Интересное наблюдение, которое можно использоваться для запоминания:

В Cyber Kill Chain 7 этапов, а в MITRE ATT&CK рассматриваются 14 тактик, то есть ровно в 2 раза больше (напомню, что тактика = цель атакующего, objective).

А ещё MITRE изначально (2013) собирали TTP только для Windows.

💻TryHackMe
Completed
✅Cyber Defence - Threat and Vulnerability Management - MITRE
✅Cyber Defense - Introductory Networking
✅Cyber Defense - Security Operations & Monitoring - Volatility #study

In Progress
☑️Investigating Windows (56%) #dfir
☑️How The Web Works - DNS in Detail (36%) #study

🔺TCP/IP vs OSI🔻

TCP/IP | OSI
Год создания: 1982 | 1984
Разработан: DoD | ISO
Отличия: real-world | for learning purposes

Уровни OSI
7️⃣Приложения
6️⃣Представления - переводит данные в формат, который будет понятен принимающей стороне, а также шифрует и сжимает.
5️⃣Сеансовый - устанавливает соединение с другим хостов. Если этого не удаётся сделать, то данные не опускаются ниже по модели.
4️⃣Транспортный - здесь выбирает протокол, с помощью которого будут передаваться данные (TCP/UDP)/
3️⃣Сетевой - определяет назначение (в смысле адреса) посылки: логическая адресация, выбор IP-адреса назначения. Данные оформляются в пакеты.
2️⃣Канальный - это про физическую адресацию. Добавляет к IP-адресу MAC-адресу (который, кстати, буквально выжигается на каждой сетевой карте; впрочем, это не мешает его спуфить). Также именно тут данные переводят в формат, подходящий для передачи. И ещё тут проверяется, не были ли данные повреждены при передаче на физическом уровне. Это происходит путём добавления в конец передачи "трейлера": он используется для проверки целостности. Передача происходит в виде фреймов.
1️⃣Физический

📌Мнемо-правило:
Футбольный Клуб Спартак: Только Слабых Привыкли Побеждать

Ну а TCP/IP - это про three-way handshake.

Сравнение OSI и TCP/IP

Для форензик-анализа "живой" Винды (особенно если есть права администратора) может хватить обычной командной строки и журнала событий. Или Powershell - для продвинутых.
Полезные команды:
📍net user - перечисляет пользователей системы и даёт информацию по каждому, если указать имя. Можно также активировать/деактивировать УЗ, указать разрешённое время для входа и список рабочих станций, расширять описание и т.д.
📍schtasks - выводит все имеющиеся задачи, которые можно фильтровать (например, по статусу: запущен или нет) с помощью findstr. На самом деле не особо удобно, так как строки заворачиваются и получается какая-то каша, поэтому проще залезть в С:/Windows/System32/Tasks и увидеть там xml-файлы, соответствующие всем ныне активным задачам. В файлах также можно найти их подробное описание: что, когда, на какой порт и т.д.
С помощью schtasks также можно управлять задачами, но опять, зачем извращаться, если можно запустить Task Scheduler.

🔎Как работает DNS

1. Сначала хост проверяет свой собственный локальный кэш - не осталось ли там сведений об обращении по аналогичной ссылке.
2. Если в кэше нет, то идёт обращение к рекурсивному DNS-серверу. О нём обязательно знает местный роутер. Владеют ими обычно интернет-провайдеры, но Гугл, например, тоже. У такого сервера тоже есть свой кэш, но если в нём пусто, то:
3. В мире есть некоторое количество корневых DNS-серверов. Когда-то их было всего 13, и хотя число их значительно возросло, они всё ещё доступны под теми же 13 адресами (и ты всегда обращаешься к географически ближайшему).
4. Эти корневые серверы знают всё о top-level доменных серверах. Каждый TLD отвечает за своё расширение: .com, .ru, .co.uk и т.д.
Бывают gTLD (generic) и ссTLD (country code). Всего существуют >2000 различных TLD.
5. Далее запрос от соответствующего TLD адресуется authoritative серверу. На них хранятся непосредственно DNS-записи о доменах.

В итоге, если сами мы данные не располагаем, то получается такой путь:
recursive —> root —> top-level —> authoritative.

Утилита dig немного показывает, как всё это работает.

