Праздничные дни — это время не только отдохнуть, но и прокачать свои знания и скилы 💪🎓 Поэтому мы подготовили для вас несколько подборок интересных и полезных материалов от наших экспертов.

Первая подборка — от Николая Анисени, руководителя группы исследований безопасности мобильных приложений PT SWARM. В Positive Technologies он занимается аудитом мобильных приложений для Android и iOS, а также анализом защищенности веб-приложений, в том числе банковских, и систем дистанционного банковского обслуживания. Николай — опытный исследователь, отмеченный в залах славы Google, Microsoft, Яндекс, Instagram, Valve, Reddit, Evernote и других мировых компаний. Участвует в подготовке ежегодного форума PHDays, в прошлом — участник CTF в составе команды SiBears.

Читайте и практикуйтесь!

📝 Форум месяца:

CTF TIME — Открытые соревнования по практической безопасности с разборами.

📚 Базы знаний:

HowToHunt — Рекомендации по поиску уязвимостей.
Pentest Book — Пентест и сценарии проникновения.
HackTricks — Хакерские приемы и техники.

🌐 Telegram-каналы и чаты:

Android Guards — Безопасность Android-устройств и приложений.
Hack3rScr0lls — Красивые схемы по тестированию.
The Bug Bounty Hunter — Все о Bug Bounty.
Android Security & Malware — Новости ИБ с уклоном в мобилки.
Mobile AppSec World — Безопасность мобильных приложений.

🌌 Вселенная GitHub:

All About Bug Bounty — Все о Bug Bounty.
Payloads All The Things — Пейлоады и байпасы для веб-приложений.
31 Days of API Security Tips — Советы по тестированию API.
MindAPI — Бесплатный Mindmap по тестированию API.

🐦 За кем следить в Twitter:

Sergey Toshin — Хакер #1 в Google Play Security Rewards Program.

А тут про толковые каналы не забыли ;)

Что делать в праздничные дни? Просто отдыхать и смотреть сериалы — скучно 🥱 Другое дело — совместить приятное с полезным и посвятить свободное время любимой сфере.

Именно поэтому наш эксперт Ярослав Бабин, руководитель отдела анализа защищенности приложений PT SWARM, подготовил для вас подборку материалов о практической безопасности, уязвимостях и атаках на веб-приложения.

В Positive Technologies Ярослав занимается аудитом финансовых и веб-приложений, а также АТМ (анализом защищенности банкоматов) и OSINT (разведкой по открытым источникам). Специализируется на изучении методов социальной инженерии, знает все о проблемах и уязвимостях онлайн-банков. Отмечен в залах славы Adobe, Яндекс, Mail.Ru и других известных компаний как ведущий исследователь. Один из организаторов кибербитвы The Standoff и форума по практической безопасности Positive Hack Days. В прошлом — багхантер в Яндекс, Mail.Ru, Mozilla и участник CTF-команды Antichat.

Читайте, слушайте, развивайтесь!

📝 Форумы и блоги: The SQL Injection Knowledge Base, RDot, ANTICHAT, CTF.Antichat, WebSec, Reverse Engineering

🔉 Полезные подкасты про OSINT и практическую безопасность: The Privacy, Security, and OSINT Show, Hack me, если сможешь, Мимокрокодил

📖 Книга месяца: Dafydd Stuttard. Marcus Pinto. The Web Application. Hacker's Handbook

🥼 Курсы и лабы по веб-безопасности: Hacker101, WebSecurityAcademy, PEN-200, Hack The Box, Root Me

📚 Руководства по тестированию: OWASP Mobile Security Testing Guide, OWASP Web Security Testing Guide

🕸 Полезные Telegram-каналы: Кавычка, YAH

🐦 За кем следить в Twitter: Timur Yunusov, James Kettle, PT SWARM, Nicolas Grégoire, Orange Tsai, LiveOverflow, wvu, Sergey Bobrov, James Forshaw, Frans Rosén, rvrsh3ll, Ben Hawkes, Maxim Goryachy, Michael Stepankin

👥 Встречи с единомышленниками: 2600, группы по DEFCON в Москве и других городах

Nominations are now open for the top 10 new web hacking techniques of 2021!

https://portswigger.net/research/top-10-web-hacking-techniques-of-2021-nominations-open

Открыта номинация десяти лучших техник атак на веб-приложения 2021-го года. Уже представлены десятки интересных техник атак. Для всех увлечённых уязвимостями веб-приложений, крайне рекомендую изучать примеры из этих списков и следить за этим проектом. Публикуемые в нем техники становятся трендами на ближайшие несколько лет!

