Codeby

Как автоматизировать подбор учетных данных на основе результатов Nmap? Используйте Brutespray!

Brutespray — это скрипт на Python, который парсит вывод nmap (особенно в формате –oX или –oG), идентифицирует найденные службы (SSH, FTP, RDP, MySQL и т.д.) и автоматически запускает для них соответствующие инструменты для подбора паролей, такие как: hydra, medusa или patator.

Его главная задача — автоматизировать рутину. Вы не просто видите, что на хосте 192.168.1.10 открыт порт 22 (SSH). Brutespray сразу же возьмет этот IP и порт, подставит их в команду для проведения проверки. 🟧 Ключевые особенности - анализирует nmap и сам решает, какой протокол тестировать - работает с Hydra, Medusa и Patator «из коробки» - позволяет проводить проверки нескольких служб и хостов одновременно, что значительно ускоряет процесс оценки - весь функционал умещается в паре команд 🟧Устанавливаем Клонируем репозиторий с GitHub и устанавливаем зависимости

git clone https://github.com/x90skysn3k/brutespray.git

cd brutespray

python3 -m pip install -r requirements.txt

🟧Проверяем

brutespray -h

🟧Сканируем цели с Nmap Сначала нам нужно получить данные для Brutespray (для это подходит быстрое сканирование с определением версий служб).

nmap -sV 192.168.1.0/24 -oX nmap_scan.xml

-sV определяет версии служб, что критически важно для Brutespray -oX сохраняет вывод в XML-формате, который идеально парсится

🟧Запускаем Brutespray Теперь скормим наш XML-файл программе

python3 brutespray.py --file nmap_scan.xml

Brutespray проанализирует файл, найдет, например, FTP на порту 21, SSH на 22, Telnet на 23 и для каждого запустит свою команду hydra.

🟧Анализируем результаты Brutespray выводит результаты в реальном времени в консоль. Все успешные подборы сохраняются в файл brutespray-output/<protocol>-success.txt.

Например, если был подобран пароль для FTP, вы найдете файл ftp-success.txt с содержимым вида: [+] Хост: 192.168.1.15 - Протокол: ftp - Учетные данные: admin:password123

👨‍💻 SharpDPAPI — C#-утилита для работы с Windows DPAPI-данными

SharpDPAPI — это инструмент, разработанный на языке C# и представленный в рамках проекта GhostPack. Он является портом некоторых функций Mimikatz, связанных с DPAPI (Data Protection API) — встроенного механизма Windows для защиты данных. SharpDPAPI позволяет выполнять аудиторские операции и форензическую работу с DPAPI-ключами и зашифрованными данными без использования PowerShell.

⚡️ Основные возможности SharpDPAPI: ⏺️ Извлечение ключей резервного копирования домена (backup key): утилита позволяет получить DPAPI backup key с контроллера домена с помощью API в стиле Mimikatz. Необходимы права Domain Admin (или эквивалентные) для получения этого ключа. ⏺️ Триаж (masterkeys): поиск файлов пользовательских masterkey и их расшифровка, включая генерацию сопоставления GUID:SHA1. Возможна дешифровка с помощью предоставленного backup key или пароля. ⏺️ Поиск DPAPI-данных: команда search позволяет искать DPAPI-блобы в реестре, файлах, папках или base64-строках по сигнатурам заголовка DPAPI. ⏺️ Работа с браузерными данными: модуль SharpChrome внутри SharpDPAPI позволяет извлекать и расшифровывать cookie-файлы и логины из Chromium-браузеров (Chrome, Edge, Brave, Slack). Доступны параметры управления форматом вывода, фильтром по URL или файлу состояния. 🖥 Примеры использования: ⏺️ Получение backup key:

SharpDPAPI.exe backupkey

(или с указанием контроллера /server:имя_доменного_контроллера и выводом в файл /file:key.pvk) ⏺️ Триаж masterkey:

SharpDPAPI.exe masterkeys /pvk:key.pvk

— формирует список GUID:SHA1, соответствующих найденным masterkey-файлам. ⏺️ Поиск DPAPI-блобов:

SharpDPAPI.exe search /type:folder /path:C:\Users\…\

— ищет DPAPI-структуры внутри файлов папки или реестра. ⏺️ Доступ к браузерным данным:

SharpDPAPI.exe logins /format:json /browser:edge
SharpDPAPI.exe cookies /url:example.com /format:table

— извлекает и расшифровывает логины и cookie-файлы (включая фильтрацию). Сборка и особенности запуска: ➡️ SharpDPAPI требует ручной сборки: откройте .sln в Visual Studio (поддерживается .NET Framework 3.5 по умолчанию, возможно изменение целевой версии) и соберите в конфигурации Release. ➡️ Возможна работа в памяти через PowerShell-обёртку: можно загрузить .exe как base64-строку и вызвать Main() или MainString() для интеграции с PSRemoting.

