Этичный Хакер

🔐nOAUTH | Захват аккаунта через Microsoft OAuth На сайтах, где идентификация идет по Email и есть возможность войти через Microsoft OAuth есть риск захвата аккаунта. Дело в том, что Azure не проверяет установленную в аккаунте почту, что позволяет вам указать почту жертвы и войти на уязвимый сайт через OAUTH от ее имени. - Жертва регается на сайте через свою почту. - Заходим в Azure AD и меняем свою почту на почту жертвы. - Заходим на сайт через Microsoft OAuth и получаем доступ к аккаунту жертвы. 💬 Видео PoC #Web #ATO #oauth | 💀 Этичный хакер

🏰 Какой должна быть архитектура защиты веб-приложений на уровне L7? Онлайн-дискуссия с экспертами ⏰ Когда: 27 июля, 17:00 по Москве 📍 Регистрация Сегодня большинство компаний, независимо от отрасли, используют для ведения бизнеса веб-сервисы. Атаки на приложения стали столь разнообразными, что их защита превратилась в непростую задачу, требующую специфических знаний и инструментов. Регистрируйтесь на онлайн-дискуссию «Архитектура защиты веб-приложений на уровне L7», узнайте об архитектуре защиты веб-приложений и научитесь обороняться от атак. В программе: 🔹 Какие инструменты управления, мониторинга, доставки приложений и обеспечения безопасности есть в облачной среде? 🔹 Как выстроить защиту от атак на всех уровнях модели OSI? 🔹 Какие существуют подходы к архитектуре защиты веб-приложений и какие компоненты должны присутствовать обязательно? 🔹 Зачем нужен WAF и какие риски он закрывает? Спикеры: 🔸 Александр Белоцерковский, евангелист и архитектор VK Cloud 🔸 Сергей Лахин, коммерческий директор StormWall 🔸 Денис Прохорчик, директор направления по развитию бизнеса облачных продуктов Positive Technologies Зарегистрироваться

🔎 Расширение BurpSuite для аудита API APIKit - расширение с открытым исходном кодом, представляющее собой набор инструментов для обнаружения, сканирования и аудита API. Имеет активный и пассивный режим. 💬 Ссылка на GitHub #Web #API | 💀 Этичный хакер

💬 Руководство: Cyber Security Expert + API Security Best Practices Пошаговое руководство, как стать экспертом по кибербезопасности в 2023 году: 💬 Ссылка на Roadmap Подробный список лучших практик для обеспечения безопасности ваших API: 💬 Ссылка на Roadmap #Cybersecurity #infosec

😟 Терминал: kitty Быстрый, многофункциональный, кроссплатформенный терминал на базе GPU. kitty предназначен для опытных пользователей клавиатуры. С этой целью все его элементы управления работают с клавиатурой (хотя он также полностью поддерживает взаимодействие с мышью). Его конфигурация представляет собой простой, редактируемый человеком, единый файл. Код в kitty разработан таким образом, чтобы быть простым, модульным и поддающимся кастомизации. Он не зависит от какого-либо большого и сложного инструментария пользовательского интерфейса, используя только OpenGL для рендеринга всего. 💬 Ссылка на GitHub 💬 Ссылка на оф. сайт #Terminal #GPU | 💀 Этичный хакер

В поисках надежного корпоративного файрвола следующего поколения в условиях импортозамещения? Регистрируйтесь на вебинар «Межсетевые экраны нового поколения в 2023: что выбрать?», который пройдёт 2 августа в 12:00. На вебинаре расскажем: 🔹 Как поменялся рынок сетевой безопасности к 2023 году и что ждёт его в 2024? 🔹 Модельный ряд, лицензирование и варианты поставки UserGate, Континент 4, IdecoUTM, Sangfor и Check Point. 🔹 Демонстрация работы межсетевых экранов UserGate, Континент 4 и Sangfor 🔹 Ответим на ваши вопросы. Регистрируйтесь на вебинар «Межсетевые экраны нового поколения в 2023: что выбрать?» Реклама. ООО "ИНФРАТЕХ". ИНН 5024197250. erid: 2Ranymn6cBz

