💥 REcollapse

Представляет собой вспомогательный инструмент для фаззинга регулярных выражений методом чёрного ящика, который позволяет обходить проверки и обнаруживать нормализации в веб-приложениях. Также может быть полезен для обхода WAF и слабых механизмов защиты от уязвимостей.

Цель этого инструмента — генерация полезных нагрузок (payloads) для тестирования. Фактическое фаззинг-тестирование должно проводиться с помощью других инструментов, таких как Burp, Caido, ffuf и др.

Установить можно через python или docker следующими командами.

git clone https://github.com/0xacb/recollapse.git
cd recollapse
#Python 3
python3 setup.py install 
#Docker
docker build -t recollapse . 

⁉️ Объяснение параметров
Режимы работы
Предположим, что входная строка — this_is.an_example.
⏺️Вставка полезной нагрузки в начало строки: $this_is.an_example
⏺️Вставка байтов до/после символов-разделителей: this$_$is$.$an$_$example
⏺️Подстановка всех возможных байтов в соответствии с таблицей нормализаций.
⏺️Добавление нагрузки в конец строки: this_is.an_example$
⏺️Замена допустимых символов на регулярные метасимволы: .^$*+-?()[]{}\|
⏺️Замена символов на их нижний/верхний регистр или эквиваленты по таблице соответствий.
⏺️Замена символов на байты, вызывающие усечение строки при обработке.

Кодирование
⏺️URL-кодирование (используется в application/x-www-form-urlencoded, параметрах GET/POST): %22this_is.an_example
⏺️Unicode-кодировка (используется в application/json): \u0022this_is.an_example
⏺️Raw-формат (используется в multipart/form-data): "this_is.an_example
⏺️Двойное URL-кодирование: %2522this_is.an_example

Диапазон
Диапазон байтов для фаззинга: -r 1-127 позволит исключить буквенно-цифровые символы, если не указана опция -an (буквенно-цифровые символы).

Размер
Размер фаззинга для режимов 1, 2 и 4. По умолчанию выполняется фаззинг всех возможных значений для одного байта. Увеличение размера потребует больше ресурсов и приведет к созданию большего количества входных данных, но это может помочь найти новые обходные пути.

Таблицы
Используйте -nt параметр, чтобы отобразить таблицу нормализации, -ct параметр, чтобы отобразить таблицу регистров, и -tt параметр, чтобы отобразить таблицу усечения. Также можно использовать --html параметр для вывода таблиц в формате HTML.

recollapse -nt --html > normalization_table.html
recollapse -tt --html > truncation_table.html
recollapse -ct --html > case_table.html

👨‍💻 Примеры использования

recollapse -e 1 -m 1,2,4 -r 10-11 https://legit.example.com

echo "[email protected]" | recollapse 

echo "<svg/onload=alert(1)>" | recollapse | ffuf -w - -u "https://example.com/?param=FUZZ" -mc 200,403,500

Злоумышленники изучают уязвимость Docker в Gitea спустя 13 дней после её обнаружения

Речь идёт об уязвимости CVE-2026-20896 (оценка CVSS: 9.8), которая возникает из-за того, что платформа DevOps доверяет заголовку "X-WEBAUTH-USER" от любого исходного IP-адреса, что фактически позволяет неаутентифицированному интернет-клиенту получить расширенный доступ.

В заявлении, отправленном The Hacker News по электронной почте, исследователь безопасности Али Мустафа, которому приписывают обнаружение и сообщение об уязвимости, сообщил, что образы Docker Gitea поставлялись с шаблоном "app.ini", в котором по умолчанию жёстко задано значение "REVERSE_PROXY_TRUSTED_PROXIES = *". Файл "app.ini" является основным конфигурационным файлом для управления параметрами сервера, подключениями к базам данных, поведением безопасности и настройками приложения.

При включенном обратном прокси-сервере этот подстановочный знак доверяет каждому IP-адресу источника, поэтому любой, кто может получить доступ к порту, может отправить заголовок X-WEBAUTH-USER и пройти аутентификацию как любой пользователь, без пароля и токена, — объяснил Мустафа. При включенной автоматической регистрации имя пользователя admin дает право доступа admin.

Стоит отметить, что документированное безопасное значение для внутренней переменной "REVERSE_PROXY_TRUSTED_PROXIES" - "127.0.0.0/8,::1/128", что означает, что в качестве доверенного прокси-сервера разрешен только localhost, то есть интерфейс обратной связи. Однако в официальном образе Docker это значение по умолчанию не используется, вместо него жестко задан символ "*". Другими словами, проверка в списке разрешенных серверов фактически отсутствует.

Уязвимость затрагивает версии образов Docker Gitea до 1.26.2 включительно. Она была устранена в версии 1.26.3, выпущенной в конце прошлого месяца, где был удален символ подстановки "*", а аутентификация через обратный прокси-сервер стала необязательной.

Источник: https://thehackernews.com/2026/07/threat-actors-probe-gitea-docker-flaw.html

#news #docker #vuln #gitea #proxy

🔗 Все наши каналы 🔁Все наши чаты 🪧Для связи с менеджером