⚙️Устройство доменного имени
Top-level domain - это .com, .gov, .ua, .club и т.д.
Second-level domain - это одно(!) слова слева от TLD.
Subdomain - всё, что левее second-level domain.
Всего длина домена не должны превышать 253 символа.

Пример: jupiter[.]servers[.]tryhackme[.]com

📎📎📎Полезные ссылки на будущее

📎https://github.com/stuxnet999/MemLabs - можно потренировать в #dfir в стиле CTF. Всего 6 лаб. #volatility
📎https://volatility-labs.blogspot.com/ - ещё больше лаб по #volatility Но пока не разобралась, где можно посмотреть задания завершившихся контестов.

💻TryHackMe
Completed
✅How the Web works - HTTP in detail
✅How the Web works - DNS in detail
✅Linux Fundamentals - Part 1

In Progress
☑️Linux Fundamentals - Part 2

💻TryHackMe
Completed
✅Linux Fundamentals - Part 2

💻TryHackMe
Completed
✅Linux Fundamentals - Part 3

По итогам этого кейса:
1. Установила на Kali xeuledoc (https://github.com/Malfrats/xeuledoc) - собирает информацию о любом публичном Гугл-документе.
2. Узнала, что вот так: https://calendar.google.com/calendar/htmlembed?src=ВВОДИМ_АДРЕС_ПОЧТЫ - можно получить доступ к чужому Гугл-календарю
3. https://tools.epieos.com/email.php - узнаёт Google ID по Гугл-почте
4. https://www.google.com/maps/contrib/ВВЕДИТЕ_GOOGLE_ID - получить все метки пользователя на Гугл-карте (Google ID состоит из 21 цифры).
5. На Гугл-диске можно покопаться в исходном коде, ища последовательности из 21 цифры, предваряемые кавычкой (\х22). И да, скорее всего ID начинается с "10" или "11"
6. Если на руках есть ID Яндекс Метрики, что можно узнать, данные о сайте, где эта метрика используется: https://metrika.yandex.ru/dashboard?id=ID_ЯМЕТРИКИ. Там есть отчёты, можно поизучать.

#osint

Доброе утро. Задания пройдены, победители определены. Предлагаем и вам, уважаемые подписчики, попытать свои силы в конкурсе по OSINT-у. У вас имеется документ в Google Docs https://docs.google.com/document/d/1XsxfUoytpqohf8Qx2II-61orGtrRUxFyTZSQ4-FPXc0/edit?usp=sharing

Используя его, ответьте на следующие вопросы:
1️⃣ Назовите логин (email) автора документа
2️⃣ Найдите фотографию автора документа
3️⃣ В каком отеле в Крыму проживал автор документа
4️⃣ Где автор документа провел предпоследнюю ночь
5️⃣ Во сколько автор документа планировал посетить ZERO-DAY
6️⃣ Какие настоящие имя и фамилия у автора документа
7️⃣ Какой сайт использует Яндекс Метрику из документа
8️⃣ Сколько лет администратору этой Яндекс Метрики
9️⃣ Какой пароль у Google-аккаунта автора документа
🔟 С какого мобильника администрируется этот Google-аккаунт

🔻Разбор заданий будет в комментариях

Приложение для поиска по Github - grep.app
☑Case sensitive
☑Regex
☑Whole words
#osint

🔹OSINT в Tumblr.🔹

Решила тут выяснить, какими способами можно вести поиск в Тамблере. И хотя золотые дни этой соцсети прошли с (пере-)продажей её Yahoo, а потом Verizon, на её страницах ещё пасётся достаточно народу: в основном это SJW и поклонники различных фандомов. Самый сочный (в самом что ни на есть 18+ смысле) контент выпилили во время чистки 2018 года, и его, конечно, уже не восстановить, но предположим, что мы имеем дело не с маньяком-эротоманом, и тогда задача становится вполне посильной.
Сразу оговорю, что работать надо только с веб-версией Тумбы, так как мобильное приложение в этом плане имеет очень урезанный функционал.