🔵 phd 12: Интервью с командами атаки Две стабильно лучшие команды на Standoff рассказывают о секретах подготовки и результата, а также о структуре команд, ролях и инструментах. Обязательно к посмотру пентестерам и Red/Blue team специалистам. #Pentest #Redteam #Blueteam

-Устроился на работу в IT -Попросил ChatGPT выполнить работу за тебя -Заработал 100 000р  Это не сказки, а обычный день человека, который знает, как пользоваться нейросетью. И так может каждый. Главное — изучить уникальные гайды в области ИИ, такие как этот. В этих мануалах простым языком рассказывают, как заработать с помощью нейросетей. Внутри: как начать, какую работу за меня может делать нейронка и почему даже новичок сможет заработать с помощью нейронных сетей. Регистрируйся на бесплатный курс, Это последний вагон, успей воспользоваться возможностями тренда.

📝 Топ открытых отчётов с HackerOne Чтение отчётов других исследователей часто помогает узнать что-то новое, например, увидеть варианты эксплуатации той или иной уязвимости или узнать вектор атаки, который ты раньше не использовал. Ниже представлен репозиторий, содержащий топ открытых отчётов с HackerOne, отсортированный по типам уязвимостей и программам, в которых эти уязвимости найдены. Кроме того, прилагаю ссылку на GoogleDocs, содержащий 6200+ различных отчетов. 🗣 Ссылка на GitHub 🗣 Ссылка на Google Docs #Web

2 канала по информационной безопасности и OSINT: 📚 @it_secur — Редкая литература для этичных хакеров и ИБ специалистов любого уровня и направления. Читайте, развивайтесь, практикуйте. 👨🏻‍💻 @infosecurity — Самый крупный ресурс в Telegram, посвященный Хакингу, OSINT и Cоциальной Инженерии.

📟 Подборка материалов по пентесту API Небольшая подборка полезных ресурсов и чеклистов по пентесту API: 💬 OWASP API Security Top 10 (на русском) 💬 HolyTips 💬 API-Audit-Checklist 💬 31-days-of-API-Security-Tips 💬 API Security Checklist 💬 OAuth 2.0 Threat Model Pentesting Checklist 💬 JWT Security Cheat Sheet 💬 Microservices Security Cheat Sheet 💬 GraphQL Cheat Sheet 💬 REST Assessment Cheat Sheet 💬 REST Security Cheat Sheet 💬 API Security Encyclopedia #Web #API | 💀 Этичный хакер

В России и Белоруссии пройдут первые соревнования по спортивному хакингу для всех айтишников, организованные Тинькофф. Участвуй Оффлайн в 13 ИТ-хабах страны или онлайн. IT’s Tinkoff CTF (Capture the Flag) для ИТ-специалистов начнётся 15 июля в 9:00 мск и продлится 36 часов. Регистрация уже началась и закончится 14 июля до конца дня. Соревнования рассчитаны на разработчиков и других мидл— и сеньор-специалистов, а также аналитиков. Формат заданий крайне необычный: профессиональные юмористы поучаствовали в создании задач по веб-безопасности, добавив в них героев современной культуры и мемов. В зависимости от своего опыта в сфере информационной безопасности команды могут подать заявки в Лигу новичков - для тех, кто ранее не участвовал в подобных соревнованиях и хочет проверить свои навыки, или Лигу опытных - для специалистов сферы инфобезопасности, уже участвовавших в CTF Общий призовой фонд составит более 1 млн рублей. Подробнее о соревновании тут.

