Могу рекомендовать к прочтению!

Самый быстрый укол. Оптимизируем Blind SQL-инъекцию #sqli #blind #guide #подписчикам

В своей практике работы в BI.ZONE я регулярно сталкиваюсь с необходимостью эксплуатации слепых SQL-инъекций. Пожалуй, Blind-случаи встречались мне даже чаще, чем Union или Error-based. Поэтому я решил подумать об эффективности. Эта статья — обзор подходов к эксплуатации слепых SQL-инъекций и техник, позволяющих ускорить эксплуатацию.

https://xakep.ru/2021/09/21/blind-sqli-optimize/

#podcast

Всем привет.

Записал подкаст с моим другом и коллегой по цеху Павлом Шлюндиным. О ролях в пентестерских командах, в том числе в команде составом которой мы участвовали в The Standoff, в частности о роли специалистов по атакам на локальные сети.
О том как качаются эти специалисты, что умеют, как они свои навыки применяют.

Судя по первым отзывам получилось достаточно интересно и приятно слушать, поэтому приглашаю вас к прослушиванию. Для меня это впервые, поэтому строго не судите

Link - https://podcast.ru/1589311841

По площадкам:

- https://podcasts.apple.com/ru/podcast/mastertalk/id1589311841?l=en
- https://open.spotify.com/show/4qKSa9bWg96gIBg33Q4C5n
- https://deezer.com/show/3042122
- https://music.yandex.ru/album/18600614

Конференции!

В предстоящий вторник выступаю на конференции FrontendConf с темой: “Поверхность атак на клиентскую часть веб-приложения”.
Если вы будете там, обязательно пополняйте ряды участников воркшопа;) Научу всему что знаю сам!

Отдельно стоит сказать, что атаки на браузеры мне как специалисту в начале пути казались не перспективной и не увлекательной темой. Но однажды погрузившись в нее, уже невозможно не признать интереса к ней, потому что это настоящее поле боя хакеров-исследователей и специалистов по защите браузеров, где боевые действия кипят на ваших глазах. Все действительно быстро меняется, всегда появляются новые способы защиты и приводят к появлению новых способов атак.

В общем, целая эволюция атак на ваших глазах. Все это наглядно, в публичном поле, можно потрогать и т.д. Закопаться в работу того или иного браузера с определенной фичей оказывается крайне интересным.

Поэтому как специалистам работающим в веб-разработке, так и специалистам из сферы хакинга, крайне рекомендую эту аггрегацию всего интересного из сферы атак на клиентские приложения.

Link: https://frontendconf.ru/moscow/2021/abstracts/8247

Будни багбаунтеров:

https://hackerone.com/reports/1209098

“Hi, are you new to this job or something?”

Надеялся, что ребята выложат видео, но чуда не произошло. Видос не записали, поэтому выкладываю презентацию. Она скорее обзорная, чем глубоко техническая.

Надеюсь будет полезной, а если будут вопросы или будет чем дополнить, приходи в чат.

Приглашаю к прочтению!

Мой друг и сокомандник решил тоже не скупиться на знания и будет делиться инфой о сертификациях (я уже сбился со счету сколько у него их), атаках на локальные сети (Его специализация) и RedTeam проектах.

Надеюсь что контента будет много;)

Начнём с того, что попробуем вместе разобраться в большом зоопарке сертификатов для пентестеров. План таков:
я нахожу владельца сертификата (или рассказываю сам) и прошу поделиться впечатлениями о курсе, экзамене и самом сертификате.
Далее будет доступно обсуждение (https://news.1rj.ru/str/joinchat/Dx2taD7P58A1MGZi) и будет возможность задать интересующие вопросы.
Перерыв между публикациями 3 дня.
На данный момент (а там кто знает...) не планируем разбирать сертификаты управленцев и менеджеров в сфере ИБ, такие как CISSP, CISM, а так же сертификаты около пентеста, это форензика и анализ кода.
В наш обзор в блжайшее время попадут такие сертификаты как: OSCP, OSWP, OSEP, OSWE, OSED, CEH, CPENT, LPT, CRTP, CRTE, eCPPTv2, eCPTXv2.
Акцент на практику, так что, GPEN, прости))

#podcast

На прошлой неделе в рамках подкаста пообщался с Михаилом Помзовым - одним из ключевых организаторов The Standoff!

Я хотел обсудить то, что проживают организаторы в этих мероприятиях, как они видят команды, что они думают о происходящем на турнире, а также не мог не задать пару личных вопросов о игре и ее механиках.

Если вам тоже это интересно, приятного прослушивания: [Link](https://podcast.ru/1589311841?utm_source=tg-post&utm_medium=social&utm_campaign=podcast&utm_term=4112021&utm_content=episode3)

ruDALL-E XL сгенерировала вашу картинку: Хакер

https://rudalle.ru/check_image/5a4b102329d74dc89fe88bd04e017a28/%D1%85%D0%B0%D0%BA%D0%B5%D1%80/

Ну и как ей отказать?

Всем спасибо! Я вас понял!)

И тут же расскажу, что на выходных сдал новый сертификат: Burp Suite Certified Practitioner

Хочу сказать что сертификация классная. Единственное что мне не понравилось это их платформа верификации Examity (полный трешак).

Сдал я не спервого раза, но хочу сказать, что это скорее из-за особенностей моего характера. Т.к. когда на меня давит время я теряюсь и начинаю упускать детали) Во всех прогонах я знал что делать, но мне не хватало времени. Банально терялся на каких-то этапах из-за нервов)

Если кратко:

Вам дается 3 часа и 2 веб приложения в который вы должны выполить по 3 этапа (в каждом).

