Security Lab

Обход панели администратора с помощью SQL-инъекции

Сегодня я хочу поделиться недавним открытием: я обнаружил уязвимость в веб-приложении, которая позволяла мне обойти его панель администратора. Я объясню, как работает эта уязвимость, известная как SQL-инъекция, и как я использовал ее для получения несанкционированного доступа. https://medium.com/@medz20876/blog-post-bypassing-an-admin-panel-with-sql-injection-20b844442711

[Перевод] История одного наследства: как я с помощью OSINT и социальной инженерии заскамил скамера.

Зарубежный исследователь hatless1der в своём личном блоге поделился довольно актуальной проблемой, с которой сталкивались очень многие в своей обыденной жизни вне зависимости от профессии.

Вашему вниманию предоставляется перевод этой увлекательной истории как примера применения своих навыков в бытовых реалиях.

Я получил это письмо на свой почтовый ящик для бизнеса еще в 2022 году, и оно попало прямиком в папку спама, как это и должно было быть...

Читать далее https://habr.com/ru/articles/772042/

Коллекция Python Hacks примеры кода для различных задач кибербезопасности.

https://github.com/RekhuGopal/PythonHacks

Интерфейс — это первое, что получает пользователь, когда использует ваш веб-сайт или веб-приложение. Если внешний интерфейс вашего веб-приложения взломан, это может повлиять на весь макет и создать ужасный пользовательский опыт, от которого будет трудно восстановиться. Эта статья расскажет вам о превентивных контрмерах, которые вы можете применить для защиты своих веб-приложений. https://blog.openreplay.com/front-end-security--threats-and-countermeasure

Не набирайте тексты в интернете, или Обфускация времени между нажатиями клавиш в SSH

В августе этого года в ssh(1) (клиент OpenSSH) внесено изменение с поддержкой обфускации тайминга нажатий клавиш, то есть интервалов между временем нажатия клавиш на клавиатуре.

Спрашивается, почему разработчики озаботились такими нюансами информационной безопасности? Но причина есть. И на самом деле такие меры должны предпринять все программы, которые допускают ввод паролей в интернете (или вообще любого конфиденциального текста). В первую очередь, браузеры и мессенджеры. https://habr.com/ru/companies/ruvds/articles/770792/

Как распознать мошеннический сайт. Памятка безопаснику для обучения пользователей основам ИБ.

Продолжаю делиться советами на основе собственного опыта о том, как сеять умное-доброе-вечное среди сотрудников и при этом не наломать дров. Сегодня же хочу сфокусироваться на теме фишинговых сайтов. Под катом материал, который на мой взгляд будет полезен отделам ИБ и ИТ, на которых свалилось «счастье» повышать уровень киберграмотности сотрудников.

Читать далее https://habr.com/ru/companies/searchinform/articles/770700

Модели машинного обучения (ML) доступны публично через Интернет внутри команд и между командами. Рост базовых моделей привел к тому, что общедоступные модели ML все чаще используются для дальнейшего обучения/точной настройки. Модели машинного обучения все чаще используются для принятия важных решений и поддержки критически важных приложений. Несмотря на это, модели не сканируются так же тщательно, как PDF-файл в вашем почтовом ящике.

modelscan (Github Repo) ModelScan - это проект с открытым исходным кодом, который сканирует модели на предмет наличия в них небезопасного кода. Инструмент поддерживает множество форматов и режимов выполнения ML, и в ближайшее время будут добавлены новые возможности. Это первый инструмент для сканирования моделей, поддерживающий несколько форматов моделей. подробнее→ https://github.com/protectai/modelscan

** Понимание и совершенствование пользовательского интерфейса Ghidra для анализа вредоносного ПО (3 минуты чтения)

В этой статье приведены некоторые советы по улучшению пользовательского интерфейса Ghidra для упрощения анализа вредоносного ПО. К ним относятся включение темного режима, подсветка текста курсором, окно просмотра энтропии, дерево вызовов функций и граф функций. подробнее→ https://embee-research.ghost.io/understanding-and-improving-ghidra-ui-for-malware-analysis/

Вопросы для собеседования по Web AppSec (16 минут чтения)

Серия вопросов по безопасности веб-приложений для подготовки к собеседованиям. подробнее→

https://tib3rius.com/interview-questions

OSINTk.o — ISO-образ на базе Kali Linux для OSINT-расследований.

https://github.com/LinaYorda/OSINTko

Мы рассмотрим, как защитить маршруты в Next.js 13 с помощью трех различных методов.

Веб-приложения часто обрабатывают конфиденциальные данные и функции администрирования, которые должны быть доступны только прошедшим проверку подлинности пользователям. В таких случаях защита маршрутов становится решающей для защиты этих маршрутов от несанкционированного доступа. https://www.freecodecamp.org/news/secure-routes-in-next-js

Какую информацию современный автомобиль собирает о водителе и пассажирах.

Современный автомобиль — это не просто средство передвижения, а скорее компьютер на колёсах. Около половины его стоимости составляет электроника и софт: сенсоры, контроллеры, компьютерные компоненты и управляющее ПО.

