Перелік загальнодоступних програм bug bounty.

Метою цього проекту є:
- допомога мисливцям за винагородами якнайшвидше почати роботу з новими програмами.
- надати командам безпеки кращу видимість своїх активів.
- зменшити навантаження та шум, з яким стикаються деякі програми від автоматизованих інструментів

https://github.com/trickest/inventory

​​Вийшов новий реліз від Kali

https://www.kali.org/blog/kali-linux-2022-3-release/

​​В тебе валяється непотрібний смартфон, не знаєш куди його заюзати?

Ось список додатків для користувачів Android на всі випадки життя.

1. Haven — додаток, який перетворює ваш смартфон на повноцінну камеру відеоспостереження з фіксацією рухів та вібрацій.

2. MetalSniffer — перетворює смартфон на портативний детектор сигналів та прихованих пристроїв.

3. Hidden Camera Detector — додаток для виявлення прихованих камер за допомогою інфрачервоних та магнітних сенсорів смартфона.

4. Fing — перетворює смартфон на Wi-Fi сканер мереж, у тому числі можна дивитися, які пристрої підключено до площі Wi-Fi.

5. tinyCam Monitor — програма для підключення смартфона до будь-якої камери.

​​autossrf

Це ваш союзник у масштабному виявленні вразливостей SSRF. На відміну від інших інструментів автоматизації ssrf, цей має дві такі оригінальні функції:

1) Розумний фаззинг на відповідних параметрах SSRF GET
Під час фаззингу autoSSRF зосереджується лише на загальних параметрах, пов’язаних із SSRF (?url=, ?uri=, ..), і не заважає всьому іншому. Це гарантує, що вихідна URL-адреса все ще буде правильно зрозуміла перевіреною веб-програмою, чого може не статися з інструментом, який сліпо розпилює параметри запиту.

2) Генерація динамічних корисних навантажень на основі контексту
Для вказаної URL-адреси: https://host.com/?fileURL=https://authorizedhost.com, autoSSRF розпізнає authorizedhost.com як потенційно білий список хостів для веб-програми та генерує корисні дані динамічно на основі цього , намагаючись обійти перевірку білого списку. Це призведе до цікавих корисних даних, таких як: http://authorizedhost.attacker.com, http://authorizedhost%252F@attacker.com тощо.

​​Завантаживши зображення з сайту може виникнути бажання знайти джерело або зображення в мережі інтернет. Часом зробити це не завжди буває просто.

У стандартних пошукових системах є пошук по картинці, але найчастіше знайти щось дійсно інформативне буває важко. До того ж база даних зображень стандартних пошукових систем не така велика, як у спеціалізованих сайтів.

Завдяки великому сервісу для пошуку зображень TinEye можна не тільки знайти зображення через сайт, а й використовувати розширення для браузера або API сервісу. Розширення NooBox справжній набір інструментів для роботи із зображеннями.

Давно не дивилися конференції по інформаційній безпеці? Ось список ютуб каналів де можна подивитися новенькі конференції, хоч якось... А я вже так сильно скучив за оффлайн конфами, які були в Україні так давно....

👉 Defcon
👉 BSidesLV
👉 Troopers
👉 ARE41
👉 SANS ransomware summit
👉 May Contain Hackers

​​Видаляємо метадані з фотографій на смартфоні

1. Exif Eraser — програма для чищення метаданих із файлів формату JPEG, PNG та WebP. Для користувачів Android.

2. Metapho — програми для видалення EXIF та даних геолокації з ваших фото. Для користувачів iOS.

3. Scrambled Exif — додаток для видалення метаданих з фотографій перед їх надсиланням. Для користувачів Android.

4. Imgonline — сервіс, який дозволяє видалити з фотографії EXIF, IPTC, XMP метадані та іншу додаткову інформацію, окрім самого зображення.

5. MAT2 — безкоштовний софт з відкритим вихідним кодом для видалення всіх метаданих з фотографій, аудіо, документів та торрент-файлів.

6. Imagepipe – також видаляє дані EXIF ​​перед відправкою зображення. Для користувачів Android.

Інструкція по головним командам ГІТ

​​exiftool – це незалежний від платформи командний рядок та програма з графічним інтерфейсом для читання, запису та редагування метаінформації зображень та медіафайлів. Метаданими можуть бути координати GPS, теги, час створення, час редагування, ім'я пристрою тощо.

https://svyat.tech/Exiftool-in-Linux-Windows/

​​Список корисних тулзів для роботи з паролями:

1. Перевірка на брут/злив

How secure is my password — сервіс для перевірки надійності паролів. Показує приблизний час зламування пароля (підбору).

DeHashed — сервіс пошуку за базою зламаних та вкрадених персональних даних.

https://spycloud.com/check-your-exposure

https://leakcheck.appspot.com/

https://monitor.firefox.com/

https://ghostproject.fr/

https://sitecheck.sucuri.net/

2. Зберігання паролів

Spectre- надійний менеджер паролів, що не зберігає ваші паролі за фактом, а генерує їх на льоту.

Dashlane - менеджер + генератор складних паролів.

KeePassDX - менеджер паролів з відкритим вихідним кодом. Для користувачів Android.

KeeWeb - безкоштовний крос-платформний менеджер паролів, сумісний з KeePass.

Bitwarden - безкоштовний і відкритий менеджер паролів. Підтримує безпечну синхронізацію між усіма пристроями із можливістю хостингу на власному сервері.

Веб-токен JSON (JWT) — це формат даних із підписом і механізмами шифрування, які часто використовуються сучасними веб-програмами для зберігання сеансів користувачів і контексту програми, включаючи автентифікацію за допомогою SSO та метаданих.

