JWT Attack playbook

- https://github.com/ticarpi/jwt_tool/wiki/Attack-Methodology
- https://github.com/ticarpi/jwt_tool
- https://book.hacktricks.xyz/pentesting-web/hacking-jwt-json-web-tokens#duration

Подготовка к настройке системы под тестирование мобилок

- Step-by-Step Guide to Building an Android Pentest Lab
- Готовим iOS-устройство к пентесту
- Что мы используем для анализа Android-приложений
- Готовим Android к пентесту — WSA edition

Интересный RoadMap для инфосеков

https://roadmap.sh/cyber-security

Как-то на собеседовании на AppSec-инженера помимо уязвимостей в коде мне решили устроить еще один собес на знание инфры (безопасность инфрастуктуры). Один из вопросов был связан с виртуализацией. Все, что я знал еще с универа это то, что виртуализация — это абстракция, которая позволяет думать процессу, что он один в системе. А еще есть VirtualBox, который создает виртуальную машину.

Но когда меня начали спрашивать про cgroups, ipc, namespace и т.д., я понял, что я ничего не знаю про виртуализацию.

Сегодня, листая Хабр, я вспомнил один из вопросов по данной тематике: «Чем отличается контейнеризация от виртуализации?»

Нашел 2 хорошие статьи, которые помогают вникнуть в курс дела с вложенными ссылками на доп материалы (как раз по namespace и cgroups):
- Основы виртуализации (обзор)
- Основы контейнеризации (обзор Docker и Podman)

Потом можно почитать:
- Контейнеры systemd

#interview

Оказывается Semgrep умеет в Data Flow с помощью нового движка Pro Engine (пока что в бете).

Подрубить его можно флагом «semgrep --pro scan …».

Для этого надо:
1. Залогиниться. Вводим в консоль semgrep login, далее редирект на сайт https://semgrep.dev/
2. Логинимся через GitHub/GitLab - Успех!
3. В консоле уведомление о создании файла конфигурации. Устанавливаем новый движок: semgrep install-semgrep-pro.
4. Можно пробовать

Чтобы пользоваться под CI нужен токен доступа. Откуда его взять и как поставить показано в этом видео.

Сегодня решил попробовать прикольный ресурс с лабами - https://application.security/free/owasp-top-10.

Например, можно на практике попробовать уязвимость Log4j. Там и код дадут почитать, и эксплоит покажут.

Cyberpunk по-калининградски

В копилочку вопросов для подготовки к собесу

#interview

Довольно непримечательный ресурс (по крайней мере я про него раньше не знал) с лабами по инфобезу: https://attackdefense.pentesteracademy.com

После прохождения лаб по докеру в kontra (где бесплатно доступно пару лаб по каждой теме), можно полазить по топику CONTAINER SECURITY, где все бесплатно (тут даже есть лабы на знакомство с технологией, например с тем же докером).

Пример лабы - Misconfigured Docker Socket, где используется сокет движка docker для администрирования.

На странице есть сразу же ответы, как решать таски (в виде pdf файла или видео).

Помимо докера есть такие топики, как:
- WINDOWS SECURITY
- CLOUD SECURITY
- LINUX SECURITY
- WEBAPP PENTESTING BASICS
- ADVANCED PRIV-ESC
- WIFI SECURITY
- DEVSECOPS
- REVERSE ENGINEERING
и др.

В качестве знакомства с новыми темами может быть полезно.

Наткнулся сегодня на вот такой пост. Оказывается компания PortSwigger выпустила еще один сканер, но на этот раз DAST - Dastardly.

Судя по описанию из видео, его достаточно легко интегрировать в CI/CD pipeline'ы. Вот пример из того же поста:

Integration is easy, simply include this Docker run command in your pipeline noscript:

docker run --user $(id -u) --rm -v $(pwd):/dastardly -e \
BURP_START_URL=https://ginandjuice.shop -e \
BURP_REPORT_FILE_PATH=/dastardly/dastardly-report.xml \
https://lnkd.in/esJuB8m8

Опять эти ваши битриксы https://news.1rj.ru/str/webpwn/355