😈 Знакомство с XPath Injection

XPath инъекции — это тип инъекционной атаки, которая использует уязвимости в обработке сервером пользовательского ввода

XPath (XML Path Language) — язык запросов для XML документов, в общем похожий на SQL для баз данных. Правда вместо таблиц, колонок и строчек XPath оперирует нодами в XML дереве

‼️ Атаки с использованием XPath выполняются путём вставки вредоносного кода в поля ввода для изменения поведения запроса и извлечения конфиденциальной информации из базы данных приложени

🗄 Подробное руководство по XPath-инъекциям
🗄 XPath Injection | OWASP Foundation
🗄 Введение в XPath инъекции: примеры
🗄 Борьба с XPath инъекциями в .NET
🗄 XPath Injection: A beginners guide (более свежее руководство)

#Guide #SQL #XPath #Injection | 🧑‍💻 Этичный хакер

😈 Скамеры дуреют с этой прикормки: как секретный токен ФБР вывел мошенников на чистую воду

В США завершён громкий процесс вокруг операции «Token Mirrors», инициированной ФБР

‼️ Задуманная схема включала выпуск специального цифрового токена и создание подставной криптовалютной компании, нацеленной на пресечение мошеннических действий на рынке виртуальных активов

Главным эпизодом операции стало недавнее признание компании CLS Global в совершении незаконных манипуляций, связанных с токеном NexFundA

— Следствие установило, что структура CLS Global предлагала услуги так называемого «Wash Trading» — фиктивных операций, способных искусственно завысить объём сделок и повысить цену цифровых активов

🗣 Ссылка на чтиво

#FBI #GLSGlobal #WashTrading #NexFundAI | 🧑‍💻 Этичный хакер

😈 Новый троян массово рассылают в Telegram

❗️ Злоумышленники массово рассылают в Telegram троян Mamont в формате apk-файла, замаскированного под видео

При открытии подобных файлов на устройство жертвы устанавливается зараженное трояном Mamont приложение

— Вирус может считывать push-уведомления, СМС, получать доступ к фотографиям из галереи, а также автоматически рассылать опасный файл всем контактам пользователя в Telegram

🗣 Ссылка на чтиво

#News #Mamont #Trojan #Telegram #Malware | 🧑‍💻 Этичный хакер

😈 Подборка инструментов для шифрования и хэширования данных

Основная задача хеширования — создать уникальный цифровой «отпечаток» данных, который поможет ускорить обработку информации, защитить её от взлома и упростить идентификацию

1. OpenSSL: Широкопрофильная библиотека с реализациями протоколов SSL и TLS, а также инструментов для шифрования, расшифровки, хэширования и управления сертификатами.

2. Libsodium: Легковесная, высокопроизводительная библиотека для криптографии с простым API для безопасной разработки приложений.

3. PyCryptodome: Библиотека для Python, предлагающая различные криптографические алгоритмы, включая AES, DES, RSA, хэширование и многое другое.

4. CryptoJS: Библиотека для JavaScript, позволяющая осуществлять шифрование и хэширование с использованием различных алгоритмов, таких как AES, SHA256 и другие.

5. bcrypt: Библиотека для Node.js и JavaScript, предназначенная для безопасного хэширования паролей с использованием алгоритма bcrypt.

#Hash #Hashing #Encryption #Tools #Cryptography | 🧑‍💻 Этичный хакер

😈 Основы XSS и поиск уязвимых к XSS сайтов (Часть 1)

Межсайтовый скриптинг (XSS) (Cross-Site Scripting) — подтип атаки на веб-системы, заключающийся во внедрении в выдаваемую веб-системой страницу вредоносного кода (который будет выполнен на компьютере пользователя при открытии им этой страницы) и взаимодействии этого кода с веб-сервером злоумышленника

Самое главное, что нужно понимать про виды XSS то, что они бывают:
🗄 Хранимые (Постоянные):
— Введённое злоумышленником специально сформированное сообщение в гостевую книгу (комментарий, сообщение форума, профиль) которое сохраняется на сервере, загружается с сервера каждый раз, когда пользователи запрашивают отображение этой страницы.
— Злоумышленник получил доступ к данным сервера, например, через SQL инъекцию, и внедрил в выдаваемые пользователю данные злонамеренный JavaScript код (с ки-логерами или с BeEF).

🗄 Отражённые (Непостоянные):
— На сайте присутствует поиск, который вместе с результатами поиска показывает что-то вроде «Вы искали: [строка поиска]», при этом данные не фильтруются должным образом.

