На прошедших выходных поиграл в SharkyCTF (Видимо, сделал неправильный выбор). Удалось взять почти весь веб, кромо одного говнотаска, о котором даже говорить не хочется.

Поговорим о классике.

Понравилось простецкое задание с MongoDB на уязвимость инъекции функции в запрос к MongoDB.

Описание:

Есть магазин с пользователями. Можно посмотреть всех покупателей и производить поиск по имени покупателя. (Видно имя, стоимость покупок и роль)

Задание:
Получить логин пароль администратора среди пользователей.

Поиск производился через запрос к MongoDB. По ошибкам от запроса можно было восстановить логику запроса и воспользоваться ей. (Сам код нам виден не был)

Уязвимый участок кода:
---------------
app.post('/users', (req, res) => {
if (req.body['search[value]'] == '' || req.body['search[value]'] == undefined){
query = {};
} else {
query = { $where: `this.username.match(/^${req.body['search[value]']}/)`};
}
--------------

Здесь мы видим запрос к базе с $where, в значении которого JS функция: match
().

Решение:

Для решения нужно было добавить новое условие в функцию. Не исказив синтаксис выражения добавляем новое условие с поиском значения this.password.match по регулярному выражению. И постепенно ищем последовательность символов пароля при помощи регулярки.

search[value]=admin/) && this.password.match(/^Pzk1TvGxYwq10J6$

Сложность задачи заключалась в том, что мы не знаем как выглядит выражение, к тому же выражение не самое популярное для Mongo. Приходилось проявить фантазию и ориентироваться на ошибки синтаксиса для понимания того, как функция может выглядеть.

И вправду полезные

Нашел интересный проект от OWASP:

https://github.com/OWASP/NodeGoat

Это уязвимое приложение на Node.js, на котором отражены OWASP Top 10 баги, в реализации на Node.js

Может быть полезно для получения опыта работы с этим набравшим популярность языком.

В ближайшую среду (27.05) в 15.00 по МСК проведу вебинарчик: https://hackeru.timepad.ru/event/1314441/

Рад буду пообщаться со всеми, услышать мнения на тему и просто поугарать)

Через 15 минут начинаем!

Topic: Почему специалистом по информационной безопасности быть интереснее, чем разработчиком или сисадмином?
Time: May 27, 2020 03:00 PM Moscow

Join Zoom Meeting
https://us02web.zoom.us/j/88968745589?pwd=bXMzVU5YSDdHdi8vb0RWcHJ6M2pvUT09

Meeting ID: 889 6874 5589
Password: 641462

Поехали!)

#redteam #penrest

Некоторые техники LPE Windows/Linux

Самый тупой баг за самые большие бабки:

Угон аккаунта Apple ID за 100 000$ ->
https://bhavukjain.com/blog/2020/05/30/zeroday-signin-with-apple/

Новый полезный плагин в BurpSuite:

https://portswigger.net/bappstore/296e9a0730384be4b2fffef7b4e19b1f

InQL - Introspection GraphQL Scanner

Полезен для поиска graphql ентрипоинтов, получения основной информации о структуре, метаданных и пр.

К стати, в тему.

Давное есть плагин для разбора GraphQL структуры на точки для сканирования:

https://portswigger.net/bappstore/4841f0d78a554ca381c65b26d48207e6

Он дает возможность натравливать активное сканирование на GraphQL entrypoint и фазить входные параметры GQL.

Простой и хорошо составленный материал об атаках десериализации от Bi.Zone.

https://habr.com/ru/company/vyshtech/blog/500782/

Это прямо тема для CTF таска!
Zip Slip в node.js через Race Condition.

Спасибо @ims0lo за наводку.

Олдскульная документалка про становление хакерской культуры в США 🔥🤙🍺

https://www.youtube.com/watch?v=oLkzWVBb4Nw

Отличный канал о безопасности мобильных приложений:

https://t.iss.one/mobile_appsec_world

Придумал в продуктовый портфель для аудиторских компаний отличную услугу. Думаю, она будет пользоваться реально бешеным спросом у заказчиков.

Представляю вам:

“Посредственный анализ защищенности”

Почему это будет пользоваться спросом в B2B?

- Это быстро (Вопросы типа: надо было сделать вчера; не успеваем до конца финансового года и етк. - решены)
- Это дешево (Вопросы типа: Можно скидочку в 25%; Че так дорого Информзащита дешевле делает; - решены (Ни кто не делает пентесты дешевле вас))
- Специалисты исполнителя найдут самые явные уязвимости в вашем скоупе (Демонстрируем результат!)

Почему это нужно аудиторским конторам?

- Даже если пентестер работает *на отъебись*, он найдет баги 😄
- Клиенты отваливаются из-за стоимости (Теперь не отваливаются)
- Вас не обязывают демонстрировать качественный результат (Ведь это слоган данного продукта)

И еще дохера выгод.

Ловите бизнес-идею, мне не жалко.
(IRL: украл идею в админском чате кибербомжей из DC8800)

Интересные публикации о конфликте nginx и rambler:
@nginx_papers

Не знаю на сколько это достоверно, советую относиться с долей скепсиса.

В прошедшие выходные поиграл в NahamCon CTF.
Это CTF от известного багхантера. В целом как и ожидалось - проходные таски. Есть отзывы о паре годных, что уже обнадеживает.

Я успел порешать первых 7 из 10 веба. Они совсем не отличались особой сложностью, но мне понравилось два задания, которые я приберег для практик студентам.

Это таски с атаками на десериализацию в Python (Pickle) и Node.Js (node-serialize).

Кому интересно наловчиться в поиске и эксплуатацию этих багов, могу порекомендовать врайтапы:

Атаки на десериализацию в node.js:
https://ctftime.org/writeup/21524

Атаки на десериалиазицию в Python:
https://beerpwn.github.io/ctf/2020/NahamCon_CTF/web/Bomarr_Style/

К сожалению кодом огри не делились, но т.к. эксплоиты давали RCE, грех было не взять ;). Если нужно, велкам в ЛС.

Челленжей на osint становится все больше и это радует

CTF #2 — "Московский озорной гуляка"

🔥 Второй CTF на платформе осинт-группы @osint_group

7 интересных заданий, три призовых места.

Призовой фонд:
1 место - премиум подписка на @telesint_bot + 1'000 рублей
2 место - премиум подписка на @telesint_bot
3 место - премиум подписка на @telesint_bot

ℹ️ Соревнуемся в OSINT, разумеется! Только открытые и легальные источники. Никаких пробивов, слитых баз данных и прочих криминальных способов. Все три первые места должны будут написать райтапы (решения) по конкурсу. Это обязательное условие в этот раз. Подводя итоги, будем смотреть, кто какими методами пользовался и если станет понятно, что применялись запрещённые источники, такой участник будет дисквалифицирован.

✅ Задания появятся в группе @osint_group в 18.00, в воскресенье, 12.07.2020.

Подведение итогов и разбор в 21.00.

⚠️ ВНИМАНИЕ! За час до начала CTF в боте для приёма флагов начнётся регистрация участников. Помните об этом и не опаздывайте. Если вы не зарегистрируетесь до 18.00, участия принять не сможете. Ссылка на бот появится в группе @osint_group в 17.00.

Профессионалы — приходите соревноваться.
Новички — приходите учиться.
ᅠ
Ждем всех!

Лука молодец, годно описал.

https://habr.com/ru/post/511002/

Новая интересная бага а Bitrix:

https://gist.github.com/mariuszpoplwski/f261a4bc06adde5c78760559db9d63bd