👨🏻‍💻 Подборка сайтов, которые помогут тебе подтянуть свои навыки

Hack The Box – Онлайн-платформа, позволяющая вам проверить свои навыки тестирования на проникновение и обменяться идеями и методологиями с тысячами людей в области безопасности.

Vulnhub – Сайт, на котором можно найти образы уязвимых виртуальных машин, на которых вы можете попрактиковаться в своей локальной сети.

Smash The Stack – Проводит несколько варгеймов. Варгейм можно описать как этическую хакерскую среду, которая моделирует реальные уязвимости программного обеспечения и допускает легальное применение методов эксплуатации.

OverTheWire – Подойдёт всем желающим изучить теорию информационной безопасности и применить её на практике независимо от своего опыта.

Root Me – Простой и доступный способ отточить свои хакерские навыки. У Root-me есть множество видов задач. CTF, взлом, криптоанализ, криминалистика, программирование, стенография.

Defend the Web – Интерактивная платформа, где вы можете учиться и проверять свои навыки. За решение задач вы получаете определённое количество очков в зависимости от уровня сложности.

Exploit Education – Предоставляет разнообразные виртуальные машины, документацию и задачи, которые можно использовать для изучения различных проблем компьютерной безопасности, таких как повышение привилегий, анализ уязвимостей, разработка эксплойтов, отладка, реверсинг и общие проблемы кибербезопасности.

Try2Hack – Сайт предлагает несколько задач, связанных с безопасностью, для вашего развлечения. Каждая задача требует разного подхода для решения и по мере продвижения становится всё сложнее.

Общая схема по безопасности и хакингу ⚙️

«Хакеров должно судить по их делам, а не по надуманным критериям, таким как степени, звания, возраст, цвет кожи и положение в обществе. Хорошим примером этому явилось быстрое вхождение двенадцатилетнего Питера Дейча в сообщество хакеров (и это притом, что аспиранты-нехакеры не воспринимали его всерьез). И сколько бы впечатляющих рекомендаций не было у человека, он не заслуживал уважения, пока он не доказывал свои способности за консолью компьютера». ©️Стивен Леви.

📝 В Германии арестованы хакеры за кражу 4 млн евро с помощью фишинговых атак.

Трое мужчин получали деньги от своих жертв, отправляя им фишинговые электронные письма, которые были клонами сообщений из настоящих немецких банков.

Электронные письма информировали получателей о предстоящих изменениях в системе безопасности банка, что неизбежно отразится на их учетных записях. Чтобы гарантировать, что они смогут продолжать пользоваться услугами банка, жертвам было предложено перейти на фишинговый веб-сайт, тем самым передав свои учетные данные мошенникам.

Таким образом было украдено - 4 000 000 евро

🐠 Фишинг (англ. phishing от fishing ) — вид интернет-мошенничества, целью которого является получение доступа к конфиденциальным данным пользователей — логинам и паролям. Это достигается путём проведения массовых рассылок электронных писем от имени популярных брендов, а также личных сообщений внутри различных сервисов, например, от имени банков или внутри социальных сетей. В письме часто содержится прямая ссылка на сайт, внешне неотличимый от настоящего, либо на сайт с редиректом.

HackTheBox - Perspective - Exploiting and Securing DotNet Web Applications ViewState

01:00 - Start of nmap
02:25 - Looking at the website, looks like there's different behavior for extensions
05:10 - Registering and logging into an account
06:30 - An unintended way to login, IDOR within the Forgot Password logic, can change usernames
09:15 - Uploading a new product, test XSS, File Upload
12:00 - Using FFUF with a raw http request to test for potential extensions
18:10 - Using SHTML to test for Server Side Inclusion SSI and leaking web.config
21:15 - Going over the web.config, pulling out sensitive things
26:30 - Decrypting the .aspx Forms Ticket and forging a new one that states we are admin
36:50 - The Admin page allows us to generate PDF's, testing for XSS
38:20 - Attempting to redirect the save to pdf function with a meta tag
42:50 - Redirecting to localhost:8000 and discovering the swagger api for encrypt/decrypt
46:00 - Creating a webform to autosubmit data and allow us to decrypt a string.
51:00 - Creating a YSOSERIAL Gadget with our ViewState and ViewStateUserKey protecting it
1:02:00 - Reverse shell returned
1:04:00 - Discovering port 8009 is open, setting up a tunnel via SSH and discovering its a different version of the website
1:07:54 - The ViewState is protected by AutoGenerate for the key, we cannot do deserialization here
1:09:20 - Checking out the Password Reset feature and we can edit the token to reveal a Padding Oracle error message
1:12:15 - Showing the command injection if we can forge tokens
1:14:05 - Using padbuster to create a token that will allow us to perform command injection
1:24:00 - ALTERNATE PRIVESC: Using JuicyPotatoNG, attempting to run it says privileged process failed to communicate with COM Server. Need to run with -s to find a suitable port

☠️ Игра от российских разработчиков. ILL — лучший хоррор ? 😱

Время от времени российские инди-разработчики умудряются удивлять. Например, студия CLOUT Games недавно анонсировала хоррор, который явно создавался под впечатлением от Resident Evil и Outlast. Хотя они ещё не запустили в производство и находятся на этапе поиска инвесторов. Осложняется работа над проектом также тем, что до этого в студии не работали над подобными проектами. Они занимались разработкой мобильных игр и это их первая попытка выйти на «большой» рынок. Как вам?

📚 Лучшие книги для хакеров

Изначально хакерами называли программистов, которые исправляли ошибки в программном обеспечении каким-либо быстрым или элегантным способом; слово hack пришло из лексикона хиппи, в русском языке есть идентичное жаргонное слово «врубаться» или «рубить в …». Начиная с конца XX века в массовой культуре появилось новое значение — «компьютерный взломщик», программист, намеренно обходящий системы компьютерной безопасности.

💾 Скачать книги

«Тридцать лет назад "хакер" был умный молодой парень, пытающийся получить доступ к дорогим и сложным "ЭВМ". Тогда компьютеры работали довольно медленно, но это было не страшно – хакеры были рады просто получить возможность программировать. Жизнь была полной, но сейчас все изменилось». ©️ Брюс Стерлинг.

#хакинг #hack #подборка_книг #безопасность #уязвимости #киберпреступность

📚 Лучшие книги для хакеров

Каждый программист по сути своей — хакер. Ведь первоначально хакингом называли поиск искусного и неочевидного решения. Понимание принципов программирования помогает находить уязвимости, а навыки обнаружения уязвимостей помогают создавать программы, поэтому многие хакеры занимаются тем и другим одновременно.

📙 Лаборатория хакера [2016] Сергей Бабин
📘 Подпольный интернет. Темная сторона мировой паутины [2017] Джейми Бартлетт
📗 Призрак в сети. Мемуары величайшего хакера [2012] Митник
📓 Исповедь кардера [2010] Алексей Малов
📕 Хакинг. Искусство эксплойта. 2-е издание [2018] Джон Эриксон
📒 Компьютер глазами хакера [2012] Михаил Фленов
📔 Кибер преступник №1 [2017] Ник Билтон

#интернет #web #hack #программирование #подборка_книг #безопасность #уязвимости