Fsecurity | HH

🔗Ссылка: https://xakep.ru/2016/03/24/pentester-fuckups/

Discord сервер 👆🏻Тут можно пообщаться и найти много полезной информации 🦈

🔗Ссылка: https://www.securitylab.ru/news/561694.php

Как быстро закрыть "зависшую" SSH-сессию? Иногда SSH-сессия зависает: сервер не отвечает, а ты в тупике. Не спеши закрывать терминал - у SSH есть скрытый выход.

~.

Это мгновенно завершит SSH-сессию, даже если сервер "молчит". Работает без Ctrl+C, kill и прочих обходных путей. Другие escape-последовательности в SSH:

~.    — завершить соединение
~^Z   — приостановить ssh
~#    — показать список порт-форвардов
~C    — открыть встроенную командную строку
~R    — запросить повторную генерацию ключей (rekey)
~~    — отправить символ тильда (~)
~?    — показать справку

CVE-2025-32023: Критическая уязвимость в Redis и Valkey #redis #valkey #брокерсообщений #СУБД Обнаружена критическая уязвимость в популярных СУБД Redis и Valkey, потенциально приводящая к удаленному выполнению кода через переполнение буфера в HyperLogLog операциях. ➡️Технические детали Тип уязвимости: Integer Overflow to Buffer Overflow (CWE-680) CVSS Score: 7.0 HIGH Вектор атаки: CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H ➡️Затронутые версии Redis: >= 2.8 до 8.0.3, 7.4.5, 7.2.10, 6.2.19 Valkey: до 8.1.3, 8.0.4 ➡️Корень проблемы Уязвимость находится в обработке HyperLogLog структур данных в файле src/hyperloglog.c. При итерации по sparse HLL кодировке происходит переполнение целочисленной переменной int i, которая отслеживает общую длину. Проблемный код в функции hllMerge():

while(p < end) {
    if (HLL_SPARSE_IS_ZERO(p)) {
        runlen = HLL_SPARSE_ZERO_LEN(p);
        i += runlen;  // Переполнение здесь!
        p++;
    }
    // ...
    while(runlen--) {
        if (regval > max[i]) max[i] = regval;  // Out-of-bounds write
        i++;
    }
}

➡️Механизм эксплуатации 1. Создание malformed HLL: Злоумышленник создает специально сформированную HyperLogLog структуру с некорректными run lengths 2. Integer overflow: Сумма run lengths превышает максимальное значение int, вызывая переполнение в отрицательную область 3. Out-of-bounds write: Отрицательное значение i позволяет записывать данные за пределы выделенного буфера 4. RCE: Перезапись критических структур данных приводит к выполнению произвольного кода ➡️Детали эксплуатации (по данным PoC) Стандартная схема эксплуатации Redis: 1. Коррупция sds объекта в jemalloc heap для увеличения его длины 2. Спрей embstr объектов для создания fake module объекта 3. Дамп heap через поврежденный sds объект для поиска целевого embstr и утечки адресов 4. Создание fake module объекта в целевом embstr объекте 5. Удаление fake module объекта, вызывающее деструктор и получение RCE Функции под угрозой ▪️hllMerge() - stack-allocated HLL структуры ▪️hllSparseToDense() - heap-allocated HLL структуры ▪️Все операции с HyperLogLog командами (PFADD, PFCOUNT, PFMERGE) ➡️Условия эксплуатации ▪️Аутентифицированный доступ к Redis/Valkey ▪️Возможность выполнения HyperLogLog команд ▪️Отсутствие ACL ограничений на HLL команды ➡️Защитные меры 1. Обновление до исправленных версий: Redis 8.0.3+, 7.4.5+, 7.2.10+, 6.2.19+ Valkey 8.1.3+, 8.0.4+ 2. Временное решение через ACL:

# Запретить HyperLogLog команды
ACL SETUSER username -pfadd -pfcount -pfmerge

3. Мониторинг подозрительной активности: ▪️Аномальные HyperLogLog операции ▪️Неожиданные падения Redis процессов ▪️Попытки выполнения HLL команд с большими данными 4. Сетевые ограничения: ▪️Ограничение доступа к Redis только доверенным источникам ▪️Использование Redis AUTH и ACL систем ▪️Мониторинг сетевого трафика к Redis портам ➡️Первоисточники: 🔗GitHub Security Advisory 🔗PoC 🔗NVD 🌚 @poxek | 🌚 Блог | 📺 YT | 📺 RT | 📺 VK

