Вроде всем поотвечал. Спасибо за то что откликнулись. Очень порадовало количество мощных резюме. Особенно иногда радовало, что в мощных резюме я сам принял участие;))

Объясню здесь кратко по какому принципу я выбираю:

Понятно что почти каждый, кто написал, имел некий минимум с каким уже можно начинать. За мной конечно же остаётся желание отбирать лучших.

На что я смотрю:

- на то сколько времени человек потратил на изучение и конкретно на поиск и решение практических задач. Соответственно смотрю на успехи людей на различных платформах. CTF, Bugbounty, EverCTFs (PortSwigger Academy, HTB, Vulnhub, etc)
- какой у человека бекграунд. При одинаково потраченном времени на изучения нашей области у кандидатов, я смотрю на то где они учились и где работали. Думаю мысль ясна, разработчики, сетевики, админы в прошлом определенно получают свои плюсы в карму.
- пыталаюсь замерить перспективность по тому что человек уже успел. Брал призовые места, создавал наработки, делал статьи и исследования. Это конечно же говорит о том как человек относится к своему делу.

Если вы не прошли, не отчаивайтесь. Абсолютное большинство из вас с вашими знаниями найдут себе и работу и команду. Учитесь и больше попыток!)

Любопытный инструмент

На недавнем ZN, играя в CTF'чик, зайдя на хост, увидел любопытный инструмент - pspy64. Раньше такого не встречал.

Запустив, понял что этот инструмент находясь в *user space* показывает все запущенные процессы системы с их cmdline и т.д. (В том числе рутовые процессы и процессы других пользователей системы).

Понял что тут примешено чутка хакерской магии, т.к. просто дампнуть процессы пользователя root мы конечно же не можем. Я понимал, что можно спарсить /proc, но это не настолько подробно и мне казалось что это весьма долго.

Так вот, я решил почитать о нем и также захотелось рассказать вам. Опишу идею кратко, а вы если захотите разберетесь глубже.

Встречайте: https://github.com/DominicBreuker/pspy

pspy - unprivileged Linux process snooping

pspy - это инструмент командной строки, предназначенный для наблюдения за процессами без необходимости получения прав root. Он позволяет просматривать команды, запущенные другими пользователями, задания cron и т.д. по мере их выполнения. Отлично подходит для исследования систем Linux в CTF. Также отлично подходит для демонстрации коллегам, почему передача секретов в качестве аргументов в командной строке - плохая идея.

Как это работает

Существуют инструменты, позволяющие перечислить все процессы, выполняемые в системах Linux, включая те, которые завершились. Например, существует forkstat. Он получает уведомления от ядра о событиях, связанных с процессами, таких как fork и exec.

Эти инструменты требуют привилегий root, но это не должно вызывать у вас ложного чувства безопасности. Ничто не мешает вам подглядывать за процессами, запущенными в системе Linux. Много информации видно в procfs до тех пор, пока процесс запущен. Единственная проблема заключается в том, что вам нужно поймать недолговечные процессы за очень короткий промежуток времени, в течение которого они живы. Сканирование каталога /proc в поисках новых PID в бесконечном цикле делает этот трюк, но потребляет много CPU.

Более скрытный способ - использовать следующий трюк. Процессы обычно обращаются к таким файлам, как библиотеки в /usr, временные файлы в /tmp, файлы журналов в /var, ... Используя API inotify, вы можете получать уведомления всякий раз, когда эти файлы создаются, изменяются, удаляются, к ним обращаются и т.д. Linux не требует прав привилегированных пользователей для работы с этим API, поскольку он необходим для многих невинных приложений (например, текстовых редакторов, показывающих актуальный проводник файлов). Таким образом, хотя пользователи без права root не могут напрямую следить за процессами, они могут следить за влиянием процессов на файловую систему.

Мы можем использовать события файловой системы как триггер для сканирования /proc, надеясь, что мы сможем сделать это достаточно быстро, чтобы поймать процессы. Именно это и делает pspy. Нет гарантии, что вы не пропустите ни одного процесса, но в моих экспериментах шансы кажутся высокими. В общем, чем дольше идут процессы, тем больше шансов их поймать.

Что сказать? Гениально!

В позопрошлом году рассказывал про GraphQL Batching, а тут ребята запилили уберскрипт, который проверяет разные виды батчинга, а также рассказали о разных популярных багах в GraphQL. Скрипт очень удобен, чтобы быстро зачекать несколько техник и дальше ковырять ручками.

