PURP

Итак, правильный вариант — четвертый. ⭐️ И @glinkinivan оч подробно объяснил, почему. Мотаем на ус.

Есть 4 варианта работы с рисками: — Принять риски (оставить как есть), — Уменьшить риски (митигация) — оставить риск, но внедрить, например мониторинг, — Отказ от риска (полное его исключение), — Передача риска (например, в страховую компанию). В описательной части у нас не достаточно вводных данных. Так, СКС может быть установлена между разрозненными группами одного отдела. Кроме того, указанная СКС может быть старой и не нужной и осталась как рудимент (Риск принимается). Вместе с тем, данный формат может продолжить функционировать, но установлен мониторинг (как указано в описательной части). В там случае у нас митигация. Вместе с тем, не редки случаи, когда заказчик не хочет показывать свои пробелы перед руководством и специально говорит, что так и задумано. Поэтому, необходимо более детально подойти к вопросу и задать Заказчику правильные вопросы для принятия им окончательного решения.

Если понравилась такая тема, ставь ❤️, будем с @Lobrigate еще подобные истории искать. Не стесняйтесь свои задачки мне или @Lobrigate в лс присылать, тоже будем в канал закидывать на саморазвитие. #red_team

Мы тут вместе с @glinkinivan сидели за чаечком и решили, что вам слишком скучно живется. 😁 Решили немного погрузить в нашу работу и подкинуть тему на обмозговать из собственной практики. ➡️➡️➡️ Ситуация Представьте, что вы проводите тестирование на проникновение и оценку защищенности среднего размера компании. В ходе работы вы обнаружили неправильную настройку (с вашей точки зрения) СКС, которая позволяет любому пользователю из одного VLAN беспрепятственного общаться с другим VLAN: видеть хосты и их открытые порты, заходить на внутренние ресурсы и т.д. Межсетевой экран (firewall) отсутствует, сетевой доступ никак не ограничен и сеть, по факту, является плоской. Исследователи доложили Заказчику о найденной уязвимости, подкрепили это PoC и рисками, которая несет данная уязвимость. Вместе с тем, Заказчик подтвердил, что ему известно о данной особенности сети, он не считает это уязвимостью и исправлять не планирует. Исследователи же со своей стороны настаивают на необходимости внесения защитный мер. Вот вам четыре варианта ответов. ➡️➡️➡️ Вопрос: при изложенных обстоятельствах, как вы думаете, кто прав в данной ситуации: Вариант 1

Исполнитель. Найденная уязвимость противоречит Best Practice, ее наличие компрометирует другие подразделения, эксплуатация может привести к утечке данных. Указание заказчика, что ему известно о данной уязвимости — клевета и нежелание платить за работу.

Вариант 2

Заказчик — ему известно о данной особенности СКС, а данная сеть специально так настроена для удобства, оперативности работы и прибыли. ИБ осуществляет мониторинг всего трафика и держит его под контролем. Указание исполнителя на необходимость срочного исправления является желанием показать свою работу и получить «легкие» деньги.

Вариант 3

Оба варианта являются верными с небольшими оговорками.

Вариант 4

Недостаточно данных для дачи правильного ответа.

В лимиты телеги они не влезают, так что вместо опроса голосуем эмодзами: — 🔥 — если правильный первый вариант, — ❤️ — второй, — 👍 — третий, — 🤔 — четвертый. Завтра дадим вам правильный ответ. ⏳

Я говорил, что придумаем, как раздать вам журналы. Начинаем с первого выпуска, после будем второй и третий дарить по той же схеме) А там может еще чего интересного придумаем. #red_team

🚨 Дарим пять журналов «Бастион» выпуск №1 Для участия: 1️⃣ Подписываемся на @purp_sec и @bastiontech 2️⃣ Жмем на «Участвую» 3️⃣ Ждем 31.07 Рассылаем только по РФ. Так что если живете в другой стране, вам самим надо найти связного которому мы ваш журнал отправим, а он уже вам. В августе будет розыгрыш выпуска №2. Всем удачи! 🌹 Картинка сгенерирована нейросетью и не является публичной офертой. Отпуск к журналу не прилагается. Да и сам отпуск — маркетинговый миф. Все знают, что его не существует. ⭐️ Участников: 0 Призовых мест: 5 Дата розыгрыша: 12:00, 21.07.2026 MSK (18 дней)

