خلاصه مطلب
رو هر دیسترو ای باشی، آرچ‌ باشی aur هست و ریپو های دیگه و این داستانا ، debian باشی هم همون ابزار هارو میتونی استفاده کنی
روی ویندوز هم wsl مسخره وجود داره اونم نخوای باز راه واسه رسیدن به خدا زیاده

به جز اینا تو این تایمی که کار میکنم خیلی از ابزار هارو خودم مجبور بودم بنویسم
خیلی از automation هارو خودم نوشتم
چرا؟ چون اصلا context specific میشن خیلی جاها
به جای این که وابسته به دیسترو باشید
کار یاد بگیرید
@lousbs

خب یه نکته رو لازم دونستم بگم
sqlmap
یه ابزار فوق‌العاده است
اما آیا کافیه؟
خیر
شما باید بلد باشی دستی هم exploit کنی باگ SQLi رو
به چند دلیل اینو میگم
اولیش این که بیای ران کنی ابزار رو خشک و خالی فایده نداره خیلی جاها نیازه خودت حتی یه سری query بهش بدی که بر اساس اونا بره جلو.
دوماً یه سری وقتا هست اصلا ابزار دیکت نمیکنه اینجکشنو خودت دستی باید دیتکتش کنی
بعدش که یه کوئری بیس ساختی میتونی با sqlmap دیتا بیس رو دامپ کنی، دیگه ما نیازی نمیبینیم دستی این کارو بکنیم ولی دستی هم باید بلد باشی پیادش کنی.

چی شد که دارم اینارم میگم؟
چون تارگت ما یه جا ، فقط روی یدونه از بادی پارامتر ها بین ۳۸ تا پارامتر مختلف اینجکشن خورد و ما دستی باید پیش میبردیمش تا به یه نقطه ای برسه که sqlmap اصلا قبول کنه 😂
به جز اینا شما باید tampering هارو بشناسی و خودت هم بلد باشی که بتونی تمپر درست به sqlmap بدی.
اینه که میگم ابزار محور نباشید
ابزار ها خوبن به شرطی که شما بیس کارو بلد باشید.

@lousbs

خب یکی از ساده ترین حمله هایی که من دوستش دارم و بر عکس تصور خیلی از برنامه ها بابتش بانتی میدن وقتیه که شما با یدونه پیلود میاد denial of service میسازید
توی دسته بندی owasp بخوایم بهش نگاه کنیم میره زیر مجموعه insecure design قرار میگیره.
این موردی که میخوام بهتون یاد بدم خیلی ساده است

در نظر بگیرید ما یه تارگت داریم که میاد json body parameters میگیره ازمون
توی این پارامتر ها یدونه پارامتر i_page دارید
که کارش اینه تعداد فیلد هایی که توی هر صفحه هست رو تعیین میکنه
اگه این پارامتر درست سمت بک هندل نشه و محدود به یه تعداد خاص نشه
و شما بتونید بهش بگید مثلا بیاد 100000000 تا به من برگردون
میتونید یه همچین error ای بسازید
fatal error: allowed memory size of X bytes exhausted (tried to allocate X bytes )

و سامانه مورد نظر رو برای چند دقیقه از دسترس خارج کنید

و نه تنها سامانه رو از دسترس خارج میکنید بلکه یه improper error handling هم دارید اینجا 😄

بچه های خوبی باشید فقط رو تارگتی که اجازه تست دارید و محدود نشدید نسبت به تست DoS اینارو بزنید
DDoS
هم کلا همه جا ممنوعه نزنید
@lousbs

پفیوزا
@lousbs

میخواستم از برنامه نویس هایی که فکر میکنن از فریم ورک استفاده نکنن و pure php وبسایت بیارن بالا بابت یه کد اینجکشن زیبایی که زدم تشکر کنم

واقعاً سپاس فراوان
availability --> high
integrity --> high
accessibility --> high

شانس آوردید
adjacent
بود اتک وکتورم
وگر نه جای 9.4
10 میشد 😂

pentest core: 😂😂😂

اینو فرستادم اینجا که اینو بگم
یه وقتایی هم اینجوری میشه
همیشه برد نیست
باگ وجود داره
اما نمیشه exploit ای ازش در اورد
و این میشه فقط یه PoC خالی که impact نداره
قرار نیست نارحت شید این مواقع
میریم واسه باگ بعدی 😄

تو زندگیم با گذاشتن یه @ خالی تو یه پارامتر نشده بود هم authentication رو دور بزنم
کامل هم full information disclosure بگیرم
هم بتونم دیتا ادیت کنم
و اون بالا هم لاگینمو با یه یوزر دیگه نشون بده :)

