Hack IT Easy

Использование AI и LLM постепенно становится привычным способом автоматизации рутинных задач и получения аналитики по большим объёмам данных. Где-то модели помогают саппорту, где-то — разработке, где-то — внутренней работе с документами. Компании активно интегрируют AI в свои процессы, потому что это действительно экономит время и ресурсы.

Вместе с тем каждая такая интеграция существенно увеличивает поверхность атаки. Причём проблемы часто возникают не из-за самой модели, а из-за того, как вокруг неё построена инфраструктура.
Слишком широкий доступ к внутренним инструментам.
RAG, использующий чувствительные данные.
Prompt injection через внешние источники.
Agent-based workflow без нормальной изоляции.
Утечки через системные промпты, memory и плагины.
Небезопасная интеграция AI в существующие бизнес-процессы.

На этот тренд обратили внимание и в Awillix. В этом году помимо привычных номинаций Pentest Award появился отдельный трек по AI security и атакам на AI-системы.

Если вы исследовали подобные сценарии, находили интересные векторы атак или делали сильные AI-related кейсы — советую присмотреться.

Найм в ИБ: джунов просят не беспокоить

В предыдущем посте хотели обсудить, как трансформируется рынок ИБ и чем это обусловлено.

Предлагаю начать с цифр. Прошлогоднее исследование Solar говорит о том, что, несмотря на общий позитивный тренд роста рынка ИБ, индекс hh (отношение количества резюме к количеству вакансий) также увеличивается. На одну вакансию в 2025 году приходилось 7 соискателей против 3 в 2021. Учитывая то, что некоторые приняли решение о релокации в 2022, можно сделать вывод, что показатель стремительно растёт.

Свежее исследование Sense Group показывает, что зарплаты в ИБ, если и изменились, то несущественно. Тревожность вызывает сфера ИТ: наблюдается падение зарплат, при этом индекс hh запредельно высокий — 22,9 против 11,6 годом ранее, а для всего рынка вакансий РФ показатель в марте достиг 11,4 (против 5,9 годом ранее).

Таким образом, сфера стремительно компенсирует недостаток специалистов.

Пока индекс hh находится в допустимых пределах, но есть все основания полагать, что рост конкуренции продолжится (то, что происходит в ИТ сегодня, может догнать ИБ уже завтра). Ситуацию осложняют ограничивающие бизнес факторы: повышение НДС, возможные отмены льгот для ИТ (и ИБ) компаний, активное внедрение AI. Эти тенденции в совокупности приведут, с одной стороны, к снижению темпов найма, а с другой — к увеличению избирательности, а также к повышению порога входа в сферу — простые и рутинные задачи будут автоматизированы и начнут выполняться при помощи агентов.

Год тишины и совершенно новый опыт

Всем привет!
Последний раз мы говорили почти год назад. Тогда я только ушёл с позиции инженера в VK (закрывал безопасность нескольких продуктов, искал баги в приложениях, которыми сам пользуюсь). Когда я присоединился к RWB, у меня появилась зона ответственности за небольшую команду (нас тогда было 6 человек).

Почему не писал? Раньше я стремился, чтобы контент был уникальным, неповторимым. Такой подход приводил к длительным паузам, постоянному поиску подходящего материала, который, по моему мнению, интересный, неочевидный и приносит реальную пользу 🙂
В то же время, наблюдая за другими каналами, неоднократно ловил себя на мысли, что публикуемый контент не всегда несёт новые знания, но авторская оценка происходящего от этого не становится менее ценной. К тому же, у нас у всех разный бэкграунд, опыт в сфере и запросы. Поэтому обмен мнениями – вот что действительно ценно!

За почти полтора года удалось погрузиться в процессы огромной компании, немножко вырасти – нас теперь 12, научиться замечать проблемы и искать способы их решения. Что реально волновало в последний год:
• как запустить реально работающий процесс?
• как найти AppSec-специалистов (про рынок поговорим отдельно, это тот еще челлендж)
• как уйти в отпуск, чтобы не упустить ничего важного?
• метрики – эффективность или погоня за цифрами?
• как не перегореть в пучине проектов и задач?
• ну и, конечно же, как прикрутить ИИ, чтобы стало легче жить?