Мы тут вместе с ребятами разбираемся с одной крайне интересной вещью. Надеюсь скоро сможем уже поделиться подробностями по этой штуке. Все на Хабре будет, ссылку дам. Пока можете у Лунохода в комментах погадать что это за артефакт такой. Я думаю он старше даже части наших подписчиков. 😁 #red_team

Команда Клуба совместно с Игнатием Цухергохером, компанией Бастион и другими энтузиастами сейчас активно работает над накоплением знаний об одной программно-аппаратной частице истории ИТ из молодой России и стран СНГ. Планируется обширная статья, о которой мы расскажем вам в будущем, а пока, чтобы подогреть интерес, предлагаем вам подумать, из какой сферы работы с компьютером могла быть эта платка. 😉 MAX | VK | TG

@Pr0xProw в этот раз быстрее тебя добыл свежий номер журнала Бастиона. 🥳

Еще оставлю вам сегодня разбор Apple Sparse Image Format (ASIF) — нового sparse-формата дисковых образов Apple для macOS Tahoe. По сути работает как контейнер для виртуального диска и хранит только реально используемые блоки. Автор разбора ручками расковырял формат через hex-дампы и нашел там заголовок с magic shdw, таблицы директорий и метаданных. Сами данные разбиты на чанки порядка 1 MiB, при этом структура явно заточена под атомарное обновление и эффективное разреженное хранение. Самое интересное тут не столько сам формат, сколько то, как быстро по нему уже пришлось делать reverse engineering. Apple выкатили новый disk image, а по факту его уже разбирают на уровне структуры байт, оффсетов и флагов. ➡️ Читать тут #red_team #Apple

Сегодня читаем про обход Conditional Access в Microsoft Entra ID 🔍 Рассматриваем ситуацию, когда CA-политика применяется к All resources, но содержит хотя бы одно resource/app exclusion. В legacy-режиме это может создавать enforcement gap для части auth-flow: sign-ins, которые запрашивают только baseline OIDC/directory scopes, могут не получать ожидаемые CA-контроли, включая MFA, device compliance и app protection. Иными словами, исключение на уровне ресурса может нарушать ожидаемую модель принудительного применения политики на этапе выдачи токена. Если атакующий уже имеет валидный foothold в тенанте, он может попытаться использовать затронутый flow для получения токена с разрешенными scope и дальнейшей разведки или закрепления. Эксплуатация в общих чертах: ▶️ Ищем тенант с CA-политиками на All resources и resource exclusions ▶️ Проверяем, используются ли затронутые baseline OIDC / directory scope flows ▶️ Пытаемся получить токен в сценарии, где CA enforcement не срабатывает так, как ожидается ▶️ Используем полученный доступ для enumeration в пределах выданных разрешений и ищем путь к расширению привилегий Microsoft вроде как уже меняет логику применения CA для resource exclusions и документирует новый механизм enforcement. Так что исключения стоит проверить и мигрировать заранее ➡️ Подробности #red_team #cloud #microsoft

Прости, у меня закончились гифки про душноту.

Ну да, в следующий раз когда твой лид будет жаловаться, что PURP тебя от работы отвлекает, скажу ему что ты не лентяй и самодур, а блогер и премированный киберпросветитель. Все сразу на свои места встанет. 😁 #blue_team

Ну да, в следующий раз когда твой лид пожалуется, что PURP тебя от работы отвлекает, скажу ему что ты не лентяй, а премированный блогер и киберпросветитель. Сразу все станет понятно. 😁 #blue_team

@Lobrigate наш с тобой труд оценили ребята из Cyber Media. Теперь имеем право ходить с очень важными лицами по офису! #red_team #какнеожиданноиприятнаааа

Если нет ты знаешь, что делать)

Грабители в Великобритании при помощи украденного экскаватора вырвали из стены банкомат, погрузили в багажник (интересно, как далеко он с таким перегрузом уехал) и унеслись в закат. А ЭТО есть в вашей модели угроз? 😂 Старые добрые методы формата «лом и чья-то родительница» все еще работают))) #red_team #memes

