/POST параметр, который необходимо енкодить,
- функции енкодинга: processHeader, processParam (в скрипте написан base64)
- место, куда вставлять заенкоженный параметр (GET, POST, COOKIE).
2. Скрипт fuzz-replacer.py - альтернативный и более удобный вариант. Теперь наоборот - место енкодинга в запросе необходимо "обернуть" в FUZZ (как в знаменитом web фазере), а скрипт уже распознает его и сделает все сам.
Довольно часто в Burp Suite требуется профазить какой-либо заенкоженный параметр, например, поле username в basic authorization, или значение userid внутри заенкоженного параметра cookie. Например, session=eyJhdXRoIjp7InVzZXJpZCI6ImFkbWluIiwidXNlcnRva2VuIjoiMTIzNDUifX0= ( {"auth":{"userid":"admin","usertoken":"12345"}} ).
В таком случае из стандартных средств нам подойдёт только Burp Intruder. Однако тогда не получится использовать Active Scan и дополнительные экстеншны, а устраивать танцы с бубнами вокруг составления итогового payload с последующим енкодингом - потраченное время и никакого удовольствия.
Но нас может выручить полезный экстеншн - Python Scripter. После его подключения появляется отдельная вкладка - Script, куда мы можем вписать свои скрипт для питона. Таким образом алгоритм работы следующий: декодим нужную cookie в Repeater или Intruder, устанавливаем место для фазинга (через scan manual insertion points или спец символ в Intruder), а во вкладке Script - пишем скрипт по енкодингу в base64. После этого - отправляем запрос на активное сканирование.
Для енкодинга нужных параметров мы используем следующие скрипты (https://github.com/mis-team/burpscripts):
1. В скрипте param-replacer.py необходимо указать:
- header и/или GET/POST параметр, который необходимо енкодить,
- функции енкодинга: processHeader, processParam (в скрипте написан base64)
- место, куда вставлять заенкоженный параметр (GET, POST, COOKIE).
2. Скрипт fuzz-replacer.py - альтернативный и более удобный вариант. Теперь наоборот - место енкодинга в запросе необходимо "обернуть" в FUZZ (как в знаменитом web фазере), а скрипт уже распознает его и сделает все сам.
GitHub
GitHub - mis-team/burpscripts: Scripts for burp scripter
Scripts for burp scripter. Contribute to mis-team/burpscripts development by creating an account on GitHub.
Команда Информзащиты, и в частности несколько моих друзей, едут в Абу-Даби (ОАЭ), чтобы поучаствовать в HITB Cyberweek CTF, где поборются за приз в 100 000 долларов США.
Поэтому случаю они создали канал, где можно будет посмотреть за происходящим. Надеюсь события будут описываться максимально красочно и подробно)
Поэтому случаю они создали канал, где можно будет посмотреть за происходящим. Надеюсь события будут описываться максимально красочно и подробно)
Forwarded from True0xA3 Team
О чем речь?
В мае этого года на PHDays 9 Рома Алферов выиграл STANDOFF. Т. к. он работает в ИЗшечке, то победила команда True0xA3.
Главным призом были деньги, вечная слава и поездка на CTF в формате Attack-Deffence (это не точно).
И вы бы никогда не увидели этот канал, если поездка не была бы в Абу-Даби (ОАЭ) и мы не играми против самых топовых команд мира:
- PPP
- saarsec
- Bushwhackers
- True0xA3
- Dragon Sector
- LC↯BC
- etc
В этом канале я буду публиковать новости, личное мнение и фоточки))
В мае этого года на PHDays 9 Рома Алферов выиграл STANDOFF. Т. к. он работает в ИЗшечке, то победила команда True0xA3.
Главным призом были деньги, вечная слава и поездка на CTF в формате Attack-Deffence (это не точно).
И вы бы никогда не увидели этот канал, если поездка не была бы в Абу-Даби (ОАЭ) и мы не играми против самых топовых команд мира:
- PPP
- saarsec
- Bushwhackers
- True0xA3
- Dragon Sector
- LC↯BC
- etc
В этом канале я буду публиковать новости, личное мнение и фоточки))