🔬Blue Team Labs
Completed
✅Log Analysis- Privilege Escalation
✅ATT&CK

In Progress
☑Phishing Analysis #email #url2png #whois
☑The Planet's Prestige #email

🛡CyberDefenders
In Progress
☑Qradar101 #siem #investigation
☑Intel101 #osint

💻TryHackMe
In Progress
☑Cyber Defense - Threat and Vulnerability Management - MITRE #study

Интересное наблюдение, которое можно использоваться для запоминания:

В Cyber Kill Chain 7 этапов, а в MITRE ATT&CK рассматриваются 14 тактик, то есть ровно в 2 раза больше (напомню, что тактика = цель атакующего, objective).

А ещё MITRE изначально (2013) собирали TTP только для Windows.

💻TryHackMe
Completed
✅Cyber Defence - Threat and Vulnerability Management - MITRE
✅Cyber Defense - Introductory Networking
✅Cyber Defense - Security Operations & Monitoring - Volatility #study

In Progress
☑️Investigating Windows (56%) #dfir
☑️How The Web Works - DNS in Detail (36%) #study

🔺TCP/IP vs OSI🔻

TCP/IP | OSI
Год создания: 1982 | 1984
Разработан: DoD | ISO
Отличия: real-world | for learning purposes

Уровни OSI
7️⃣Приложения
6️⃣Представления - переводит данные в формат, который будет понятен принимающей стороне, а также шифрует и сжимает.
5️⃣Сеансовый - устанавливает соединение с другим хостов. Если этого не удаётся сделать, то данные не опускаются ниже по модели.
4️⃣Транспортный - здесь выбирает протокол, с помощью которого будут передаваться данные (TCP/UDP)/
3️⃣Сетевой - определяет назначение (в смысле адреса) посылки: логическая адресация, выбор IP-адреса назначения. Данные оформляются в пакеты.
2️⃣Канальный - это про физическую адресацию. Добавляет к IP-адресу MAC-адресу (который, кстати, буквально выжигается на каждой сетевой карте; впрочем, это не мешает его спуфить). Также именно тут данные переводят в формат, подходящий для передачи. И ещё тут проверяется, не были ли данные повреждены при передаче на физическом уровне. Это происходит путём добавления в конец передачи "трейлера": он используется для проверки целостности. Передача происходит в виде фреймов.
1️⃣Физический

📌Мнемо-правило:
Футбольный Клуб Спартак: Только Слабых Привыкли Побеждать

Ну а TCP/IP - это про three-way handshake.

Сравнение OSI и TCP/IP

Для форензик-анализа "живой" Винды (особенно если есть права администратора) может хватить обычной командной строки и журнала событий. Или Powershell - для продвинутых.
Полезные команды:
📍net user - перечисляет пользователей системы и даёт информацию по каждому, если указать имя. Можно также активировать/деактивировать УЗ, указать разрешённое время для входа и список рабочих станций, расширять описание и т.д.
📍schtasks - выводит все имеющиеся задачи, которые можно фильтровать (например, по статусу: запущен или нет) с помощью findstr. На самом деле не особо удобно, так как строки заворачиваются и получается какая-то каша, поэтому проще залезть в С:/Windows/System32/Tasks и увидеть там xml-файлы, соответствующие всем ныне активным задачам. В файлах также можно найти их подробное описание: что, когда, на какой порт и т.д.
С помощью schtasks также можно управлять задачами, но опять, зачем извращаться, если можно запустить Task Scheduler.