Статья об инструменте и прочих техниках тут: https://blog.assetnote.io/2021/08/29/exploiting-graphql/

Подгон от моего коллеги;)

Итак-на прошлой неделе произошел взлом абузоустойчивого хостера mskHost. Не будем останавливаться на этичности произошедшего- на данный момент меня больше интересует-как же все таки наши доблестные господа фишеры(а в основном именно они были главными клиентами данного хостера- по крайней мере судя по сливу директории /home одного из серверов) пишут код? Думают ли они сами о безопасности или copy-paste и monkey code повсюду следуют за нашими маленькими и не слишком умными друзьями?

https://medium.com/@welcomed_glacier_frog_761/%D1%80%D0%B0%D0%B7%D0%B1%D0%BE%D1%80-%D0%BE%D1%88%D0%B8%D0%B1%D0%BE%D0%BA-%D0%B8%D0%BB%D0%B8-%D0%BA%D0%B0%D0%BA-%D0%B4%D0%B5%D0%BB%D0%B0%D1%82%D1%8C-%D0%BD%D0%B5-%D0%BD%D0%B0%D0%B4%D0%BE-38fc3e97f5ef

Подъехали наши (Команды True0xA3) комментарии к прошедшему The Standoff.

Любопытно поглядеть на то, как и кто относится к мероприятию.

Фраза спикера: “Настоящее название этого доклада: Ochko123 - Почему вам не стоит использовать очко123 как пароль к вашей хакерской империи.”

В зале засмеялся один русский.

Доклад заинтриговал с первой минуты:
https://www.youtube.com/watch?v=6Chp12sEnWk

Могу рекомендовать к прочтению!

Самый быстрый укол. Оптимизируем Blind SQL-инъекцию #sqli #blind #guide #подписчикам

В своей практике работы в BI.ZONE я регулярно сталкиваюсь с необходимостью эксплуатации слепых SQL-инъекций. Пожалуй, Blind-случаи встречались мне даже чаще, чем Union или Error-based. Поэтому я решил подумать об эффективности. Эта статья — обзор подходов к эксплуатации слепых SQL-инъекций и техник, позволяющих ускорить эксплуатацию.

https://xakep.ru/2021/09/21/blind-sqli-optimize/

#podcast

Всем привет.

Записал подкаст с моим другом и коллегой по цеху Павлом Шлюндиным. О ролях в пентестерских командах, в том числе в команде составом которой мы участвовали в The Standoff, в частности о роли специалистов по атакам на локальные сети.
О том как качаются эти специалисты, что умеют, как они свои навыки применяют.

Судя по первым отзывам получилось достаточно интересно и приятно слушать, поэтому приглашаю вас к прослушиванию. Для меня это впервые, поэтому строго не судите

Link - https://podcast.ru/1589311841

По площадкам:

- https://podcasts.apple.com/ru/podcast/mastertalk/id1589311841?l=en
- https://open.spotify.com/show/4qKSa9bWg96gIBg33Q4C5n
- https://deezer.com/show/3042122
- https://music.yandex.ru/album/18600614

Конференции!

В предстоящий вторник выступаю на конференции FrontendConf с темой: “Поверхность атак на клиентскую часть веб-приложения”.
Если вы будете там, обязательно пополняйте ряды участников воркшопа;) Научу всему что знаю сам!

Отдельно стоит сказать, что атаки на браузеры мне как специалисту в начале пути казались не перспективной и не увлекательной темой. Но однажды погрузившись в нее, уже невозможно не признать интереса к ней, потому что это настоящее поле боя хакеров-исследователей и специалистов по защите браузеров, где боевые действия кипят на ваших глазах. Все действительно быстро меняется, всегда появляются новые способы защиты и приводят к появлению новых способов атак.

В общем, целая эволюция атак на ваших глазах. Все это наглядно, в публичном поле, можно потрогать и т.д. Закопаться в работу того или иного браузера с определенной фичей оказывается крайне интересным.

Поэтому как специалистам работающим в веб-разработке, так и специалистам из сферы хакинга, крайне рекомендую эту аггрегацию всего интересного из сферы атак на клиентские приложения.

Link: https://frontendconf.ru/moscow/2021/abstracts/8247

Будни багбаунтеров:

https://hackerone.com/reports/1209098

“Hi, are you new to this job or something?”

Надеялся, что ребята выложат видео, но чуда не произошло. Видос не записали, поэтому выкладываю презентацию. Она скорее обзорная, чем глубоко техническая.

Надеюсь будет полезной, а если будут вопросы или будет чем дополнить, приходи в чат.

Приглашаю к прочтению!

