Атака с большим будущим: за что SSRF поместили в ТОП-10 киберугроз

В конце сентября сообщество OWASP (Open Web Application Security Project) выпустило обновленную версию списка наиболее опасных угроз для веб-приложений OWASP Top-10. Примечательным стало появление в нем A10:2021 – Server-Side Request Forgery (SSRF) или подделка запроса на стороне сервера. При этом 2 из 10 категорий угроз, включая SSRF, были отобраны по результатам опросов профессионального сообщества. Пока, по оценке экспертов OWASP, позволяющие проводить атаки SSRF уязвимости с высоким уровнем критичности встречаются нечасто. Но потенциал эксплуатабельности у них высокий, и скоро SSRF может стать серьезной киберугрозой. Мы тоже встречаем SSRF при проведении работ по анализу защищенности веб-приложений, и иногда эта атака открывает пентестерам (а, значит, и реальным хакерам) массу возможностей. А каких именно – расскажем в этом посте.

BlackMamba

Это система управления и контроля (C2), которая работает с несколькими соединениями одновременно. Он был разработан на Python и с использованием Qt Framework и имеет множество функций для пост-эксплуатационного этапа.

#tools

#Book

Хакер

Кунг-фу enumeration. Собираем информацию об атакуемой системе.

Просто подборка разных книжек из моей коллекции

#books

Интересная фан-тулза для обусификации бинарных исполняемых файлов. Фишкой инструмента является бесполезная, но довольно занимательная функция, которая позволяет запутать файл таким образом, что при попытке его реверса внутренние функции будут отображается в виде предварительно загруженного изображения.

Можно поиздеваться над SOC и оставить им несколько шелов, где будет написано на картинке shell1, shell3, shell4, shell 7. И пусть ищут по всей сети думая, что у них 7 shell'ов в системе))

GitHub | https://github.com/JuliaPoo/Artfuscator

Thx @beacon_channel