🔗Ссылка: https://habr.com/ru/companies/pt/articles/929628/

BloodHound Legacy и HoundLoader (demo) В своей работе я использую BloodHound Legacy. Для меня этот инструмент очень удобный и понятный. Так же у меня есть возможность менять его под свои желания. С выходом BloodHound CE поддержка BloodHound Legacy была остановлена. И тут самой большой проблемой стала возможность загружать данные из SharpHound новой версии (частично изменился формат JSON файлов). В принципе, мне достаточно старой версией SharpHound для сбора основной информации об инфраструктуре Active Directory, а остальные данные при необходимости загружаю с помощью скриптов. Сейчас новая версия SharpHound собирает большое количество полезной информации, и я уже начал задумываться о переходе на BloodHound CE. Попробовав его пару раз, пришел к выводу, что мне неудобно в нем работать. При всей красоте построения графов и наличия нормальной строки для Cypher запросов остальное вызывает у меня отторжение, возможно, дело привычки. Год назад мне пришла мысль, а что, если загружать данные в BloodHound CE потом делать резервную копию базы данных и переносить ее в BloodHound Legacy. Метод, надо признать, не самый лучший, но вариант рабочий. Однако, данные резервной копии будут содержать узлы и связи, которые BloodHound Legacy не умеет отображать, но добавить их в код не большая проблема. (Тут должна была быть реклама =)) Месяц назад мои коллеги из отдела разработки (Аркадий, привет!) для своих нужд выдернули из исходников BloodHound CE функции парсера и загрузчика данных SharpHound и собрали приложение, которое получило название HoundLoader. Приложение показало хорошие результаты, но опять не без косяков. Постоянно просить разработчиков что-то добавлять или менять мне не хотелось, а go я не знаю. Поэтому я решил погрузиться в исходные коды BloodHound Legacy, чтобы понять, как он добавляет данные в neo4j. Никогда не понимал, зачем собирать данные в JSON чтобы потом их парсить в Cypher и уже загружать данные в базу. Почему сразу не сохранять данные в виде Cypher запросов? Но надо признать, алгоритм достаточно простой и тут возник вопрос обновлять JS в BloodHound Legacy или сделать все с нуля. Читать и изменять чужой код занятие непростое, поэтому я принял решение написать HoundLoader на PowerShell. Данные нормально, загружаются в базу, но еще не тестировались на больших инфраструктурах. И есть большая задача по установке связей между объектами после загрузки данных. Пока моя версия BloodHound Legacy и HoundLoader находятся на стадии тестирования и доработки, но надеюсь осенью поделиться своими наработками с сообществом. #BloodHound #Powershell

Metasploit Module Released to Exploit SharePoint 0-Day Vulnerabilities

This (draft) pull request adds an exploit module for the recent unauthenticated RCE exploit chain affecting Microsoft SharePoint Server via CVE-2025-53770 and CVE-2025-53771 (which are patch bypasses of two recent vulns CVE-2025-49704 and CVE-2025-49706). This module is based on the zero-day exploit that was caught in-the-wild circa July 19, 2025. A single HTTP request of the exploit was posted here (https://gist.github.com/gboddin/6374c04f84b58cef050f5f4ecf43d501).

#Sharepoint #InsecureDeserialization #RCE #CVE_2025_53770 #CVE_2025_53771 #MetaSploit #Rapid7 Link to Rapid7 Github 🔗 @hackern0tes

#Мем

🔗Ссылка: https://www.securitylab.ru/news/561664.php

🔗Ссылка: https://opennet.ru/63621/

🔗Ссылка: https://www.securitylab.ru/news/561661.php

💻 FLOSS v3.1.1 Кроссплатформенный инструмент для статического анализа, автоматического извлечения и деобфускации строк из бинарных файлов. Если по простому, то это strings на стероидах 👍😅 💻 Repo 💻 Usage 💻 Releases #floss #strings #reverse ✈️ Whitehat Lab 💬Chat

Революция в кибератаках: хакеры используют AI для внедрения вредоносов в DNS Исследователи DomainTools обнаружили принципиально новый метод кибератак, при котором злоумышленники используют искусственный интеллект для внедрения вредоносного кода непосредственно в систему доменных имён. Этот подход позволяет обходить современные системы защиты и создает невидимую инфраструктуру для доставки малвари. ➡️Как работает атака Методика основана на фрагментации исполняемых файлов и их сокрытии в DNS TXT записях: 1. Разбиение файла: Вредоносный .exe файл разбивается на сотни мелких фрагментов 2. Энкодинг: Каждый фрагмент кодируется в шестнадцатеричном формате 3. Распределение: Фрагменты размещаются в TXT записях отдельных субдоменов 4. Нумерация: Используются целочисленные значения субдоменов для отслеживания последовательности ➡️Пример структуры:

1.felix.stf.whitetreecollective.com TXT "4d5a90000300000004000000ffff0000..."
2.felix.stf.whitetreecollective.com TXT "b800000000000000400000000000000..."
...
500.felix.stf.whitetreecollective.com TXT "..."

