Forwarded from Standoff 365
Вишенка на Толксе! 🍑
Во вторник в 17:30 слушателей на площадке митапа Standoff Talks ждёт круглый стол по багбаунти. Обсудим острые и провокационные вопросы для багхантеров и держателей багбаунти-программ.
⚖️ Модератор — @empty_jack
Эксперт кибербезопасности. CEO CyberEd & Singleton Security
1,5 часа в креслах на сцене:
📣 @impact_l
Ищет уязвимости в мобильных приложениях, но любит API Security.
📣 @Paul_Axe
Независимый исследователь ИБ, ломает вещи.
📣 @chelovek_iz_kemerovo
CISO konsol.pro. Делает так, чтобы никто ничего не отломал.
📣 @r0hack
Любит ломать логику. TeamLead и Пентестер в Deteact.
📣 TBD soon
Хотите узнать, почему платят так мало за XSS? Или как оценивают баги из 3rd-party?
Регистрируйтесь → forms.gle/snYDAKZSVMeLieiv7, и приходите на площадку, места ещё есть.
🔞 Вы можете повлиять на темы круглого стола. Оставляйте вопросы в чате @standoff_365_chat c хэштегом #ббвопрос, самые интересные и залайканые включим в программу.
🚫 Трансляции круглого стола не будет.
Во вторник в 17:30 слушателей на площадке митапа Standoff Talks ждёт круглый стол по багбаунти. Обсудим острые и провокационные вопросы для багхантеров и держателей багбаунти-программ.
⚖️ Модератор — @empty_jack
Эксперт кибербезопасности. CEO CyberEd & Singleton Security
1,5 часа в креслах на сцене:
📣 @impact_l
Ищет уязвимости в мобильных приложениях, но любит API Security.
📣 @Paul_Axe
Независимый исследователь ИБ, ломает вещи.
📣 @chelovek_iz_kemerovo
CISO konsol.pro. Делает так, чтобы никто ничего не отломал.
📣 @r0hack
Любит ломать логику. TeamLead и Пентестер в Deteact.
📣 TBD soon
Хотите узнать, почему платят так мало за XSS? Или как оценивают баги из 3rd-party?
Регистрируйтесь → forms.gle/snYDAKZSVMeLieiv7, и приходите на площадку, места ещё есть.
Please open Telegram to view this post
VIEW IN TELEGRAM
🔥7👍4
Forwarded from Positive Events
Программа Standoff 10 на ближайшие два часа
12:00—12:30. Гуру кибербезопасности разрушат главные мифы о профессии специалиста по ИБ. Ведущий — Владимир Кочетков, руководитель отдела разработки анализаторов кода и исследований Positive Technologies. Участники — Егор Богомолов, специалист по анализу защищенности, основатель Singleton Security, управляющий директор CyberEd, и Алексей Морозов, руководитель отдела AppSec BP, Tinkoff.
12:30—13:00. «Можно ли взломать Dota?». Владимир Кочетков и Роман Дворянкин, директор по развитию бизнеса Standoff, обсудят информационную безопасность в геймдеве.
13:30—14:00. Эксперты обсудят технологические партнерства в сфере кибербезопасности. Ведущий — Эльман Бейбутов, директор по развитию продуктового бизнеса, Positive Technologies. Участники — Анна Олейникова, директор по продуктам, Security Vision, и Николай Арефьев, сооснователь RST Cloud.
Онлайн-трансляцию также можно смотреть на нашем YouTube-канале.
#Standoff10
12:00—12:30. Гуру кибербезопасности разрушат главные мифы о профессии специалиста по ИБ. Ведущий — Владимир Кочетков, руководитель отдела разработки анализаторов кода и исследований Positive Technologies. Участники — Егор Богомолов, специалист по анализу защищенности, основатель Singleton Security, управляющий директор CyberEd, и Алексей Морозов, руководитель отдела AppSec BP, Tinkoff.