⚠️ В устройствах Cisco обнаружена уязвимость с оценкой CVSS 10,0 👨‍💻 Уязвимость с идентификатором CVE-2025-20265 затрагивает реализацию подсистемы RADIUSб, что позволяет не аутентифицированному удаленному пользователю внедрять произвольные команды оболочки, которые выполняются устройством.

«Успешная эксплойт может позволить злоумышленнику выполнять команды с высоким уровнем привилегий», — говорится в сообщении Cisco. «Для эксплуатации этой уязвимости программное обеспечение Cisco Secure FMC должно быть настроено на аутентификацию RADIUS для веб-интерфейса управления, управления SSH или обоих».

❗️ Уязвимость затрагивает версии Cisco Secure FMC Software 7.0.7 и 7.7.0, если в них включена аутентификация RADIUS. Обходных путей, кроме применения исправлений, предоставляемых компанией, не существует. 💠 Компания Cisco выпустила обновления безопасности, устраняющие уязвимость в программном обеспечении Secure Firewall Management Center (FMC), а также ряд других серьезных ошибок. 🟢 Хотя ни одна из уязвимостей не подвергалась активной эксплуатации в реальных условиях, а сетевые устройства неоднократно попадали в поле зрения злоумышленников, крайне важно, чтобы пользователи оперативно обновляли свои экземпляры до последней версии.

Друзья, напоминаем, на каких курсах начинается обучение в сентябре ⬇️ Запись до 11 сентября: 🔵Курс «Компьютерные сети» — учимся проектировать архитектуру сетей разной сложности. Настраиваем сетевое оборудование. Старт 8 сентября: 🔵Курс «Организация защиты информации на объектах КИИ» — изучаем нормативно-правовые требования. Старт 15 сентября: 🔵Курс «Основы DevOps» — разберем основные практики методологии автоматизации технологических процессов разработки ПО. 🔵Курс «Python для Пентестера» — научимся писать софт на Python под собственные нужды и редактировать чужой код. Старт 22 сентября: 🔵Курс «Профессия Пентестер» — учимся эксплуатировать онлайн-уязвимости и обходить антивирусы. Изучаем инструменты: сканеры, Bash-скрипты, пентест AD. 🔵Курс «SQL-Injection Master» — освоим начальные навыки работы с SQL-запросами к базам данных. Успейте записаться на последний поток курса! Старт 29 сентября: 🔵Курс «Введение в Информационную Безопасность» — изучаем принципы веб-разработки, виртуализации, уязвимостей веб-приложений, CTF и др. Финальный запуск курса! ✏️ @Codeby_Academy

🫥 SharpUp — Автоматизированное выявление ошибок конфигурации и привилегий в Windows

SharpUp — это инструмент для поиска уязвимостей в Windows, связанных с повышением привилегий. Данный проект написан на языке C# и является портом наиболее распространённых проверок из PowerUp, но уже без использования PowerShell. Это делает его удобным в условиях, когда использование PowerShell ограничено или контролируется системами безопасности.

Основная цель SharpUp — аудит. Утилита выполняет набор проверок, которые помогают определить возможные пути локального повышения привилегий. При этом в SharpUp отсутствует функционал эксплуатации найденных уязвимостей — инструмент только сообщает о потенциальных точках атаки. ❓ Что умеет SharpUp: ➡️ Анализирует конфигурацию системы Windows для поиска уязвимых настроек. ➡️ Проверяет наличие небезопасных сервисов, заданий планировщика и путей. ➡️ Выявляет проблемы в реестре и конфигурационных файлах, которые могут быть использованы злоумышленником. ➡️ Показывает учетные данные, которые могли сохраниться в системе (например, автологины или пароли в групповых политиках). Примеры задач, которые может выявить SharpUp: ➡️ AlwaysInstallElevated — установка MSI пакетов с правами администратора. ➡️ UnquotedServicePath — небезопасные пути к бинарным файлам сервисов. ➡️ HijackablePaths — возможность подмены библиотек или бинарников в путях. ➡️ ModifiableServices — сервисы, которые могут быть изменены пользователем. ➡️ CachedGPPPassword и DomainGPPPassword — пароли, сохранённые в объектах групповой политики. ➡️ ProcessDLLHijack — потенциальная подмена DLL библиотек. Для запуска используется простой синтаксис командной строки. Можно проверить всю систему командой:

SharpUp.exe audit

Или запустить конкретную проверку, например:

SharpUp.exe HijackablePaths

SharpUp не распространяется в готовом виде — его необходимо собрать самостоятельно. Для этого достаточно открыть проект в Visual Studio, выбрать конфигурацию Release и выполнить сборку. Инструмент поддерживает работу на .NET Framework 3.5, что делает его совместимым с большинством версий Windows. SharpUp входит в набор GhostPack — коллекцию инструментов на C#, созданных для проведения аудита и атаковых сценариев без PowerShell. В неё входят такие проекты, как Rubeus, Seatbelt, SharpDPAPI, SharpDump и другие, о которых мы расскажем дальше

В нашей сетке спрятаны инструменты, которые используют профессионалы: от ffuf и gobuster до hashid и gophish. Твоя задача — найти все слова, прокачать внимательность и почувствовать себя настоящим «охотником за знаниями».