✏️Поиск информации об аккаунте
Зная прямую ссылку на блог (в терминах Tumblr. взаимодействие происходит между блогами пользователей, которых у одного человека может быть несколько - отголосок блогобума середины нулевых, вспомните хотя бы ЖЖ), которая имеет вид username.tumblr.com, где username - это то, чем заканчивается адрес блога, когда его открываешь внутри Тумбы из своей ленты, например, https://www.tumblr.com/blog/view/mcmansionhell, можно найти:
а) список подписчиков - достаточно добавить в конец ссылки /followers
б) список тех, на кого подписан данный блог - добавляем /following
в) что лайкнули от имени данного блога - добавляем /likes ИЛИ идём по ссылке https://www.tumblr.com/liked/by/username.
г) архив постов - добавляем /archive

Надо отметить, что пользователь может заблокировать доступ ко всем этим разделам, и тогда появится ошибка "The URL you requested could not be found".

Если архив всё же доступен, то он предоставляет такую удобную фичу, как поиск по дате публикации, типу поста (текст, видео, фото, ссылка и так далее; насколько я понимаю, сейчас все, кроме текста, считаются legacy, и поиск по ним доступен только в целях обратной совместимости) и тэгам.

📍Альтернативой архиву являются следующие ссылки:
username.tumblr.com/day/[year]/[month]/[day] - поиск записей в данном блоге за конкретный год, месяц и день (можно указать и что-то одно).
username.tumblr.com/tagged/<tag> - поиск по тэгу.
username.tumblr.com/tagged/<tag>/chrono - показать посты с данным тэгом в хронологическом порядке.

С тэгами отдельная история, к слову. По традиции Тумбы, они часто составляют "второе дно" поста, то есть с помощью них автор оставляет свои комментарии под основным текстом, вставляет смехуёчки и просто всячески дурачится. При всё при этом searchable являются только первые 5(!) тэгов любого поста. То есть если в основной поиск Тамблера забить шестой по счёту тэг имеющегося у вас поста, то этот пост не будет найден.

Да, ещё о поиске. Не слишком-то рассчитывайте на него. Тумба была почищена от NSFW-контента основательно, почти до стерильности, поэтому поиск по "подозрительным" словам просто не работает - выдачей является пустое множество. Что является "подозрительным", можно определить только на практике, но на всякий случай вспомните все возможные фетиши, которые вам известны: все связанные с ними понятия являются нежелательными, по мнению администрации соцсети.

д) аватарку пользователя в относительно высоком качестве можно получить, воспользовавшись Tumblr API, - https://api.tumblr.com/v2/blog/username/archive/512

✏️О сокрытии информации
Надо сказать, что Tumblr. заботится о приватности своих пользователей, поэтому в настройках аккаунта каждый может запретить:
а) индексацию своего аккаунта поисковиками, и тогда найти его через них становится просто невозможно
б) доступ через внутренний поисковик Тамблера. В этом случае перейти в блог можно либо по прямой ссылке, либо если вы где-то на просторах сайта наткнётесь наткнётесь на один из его постов.

И если пользователь активировал что-то из вышеперечисленного, то определить, есть ли у вашей цели Тамблер-аккаунт, становится на порядки сложнее. Впрочем, правило "если у вас есть один юзернейм, подставляйте его везде" по-прежнему работает, поэтому можно нагенерировать ссылок вида username.tumblr.com и походить по ним в надежде найти действительную.

#osint

Кажется, я написала слишком длинный пост, поэтому продолжим ниже:

Ещё на Тумбе можно попытаться найти человека по его почте (опять-таки, если он не запретил это). Достаточно со своей страницы перейти в Following (т.е. список блогов, которые читаешь ты сам) и вбить почту в строку поиска. Если такой аккаунт есть, он появится в списке. А иначе - Not a soul by that name.

👩🏻‍🦰Выгрузка аватарки - один из немногих запросов, которые можно сделать через Tumblr API, не обладая персональным ключом. Впрочем, как его получить, рассказано в документации: https://www.tumblr.com/docs/en/api/v2. Из неё же можно почерпнуть, как получить указанную выше информацию и ещё чуть-чуть сверху альтернативным способом.

🐍Также для работы с API написана библиотека на Python: https://github.com/tumblr/pytumblr

⏰Ещё одна вещь, которую на Тумбе трудно найти и легко потерять, - это время. И я не имею в виду бессчётные часы, которые я провела за скроллингом ленты, нет, речь идёт о точных дате и времени публикации постов. По умолчанию эта информация не отображается в самом посте (ходят слухи, что пользователь может это настроить в своём блоге, поигравшись с его HTML-кодом, но лично я попробовала и проиграла), но есть два способа её достать:
а) если навести мышку на правый верхний угол поста в ленте, то уголочек отвернётся - на Тумбе это называется dog ear, - и отобразится плашка, на которой указан день и время публикации. Но! Если пост сегодняшний, то дня не будет, а если меньше чем недельной давности, то вместо конкретного числа будет указан день недели.
б) нажатие на тот же самый dog ear перекидывает на отдельную страницу с этим постом, и уже там можно, покопавшись в исходном коде, найти datePublished.