Web power! ;)

#PHP #Nginx #procFS

Зачем я прошу стажеров разобраться в procFS и рассказать мне о ней?

Link: https://lewin.co.il/winning-the-impossible-race-an-unintended-solution-for-includers-revenge-counter-hxp-2021/

Кратко:
У вас есть Nginx + PHP с одной строкой кода:

<?php ($_GET['action'] ?? 'read' ) === 'read' ? readfile($_GET['file'] ?? 'index.php') : include_once($_GET['file'] ?? 'index.php');

Доп. условие:

chown -R root:root /tmp /var/tmp /var/lib/php/sessions && \
chmod -R 000 /tmp /var/tmp /var/lib/php/sessions

ln -sf /dev/stdout /var/log/nginx/access.log && \
ln -sf /dev/stderr /var/log/nginx/error.log

Как получить исполнение произвольного кода через include_once?

Ответ:
1. Найти в Nginx момент в котором создаётся и удаляется временный файл, создающийся в случае если тело запроса больше размера буфера (8KB или 16KB).

ngx_open_tempfile(u_char *name, ngx_uint_t persistent, ngx_uint_t access)
{
ngx_fd_t fd;

fd = open((const char *) name, O_CREAT|O_EXCL|O_RDWR, # Открываем файл
access ? access : 0600);

if (fd != -1 && !persistent) {
(void) unlink((const char *) name); # в тот же момент удаляем файл
}

return fd;
}

2. Найти PID'ы Nginx воркеров
3. Успеть найти созданный временный файл среди открытых Nginx'ом файловых дескрипторов, пока он не был закрыт.
4. Учесть еще пригоршню мелочей.

Вы прекрасны!

Реверс шелл

Наконец-то можно не хранить все эти тонны подсказок в своих заметках о том, как делать бинд\реверс шеллы в разных ситуациях.

https://www.revshells.com/

Наслаждайтесь!

Для англоговорящих подписчиков;)

Перевели статью по автоматизации действий в BurpSuite.

https://hackmag.com/security/burp-stepper-intruder/

И кстати, 2000 фоловеров!)

Будем держать марку и дальше. По такому поводу предлагаю в комментах написать про что писать большее статей. Посмотрим, что вам интересно, и будем наращивать обороты;)

REvil

“ФСБ объявила о задержании членов хакерской группы REvil после обращения властей США”

У меня есть одно предположение почему это фейк…

Ни один уважающий себя хакер, не станет работать на таких ноутбуках :D

А что думаете вы? Го в комменты!

Без лишних слов: Positive Hack Days состоится 18–19 мая!

А это значит, что на одной площадке снова соберутся хакеры, звёзды отечественной и зарубежной информационной безопасности, инфлюенсеры, представители бизнеса и госструктур, молодые ученые и журналисты.

И сейчас мы ищем докладчиков!

Выступить на PHDays может каждый — и признанный эксперт, и начинающий специалист. Если у вас есть важный доклад по одной из проблем ИБ, интересный своей актуальностью и новизной, — смело подавайте заявку. Мы рассмотрим все обращения до 1 марта и обязательно ответим до 1 апреля. Ждём ваших докладов: https://cfp.phdays.com/login

Positive Hack Days — это международный форум по практической безопасности, который организует компания Positive Technologies. Среди побывавших у нас хедлайнеров — легендарный криптограф Брюс Шнайер, один из разработчиков USB-эмулятора FaceDancer Трэвис Гудспид, соавтор концепции криптографии с открытым ключом Уитфилд Диффи, Founder & CEO в BINARLY Александр Матроcов.

Поддержим ребятишек!

Появился сплоит к уязвимости LPE в Linux дистрибутивах через polkit.

Описание уязвимости: https://www.qualys.com/2022/01/25/cve-2021-4034/pwnkit.txt

Эксплоит: https://github.com/berdav/CVE-2021-4034/blob/main/cve-2021-4034.c

Выглядит интересно.