🚩 Новые задания на платформе HackerLab! 🔎 Категория OSINT — Солдат 👩‍💻 Категория Pentest Machines — DreamSanity —————————————— 🗂 В архив добавлены задания с прошлых соревнований + райтапы: 🟠Веб - 4chat 🟠Разное - Текст на клавишах Приятного хакинга!

У всех, кто сейчас работает в ИБ, тоже был первый шаг. Вот твой.

👢 Новинка от Codeby — курс «Основы кибербезопасности» Старт потока: 24 ноября 2025 года 🔺Сразу к обучению 🔺Кибербезопасность — это больше, чем просто защита данных. Курс даст фундамент, с которого начинают карьеру в ИБ. Linux, сети, атаки, защита — всё, без чего не попасть в профессию. Что вас ждёт: 🔺32 практических занятия с разбором реальных кейсов. 🔺Наставник, который помогает весь путь — не только по технике, но и по карьерным вопросам. 🔺 5,5 месяцев интенсивного обучения с фокусом на практику. Вы научитесь: • работать в Linux и Windows с прицелом на ИБ, строить и атаковать сети, • понимать PowerShell, Wireshark, Kali Linux, • проводить первые pentest-атаки, разбираться в SOC, SIEM и логах. Курс подойдёт, если вы: 🔺 новичок в ИБ и не знаете, с чего начать, 🔺 IT-специалист, которому нужно усилить компетенции, 🔺 студент, тестировщик или системный админ — и хотите расти.

«Вы получите мышление безопасника. И это имеет ценность в 2025 году» — автор курса.

Готовы стать частью команды, которая 5 раз выиграла The Standoff? Программа, наставник, скидки 🔺 Хочу узнать всё ✈️ @CodebyManagerBot

💥 REcollapse

Представляет собой вспомогательный инструмент для фаззинга регулярных выражений методом чёрного ящика, который позволяет обходить проверки и обнаруживать нормализации в веб-приложениях. Также может быть полезен для обхода WAF и слабых механизмов защиты от уязвимостей.

Цель этого инструмента — генерация полезных нагрузок (payloads) для тестирования. Фактическое фаззинг-тестирование должно проводиться с помощью других инструментов, таких как Burp, Caido, ffuf и др. Установить можно через python или docker следующими командами.

git clone https://github.com/0xacb/recollapse.git
cd recollapse
#Python 3
python3 setup.py install 
#Docker
docker build -t recollapse . 

⁉️ Объяснение параметров Режимы работы Предположим, что входная строка — this_is.an_example. ⏺️Вставка полезной нагрузки в начало строки: $this_is.an_example ⏺️Вставка байтов до/после символов-разделителей: this$_$is$.$an$_$example ⏺️Подстановка всех возможных байтов в соответствии с таблицей нормализаций. ⏺️Добавление нагрузки в конец строки: this_is.an_example$ ⏺️Замена допустимых символов на регулярные метасимволы: .^$*+-?()[]{}\| ⏺️Замена символов на их нижний/верхний регистр или эквиваленты по таблице соответствий. ⏺️Замена символов на байты, вызывающие усечение строки при обработке. Кодирование ⏺️URL-кодирование (используется в application/x-www-form-urlencoded, параметрах GET/POST): %22this_is.an_example ⏺️Unicode-кодировка (используется в application/json): \u0022this_is.an_example ⏺️Raw-формат (используется в multipart/form-data): "this_is.an_example ⏺️Двойное URL-кодирование: %2522this_is.an_example Диапазон Диапазон байтов для фаззинга: -r 1-127 позволит исключить буквенно-цифровые символы, если не указана опция -an (буквенно-цифровые символы). Размер Размер фаззинга для режимов 1, 2 и 4. По умолчанию выполняется фаззинг всех возможных значений для одного байта. Увеличение размера потребует больше ресурсов и приведет к созданию большего количества входных данных, но это может помочь найти новые обходные пути. Таблицы Используйте -nt параметр, чтобы отобразить таблицу нормализации, -ct параметр, чтобы отобразить таблицу регистров, и -tt параметр, чтобы отобразить таблицу усечения. Также можно использовать --html параметр для вывода таблиц в формате HTML.

recollapse -nt --html > normalization_table.html
recollapse -tt --html > truncation_table.html
recollapse -ct --html > case_table.html