12:30—13:00. «Можно ли взломать Dota?». Владимир Кочетков и Роман Дворянкин, директор по развитию бизнеса Standoff, обсудят информационную безопасность в геймдеве.
13:30—14:00. Эксперты обсудят технологические партнерства в сфере кибербезопасности. Ведущий — Эльман Бейбутов, директор по развитию продуктового бизнеса, Positive Technologies. Участники — Анна Олейникова, директор по продуктам, Security Vision, и Николай Арефьев, сооснователь RST Cloud.
Онлайн-трансляцию также можно смотреть на нашем YouTube-канале.
#Standoff10
👍3
Positive Events
Программа Standoff 10 на ближайшие два часа 12:00—12:30. Гуру кибербезопасности разрушат главные мифы о профессии специалиста по ИБ. Ведущий — Владимир Кочетков, руководитель отдела разработки анализаторов кода и исследований Positive Technologies. Участники…
YouTube
Mythbusters: развенчиваем мифы о профессии специалиста по ИБ
🔥9👍4
Standoff 365
Вишенка на Толксе! 🍑 Во вторник в 17:30 слушателей на площадке митапа Standoff Talks ждёт круглый стол по багбаунти. Обсудим острые и провокационные вопросы для багхантеров и держателей багбаунти-программ. ⚖️ Модератор — @empty_jack Эксперт кибербезопасности.…
А вот и что-то повесомее.
Круглый стол на тему BugBounty глазами хакеров и владельцев:
Link: https://www.youtube.com/watch?v=rgnjO9aROcY
Получилась классная сессия вопросов и ответов для баунтихантеров, владельцев и держателей платформ, на которой подняли множество тонких мест, существующих в багбаунти.
А также все участники поделились своим опытом работы: баунтеры рассказали как они грабят караваны, а владельцы как они отстаивают интересы бизнеса ;D
Если есть интересные вопросы, которые можно поднять, велком в комментарии к видео или к посту.
P.S. В виду этой🔥 горячей🔥 темы и замеченного нами ранее запроса на помощь в первых шагах в багбаунти.
Мы в CyberEd создали простой и ценный продукт, обучающий правилам игры, инструментам и тактикам в BugBounty для тех, кто давно хотел начать участвовать и зарабатывать на поиске ошибок. Всем любителям обучаться новому и обмениваться знаниями в живом общении - Присоединяйтесь!
Link: https://cyber-ed.ru/bugbounty-hunter-intensive/
Круглый стол на тему BugBounty глазами хакеров и владельцев:
Link: https://www.youtube.com/watch?v=rgnjO9aROcY
Получилась классная сессия вопросов и ответов для баунтихантеров, владельцев и держателей платформ, на которой подняли множество тонких мест, существующих в багбаунти.
А также все участники поделились своим опытом работы: баунтеры рассказали как они грабят караваны, а владельцы как они отстаивают интересы бизнеса ;D
Если есть интересные вопросы, которые можно поднять, велком в комментарии к видео или к посту.
P.S. В виду этой
Мы в CyberEd создали простой и ценный продукт, обучающий правилам игры, инструментам и тактикам в BugBounty для тех, кто давно хотел начать участвовать и зарабатывать на поиске ошибок. Всем любителям обучаться новому и обмениваться знаниями в живом общении - Присоединяйтесь!
Link: https://cyber-ed.ru/bugbounty-hunter-intensive/
Please open Telegram to view this post
VIEW IN TELEGRAM
YouTube
Круглый стол по багбаунти
Егор Богомолов, Павел Топорков, Антон Пискунов, Филипп Никифоров, Рамазан Рамазанов, Ярослав Бабин и Антон Трифонов обсудили актуальные вопросы и проблемы багхантеров и владельцев багбаунти-программ.
👍8🔥4
Очень интересно изучить:
https://owasp.org/www-project-top-10-ci-cd-security-risks/
Инициатива "Топ-10 рисков безопасности CI/CD".
