#kube

Kubernetes security cheat-sheet:

- Security notes
- Security hardening and best practices
- Security flags checklist
- Attacker's guide
- Vulnerabilities

The research was conducted during Summ3r 0f h4ck traineeship.

https://github.com/kabachook/k8s-security

#knowledge #beginners

Небольшой набор подкастов про все что связано с ИБ. Думаю, что будет полезно новичкам и интересно остальным заинтересованным в области.

https://hochu-v-ib.ru/

Гости:
#1 – Дмитрий Волков, GroupIB
#2 – Омар Ганиев, DeteAct
#3 – Алексей Мещеряков, Яндекс

«Хочу в ИБ» – подкаст для тех, кто задумывается о работе в области информационной безопасности или только начинает свою карьеру в данном направлении.

#conference #meetup

Сегодня выступил в офисе компании Exness на Кипре с докладом на тему:
"Анализ защищенности мобильного API. Что бывает когда ваш код пишут за вас."

Выложу здесь получившуюся презентацию. Посмотрите в презентации топ 5 примеров уязвимостей из последних моих 5 проектов по анализу защищенности мобильного API. Уверен всем, кто занает толк в багах, понравится;)

#xss #portswigger

This XSS cheat sheet contains many vectors that can help you bypass WAFs and filters. You can select vectors by the event, tag or browser and a proof of concept is included for every vector.

https://portswigger.net/web-security/cross-site-noscripting/cheat-sheet

#work

Увидел классный канал от ребят из r0crew, который собирает с HH.ru вакансии связанные с ИБ. Будет очень полезно тем, кто ищет что-то интересное.

https://news.1rj.ru/str/r0_jobs

#mobile #android

Действительно годный гайд по анализу защищенности мобильных приложений Android: https://nightowl131.github.io/AAPG/

Для себя что-то новое, что и как стоит искать.

Надо же как, именно сегодня эта возможность пригодилась. Всем советую держать в голове, что так можно.

Заметки на полях

Довольно часто в Burp Suite требуется профазить какой-либо заенкоженный параметр, например, поле username в basic authorization, или значение userid внутри заенкоженного параметра cookie. Например, session=eyJhdXRoIjp7InVzZXJpZCI6ImFkbWluIiwidXNlcnRva2VuIjoiMTIzNDUifX0= ( {"auth":{"userid":"admin","usertoken":"12345"}} ).

В таком случае из стандартных средств нам подойдёт только Burp Intruder. Однако тогда не получится использовать Active Scan и дополнительные экстеншны, а устраивать танцы с бубнами вокруг составления итогового payload с последующим енкодингом - потраченное время и никакого удовольствия.

Но нас может выручить полезный экстеншн - Python Scripter. После его подключения появляется отдельная вкладка - Script, куда мы можем вписать свои скрипт для питона. Таким образом алгоритм работы следующий: декодим нужную cookie в Repeater или Intruder, устанавливаем место для фазинга (через scan manual insertion points или спец символ в Intruder), а во вкладке Script - пишем скрипт по енкодингу в base64. После этого - отправляем запрос на активное сканирование.

Для енкодинга нужных параметров мы используем следующие скрипты (https://github.com/mis-team/burpnoscripts):

1. В скрипте param-replacer.py необходимо указать:
- header и/или GET/POST параметр, который необходимо енкодить,
- функции енкодинга: processHeader, processParam (в скрипте написан base64)
- место, куда вставлять заенкоженный параметр (GET, POST, COOKIE).

2. Скрипт fuzz-replacer.py - альтернативный и более удобный вариант. Теперь наоборот - место енкодинга в запросе необходимо "обернуть" в FUZZ (как в знаменитом web фазере), а скрипт уже распознает его и сделает все сам.

Команда Информзащиты, и в частности несколько моих друзей, едут в Абу-Даби (ОАЭ), чтобы поучаствовать в HITB Cyberweek CTF, где поборются за приз в 100 000 долларов США.

Поэтому случаю они создали канал, где можно будет посмотреть за происходящим. Надеюсь события будут описываться максимально красочно и подробно)

О чем речь?
В мае этого года на PHDays 9 Рома Алферов выиграл STANDOFF. Т. к. он работает в ИЗшечке, то победила команда True0xA3.
Главным призом были деньги, вечная слава и поездка на CTF в формате Attack-Deffence (это не точно).
И вы бы никогда не увидели этот канал, если поездка не была бы в Абу-Даби (ОАЭ) и мы не играми против самых топовых команд мира:
- PPP
- saarsec
- Bushwhackers
- True0xA3
- Dragon Sector
- LC↯BC
- etc
В этом канале я буду публиковать новости, личное мнение и фоточки))

Стартанула Made by Google’19

https://www.youtube.com/watch?v=GAcK1q2j7e0

#workshop

В HackerU (У станции метро Тульская) пройдет воркшоп на тему “Разработка Android-приложения с помощью Kotlin”.

Разрботка на котлин не самое веселое занятие, а вот описание очень привлекло “На воркшопе поговорим о том, что нового привнес Kotlin в мобильную разработку, и напишем приложение для анализа Wi-Fi сетей.”

Кому интересно, сюда:
https://hackeru.timepad.ru/event/1095706/

#news

Бизоны открыли свой канальчик: https://news.1rj.ru/str/bizone_channel

Подписываемся, ставим лайки, жмем на колокольчик!

#Highload++

В эти четверг и пятницу буду на Highload++. Если кто тоже собирается, пишите, можем пересечься!

В пятницу, кстати, поучаствую в митапе от Валарм, на тему DevSecOps, заходите на прохладную))

Изи CTF на хайлоаде;)

#zeronights

12го ноября в Питере пройдёт частая
хакерская вечеринка в крутом баре. Будет CTF, конкурсы, общение, бесплатные напитки.

Подробности тут: http://getshell.bar

#misc

Хайлоад мне понравился больше.

(If you know what I mean)

#android #sec

В общем. Я постоянно теряюсь, что проверять при анализе защищенности Android приложения. Постоянно боюсь что-то забыть. OWASP MSTG слишком большой, чтобы его листать на каждое приложение и вычитывать.
Решил запилить для себя чеклист.(Он пока сырой, буду активно дописывать по мере проверок мобилок)

Главный принцип в нем (Который я выработал для себя, вам он конечно же может быть не удобен) - это делать проверки похожих\рядом лежащих вещей максимально близко друг к другу.

Т.е. я обычно сначала открывают AndroidManifest и начинаю смотреть че там есть. Значит тут сразу смотрим бэкап дебаг, и тд. Потом секреты, потом идем в логи и прочее.

Соответственно, я расположил проверки так, как сам по ним иду. Может кто-то что-то подглядит, может кто-то возьмется это юзать (Упаси боже твою душу грешную).

Сам чек-лист тут: https://github.com/empty-jack/YAASC

#ctf #python #file_read

После прошедшего ASISCTF собрал словарик с распространенными в Python фреймворках файлами.

https://github.com/empty-jack/YAWR/blob/master/files_and_directories/python-frameworks.txt

Вдрег кому-нибудь, когда нибудь пригодится.

#ctf #web #misc

В поисках годноты по SSRF вспомнил про репозиторий, которым стоило бы поделиться.
Взялся даже перечитать некоторые статьи.

Repo: https://ctf-wiki.github.io/ctf-wiki/

Уууоу