Вероятно, каждый из вопросов стоит отдельного поста или треда для обсуждения, так что остаёмся на связи!

Начинаем через час 😎

Кто еще не тут, самое время выдвигаться 🛞

Все на митап!🗓

Не так давно мы были в гостях у Яндекса. На очереди VK!
Кто еще не в курсе – 3 июля состоится митап, на этот раз в Санкт-Петербурге! Да, да, это тот самый ламповый VK Security Confab, только в Питере.

Ознакомиться с программой мероприятия и зарегистрироваться можно тут.

Уверен, будет классно! До встречи на VK Security Confab!

Yet Another BugBounty Meetup

Интересное мероприятие от Яндекса!
Мне кажется, полезно слушать, какой подход используют другие компании к решению аналогичных задач. Особенно приятно, когда это совмещено с ламповой атмосферой и возможностью пообщаться с интересными людьми🙃

В последнее время увеличилось количество отчётов багхантеров. Анализируя их, всерьёз удивляешься не только тому, как удалось найти ту или иную уязвимость, но и причинам, по которым она стала возможной.

Было бы замечательно, если бы такие отчёты демонстрировались, вдохновляли, мотивировали и зажигали сердца новичков на собственные исследования и попытки найти что-то интересное. Приятно осознавать, что такое возможно – открыт приём заявок на Pentest Award от Awillix!

Да-да, в этом году ребята проводят (уже можно сказать, ежегодную😄) премию, отмечая наиболее интересные уязвимости в различных категориях. Радует, что с каждым годом номинаций становится больше, а значит – ещё больше интересных отчётов!
Такие мероприятия позволяют не только рассказать о результатах интересных исследований, но и открыть новые таланты.

До встречи на Pentest Award!

А это вообще актуально?

Речь сегодня про XXE - XML External Entity. Не смотря на то, что уязвимость встречается довольно редко (ну просто потому что, сейчас редко используется XML).
Нет-нет, да попадается загрузка файлов .svg или функциональность по работе с docx/xlsx.

На эти мысли натолкнула статья от Intigriti. Конечно, материалы по обучению, всегда можно актуализировать и преподнести по-новому.
Для меня показалась интересной идея поиска точек входа по content-type (просто меняем на text/xml и смотрим, где сервер не смог распарсить данные). Да, она на поверхности, и делается в пару кликов. Остальное - уже очень знакомо и несколько избито.

А вот, что мне не понравилось, так это то, что рассматривая пример на php, авторы выносят RCE, как один из импактов от данной уязвимости🤔
Мне кажется, что это уж очень ограниченный кейс.. Или нет?
Отличный вопрос для собеседования, чтобы проверить глубину знаний кандидата.
Также, можно спросить, как прочитать многострочный файл через XXE в Java и всегда ли это сработает?

Hack IT Easy - Explore. Discover. Hack.

Supply chain attack 👨‍💻

Недавно попался очень классный ресерч двух багхантеров.
Зачастую, атака на цепочку поставок воспринимается как нечто труднореализуемое и практически недостижимое. Если честно, я и сам с некоторым недоверием относился к таким сценариям. Но эта работа полностью изменила мое представление.
Ссылку приложу в конце поста, а от себя приведу разбор того, что удивило лично меня.

Изначально бросилось в глаза, как ребята подошли к выбору цели. Вместо того, чтобы взяться за основной скоуп большой компании, они предпочли поискать недавно приобретенный бизнес, который еще не успел стать частью основы и жил старыми процессами.
Далее, автор упоминает о том, что уже имеет опыт атак на цепочку поставок. Это лишний раз подтверждает реалистичность данной угрозы.
И, наконец, насколько элегантной и одновременно устрашающей получилась итоговая атака. Предлагаю кратко разобрать основные этапы:

1. Обнаружили в открытых источниках информацию о приобретении бизнеса.

