WAF community bypasses (Великий список пейлоудів для обходу WAF. відпрацьовані на твітері X)

Брандмауери веб-програм, також відомі як WAF, — це не завжди повне рішення для безпеки.

Усі постачальники, від найдешевшого Cloudflare до таких компаній, як Imperva, Akamai, F5, Checkpoint або Fortinet, просто можуть надавати 0 фактичного захисту. Бо просто підключити WAF, цього не достатньо, його треба доналаштовувати ще окремо вручну.

99,9% захисту WAF – це просто RegExps, написані 10-15 років тому.

Щоб підтвердити це, був і побудований цей список пейлоудів для обходу захисту в Twitter , який ви можете заюзати.

Не довіряйте постачальникам WAF, а тестуйте їх.

https://github.com/waf-bypass-maker/waf-community-bypasses/blob/main/payloads.twitter.csv

А що там по багбаунті? Можна заробити на пошуку вразливостей? Чим багбаунті-платформи відрізняються одне від одного? Чи можна перетворити багбаунті на фултайм-роботу? Ми спитали у експертів-багхантерів, і ось що вийшло:
👉 Apple Podcasts: https://apple.co/3XwfDl6
👉 Google Podcasts: https://bit.ly/46vew9p
👉 Spotify: https://open.spotify.com/episode/5TDQBdaZkEk5c3iDrFefvB?si=0IbUqkZDQ6-IQrbjXcxicw

Вразливості API. Частина перша

У цій статті оглянемо з OWASP TOP 10 API 2023 лише п’ять, щоб це не було лонгридом. Якщо наберемо 10К переглядів, буде і друга частина про п’ять вразливостей, що залишилися без уваги.

Розкриємо кожен пункт цього списку. Обговоримо, що становить кожна вразливість, які загрози вона несе, приведемо приклади та розглянемо рекомендовані інструменти для ідентифікації та запобігання цим вразливостям.

Мета — забезпечити розробників і тестувальників знаннями, які допоможуть їм створювати більш безпечні та надійні API, що є важливим елементом сучасної цифрової інфраструктури. Ну що ж, почнемо роздивлятися кожен пункт.

https://dou.ua/forums/topic/47230

ARTToolkit

Це інтерактивна шпаргалка, яка містить корисний список інструментів безпеки, що атакують, і відповідні команди та пейлоуди для використання цих атак.

Якщо ви ненавидите постійно шукати правильну команду для використання в середовищі Windows, Linux або Active Directory, то цей проект повинен трохи полегшити вашу біль. Просто виберіть інформацію, яку ви наразі маєте щодо жертви (паролі, імена користувачів, служби тощо), і він відобразить список інструментів, які ви можете спробувати проти неї, а також команду шаблону для легкого копіювання/вставлення в термінал лінукса.

https://arttoolkit.github.io/#

Цей репозиторій містить низку завдань, призначених для вивчення Frida для Android. Вони допоможуть вам почати роботу з Frida. Якщо ви зовсім не знайомі з Frida, це ідеальне сховище для початку. Завдання побудованні таким чином, щоб охопити все, починаючи від базового і закінчуючи середнім рівнем.

Ціль цих завдань — надати вам основи, щоб допомогти вам використовувати Frida та зрозуміти сценарії Frida. Виконуючи ці завдання, спробуйте отримати прапор багатьма способами, використовуючи Frida. Сховище автор обіцяє оновлювати новими завданнями.

https://github.com/DERE-ad2001/Frida-Labs?tab=readme-ov-file

IP rotate розширення дозволяє легко розкручувати API. Увесь трафік Burp Suite для цільового хосту на точки API, направляється через різні IP-адреси.

Це корисно, щоб обійти різні види блокування IP-адрес, як-от захист від brute force, обмеження швидкості API або блокування WAF які блокують в основному на основі IP-адреси.

https://svyat.tech/burp-suite-plugin-ip-rotate

90-Day Cybersecurity Study Plan

Цей репозиторій містить 90-денний план вивчення кібербезпеки, а також ресурси та матеріали для вивчення різних концепцій і технологій кібербезпеки. План складається з щоденних завдань, які охоплюють такі теми, як Network+, Security+, Linux, Python, аналіз трафіку, Git, ELK, AWS, Azure та хакерство.

https://github.com/farhanashrafdev/90DaysOfCyberSecurity

Hash Buster — це інструмент, який може автоматично визначати тип хешу, витягувати та зламувати його із файлу, а також рекурсивно ідентифікувати хеші з каталогу.

