REDtalk

RedBlue Notes на OFFZONE 2025!!

Хоть сегодня только первый день конференции, но я уже получил море положительных эмоций. Послушал доклад легендарного Евгения, спаял себе новый аддон и ещё 1 получил за квест, пополнил свою ИБ библиотеку ресёчем.

В моей коллекции +-10 аддонов, что по меркам конфы много. Но я встретил того, кто собрал ЁЛЕУ из кучи аддонов. Просто вау 🔝

Привет! 👀

Мы сами очень хотели попасть на Offzone, но в этот раз не сложилось
Зато есть классный постик от наших друзей! 👍

Привет, друзья! 👋
На связи команда канала Redtalk, и у нас отличные новости! В нашем ламповом кибер-мирке уже 900 хацкеров! 🔥 А это значит, что пора сделать анонс нашего мерча!❤️
Как только нас станет 1000, мы устроим розыгрыш среди подписчиков!
Спасибо каждому, кто с нами! Вы делаете наш канал живым и по-настоящему крутым 😎

#Redtalk

✈️ Привет!

Недавно мне понадобилось быстро развернуть git-сервер, но разворачивать что-то крупное было лень, поэтому покажу затерянный временем способ создания удаленного git-репозитория без использования gitlab, Gogs или Gitea.

Git использует 2 протокола передачи данных — HTTP и SSH. Для людей, которые только начали знакомится с git, использование первого протокола проблем не вызывает, а вот со вторым начинаются затупы на этапе настройки доступа через открытые ключи.

На самом деле SSH в git работает буквально так, как мы привыкли его использовать — подключается с именем пользователя git по публичному ключу и открывает оболочку, но не bash или zsh, а git-shell. Она ограничивает лишний доступ к системе и работает только с файлами репозитория. При этом директории с именами репозиториев должны иметь формат <имя_репы>.git . Далее показан пример настройки доступа через ssh.

apt update && apt install -y git

# Создание пользователя git
useradd -m git -s /usr/bin/git-shell

# Включение авторизации по публичным ключам
sed -i 's/^#*PubkeyAuthentication.*/PubkeyAuthentication yes/' /etc/ssh/sshd_config
sudo systemctl restart sshd

# Создание .ssh директории и файла authorized_keys
mkdir -p /home/git/.ssh
touch /home/git/.ssh/authorized_keys
chmod 700 /home/git/.ssh
chmod 600 /home/git/.ssh/authorized_keys
chown -R git:git /home/git/.ssh
echo 'ssh-ed25519 <ПУБЛИЧНЫЙ_КЛЮЧ_С_ДРУГОГО_УСТРОЙСТВА>' >> /home/git/.ssh/authorized_keys

# Создание репозитория
REPO_NAME="repo"
su -s /bin/bash git -c "mkdir -p ~/$REPO_NAME.git && cd ~/$REPO_NAME.git && git init --bare"

Всё это будет нормально работать на любой виртуалке с минимальной конфигурацией. Теперь можно пушить свою ветку на удаленный репозиторий:

REPO_NAME="repo"
git remote add origin "ssh://git@<HOST>:$REPO_NAME.git"
git push remote master

#ToolTricks

☀️ Привет!

На днях ко мне в руки прямо от создателей попал экземпляр книги "На*уй безопасность. Как игнорировать этот бред и зарелизить проект". Авторы буквально из мема своими силами написали уже второе издание (а третье находится в разработке).

Книга представляет собой саркастичный взгляд на информационную безопасность, показывает ситуации применения ИБ-практик в разработке продуктов, с "тру" кейсами, мемами и шутками.

Авторами книги являются мой коллега по цеху George.K и канал Ever Secure. Спасибо за этот неоценимый вклад в РУ ИБ

К сожалению, весь тираж уже раскуплен, но в августе возможно пополнение. Приобрести можно будет тут

Рекомендую к ознакомлению ⌨️

#meme #book

🏖️ Привет!

Как и обещал постом ранее, новая часть про антивирусы. В ней будет подробно показано устройство meterpreter и что с ним происходит в результате генерации нагрузки через msfvenom.

Пост получился объемный, я постарался как можно понятее показать сложные и неочевидные моменты. Покажу, как без внучную скомпилировать, собрать и запустить нагрузку, на какие основные иоки триггерятся антивирусы, пропатчу их в этой нагрузке и попробую запустить (точнее уже запустил на гифке linux🎩) . В идеале должно появится понимание работы msfvenom, чтобы в дальнейшем не представлять генерацию нагрузок в виде "черного ящика".

Приятного чтения! 🔗 Читать

#redteam

☀️ Привет! Всем лета

У меня на финальном этапе находится большой пост следующей части про антивирусы.

А пока покажу один из способов добавления временных задержек, но без использования системных функций (Sleep в winapi и sleep в linux). Этот 🔗 PoC динамически считает количество итераций, выполняемых за одну секунду, что позволяет указывать временной интервал задержки, независимо от характеристик CPU (это показано в гифке)

Это полезно, когда нужно добавить задержку без использования Sleep, а также при обходе песочниц, которые могут манипулировать системными функциями.