🔎Как работает DNS

1. Сначала хост проверяет свой собственный локальный кэш - не осталось ли там сведений об обращении по аналогичной ссылке.
2. Если в кэше нет, то идёт обращение к рекурсивному DNS-серверу. О нём обязательно знает местный роутер. Владеют ими обычно интернет-провайдеры, но Гугл, например, тоже. У такого сервера тоже есть свой кэш, но если в нём пусто, то:
3. В мире есть некоторое количество корневых DNS-серверов. Когда-то их было всего 13, и хотя число их значительно возросло, они всё ещё доступны под теми же 13 адресами (и ты всегда обращаешься к географически ближайшему).
4. Эти корневые серверы знают всё о top-level доменных серверах. Каждый TLD отвечает за своё расширение: .com, .ru, .co.uk и т.д.
Бывают gTLD (generic) и ссTLD (country code). Всего существуют >2000 различных TLD.
5. Далее запрос от соответствующего TLD адресуется authoritative серверу. На них хранятся непосредственно DNS-записи о доменах.

В итоге, если сами мы данные не располагаем, то получается такой путь:
recursive —> root —> top-level —> authoritative.

Утилита dig немного показывает, как всё это работает.

⚙️Устройство доменного имени
Top-level domain - это .com, .gov, .ua, .club и т.д.
Second-level domain - это одно(!) слова слева от TLD.
Subdomain - всё, что левее second-level domain.
Всего длина домена не должны превышать 253 символа.

Пример: jupiter[.]servers[.]tryhackme[.]com

📎📎📎Полезные ссылки на будущее

📎https://github.com/stuxnet999/MemLabs - можно потренировать в #dfir в стиле CTF. Всего 6 лаб. #volatility
📎https://volatility-labs.blogspot.com/ - ещё больше лаб по #volatility Но пока не разобралась, где можно посмотреть задания завершившихся контестов.

💻TryHackMe
Completed
✅How the Web works - HTTP in detail
✅How the Web works - DNS in detail
✅Linux Fundamentals - Part 1

In Progress
☑️Linux Fundamentals - Part 2

💻TryHackMe
Completed
✅Linux Fundamentals - Part 2

💻TryHackMe
Completed
✅Linux Fundamentals - Part 3

По итогам этого кейса:
1. Установила на Kali xeuledoc (https://github.com/Malfrats/xeuledoc) - собирает информацию о любом публичном Гугл-документе.
2. Узнала, что вот так: https://calendar.google.com/calendar/htmlembed?src=ВВОДИМ_АДРЕС_ПОЧТЫ - можно получить доступ к чужому Гугл-календарю
3. https://tools.epieos.com/email.php - узнаёт Google ID по Гугл-почте
4. https://www.google.com/maps/contrib/ВВЕДИТЕ_GOOGLE_ID - получить все метки пользователя на Гугл-карте (Google ID состоит из 21 цифры).
5. На Гугл-диске можно покопаться в исходном коде, ища последовательности из 21 цифры, предваряемые кавычкой (\х22). И да, скорее всего ID начинается с "10" или "11"
6. Если на руках есть ID Яндекс Метрики, что можно узнать, данные о сайте, где эта метрика используется: https://metrika.yandex.ru/dashboard?id=ID_ЯМЕТРИКИ. Там есть отчёты, можно поизучать.

#osint

Доброе утро. Задания пройдены, победители определены. Предлагаем и вам, уважаемые подписчики, попытать свои силы в конкурсе по OSINT-у. У вас имеется документ в Google Docs https://docs.google.com/document/d/1XsxfUoytpqohf8Qx2II-61orGtrRUxFyTZSQ4-FPXc0/edit?usp=sharing

Используя его, ответьте на следующие вопросы:
1️⃣ Назовите логин (email) автора документа
2️⃣ Найдите фотографию автора документа
3️⃣ В каком отеле в Крыму проживал автор документа
4️⃣ Где автор документа провел предпоследнюю ночь
5️⃣ Во сколько автор документа планировал посетить ZERO-DAY
6️⃣ Какие настоящие имя и фамилия у автора документа
7️⃣ Какой сайт использует Яндекс Метрику из документа
8️⃣ Сколько лет администратору этой Яндекс Метрики
9️⃣ Какой пароль у Google-аккаунта автора документа
🔟 С какого мобильника администрируется этот Google-аккаунт

🔻Разбор заданий будет в комментариях

Приложение для поиска по Github - grep.app
☑Case sensitive
☑Regex
☑Whole words
#osint