2. Обнаружение зависимостей. Реализовали скрипт на Rust, который построил AST для JS-файлов и далее инвентаризовали зависимости. (Классное решение! Уверен, что есть и open-source, который поможет сделать то же самое. Стоит изучить.)

3. Изучили зависимости, погуглили и нашли открытый DockerHub, из которого подтягиваются образы контейнеров.

4. "Inside, we found the complete proprietary back-end source code."... Блин, серьезно? Образ контейнера, который содержит в себе сразу все исходники?

5. Ну, конечно же и .git оказался здесь. В .git/config был Github Actions Token, который обычно используется для автоматизации некоторых действий в рамках CI/CD. (Для меня модель угроз, которую описывает автор в этот момент, кажется неочевидной, есть что изучить).

6. В обнаруженном package.json есть пакет из npm. Однако, для доступа к npm нужен токен.

7. Изучили слои Docker-образа. (А что так можно было?) В итоге, на одном из уровней был обнаружен токен от npm, а исследовали получили возможность загрузки вредоносной зависимости, которая будет использована при сборке, так как конфиг допускает минорные обновления пакета.

Примечательно (и ребята это отметили), что их действия были абсолютно неуловимы для SOC и команды ИБ. В общем, делюсь.
Меня впечатлила как сама последовательность действий исследователей, так и широкий кругозор, который потребовался на каждом этапе. В конечном счете, удалось собрать крупицы артефактов, которые привели к критической уязвимости.

Hack IT Easy - Explore. Discover. Hack.

Друзья, всем привет! 💻

Этот год был очень насыщенным, в нем было много работы, забот и суеты. Возможно, к такому стоит привыкнуть, но мне кажется, все же лучше находить баланс в жизни, иначе можно упустить что-то ценное. Искренне надеюсь, что каждый из вас провел год с пользой, получил ценный опыт, попробовал себя в новом. Рост и развитие всегда видны на дистанции. Желаю, чтобы в новом году было больше мотивации и сил (я буду стараться писать в канал, в этом направлении я категорически недоработал)😅. Желаю, чтобы в Новом году все ваши планы, мечты и задумки непременно сбылись и осуществились. Здоровья, в том числе и ментального. Пусть родные и близкие будут рядом! Берегите себя!

С Наступающим 2025 годом! 🎁🍾

Привет!
Это подборка каналов участников сообщества ℭ𝔲𝔩𝔱 - самого крутого RedTeam в мире! 😎

Inside - канал незаменимого 😏 капитана команды Cult, RedTeam Lead'a - N3m351d'ы.

asleep_book - личный блог маленькой пентестерки, которая растет вместе с Культом с момента его появления.🐾

Омский бахантер - канал одного из топовых багхантеров в России и почетного участника команды ℭ𝔲𝔩𝔱, победителя металлургического комбината!🏭

REDTalk — канал @closed_character. Cтоим на стыке синего и красного . Говорим об ИБ так, что поймет даже твоя бабушка, а потом еще и тебя научит 🗿

GOOSE ATT&CK – канал участника команды ℭ𝔲𝔩𝔱, корпората, IT/ИБ-инженера и просто хорошей птицы – Гуся.🐥

BackConnect - канал перспективного специалиста команды ℭ𝔲𝔩𝔱 - profileusername 💻. Придерживается правила 3-х «Р»: ресерчи, райтапы, развлекухи.

HackITEasy - еще один авторский блог, в котором один из наших участников рассказывает просто о сложном.👀

May the Force be with you - канал нового члена команды ℭ𝔲𝔩𝔱. В своём блоге пишет об интересных исследованиях, новых уязвимостях и рассказывает об интересных кейсах в пентесте.


Следуй за Культом! (@illuminatyparty)

🔤🔤🔤🔤

Второе место в финале Standoff 13!

