Forwarded from локальный мем
Forwarded from Social Engineering
👨🏻💻 Whonix 16. Релиз дистрибутива.
• Выход в сеть из окружения Whonix-Workstation производится только через шлюз Whonix-Gateway, такая схема позволяет изолировать рабочее пространство от прямого взаимодействия с внешним миром и допускает использование только фиктивных сетевых адресов. Данный подход позволит защитить тебя от утечки реального IP-адреса в случае взлома web-браузера и даже при эксплуатации уязвимости, дающей атакующему root-доступ к системе.
• Взлом Whonix-Workstation позволит атакующему получить только фиктивные сетевые параметры, так как реальный IP адрес и параметры DNS скрыты за границей сетевого шлюза, который направляет трафик только через #Tor. При этом следует учитывать, что компоненты Whonix рассчитаны на запуск в форме гостевых систем, т.е. не исключена возможность эксплуатации критических 0-day уязвимостей в платформах виртуализации, которые могут предоставить доступ к хост-системе. В связи с этим, не рекомендуется запускать Whonix-Workstation на том же компьютере, что и Whonix-Gateway. Одним из самых надежных вариантов считается запуск Whonix в Qubes OS на доверенном железе с эталонной прошивкой. Это форк Fedora от Йоанны Рутковской, использующий гипервизор Xen.
• В Whonix-Workstation по умолчанию предоставляется пользовательское окружение Xfce. В поставку включены такие программы, как VLC, #Tor Browser, Thunderbird + TorBirdy, Pidgin и т.д. В поставке Whonix-Gateway можно найти набор серверных приложений, в том числе Apache httpd, ngnix и IRC-серверы, которые могут использоваться для организации работы скрытых сервисов #Tor. Возможен проброс поверх #Tor туннелей для Freenet, #i2p, JonDonym, #SSH и #VPN. Сравнение #Whonix с #Tails, #Tor Browser, Qubes OS, TorVM и corridor можно найти тут. При желании, пользователь может обойтись только Whonix-Gateway и подключить через него обычные ОС, в том числе #Windows, что даёт возможность обеспечить анонимный выход для уже находящихся в обиходе рабочих станций.
• Основные изменения, в релизе 16 версии, доступны по ссылке.
• Много полезного материала, касательно ОС Whonix, ты можешь найти на Хабре.
• Отличная статья-инструкция по установке шлюза и рабочей станции "Whonix Gatawey" доступная на CodeBy.
‼️ Данный материал подготовлен благодаря www.opennet.ru. Дополнительную информацию ты можешь найти по хештегам #Kodachi #Tails #Kali #Linux #whonix #Tsurugi #BlackArch #Parrot #Анонимность и #ИБ. Не забывай делиться с друзьями, добавляй в избранное и включай уведомления что бы не пропустить новый материал. Твой S.E.
🖖🏻 Приветствую тебя user_name.• 7 Сентября состоялся релиз дистрибутива Whonix 16. Дистрибутив основан на Debian GNU/Linux и использует #Tor для обеспечения анонимности. Особенностью Whonix является разделение дистрибутива на два отдельно устанавливаемых компонента - Whonix-Gateway, который выступает в роли сетевого шлюза для анонимных коммуникаций и Whonix-Workstation с рабочим столом.
• Выход в сеть из окружения Whonix-Workstation производится только через шлюз Whonix-Gateway, такая схема позволяет изолировать рабочее пространство от прямого взаимодействия с внешним миром и допускает использование только фиктивных сетевых адресов. Данный подход позволит защитить тебя от утечки реального IP-адреса в случае взлома web-браузера и даже при эксплуатации уязвимости, дающей атакующему root-доступ к системе.
• Взлом Whonix-Workstation позволит атакующему получить только фиктивные сетевые параметры, так как реальный IP адрес и параметры DNS скрыты за границей сетевого шлюза, который направляет трафик только через #Tor. При этом следует учитывать, что компоненты Whonix рассчитаны на запуск в форме гостевых систем, т.е. не исключена возможность эксплуатации критических 0-day уязвимостей в платформах виртуализации, которые могут предоставить доступ к хост-системе. В связи с этим, не рекомендуется запускать Whonix-Workstation на том же компьютере, что и Whonix-Gateway. Одним из самых надежных вариантов считается запуск Whonix в Qubes OS на доверенном железе с эталонной прошивкой. Это форк Fedora от Йоанны Рутковской, использующий гипервизор Xen.