Всем советую!

🚀 Яндекс впервые делает открытый CTF. Старт 12 февраля

Приглашаем всех желающих на Yet Another CTF 2022 — соревнование по безопасности от Яндекса и SPbCTF. Это индивидуальная цтфка, по правилам Jeopardy, в один онлайн-этап. Призы для топ-40 участников. Регистрация 👉 yactf.ru/

YaCTF 2022 стартует в субботу 12 февраля в 13:00 по Москве и продлится 24 часа.

Вас ждут таски от безопасников Яндекса на весь спектр категорий: ревёрс, веб, форенсику, криптографию, пывн. Участвовать можно всем, независимо от скилла, статуса и местоположения. Без команд.

🏆 Победители получат:
1 место — 150 000 ₽
2 место — 100 000 ₽
3 место — 50 000 ₽
4–10 место — купон Яндекс.Облака на 10 000 ₽
11–20 место — купон Яндекс.Маркета на 5 000 ₽
21–30 место — купон Яндекс.Маркета на 3 000 ₽
31–40 место — годовая подписка Яндекс.Плюс

Регистрация: yactf.ru/
Объявления и связь с оргами: @yactf

— vk.com/wall-114366489_2145

Переходим на Windows XP, ребят…

https://github.com/torvalds/linux/blob/8bcab0346d4fcf21b97046eb44db8cf37ddd6da0/README

Source: https://news.1rj.ru/str/in51d3

Поучаствовал в отвлеченном формате, но все равно про ИБ:

https://www.youtube.com/watch?v=Xv5xnpVyK24&t=1623

Говорят, что сыплю терминами, но разве местных это пугает?!;)

Открыта ранняя продажа билетов на ZeroNights 2022

ZeroNights – это квинтэссенция того, чем ИБ-сообщество живет целый год. И мы в 11-й раз соберем всех неравнодушных к прикладным аспектам отрасли.

🗓 Дата
23 июня 2022

📍Место
Санкт-Петербург, Севкабель Порт

💥Программа
На ZeroNights будут представлены тщательно отобранные доклады по самым разным темам информационной безопасности.

В этом году массу интересного можно будет услышать на отдельной секции Defensive Track, посвященной практической стороне ИБ в контексте защиты и обеспечения безопасности ресурсов и приложений.

Спикеры любимой многими секции Web Village расскажут о современных атаках на веб-приложения. Желающие прокачать свои скиллы и овладеть новыми навыками смогут сделать это в рамках воркшопов и Hardware Zone.

Активностей с ценными призами для победителей будет еще больше!

До 1 марта у вас есть возможность приобрести билеты на конференцию со скидкой! Поспешите приобрести билет по цене прошлого года.

Купить билет со скидкой

Красота!

Про Frida уже написано столько, что хватит на 3 “войны и мира”, но часто это какие-то прикладные статьи или туториалы начального уровня. За границами этих туториалов начинается остервенелое изучение документации, которая, ИМХО, не так хороша как могла бы быть. Тем интереснее книга, которую я после долгих раздумий все же решился прочитать и не пожалел - Beginning Frida. У меня вообще есть практика периодически изучать материалы начального уровня чтобы закрыть возможные пробелы в знаниях.

Книга в меньше степени про использование Frida в Android и в большей про то как устроен инструмент, как на нем решать различные задачи и про экосистему вокруг. Тем и ценна.

Автор сильно упростил мне задачу написав какие главы нужно читать обязательно, а какие можно пропустить. Я прочитал все и теперь полностью согласен с его рекомендациями:

Глава 1: Настройка среды. Будет полезна тем, кто никогда про Frida не слышал или давно хотел попробовать, но руки не доходили. Остальные там ничего интересного не найдут.

Глава 2: Базовые приемы работы. Смело пропускаем если уже трогали тетю Фриду ;)

Глава 3: Работа с frida-trace. Нашел для себя несколько интересных вещей касательно модулей.

Глава 4: Углубленная работа с frida-trace. Мне показалась интересной. Можно пробежаться глазами и поискать интересные практики для себя.

Глава 5: Переход от трейсинга к сталкингу. Есть полезная инфа про frida-stalker и немного про frida-gadget

Глава 6: Разработка собственных инструментов. Новичкам будет полезно, джедаям - вряд-ли.

