🕵‍♂️
Отличный материал от коллеги!!!
Курс Senior Web Penetration Tester (Hack The Box) за ноябрь 2024 года. Его стоимость на HTB по годовой подписке 1055€.

Краткое описание и ссылочка на материал в посте ниже ⤵️
https://t.iss.one/hackerbiker/77

🕵‍♂️

👽👽 Недавно провел пентест WiFi сети заказчика и наткнулся на интересный кейс: на стареньком Xiaomi Mi Router 3 оказался целый зоопарк открытых портов, около 25 штук! Испытал двоякое чувство. С одной стороны, как пентестер я был рад - есть что потестировать и где развернуться 🤨. С другой стороны, как специалист по информационной безопасности, я прекрасно понимаю, насколько сильно повышена угроза для компании с таким количеством открытых портов.

💬 Такое количество открытых портов значительно увеличивает поверхность атаки и потенциальные векторы проникновения в вашу сеть. Особенно опасно, когда речь идет о старом роутере. Устаревшая прошивка часто означает, что на открытых портах работают старые версии программного обеспечения, которые могут быть уязвимы к известным эксплойтам, включая RCE (Remote Code Execution) – удаленное выполнение кода.

🤬 Что делать?

🔷 Проверьте свой роутер: Воспользуйтесь онлайн-сканером портов (например, 2ip.ru) или установите программу вроде nmap, чтобы проверить, какие порты открыты у вашего роутера.
🔷 Обновите прошивку: Стоит убедиться, что установлена самая актуальная версия прошивки для роутера. Если производитель больше не выпускает обновления для вашей модели, возможно, пришло время задуматься о замене роутера на более современный.
🔷 Настройте брандмауэр: Закройте все ненужные порты в настройках брандмауэра вашего роутера.
🔷 Смените пароль по умолчанию: Обязательно смените пароль администратора роутера на сложный и уникальный.
🔷 Регулярно проверяйте настройки: Периодически проверяйте настройки вашего роутера, чтобы убедиться, что все в порядке.

😎 Защитить свою сеть проще, чем кажется. Начни с малого и будь в безопасности!

🕵‍♂️

Хочу поделиться важной новостью, хотя и немного с опозданием! 📆 Не так давно я получил сертификат Certified Ethical Hacker (CEH).

Тема сертификации меня интересует уже достаточно давно. Во-первых, это обучение и оно неслабо подтягивает знания. Во-вторых, наличие сертификатов, таких как: CEH, OSCP, OSWE, зачастую требуют заказчики и работодатели. Хотя CEH и не является таким продвинутым, как, например, OSCP, он служит отличной отправной точкой для начинающих специалистов.
Теоретический экзамен включал в себя тестирование из 125 вопросов на английском языке. Самое сложное было понять индийский акцент своего проктора перед началом экзамена 😅

В общем, начало положено. Дальше двигаюсь к сертификату OSCP 💻, там все гораздо сложнее и серьезнее — шутки в сторону. Не зря это топ-1 самых востребованных сертификатов в мире 🌎.

🕵‍♂️
Операция RapTor

В рамках международной операции под кодовым названием «Операция RapTor», направленной против продавцов и покупателей в даркнете, правоохранительные органы арестовали 270 человек из 10 стран.

Власти стран Европы, Южной Америки, Азии и США также сообщают об изъятии более 207 млн долларов наличными и в криптовалюте, более двух тонн наркотиков (включая амфетамины, кокаин, кетамин, опиоиды и каннабис) и более 180 единиц огнестрельного оружия.

«Международная операция правоохранительных органов, координируемая Европолом, нанесла серьезный удар по преступному подполью: в десяти странах арестованы 270 продавцов и покупателей даркнета, — сообщает Европол. — Операция RapTor привела к ликвидации сетей, занимающихся торговлей наркотиками, оружием и контрафактной продукцией, а также послужит четким сигналом для преступников, скрывающихся за мнимой анонимностью».

Используя оперативную информацию, собранную после захвата нескольких даркнет-маркетплейсов, включая Nemesis, Tor2Door, Bohemia и Kingdom Market.

Большинство подозреваемых были задержаны в США (130), Германии (42), Великобритании (37), Франции (29) и Южной Корее (19), а еще 13 человек — в Нидерландах, Австрии, Бразилии, Испании и Швейцарии.

🕵‍♂️

🔐 Тихие баги, которые приносят деньги

Когда люди думают про багбаунти, они сразу представляют себе RCE или SQLi. Но большинство реально оплачиваемых находок — это тихие, но очень цепкие баги.

🧩 IDOR — в 80% случаев недооценён

Параметр user_id=1234? — Меняй. Всегда.
Параметр email, username, account_id, document_id, image_id, order_id? — Меняй.
Не важно, что нет ошибки. Даже если ответ — просто 403, это уже может быть проверка на backend’е, и баг проявляется в другом методе.

