YAH – Telegram
6.77K subscribers
244 photos
19 videos
29 files
512 links
Yet another hacker

Я Егор Богомолов, с 2015 в кибербезе, основатель проектов Singleton Security и CyberEd.

На канале разбираю новости из мира кибербезопасности через призму личного опыта, делюсь инсайтами, шучу шутки.

По вопросам - @Marta_Irinos
Download Telegram
Вот это и правда интересно: OWASP Top 10 for Large Language Model Applications

Ссылка: https://owasp.org/www-project-top-10-for-large-language-model-applications/

Стоит отметить, что проект очень свежий. Думаю, он еще пару раз переиначится.

Любопытна та скорость, с которой он появился, в отличие от скоростей обновления и принятия решений в обычном нам OWASP Top 10, тут все наспех.

Ждем еще больше CTF тасок на баги в LLM приложениях :D
👍8
Открытая образовательная программа для Хакеров

Про программу «Профессия – белый хакер» я уже писал, но очень хочется правильно донести посыл.

Я захотел сделать открытый образовательный проект по наступательной кибербезопасности для всех, кто имеет отношение к ИБ. Даже если просто задумывается об учебе или работе в этой сфере. Программу для всех, кто, как я когда-то, не понимал, с чего начать. Дать возможность вкатиться в нашу теперешнюю профессию.

Сегодня с друзьями из сообщества - коллегами, преподавателями, учащимися - мы запустили образовательный трек "Профессия - белый хакер", который является абсолютно открытым, без какой-либо навязывающей рекламы типа «КУПИ чтобы идти дальше». Он дает продвинутое представление о том, как будет выглядеть ваша работа белым хакером, какие знания вам нужны и какие этапы вас ждут дальше. Со ссылками на международные платформы, с указанием материалов и мест, популярных в мире, где можно еще учиться хакерским навыкам. С большим упором на методичность объяснения, без "наговаривания фундаментальщины" и только с полезными замечаниями и мыслями.

Этот трек создан сообществом и для сообщества. Чтобы таких, как мы, становилось все больше. Чтобы мы объединялись вокруг подобных инициатив и делали наше российское комьюнити круче: пополняли новыми людьми CTF команды, стартапы, крупных игроков, университеты и лицеи.

Ссылка на регистрацию: https://u.to/TseyHw , после регистрации вам сразу придет приглашение на Stepik!

P.S. В том, что это сделали именно CyberEd, можно увидеть рекламу. Но кто-то должен был это сделать. Просто наслаждайтесь, и я надеюсь, это принесет вам пользу!
🔥42👍9🤯2
Forwarded from Нарыл (Pavel Sorokin)
Вот слайды моего рассказа на конференции БЕКОН.

Рассказывал про проблемы разделяемых docker executor и о том как эти экзекьюторы можно захарденить
👍4🤯1
Forwarded from k8s (in)security (Дмитрий Евдокимов)
06_OPA_с_shared_Docker_executor,_Павел_Сорокин,_OZON.pdf
12.4 MB
"OPA с shared Docker executor", Павел Сорокин, OZON
🔥8👍1🤯1
💪
Please open Telegram to view this post
VIEW IN TELEGRAM
👨‍💻 Стань белым хакером: запишись на ИТ-курс по кибербезу

Участники бесплатного онлайн-курса узнают, как проверять ИТ-инфраструктуру компаний на прочность, как находить уязвимости в защите и как противостоять кибератакам.

Белые хакеры — это специалисты по ИТ-безопасности, которые стоят на защите интересов государства и бизнеса. Они участвуют в пентестах и Bug Bounty и получают за найденные уязвимости миллионы рублей.

Курс разработали лучшие представители профессии совместно с образовательным центром CyberEd при поддержке Минцифры. Специалисты поделятся историями из своей практики и расскажут, что по-настоящему значит быть белым хакером.

На курсе научат:
 проводить тестирование защищённости корпоративных систем
 проводить атаки первичного доступа
 зарабатывать на программах Bug Bounty
 работать в defensive-области и построении безопасных систем
 участвовать в цифровой трансформации компаний

Курс длится 48 академических часов. За это время участники разберут 12 уровней атак.

