🤔 Почему JWT — не панацея: разбор проблем сессий и безопасности

JWT приобрёл популярность как удобный способ аутентификации и передачи данных между клиентом и сервером. Разработчики ценят его за простоту, независимость от состояния (stateless) и возможность легко передавать информацию о пользователе между сервисами.

Однако большинство материалов и гайдов рассказывают только о плюсах, упуская важные недостатки и потенциальные угрозы безопасности.

➡️ В статье автор разбирает основные проблемы использования JWT для хранения пользовательских сессий и обсуждает более надёжные альтернативы.

#security

🔒 Как правильно управлять секретами и как атаковать менеджеры секретов — читайте на DevSecOps Guides:

🩵 Cloud
🩵 Infrastructure
🩵 Secrets Management
🩵 Threat Intelligence
🩵 Vulnerability Assessment

#security #devsecops

🤯 Server-side request forgery: полное руководство по эксплуатации уязвимости

Уязвимости SSRF оказывают значительное влияние, поскольку могут открыть совершенно новую, часто внутреннюю, инфраструктуру для багхантеров.

SSRF обычно позволяет читать или изменять конфиденциальные данные или системные файлы, но в критических кейсах также позволяет вносить изменения в критически важные сторонние сервисы (например, AWS и GCP).

➡️ В гайде от Intigriti рассматриваются практические аспекты поиска и эксплуатации как простых, так и сложных SSRF:

💚 Exploiting basic SSRFs
💚 Bypassing host whitelists
💚 Bypassing protocol whitelists
💚 Exploiting SSRFs in PDF generators
💚 Exploiting second-order SSRFs
💚 Exploiting blind SSRFs
💚 Exploiting SSRFs via DNS rebinding

#guide #bugbounty #pentest

🤑 Вы уже наверняка знаете, что с кошельков криптобиржи Bybit было выведено ETH на сумму более $1,4 млрд… и замешана в этом Lazarus

Но как это произошло с технической стороны? Потихоньку начинают появляться подробности. Оставим в оригинале:

1) malicious JS injected into Safe{Wallet} at https://app.safe.global/_next/static/chunks/pages/_app-4f0dcee809cce622.js (because apparently, one of the nk devs just casually pushed it to production 🤡)

2) the JS modified executeTransaction() only if the signer was in a predefined list (Bybit’s multisig owners).

3) modified transaction now sets operation: 1 (delegatecall) to attacker address instead of a normal call.

4) delegatecall hits the attacker contract, which changed Safe contract's first storage slot which is masterCopy to a another attacker contract.

5) new masterCopy contract contained sweepETH() & sweepERC20(), draining $1.5B

Самое интересное — размеры выплат по программе багбаунти. Тот самый случай, когда продешевили 🤷‍♂️

#apt #news #назлобудня

💸❤️ «Яндекс» подвёл итоги программы «Охота за ошибками» 2024 и выплатил более 50 млн рублей белым хакерам за уязвимости

Багбаунти программа «Яндекса» стартовала еще в 2012-м, но прошлый год стал самым «вкусным» в плане выплат. Компания выплатила 50,8 млн рублей багхантерам за уязвимости, включая 5,9 млн рублей одному белому хакеру за 28 отчётов. Второе и третье место заняли исследователи с выплатами в 3,6 и 3 млн рублей.

➡️ Читать отчет

#bugbounty

🔍 Кстати, шаблоны OSINT от Nuclei распределены по категориям/тегам, чтобы вы могли найти только то, что действительно нужно

Категории: archived, art, blog, business, coding, dating, finance, gaming, health, hobby, images, misc, music, news, political, search, shopping, social, tech, video и многое другое.

🔗 Скачать или установить Nuclei

#osint #recon #tools

📦 Пошаговое прохождение Linux-машины HTB Drive

Мекан Байрыев из Mad Devs на примере машины Hack The Box показывает, как провести атаку на базу данных SQLite при помощи собственного загружаемого модуля. Но сначала требуется получить доступ к приватным данным через уязвимость IDOR и захватить учетку пользователя.

