Отличный канал о безопасности мобильных приложений:

https://news.1rj.ru/str/mobile_appsec_world

Придумал в продуктовый портфель для аудиторских компаний отличную услугу. Думаю, она будет пользоваться реально бешеным спросом у заказчиков.

Представляю вам:

“Посредственный анализ защищенности”

Почему это будет пользоваться спросом в B2B?

- Это быстро (Вопросы типа: надо было сделать вчера; не успеваем до конца финансового года и етк. - решены)
- Это дешево (Вопросы типа: Можно скидочку в 25%; Че так дорого Информзащита дешевле делает; - решены (Ни кто не делает пентесты дешевле вас))
- Специалисты исполнителя найдут самые явные уязвимости в вашем скоупе (Демонстрируем результат!)

Почему это нужно аудиторским конторам?

- Даже если пентестер работает *на отъебись*, он найдет баги 😄
- Клиенты отваливаются из-за стоимости (Теперь не отваливаются)
- Вас не обязывают демонстрировать качественный результат (Ведь это слоган данного продукта)

И еще дохера выгод.

Ловите бизнес-идею, мне не жалко.
(IRL: украл идею в админском чате кибербомжей из DC8800)

Интересные публикации о конфликте nginx и rambler:
@nginx_papers

Не знаю на сколько это достоверно, советую относиться с долей скепсиса.

В прошедшие выходные поиграл в NahamCon CTF.
Это CTF от известного багхантера. В целом как и ожидалось - проходные таски. Есть отзывы о паре годных, что уже обнадеживает.

Я успел порешать первых 7 из 10 веба. Они совсем не отличались особой сложностью, но мне понравилось два задания, которые я приберег для практик студентам.

Это таски с атаками на десериализацию в Python (Pickle) и Node.Js (node-serialize).

Кому интересно наловчиться в поиске и эксплуатацию этих багов, могу порекомендовать врайтапы:

Атаки на десериализацию в node.js:
https://ctftime.org/writeup/21524

Атаки на десериалиазицию в Python:
https://beerpwn.github.io/ctf/2020/NahamCon_CTF/web/Bomarr_Style/

К сожалению кодом огри не делились, но т.к. эксплоиты давали RCE, грех было не взять ;). Если нужно, велкам в ЛС.

Челленжей на osint становится все больше и это радует

CTF #2 — "Московский озорной гуляка"

🔥 Второй CTF на платформе осинт-группы @osint_group

7 интересных заданий, три призовых места.

Призовой фонд:
1 место - премиум подписка на @telesint_bot + 1'000 рублей
2 место - премиум подписка на @telesint_bot
3 место - премиум подписка на @telesint_bot

ℹ️ Соревнуемся в OSINT, разумеется! Только открытые и легальные источники. Никаких пробивов, слитых баз данных и прочих криминальных способов. Все три первые места должны будут написать райтапы (решения) по конкурсу. Это обязательное условие в этот раз. Подводя итоги, будем смотреть, кто какими методами пользовался и если станет понятно, что применялись запрещённые источники, такой участник будет дисквалифицирован.

✅ Задания появятся в группе @osint_group в 18.00, в воскресенье, 12.07.2020.

Подведение итогов и разбор в 21.00.

⚠️ ВНИМАНИЕ! За час до начала CTF в боте для приёма флагов начнётся регистрация участников. Помните об этом и не опаздывайте. Если вы не зарегистрируетесь до 18.00, участия принять не сможете. Ссылка на бот появится в группе @osint_group в 17.00.

Профессионалы — приходите соревноваться.
Новички — приходите учиться.
ᅠ
Ждем всех!

Лука молодец, годно описал.

https://habr.com/ru/post/511002/

Новая интересная бага а Bitrix:

https://gist.github.com/mariuszpoplwski/f261a4bc06adde5c78760559db9d63bd

В недавней атаке на Твиттер, атакующие не только разослали сообщения с предложением удвоения средств отправленных на btc кошелек, но ещё и выгрузили персональную информации через выгрузку архива данных аккаунта.

https://blog.twitter.com/en_us/topics/company/2020/an-update-on-our-security-incident.html

Как говорится:
Anything that can go wrong will go wrong

Кстати, очень интересно по-моему, что, например, тех поддержка из Яндекса, чтобы получить данные о вас, должна получить от вас OTP (One Time Password), что если не исключает, то сильно снижает вероятность проведения подобной атаки на Яндекс. Если так, то Яндексу респект.

