🇺🇦 Security QA

Давно нічого не писав, і соб нарешті добрався, ось чтіво, про те як створювати шкідливі файли, заодно з цього у вас зʼявиться уявлення про те як злоумисники створюють такі файли а потім розкидують через месенджери, щоб іх запустили у себе на компі.

MsfVenom – це автономний генератор payload для Metasploit, який також замінює msfpayload та msfencode.

https://svyat.tech/msfvenom-cheatsheet

Burp Suite Professional v2024.5 + BurpBounty_Pro 2.8.0 + JDK 22

pass: 311138

README (en+ru) inside, plz read it before run BS.

Happy Hacking! 🥳

Run with Java SE JDK 22

Для тих, хто хоче погратися платною версією бурпа, але не запускайте на машинках на яких є конфідіційні дані або робочі компи. Хто його знає 🥲

А як ви проводите стрес тестування своїх розробників?😅

Привітики, вже через менше ніж 2 тижні почнеться курс:

- по WEB пентесту, ще є 1 місця, 9 занять. Подробиці та Записатись можна тут
https://svyat.tech/owasp-top-10-training

Blue-Team-Notes

Колекція з невеликих скриптів та деяких корисних порад для роботи у синій команді (команді захисників від кібератак).

Сюди. також входять скріншоти, де це можливо, щоб ви знали, що отримуєте при викрористані.

Ці нотатки допоможуть вам зловити супротивника, запобігти атакам або навіть просто допоможе вам вчитися.

https://github.com/Purp1eW0lf/Blue-Team-Notes

А як ти розважаєш тих хто за тобою слідкує?

Ну що, як і обіцяв, з того збору в цьому чаті, який був на комплектуючі для fpv, то ось відео збору. Зробив мега прискорене, щоб це було пару хвилин, а не 1.5 години, бо і так в інеті хватає як правильно потрібно збирати. А також додав кусочек відео зі збору fpv 8 дюймів, каркас якого скаладав мій малий 6 років, щоб показати, що це взагалі не складно, якщо в когось є відмазки на цю тему.

А якщо нема можливості, то можете просто продовжити підтримувати ініциативу https://www.socialdrone.com.ua/ або любі інши ініциативи для допомоги нашим військовим або постраждалим громадянам.

А якщо хочете кинути мені на збірку то ось банка

https://send.monobank.ua/jar/4i7BTKcGiu

Personal Security Checklist

Це чек-лист, цілком і повністю присвячений приватності. Дізнайся за допомогою нього на скільки ти відповідаєш правилам приватності в мережі.

Сам чек-лист зручно розбитий на категорії, представлені на зображенні вище. Існують як обов'язкові, так і опціональні критерії оцінки софту або сервісу, яким ви користуєтеся.

Досить зручний і простий список, за допомогою якого можна оцінити будь-який продукт щодо приватності.

https://digital-defense.io/

RouterSploit

Це фреймворк для тестування на проникнення маршрутизатори та інші мережні пристрої. Він надає можливості для аналізу безпеки мережевих пристроїв, пошуку вразливостей та проведення атак на мережеві пристрої.

Тобто цей інструмент спеціалізується на тестуванні та аналізі вразливостей у мережних пристроях, допомагаючи підвищувати рівень безпеки мережі.

https://github.com/threat9/routersploit?tab=readme-ov-file

Чекліст на перевірку active directory

https://raw.githubusercontent.com/esidate/pentesting-active-directory/a8e37705542720cb1f9b65ec9039f67b70b61ca6/v2/pentesting_active_directory.svg

🥲😅

Cloudflare Bypass Script

Якщо ви використовуєте Selenium, ви могли помітити, що з ним неможливо обійти захист Cloudflare. Навіть якщо ви натиснете кнопку «Я не робот», ви все одно застрягнете на сторінці «Перевірка браузера перед доступом». Це пояснюється тим, що захист Cloudflare здатний виявляти інструменти автоматизації та блокувати їх, що нескінченно переміщує веб-драйвер на сторінку «Перевірка браузера перед доступом».

Як ви розумієте, сценарій використовує DrissionPage, який є контролером для самого браузера. Таким чином, браузер не розпізнається як веб-драйвер, а захист Cloudflare обійдеться.

https://github.com/sarperavci/CloudflareBypassForScraping

Хто там хотів на сертифікат по пентесту і хотів дізнатись, що треба знати для складання першого сертифікату?

Ось крутий опис від нашого Назарія, який слідкує в EVO за безпекою.

Так сказати літопис по гарячим слідам.

https://medium.com/@zavadanazar/ejpt-%D1%88%D0%BB%D1%8F%D1%85-%D0%B7%D0%B4%D0%B0%D1%87%D1%96-%D0%B5%D0%BA%D0%B7%D0%B0%D0%BC%D0%B5%D0%BD%D1%83-%D0%B0%D0%B1%D0%BE-how-to-pass-first-time-aa3b01165761

Нарешті лінкедін підібрав мені ту саму вакансію мрії для якої я підходжу найкраще🥲😅

Owasp-Amass

ЦЕ інструмент для аналізу сайтів, розроблений для автоматизації процесу збору інформації про цільові мережі з метою проведення тестування на проникнення.

Він надає широкий набір функцій, включаючи пошук піддоменів, пошук активних хостів, аналіз DNS-записів та інше.

Лінк на інструмент
https://github.com/owasp-amass/amass

Відео приклад використання
https://www.youtube.com/watch?v=2IsagoR9eCQ

Фінальний випуск першого сезону "Гугл не розкаже" - вже тут 🤝
Той самий випуск для рідних та друзів, які не шарять за кібербезпеку. Навіщо потрібна двохфакторна аутентифікація? Чи безпечно зберігати файли на Гугл Диску? Чому не можна пересилати скани документів через Вайбер або Телеграм? Ми разом з @s.login відповіли на ці та багато інших питань:
👉 Apple Podcasts: https://apple.co/3XwfDl6
👉 Google Podcasts: https://bit.ly/46vew9p
👉 Spotify: https://podcasters.spotify.com/pod/show/gugl-ne-rozkazhe/episodes/ep-e2iib65

Dangerzone

інструмент, який перевіряє та конвертує в безпечну версію різні файли, які можуть становити небезпеку і мати в собі якийсь вірусняк.

Можна завантажувати PDF, будь-які документи Microsoft Office та фотографії.

https://dangerzone.rocks/

Де можна дивитись чи не злили вашу учотку з якоюсь базою даних, якогось сайта, де ви зареєстровані, окрім як https://haveibeenpwned.com/ ?

Так от можна дивитись ще на таких ресурсах:

- monitor mozilla
Тут ви можете в безкоштовному режимі відслідковувати 5 пошт, і не просто дивитись самому перевіряти, а налаштувати опопвіщення, що якщо десь зільють вашу учотку, то вам на пошту прийде повідомлення з цього сервісу, щоб ви змінили свої паролі доступу.
https://monitor.mozilla.org/

- One drive google
В гугловському сервісі, можна також відстежувати, але тільки гугл акаунт, інші пошти не можна відслідковувати.
https://one.google.com/u/0/dwr/dashboard?pli=1&g1_landing_page=0

- sherlockeye
або ось на такому платному, там конешно більше інфи ніж на безкоштовному, коштує 20 баксів на місяць.
https://sherlockeye.io/