📺 Смотреть

#writeup #practice #pentest

🦠 Как работает Stuxnet: пошаговый видеогайд

Считающийся первым известным кибер-оружием, Stuxnet был нацелен на иранскую ядерную программу и использовал тонкий и прекрасно спроектированный механизм.

Он остается одним из самых интересных образцов когда-либо созданного вредоносного кода. Можно сказать, что в цифровом мире атаки Stuxnet являются кибер-эквивалентом атак на Нагасаки и Хиросиму в 1945 году.

Чтобы успешно проникнуть в тщательно охраняемые установки, где Иран разрабатывает свою ядерную программу, атакующим пришлось решить сложную задачу: как вредоносный код может попасть в место, которое не имеет прямого подключения к интернету? Нападение на отдельные «высокопрофильные» организации было решением, и, вероятно, успешным.

👉 Подробнее читайте в статье Kaspersky «Stuxnet: первые жертвы»

#security #apt

🔐 Байпас AMSI в 2025 году: что стоит за механизмом защиты и как вы все еще можете эффективно его обойти

Технологию Anti-Malware Scan Interface Microsoft раз­работа­ла в качес­тве метода защиты поль­зовате­лей от малвари и впер­вые внед­рила в Windows 10.

AMSI в реаль­ном вре­мени перехватывает скрип­ты и коман­ды PowerShell, JavaScript, VBScript, VBA или .NET и отправляет на про­вер­ку анти­вирус­у.

В 2025 году еще существуют способы обхода AMSI. Они не так сильно отличаются от описанных ранее, но различия все равно присутствуют. О них и пойдет речь в статье 👇

🔗 Читать

#redteam #guide

🔎 Rigour — сканер IoT-устройств на базе Shodan.io

Сканер использует ZMap + ZGrab под капотом и предназначен для обнаружения, анализа и составления отчетов об устройствах, подключенных к Интернету.

💻 GitHub

#tools #recon

🎙 8-й выпуск Responsible Disclosure Podcast: Дмитрий Лукьяненко — из разработчика в хакера Android приложений, поиск уязвимостей как работа

Дмитрий Лукьяненко является белорусским багхантером и экс-Android-разработчиком, известным своими достижениями в области кибербезопасности. На данный момент он единственный исследователь в СНГ, обладающий HackerOne MVH (Most Valuable Hacker) Belt!

В 2019 году ему удалось занять второе место в рейтинге «белых хакеров» Facebook*. На протяжении многих лет он демонстрировал выдающиеся знания экосистемы Android и находил серьезные баги в продуктах многих крупных компаний.

В подкасте Дмитрий рассказывает о своем пути, о том, на что он обращает внимание больше всего, и как сохраняет навык и интерес после стольких лет работы в этой сфере.

⏳ Таймкоды:

00:00:43 – Приветствие и начало подкаста
00:01:31 – Первые шаги в карьере
00:04:21 – Работа в Яндексе
00:05:49 – Первая уязвимость и награда
00:07:44 – Вдохновение и первые атаки
00:10:19 – Переход из android разработки в безопасность
00:11:54 – Жизнь на bug bounty full time
00:13:26 – Гранты от Google
00:14:23 – Фокус на уязвимости
00:17:38 – Взаимодействие с мобильными приложениями
00:21:29 – Подход к поиску багов
00:25:07 – Пример уязвимости
00:29:53 – Ошибки в безопасности
00:31:41 – Переход к веб-уязвимостям
00:33:26 – Вдохновляющие примеры
00:34:21 – Уязвимости без технических навыков
00:35:11 – Уязвимость в Facebook
00:36:11 – Баг на мероприятии в Сингапуре
00:38:05 – Стратегия раскрытия уязвимостей
00:39:50 – Уязвимость в Windows Messenger
00:43:27 – Статус “Most Valuable Hacker”
00:46:09 – Санкции со стороны платформ
00:48:03 – Бонусы и мотивация
00:49:51 – Инвестиции в оборудование
00:53:46 – Важность образования
00:54:45 – Советы новичкам
00:55:31 – Безопасность Android
00:55:53 – Курсы по программированию устройств
00:56:50 – Автоматизация и инструменты

⏯️ Смотреть или слушать полностью

#podcasts #bugbounty #infosec #mobile

* Организация Meta запрещена на территории РФ