 Записаться на бесплатный курс «Профессия — белый хакер»

@mintsifry #кибербез
Please open Telegram to view this post
VIEW IN TELEGRAM
🔥18👍4🤯4
Следите за развитием событий!)
Forwarded from Just Security
This media is not supported in your browser
VIEW IN TELEGRAM
Жюри Pentest Awards by Awillix
Просим любить и жаловать 👏

1. Илья Карпов. Руководитель отдела исследований кибербезопасности и разработки сценариев киберучений в Национальном киберполигоне. Зарегистрировал более 300 CVE, топ-5 BDU ФСТЭК. Сооснователь сообщества Ruscadasec и группы исследователей ScadaXSecurity.

2. Александр Герасимов. Сооснователь Awillix.

3. Павел Топорков (Paul Axe). Независимый исследователь. Багхантер, докладчик на международных конференциях, автор уязвимостей нулевого дня в таких известных продуктах как Siemens, Redis, OpenStack.

4. Егор Богомолов. Генеральный директор Singleton Security и управляющий директор школы CyberEd, которая дает 6 грантов на обучение на любом своем курсе всем, кто займет вторые места в премии🤩

5. Роман Панин. Руководитель blue team в МТС. Строил с нуля и развивал процессы ИБ в ФинТехе, Нефтянке и Телекоме. Автор телеграм-канала «Пакет Безопасности».

6. Роман Шемякин. Lead Application Security Engineer at Yandex.

7. Михаил Сидорук. Руководитель управления анализа защищенности, BI.ZONE — компания, которая дарит 6 билетов OFFZONE, всем кто займет первые места.

8. Евгений Андрюхин. Специалист по тестированию на проникновение сертифицированный OSCP/OSCE/OSWE/CRTP/Attacking Active Directory with Linux/ Cloud Security: AWS Edition/ Windows Kernel Programming Course by Pavel Yosifovich.

9. Николай Хечумов. Senior Security Engineer в Avito. Автор утилиты для поиска секретов DeepSecrets.

Теперь вы знаете, кому строить глазки, чтобы получить оценку повыше 😏 ну а если серьезно, все критерии оценки работ давно есть на сайте — https://award.awillix.ru/

Ждем ваших работ!
👍11🔥1👏1🤯1
Как много у нас событий;)
Forwarded from OFFZONE
🏁 Подайте заявку и проведите воркшоп на OFFZONE

Если вы хотите поделиться опытом, то проведите мастер-класс на OFFZONE 2023 в рамках серии воркшопов от CyberEd.

Для этого лично отправьте заявку в свободной форме на почту m.lagutina@cyber-ed.ru для Марии Лагутиной, руководителя департамента организации мероприятий и работы с комьюнити, CyberEd. В теме письма укажите «Заявка на участие в серии воркшопов CyberEd». CFP открыт до 16 июля.

В заявке должны быть указаны:
〰️ название воркшопа;
〰️ описание аудитории, на которую он рассчитан;
〰️ обоснование, почему он будет интересен участникам;
〰️ перечень базовых знаний, которые потребуются участникам;
〰️ указание, какое ПО должно быть на устройстве участника;
〰️ описание, что предоставят участникам (какие средства, виртуалки, образы, репозитории или что-то еще);
〰️ рассказ о себе и своем опыте;
〰️ список оборудования, необходимого вам как спикеру.

К заявке можно приложить любые материалы, которые помогут оценить ваш контент, — demo, white papers, PoC. Рекламировать вендоров или продукты в рамках воркшопа нельзя.

Если запрос одобрят, вам на почту после 20 июля придет письмо. Подтвердить участие нужно в течение 24 часов.

Каждый тренер воркшопа получит пакет плюшек: 
〰️ билет на конференцию;
〰️ приглашение на Speaker party;
〰️ набор мерча OFFZONE;
〰️ набор мерча CyberEd.

