⚙ All in One. Hacking tools.

• Hackingtool — это комплексный хакерский инструмент, который включает в себя все основные тулзы пентестеров и хакеров.

• Репозиторий имеет 29.6K звёзд и постоянно обновляется. Включает в себя инструменты из следующих категорий:

- Anonymously Hiding Tools;
- Information gathering tools;
- Wordlist Generator;
- Wireless attack tools;
- SQL Injection Tools;
- Phishing attack tools;
- Web Attack tools;
- Post exploitation tools;
- Forensic tools;
- Payload creation tools;
- Exploit framework;
- Reverse engineering tools;
- DDOS Attack Tools;
- Remote Administrator Tools (RAT);
- XSS Attack Tools;
- Steganograhy tools;
- SocialMedia Bruteforce;
- Android Hacking tools;
- IDN Homograph Attack;
- Email Verify tools;
- Hash cracking tools;
- Wifi Deauthenticate;
- SocialMedia Finder;
- Payload Injector;
- Web crawling;
- Mix tools.

➡️ https://github.com/Z4nzu/hackingtool

#ИБ #Пентест #Hack #tools

⚙ All in One. Hacking tools.

• Hackingtool — это комплексный хакерский инструмент, который включает в себя все основные тулзы пентестеров и хакеров.

• Репозиторий имеет 29.6K звёзд и постоянно обновляется. Включает в себя инструменты из следующих категорий:

- Anonymously Hiding Tools;
- Information gathering tools;
- Wordlist Generator;
- Wireless attack tools;
- SQL Injection Tools;
- Phishing attack tools;
- Web Attack tools;
- Post exploitation tools;
- Forensic tools;
- Payload creation tools;
- Exploit framework;
- Reverse engineering tools;
- DDOS Attack Tools;
- Remote Administrator Tools (RAT);
- XSS Attack Tools;
- Steganograhy tools;
- SocialMedia Bruteforce;
- Android Hacking tools;
- IDN Homograph Attack;
- Email Verify tools;
- Hash cracking tools;
- Wifi Deauthenticate;
- SocialMedia Finder;
- Payload Injector;
- Web crawling;
- Mix tools.

• https://github.com/Z4nzu/hackingtool

#ИБ

🌍 Top 10 web hacking techniques of 2023..

• Номинация - top 10 лучших методов веб-взлома в 2023 году. Каждая статья заслуживает внимания:

- Ransacking your password reset tokens;
- mTLS: When certificate authentication is done wrong;
- Smashing the state machine: the true potential of web race conditions;
- Bypass firewalls with of-CORs and typo-squatting;
- RCE via LDAP truncation on hg.mozilla.org;
- Cookie Bugs - Smuggling & Injection;
- OAuth 2.0 Redirect URI Validation Falls Short, Literally;
- Prototype Pollution in Python;
- Pretalx Vulnerabilities: How to get accepted at every conference;
- From Akamai to F5 to NTLM... with love;
- can I speak to your manager? hacking root EPP servers to take control of zones;
- Blind CSS Exfiltration: exfiltrate unknown web pages;
- Server-side prototype pollution: Black-box detection without the DoS;
- Tricks for Reliable Split-Second DNS Rebinding in Chrome and Safari;
- HTML Over the Wire;
- SMTP Smuggling - Spoofing E-Mails Worldwide;
- DOM-based race condition: racing in the browser for fun;
- You Are Not Where You Think You Are, Opera Browsers Address Bar Spoofing Vulnerabilities;
- CVE-2022-4908: SOP bypass in Chrome using Navigation API;
- SSO Gadgets: Escalate (Self-)XSS to ATO;
- Three New Attacks Against JSON Web Tokens;
- Introducing wrapwrap: using PHP filters to wrap a file with a prefix and suffix;
- PHP filter chains: file read from error-based oracle;
- SSRF Cross Protocol Redirect Bypass;
- A New Vector For “Dirty” Arbitrary File Write to RCE;
- How I Hacked Microsoft Teams and got $150,000 in Pwn2Own;
- AWS WAF Clients Left Vulnerable to SQL Injection Due to Unorthodox MSSQL Design Choice;
- BingBang: AAD misconfiguration led to Bing.com results manipulation and account takeover;
- MyBB Admin Panel RCE CVE-2023-41362;
- Source Code at Risk: Critical Code Vulnerability in CI/CD Platform TeamCity;
- Code Vulnerabilities Put Skiff Emails at Riskr;
- How to break SAML if I have paws?
- JMX Exploitation Revisited;
- Java Exploitation Restrictions in Modern JDK Times;
- Exploiting Hardened .NET Deserialization;
- Unserializable, but unreachable: Remote code execution on vBulletin;
- Cookieless DuoDrop: IIS Auth Bypass & App Pool Privesc in ASP.NET Framework;
- Hunting for Nginx Alias Traversals in the wild;
- DNS Analyzer - Finding DNS vulnerabilities with Burp Suite;
- Oh-Auth - Abusing OAuth to take over millions of accounts;
- nOAuth: How Microsoft OAuth Misconfiguration Can Lead to Full Account Takeover;
- One Scheme to Rule Them All: OAuth Account Takeover;
- Exploiting HTTP Parsers Inconsistencies;
- New ways of breaking app-integrated LLMs;
- State of DNS Rebinding in 2023;
- Fileless Remote Code Execution on Juniper Firewalls;
- Thirteen Years On: Advancing the Understanding of IIS Short File Name (SFN) Disclosure!
- Metamask Snaps: Playing in the Sand;
- Uncovering a crazy privilege escalation from Chrome extensions;
- Code Vulnerabilities Put Proton Mails at Risk;
- Hacking into gRPC-Web;
- Yelp ATO via XSS + Cookie Bridge;
- HTTP Request Splitting vulnerabilities exploitation;
- XSS in GMAIL Dynamic Email;
- Azure B2C Crypto Misuse and Account Compromise;
- Compromising F5 BIGIP with Request Smuggling;
- One Supply Chain Attack to Rule Them All;
- Cookie Crumbles: Breaking and Fixing Web Session Integrity;
- tRPC Security Research: Hunting for Vulnerabilities in Modern APIs;
- From an Innocent Client-Side Path Traversal to Account Takeover.

#web #hack

🌍 Top 10 web hacking techniques of 2023.

• В файле ниже собран весь материал, который был опубликован в этом посте.

➡️ Источник: @hadess_security

#web #hack

👨‍💻 Как хакнуть chess.com детским эксплойтом.

• История обнаружения XSS-уязвимости на крупнейшем шахматном сайте интернета со 100 миллионами участников – Chess.com

➡️ Оригинал: https://skii.dev/rook-to-xss/

➡️ Перевод: https://habr.com/post/790330/

#ИБ #web

👨‍💻 OSCP Cheat Sheet.

• Commands, Payloads and Resources for the OffSec Certified Professional Certification (OSCP).

- Basics;
- Information Gathering;
- Vulnerability Analysis;
- Web Application Analysis;
- Database Assessment;
- Password Attacks;
- Exploitation Tools;
- Post Exploitation;
- Exploit Databases;
- CVEs;
- Payloads;
- Wordlists;
- Social Media Resources;
- Commands.

#OSCP #CheatSheet

🌍 Top 10 web hacking techniques of 2023.