❓Роль искусственного интеллекта AI используется для автоматизации процесса сборки: • Генерация скриптов для извлечения фрагментов из DNS • Автоматическая сборка файла в правильной последовательности • Адаптация под различные DNS-конфигурации • Обход детекции через вариативность запросов 🪲Реальные примеры DomainTools обнаружили активное использование этой техники: ▪️Случай 1: Joke Screenmate малварь • Домены: felix.stf.whitetreecollective.com и аналогичные • SHA256 хеши: 7ff0ecf2953b8662ede1577e330a514f09992c18aa3c14ed77cf2ffc115b0866 • Сотни субдоменов с фрагментами исполняемого файла ▪️Случай 2: Covenant C2 стейджер • Домен: drsmitty.com • PowerShell скрипт в TXT записи субдомена 15392.484f5fa5d2.dnsm.in • Подключение к C2 серверу cspg.pw через эндпоинт /api/v1/nps/payload/stage1 ➡️Технические преимущества атаки 1. Обход фильтрации: DNS-трафик редко подвергается глубокому анализу 2. Стойкость: Файлы персистентны до удаления DNS записей 3. Скрытность: Маскировка под легитимный DNS-трафик 4. Масштабируемость: Возможность хранения больших файлов через фрагментацию ➡️Обнаружение атак Исследователи использовали regex-паттерны для поиска magic bytes исполняемых файлов:

^"((ffd8ffe[0-9a-f].{12,})|(89504e47.{12,})|(47494638[79]61.{8,})|(255044462d.{10,})|(504b0304.{12,})|(4d5a.{16,59}|4d5a.{61,})|(7f454c46.{12,})|(c[ef]faedfe.{12,})|(1f8b08.{14,})|(377abcaf271c.{8,})|(526172211a07.{8,}))

Этот паттерн ищет заголовки различных типов файлов в шестнадцатеричном формате в начале TXT записей. ❗️ Защитные меры 1. Мониторинг DNS: • Анализ аномально длинных TXT записей • Поиск паттернов шестнадцатеричного кодирования • Отслеживание массовых запросов к субдоменам 2. Поведенческий анализ: • Мониторинг последовательных DNS-запросов к нумерованным субдоменам • Анализ размеров и структуры TXT записей • Корреляция DNS-активности с исполнением процессов 3. Технические решения: • Внедрение DNS Security Extensions (DNSSEC) • Фильтрация подозрительных TXT записей • Ограничение размеров TXT записей ➡️Значение для индустрии Эта техника представляет серьёзный вызов для традиционных систем безопасности: • DNS-инфраструктура становится новым вектором атак • AI позволяет автоматизировать сложные многоэтапные атаки • Необходимость пересмотра подходов к мониторингу DNS-трафика • Важность анализа не только сетевого трафика, но и DNS-записей Метод уже активно эксплуатируется в дикой природе с 2021-2022 годов, что говорит о его эффективности и стойкости к обнаружению. 🌚 @poxek | 🌚 Блог | 📺 YT | 📺 RT | 📺 VK

Another quick and dirty Linux hunt for Velociraptor. 🔍 LD_PRELOAD is well known technique to hijack execution flow and inject malicious code into every dynamically linked process. ATT&CK - https://attack.mitre.org/techniques/T1574/006/ 1. Parses /etc/ld.so.preload 2. Parses all /proc/<pid>/environ for any LD_PRELOAD= entries 🦖Linux.Persistence.LdPreload - https://docs.velociraptor.app/exchange/artifacts/pages/ldpreload/ 🦔THF

🔗Ссылка: https://slcyber.io/assetnote-security-research-center/a-novel-technique-for-sql-injection-in-pdos-prepared-statements/

🔗Ссылка: https://www.securitylab.ru/news/561647.php

🔗Ссылка: https://habr.com/ru/articles/928026/

🔗Ссылка: https://opennet.ru/63615/