Ждем ваши заявки! Подробности на сайте CyberEd.
Please open Telegram to view this post
VIEW IN TELEGRAM
🔥10
Кстати, считаю это офигенным новым большим форматом. Крутые Эксперты могут не тратить свои топ ресерчи, а рассказать свои боевые вещи, которые они делают каждый день и, которые многие захотят перенять.

Присоединяйтесь! Отличная возможность рассказать что-то рабочее и стать спикером оффзон.
🔥13
Forwarded from CyberED (CyberEd)
​​Станьте ведущим воркшопа CyberEd!

CyberEd – партнер OFFZONE, международной конференции по практической кибербезопасности. В рамках OFFZONE мы проводим серию воркшопов. Вы можете стать ведущим одного из них и поделиться своими знаниями и навыками.
Чтобы подать заявку, отправьте письмо в свободной форме почту m.lagutina@cyber-ed.ru для Марии Лагутиной, руководителя департамента организации мероприятий и работы с комьюнити CyberEd. В теме письма нужно указать - «Заявка на участие в серии воркшопов CyberEd». Прием заявок открыт до 16 июля.
Требования к заявке и воркшопу вы найдете на сайте CyberEd
Традиционно OFFZONE собирает специалистов по безопасности, разработчиков, инженеров, исследователей, преподавателей и студентов из десятков стран мира. Давайте строить будущее кибербезопасности вместе!
👍4🤯1
Forwarded from CyberED (CyberEd)
​​📣Осталось совсем немного времени, чтобы подать свою работу на Pentest Award. Мы решили разобраться со всеми вопросами, которые интересуют участников: про оформление работ, их оценку и прочие часто задаваемыми вопросы, летящие в организаторов.

17:00, 10 июля CISO Awillix Александр Герасимов и член жюри премии, CEO CyberEd & Singleton Security Егор Богомолов придут обсудить все, что вас интересует, по этой ссылке
👍2🔥1🎉1
Команда

Оказывается, не все из вас знают о том, что я руковожу одной из наиболее высококвалифицированных команд в сфере оказания услуг оценки защищенности в России.

Хотел бы исправить эту нелепую оплошность. 😅

Представляю вам Singleton Security 🤓, команду в которой работают только талантливые профессионалы поиска багов и мастера придумать нестандартные способы обойти любую защиту.

Спустя три года, нас уже больше 20 человек и мы живем темой кибербезопасности не только во время работы, но и в свободное время.

Когда я в 2016-ом увлекся работой пентестера, я понял, что моя миссия: сформировать окружение интереснейших специалистов из этой отрасли, а также выращивать таланты на этой плодородной почве. И спустя время, я уверен, что я достиг поставленой цели. Мою команду наполняют самые ответственные, жадные до знаний и амбициозные эксперты.

Мы обладатели большинства известнейших профессиональных сертификатов от Burp Suite Certified Practitioner, CEH и OSCP до CISSP, CISM и OSEP.

Ежегодно основной состав нашей команды участвует в The Standoff и занимает призовые места в составе команды True0xA3 (ТруОАЗ).

Мы каждый год выступаем на крупнейших конференциях России: OFFZONE, PHDays, VolgaCTF и пр.

Вы также можете найти наших коллег в залах славы и на багбаунти платформах: Yandex Hall of Fame, HackerOne, BugCrowd, Google VRP, Intigrity, Immunefi.

В формат поста не вместится все, что я бы хотел перечислить, поэтому лучше всего о нас скажет наш “лендос”: https://singleton-security.ru/

И конечно же, если вам понадобится надежный партнер для помощи в Анализе защищенности, Тестировании на проникновение, Построении процессов безопасной разработки или других услугах из сферы информационной безопасности, вы знаете к кому обратиться. 😉