1. Получить доступ к низкопривилегированному пользователю (Через: XSS, Request Smuggling, Cache Poisoning, User Enumeration, HostHeader Injection, etc..).
2. Поднять привилегии до админа (Через: SQLi, ParamTempering, BusinesLogic Bypass, etc)
3. Прочесть файл: /home/carlos/secret (Через: Deserialization, PTrav, XXE (OOB), Etc)

Стоит сказать что приложения генерируются случайно (случайно выбираются даже этапы для каждого приложения). Т.е. это рандом.
И еще одно замечание - одно приложение будет легким, где для тебя будут оставлять намеки (какую-то функциональность, с которой ты знаешь что делать), а второе приложение будет выглядеть как гроб. Т.е. чисто стандартные механизмы и надо думать головй, что тут может быть.

Для сдачи обязательно нужна Pro версия BurpSuite, (т.к. все SSRF и OOB вектора могут улетать только на BurpCollaborator и на их Exploit сервер (где вы видете только URL и User-Agent).

По ощущениям могу сказать, что если ко мне придет специалист на собес, у которого будет этот серт, я буду знать что если он сдал сам, то он точно шарит за все типовые уязвимости веба, точно чутка задротит в ClientSide баги и у него отточены навыки сплойтинга багов, а не просто их понимание.

В общем, всем могу рекомендовать.

До 15 декабря можно вернуть себе деньги за сертификат, если сдать его) Стоимость - 99$.

Как мнекажется серты лучше сдавать при их появлении, т.к. их стоимость может расти, сложность тоже обычно только растет со временем.

Сертификат валиден 5 лет. Что как мне кажется справедливо.

Пруфецкие: https://portswigger.net/web-security/e/c/b9e62adb2d3aade8

Кстати, если кто собирается сдавать.

Пишите в ЛС, могу накидать лабораторных с PortSwigger Academy, которые мне пригодились для прохождения, и премеры которых я видел в экзамене.

Я хотел посмотреть сколько людей собираются сдавать тоже, и пришло так много, что теперь сложно отвечать)

Добавлю тут пару вещей, которые были важны и которых нет в подготовке.

1. На экзамене были задачи, примеров которых нет в лабораторных.
Например XXE OOB. Т.е. в лабах есть SSRF через XXE, но нет примера вытаскивания файла через SSRF, где нужен внешний DTD для этого. Т.к. на память это не просто повторить не забывайте пользоваться: https://github.com/swisskyrepo/PayloadsAllTheThings. (Вам может пригодиться пример с XXE inside DTD file). Хоть задача и типовая, в виду ограниченного времени можете наткнуться на ошибки при реализиации.
2. Советую сделать акцент на Client Side уязвимостях (XSS, Dom-based, Request Smuggling, Cache Poisoning), т.к. они точно будут. При чем они часто не простые, а с обходом фильтров или например, как было у меня, только с тегом body и только с атрибутом onmessage, что вынуждает тебя писать PostMessage для того чтобы затригерить XSS. Это не сложно, но опять же, когда время ограничено может выбить из себя.
3. Обязательно внимательно прочитайте гайд перед сдачей и пройдите их пробный экзамен. В некоторых случаях когда я тупил, я просто садился, перечитывал гайд и находил там ответы о том, куда копать. (Ссылка на пробный экзамен: https://portswigger.net/web-security/certification/practice-exam)

На сегодня хватит с вас годноты, пора работать;D

#тестируем

Увидел новую возможность в Телеграмме.

@donate

Я конечно не питаю илюзий, что это может быть что-то существенное, но стало крайне интересно попробовать узнать следующее: Скольким из вас контент заходит настолько, что вы готовы угостить автора кофе?

В общем, если есть желание, буду только рад;)

P.S. Скатился в коммерцию

Спасибо всем за поддержку!) Оч прикольно, что многие дали фидбек. Интересный и разный. Обещаю не останавливаться и помогать вам узнать что-то интересное. А деньги эти мы пустим на кокой нибудь конкурс;)

CTF task-based offline для молодежи с ограничениями по здоровью.

5 декабря 2021 в Москве (YotaArena) состоится III Чемпионат по кибербезопасности и киберспорту для молодежи с особыми потребностями.

Среди дисциплин - CTF, командное и индивидуальное соревнование по решению прикладных задач информационной безопасности: поиск и эксплуатация уязвимостей приложений, анализ исходного кода, криптография, форензика, ОСИНТ.
А среди организаторов - лучшие лица и учителя информационной безопасности, создатели PHD - компания Positive Technologies.

Прийти поболеть может каждый. Победители и участники получают призы, мероприятие с мерчем, концертом, крутыми спонсорами и випами.

Если у вас есть знакомые дети, подростки, студенты, готовые попробовать себя в DOTA2, Dron Racing (DCL) и CTF - скиньте им ссылку на регистрацию wugamers.ru или в тг-лс @snailrabbit.

Много раз натыкался в твиттере на всякие полезности от HackerScrolls, и думал что это какая-то иностранная компания пиарится.

А сегодня узнал, что это наши ребята из компании DigitalSecurity начали шарить знания во вне!

Они рассказывают об этом в подкасте: https://music.yandex.ru/album/10321679/track/80252481 (Рекомендую послушать о культуре шаринга знаний, об обучении и сертификатах).

А все полезности собраны в GitHub: https://github.com/hackerscrolls/SecurityTips

И в телеграм: https://news.1rj.ru/str/hackerscrolls