• Это уже 17 номинация по самым значимым исследованиям веб-безопасности. Вас ждут топ-10 техник веб-хакинга 2023 года, с которыми можно ознакомиться по ссылкам ниже:

- Smashing the state machine: the true potential of web race conditions
- Exploiting Hardened .NET Deserialization
- SMTP Smuggling - Spoofing E-Mails Worldwide
- PHP filter chains: file read from error-based oracle
- Exploiting HTTP Parsers Inconsistencies
- HTTP Request Splitting vulnerabilities exploitation
- How I Hacked Microsoft Teams and got $150,000 in Pwn2Own
- From Akamai to F5 to NTLM... with love
- Cookie Crumbles: Breaking and Fixing Web Session Integrity
- can I speak to your manager? hacking root EPP servers to take control of zones

• А вот по этим ссылкам можно ознакомиться с прошлогодним материалом:

- Top 10 Web Hacking Techniques of 2023;
- Top 10 Web Hacking Techniques of 2022;
- Top 10 Web Hacking Techniques of 2021;
- Top 10 Web Hacking Techniques of 2020;
- Top 10 Web Hacking Techniques of 2019;
- Top 10 Web Hacking Techniques of 2018;
- Top 10 Web Hacking Techniques of 2017.

#Web #Hack

🌍 Web LLM Attacks.

• What are LLMs?
• Interactive Interfaces and Use Cases;
• Security Considerations;
• Protecting Against LLM Attacks;
• Exploiting LLM APIs with excessive agency;
• Exploiting vulnerabilities in LLM APIs;
• Indirect prompt injection;
• Exploiting insecure output handling in LLMs;
• LLM Zero-Shot Learning Attacks;
• LLM Homographic Attacks;
• LLM Model Poisoning with Code Injection;
• Chained Prompt Injection;
• Conclusion;
• References;
• Security Researchers.

#web #LLM

🔐 Awesome security hardening.

• Огромная коллекция различного материала на тему усиления безопасности. От подробных гайдов до необходимых инструментов и бенчмарков:

• Security Hardening Guides and Best Practices;
— Hardening Guide Collections;
— GNU/Linux;
- Red Hat Enterprise Linux - RHEL;
- CentOS;
- SUSE;
- Ubuntu;
— Windows;
— macOS;
— Network Devices;
- Switches;
- Routers;
- IPv6;
- Firewalls;
— Virtualization - VMware;
— Containers - Docker - Kubernetes;
— Services;
- SSH;
- TLS/SSL;
- Web Servers;
- Mail Servers;
- FTP Servers;
- Database Servers;
- Active Directory;
- ADFS;
- Kerberos;
- LDAP;
- DNS;
- NTP;
- NFS;
- CUPS;
— Authentication - Passwords;
— Hardware - CPU - BIOS - UEFI;
— Cloud;
• Tools;
— Tools to check security hardening;
- GNU/Linux;
- Windows;
- Network Devices;
- TLS/SSL;
- SSH;
- Hardware - CPU - BIOS - UEFI;
- Docker;
- Cloud;
— Tools to apply security hardening;
- GNU/Linux;
- Windows;
- TLS/SSL;
- Cloud;
— Password Generators;
• Books;
• Other Awesome Lists;
— Other Awesome Security Lists.

#ИБ

🌍 ТОР10 уязвимостей в веб-приложениях в 2021–2023 годах.

• Эксперты Лаборатории Касперского составили рейтинг уязвимостей в веб-приложениях, отражающий взгляд на этот вопрос через призму многолетнего опыта в деле анализа защищенности веб-приложений.

• Недостатки контроля доступа;
• Раскрытие чувствительной информации;
• Подделка межсерверных запросов (SSRF);
• Внедрение операторов SQL;
• Межсайтовое выполнение сценариев (XSS);
• Недостатки аутентификации;
• Небезопасная конфигурация;
• Недостаточная защита от перебора пароля;
• Слабый пароль пользователя;
• Использование компонентов с известными уязвимостями.

#Отчет #Web

🔐 Разбираем TLS по байтам.

• В этом материале описан протокол TLS и его роль в вебе. Статья состоит из двух частей. В первой поговорим о защите соединения: от чего и как защищаемся, почему именно так, а не иначе, сколько и каких ключей для этого нужно, и разберёмся с системой сертификатов; а в конце создадим свой сертификат и посмотрим, как его использовать для разработки. Во второй части обсудим, как это дело реализуется в протоколе TLS и разберём формат TLS-пакетов по байтам.