Підтримує MD5, SHA1, SHA256, SHA384, SHA512.

https://github.com/s0md3v/Hash-Buster

Holehe OSINT

Ефективний інструмент для пошуку зареєстрованих облікових записів по вказаним милам.

Holehe перевіряє, чи прикріплене мило до облікового запису на таких сайтах, як twitter, instagram, imgur та понад 120 інших.

Отримує інформацію за допомогою функції забутого пароля.
Не сповіщає власнику перевіряючого мила.
Працює на Python 3.

https://github.com/megadose/holehe?tab=readme-ov-file

Ким працювати в кібербезпеці, щоб норм гроші заробляти? Чи є золоті стандарти для кожної спеціальності (а якщо немає, то що робити)? Краще світчнутися в межах компанії чи шукати нову команду?
Ми спитали у двох експертів з нашої спільноти -Head of Cyber Security Unit Роман Чорненький та Пентестер, автор ютуб каналу Lazy IT Антон Головач, і ось що вийшло:
👉 Apple Podcasts: https://apple.co/3XwfDl6
👉 Google Podcasts: https://bit.ly/46vew9p
👉 Spotify: https://open.spotify.com/episode/5iKgSeCmg8QrUFjptf7YvJ

​​AI-driven Threat Modeling-as-a-Code (TaaC)

Моделювання загроз на основі ШІ- Він використовує штучний інтелект для аналізу описів сервісів, виявлення загроз безпеці, візуалізації потоку даних і пропозиції виправлення на основі інструкцій STRIDE та OWASP. Сценарій генерує поглиблений HTML-звіт і містить функцію ручної оцінки ризиків.

Як це працює:
👉 Обробка файлів YAML: завантажує та перевіряє файл YAML, що містить відомості про службу
👉 Аналіз загроз AI: якщо надається ключ OpenAI API, сценарій використовує AI для створення комплексного аналізу моделювання загроз
👉 Генерація потоку даних: автоматично створює візуальне представлення потоку даних у службі
👉 Керування ризиками вручну: користувачі можуть вручну додавати, змінювати або викреслювати ризики у створеному звіті
👉 Створення звіту: створює детальний звіт у форматі HTML, включаючи ризики, створені штучним інтелектом, і додані вручну

Ця тулза додана в чітшіт OWASP https://cheatsheetseries.owasp.org/cheatsheets/Threat_Modeling_Cheat_Sheet.html

Тулза - https://github.com/yevh/TaaC-AI

90 Days Of DevOps

Цей репозиторій – шлях для самопідготовки до професії DevOps-інженера та отримання більш глибоких базових знань про DevOps.

- Мета полягає в тому, щоб протягом 90 днів, по 1 годині на день, вивчити понад 13 областей «DevOps» та отримати базові знання.

https://github.com/MichaelCade/90DaysOfDevOps

SpiderFoot — це інструмент автоматизації розвідки з відкритим кодом (OSINT). Він інтегрується практично з усіма доступними джерелами даних і використовує низку методів аналізу даних, що полегшує навігацію по цих даних.

SpiderFoot має вбудований веб-сервер для забезпечення чистого та інтуїтивно зрозумілого веб-інтерфейсу, але його також можна використовувати повністю через командний рядок. Він написаний на Python 3 і має ліцензію MIT.

https://github.com/smicallef/spiderfoot

А тепер мені стало ясно чого мені так тяжко йде програмування😅 Напевно той хто знає мови програмування, знає чого хочуть жінки😂

ffuf - Fuzz Faster U Fool

Це інструмент для фазінгу веб та мобільних застосунків і пошуку прихованих ресурсів на сервері. Він надає можливість сканування серверів на наявність прихованих директорій та файлів, а також вміє робити проведення атак на слабкі паролі.

Цей інструмент надає можливість працювати з різними протоколами, такими як HTTP, HTTPS, та підтримує використання проксі-серверів для анонімного сканування. Крім того, ffuf дозволяє настроювати заголовки запитів, що робить його потужним інструментом для тестування безпеки додатків.

https://github.com/ffuf/ffuf

John the Ripper
Це інструмент для відновлення паролів. Він використовується для тестування складності паролів та виявлення вразливих облікових записів.

Етичні хакери можуть використовувати John the Ripper для аналізу паролів та попередження про слабкі облікові дані.

https://github.com/openwall/john

OSINT framework

Це фреймворк з простим та зручним інтерфейсом. В ньому все структуровано на підрозділи, відповідно до призначення

-тузли для ресьорчингу соц. мереж
- поштових скриньок,
- геолокації,
- юзернеймів тощо.

https://osintframework.com/

А як у вас працюють процеси з безпеки?😅