Этот документ помогает защитникам определить приоритетные области для обеспечения безопасности экосистемы CI/CD. Он является результатом обширного исследования векторов атак, связанных с CI/CD, а также анализа известных нарушений и недостатков безопасности.
https://owasp.org/www-project-top-10-ci-cd-security-risks/
Инициатива "Топ-10 рисков безопасности CI/CD".
Этот документ помогает защитникам определить приоритетные области для обеспечения безопасности экосистемы CI/CD. Он является результатом обширного исследования векторов атак, связанных с CI/CD, а также анализа известных нарушений и недостатков безопасности.
owasp.org
OWASP Top 10 CI/CD Security Risks | OWASP Foundation
OWASP Top 10 CI/CD Security Risks project helps defenders identify focus areas for securing their CI/CD ecosystem.
👍11
Forwarded from KOTELOV (Влад Савин)
Новый выпуск подкаста! Один из самых известных русских белых хакеров — Егор Богомолов! Расскажет, как взламывал банк и какие хакеры круче!
Добавь в себе в "Посомтреть потом" на ютубе, чтобы по дороге домой преисполниться!
https://www.youtube.com/watch?v=9VgL1IGarH4&t=1831s
Добавь в себе в "Посомтреть потом" на ютубе, чтобы по дороге домой преисполниться!
https://www.youtube.com/watch?v=9VgL1IGarH4&t=1831s
YouTube
Взломал банк из ТОП 5 за один день | Егор Богомолов — этичный хакер
Подписаться на невероятные новости, супервакансии и стажировки https://t.iss.one/kotelov_love
Отправить CV [email protected] или https://kotelov.com/hr/
Магазин мерча https://kotelov.com/merch/
ТГ канал Егора https://t.iss.one/YAH_Channel
Егор — этичный хакер и CEO…
Отправить CV [email protected] или https://kotelov.com/hr/
Магазин мерча https://kotelov.com/merch/
ТГ канал Егора https://t.iss.one/YAH_Channel
Егор — этичный хакер и CEO…
🔥28👍9👏2🎉2
Forwarded from Cybershit
Понял тут, что не рассказывал о trufflehog, наверное лучшем на сегодншний день решении для поиска секретов. SSH и API ключи, пароли к бд, токены, облачные учетные данные и многое другое. Там уже 700 детекторов/регулярок, причем для некоторых есть сразу автоматическая проверка. Нашли например креды к AWS или GCP, нажали кнопочку и trufflehog любезно постучал в нужную апишку для валидации.
Еще помимо привычных множественных сканов репозиториев, есть возможность поиска по файловой системе и даже s3 бакетам. Бонусом можно скачать плагин для браузера чтобы и по JS пройтись.
Короче, мастхев для безопасности ваших пайплайнов и обнаружения секретов, которые кто-то случайно забыл положить куда следует или удалить. Ну или не случайно😏
> https://github.com/trufflesecurity/trufflehog
Еще помимо привычных множественных сканов репозиториев, есть возможность поиска по файловой системе и даже s3 бакетам. Бонусом можно скачать плагин для браузера чтобы и по JS пройтись.
Короче, мастхев для безопасности ваших пайплайнов и обнаружения секретов, которые кто-то случайно забыл положить куда следует или удалить. Ну или не случайно
> https://github.com/trufflesecurity/trufflehog
Please open Telegram to view this post
VIEW IN TELEGRAM
👍22
Если вы еще нет, то обязательно попробуйте. Всю жизнь до этого я потел и конфижил под себя терминал, а сейчас это переплюнуло все что у меня было.
Forwarded from [email protected] (Danila Saschenko)
Не могу не написать про прекрасный эмулятор терминала, который использует под капотом ИИ, так еще и написан на Rust!
Речь идет про Warp. Терминальный эмулятор, который использует GPU Based Rendering (прям как Alacritty, речь о котором шла тут), но куда проще конфигурируется и может быть использовал сразу после установки (прям как ITerm).
