Улучшаем безопасность ваших CI/CD через Shared Docker executor и OPA-плагин
#docker #k8s #kubernetes #CICD #контейнеры #containers

На связи команда безопасности Платформы в лице её тимлида Букина Владимира. Основная задача нашей команды — защита CI/CD и, в частности, GitLab с K8s. Дальше я расскажу вам о том, как мы внедряли, поддерживаем и улучшаем наш плагин авторизации для Docker socket.

Так сложилось в нашей индустрии, что ИБ всегда догоняет технологии, которые внедрили в IT. При внедрении технологии всплывают всевозможные риски, о которых не успели подумать при разработке. Для мира ИБ Docker и K8s — ещё совсем свежие технологии. Исследований не так много. Всё ещё куча уязвимостей (в том числе и необнаруженных), и поэтому поработать с ними особенно интересно.

➡️Читать далее

🌚 @poxek | 📺 YT | 📺 RT | 📺 VK | 🌚 Магазин мерча

«Где хуже всего оставлять свои секреты?» — что происходит с учетными данными AWS, которые плохо лежат
#aws #cloud #секреты

Автор разместил в различных общедоступных онлайн-сервисах canary-токены, регистрируя все попытки доступа, и обнаружил интригующие закономерности в методах атак киберпреступников и в том, как они прочесывают сеть в поисках чужих учетных данных.

➡️Читать далее

🌚 @poxek | 📺 YT | 📺 RT | 📺 VK | 🌚 Магазин мерча

🐈 Опрос. Посты на какие темы вы хотите прочитать? Пишите в комментариях

Архитектура и основы безопасности Zigbee
#умныйдом #IoT #zigbee

Представьте себе дом, где лампочки сами включаются, когда вы входите, а термостат автоматически регулирует температуру. Это реальность, которую предлагает Zigbee - беспроводная сеть, незаметно управляющая умными устройствами в вашем доме.

Но как работает эта невидимая "нить"? И насколько это безопасно? В этой статье рассмотрим основные концепции Zigbee, его архитектуру и технологические характеристики, а также погрузимся в главные механизмы обеспечения его безопасности.

➡️Читать далее

🌚 @poxek | 📺 YT | 📺 RT | 📺 VK | 🌚 Магазин мерча

90 дней тестировали BitNinja — коробочное решение для защиты сервера и сайта. Рассказываем кто, откуда и что атакует
#BitNinja #wordpress #fix #honeypot #WAF #firewall

BitNinja — это аналог Dr.Web или Immunify, но в отличие от них специализируется не только на ловле вирусов, но и фильтрации входящего трафика. Для работы антивируса задействует AI, а управлять защитой всех серверов можно из одного окна.
Когда мы только начали предоставлять BitNinja, появилась разумная идея, что неплохо бы протестировать его самостоятельно.

Тестирование BitNinja мы разделили на три фазы.
➡️Пассивное — просто размещаем BitNinja на серверах с разной конфигурацией и смотрим, на какие активности он реагирует.
➡️Активное — идем по публичной документации вендора и тестируем с помощью симуляции атак.
➡️Приближенное к реальности — за BitNinja размещается какой-то реальный код, который пентестеры пытаются вскрыть.

➡️Читать далее

🌚 @poxek | 📺 YT | 📺 RT | 📺 VK | 🌚 Магазин мерча

Filesystem race condition. Незапланированное решение задачи на Кубке CTF 2024
#race_condition #CTF #pwn

В статье рассмотрим нестандартное решение задания на бинарную эксплуатацию – “R4v5h4n N Dj4m5hu7” и обойдем проверку реального пути к файлу. Статья написана моими хорошими знакомыми, они крутые CTFеры! В статье очень подробно, технично и со скринами разобрана таска.

➡️Читать далее

🌚 @poxek | 📺 YT | 📺 RT | 📺 VK | 🌚 Магазин мерча

ZombAI: промпт-инъекция в Claude Computer Use
#ai #claude #c2 #sliver

Несколько дней назад Anthropic выпустила Claude Computer Use, который представляет собой модель + код, позволяющий ИИ управлять компьютером. Он делает скриншоты для принятия решений, может выполнять команды bash и так далее.

