GOOSE ATT&CK

Привет!
Это подборка каналов участников сообщества ℭ𝔲𝔩𝔱 - самого крутого RedTeam в мире! 😎

Inside - канал незаменимого 😏 капитана команды Cult, RedTeam Lead'a - N3m351d'ы.

asleep_book - личный блог маленькой пентестерки, которая растет вместе с Культом с момента его появления.🐾

Омский бахантер - канал одного из топовых багхантеров в России и почетного участника команды ℭ𝔲𝔩𝔱, победителя металлургического комбината!🏭

REDTalk — канал @closed_character. Cтоим на стыке синего и красного . Говорим об ИБ так, что поймет даже твоя бабушка, а потом еще и тебя научит 🗿

GOOSE ATT&CK – канал участника команды ℭ𝔲𝔩𝔱, корпората, IT/ИБ-инженера и просто хорошей птицы – Гуся.🐥

BackConnect - канал перспективного специалиста команды ℭ𝔲𝔩𝔱 - profileusername 💻. Придерживается правила 3-х «Р»: ресерчи, райтапы, развлекухи.

HackITEasy - еще один авторский блог, в котором один из наших участников рассказывает просто о сложном.👀

May the Force be with you - канал нового члена команды ℭ𝔲𝔩𝔱. В своём блоге пишет об интересных исследованиях, новых уязвимостях и рассказывает об интересных кейсах в пентесте.


Следуй за Культом! (@illuminatyparty)

🔤🔤🔤🔤

По слухам, в Омске продолжают работать ПВЗ СДЭКа. Знаете, почему?

Потому что даже данные не могут покинуть Омск. Хакеры зашли в инфраструктуру, а выйти уже не сумели.

Один из наших участников подготовил крутой лонгрид о прошедших соревнованиях, вот он, в двух частях:

Часть 1
Часть 2

Рекомендуем к прочтению 🧐

Второе место в финале Standoff 13!

Мы в финале 13 стендоффа)

Гусь не забыл про посты, которые обещал написать. Просто майские праздники несколько демотивируют этим заниматься.

Поэтому вот вам краткая хронология того, чем я интересовался последние несколько дней.
Началось всё вот здесь (канал тоже настоятельно рекомендую). От скуки, мозг апокалиптичное настроение подхватил и полез читать уведомления вот тут (актуальное) и смотреть на всякие графики.

Конца света, к счастью, не наступило, зато многие жители центральной России получили возможность увидеть красивые северные сияния в пригородах своих городов (подробнее, где их искать и где смотреть — тут, по крайней мере для Питера).

На сим, кратенькая заметка про жизнь Гуся закончена. Следующие посты, думаю, посвящу более релевантному для канала контенту — про ИБ/IT.

Всем хороших выходных перед продолжением рабочих будней!

Вообще, я планировал написать еще несколько более-менее серьезных очерков, но пока принес вам только это.

Хороших праздников!

Делюсь с вами своей старенькой заметкой/туториалом, как можно упростить себе исследование GraphQL-API, нарисовать красивенькую схемку, обойти отключенную интроспекцию и интерактивно потыкать запросы.

(частично вдохновленно этой статейкой с PortSwigger'а)

Генерация статичной схемы
1. Вытаскиваем схему интроспекцией / clairvoyance через суджесты (которые почти никогда никто не выключает)
2. graphql-introspection-json-to-sdl'ом превращаем json в SDL (.graphql)
3. Делаем из нашей схемы хайрез-картинку при помощи graphqlviz (с пайпом | dot -Tpng > schema.png)

Пункт 2, кажется, опциональный. Документация Graphqlviz подсказывает, что он должен уметь работать и с .json, но по каким-то причинам у меня оно то ли не завелось, то ли мне для интерактивных схем нужен был именно .graphql.

Интерактивное тыкание схемы
Можно пойти двумя путями:
1. Поднять свой Voyager и свой GraphiQL (либо воспользоваться онлайновым, но сливать свои схемы неизвестно кому)
2. Использовать плагин для бурпа graphquail (ставится руками, в магазине его нет)

Дружеское напоминание: очевидно, стоит проверять, что любой из инструментов, используемых вами для отрисовки схемы/работы с ней, не ходит никуда вовне и все происходит у вас локально, если вам важно (как мне) сохранять конфиденциальность рабочих артефактов.