Я достаточно долго сидел на Alacritty и могу сказать одно - посидев день на Warp я сразу же удалил Alacritty и все то, что связывало меня с данным эмулятором. Свяазано это с тем, что Warp банально удобнее и поставляет те фишки, речь о которых и не шла в Alacritty.
Из того, что может заинтересовать:
📶 Возможность редактировать мульти-лайны;
При написании нескольких команд, есть возможность редактировать сразу их все вместе взятые, как в какой-нибудь IDE или в текстовом редакторе.
📶 ИИ под капотом;
Есть возможность задать ИИ вопрос о линуксе, на что он вернет подсказку. Очень удобно, можно не лезть в гугл!
📶 Разделение результатов выполнения команд на плашки;
Когда сидишь в терминале круглыми сутками, важным аспектом является восприятие информации. И с этим помогает Warp прямиком из коробки! Все результаты выполнения разделены на плашки и у каждой плашки - свое меню, позволяющее скопировать результат выполнения или скопировать команду.
📶 Интерактивная помощь при вводе флагов для команд;
После ввода команды, можно нажать на TAB, откроется окошко, в котором можно прочитать об опциях, доступных для той или иной тулзы.
📶 Можно работать в 1 терминале командой!
Честно говоря, пока не успел воспользоваться этой фишкой, но в доке и в видео видел такую возможность. Не очень полезно, но прикольно. Своего рода
📶 При прокрутке результатов выполнения - промпты снизу и сверху!
Когда исполняется команда - сверху остается command prompt с самой командой, ниже - результаты выполнения, а под ними - плашка для ввода команды. Эти плашки закреплены, что не позволяет потеряться в информации.
В настоящий момент я использую следующую сборку:
Если будете устанавливать, имейте ввиду: для того чтоб кастомные темы (к примеру из Oh My Zsh или Starship) работали - нужно сделать следующее:
1. Перейти в настройки;
2. Перейти в Features;
3. Включить опцию PS1
Из минусов - собирается крайне много спорной статистики. Прочитать подробнее можно тут.
Речь идет про Warp. Терминальный эмулятор, который использует GPU Based Rendering (прям как Alacritty, речь о котором шла тут), но куда проще конфигурируется и может быть использовал сразу после установки (прям как ITerm).
Я достаточно долго сидел на Alacritty и могу сказать одно - посидев день на Warp я сразу же удалил Alacritty и все то, что связывало меня с данным эмулятором. Свяазано это с тем, что Warp банально удобнее и поставляет те фишки, речь о которых и не шла в Alacritty.
Из того, что может заинтересовать:
При написании нескольких команд, есть возможность редактировать сразу их все вместе взятые, как в какой-нибудь IDE или в текстовом редакторе.
Есть возможность задать ИИ вопрос о линуксе, на что он вернет подсказку. Очень удобно, можно не лезть в гугл!
Когда сидишь в терминале круглыми сутками, важным аспектом является восприятие информации. И с этим помогает Warp прямиком из коробки! Все результаты выполнения разделены на плашки и у каждой плашки - свое меню, позволяющее скопировать результат выполнения или скопировать команду.
После ввода команды, можно нажать на TAB, откроется окошко, в котором можно прочитать об опциях, доступных для той или иной тулзы.
Честно говоря, пока не успел воспользоваться этой фишкой, но в доке и в видео видел такую возможность. Не очень полезно, но прикольно. Своего рода
screen на максималках.Когда исполняется команда - сверху остается command prompt с самой командой, ниже - результаты выполнения, а под ними - плашка для ввода команды. Эти плашки закреплены, что не позволяет потеряться в информации.