Да, кстати, у каждого поста есть PostID - 64-битное целое число. Подозреваю, что они достаточно рандомные, что вряд ли поможет обнаружить, например, факт удаления записей из блога.

📵Последний вопрос, который я бы хотела рассмотреть, касается скрытых, или приватных, записей в блоге. Такие записи не видны никому, кроме владельца блога (но доступны любому желающему по прямой ссылке). Внутри Тумбы, конечно, нет функционала, которые раскрывал бы их содержимое посторонним, но я слышала про два сайта, которые могут обеспечить что-то подобное:
а) tumbex.com (доступен только из-под ВПН) - просто берёшь и указываешь блог, который тебя интересует. Сложности начинаются потом: сайт по сути отображает тот самый /archive с возможностью поиска по тэгам и не выделяет особым образом приватные посты, но ходят слухи, что если у такого поста есть какой-то тэг и он тебе известен, то поиск по нему покажет всё, что есть, в том числе скрытую информацию, в отличие от настоящего архива. Очевидный недостаток такого подхода: нет тэга - нет дела.
б) nbots.me/bco10 - убирает CSS-разметку блога, из-за чего его содержимое расшвыривает по всему экрану в хаотичном порядке, но благодаря этому становятся видимыми приватные посты - они будут обведены в красную рамочку.

Ни один из сайтов я не проверяла лично, для этого мне потребуется создать второй аккаунт, чтобы экспериментировать на нём с созданием скрытых от посторонних глаз постов, которые я потом буду искать с основного. Но если эти методы работают, то, похоже, я перехвалила Tumblr., когда говорила, что он достойно оберегает приватность своих пользователей. To be continued, как говорится.

UPD: Пока не похоже, что это всё работает: tumbex просто не обновляет страницу блога после того, как на неё были добавлены новые записи (возможно, это дело времени, надо проверить попозже), а nbots хоть и действительно снимает разметку и обводит красным отсутствующее название блога, но приватный пост в упор не видит. Ни красненьким, ни синеньким.

#osint

Когда слушала эту беседу, параллельно делала заметки. Сейчас вот дошли руки разобрать. Меня конкретно интересовали две темы

✏️Что можно сделать, зная IP-адрес человека
На самом деле не так уж мало. Спикеры совершенно справедливо указывают на то, что навыки этичного (и не только) хакинга очень удачно дополняют детективные скиллы, позволяя выжать максимум из собранной информации.

Но сперва о способах, как можно узнать IP:
a) отправить жертве простейший IP-логгер - специальную ссылку на файл, доступ к которому вы можете отслеживать. Благо сервисов таких в Интернете предостаточно, а файл может быть любой, хоть ваш собственный. Не поможет, если человек использует ВПН или вовремя засёк подозрительную ссылку.
б) вроде как в старых версиях Телеграма звонок другому пользователю осуществлялся peer-to-peer способом, и тогда с помощью Wireshark можно было зафильтровать трафик и узнать адрес абонента. По идее, если у обоих звонящих старые версии клиента Телеграм, может работать до сих пор. В новых же вы увидите, что пакеты идут на серверы самого ТГ.
в) связку пользователь-IP часто можно найти в слитых базах. Сама таких не видела, но поверим человеку на слово.

Итак, больше всего мне понравилась следующая идея:
📍Имея на руках чужой IP-адрес (предположим, что это адрес стационарного компьютера в офисе или дома с постоянной сетью), можно попытаться найти прокси-адрес из того же пула адресов. Тогда при попытке войти в аккаунты человека сервисы не будут поднимать панику из-за нетипичного местоположения и требовать дополнительной проверки второго фактора, например. Если у вас к этому моменту есть и пароль, то, считайте, шалость удалась.