• Предполагается, что вы что-то знаете о симметричном, асимметричном шифровании и электронной подписи:

➡️ Читать статью [1], [2].

#web #tls

🔴 Уязвимости аутентификации | Безопасность web приложений.

• В этом ролике подробно описаны механизмы аутентификации, чем опасны их уязвимости и как можно их защитить. Также автор рассказывает, как работают механизмы аутентификации и разбирает на примерах прохождение лаб на платформе — https://portswigger.net/web-security

• 0:00 — уязвимости аутентификации;
• 0:22 — аутентификация это / типы аутентификации;
• 1:30 — как возникают уязвимости / последствия уязвимостей;
• 2:16 — как используются уязвимости на практике / Лаба 1;
• 6:18 — как используются уязвимости на практике / Лаба 2;
• 8:45 — как защитить механизмы аутентификации;
• 10:32 — где проходить лаборатории.

➡️ https://youtu.be/lWYJ1vD9OEM

#web

🌍 Сканеры для поиска уязвимостей в веб-серверах.

• В этой подборке собраны различные сканеры, которые позволят повысить безопасность Вашего веб-ресурса. Описание каждого инструменты Вы найдете по соответствующей ссылке. Что касается подборки, то она составлена в определенном порядке: от наиболее популярных решений, к менее известным. Не забудьте сохранить пост в избранное!

• General Purpose Web Scanners:
- ZAP + ZAP Extensions;
- Hetty;
- W3af;
- Arachni;
- Astra;
- Wapiti;
- Skipfish;
- Sitadel;
- Taipan;
- Vega;
- Reaper;
- Tuplar;
- Ugly-duckling;
- BrowserBruter;
- Pākiki.

• Infrastructure Web Scanners:
- Nuclei + Nuclei Templates;
- Tsunami;
- Nikto;
- Striker;
- Jaeles.

• Fuzzers / Brute Forcers:
- dirsearch;
- Ffuf;
- gobuster;
- Wfuzz;
- feroxbuster;
- rustbusterv;
- vaf;
- radamsa.

• CMS Web Scanners:
- WPscan;
- Volnx;
- Droopescan;
- CMSScan;
- JoomScan;
- Clusterd.

• API Web Scanners:
- Cherrybomb;
- Akto;
- Automatic API Attack Tool;
- VulnAPI.

• Specialised Scanners:
- Sqlmap;
- XSStrike;
- Commix;
- Dalfox;
- Xsscrapy;
- Domdig.

#Пентест #Web

• Нашел интересный ресурс, который содержит информацию об основных веб-уязвимостях. Особенность данной платформы в том, что каждый из перечисленных методов можно выполнить самостоятельно, следуя подсказкам и примерам. А еще каждый пример является интерактивным, поэтому вам будет легче воспринимать материал и практиковаться. Содержание следующее:

➡SQL Injection;
➡Cross-Site Scripting;
➡Command Execution;
➡Clickjacking;
➡Cross-Site Request Forgery;
➡Directory Traversal;
➡Reflected XSS;
➡DOM-based XSS;
➡File Upload Vulnerabilities;
➡Broken Access Control;
➡Open Redirects;
➡Unencrypted Communication;
➡User Enumeration;
➡Information Leakage;
➡Password Mismanagement;
➡Privilege Escalation;
➡Session Fixation;
➡Weak Session IDs;
➡XML Bombs;
➡XML External Entities;
➡Denial of Service Attacks;
➡Email Spoofing;
➡Malvertising;
➡Lax Security Settings;
➡Toxic Dependencies;
➡Logging and Monitoring;
➡Buffer Overflows;
➡Server-Side Request Forgery;
➡Host Header Poisoning;
➡Insecure Design;
➡Mass Assignment;
➡Prototype Pollution;
➡Regex Injection;
➡Remote Code Execution;
➡Cross-Site Script Inclusion;
➡Downgrade Attacks;
➡DNS Poisoning;
➡SSL Stripping;
➡Subdomain Squatting.