📩 Смена почты — недооценённый вектор

Смена email — это точка управления аккаунтом.
Если можно сменить почту без подтверждения старой, без токена, или даже просто через IDOR — ты управляешь чужим аккаунтом.
Плюс: после смены многие системы позволяют сбросить пароль через новый email → Account Takeover.

📲 Старые токены, сессии, коды — не всегда инвалидируются

Остаётся ли старая сессия после смены пароля?
Работает ли старый 2FA код дважды?
Можно ли активировать Magic Link/OTP несколько раз?
Если да — это уже повод накатать репорт.

📊 Что реально приносит деньги

IDOR + логика
Отсутствие подтверждения действий (email, 2FA, delete)
Логика доступа между ролями
Баги в API, особенно с PUT, PATCH, DELETE

🛠 Что проверять первым

Email change / password reset flow
Sharing/token-based доступы
Скачивание и просмотр чужих файлов
API с параметрами user/account/id

🧠 Важно: если endpoint скучный — это хорошо.
Скучные баги почти всегда живут дольше и оплачиваются лучше.

🎭 AI, Deepfake и немного наличных: новая эра социальной инженерии

В мае 2025 года произошёл инцидент, который заставил многих задуматься о безопасности своих контактов. Неизвестный злоумышленник, используя технологии искусственного интеллекта, клонировал голос главы администрации Белого дома Сьюзи Уайлс и рассылал сообщения с просьбами о переводе денег и составлении списков на помилование. Некоторые получатели даже начали выполнять эти просьбы, прежде чем заподозрили неладное . New York Post

Этот случай подчёркивает, насколько убедительными могут быть современные фишинговые атаки, особенно когда они подкреплены технологией deepfake. Если раньше мы опасались писем от "наследных принцев", то теперь стоит быть настороже даже при получении сообщений от знакомых голосов.

🕵‍♂️

📦 Открытый Swagger — находка на каждом втором проекте
Очень часто на проектах попадается открытая Swagger-документация (/swagger, /api-docs, /v2/api-docs, /swagger-ui.html). Это — огромный риск💻👽👽

🧠 Что раскрывает Swagger:
Полный список всех API-эндпоинтов, включая приватные.

Методы (GET, POST, PUT, DELETE) — можно сразу тестить бизнес-логику.

Все параметры и структура запроса, включая тела, вложенные поля, типы.

Иногда — автоматически подставленный токен (в UI авторизации).

Возможность выполнять запросы прямо из браузера без доп. инструментов.

⚠️ Чем это опасно:
Быстрый поиск уязвимостей типа IDOR, Auth Bypass, PUT/DELETE без auth.

Выявление админских методов, внутренних API, незадокументированных фич.

Утечка токенов или ключей прямо в UI (особенно в dev/stage окружениях).

Автоматизация через nuclei — можно отсканировать тысячи доменов на наличие Swagger за минуты.

✅ Что должен сделать защитник:
❌ Удалить Swagger из production-окружения.

🔐 Закрыть его auth'ом и доступом только по VPN или IP whitelist.

🌍 Проверить, не открыт ли staging/dev (обычно там Swagger открыт по умолчанию).

🔎 Прогнать свои домены nuclei -tags panel -severity low,medium.

JavaScript как источник информации при пентесте

Клиентские JS-файлы часто содержат технические детали, полезные для разведки и подготовки атаки. В них можно найти:

➖ Секреты и токены (api_key, auth_token, client_secret)
➖ Эндпоинты API, включая скрытые (/internal, /admin, /debug)
➖ Флаги функциональности (isAdmin=true, betaMode=1)
➖ Ссылки на инфраструктуру (s3, gcs, azureblob)

Цели анализа:
1️⃣ Составить карту запросов и эндпоинтов
— пригодится для обхода авторизации, IDOR, SSRF

2️⃣ Найти прямые ссылки на внутренние ресурсы
— панели администрирования, dev-инфраструктура, сторедж

3️⃣ Выявить скрытые параметры
— например, debug=true, admin_override, X-Access-Level

Инструменты:
LinkFinder — извлечение путей из JS
SecretFinder — поиск токенов и ключей
subjs — сбор всех JS-файлов с сайта

Мини-сценарий для пентеста:

subfinder -d internal.target.com -silent | httpx -match-js -paths / -o js_hosts.txt
cat js_hosts.txt | subJS | tee js_urls.txt
cat js_urls.txt | LinkFinder.py -i stdin -o cli > endpoints.txt
cat js_urls.txt | SecretFinder.py -i stdin -o cli > secrets.txt

Практическое применение:
➡️Найденный токен — использовать с curl, Postman или через AWS CLI
➡️Флаг debug=true может активировать уязвимую функциональность
➡️Неизвестный endpoint — потенциальная точка входа для LFI, IDOR или SSRF