В настоящий момент я использую следующую сборку:
Warp + Starship + Zsh. Сборку подсмотрел тут. Не пожалел, что установил Starship вместо какого-нибудь "Oh my Zsh". Starship крайне гибок и удобен в настройке. Гайд по настройке может быть найден в документации.Если будете устанавливать, имейте ввиду: для того чтоб кастомные темы (к примеру из Oh My Zsh или Starship) работали - нужно сделать следующее:
1. Перейти в настройки;
2. Перейти в Features;
3. Включить опцию PS1
(Honor user's custom prompt). Из минусов - собирается крайне много спорной статистики. Прочитать подробнее можно тут.
Please open Telegram to view this post
VIEW IN TELEGRAM
www.warp.dev
Warp: The Agentic Development Environment
The fastest way to build with multiple AI agents, from writing code to deploying it. Trusted by over half a million engineers, Warp gives developers speed, privacy, and control to ship faster.
👍17
Forwarded from RedTeam brazzers
Продолжаем серию наших ламповых встреч в формате собеседования. На подходе наша четвертая по счету и заключительная встреча в этом формате с подписчиками канала. Как всегда, я и Роман зададим вам несколько вопросов на темы:
- Тировая архитектура;
- Системы, "ломающие" тировую архитектуру;
- Обход защиты конечных точек.
Если вы пропустили предыдущие выпуски, то можете послушать их на яндексе.
До встречи сегодня (8 января) в 18:00 по мск.
- Тировая архитектура;
- Системы, "ломающие" тировую архитектуру;
- Обход защиты конечных точек.
Если вы пропустили предыдущие выпуски, то можете послушать их на яндексе.
До встречи сегодня (8 января) в 18:00 по мск.
👍15🎉6
Forwarded from YAH - Pentest Tools (ArroizX)
Puredns - отличный инструмент для резолвинга доменов и брутфорса поддоменов. Он работает поверх С'шного Massdns (высокопроизводительный инструмент для резолвинга доменов), однако, в отличии от него Puredns фильтрует отравленные DNS-ответы и вайлдкарды с помощью своих алгоритмов.
Этапы работы тулзы:
1) С помощью Massdns происходит очень быстрый резолвинг всех доменов и поддоменов сайта. После этого полученный результат нужно отфильтровать, так как он содержит отравленные DNS-ответы и вайлдкарды.
2) Puredns использует свой алгоритм обнаружения вайлдкардов для нахождения и извлечения всех корневых поддоменов с вайлдкардом из полученного ранее результата.
3) На последнем этапе происходит фильтрация от отравленных DNS-ответов, для этого используется Massdns вместе со списком доверенных DNS-резолверов (8.8.8.8 и 8.8.4.4).
Для того, чтобы инструмент работал быстрее и эффективнее нужно сначала составить словарик проверенных и рабочих резолверов. Чтобы это сделать нужно сначала получить список публичных резолверов, а после отфильтровать из них те, что дают только валидные ответы с помощью инструмента DNS Validator.
Также стоит упомянуть, что использовать тулзу надо только с VPS, так как роутер может не выдержать то количество запросов, которое отправит Puredns!
Применение:
Выполнить брутфорс поддоменов, используя словарь all.txt:
Этапы работы тулзы:
1) С помощью Massdns происходит очень быстрый резолвинг всех доменов и поддоменов сайта. После этого полученный результат нужно отфильтровать, так как он содержит отравленные DNS-ответы и вайлдкарды.
2) Puredns использует свой алгоритм обнаружения вайлдкардов для нахождения и извлечения всех корневых поддоменов с вайлдкардом из полученного ранее результата.
3) На последнем этапе происходит фильтрация от отравленных DNS-ответов, для этого используется Massdns вместе со списком доверенных DNS-резолверов (8.8.8.8 и 8.8.4.4).
Для того, чтобы инструмент работал быстрее и эффективнее нужно сначала составить словарик проверенных и рабочих резолверов. Чтобы это сделать нужно сначала получить список публичных резолверов, а после отфильтровать из них те, что дают только валидные ответы с помощью инструмента DNS Validator.