🔹OSINT в Tumblr.🔹

Решила тут выяснить, какими способами можно вести поиск в Тамблере. И хотя золотые дни этой соцсети прошли с (пере-)продажей её Yahoo, а потом Verizon, на её страницах ещё пасётся достаточно народу: в основном это SJW и поклонники различных фандомов. Самый сочный (в самом что ни на есть 18+ смысле) контент выпилили во время чистки 2018 года, и его, конечно, уже не восстановить, но предположим, что мы имеем дело не с маньяком-эротоманом, и тогда задача становится вполне посильной.
Сразу оговорю, что работать надо только с веб-версией Тумбы, так как мобильное приложение в этом плане имеет очень урезанный функционал.

✏️Поиск информации об аккаунте
Зная прямую ссылку на блог (в терминах Tumblr. взаимодействие происходит между блогами пользователей, которых у одного человека может быть несколько - отголосок блогобума середины нулевых, вспомните хотя бы ЖЖ), которая имеет вид username.tumblr.com, где username - это то, чем заканчивается адрес блога, когда его открываешь внутри Тумбы из своей ленты, например, https://www.tumblr.com/blog/view/mcmansionhell, можно найти:
а) список подписчиков - достаточно добавить в конец ссылки /followers
б) список тех, на кого подписан данный блог - добавляем /following
в) что лайкнули от имени данного блога - добавляем /likes ИЛИ идём по ссылке https://www.tumblr.com/liked/by/username.
г) архив постов - добавляем /archive

Надо отметить, что пользователь может заблокировать доступ ко всем этим разделам, и тогда появится ошибка "The URL you requested could not be found".

Если архив всё же доступен, то он предоставляет такую удобную фичу, как поиск по дате публикации, типу поста (текст, видео, фото, ссылка и так далее; насколько я понимаю, сейчас все, кроме текста, считаются legacy, и поиск по ним доступен только в целях обратной совместимости) и тэгам.

📍Альтернативой архиву являются следующие ссылки:
username.tumblr.com/day/[year]/[month]/[day] - поиск записей в данном блоге за конкретный год, месяц и день (можно указать и что-то одно).
username.tumblr.com/tagged/<tag> - поиск по тэгу.
username.tumblr.com/tagged/<tag>/chrono - показать посты с данным тэгом в хронологическом порядке.

С тэгами отдельная история, к слову. По традиции Тумбы, они часто составляют "второе дно" поста, то есть с помощью них автор оставляет свои комментарии под основным текстом, вставляет смехуёчки и просто всячески дурачится. При всё при этом searchable являются только первые 5(!) тэгов любого поста. То есть если в основной поиск Тамблера забить шестой по счёту тэг имеющегося у вас поста, то этот пост не будет найден.

Да, ещё о поиске. Не слишком-то рассчитывайте на него. Тумба была почищена от NSFW-контента основательно, почти до стерильности, поэтому поиск по "подозрительным" словам просто не работает - выдачей является пустое множество. Что является "подозрительным", можно определить только на практике, но на всякий случай вспомните все возможные фетиши, которые вам известны: все связанные с ними понятия являются нежелательными, по мнению администрации соцсети.

д) аватарку пользователя в относительно высоком качестве можно получить, воспользовавшись Tumblr API, - https://api.tumblr.com/v2/blog/username/archive/512

✏️О сокрытии информации
Надо сказать, что Tumblr. заботится о приватности своих пользователей, поэтому в настройках аккаунта каждый может запретить:
а) индексацию своего аккаунта поисковиками, и тогда найти его через них становится просто невозможно
б) доступ через внутренний поисковик Тамблера. В этом случае перейти в блог можно либо по прямой ссылке, либо если вы где-то на просторах сайта наткнётесь наткнётесь на один из его постов.