Мой друг и сокомандник решил тоже не скупиться на знания и будет делиться инфой о сертификациях (я уже сбился со счету сколько у него их), атаках на локальные сети (Его специализация) и RedTeam проектах.

Надеюсь что контента будет много;)

Начнём с того, что попробуем вместе разобраться в большом зоопарке сертификатов для пентестеров. План таков:
я нахожу владельца сертификата (или рассказываю сам) и прошу поделиться впечатлениями о курсе, экзамене и самом сертификате.
Далее будет доступно обсуждение (https://news.1rj.ru/str/joinchat/Dx2taD7P58A1MGZi) и будет возможность задать интересующие вопросы.
Перерыв между публикациями 3 дня.
На данный момент (а там кто знает...) не планируем разбирать сертификаты управленцев и менеджеров в сфере ИБ, такие как CISSP, CISM, а так же сертификаты около пентеста, это форензика и анализ кода.
В наш обзор в блжайшее время попадут такие сертификаты как: OSCP, OSWP, OSEP, OSWE, OSED, CEH, CPENT, LPT, CRTP, CRTE, eCPPTv2, eCPTXv2.
Акцент на практику, так что, GPEN, прости))

#podcast

На прошлой неделе в рамках подкаста пообщался с Михаилом Помзовым - одним из ключевых организаторов The Standoff!

Я хотел обсудить то, что проживают организаторы в этих мероприятиях, как они видят команды, что они думают о происходящем на турнире, а также не мог не задать пару личных вопросов о игре и ее механиках.

Если вам тоже это интересно, приятного прослушивания: [Link](https://podcast.ru/1589311841?utm_source=tg-post&utm_medium=social&utm_campaign=podcast&utm_term=4112021&utm_content=episode3)

ruDALL-E XL сгенерировала вашу картинку: Хакер

https://rudalle.ru/check_image/5a4b102329d74dc89fe88bd04e017a28/%D1%85%D0%B0%D0%BA%D0%B5%D1%80/

Ну и как ей отказать?

Всем спасибо! Я вас понял!)

И тут же расскажу, что на выходных сдал новый сертификат: Burp Suite Certified Practitioner

Хочу сказать что сертификация классная. Единственное что мне не понравилось это их платформа верификации Examity (полный трешак).

Сдал я не спервого раза, но хочу сказать, что это скорее из-за особенностей моего характера. Т.к. когда на меня давит время я теряюсь и начинаю упускать детали) Во всех прогонах я знал что делать, но мне не хватало времени. Банально терялся на каких-то этапах из-за нервов)

Если кратко:

Вам дается 3 часа и 2 веб приложения в который вы должны выполить по 3 этапа (в каждом).

1. Получить доступ к низкопривилегированному пользователю (Через: XSS, Request Smuggling, Cache Poisoning, User Enumeration, HostHeader Injection, etc..).
2. Поднять привилегии до админа (Через: SQLi, ParamTempering, BusinesLogic Bypass, etc)
3. Прочесть файл: /home/carlos/secret (Через: Deserialization, PTrav, XXE (OOB), Etc)

Стоит сказать что приложения генерируются случайно (случайно выбираются даже этапы для каждого приложения). Т.е. это рандом.
И еще одно замечание - одно приложение будет легким, где для тебя будут оставлять намеки (какую-то функциональность, с которой ты знаешь что делать), а второе приложение будет выглядеть как гроб. Т.е. чисто стандартные механизмы и надо думать головй, что тут может быть.

Для сдачи обязательно нужна Pro версия BurpSuite, (т.к. все SSRF и OOB вектора могут улетать только на BurpCollaborator и на их Exploit сервер (где вы видете только URL и User-Agent).

По ощущениям могу сказать, что если ко мне придет специалист на собес, у которого будет этот серт, я буду знать что если он сдал сам, то он точно шарит за все типовые уязвимости веба, точно чутка задротит в ClientSide баги и у него отточены навыки сплойтинга багов, а не просто их понимание.

В общем, всем могу рекомендовать.

До 15 декабря можно вернуть себе деньги за сертификат, если сдать его) Стоимость - 99$.

Как мнекажется серты лучше сдавать при их появлении, т.к. их стоимость может расти, сложность тоже обычно только растет со временем.

Сертификат валиден 5 лет. Что как мне кажется справедливо.

Пруфецкие: https://portswigger.net/web-security/e/c/b9e62adb2d3aade8

Кстати, если кто собирается сдавать.

Пишите в ЛС, могу накидать лабораторных с PortSwigger Academy, которые мне пригодились для прохождения, и премеры которых я видел в экзамене.