PCI DSS рекомендация использовать WAF (3.2.1) > требование использовать WAF (6.4.2)

Версия 3.2.1 стандарта рекомендовала межсетевые экраны веб-приложений (WAF). Однако к 25 марта 2025 года все организации, соблюдающие PCI DSS, должны иметь WAF перед своими общедоступными веб-приложениями для обнаружения и предотвращения атак.

Однажды в голову мне пришла идея разработать немного-немало свой собственный google. Чтоб его можно было запустить в локальной сети и отыскать там любые секреты где нибудь в глубине публичных сетевых дисков, ftp или вебе. И что бы такая система понимала не только текстовые файлы, но и офисные документы, архивы, исполняемые файлы, картинки, звук, словом всё что только может прийти в голову и что нельзя искать простым текстовым поиском.
Интернет сегодня нельзя представить без поисковика, но почему в локальной сети иная картина? Ведь как известно общедоступные ресурсы это вечная головная боль всех админов, а для пентестеров их анализ слишком дорогостоящая по времени работа.
Разработать в одиночку и за умеренное время собственный аналог google непростая задача. К решению данной проблемы я пытался подойти с разных сторон и за всё время два или три раза полностью переписывал всю систему с нуля. Но в итоге мне удалось найти очень простое и элегантное решение, почти не требующее кодинг - создать систему построенную из готовых компонентов (GNU), легко масштабируемую и также легко внедряемую (docker). Да ещё и понимающую google дорки (opensearch).
Такая система может быть одинаково полезна как пентестерам когда перед тобой сотни шар, так и защитникам - ведь систему можно настроить на непрерывный регулярный краулинг всех общедоступных ресурсов.
В статье https://habr.com/ru/companies/ussc/articles/878340/ я детально описываю идею моей системы, её несложную логику работы а так же настройку и примеры использования.

Топ-10 техник атак веб-приложений 2024 года

PortSwigger опубликовали топ-10 техник атак веб-приложений 2024 года - передовых исследований в области веб-безопасности, опубликованных за последний год.

1. Confusion Attacks: Exploiting Hidden Semantic Ambiguity in Apache HTTP Server

Orange Tsai в третий раз занимает 1-е место с исследованием Confusion Attacks: Exploiting Hidden Semantic Ambiguity in Apache HTTP Server.

LiveOverflow: Учитывая популярность httpd, это исследование будет служить ориентиром для специалистов по безопасности долгое время."

2. SQL Injection Isn't Dead: Smuggling Queries at the Protocol Level

Большой прогресс в исследованиях часто происходит на стыке областей. В работе Paul Gerste SQL Injection Isn't Dead Smuggling Queries at the Protocol Level мы видим, как идеи из области бинарных уязвимостей применяются к миру веб-взлома. Тут присутствует и целочисленное переполение, и техника, похожая на heap-spray...

3. Unveiling TE.0 HTTP Request Smuggling

Развитие сообществом атак HTTP Request Smuggling все еще продолжается и TE.0 HTTP Request Smuggling: Discovering a Critical Vulnerability in Thousands of Google Cloud Websites.

Новая техника эксплуатации HTTP Request Smuggling TE.0 похожа на CL.0, только в данном случае фронт принимает, а бэкэнд игнорирует заголовок Transfer-Encoding. При эксплуатации, сервера, обрабатывающие запрос, который начинается с number + newline, подвержены данной атаке, например Google Cloud - эксплуатация TE.0 позволила обойти Google IAP (Identity-Aware Proxy).

4. WorstFit: Unveiling Hidden Transformers in Windows ANSI

Преобразование кодировок — это минное поле, но почему-то это редко встречается в реальных эксплойтах. В WorstFit: Unveiling Hidden Transformers in Windows ANSI

5. Exploring the DOMPurify library: Bypasses and Fixes

HTML-санитизация была проблемой для эксплуатации XSS на протяжении многих лет, и библиотека DOMPurify от Cure53 стала практически единственным защитным решением.