➡️ https://www.hacksplaining.com/lessons

#web

💣 Zip-бомбы для защиты сервера.

• Вы ведь знаете, что такое Zip-бомбы? Если коротко, то термин «Zip-бомба» был придуман более 20 лет назад, равно как и сами ZIP-бомбы. Принцип работы заключается в следующем: представьте файл в сжатом виде, который никаким образом не вызывает подозрений, но при распаковке он превращается в чудовищное количество данных, с котором не могут справиться ни память, ни жесткий диск компьютера жертвы. Чаще всего атака реализуется при помощи рекурсивного архива, то есть ZIP-архива, который распаковывается сам в себя. К примеру, файл в сжатом виде занимающий всего 42 килобайта, при распаковки может занимать в памяти более 4,5 петабайт.

• Дело в том, что основной объём трафика в вебе возникает из-за ботов (читалки RSS-фидов, поисковые движки, выполняющие краулинг контента, а сегодня и боты ИИ, собирающие контент, чтобы скармливать его LLM), но помимо всего прочего есть и зловредные боты, которые находят уязвимости и могут встроить в наш сервер зловредный скрипт, а затем превратить машину в ботнет, используемый для DDOS. Таких ботов создают спамеры, скрейперы контента и хакеры.

• В общем и целом, автор этого материала описывает методы, где боту в ответ на запрос страницы передаётся сжатое содержимое, размер которого при распаковке многократно превышает размер переданных по сети данных.

• Происходит следующее: боты получают файл и считывают заголовок, сообщающий им, что файл сжат. Они пытаются распаковать файл размером 1 МБ, чтобы найти в нём тот контент, который ищут. Но файл продолжает распаковываться снова, и снова, и снова, пока у них не заканчивается память и на их сервере не происходит сбой. Файл на 1 МБ распаковывается в 1 ГБ. Этого более, чем достаточно для того, чтобы поломать большинство ботов. Однако для тех надоедливых скриптов, которые не останавливаются, можно использовать файл на 10 МБ. Он распаковывается в 10 ГБ и мгновенно убивает скрипт.

• Если интересно почитать, то статью можно найти вот тут: https://idiallo.com/blog/zipbomb-protection. Либо почитать перевод этого материала на хабре.

#ИБ #Web

• Месяц назад публиковал пост, где рассказывал о тематической (infosec) игре Bandit, в которой нужно ковырять консоль, подключаться по SSH к разным серверам, искать на них файлы с информацией, ну и т.д... Так вот, есть не менее интересная игра, только направленная на эксплуатацию Web-уязвимостей.

• Если коротко, то суть игры заключается в поиске паролей на сайтах, ссылка на которые дается при переходе на новый уровень. Каждый lvl имеет доступ к паролю следующего уровня.

• К примеру, если взять lvl 0 и lvl 1, то от вас просто потребуется посмотреть код страницы и найти в нем пароль на следующий уровень. Если сможете найти, то перейдете на 2 lvl, где уже задача будет немного сложнее: при просмотре кода страницы уровня 2 вы заметите, что на страницу загружается картинка. Заходим в директорию, откуда происходит загрузка картинки. Наблюдаем, что эта дирректоря непроиндексирована и доступна пользователям. Забираем пароль. (Для того, чтобы избежать просмотра файлов в дирректории, в настройках сервера (в данном случае /etc/apche2/httpd.conf) должен стоять запрет на индескирование файлов. Или в данной дирректории должен находиться файл index.html.

• Думаю, что суть ясна. Там куча уровней и все они весьма сложные. Просто так посмотреть код страницы на каждом уровне и поискать пароль не прокатит, нужно будет много думать и читать. Но игра залипательная. Однозначно рекомендую.

➡️ https://overthewire.org/wargames/natas/

#Wargame #Web