• В Whonix-Workstation по умолчанию предоставляется пользовательское окружение Xfce. В поставку включены такие программы, как VLC, #Tor Browser, Thunderbird + TorBirdy, Pidgin и т.д. В поставке Whonix-Gateway можно найти набор серверных приложений, в том числе Apache httpd, ngnix и IRC-серверы, которые могут использоваться для организации работы скрытых сервисов #Tor. Возможен проброс поверх #Tor туннелей для Freenet, #i2p, JonDonym, #SSH и #VPN. Сравнение #Whonix с #Tails, #Tor Browser, Qubes OS, TorVM и corridor можно найти тут. При желании, пользователь может обойтись только Whonix-Gateway и подключить через него обычные ОС, в том числе #Windows, что даёт возможность обеспечить анонимный выход для уже находящихся в обиходе рабочих станций.
• Основные изменения, в релизе 16 версии, доступны по ссылке.
• Много полезного материала, касательно ОС Whonix, ты можешь найти на Хабре.
• Отличная статья-инструкция по установке шлюза и рабочей станции "Whonix Gatawey" доступная на CodeBy.
‼️ Данный материал подготовлен благодаря www.opennet.ru. Дополнительную информацию ты можешь найти по хештегам #Kodachi #Tails #Kali #Linux #whonix #Tsurugi #BlackArch #Parrot #Анонимность и #ИБ. Не забывай делиться с друзьями, добавляй в избранное и включай уведомления что бы не пропустить новый материал. Твой S.E.
XSpear — XSS сканер с открытым исходным кодом. Написан на языке Ruby.
https://github.com/hahwul/XSpear
#web
https://github.com/hahwul/XSpear
#web
GitHub
GitHub - hahwul/XSpear: 🔱 Powerfull XSS Scanning and Parameter analysis tool&gem
🔱 Powerfull XSS Scanning and Parameter analysis tool&gem - hahwul/XSpear
Forwarded from ServerAdmin.ru
Небольшая шпаргалка по настройкам nginx для повышения безопасности веб сервера.
📌 Отключите server_tokens, чтобы nginx не показывал свою версию.
📌 Отключите старые версии tls и ssl. Сейчас нормально поддерживать только tls 1.2 и 1.3.
Также уделите внимание настройке ciphers, убрав те, что содержат уязвимости. Помочь в этом может сервис SSL Configuration Generator.
📌 Если есть возможность, ограничьте HTTP методы, убрав те, что вам точно не нужны.
📌 Установите модуль ModSecurity.
https://github.com/SpiderLabs/ModSecurity
Хорошее видео по установке и настройке этого модуля:
https://www.youtube.com/watch?v=XzeO2EL4sLU
📌 Используйте заголовок X-Frame-Options. Это позволит защититься от click-jacking атак, явно указав, что страница может загружаться в том же frame, что и сам сайт.
📌 Используйте заголовок Content-Security-Policy. Это позволит защититься от XSS атак.
Это только пример! Подобрать настройки политики стоит самостоятельно в каждом конкретном случае. Если нет желания разбираться, не настраивайте вообще. Еще информация по этой политике и nginx тут.
И не забывайте, что есть отличный сервис по генерации конфигов nginx на все случаи жизни. Я тестировал его, работает нормально, можно пользоваться.
Свой итоговый конфиг можно проверить на ошибки с помощью утилиты gixy, о которой я тоже уже писал ранее.
#nginx #webserver
📌 Отключите server_tokens, чтобы nginx не показывал свою версию.
server_tokens off;📌 Отключите старые версии tls и ssl. Сейчас нормально поддерживать только tls 1.2 и 1.3.
ssl_protocols TLSv1.2 TLSv1.3;Также уделите внимание настройке ciphers, убрав те, что содержат уязвимости. Помочь в этом может сервис SSL Configuration Generator.