Глава 7: Разбор компонета frida-server. Есть интересное, в т.ч. запуск по сети.

Глава 8: Введение в NativeFunction. Довольно полезная глава. Есть интересные практики.

Глава 9: Frida и Android. Новичкам обязательна к прочтению. А также всем тем, кто ловил странные проблемы с Frida. У кого и так все хорошо - не читайте.

Глава 10: Работа с библиотечными функциями и памятью. Полезная глава. Есть хорошие примеры работы с адресами функций и поиску значений в памяти.

Глава 11: Как писать обертки на Python. Тоже хорошая глава. Отлично раскрывает концепцию RPC, которую я редко вижу в скриптах, а при этом она довольно полезная.

Глава 12: Решение пары OWASP-овских crackme на Android. Новички, вам сюда. Джедаи, проходите мимо.

Глава 13: Как открыть Telegram в Objection. Будет полезна все тем же новичкам и людям не знакомым с Objection.

Глава 14: Небольшое описание Codeshare. А вы знали, что там можно зарегистрироваться? 😀

Что касается самого текста, то он читается довольно легко. Я пробежался буквально за пару вечеров. Ссылку на торренты не прикладываю. Вы же хакеры, сами найдете 😎

Дорогие друзья, всем привет!

У меня есть мое любимое дело: анализ защищенности и тестирование на проникновение. Кто-то знает, кто-то не знает, но во всяком случае уточняю;)

Достаточно давно я решил, что хочу делать это по-своему. Со своей командой, где только интересные и понятные мне люди, с теми заказчиками, с которыми я хочу работать и с теми заказами, с которыми я хочу работать. Я начал свое дело -> singleton-security.ru . Сейчас мы уже серьезно выросли с того времени, когда я был один, но все еще являемся маленькой командой. Ко мне присоединились интересные и умные люди, мне помогали и помогают мои друзья. 

Но в это же время, я все больше участвую в более высокоуровневых процессах, хоть и стараюсь успевать уделить время практике, которая действительно мне нравится. Ключевое, что теперь я горю желанием развивать мою команду, моих коллег и друзей. Я ищу только тех, кто также горит этим делом, только тех, кто заинтересован и дальше жить этим, и только тех, кто тратит на это свое время в удовольствие.

Сейчас мы хотим видеть в команде новых толковых специалистов по безопасности веб-приложений. Тех, кто умеет находить уязвимости в вебе, покрывать приложения проверками, читать код на многих языках программирования. 

Наша команда ищет спецов, которые уже чувствуют себя "мидлами", а также тех кто является уверенным джуном в этом деле и планирует расти.

Для тех кто хочет присоединиться к нашей команде, предлагаем следующее. 

Для того чтобы пройти отбор нужно будет:

1. Прислать свое резюме.
2. Указать ожидаемые условия работы. (Фулл-тайм и парт-тайм (4 часа в день) рассматриваются).
3. Если вы подходите под наши ожидания по скиллам, мы дадим вам тестовое задание на анализ кода. Если вы его проходите - вы в деле.

Примерные условия для кандидатов:

1. 100% удаленная работа, с периодическими встречами в оффлайне и с постоянным общением в онлайне.
2. Зарплатные ожидания сугубо от кандидата. Вопрос сколько вы стоите - это на самом вопрос, сколько вы умеете. Умеете на 50 тыс. - будет 50, умеете на 500 - будет 500. Думаю понятно, что мы не Яндекс, не Positive и не Kaspersky, но умения спецов и их время мы ценить умеем.
3. Свобода работы, графика и пр. главное это результат, главное это ответственность.

P.S. Для тех, кто только начинает, хочет научиться чему-то и подключиться потом, у нас есть список требований которые нужно выполнить, чтобы подключиться к нам как стажер, с рассмотрением кандидата в переход на начинающего специалиста. Несколько месяцев вам предстоит проходить задачи на открытых платформах, писать код, разбираться в технологиях. Раз в месяц мы будем созваниваться и обсуждать ваши успехи. Как только станет понятно что вы все сделали, сами, при этом разобрались в сделанном - мы пригласим вас вступить в наши ряды.

Контакт: jack@singleton-security.ru (@empty_jack)