Мы в финале 13 стендоффа)

Всем кибер привет!💻

Вышла статья в которой приведены мысли о современном рынке сертификатов и их ценности для специалистов Offensive направлений.
Если вы задумываетесь о получении сертификата или уже проходите курс - это для Вас!😉

Hack IT Easy - Explore. Discover. Hack.

Друзья, всем привет! 💻

Мы сегодня на ламповом мероприятии от Яндекса - Yet Another Security night!

Выглядит очень здорово, организаторы молодцы!

Прослушали два интересных доклада про продуктовую безопасность, если будут записи докладов, поделюсь после!
Всем вечера 🌃

Всем киберпривет💻!

Сегодня расскажу о новой технологии защиты Cookie - Device Bound Session Credentials (DBSC) Cookie.

📌 В чем суть технологии DBSC Cookie?

В двух словах - эта технология позволяет привязать Cookie пользователя к конкретному устройству. Это достигается за счет генерации уникальной пары открытого/закрытого ключа, которая хранится в TEE (Trusted Execution Environment) на устройстве пользователя. А сама проверка представляет собой обычный Challenge-Response механизм между клиентом и сервером.
Имея публичный ключ клиента, сервер проверяет подпись Response и в случае успеха, авторизует пользователя. Далее, происходит выдача специальной короткоживущей auth_cookie.

🔒 Зачем нужен DBSC Cookie?

Кража Cookie пользователя несет большие риски, ввиду очевидного влияния - получение доступа к УЗ жертвы. Существуют различные стиллеры, которые, будучи запущенными на устройстве жертвы, осуществляют кражу Cookie. Кроме того, иногда разработчики по ряду причин избегают флага httpOnly, который позволяет предотвратить получение Cookie через JavaScript (читай XSS). Осуществление привязки Cookie к устройству пользователя делает бесполезным кражу сессионной Cookie (если она привязана к auth_cookie) и помогает снизить импакт при краже стилером (остается окно равное времени жизни auth_cookie)

P.S.
1. Из текущего описания не до конца понятно: а что делать с "окном"?
2. Пока не понятно, как будет осуществляться кросс-браузерная поддержка. Или это останется инициативой на уровне Chromium.
3. Нужны доработки на сервере.
4. Что делать в случае, если мы не храним состояние на сервере? (используем токены и тд)

Hack IT Easy - Explore. Discover. Hack.

#websecurity

Всем киберпривет!💻

Сегодняшний пост будет скорее про awareness.
Провел небольшой опрос среди знакомых и коллег и знаете что оказалось? Более 80% респондентов не используют локальный пароль в телеграм. Вы не ослышались! Я говорю именно про локальный пароль, а не облачный!
Почему нам это нужно? Очень просто. В случае, если злоумышленник получит доступ к вашему хосту, он сможет получить доступ к вашей сессии в телеграм. Страшно? Пожалуй. Самые осведомленные скажут: "Это легко отследить, так как в телеграм можно посмотреть все сессии и устройства". А вот и нет. В данном случае, злоумышленник будет оставаться абсолютно "невидимым" для жертвы.
Если что, я это не сам придумал. Моя хорошая знакомая делала про это целое исследование.

Мое личное мнение: лучше не лениться лишний раз вводить пароль (прикладывать палец), чем столкнуться с утечкой важных данных из переписок. Готов поспорить, они у вас там есть 🙂

Hack IT Easy - Explore. Discover. Hack.

Bypass Browser tracking Protection for CORS misconfiguration abuse 🤩

Наверняка многие из вас слышали про SameSite Cookie. Если еще нет, предлагаю ознакомиться. Коротко: атрибут, установленный на Cookie будет запрещать отправку Cookie пользователя при межсайтовых (cross-site) запросах. Технология хорошая, но есть нюанс: по умолчанию работает только в Chrome. А как же Firefox и Safari спросите вы? Давайте разбираться.

Коллеги из PT Security произвели неплохое исследование в части того, как реализуются cross-site запросы в контексте современных браузерных способов защиты пользовательских данных, а именно сессионных идентификаторов, сохраняемых в Cookie. Как я сказал ранее, в Chrome используется по умолчанию атрибут SameSite.