К сожалению, вслед за производителями телевизоров и другой бытовой техники автоконцерны тоже открыли для себя новый источник доходов — сбор данных о своих пользователях (то есть автовладельцах). Такие выводы можно сделать из недавнего отчёта «Приватность не включена» от организации Mozilla. Если верить документу, современный автомобиль — это настоящий комбайн по сбору персональных данных.

Читать дальше →https://habr.com/ru/companies/globalsign/articles/769130

[Перевод] Самые крупные DDoS-атаки нулевого дня на HTTP/2.

В августе и сентябре злоумышленники развернули крупнейшие распределённые DDoS-атаки в истории интернета, эксплуатирующие известную уязвимость в ключевом техническом протоколе. В отличие от других серьёзных атак нулевого дня последних лет – например, Heartbleed или log4j – которые вызвали хаос повсеместным наплывом эксплойтов, более недавняя их форма, получившая название HTTP/2 Rapid Reset, привлекла пристальное внимание лишь нескольких инженеров. Читать дальше →https://habr.com/ru/companies/ruvds/articles/768240

Как автоматизированный анализ кода ИИ может повысить безопасность приложений

Взгляните на то, как инструменты генеративного искусственного интеллекта (Gen AI) могут масштабировать рабочие процессы анализа кода и моделирования угроз Application Security (AppSec). https://betterappsec.com/how-automated-ai-code-analysis-can-scale-application-security-667002ad63c4

Заблокируют ли нам VPN с помощью DPI?.

В сети стали появляться новости о том, что провайдеры закупают DPI оборудование, для того чтобы блокировать VPN. В этой статье я хочу поделиться своим мнением в целом о блокировках и конкретно о DPI.

Как у нас происходят блокировки сейчас?

Роскомнадзор вносит нежелательный ресурс в черный список. Провайдеры вынуждены подчиняться и не пропускать запросы к такому ресурсу. Например, при попытке зайти в твиттер, наш браузер отправляет DNS запрос провайдеру для получения IP-адреса твиттера. Провайдер, поняв то, что этот IP-адрес в черном списке, отдает нам свою страницу, где сообщается о том, что доступ невозможен.

Блокировка IP-адресов не эффективна по многим причинам. Например, необходимый ресурс может просто сменить IP-адрес. Мы такое наблюдали в 2018, когда РКН блокировал телеграм. Телеграм же просто менял адреса. А учитывая, то что телеграм хостился на AWS (Amazon Web Services), где кроме него хостилось огромное количество сайтов, в том числе и сам РКН. В итоге мы получили ситуацию, когда РКН заблокировал всё, что можно, в том числе и себя, а телеграм так и остался не заблокированным.

Но если ресурс, как твиттер не собирается менять IP-адрес, мы все равно можем попасть на него большим количеством способов: использовать другой DNS, прокси, VPN и др. А учитывая то, что в 2023 VPN используют почти все, то у РКН не остается шансов.

Читать далее https://habr.com/ru/articles/768778

Subby (GitHub Repo) Сверхбыстрый и простой инструмент перечисления поддоменов, использующий DNS и веб-запросы с поддержкой обнаружения записей DNS с подстановочными знаками. подробнее→ https://github.com/n0mi1k/subby

Список полезных данных и способов обхода безопасности веб-приложений и Pentest/CTF.

https://github.com/swisskyrepo/PayloadsAllTheThings

Исследователи безопасности обнаружили, что ИТ-администраторы используют десятки тысяч слабых паролей, оставляя дверь открытой для кибератак на корпоративные сети.

Из более чем 1,8 миллиона проанализированных учетных данных администратора более 40 000 записей были «admin», что свидетельствует о том, что пароль по умолчанию широко принят ИТ-администраторами.

https://www.bleepingcomputer.com/news/security/over-40-000-admin-portal-accounts-use-admin-as-a-password/

Python для DevSecOps и любого инженера по безопасности

Нужны ли инженеру DevSecOps навыки программирования? Какова ценность использования Python в целях безопасности? Чему вам нужно научиться, чтобы автоматизировать безопасность в большом масштабе? https://itnext.io/python-for-devsecops-and-any-security-engineer-9ad1fdbb3e02

«Нейрогород»: игра на знание JavaScript про фронтендерские баги.

Нейроград — первый виртуальный мегаполис, в который вот-вот прибудут пользователи. Но есть проблема — кто-то испортил внешний облик города.

Целевая атака? Козни тайного врага? Выясните, кто стоит за этим! А заодно — устраните все баги, обращая внимание на любые странные и необычные явления во внешнем облике города.

Читать дальше →https://habr.com/ru/companies/kaspersky/articles/767218

Сколько стоит ваш Wi-Fi?.

А вы задумывались когда нибудь, сколько стоит разгадать пароль вашего Wi-Fi? Понятно, что все прекрасно помнят, что с увеличением длины парольной фразы - увеличивается сложность и при достаточной длине, перебор занимает ХХХХ - лет.

Давайте разберемся - сколько это стоит... https://habr.com/ru/articles/767164