Также стоит упомянуть, что использовать тулзу надо только с VPS, так как роутер может не выдержать то количество запросов, которое отправит Puredns!
Применение:
Выполнить брутфорс поддоменов, используя словарь all.txt:
puredns bruteforce all.txt domain.comВыполнить резолвинг доменов из domains.txt, вывести найденные домены с помощью ключа -q и передать домены тулзе httprobe для проверки работоспособности HTTP-сервера:
cat domains.txt | puredns resolve -q | httprobe
👍7
Forwarded from YAH - Pentest Tools (ArroizX)
Katana - быстрый сrawler от создателей Nuclei, Httpx, Interactsh и др.
На фоне других подобных тулз его выделяют следующие особенности:
1) Помимо обычного режима работы поддерживается также и режим Headless
2) Парсинг и затем последующий сrawling Javascript-файлов
3) Настраиваемое автоматическое заполнение форм на сайтах
4) Детальное управление скоупом
5) Настраиваемый вывод работы тулзы
6) Инструмент отлично подходит для работы в связке с другими тулзами
7) Есть большое количество ключей, благодаря которым можно гибко настроить работу инструмента
Применение:
Передать тулзе Httpx список доменов, чтобы она дальше передала Katan'е список URL-адресов, на которых работает HTTP, для дальнейшего сrawling'а
На фоне других подобных тулз его выделяют следующие особенности:
1) Помимо обычного режима работы поддерживается также и режим Headless
2) Парсинг и затем последующий сrawling Javascript-файлов
3) Настраиваемое автоматическое заполнение форм на сайтах
4) Детальное управление скоупом
5) Настраиваемый вывод работы тулзы
6) Инструмент отлично подходит для работы в связке с другими тулзами
7) Есть большое количество ключей, благодаря которым можно гибко настроить работу инструмента
Применение:
Передать тулзе Httpx список доменов, чтобы она дальше передала Katan'е список URL-адресов, на которых работает HTTP, для дальнейшего сrawling'а
cat domains | httpx | katanaПрокраулить домен example.com, включая ссылки не из скоупа, результат вывести в json и передать тулзе jq, которая поможет с выводом именного нужного вам аутпута
katana -u https://example.com -json -do | jq .
👍10
На правах рекламы собственных проектов;) Присоединяйтесь к нашим новым профессиональным трекам!
Еще больше на сайте cyber-ed.ru.
Еще больше на сайте cyber-ed.ru.
Forwarded from CyberED (CyberEd)
Начнем рабочую неделю со статистики 👀 В SuperJob посчитали, что за 2022 год вакансий в ИБ стало больше на 96%, а резюме – наоборот – меньше на 5%. Так что с прошлого года на рынке труда кибербезопасности продолжается эра соискателя. Самое время получить новую специальность🧑💻А мы поможем вам в этом!
📆Календарь старта образовательных программ в феврале:
☝️у вас еще есть возможность попасть!
📍6 февраля стартует новый курс Профессия – ХАКЕР. Поток бесплатный, количество мест ограничено!
📍16 февраля – профессиональный трек Специалист по тестированию на проникновение веб-приложений
📍17 февраля – профессиональный трек Специалист по тестированию на проникновение ИТ-инфраструктуры
📍21 февраля – курс Введение в тестирование на проникновение
📍27 февраля – базовый трек Администратор безопасности
До встречи на занятиях!
📆Календарь старта образовательных программ в феврале:
☝️у вас еще есть возможность попасть!
📍6 февраля стартует новый курс Профессия – ХАКЕР. Поток бесплатный, количество мест ограничено!
📍16 февраля – профессиональный трек Специалист по тестированию на проникновение веб-приложений
📍17 февраля – профессиональный трек Специалист по тестированию на проникновение ИТ-инфраструктуры
📍21 февраля – курс Введение в тестирование на проникновение
📍27 февраля – базовый трек Администратор безопасности
До встречи на занятиях!
🔥7