И если пользователь активировал что-то из вышеперечисленного, то определить, есть ли у вашей цели Тамблер-аккаунт, становится на порядки сложнее. Впрочем, правило "если у вас есть один юзернейм, подставляйте его везде" по-прежнему работает, поэтому можно нагенерировать ссылок вида username.tumblr.com и походить по ним в надежде найти действительную.

#osint

Кажется, я написала слишком длинный пост, поэтому продолжим ниже:

Ещё на Тумбе можно попытаться найти человека по его почте (опять-таки, если он не запретил это). Достаточно со своей страницы перейти в Following (т.е. список блогов, которые читаешь ты сам) и вбить почту в строку поиска. Если такой аккаунт есть, он появится в списке. А иначе - Not a soul by that name.

👩🏻‍🦰Выгрузка аватарки - один из немногих запросов, которые можно сделать через Tumblr API, не обладая персональным ключом. Впрочем, как его получить, рассказано в документации: https://www.tumblr.com/docs/en/api/v2. Из неё же можно почерпнуть, как получить указанную выше информацию и ещё чуть-чуть сверху альтернативным способом.

🐍Также для работы с API написана библиотека на Python: https://github.com/tumblr/pytumblr

⏰Ещё одна вещь, которую на Тумбе трудно найти и легко потерять, - это время. И я не имею в виду бессчётные часы, которые я провела за скроллингом ленты, нет, речь идёт о точных дате и времени публикации постов. По умолчанию эта информация не отображается в самом посте (ходят слухи, что пользователь может это настроить в своём блоге, поигравшись с его HTML-кодом, но лично я попробовала и проиграла), но есть два способа её достать:
а) если навести мышку на правый верхний угол поста в ленте, то уголочек отвернётся - на Тумбе это называется dog ear, - и отобразится плашка, на которой указан день и время публикации. Но! Если пост сегодняшний, то дня не будет, а если меньше чем недельной давности, то вместо конкретного числа будет указан день недели.
б) нажатие на тот же самый dog ear перекидывает на отдельную страницу с этим постом, и уже там можно, покопавшись в исходном коде, найти datePublished.

Да, кстати, у каждого поста есть PostID - 64-битное целое число. Подозреваю, что они достаточно рандомные, что вряд ли поможет обнаружить, например, факт удаления записей из блога.

📵Последний вопрос, который я бы хотела рассмотреть, касается скрытых, или приватных, записей в блоге. Такие записи не видны никому, кроме владельца блога (но доступны любому желающему по прямой ссылке). Внутри Тумбы, конечно, нет функционала, которые раскрывал бы их содержимое посторонним, но я слышала про два сайта, которые могут обеспечить что-то подобное:
а) tumbex.com (доступен только из-под ВПН) - просто берёшь и указываешь блог, который тебя интересует. Сложности начинаются потом: сайт по сути отображает тот самый /archive с возможностью поиска по тэгам и не выделяет особым образом приватные посты, но ходят слухи, что если у такого поста есть какой-то тэг и он тебе известен, то поиск по нему покажет всё, что есть, в том числе скрытую информацию, в отличие от настоящего архива. Очевидный недостаток такого подхода: нет тэга - нет дела.
б) nbots.me/bco10 - убирает CSS-разметку блога, из-за чего его содержимое расшвыривает по всему экрану в хаотичном порядке, но благодаря этому становятся видимыми приватные посты - они будут обведены в красную рамочку.

Ни один из сайтов я не проверяла лично, для этого мне потребуется создать второй аккаунт, чтобы экспериментировать на нём с созданием скрытых от посторонних глаз постов, которые я потом буду искать с основного. Но если эти методы работают, то, похоже, я перехвалила Tumblr., когда говорила, что он достойно оберегает приватность своих пользователей. To be continued, как говорится.

UPD: Пока не похоже, что это всё работает: tumbex просто не обновляет страницу блога после того, как на неё были добавлены новые записи (возможно, это дело времени, надо проверить попозже), а nbots хоть и действительно снимает разметку и обводит красным отсутствующее название блога, но приватный пост в упор не видит. Ни красненьким, ни синеньким.

#osint