🌚 OverTheWire Bandit
#лаба

Спонтанный пост для тех, кто ищет чем заняться на выходных)
Полезная головоломка для начинающих специалистов и "повторение - мать учения" для прожжённых самоварчиков.

Смысл сей авантюры в том, что вы с 0 до 34 уровня должны подключаться по ssh к следующему уровню. А как это сделать вам и придется выяснить :))
Эта игра будет полезна в первую очередь для начинающих в освоении Linux на базовом уровне и по ходу решения уровней, сможете постигать тонкости нативных утилит.

ssh [email protected] -p 2220

🌲 @poxek

SSH ProxyCommand == RCE
CVE-2023-51385
#RCE

SSH’s ProxyCommand is a feature quite widely used to proxy ssh connections by allowing to specify custom commands to be used to connect to the server. Arguments to this directive may contain tokens like %h, %u which refer to hostname and username respectively.

When coming from untrusted sources, a hostname can be malicious and look something like malicious-command (backticks would allow a command to be executed in shell)

Malicious config:

Host *.example.com
  ProxyCommand /usr/bin/nc -X connect -x 192.0.2.0:8080 %h %p

Latest PoC:

url = ssh://'`open -aCalculator`'foo.example.com/bar

Exploit: https://github.com/vin01/poc-proxycommand-vulnerable-v2

For Remediation you need update to:
OpenSSH 9.6p1
libssh 0.10.6 and 0.9.8

🌚 @poxek

🌚 БагБаунти с АстраЛинус или то, что нужно знать о защищённости защищённой ОС

Автор захотел поделиться своим опытом участия в программе баг-хантинга ГК Астра (да, да - именно той, которая недавно совершила каминг‑аут IPO) на платформе BI.ZONE Bug Bounty.

Опыта участия в публичных программах поиска багов у него до этого не было, а первичной мотивацией было стремление посмотреть на Astra Linux в контексте информационной безопасности и в целом оценить собственные возможности в поиске дефектов данной ОС, ведь за плечами у него уже был богатый опыт ковыряния ядра да и вообще, линуксов.

🌚 @poxek

💰 С Наступающим Новым Годом!

🌲 @poxek

🌚 AuthLogParser
#linux #LPE

Если кратко, то скрипт на PowerShell парсит логи на наличие данных авторизации. На первый взгляд классная штука.

Как получится воспользоваться на проекте, отпишу фидбек)

🌚 @poxek

E-mail Injection; Инъекции в почтовую функциональность веб-приложений

Порой разработчикам необходимо создавать формы – разделы для сбора информации от пользователей веб-приложения. Было придумано множество способов обработки и сбора ответов пользователей на формы. Выбор подходящего зависит от спектра условий: вида и предполагаемого объёма данных, допустимого объёма выделенного хранилища, желаемых характеристик доступа, ... ;

Так сложилось, что одним из вариантов решения упомянутой задачи является использование электронной почты. Электронная почта – комплексная технология, в работе которой задействован целый список компонентов.

👉 Сохраняй

🌚 @poxek

GIGANEWS. Главные события 2023 года по версии «Хакера»

Год под­ходит к кон­цу, некото­рые уже начина­ют резать салаты, а зна­чит, приш­ло вре­мя огля­нуть­ся назад и вспом­нить самые важ­ные, инте­рес­ные и забав­ные события, которы­ми он нам запом­нится. По тра­диции мы сос­тавили для тебя под­борку наибо­лее ярких взло­мов, атак, уяз­вимос­тей, фей­лов и дру­гих событий ухо­дяще­го 2023 года. Будет инте­рес­но, пог­нали!

В статье подвели итоги по следующим аспектам:
- Атака года
- Уязвимость года
- Утечка года
- Исследование года
- Блокировка года
- Нарушитель приватности года
- Малварь года
- Хардверный взлом года
- Странность года
- Фейл года
- Хайп года

👉 Очень советую прочитать тем, кто особо не следил за ИБ новостями.

🌚 @poxek

Не ну вы поняли)

Новые программы для тех, кто не собирается отдыхать на новогодние праздники

🌚 @poxek

🌚 А вот и моя статистика подъехала. Практически миллион просмотров на постах за год. Великая цифра!!
В следующем году постарается сделать как минимум х1.5, а то и больше!!
А также +3.5к подписчиков на канале, то бишь канал за этот год вырос в более чем 2 раза. Всем спасибо, что вы были этот год со мной. Следующий год обещает быть ещё более взрывным!! 🪄🪄

⚠️⚠️⚠️⚠️⚠️ Знаете что мне нравится? Аудитория канала :)

🌲 Наконец-то настали новогодние выходные. Кто-то вчера досдал проекты, кто-то планирует багхантить, пока остальные отдыхают. Я лично собираюсь так сильно отоспаться, насколько мне хватит сил. Что и вам рекомендую :D

🌚 Этот год вышел вполне успешым. Побывал мне кажется в 5 раз больше на конференциях, чем в прошлом году. Какие-то дали новых знакомых, какие-то помогли найти новую любимую работу, какие-то были душными и бесполезными (Газпром.тех я про тебя). Открытие 🏠 КиберДома было интересным событием второго полугодия 2023 года. Успешно выступал, как на тему ИБэшечка (фирменная преза), так и на тему Pivoting. За все выступления получал огромный фидбек от знакомых и ранее не знакомых людей, что было очень приятно 🙏 . Ну и конечно ребрендинг канала, который прошёл настолько успешно, насколько даже я не ожидал, если честно)

🌚 Но, но, но будущий год обещает быть ещё лучше 🌚
Новые партнёрства, постараюсь выступать почаще (если буду успевать готовить темы), прогрессивный рост канала, улучшение контента: постараюсь делать контент одновременно для начинающих ребят и для тех, кто уже разбираются.

🌚 Обязательно выпущу мерч Похек. Планируются как минимум стикерпаки и футболки. Пока проблемы с нахождением годных производителей. Если у вас есть опыт заказа, то напишите в ЛС, пожалуйста.

🌚 А ещё, кое что очень крутое готовим. Будет ... а вот узнаете в следующем году

👉Всем спасибо, дальше будет ещё интереснее!! Всех с наступающим Новым Годом ❤️

🌚 @poxek