🗣 Ссылка на чтиво

#XSS #Vulnerability #Guide | 🧑‍💻 Этичный хакер

😈 Беларусь вводит трёхдневную блокировку внешнего интернет-трафика

‼️ С 25 января по 27 января 2025 года белорусские хостинг-провайдеры ограничат доступ к виртуальному хостингу из-за пределов Республики Беларусь

— Эта мера введена в соответствии с распоряжением Оперативно-аналитического центра при Президенте Республики Беларусь и обусловлена угрозами для объектов информационной инфраструктуры и обрабатываемой информации

🗣 Ссылка на чтиво

#Internet #Blocking | 🧑‍💻 Этичный хакер

😈 OSINT: Инструмент сбора информации о системе

LinEnum — это скрипт оболочки, который автоматизирует процесс перечисления локальной информации из систем Linux

— Он предназначен для выполнения локальных проверок эскалации привилегий и сбора системной информации для целей тестирования и администрирования

Все проверки собраны в один Bash файл, не требующий дополнительных зависимостей

🗣 Репозиторий на GitHub

#Tools #OSINT #Linux | 🧑‍💻 Этичный хакер

😈 Криптоанализ шифра Виженера: как реализовать и взломать

Шифр Виженера — это метод полиалфавитного шифрования буквенного текста с использованием ключевого слова

Этот метод является простой формой многоалфавитной замены

Впервые этот метод описал Джованни Баттиста Беллазо в 1553 году, однако в XIX веке получил имя Блеза Виженера, французского дипломата

Метод прост для понимания и реализации, но является недоступным для простых методов криптоанализа

❗️ На протяжении трёх столетий шифр противостоял всем попыткам его взломать, благодаря чему его называли «неразгаданным шифром»

🗣 Ссылка на чтиво

#Encryption #Info #Cryptography | 🧑‍💻 Этичный хакер

😈 Акции техногигантов в США упали на триллион долларов из-за китайского стартапа

‼️ Американские технологические гиганты — Nvidia, Microsoft, Meta Platforms Inc. и Tesla — в понедельник потеряли в акциях триллион долларов

DeepSeek — китайский стартап произвел фурор в отрасли после запуска бесплатной модели с открытым исходным кодом

— Выход на рынок передовой китайской модели моментально вызвал глобальный кризис, который обрушился на компании и производителей чипов, специализирующихся на искусственном интеллекте

🗣 Ссылка на чтиво

🧑‍💻 Этичный хакер

Sam Altman: Богатство поколений после
превращения OpenAL в
коммерческую компанию

— Deepseek R1 доступен бесплатно и
продается за 6 миллионов долларов

🧑‍💻 Этичный хакер

😈 Как удалить свою личную информацию из интернета

В этом руководстве мы разберём, как «зачистить» интернет от нежелательных сведений

❗️ Особое внимание уделим российским реалиям — закону «О персональных данных», «праву на забвение», взаимодействию с Роскомнадзором, а также общим стратегическим ходам, которые помогут вам чувствовать себя в сети более защищённо

🗣 Ссылка на чтиво

🧑‍💻 Этичный хакер

😂 Когда работаешь в этой вашей сесурити

🧑‍💻 Этичный хакер

😈 DeepSeek ограничивает регистрацию новых аккаунтов из-за масштабной кибератаки

‼️ Китайская ИИ-компания DeepSeek заявила, что из-за «масштабных кибератак» на свои сервисы она вынуждена временно ограничить регистрацию новых аккаунтов

«Из-за крупномасштабных вредоносных атак на сервисы DeepSeek мы временно ограничиваем регистрацию, чтобы обеспечить непрерывность обслуживания. Существующие пользователи могут войти в систему как обычно. Спасибо за ваше понимание и поддержку», — гласит сообщение на статус-странице DeepSeek

— Отметим, сегодня специалисты ИБ-компании KELA сообщили, что им уже удалось осуществить взлом модели DeepSeek для получения вредоносных результатов

В частности, исследователи добились генерации кода для программ-вымогателей, фабрикации «чувствительного» контента, а также получили от ИИ подробные инструкции по созданию токсинов и взрывных устройств

🗣 Ссылка на чтиво

🧑‍💻 Этичный хакер

😈 Подборка ресурсов для эскалации привелегий в Linux

Эскалация привилегий — это процесс, при котором злоумышленник получает более высокий уровень доступа к компьютерной системе или сети, чем тот, что ему был первоначально предоставлен

1. Семинар по локальной эскалации привилегий Windows / Linux: семинар по эскалации привилегий охватывает все известные (в то время) векторы атак локальной эскалации привилегий пользователей как в операционных системах Linux, так и в операционных системах Windows и включает в себя слайды, видео, тестовые виртуальные машины

2. linux-exploit-sugester.sh: инструмент аудита эскалации привилегий Linux, написанный на bash

3. linuxprivchecker.py: этот скрипт предназначен для локального выполнения в Linux-системе перечисления базовой системной информации и поиска общих векторов повышения привилегий, таких как файлы, доступные для записи по всему миру, неправильные настройки, пароли с открытым текстом и применимые эксплойты

🧑‍💻 Этичный хакер