📌 Если есть возможность, ограничьте HTTP методы, убрав те, что вам точно не нужны.
location / {limit_except GET HEAD POST { deny all; }}📌 Установите модуль ModSecurity.
https://github.com/SpiderLabs/ModSecurity
Хорошее видео по установке и настройке этого модуля:
https://www.youtube.com/watch?v=XzeO2EL4sLU
📌 Используйте заголовок X-Frame-Options. Это позволит защититься от click-jacking атак, явно указав, что страница может загружаться в том же frame, что и сам сайт.
add_header X-Frame-Options "SAMEORIGIN";📌 Используйте заголовок Content-Security-Policy. Это позволит защититься от XSS атак.
add_header Content-Security-Policy "default-src 'self';" always;Это только пример! Подобрать настройки политики стоит самостоятельно в каждом конкретном случае. Если нет желания разбираться, не настраивайте вообще. Еще информация по этой политике и nginx тут.
И не забывайте, что есть отличный сервис по генерации конфигов nginx на все случаи жизни. Я тестировал его, работает нормально, можно пользоваться.
Свой итоговый конфиг можно проверить на ошибки с помощью утилиты gixy, о которой я тоже уже писал ранее.
#nginx #webserver
Forwarded from Codeby
Собери себе BadUsb, не хуже, чем Rubber Ducky от Hak5
Всем привет! Представляю вашему вниманию статью из разряда “очумелые ручки”.
С помощью платы с микроконтроллером Atmega32u4 и паяльника сделаем BadUSB.
Читать: https://codeby.net/threads/soberi-sebe-badusb-ne-xuzhe-chem-rubber-ducky-ot-hak5.74984/?amp=1
#badusb #hid #key
Всем привет! Представляю вашему вниманию статью из разряда “очумелые ручки”.
С помощью платы с микроконтроллером Atmega32u4 и паяльника сделаем BadUSB.
Читать: https://codeby.net/threads/soberi-sebe-badusb-ne-xuzhe-chem-rubber-ducky-ot-hak5.74984/?amp=1
#badusb #hid #key
Forwarded from Codeby
RustScan — современный взгляд на сканер портов
RustScan - это современный взгляд на сканер портов. Изящный и быстрый.
Не говоря уже о том, что RustScan использует Adaptive Learning, чтобы совершенствоваться по мере использования.
Читать: https://codeby.net/threads/rustscan-sovremennyj-vzgljad-na-skaner-portov.75930/?amp=1
#soft #port #scanner
RustScan - это современный взгляд на сканер портов. Изящный и быстрый.
Не говоря уже о том, что RustScan использует Adaptive Learning, чтобы совершенствоваться по мере использования.
Читать: https://codeby.net/threads/rustscan-sovremennyj-vzgljad-na-skaner-portov.75930/?amp=1
#soft #port #scanner
Forwarded from Книги для программистов
[OccupyTheWeb]_Linux_Basics_for_Hackers__Getting_S.pdf
14.2 MB
Linux Basics for Hackers: Getting Started with Networking, Scripting, and Security in Kali
This practical, tutorial-style book uses the Kali Linux distribution to teach Linux basics with a focus on how hackers would use them. Topics include Linux command line basics, filesystems, networking, BASH basics, package management, logging, and the Linux kernel and drivers.
If you're getting started along the exciting path of hacking, cybersecurity, and pentesting,Linux Basics for Hackers is an excellent first step. Using Kali Linux, an advanced penetration testing distribution of Linux, you'll learn the basics of using the Linux operating system and acquire the tools and techniques you'll need to take control of a Linux environment.
#book #linux
This practical, tutorial-style book uses the Kali Linux distribution to teach Linux basics with a focus on how hackers would use them. Topics include Linux command line basics, filesystems, networking, BASH basics, package management, logging, and the Linux kernel and drivers.
If you're getting started along the exciting path of hacking, cybersecurity, and pentesting,Linux Basics for Hackers is an excellent first step. Using Kali Linux, an advanced penetration testing distribution of Linux, you'll learn the basics of using the Linux operating system and acquire the tools and techniques you'll need to take control of a Linux environment.
#book #linux