Работа с GraphQL в Burp
Тут вариантов тьма, заходи в магазин, вводи GraphQL и выбирай. Мне, из всего, что я пробовал, больше всего зашел inQL — он, как будто бы, работает побыстрее-постабильнее и жрет поменьше ресурсов.

Ну да чего это я. Вот еще одна милая разноцветная схемка про ИБ от ByteByteGo.

Больше тут.

(На этот раз найдено в Линкеде)

Довольно занимательное исследование от агентства NEWHR по зарплатам в IT. Каких-то особо удивительных инсайтов и выводов я в нем не увидел, но несколько пунктов хочется отметить.

Во первых, почти не растут зарплаты у Junior-позиций. С одной стороны, понятно — джуны для работодателя в условиях кризиса невыгодны. Первые год-полтора-два они работают в минус для компании — их нужно обучать, присматривать за ними и при этом почти не получать никакого профита, и совершенно не факт, что они не уйдут в другую компанию когда освоятся в индустрии.

С другой стороны, "войти в айти" сейчас и так непросто, а отсутствие роста вилок/зарплат стартовых позиций ставит людей в довольно суровые условия старта карьеры. Условные 40-60 тысяч рублей (среднее для джуна в Москве) два года назад и сейчас — совершенно разные деньги.

Готов аккуратно предположить, что рост историй с накручиванием опыта и обманом работодателя связан, в том числе, и с этим.

Во вторых, активнее всего сейчас растут Middle-специалисты, aka рабочие лошадки, оно и понятно — компании хотят много и быстро деливерить (необязательно качественно). Почему-то мне кажется (лениво искать соответствующие исследования), что миддлы — костяк нашего IT и составляют большую часть российских айтишников.

Да, сам факт роста — круто. Но инфляцию он, по субъективному ощущению, не покрывает, и, кроме того, опять же по личному мировосприятию, зарплаты у Sr. и Middle специалистов скоро перестанут отличаться, в отличии от их зоны ответственности.

То есть, в среднем, если предположить, что у человека цель работы в IT — заработок денег, то непонятно, как его смотивировать тянуться к грейду повыше. А отсутствие старших инженеров в командах в долгой перспективе может очень болезненно ударить, в первую очередь, по продуктовым командам (рост TTM, сложностями с масштабированием и прочее).

Ну и в третьих, есть субъективное ощущение, что рынок зарплат уперся в потолок 300-500к рублей (Senior, Lead) и остановился. На графиках роста видно, что основная причина повышения ЗП — повышение оклада на 11-20%, и то, скорее всего, в пределах выше упомянутой вилки.

Да, для Junior+, Middle, Middle+ ситуация на рынке хорошая. К сожалению, для всех остальных — кажется, что получать надбавки стало/станет/становится сложнее.

Disclaimer: я, разумеется, не HR-специалист и высказываю исключительно субъективную и, вполне возможно, некорректную аналитику. Но то, что я вижу на инфографике примерно бьется с моим личным опытом или опытом моих знакомых, друзей.

Как вы уже могли понять, я очень люблю всякие красочные схемки.
Вот, например, если у вас лаба на HTB не решается, можно посмотреть шпаргалку по Active Directory.

SVG source: https://raw.githubusercontent.com/esidate/pentesting-active-directory/a8e37705542720cb1f9b65ec9039f67b70b61ca6/v2/pentesting_active_directory.svg

(Нашел @bughunter_omsk)

Автор неизвестен (мне)

Тут Бастион, внезапно, решил собрать 90+ дашбордов для OSINT'а и около. Плюшкин во мне не смог пройти мимо.

Держите и вы.

Клёвый доклад с HighLoad'а про то, как можно украсть горутины у шедуллера.
В презентации, начиная со 175 слайда.

Зачем? Да хрен его знает. Можно переписать кусочек рантайма Go внутри рантайма Go, например...

О, Позитивы, оказывается, тоже читают канал про гусей следят за трендами.
Их статья про путь в ИБ, и, собственно, "динамическая" схема карьеры из неё.

Со слова "динамическая" похихикал, конечно.

А, ну и вот вам еще на ночь глядя корпоративный мем.

Вы не ждали, а я наткнулся на милый роадмап от Alex Xu / ByteByteGo и принес вам.

Эти роадмапы тоже люблю, но за качество не ручаюсь — не валидировал.

(Не) благодарите.