Хоть мне и кажется, что приучать пользователей выдавать свои OTP может быть плохой идеей.

Гениально!)

False Positive: Dependency Check, Dependency Track and Nexus IQ

Просканировал уязвимый java-проект dvja тремя инструментами SCA: open-source Dependency Check, Dependency Track и платным продуктом Nexus IQ. Для каждой выявленной CVE сделал ревью и вот что предварительно получилось - 65% фолзов для Dependency Check, 52% для Dependency Track и только 10 для Nexus IQ.

Казалось бы, откуда тут фолзы? Так как open source инструменты строят на базе выявленной компоненты CPE-строку, после чего лезут в NVD за CVE для этой компоненты, то могут возникать ошибки - несоответствие CVE к выявленной компоненте, несоответствие CVE к выявленной версии и дублирование CVE (отображение несколько CVE об одной и той же уязвимости). Nexus в данном случае выиграет за счет того, что Sonatype расширили каждую CVE, указав уязвимый класс, функцию и проведя дополнительные ресерчи.

Чуть попозже надеюсь, что оформим это все в статью, чтобы все могли познакомиться с ревью поглубже.

#sca #tools

Пусть и старый, но еще немного годный материал по примерам эксплуатации уязвимостей Host header injection.

Как миниму ради примера с отправкой писем, стоит изучить.

Link: https://www.slideshare.net/DefconRussia/http-host-header-attacks?from_action=save

Хочу поддержать проект: https://www.kickstarter.com/projects/flipper-devices/flipper-zero-tamagochi-for-hackers

Сам сделал предзаказ. И буду следить за развитием проекта.

Мне кажется эта штука будет сродни отмычкам в рюкзаке или на полке каждого хакера. (Т.е. будет почти у всех.)

Так, тут @bykva наконец-то сделал что-то годное.

И это кроссворд, который ты должен попробовать:
https://onlinetestpad.com/ru/crossword/100493-devops-i-sisadminam

Особенно если ты девопс.

Заполенненый кроссворд мне в ЛС. Готов буду промоутить вас как девопса)

Написал пару “сложных” тасочек для нашего CTF. Предлагаю принять участие тем кому нравится ковырять вебчик:

http://ctf.hackeru.pro/

В CTF две линейки по несколько тасков. Easy и Hard.

Думаю, что Hard получился достаточно интересным. Предлагаю проверить;)

Понравилась статья о том, как устроен рынок взлома почт. Я думал, что чего-то не знаю и наверное этот рынок шагнул вперед и уже имеет какие-то Advanced Techniques, но оказалось, что все куда прозаичнее:

https://habr.com/ru/company/selectel/blog/513560/

Памятка для всех кто считает, что завести телеграмм канал о хакинге это хорошая идея... И такие перцы пишут день через день. :D

Вернемся к основной теме;)

Для тех, кто хочет чуть лучше понимать почему JavaScript в браузере выполняет ваш код в непредвиденной последовательности, советую изучить следующую статью про внутренности движка JS:
https://medium.com/better-programming/javanoscript-internals-under-the-hood-of-a-browser-f357378cc922

Узнал о еще одном подвиде XSS.

Обычно речь идет о трех-четырех видах. Это:
- Reflected
- Stored
- Dom-based
- Universal

И вот что-то новенькое:
mXSS - mutation XSS

Первоисточник: mXSS Attacks: Attacking well-secured Web-Applications by using innerHTML Mutations - https://cure53.de/fp170.pdf

Вся суть такой атаки основана на мутации HTML при использовании метода innerHTML, который изменяет полученный HTML в соответствии с правилами из движка браузера.

Пример

Выполняем код:
element.innerHTML = '<u>Some <i>HTML’

Какой код появится в объекте element, если element это какой-нибудь div?

Ответ:
<u>Some <i>HTML</i></u>

Боевой пример для выполнения XSS приведен на приложенном изображении.

mXSS принято использовать для обхода фильтраций, в том числе для обхода методов санитизации библиотеки DOMPurify.

Важное замечание, что для выполнения mXSS нужно несколько таких мутаций. Которые как раз таки происходят из-за применения Purify функций над фильтруемой стройкой. Первая мутация происходит во время применения функции sanitize объекта DOMPurify, а вторая во время присвоения свойства innerHTML.

Наверное правильнее это вывести в подвид Reflected XSS.

Подробности: https://research.securitum.com/dompurify-bypass-using-mxss/