Зазвичай ви можете знайти маркери JWT у заголовках HTTP носія автентифікації для автентифікованих викликів API.

Аудити безпеки, показують, що 95% токенів не зашифровані. Розробники часто залишають його порожнім, слабким або за замовчуванням. А друга проблема, що зловмисники в автономному режимі можуть підбирати секрети, використовуючи лише зразок JWT. Ви можете зробити це за допомогою інструментів John the Ripper або Hashcat


Щоб перевірити, чи ваша реалізація JWT вразлива для загальновідомих секретів, ви можете виконати такі команди:

$ git clone https://github.com/wallarm/jwt-secrets/blob/master/jwt.secrets.list - качаємо список
$ brew install hashcat - устанавлюємо hashcat
$ hashcat -m 16500 /tmp/jwt.hash /path/to/jwt.secrets.list - запускаємо брутфорс на ваш хеш jwt

Також цей список можна зразу додати в Burp Suite і з нього робити перевірки на захист. Завантаживши цей плагін в нього https://github.com/wallarm/jwt-heartbreaker/releases/download/0.1/jwt-heartbreaker-1.0- SNAPSHOT-jar-with-dependencies.jar

​​Нова методика обходу 403 помилки на прикладі піддомена Microsoft

Ще один метод, який може бути використаний для отримання доступу до ресурсів, доступ до яких заборонено, а також для отримання IP-адреси сервера, захованого за CDN.

https://telegra.ph/Novaya-metodika-obhoda-403-lyncdiscovermicrosoftcom-09-17

​​Nmap Tutorial - Scan and Exploit Network Vulnerabilities

NMAP or Network Mapper is a tool used to scan networks to find active hosts or devices in that network and search for known vulnerabilities.
-
Video Chapters
0:00 Intro
0:16 Discovering active Hosts/Devices
1:04 Port Scanning with Nmap
2:08 Stealth Mode
2:30 Scanning a specific host
2:55 OS Detection
3:45 Aggressive Mode
4:20 Nmap noscripts to find Vulnerabilities

https://www.youtube.com/watch?v=kzvBO_EeAPk

Якщо ви хочете розвиватися в пентестера то без знань команд лінухи буде тяжко, ось найважливіші команди, щоб працювати в лінукс

​​📱 Як виявити шкідливий QR-код

Усі хоч раз зустрічалися з довгими URL-адресами, які містять безліч UTM-міток, призначених для збору статистики відвідувань. Щоб вручну не переписувати величезне посилання з продукту, набагато легше відсканувати QR-код за допомогою смартфона та перейти на сайт.

Здавалося б, що може бути небезпечним у звичайному QR-коді? Все банально просто: при скануванні URL-адреса найчастіше прихована, а іноді сканер і зовсім, без вашого попиту, перенаправляє вас на сайт. Відповідно, ви дуже легко можете опинитися на фішинговому сайті.

На щастя, завжди можна застерегти себе від такої ситуації. Використовуйте перевірені QR-сканери, які інформують вас про безпеку QR-коду, можна використовувати онлайн-сервіси, які не лише розшифрують зображення, а й перевірять дані через сканер:

1) RevealQR (https://revealqr.app/),
2) Flaash (https://flaash.me/).

Не варто сканувати будь-що, не перевіривши це.

Cheat Sheets по Wireshark

​​Я тебе по IP вирахую! 😱😱😜

Всі ми стикалися з подібними загрозами в іграх, соц. мережах, на роботі та месенджерах. Як правило, далі погроз справа не заходила, та й усі розуміли, що вирахувати по IP неможливо, чи не так?

Точне розташування дізнатися за адресою комп'ютера в інтернеті неможливо, але тільки у випадку, якщо людина використовує VPN або проксі. В інших випадках вирахувати зразкове місце не складе труднощів. Зазвичай при цьому використовують онлайн-сервіси.

Перейшовши за посиланням, щоб переглянути гарну картинку, ви навіть не зрозумієте, що зловмисник вже дізнався ваш IP. Такі посилання роблять за допомогою подібного сервісу

Grabify (https://grabify.link/). Закидуєш в нього лінк на картинку, він автоматом додасть IP логер в ту лінку. Після того як людина перейде по той лінці, яку ви кинете, вже не буде важко обчислити місце розташування людини.

Убер після недавнього інциденту https://itbusiness.com.ua/hardnews/151768-uber-zayavlyaet-chto-rassleduet-inczident-kiberbezopasnosti.html . Ось коли бізнес задумується про безпеку😂

​​Logger++ Плагін в Burp Suite для пошуку вразливостей в API

Logger++ — це розширення для багатопотокового логування для Burp Suite. Це розширення дозволяє визначати розширені фільтри, щоб виділяти цікаві записи або логи фільтрів лише для тих, які відповідають потрібному фільтру. Ось колекція від logger++ для пошуку вразливостей API.

1) API Endpoints
-REST/RPC
-GraphQL
2) API Operations
-REST
-GraphQL
-RPC
3) API Vulnerabilities
-Excessive Data Exposure
-Mass Assignment
-Injection and Broken Object Level
-Security Misconfiguration
-Broken Authentication
-SSRF
-Open Redirect
-Lack of Resources and Rate Limiting
-XSS

https://github.com/bnematzadeh/LoggerPlusPlus-API-Filters

​​Доповнив статтю по баш скриптам, розділами як можно за допомогою баш скриптів реалізувати автоматичний моніторинг вашого сайту та як налаштувати автоматичні повідомлення до вас якщо сайт лежить та коли сайт підіймається.

https://svyat.tech/Bash-noscripts-Linux/