Это круто, но, очевидно, несёт и массу рисков, ведь Claude Computer Use позволяет искусственному интеллекту автономно выполнять команды на машинах. А значит, можно использовать промпт‑инъекции (prompt injection).

➡️Читать далее

P.S. респект за крутую пикчу

🌚 @poxek | 📺 YT | 📺 RT | 📺 VK | 🌚 Магазин мерча

Abusing GitLab Runners
#gitlab #devsecops

Не самая новая техника hijack'а других gitlab runner'ов, но тем не менее эффективная, если вы получаете доступ к gitlab и/или токен раннера. В этой статье автор хотел бы объяснить, что такое Runners, как они работают и как вы можете использовать их во время пентестов.

➡️Research

➡️Github PoC

Использование:

usage: hijack-runner.py [-h] [--target TARGET] [--register REGISTER] [--attack ATTACK] [--tag TAG]
                        [--clone]

Abuse GitLab Runners

optional arguments:
  -h, --help           show this help message and exit
  --target TARGET      The GitLab instance to target
  --register REGISTER  Register a token
  --attack ATTACK      Use Runner token to steal data
  --tag TAG            Taglist separated with commas
  --clone              Will clone the repo locally

🌚 @poxek | 📺 YT | 📺 RT | 📺 VK | 🌚 Магазин мерча

Увеличиваем Attack Surface на пентесте периметра
#recon #разведка #хабр

Типичная проблема: компании часто сами не подозревают, какие ресурсы у них могут «торчать наружу». А раз их может нарыть потенциальный злоумышленник — это проблема. На пентестах внешнего периметра не всегда сразу доступен полный скоуп IP-адресов, доменов и поддоменов. В таких случаях нам, пентестерам, приходится recon-ить все ресурсы компании. Ну и конечно же, чем больше скоуп, тем больше Attack Surface, тем больше потенциальных файндингов, в итоге — больше вероятность пробива периметра.

❗️ Важный тезис - нет серебряной пули, который сделает разведку универсальной. Когда-нибудь вы наткнетесь на скоуп, который не будет поддаваться wildcard фильтрации или поддоменов пассивно не собирается, активно только брутить и вы в итоге много поддоменов пропустите и это НОРМАЛЬНО. Постройте базу для разведку, но всегда проходитесь руками

➡️Читать далее

🌚 @poxek | 📺 YT | 📺 RT | 📺 VK | 🌚 Магазин мерча

Удобная подача списка url в shortscan по очереди
#shortscan #IIS #microsoft #заметка

cat IIS.txt | xargs -I@ sh -c 'shortscan @'

P.S. в целом любую тулзу можно так завернуть, если разработчик не сделал функционал указания файла, как входных данных, а можно и PR ему отправить 😉

🌚 @poxek | 📺 YT | 📺 RT | 📺 VK | 🌚 Магазин мерча

первая тысяча людей в чате)

Заходите, если не знали о чате ранее. Всегда активные беседы)

🌚 @poxek_chat

Nuclei Fu
#nuclei #projectdiscovery #DAST

В сегодняшней статье речь пойдет о Nuclei — это мощный open-source инструмент для поиска уязвимостей (DAST), который активно развивается благодаря поддержке сообщества.
Доклад «Nuclei Fu» был впервые представлен экспертами СайберОК – Станиславом Савченко и Андреем Сикорским – на самой масштабной в Центральной Азии хакерской конференции KazHackStan, проходившей 11-13 сентября.

Посмотреть доклад: здесь
Посмотреть презентацию к докладу: здесь

За последний год в Nuclei было несколько крупных обновлений, которые принесли множество фич, таких как кодовая вставка, использование javanoscript в шаблонах, управление запросами через flow, внедрение подписи шаблонов и пр. Сегодня хотелось бы рассказать о возможных атаках на Nuclei, а именно о клиентских атаках, которые стали доступны благодаря этим нововведениям.

Далее рассказ буду вести в контексте двух сторон – Алисы, которая хочет защитить свой веб-сервер от сканирования Nuclei, и Боба, который, собственно, и запускает Nuclei.

➡️Читать далее

🌚 @poxek | 📺 YT | 📺 RT | 📺 VK | 🌚 Магазин мерча