😈 Многопоточный TOR-прокси на Python В этой статье рассмотрим инструмент, с помощью которого вы не получите бан по IP если совершите много неверных попыток входа при брутфорсе. ➖ https://telegra.ph/Mnogopotochnyj-TOR-proksi-na-Python-04-21 #Bruteforce #TOR

ХОТИТЕ ЗАЩИТИТЬ КОМПАНИЮ ОТ КИБЕРПРЕСТУПНИКОВ? Приглашаем на программу повышения квалификации «Пентестер: этичный хакинг и анализ систем безопасности» Во время обучения вы сможете не только сформировать требуемые знания и навыки, но и пройдете обязательную итоговую работу на киберполигоне с моделированием реальных угроз и закрепите знания по отражению кибератак. Спикер: Боронин Сергей Сергеевич, эксперт по ИБ, опыт в ИТ более 20 лет, преподавательский стаж 14 лет. Старт обучения 19.09.23 УЗНАТЬ ПОДРОБНОСТИ И ПОДАТЬ ЗАЯВКУ НА ОБУЧЕНИЕ

😈 SQL-инъекция через остановку перенаправления на страницу входа Обзор отчета, в котором сервер компании Razer пострадал от обхода авторизации в странице администратора и SQL-инъекции. Это позволило получить доступ к игровым ключам из раздач, почтовым перепискам, данным пользователей и т.д. ➖ https://telegra.ph/SQL-inekciya-cherez-ostanovku-perenapravleniya-na-stranicu-vhoda-07-11 #Web #SQLi

😈 Обратный поиск по электронной почте Epieos — это поисковая система, которая позволяет выполнять обратный поиск по электронной почте, находить похожие в Google и видеть, какие веб-сайты связаны с каким-либо адресом электронной почты. ➖ Ссылка на инструмент #research #email

Мужчинам без радости в жизни Проблема: неправильно выстроенные отношения с девушками, как итог - зависимость, слабая позиция и непроработанные внутренние опоры. Исправить это может каждый, достаточно читать «НеНастоящий» мужчина Ваня по шагам рассказывает, как выстроить свободные и яркие отношения с девушками. Без манипуляций, без криков и психологов Это должен знать каждый мужчина — @unreal_man

😈 Web Cache Poisoning на практике Сложность технологических стеков постоянно приводит к неожиданному поведению, которым можно злоупотреблять для проведения атак с отравлением кеша, в связи с чем хорошо бы знать их особенности. ➖ Ссылка на чтиво Автор статьи описал методы, которые он использовал для выявления более чем 70 уязвимостей в рамках багбаунти-программ, связанных с отравлением кеша. #Web #Cache | 💀 Этичный хакер

😈 Нейросеть Сбера Kandinsky получит обновление Апгрейд известной генеративной модели, которая создает картинки по описанию, состоится уже совсем скоро. И вот уже в сети появились первые фото от новой версии. Сразу стоит отметить, выглядит впечатляюще. Изображение настолько высококачественное, что очень похоже на реальное фото с фотосессии, которое потом просто отредачили в фотошопе. В общем, банки стоковых фото, в целом, могут уже закрываться. #Kandinsky #Sber | 💀 Этичный хакер

😈 Отсутствие проверки сессии при смене почты Если на сайте есть возможность сменить (или добавить) адрес электронной почты, то вот один из способов проверки данного функционала. Вам нужно создать две учетные записи на сайте. Назовем их victim@gmail.com и attacker@gmail.com, предполагая, что это соответсвенно жертва и злоумышленник. Теперь перейдем в учетную запись злоумышленника и изменим почту на 123@gmail.com, после чего ссылка для подтверждения будет отправлена на 123@gmail.com. Копируем эту ссылку, заходим в аккаунт жертвы victim@gmail.com и переходим по скопированной ссылке. Если адрес электронной почты жертвы будет обновлен до 123@gmail.com, то мы нашли уязвимость. Это произошло потому, что отсутствует проверка сессии пользователя и кто бы ни нажал на эту ссылку для проверки, его/ее учетная запись будет обновлена и привязана к новой почте. Таким образом, злоумышленник может скинуть жертве ссылку и если жертва перейдёт по ней, то злоумышленник захватит её аккаунт. #Web #Logic | 💀 Этичный хакер