Security Lab
3.06K subscribers
273 photos
6 videos
10 files
813 links
Полезные материалы по информационной безопасности

По всем вопросам: @un_ixtime
Download Telegram
Кэширование некэшируемых объектов — злоупотребление путаницей синтаксического анализатора URL (метод отравления веб-кэша)

Вот как мне удалось отравить кеш тысяч страниц в Glassdoor с помощью отраженного и сохраненного XSS

https://shly.link/ga6bv
Linux для хакеров — основы для начинающих в сфере кибербезопасности

Время научиться пользоваться операционной системой среднего хакера 🐧.

В этой статье мы совершим небольшой экскурс по:

Операционная система Linux
Управление пакетами
Файловая структура Linux.
Интерфейс командной строки
И вы также узнаете, как обновить свой дистрибутив Linux.

https://shly.link/ov0Qp
Развенчание мифов о HTTPS

Большинство экспертов по безопасности рекомендуют везде использовать HTTPS. Это, несомненно, хороший совет, который вы должны применить.

Однако это часто вводит в заблуждение большинство пользователей, в том числе технически подкованных.

https://shly.link/devQdmc
10 основных навыков, необходимых для того, чтобы стать профессионалом в области кибербезопасности в 2022 году

Хотите стать инженером по кибербезопасности в 2022 году? Вот 10 основных навыков, которые вам нужно освоить, чтобы стать экспертом по кибербезопасности в 2022 году.
https://shly.link/NdjHp
Скрытые преобразователи DNS и как скомпрометировать вашу инфраструктуру

Анализируя закрытые резолверы DNS в Интернете, мы обнаружили множество интернет-провайдеров и хостинг-провайдеров, уязвимых для тривиальных атак Каминского . Это позволяет злоумышленнику манипулировать разрешением DNS-имен тысяч систем. Как следствие, возможны перенаправления электронной почты, захват учетных записей и даже компрометация целых систем. Закрытые преобразователи DNS по всему миру затронуты.
https://shly.link/FFZeh
Кураторский список инструментов для реагирования на инциденты

Тщательно подобранный список инструментов и ресурсов для реагирования на инциденты безопасности, предназначенный для помощи аналитикам безопасности и командам DFIR .
https://github.com/meirwah/awesome-incident-response
📚Коллекция различных удивительных списков для хакеров, пентестеров и исследователей безопасности
https://shly.link/ghTCQA

📚Кураторский список потрясающих руководств, инструментов и ресурсов по хакерству
https://shly.link/ghJozy

📚Тщательно подобранный список потрясающих курсов и учебных ресурсов по информационной безопасности.
https://shly.link/ghKLKi

📚Кураторский список потрясающих ресурсов Threat Intelligence
https://shly.link/gh4xtr

📚Коллекция отличного программного обеспечения, библиотек, документов, книг, ресурсов и интересных вещей о безопасности.
https://shly.link/gh1XPi

📚Этот список предназначен для всех, кто хочет узнать о безопасности веб-приложений, но не имеет отправной точки.
https://shly.link/ghAay3

📚Коллекция ресурсов, связанных с безопасностью Android.
https://shly.link/ghwhuQ

📚Кураторский список различных инструментов вознаграждения за обнаружение ошибок
https://shly.link/gh1krw

📚Коллекция потрясающих однострочных скриптов, специально предназначенных для подсказок по поиску ошибок.
https://shly.link/ghmmJi

📚Коллекция потрясающих инструментов и ресурсов для обеспечения безопасности API.
https://shly.link/ghhMb

📚Кураторский список восхитительных сценариев и ресурсов Bash.
https://shly.link/ghCVHg

📚Коллекция потрясающих ресурсов, инструментов и других блестящих вещей для тестирования на проникновение.
https://shly.link/ghVLsH

📚Кураторский список ресурсов Awesome Kubernetes Security
https://shly.link/ghTxr7

📚Машинное обучение для кибербезопасности
https://shly.link/ghugii
Как я нашел несколько SQL-инъекций за 5 минут в Bug Bounty
Привет всем, SQL-инъекция — одна из самых критических уязвимостей, которые можно найти в веб-приложениях. Сегодня я покажу вам, как я обнаружил несколько уязвимостей SQL-инъекций во время поиска, поэтому давайте назовем нашу цель target.com.

https://shly.link/kDTTt
🟢30 поисковых систем по кибербезопасности:

1. Dehashed—View leaked credentials.
2. SecurityTrails—Extensive DNS data.
3. DorkSearch—Really fast Google dorking.
4. ExploitDB—Archive of various exploits.
5. ZoomEye—Gather information about targets.
6. Pulsedive—Search for threat intelligence.
7. GrayHatWarfare—Search public S3 buckets.
8. PolySwarm—Scan files and URLs for threats.
9. Fofa—Search for various threat intelligence.
10. LeakIX—Search publicly indexed information.
11. DNSDumpster—Search for DNS records quickly.
12. FullHunt—Search and discovery attack surfaces.
13. AlienVault—Extensive threat intelligence feed.
14. ONYPHE—Collects cyber-threat intelligence data.
15. Grep App—Search across a half million git repos.
16. URL Scan—Free service to scan and analyse websites.
17. Vulners—Search vulnerabilities in a large database.
18. WayBackMachine—View content from deleted websites.
19. Shodan—Search for devices connected to the internet.
20. Netlas—Search and monitor internet connected assets.
21. CRT sh—Search for certs that have been logged by CT.
22. Wigle—Database of wireless networks, with statistics.
23. PublicWWW—Marketing and affiliate marketing research.
24. Binary Edge—Scans the internet for threat intelligence.
25. GreyNoise—Search for devices connected to the internet.
26. Hunter—Search for email addresses belonging to a website.
27. Censys—Assessing attack surface for internet connected devices.
28. IntelligenceX—Search Tor, I2P, data leaks, domains, and emails.
29. Packet Storm Security—Browse latest vulnerabilities and exploits.
30. SearchCode—Search 75 billion lines of code from 40 million projects.
Please open Telegram to view this post
VIEW IN TELEGRAM
Сайты, где можно 🔐бесплатно попрактиковаться в кибербезопасности:

- tryhackme.com
- cybrary.it
- hackthebox.com
- portswigger.net
- picoctf.org
- pentesterlab.com
- letsdefend.io
- certifiedsecure.com
- isaca.org
- overthewire.org
📍Знаете ли вы, что функциональность капчи может привести к серьезным ошибкам? Прочтите это, чтобы узнать .

📍Отчет об исследовании угроз от Redhut labs охватывает тысячи незащищенных кластеров Kubernetes, обнаруженных в Интернете .

📍Отличные обходные пути приводят к удивительным наградам. GitHub наградил $10 000 за обход фильтрации HTML-тегов в новой функции GitHub .
Поиск уязвимостей P1: пошаговое руководство

Отказ от ответственности: эта статья предназначена только для информационных целей. Не пытайтесь злонамеренно использовать информацию в этой статье, чтобы причинить вред или иным образом совершить вредоносные действия. Я не несу ответственности за любые действия, предпринятые с использованием этих методов.

https://shly.link/mdmwV6x
OpenSSL предупреждает о критической уязвимости безопасности в связи с предстоящим патчем

Команда проекта OpenSSL объявляет о предстоящем релизе.
OpenSSL версии 3.0.7.

OpenSSL 3.0.7 — это выпуск исправления безопасности.
https://shly.link/tyEn0
Автоматизированная система отчетов о тестировании на проникновение

APTRS (Automated Penetration Testing Reporting System) — это автоматизированный инструмент отчетности на Python и Django. Инструмент позволяет пентестерам создавать отчеты напрямую, без использования традиционного файла Docx.
https://shly.link/ghkM7N
Контрольный список безопасности API

Контрольный список наиболее важных контрмер безопасности при разработке, тестировании и выпуске вашего API
https://shly.link/ghAz2
Я только что нашел этот инструмент под названием CyberSeek, который намечает различные карьерные пути в CyberSecurity .

https://www.cyberseek.org/pathway.html
10 недооцененных ресурсов о методах вредоносного ПО. Это список различных ресурсов, где можно узнать больше о методах вредоносных программ, о том, как их анализировать и как улучшить обнаружение!

unprotect.it
lolbas-project.github.io
hijacklibs.net
malapi.io
lots-project.com
github.com/Karneades/awesome-malware-persistence
github.com/m0nad/awesome-privilege-escalation
github.com/stuhli/awesome-event-ids
orkl.eu
vx-underground.org/windows.html
TryHackMe теперь выпустил путь Blue Team!

В рамках этого курса вы познакомитесь с широким набором инструментов и реальных сценариев анализа, что позволит вам стать успешным младшим аналитиком по безопасности.
https://shly.link/XX70Y
«Сегодня отдельные производственные процессы необходимо менять оперативно, но качественно. Важно создать принципиально новое звено в производстве, новый ресурс, практически – “людей новой парадигмы”, способных не к копированию лучшего, а к ритмичному процессу создания нового и эффективного», — Роберт Уразов, генеральный директор Агентства развития навыков и профессий, директор дивизиона «Кадровый потенциал» Агентства стратегических инициатив.

С 7 по 11 ноября более тысячи участников и экспертов участвуют в 34 компетенциях Международного чемпионата высокотехнологичных профессий Хайтек и 8 конкурсных направлениях II Кубка по рационализации и производительности.

Трансляции на официальном канале @worldskillsrussia. Присоединяйтесь и следите за тем, как рабочие и инженеры крупнейших российских промышленных предприятий ищутрешения по оптимизации производства и восстановлению утраченных технологических цепочек!
Современный сканер портов
Современный сканер портов. Быстро находите порты (минимум 3 секунды) . Запускайте скрипты через наш скриптовый движок (поддерживаются Python, Lua, Shell).

https://github.com/RustScan/RustScan