В Firefox 103 (Julie 2023) ввели Total Cookie Protection (часть Enhanced Tracking Protection) которые по умолчанию запрещают cross-site запросы. А сами Cookie пользователя находятся в изолированных контейнерах.

Safari ввели Intelligent Tracking Prevention в сентябре 2017. Использует алгоритмы машинного обучения для блокировки трекеров пользователя в веб-приложениях. Данная функциональность включена по умолчанию с марта 2019 (Safari 12.1). ITP также по умолчанию предотвращает cross-site запросы.

Звучит надежно, можно расходиться... А вот и не можно.
Например, Firefox вот так рассуждает о механизме изолированных контейнеров:

• When a partitioned third-party opens a pop-up window that has opener access to the originating document, the third-party is granted storage access to its embedder for 30 days.
• When a first-party a.example opens a third-party pop-up b.example, b.example is granted third-party storage access to a.example for 30 days.

Перевожу: если мы контролируя ресурс attacker.com заставим пользователя открыть в новой вкладке уязвимый ресурс vuln.com (например, поймаем событие клика и откроем в новом окне данный ресурс), то в таком случае, vuln.com выдаст доступ attacker.com к Cookie пользователя в изолированном контейнере на 30 дней. Таким образом, ближайшие 30 дней, cross-site запросы будут выполняться без необходимости дополнительных действий со стороны пользователя.
Механика обхода Safari ITP аналогична.

Hack IT Easy - Explore. Discover. Hack.

#websecurity

Дорогие друзья, всем большой киберпривет!👋

Многие из Вас задавали себе (и иногда мне🙂) один резонный вопрос: что будет дальше с каналом?
Разумеется, мыслей о его удалении не было, но я почувствовал, что нам необходим новый импульс и новый виток развития.

Проанализировав два предыдущих года ведения канала, мне удалось выделить то, что было максимально полезно по откликам, которые я получал:
- авторские обзоры уязвимостей;
- разборы статей и новостей в мире ИБ;
- разборы решений уязвимых виртуальных машин (в том числе и в онлайне).

Более того, из предыдущего опыта я сделал вывод, что хочу больше взаимодействовать с вами: делиться опытом, практическими кейсами, нестандартными ситуациями. Уверен, это очень полезно!

Меня охватывает ностальгия, когда вспоминаю, как зарождался данный канал, на какие периоды жизни выпало начало этой истории...) В то же время - мы готовы к переменам. Прощай "Road to OSCP" - Welcome "Hack IT Easy"!

Друзья, всем привет!👋

Предлагаю подвести некие итоги, чтобы было легче двигаться дальше.

1️⃣Одно из самых важных событий - успешная сдача экзамена OSCP🫡
Да-да. Это была давняя цель, которая наконец-то достигнута. Многие спрашивают: появилось ли понимание и навыки? Я бы ответил так: в первую очередь, появилось понимание объемности и многогранности того, что можно изучать. Непосредственно умения и навыки я бы поставил на второе место.

2️⃣канал и дальнейшая его судьба. Нас ждет ребрендинг✨
Абсолютно уверен, что то, что мы делаем - нужно и полезно. Дальше только вперед. Мне приятно получать от вас любые отзывы и пожелания. Постараюсь в следующем году больше внимания уделять каналу и публикуемым материалам. В связи с этим маленькая просьба - проголосовать за канал - это позволит нам выделяться на фоне других каналов.

3️⃣не ставил себе такую цель, но мне удалось помочь нескольким людям получить первую позицию в ИБ. Вспоминая себя и то, как поначалу было сложно - я понимаю ребят и готов помочь, подсказать, посодействовать.

Желаю каждому внутренне подвести итоги, определить планы и задать вектор на Новый год. Кроме того, не забывайте отдыхать и кажется, сейчас самое время, чтобы это сделать! Всех с Наступающим 2024 годом!

P.S. Надеюсь, дракон на фото вам о чем-то говорит🙂