Відео курс IOS pentest

https://www.youtube.com/playlist?list=PL5Fxd3nu70eyqiqrVlD9QMoaOARr082TA

Відео курс Android pentest

https://www.youtube.com/watch?v=wceNGmfv0zk&list=PL1f72Oxv5SylOECx9M34pLZlNa7YkJJ14&index=14

А як у вас з шерінгом екрану?😅

Курс Red Teaming

Цей відеокурс познайомить вас із червоною командою, ознайомить вас з застосуванням наступальної кібербезпеки. Ви також дізнаєтеся про ключові відмінності між Red Teaming і тестуванням на проникнення.

https://www.youtube.com/watch?v=rHxYZwMz-DY&list=PLBf0hzazHTGMjSlPmJ73Cydh9vCqxukCu&index=1

А в якому стані у вас сервери?😅

Навчальний посібник "Безпека вебдодатків" – доступний українською мовою!

Я випустив посібник "Безпека вебдодатків".
📖 Що всередині посібника?
🔹 Основи веббезпеки: типи вебсистем, клієнт-серверна архітектура, модель OSI, шифрування
🔹 Контроль доступу: ідентифікація, аутентифікація, авторизація, управління сесіями
🔹 Захист від атак: XSS, CSRF, SQL-ін'єкції, XXE, SSRF, brute-force, DoS
🔹 Практичні аспекти: тестування безпеки, пентестинг (Nmap, Burp Suite, Metasploit)
🔹 Безпечне програмування: SDLC, моделювання загроз (STRIDE, PASTA), запобігання помилкам
🔹 Економічні аспекти веббезпеки та інвестування у кіберзахист

Посібник розроблено для бакалаврів "Кібербезпека та захист інформації", але буде корисним і для інших IT-спеціальностей.

📥 Завантажити безкоштовно:
🔗 https://eztuir.ztu.edu.ua/bitstream/handle/123456789/8791/Пірог.pdf?sequence=1&isAllowed=y

А це той випадок коли кажуть, що будь хто може провести пентест😅

Nmap для початківців!

Це безкоштовна утиліта з відкритим вихідним кодом для виявлення мережі та аудиту безпеки.

Сумісність з ОС: Linux, Windows і Mac (передбачено стоїть із коробки в Kali linux, BlackArch та parrot OS)

https://www.youtube.com/playlist?list=PLBf0hzazHTGM8V_3OEKhvCM9Xah3qDdIx

Mobile Hacking CheatSheet - шпаргалка зі злому мобільних додатків

Це узагальнені кілька цікавих базових інформацій про інструменти та команди, необхідні для оцінки безпеки мобільних додатків Android

А як ви ховаєте флешку з Live Kali Linux, щоб скрити свої брудні делішки?😅

Я думаю багато хто зтикався з проблемою коли треба попрацювати з PDF-документами, але не знали яким існтрументом можна таке зробити

- обрізати,
- об'єднати,
- розділити,
- конвертувати,
- прочитати метадані
- тощо,

але саме головне, вони ще можуть містити в собі чутливу інформацію і ви не хочете завантажувати їх на сторонні онлайн-сервіси, то ось рішення. Я просто стикнувся з цією проблемою коли починав тестувати флоу, тестування вимог через чат гпт, то ось що я надибав для зручності:

1. Інструменти командного рядка, наприклад, команди у linux для роботи з PDF-файлами:

ocrmypdf - розпізнавання тексту
pdftotext - витягти текст
pdfimages - витягти зображення
exiftool - витягти метадані
pdfgrep - пошук збігів за ключовими словами
pdfunite - об'єднати PDF-файли в один файл (для швидшого та зручнішого перегляду)

2. Самостійно розміщеними на компі PDF-сервісами, такими як Stirling PDF

https://github.com/Stirling-Tools/Stirling-PDF

Моніторинг здорової людини
https://www.youtube.com/watch?v=i1w_48V5VTU

Як у вас справи з налаштуванням мереж?

Burp Extensions

Burp Extensions – це доповнення до інструменту Burp Suite, що дозволяє розширити його функціонал.

IntruderPayloads

Це скарбниця корисних навантажень для Burpsuite Intruder, я думаю багато хто використовує цю утиліту в Burpsuite, ось вам репозиторій де лежать багато пейлоудів для багатьох вразливостей.

Тут ти знайдеш:
1. 🕷️ Павуки, роботи та сканери (IG-001) — автоматизовані інструменти для виявлення слабких місць у веб-застосунках.
2. 🔍 Система пошуку та рекогносцировки (IG-002) — збір даних для визначення потенційних точок атаки.
3. 🎯 Визначення точок входу в застосунок (IG-003) — розкриття можливих місць для ін’єкцій та експлойтів.
4. 🖼️ Тестування на виявлення відбитків веб-додатків (IG-004) — методи розпізнавання фреймворків та серверів.
5. 🚪 Виявлення прихованих застосунків (IG-005) — методи для пошуку прихованих URL, API та ресурсів.
6. 🛠️ Аналіз кодів помилок (IG-006) — як використати інформацію про помилки для подальшого проникнення.
7. 🔐 Тестування SSL/TLS — перевірка безпеки SSL/TLS конфігурацій.
8. ⚡ І ще багато іншого .

https://github.com/1N3/IntruderPayloads

Одна із технік багбаунті-хакінгу для автоматизованого виявлення публічно доступних інстансів.

shodan search org:"Target" http.favicon.hash:0101010101 --fields ip_str,port --separator " " | \
awk '{print $1":"$2}' | \
while read host; do ffuf -u http://$host/FUZZ -mc 200 -w dictionary.txt ; done

За допомогою цієї техніки можна шукати відкриті сторінки із помилками, або інші внутршні дані, що випадково опинились у публічному доступі.
favicon.hash у даному випадку використовується для виявлення сервісів які мають той самий хеш. До прикладу в інфраструктурі крутиться Kibana → favicon.hash для кожного сервісу є унікальний. Відповідно, не потрібно сканувати весь інтернет для виявлення вразливості.

І результати такої техніки 💵

HACK JWT, підвищуємо привілегії до адміна, CSRF, Python, BurpSuite, PortSwigger Лаба 22(JWT).

У цій лабораторній ми спарсимо #CSRF token, використаємо JWT attack non algorithm для взлому #JWT токена з метою підвищення привілеїв до рівня #admin та видалимо користувача, хоч така опція для нашого облікового запису не передбачена. Попрацюємо з Python та #Base64, щоб редагувати значення токена.

https://www.youtube.com/watch?v=tn-tLfImB3Y

VAmPI — це вразливий API, створений за допомогою Flask, який містить уразливості з топ-10 вразливостей OWASP для API. Він був створений, оскільки мені потрібен був вразливий API для оцінки ефективності інструментів, що використовуються для виявлення проблем безпеки в API. Він містить перемикач, який дозволяє вмикати/вимикати API як вразливий під час тестування. Це дозволяє краще охопити випадки хибнопозитивних/негативних результатів.

Особливості
На основі 10 головних вразливостей OWASP для API.
Специфікації OpenAPI3 та колекція Postman включені.
Глобальне ввімкнення/вимкнення, щоб мати чи ні вразливе середовище.
Аутентифікація на основі токенів (налаштування терміну дії з app.py)
Доступний інтерфейс Swagger для безпосередньої взаємодії з API

https://github.com/erev0s/VAmPI

Перші нароботки машини часу з моніторів, щоб повернути час назад...

А ви пробували хакнути ChatGPT? Хлопець до успіху майже дойшов....