<продолжение>


🔥Проблема 3. Outlook и картинки

Письмо уходит, всё работает. Верстаем шаблон, отправляем и…

❗ Для защиты вашей конфиденциальности изображения не загружены

Наши картинки не отображаются. Почему? Outlook по умолчанию блокирует все внешние изображения.

💡Что делаем:

Первое, что можно попробовать - Base64:

<img src="data:image/png;base64,iVBORw...">

Способ хороший и отработает на большинстве современных почтовых клиентах. Однако Outlook все равно посчитает это внешним ресурсом и заблокирует.

Второй способ - Content-ID (CID).

Картинку прикладываем к письму как вложение, а в HTML пишем:

<img src="cid:image.jpg">

⸻

На этом все друзья! 🙂

А с какими проблемами сталкивались вы ? Делитесь в комментариях, обсудим вместе. 🤗

Ну и по традиции не забудьте подписаться на канал, если еще этого не сделали. И до новых встреч!

#redteam

Всем привет! ❤️ Немного про социалочку.

Когда проводишь проекты по социотехническому тестированию, нередко сталкиваешься с кучей технических нюансов.

❗️Это и попадание в списки подозрительных ресурсов, если вы случайно выкинули GoPhish наружу.
❗️И фильтрация писем почтовыми шлюзами.
❗️И особенности отображения у разных почтовых клиентов.

Сегодня поговорим о том, с чем реально можно сталкнуться на практике. Особенно это актуально, если вы делаете такое впервые.


🔥Проблема 1. Как не попасть в списки злых хацкеров

Если просто открыть GoPhish в интернет, то через какое-то время ваш IP будет помечен как подозрительный.

💡Что делаем:

Используем связку из нескольких Nginx-прокси:

• наружу отдаётся только IP внешнего прокси;
• весь трафик уходит по VPN на внутренний сервер с GoPhish;
• админка доступна только из VPN.

Если не хочется поднимать VPN:

На сервере с GoPhish закрываем 443 порт снаружи, кроме ip нашего прокси:

sudo iptables -I DOCKER-USER -p tcp --dport 443 ! -s <proxy_ip> -j DROP

В конфиге Nginx дополнительно прописываем кому можно обращаться к нашей фишинговой странице:

allow <proxy_ip>;
deny all;

Админку вешаем на 127.0.0.1 и подключаемся так:

ssh -L 8080:127.0.0.1:8080 user@server_with_gophish

Остается только настроить SSL для нашего фишингового домена. Теперь GoPhish не светится наружу, и мы спим спокойно.


🔥Проблема 2. Спам-фильтры и почтовые шлюзы

Немного теории:

• SPF — указывает, какие IP могут отправлять письма от имени домена.
• DKIM — добавляет цифровую подпись к письмам.
• DMARC — объединяет SPF и DKIM, говорит, что делать с письмами, которые не проходят проверки.

Если вы некорректно настроите данные dns записи, то письма просто не дойдут до адресата.

💡Что делаем:

Используем SMTP-сервисы с хорошей репутацией. Например, VK WorkSpace.

Схема такая:

• Подключаем фишинговый домен;
• Сервис формирует SPF/DKIM/DMARC;
• Копируем записи в DNS.

Теперь письма проходят по всем стандартам (но это не точно).

Но даже если всё идеально настроено, то ваши фишинговые письма могут быть заблокированы на почтовых шлюзах. Причина - Email-заголовки.

Далее рассмотрим на примере с GoPhish:

Еще немного теории. Сильно не пинайте - это важно для понимания:

• Message-ID - уникальный идентификатор письма, формируется клиентом или сервером, помогает отслеживать сообщения и выстраивать цепочки переписки.
• X-Mailer - указывает на почтовую платформу или внутренний ID отправителя.

Именно они могут стать причиной того, что ваши фишинговы письма не дойдут до цели.

X-Mailer: gophish
Message-ID: <1743...@hostname>

X-Mailer палит GoPhish сразу.
Message-ID генерируется с hostname контейнера или вашего сервера на котором крутиться GoPhish. Почтовые шлюзы могут блокировать письма, если видят несоответствие между Message-ID и доменами из SPF, DKIM, DMARC.

💡Что делаем:

SMTP Relay с Postfix. GoPhish остаётся «тупым». Он просто отправляет письмо. А контейнер с Postfix:

1. Принимает письмо;
2. Переписывает заголовки;
3. Отправляет дальше на сторонний SMTP - сервис (в нашем случае VK Workspace)

Файл smtp_header_checks:

/^Message-ID:/ REPLACE Message-ID: <CAFEBABE.20250324T1830@your_domain>

PS: X-Mailer можно убрать и через GUI GoPhish. А вот Message-ID просто так не убрать.

Письма доходят, заголовки чистые. Все счастливы.

#redteam