Exploring the DOMPurify library: Bypasses and Fixes глубоко погружается в внутренности парсинга HTML в браузерах, обнаруживая и применяя новые примитивы для мутированных XSS (mXSS).

6. DoubleClickjacking: A New Era of UI Redressing

DoubleClickjacking: A New Era of UI Redressing представляет собой вариацию Clickjacking, которая обходит практически все известные меры защиты.

7. CVE-2024-4367 - Arbitrary JavaScript execution in PDF.js

Редко когда единичная, уже исправленная уязвимость попадает в топ-10, но это открытие Thomas Rinsma исключительно. PDF.js широко используется как библиотека, что делает его влияние огромным и труднопредсказуемым.

8. OAuth Non-Happy Path to ATO

Oxrz изложил процесс создания красивой и инновационной цепочки атак. Атакующий "ломает" OAuth-процесс, используя неправильный OAuth-путь для достижения своих целей.

9. ChatGPT Account Takeover - Wildcard Web Cache Deception

Техника Web Cache Deception впервые появилась на 2-м месте в топе веб-техник взлома 2017 года и с тех пор активно развивается.

В статье ChatGPT Account Takeover - Wildcard Web Cache Deception Harel представляет новое развитие этой техники, используя несоответствия в декодировании для выполнения path traversal и выхода за пределы предполагаемой области действия кэша.

10. Hijacking OAuth flows via Cookie Tossing

Elliot Ward представил новое применение недооцененной техники Cookie Tossing. Это исследование было вдохновлено более ранней публикацией Thomas Houhou. Cookie Tossing — это метод, позволяющий одному поддомену (например, bla.example.com) устанавливать файлы cookie на своем родительском домене (например, example.com).

Offensive/Deffensive лаборатория, для тренировки навыков Red/Blue team, проверки работы утилит и навыков пентеста Win/Linux систем. Лаба развертывается в виде Proxmox гипервизора с возможностью добавления тимплейтов. https://ludus.cloud/

https://paragraph.xyz/@cybred/supply-chain-bug-bounty

Атака на цепочку поставок в рамках CI/CD и бизнес-процессов компании. Стоит обратить внимание в рамках реализации "недопустимых событий" или APT-bounty.

Верхнеуровневая схема доменов информационной безопасности.

Хакеры взломали криптобиржу ByBit и вывели 1,5 миллиарда долларов в ETH. Это крупнейшая площадка среди россиян, где до сих пор можно покупать криптовалюту с российских карт, несмотря на санкции.

Bybit объявил вознаграждение в размере 12,3 млрд рублей ($140 млн) за помощь в поимке организаторов одного из крупнейших взломов в истории крипторынка и возврат украденных средств.

С 1 апреля на госуслугах можно будет увидеть свои сим-карты.

Об этом сообщил глава Минцифры РФ Максут Шадаев на форуме «Кибербезопасность в финансах». «С 1 апреля мы запускаем новый сервис на госуслугах, каждый гражданин сможет увидеть все оформленные на него договоры связи», – рассказал он.

Бета-версия Telegram для Android под номером 11.8 начала показывать подробную информацию о собеседнике, начавшем с пользователем диалог.

Она включает в себя:

- страну выдачи номера телефона;
- дату регистрации в виде месяца и года;
- количество и список общих групп;
- статус верификации.

Киберкомандованию США поручено приостановить планирование всех операций, в т.ч. наступательных против России.

Источники сообщили, что приказ не распространяется на Агентство национальной безопасности и его работу по радиотехнической разведке, направленную против России.

https://therecord.media/hegseth-orders-cyber-command-stand-down-russia-planning

На прошлой неделе исполнилось 25 лет с момента отмены разрешений на ношение сотового телефона. При отсутствии разрешения трубку конфисковывали, а суд потом налагал штраф от 1,5 до 6 тыс. руб.