بامزگیه این این بود که فک کن باهاش میشه دیتارو در آورد
بعد تمام دیتارو ادیت کرد و انداخت گردن یکی دیگه
و در نهایت هم DoS زد نیاد بالا تا یه تایم 😂😂😂😂
و خوبیه پن تست هم نسبت به بانتی اینه که دستت بازه هر بلایی سر تارگت بیاری وقتی رو محیط staging باشه 😄

آقا جدی چه فازیه بیاید پی وی من بگید پیج اینستا مزاحم دارم هک و فلان؟
برید خدا روزیتونو جای دیگه بده 😂

ماشین زمان داشته باشم بر میگردم بیل گیتس کثافت رو بابت ساخت این ویندوز زباله ترور میکنم که هرگز این لجن تمام عیار ساخته نشه :)

خداروشکر
ما ام از تست
react2shell
بی نسیب نموندیم و یه جا توی اسکوپ قانونی زدیم و خورد 😄

ازتون ممنونم که هیچ isolation ای ندارید و من روی یوزر روت سوار ام 😄

آقا اینقدر نپرسید رو چه سازمان و سامانه هایی کار میکنید که اینارو میزنید
من اندازه کله ام NDA امضا کردم یک
دو امضاء نکرده بودم هم نمیگفتم بهتون کجا هان اخلاقی نبود.
چرا ؟ چون ممکنه پچ نکنن درست درمون
یا خیلی وقتا وقتی یه باگ بچ میشه همون فانکشنالیتی رو ممکنه توش یه آسیب پذیری دیگه با پچ کردنشون معرفی کنن 😂
در نتیجه نپرسید ، نمیگم!

من امروز فهمیدم خیلی چیزارو حتی همکارام بلد نیستن
به باگی زده بودم از یه جایی
BAC
بود
دقیق بخوام بگم
authorization bypass
چجوری کار میکرد؟
اینجوری بود که میتونستی بیای چنتا کارو با هم chain کنی
یه کوکی unauthenticated بگیری از تارگت
برش داری
از یه کوئری پارامتر خاص استفاده کنی
و اون کوکی بدون لاگین تبدیل میشد به authenticated با سطح اکسس ادمین

حالا من اومدم یه instance chromium headless باز کردم با ریموت پورت دیباگگینگ و اومدم با websocat کوکی رو گرفتم و این پروسه رو رفتم جلو
یکی از همکارام پیام داده من نمی‌دونستم chromium headless وجود داره این هم زیادی پیچیده است یه کار ساده تر بکن 😂

البته پسر به شدت با سوادیه یه اتکایی میزنه بیاید و ببینید فقط یکم با ترمینال غریبه است.

خب بیاید یه کار ساده باهاش بهتون یاد بدم
برای مثال همین گرفتن کوکی

اگه با یوزر روت اجرا میکنید باید نو سندباکس رو بزنید

chromium --headless=new --temp-profile --disable-gpu --no-sandbox --ignore-certificate-errors --allow-insecure-localhost --user-agent="mozila :)" --incognito --remote-debugging-port=9922 https://target.tld  --proxy-server=$(echo "http://$(ip -o route show default | awk '/default/ {print $3}'):8080")

اینم بگم جوری که من دارم پراکسی میکنم سر یه داستان دیگست شما اصلا میتونید نکنید یا هرجوری دوست دارید بکنید

این درخواست رو هم میتونید بندازید تو بک‌گراند هم میتونید یه اینستس دیگه ترمینال باز کنید و اینو برای گرفتن کوکی (بر فرض این که یدونه است ) بنویسید

echo '{"id": 1, "method": "Network.getAllCookies"}' | websocat -t - $(curl -s http://localhost:9922/json/list | jq -r   '.[0]."webSocketDebuggerUrl"') | jq -r '."result"."cookies".[0] | \"(.name)=\(.value)"' | xclip -selection clipboard -in

به همین سادگی ما کوکی رو گرفتیم و کپیش کردیم تو کلیپ بورد

@lousbs

just because you're paranoid , doesn't mean they aren't after you :)
stay paranoid 😄

خب امروز روز عجیبی بود
یه تارگت جدید داریم که به منم امروز یه درس بزرگ داد

تو پروسه ریکان یه مسیر پیدا کردیم
که یه دیتا ای فچ میکرد
بر اساس عادت متود دیلیت رو روی همون دیتا که یه سری دیتا ساده بود فرم ریپورت گونه زدم
انتظار ای که داشتم این بود که خیلی ساده همون دیتا دیلیت شه
درخواست دیلیت رو فرستادم و نظاره گر یه 200 شدم
اومدم یکم بررسیش کنم
دیدم شت
درخواست دیلیت اون تیکرو دیلیت نکرده بر اساس آی دی
زده ۷۰ درصد یو آی رو دیلیت کرده 😂😂😂😂
من هیچ من نگاه

قیافم الان شبیه آقای شگفت انگیزه تو عکس و دارم داد میزنم ولی قرار بود فقط یه ریپورت دیلیت شه نه کل یو آی