Цените свое окружение, влияйте на него, развивайтесь так, чтобы к вам присоединялись люди еще более интересные, чем вы сами! В нашей увлекательнейшей сфере это особенно приятно. Мы работаем только с умными людьми. Наши клиенты - самые ответственные за свое дело люди, наши конкуренты - самые заметные комании в индустрии. Ценю возможность жить и работать в такой развивающейся отрасли, пусть даже в непростое время.
Please open Telegram to view this post
VIEW IN TELEGRAM
🔥40👍5👏1
Ждем выходных!)
👍6
Forwarded from RedTeam brazzers (Pavel Shlundin)
Коллеги, помните, на этом канале были эфиры-подкасты в формате «собеседования» по внутрякам? Многим такой формат активности нравился) Итак, по просьбе трудящихся - мы решили провести еще «собеседования»! Но в этот раз будем «пробываться» на позицию Web-пентестер! Экспертом выступит Егор Богомолов c канала YAH. Тема первой части - "Изучение приложения". Место встречи - здесь в конференции в субботу 15.07.2023 в 14:00 по мск. Всем удачи)
👍30
А вот и результаты.

Может немного задушнил, сорян. Но в таком формате был впервые, и возможно не сразу сориентировался. А как вам?
Forwarded from RedTeam brazzers (Pavel Shlundin)
Вышло наше с Егором первое собеседование на позицию "Web пентестер". В этой части вы можете послушать про изучение web приложения. Как всегда выкладываю на Яндекс и spotify. Приятного прослушивания!
Конспект первого собеседования от Егора ниже:
Собираем информация о веб-приложениях.

1. Какая информация нам важна?

- Бизнес риски
- Роли пользователей и пользователи
- (Окружение) Веб-сервер, ОС, БД, WAF
- Язык разработки и фреймворк
- Методы и API

2. Говорим об Entrypoinst

Как ищем Route’ы приложения

Документация автодокументация (proxy2swagger / mimtproxy)
Дорки
Файлы
APK клиенты
Веб-архив
Бастниг

Как ищем параметры

Фазинг параметры
Google Dork
Web Archive
JS
Раскрытие параметров (Ответ сервера)
Исходный код

Какие пробуем Заголовки

Host
X-Forwarded-For:
X-Real-IP:
Origin:
Contetn-Type:
User-Agent:
Content-Length:
Transfer-Encoding
Cookie:
Refferer:
ACAO:
Authorization:

Какие пробуем методы

GET,POST,DELETE,PUT,PATCH,OPTIONS
DEBUG
TRACE
CONNECT

Какие пробуем форматы данных

Content-Type:
- multipart/form-data
- application/x-www-form-urlencoded
- application/xml
- application/json
- application/x-java-serialized-object

Входные точки в client-side

Cookie
Parametes GET
Headers
Location,
Ancor (#)


Какие типы API нам предстоит изучать:

- Rest API

- Swagger,
- Документация,
- ALPS,
- RAML
- JSON

- GraphQL API

- INTROSPECT
- JS
- Документашка
- Фаззинг

- SOAP API
- WSDL Schema
- RPC API
- WebSocket API
- GRPC

Какие сервер баги мы сможем заметить на этапе разведки

Nginx/Apache Specific
Cache Specific
Bypasses
Bad Proxy
👍30
Подборка инфодайджеста от команды Singleton Security за июнь. Просто я был в отпуске

Собрали для вас самые интересные новости из разных категорий.

🪲 Bugs & Exploits
1. MOVEIt Transfer RCE (CVE-2023-34362) (Part 1)
2. MOVEIt Transfer RCE (CVE-2023-34362) (Part 2)
3. VMware VRealize Network Insight - Remote Code Execution CVE-2023-20887
4. GitLab 16.0.0 - Path Traversal
5. MSSQL tricks
6. EPP servers hack

🎧 Podcasts
7. AI + Pentest = ?

🛠 Tools
8. jsluice
9. surf
10. DetectDee

📑 Burp extensions & tricks
11. BChecks
12. Automation tricks for Burp Suite Pro

💰 Bug Bounty reports
13. Stored XSS via Kroki diagram ($$$)
14. Authentication bypass on gist.github.com through SSH Certificates ($$$)
15. Yandex 12.000.000₽ RCE ($$$$)
🔥18