⛈ Как искать 0-day и как получить CVE?

Привет! Если тебе надоел баг баунти, то существует аналог в виде поиска 0-day уязвимостей и получения CVE в open source проектах. Но как именно это делать, где искать и как зарегистрировать CVE — этими секретами сегодня поделится с нами отличный application security специалист с 4-мя CVE за спиной и 4-мя годами опыта работы. Встречайте, друзья, @johnny_shein 👏

⏳ Шаг 1. Выбор цели
Beginner: Если вы хотите попрактиковаться или начать это дело, то цель можно найти на GitHub'е по поиску, например CMS, но со вкладкой "security". Если вкладка есть, то можно спокойно приступать к поиску багов. Её может и не быть, это значит, что придется искать контакты вендора и общаться с ним напрямую. Также стоит посмотреть, сколько звезд у проекта. Нужно минимум 300 звёзд. Это является небольшой гарантией того, что проект поддерживается, разработчики активные. И чем меньше звезд, тем больше шанс найти багу. Если брать WordPress, у него, хоть и много звёзд но он заисследован до дыр.
Skilled: Для более опытных ребят в этой теме существует сайт по баг-баунти для opensource проектов – https://huntr.com. В данный момент он больше делает уклон в AI-проекты, но можно найти и обычные. Также оттуда можно почитать репорты хантеров.

🖥 Шаг 2. Подготовка
После того, как вы определили, какой проект будете запускать, его нужно просто развернуть у себя на виртуальной машине. На GitHub я обычно смотрю, как происходит установка проекта; если она проста, то можно использовать. В основном я использую команды Docker для установки и просто разворачиваю проект у себя.

🔍 Шаг 3. Ищем 0-day
Чтобы найти 0-day, я читаю код. В первую очередь рассматриваю метод black box. Если какой-то механизм в проекте кажется интересным или payload не работает, я обращаюсь к коду. Также никто ничего не скажет вам, если пройдётесь по коду с использованием SAST и если подтвердить найденную уязвимость через динамику, то можно получить CVE.
P.S. Если хочешь увидеть как это делать на практике — загляни в полезные ссылки.

👮‍♀ Шаг 4. Регистрация CVE
Получить CVE можно через huntr использовав публикацию отчета, также придется говорить где в коде указать фикс уязвимости.
Можно через github, но нужно искать контакты разработчика, он будет сам регистрировать CVE, либо использовать фичу в gihub — advisory database

❔Легко ли найти 0-day?
Да, я нашел уязвимость Insufficient Session Expiration. Ее суть в том, что если в двух разных браузерах зайти на ресурс под одним аккаунтом, изменить пароль и разлогиниться, сессия в первом браузере остается активной.
За это мне и дали первую CVE 😉

🟢Полезные ссылки:
📶 Методика поиска 0-day уязвимостей на практике от RiotSecTeam
📶 Практика чтения уязвимого кода
📶 Отчеты баг хантеров с сайта huntr

ЧТНП | #web

Полезный канал для тех, кому интересно сетевое администрирование:

👨‍💻Сетевик Джонни // Network Admin — канал сетевого инженера, который рассказывает про создание и настройку внутренних компьютерных сетей в доступной форме.

Ежегодная независимая премия для пентестеров — Pentest award возвращается!

Раз в году у этичных хакеров появляется шанс громко заявить о своих достижениях, показать свой вклад в развитие российского рынка ИБ и обменяться лучшими историями из практики на церемонии награждения Pentest award.

В этот раз вас ждут 6 номинаций, по три призовых места в каждой:

— Пробив WEB 🆕
— Пробив инфраструктуры 🆕
— Девайс 🆕
— Hack the logic
— Раз bypass, два bypass
— Ловись рыбка

Главный приз — тяжеленная стеклянная именная статуэтка за первое место. Не менее главные призы: макбуки, айфоны, смарт-часы, умные колонки, а также бесценные подарки от партнеров проекта BI.ZONE Bug Bounty и VK Bug Bounty.

Сбор заявок уже открыт на сайте — https://award.awillix.ru/
Давайте покажем, на что способны этичные хакеры!
#pentestaward

⛈ Бесплатный курс по AppSec & Pentesting Android App

Mobile Hacking Labs, которая делает сложные курсы по фаззингу, бинарной эксплуатации в андроиде и делает очень реалистичные бесплатные лабы за которых можно получить халявно сертификат — не давно выпустила бесплатный хороший курс по мобилкам, который вмещает в себя темы из emapt, tcm mobile и прочих курсов, которые были мягко говоря так себе, так еще и стоили прилично. Приятного обучения 😏

Темы курса:
🟢Введение
🟢Android Basics
🟢Android Penetration Testing Basics
🟢Reverse Engineering
🟢Discovering the Android Attack Surface
🟢Certified Android Penetration Tester Exam

📶 Курс
📶 Курс, но на youtube

ЧТНП | #mobile

Mobile Hacking Labs Free Course | Раскрытие

Привет! Я являюсь тим лидом по пентесту мобилок и я прошел тот бесплатный курс, общая средняя оценка — заебись, новичкам рекомендую

🖥 Android Basics — этот модуль учит тому, как устроена архитектура и безопасность Android. Всё рассказано по полочкам, в конце тебя будет ждать тест из 20 вопросов. Проходя тест, я успешно половину забыл тому, чему учили и отвечал на вопросы исходя из опыта. Успешно на всё ответив я получил бесплатный сертификат Android Application Security Basics, что неожиданно и приятно

🌃 Android Penetration Testing Basics — этот модуль я благополучно пропустил, т.к. учат основным вещам в мире мобилок. Учат как работать с ADB, Burp Suite, MobSF, Frida, перехват трафика и т.д. Все эти вещи я использую постоянно на проектах, поэтому чтоб не тратить время, я сделал вид что всё прошел и перешел к следующему модулю

💾 Reverse Engineering — норм модуль, отличная база для понимания как реверсить приложения. Радует что показали как модифицировать smali код и как обратно пересобрать и подписать приложение. Ещё давно у нас был проект где была ебейшая защита от root пользователя, ничего лучше, чем убрать защиту вручную и подправить smali код я не придумал. Пересобрав приложение и подписав его — защита была успешно снята и можно было нормально пентестить дальше. Так что вполне реалистично

🔍 Discovering the Android Attack Surface — пожалуй самый вкусный модуль в этом курсе. Учат как тому, как работают компоненты и механизмы андроид приложений а также учат как их идентифицировать, атаковать и эксплуатировать. Например если в activity стоит exported тру флаг, то активити можно вызвать и тем самым можно обойти форму регистрации, активити где требуют пин-код и т.д. Дип линки частая точка входа, которой уделяется внимание при пентесте мобилок. К примеру на одном из проектов в жизни удалось сделать csrf, где можно было получить паспортные данные юзера. Более подробней писал об этом тут — click

Осталось пройти платный экзамен, ожидайте 😉

ЧТНП | #mobile

⛈ Wow! Митап?

Привет! Соскучился по классическим андреграудным тусовкам в мире ИБ? Тогда тебе сюда

🟢Когда и где?
20 июня 2024, в одном из баров Москвы.

Как и в прошлый раз - от комьюнити для комьюнити. Никакого пиара и продуктов.
Точную локацию пришлет ТГ-бот.
17:00 - начало митапа.

📶 Какие будут доклады?
https://telegra.ph/Offensive-Meetup-2-05-30

🎫 Как получить проходку?
Регистрация: @PentestMeetupBot
Успей забронировать своё место, так как их количество ограничено.

⚡Как выступить на митапе?
Инфо: @PentestMeetupBot

Ждем тебя на встрече! ⏳