Если аккаунты пользователя нас не интересуют, то можно заняться классической разведкой:

📍Можно попинговать роутер (адрес которого, если речь о домашней сети, почти наверняка совпадает с известным вам "белым" IP), просканировать его порты (если роутер смотрит в интернет, то порты часто переназначают, так что тут могут быть неожиданности), попробовать залогиниться с дефолтными кредами или побрутфорсить с использованием какого-нибудь rockyou.txt.

Если удастся зайти на роутер, то предложенный сценарий звучит так:

1) настроить DMZ на роутере (по сути вывод в DMZ какого-то из внутренних хостов, их список, видимо, можно получить, имея доступ к роутеру; это даёт нам возможность подключаться к данному хосту из внешний сети, правда, для этого, думаю, надо знать, какие сервисы на нём вообще есть)
2) теперь можно заняться pivoting, выяснив, какие устройства ещё есть в сети, как они используются и т.д. В общем, тянемся так далеко, как только сможем.
3) если на роутере есть OpenVPN, то можно поднять на нём OpenVPN-сервер и подключиться к нему, как клиент. ❗️Что это даёт - я понятия не имею❗️

Получается, в идеальном случае IP-адрес открывает нам ни много ни мало доступ во внутреннюю сеть жертвы.

✏️Закон и OSINT
Не менее животрепещущая тема - отношение российского законодательства к сбору персональных данных граждан третьими лицами. Пройдёмся тезисно:
📍Ст.29.4 Конституции: "Каждый имеет право свободно искать, получать, передавать, производить и распространять информацию любым законным способом".
📍Утечки данных можно использовать как источник информации, если у вас есть на это законное право (=правовые основания) (см. 152-ФЗ), так как данные могут стать общедоступными [вследствие них].
📍У аккредитованных журналистов возможности сбора данных сопоставимы с госчиновниками и некоторыми силовиками. Но данные, касающиеся личной жизни, можно публиковать без разрешения только в случае, если освещается преступление.
📍Оформить себе журналистскую корочку - выгодное вложение, потому что так вы получаете возможность делать официальные запросы, на которые официальные учреждения обязаны отвечать. Её даже можно купить (есть такие СМИ, которые каждому желающему позволяют оформиться у них как внештатный корреспондент). Список таких СМИ не оглашался, но, думаю, можно поинтересоваться у кого-то из спикеров: @soxoj @tmgroupsecurity @osint_club_channel @osint_san_framework

#osint

Прерываем ковидное затишье смело и мощно: OSINT mindset voice chat #1.

Обсудим последние новости и дела насущные. Будет интересно!

Время: понедельник, 14.06, в 16:00 UTC+3
Место: OSINT mindset
Гости: создатели @osint_san_framework и @osint_club_channel.

Приходите послушать и поднимайте руку, если есть что рассказать! 😉

UPD: nbots не показывает приватные посты, потому что Тамблер скрывает их явно по более хитрой технологии, нежели вставка в HTML-код "data:hidden".
Tumbex обновляет свою базу отнюдь не в режиме реального времени: так, сделанные вчера публичные посты я увидела в нём только сегодня. Решила там же поискать хэштег, которым сопроводила свой приватный пост, но, вопреки человеку с Quora, которому я поверила, ничего не обнаружила. Tumbex приватные посты не видит.
Пришла к выводу, что, возможно, пользователь с Quora имел в виду не приватные посты, а так называемые flagged posts - те, что Тамблер счёл неприемлемым контентом и заблокировал (на месте поста в ленте появляется соответствующая плашка, а если на неё кликнуть, то тебя перекинет в правила соцсети). Вероятно, их можно обнаружить в Tumbex в исходном виде, но чтобы это проверить, мне нужно сначала самой запостить что-то непотребное, а мне лень заморачиваться, к тому же боюсь, что весь аккаунт за это блокнут.

Выкладываю карты на стол презентацию с митапа OSINT mindset #12.
BTS, один сабреддит и товарррррный(С) знак - как всё это связано? 🤔

В субботу вспоминала студенческие годы (а теперь заблокируйте, пожалуйста, эти воспоминания обратно) на OSINT mindset conference #2. Теперь кому-то, надеюсь, придётся мучиться меньше, чем мне при написании очередной paper.

Выкладываю презентацию с выступления и напоминаю: даже если диплом вам пишет ChatGPT (хочется подчеркнуть: "особенно если..."), без валидного списка материалов всё равно не обойтись. Как его собрать - узнаете здесь.