AppSecs – Telegram
Channel created
Forwarded from Cybred
Если получилось найти XSS, но CSP блокируют отправку данных на сторонний домен, можно проверить, нет ли на сайте в исключении Google Analytics.

Практически каждый сервис шлет аналитику, поэтому разработчикам приходится добавлять в белый список домен google-analytics.com.

Мы можем создать собственный трекер и использовать его для эксфильтрации и обхода правил. Пример со скриншота отправляет креды с JS-кейлоггера, которые отобразятся в личном кабинете.
Forwarded from Cybred
https://github.com/koenbuyens/securityheaders

Сканер для поиска мисконфигов в CSP и хороший Cheatsheet по всем Security Headers.

В репозитории, кроме самого скрипта, кратко описана каждая директива и возможные ошибки, которые в них можно допустить.
Как-то на собеседовании на AppSec-инженера помимо уязвимостей в коде мне решили устроить еще один собес на знание инфры (безопасность инфрастуктуры). Один из вопросов был связан с виртуализацией. Все, что я знал еще с универа это то, что виртуализация — это абстракция, которая позволяет думать процессу, что он один в системе. А еще есть VirtualBox, который создает виртуальную машину.

Но когда меня начали спрашивать про cgroups, ipc, namespace и т.д., я понял, что я ничего не знаю про виртуализацию.

Сегодня, листая Хабр, я вспомнил один из вопросов по данной тематике: «Чем отличается контейнеризация от виртуализации?»

Нашел 2 хорошие статьи, которые помогают вникнуть в курс дела с вложенными ссылками на доп материалы (как раз по namespace и cgroups):
- Основы виртуализации (обзор)
- Основы контейнеризации (обзор Docker и Podman)

Потом можно почитать:
- Контейнеры systemd

#interview
Оказывается Semgrep умеет в Data Flow с помощью нового движка Pro Engine (пока что в бете).

Подрубить его можно флагом «semgrep --pro scan …».

Для этого надо:
1. Залогиниться. Вводим в консоль semgrep login, далее редирект на сайт https://semgrep.dev/
2. Логинимся через GitHub/GitLab - Успех!
3. В консоле уведомление о создании файла конфигурации. Устанавливаем новый движок: semgrep install-semgrep-pro.
4. Можно пробовать

Чтобы пользоваться под CI нужен токен доступа. Откуда его взять и как поставить показано в этом видео.
Сегодня решил попробовать прикольный ресурс с лабами - https://application.security/free/owasp-top-10.

Например, можно на практике попробовать уязвимость Log4j. Там и код дадут почитать, и эксплоит покажут.
This media is not supported in your browser
VIEW IN TELEGRAM
Cyberpunk по-калининградски
В копилочку вопросов для подготовки к собесу

#interview