Ловите новую use-after-free в SVGA-подсистеме VirtualBox 🏃‍♀️ Как выяснилось, контекстная таблица объектов (COTable) продолжает держать указатель на MOB (guest-backed memory object) после его уничтожения. Ссылка попросту не инвалидируется при free(). Это создает висячий указатель, который можно переиспользовать через heap-grooming. Атака требует выполнения кода в гостевой ОС (не удаленная, требуется включенная 3D-акселерация/VMSVGA). Зато при успешной эксплуатации позволяет выполнить код в процессе VirtualBox на хосте без взаимодействия пользователя. Особенно актуально для инфраструктур, где VirtualBox используется как песочница. Эксплуатация проходит в четыре этапа: ▶️ Через SVGA-команды создаем графический объект MOB, привязываем его к COTable, затем уничтожаем MOB. COTable продолжает хранить на него указатель. ▶️Дальнейшим heap-grooming добиваемся, чтобы на месте старого MOB или его буфера оказались другие важные структуры — новый DX-контекст и соседние MOB, на которые все еще ссылается COTable. ▶️ Через DX-команды эксплуатируем зомби-COTable. Сначала получаем контролируемое повреждение полей DX-контекста и MOB-структур, затем расширяем возможности воздействия на память и добиваемся примитивов arbitrary read/write в адресном пространстве процесса VirtualBox. ▶️ С помощью инфодискложера находим базу модуля устройства VirtualBox (например, VBoxDD.so на Linux) и перехватываем критический function pointer, после чего вызываем соответствующую SVGA-команду. Управление уходит в ROP-цепочку, которая вызывает mprotect (или аналогичный механизм) для получения исполняемой памяти и передает выполнение полезной нагрузке из гостя. При этом цикл обработчика SVGA аккуратно восстанавливается, чтобы процесс гипервизора не завершился аварийно. ➡️ Подробности #red_team

MAD Bugs: 21‑летний use-after-free в PHP unserialize() и первый публичный удаленный UAF‑RCE на PHP 8.5.5 Исследователи из Calif обнаружили в PHP use-after-free в unserialize(). Баг живет с PHP 5.1 и затрагивает путь через Serializable. Коллеги создали локальный эксплойт, обходящий disable_functions без зависимости от /proc и жестких оффсетов, а также добились RCE на актуальной PHP 8.5.5. Авторитетно заявляется, что значительную часть аудита кода и генерации эксплойта выполнила Claude, а исследователи занимались архитектурой атаки и верификацией. Суть бага 🔽 Для пользовательских классов, реализующих Serializable::unserialize(), не инкрементируется BG(serialize_lock). Из‑за этого рекурсивный вызов unserialize() делит один и тот же var_hash между внешним и внутренним разбором. При изменении структуры свойств это приводит к use-after-free таблицы свойств: старая arData освобождается, но остается в var_hash и может быть переиспользована под данные атакующего. Эксплуатация 🔽 Локальная цепочка (около 30 срабатываний UAF): ▶️ Задается класс с Serializable::unserialize(), который рекурсивно вызывает unserialize() и меняет свойства, вызывая resize таблицы. ▶️ Формируется пейлоад, многократно триггерящий UAF и дающий контролируемое перезаписывание освобожденной структуры. ▶️ Строятся примитивы: утечка адресов кучи, произвольное чтение (uaf_read). ▶️ Подделывается структура Closure, чтобы через поддельный func.handler (из таблицы функций модуля) вызвать zif_system, обходя disable_functions. Удаленный эксплойт использует тот же UAF в эндпоинте вида unserialize($_REQUEST['cook']); echo serialize(...). Он опирается на Apache prefork (краши воркеров как оракул), на лету парсит ELF libphp (PT_DYNAMIC, .gnu.hash, GOT), находит базу libc и адрес system(). Затем подделывает stdClass, чтобы при serialize() / get_properties_for() вызывался system() с командой из байтов объекта. Импакт 🔽 В итоге memory corruption в unserialize() дает RCE даже при disable_functions и в типичных Docker‑окружениях. При этом эксплуатация требует специфического паттерна кода (класс с Serializable, рекурсивный unserialize() и рост таблицы свойств), что ограничивает практическое применение. Тем не менее, это прикольная демонстрация надежной эксплуатации UAF в PHP 8.x с использованием ИИ для автоматизации низкоуровневой части атаки. Специально выбрал вам картинку из статьи посложнее, чтобы мозг еще больше запутался. 👊 ➡️ Источник #red_team #php #MADBugs #memorycorruption

Жизненно, эксперты

#red_team #memes