👨‍💻 Примеры использования

recollapse -e 1 -m 1,2,4 -r 10-11 https://legit.example.com

echo "a@b.com" | recollapse 

echo "<svg/onload=alert(1)>" | recollapse | ffuf -w - -u "https://example.com/?param=FUZZ" -mc 200,403,500

🤯 Новая модель GPT-5 - страх безопасников! 🧠 Новая версия ИИ-модели GPT-5 демонстрирует сенсационные способности в области кибербезопасности, взламывая защищённые системы в три раза быстрее и эффективнее, чем её предшественник GPT-4. По статистике, 70% уязвимостей GPT-5 находит с первого запроса, тогда как GPT-4 выявлял чуть больше 20%. Эта впечатляющая разница показывает качественный прорыв в скорости и точности взломов. ❗️ Еще одно важное отличие GPT-5 от предыдущих моделей - способность выполнять сложные атаки: XSS, SQLi, эксплойты и т.д. 😡 Эксперты отмечают, что GPT-5, сочетая мощь генеративного ИИ и кибератак, может значительно повысить угрозы кибербезопасности, требуя немедленного развития защитных технологий и новых стандартов защиты данных, но в то же время является серьезной угрозой, позволяющей увеличить количество кибератак в разы

Записки цифрового ревизора: три кластера угроз в киберпространстве ❕ 4 сентября, 11:00 (МСК) — стрим Kaspersky Threat Intelligence с презентацией нового аналитического отчёта. О чём поговорим: 🟢 актуальные ключевые угрозы для российского бизнеса 🟢 14 самых активных проукраинских группировок; 🟢 появление гибридного хактивизма как нового кластера активности сочетающего в себе признаки хактивисткой и APT группировки 🟢 как большинство группировок связаны между собой и складываются в три крупных кластера угроз Спикеры: — Никита Назаров, Руководитель отдела расширенного исследования угроз — Александр Кириченко, Старший аналитик разведки киберугроз Зачем вам быть на стриме: — быстро разложите хаос угроз по полочкам (3 кластера → понятные решения) — получите инсайты напрямую от практиков, чтобы скорректировать защиту уже сейчас ▶️ Регистрация ⏳ Четверг, 4 сентября, 11:00 (МСК). Подключайтесь и приходите с вопросами!

🗡 Katana Современный, высокопроизводительный веб-краулер и парсер, написанный на Go. Для успешной установки katana требуется Go 1.21+. Установить можно следующей командой:

CGO_ENABLED=1 go install github.com/projectdiscovery/katana/cmd/katana@latest

🏋️‍♀️ Поддерживает 2 режима работы: Стандартный режим сканирования использует стандартную библиотеку go http для обработки HTTP-запросов и ответов. Этот режим намного быстрее, так как не требует дополнительных ресурсов браузера. Однако он анализирует только "сырое" тело ответа — без выполнения JavaScript и без рендеринга DOM. Из-за этого он может пропустить URL или точки входа, которые появляются только после загрузки страницы в браузере или в результате асинхронных запросов. Headless режим перехватывает внутренние вызовы для обработки HTTP-запросов/ответов непосредственно в контексте браузера. Это даёт два преимущества: ⏺️Fingerprint клиента (TLS, User-Agent) полностью идентифицирует его как настоящий браузер. ⏺️Лучшее покрытие, поскольку эндпоинты обнаруживаются при анализе стандартного необработанного ответа, как и в предыдущем случае, а также при анализе ответа, отображаемого браузером с включенным JavaScript. Headless сканирование не является обязательным и может быть включено с помощью -headless опции. 🕷 Использование katana требует url или эндпоинт для сканирования и принимает один или несколько входных параметров. URL-адрес для ввода можно указать с помощью опции -u, а несколько значений можно указать через запятую. Аналогичным образом поддерживается ввод через файл с помощью опции -list, а также ввод через stdin. При использовании режима headless могут понадобится следующие флаги: -no-sandbox - полезен при запуске от имени пользователя root. -no-incognito - полезен при использовании локального браузера. Контроль области сканирования -field-scope - самый удобный способ задать область видимости с помощью заранее заданного имени поля. ⏺️rdn — сканирование корневого домена и всех поддоменов (например, *example.com) (по умолчанию) ⏺️fqdn - сканирование в пределах заданного поддомена (например, www.example.com или api.example.com) ⏺️dn — сканирование по ключевому слову в доменном имени.

katana -u https://tesla.com -fs dn

-crawl-scope - расширенное управление областью видимости с поддержкой regex.

katana -u https://tesla.com -cs login

-crawl-out-scope - определение целей, которые не нужно сканировать. Также с поддержкой regex. Обход аутентификации Включение пользовательских заголовков или файлов cookie в HTTP-запросы для доступа к защищенным ресурсам. Эти заголовки содержат информацию об аутентификации или авторизации, что позволяет сканировать защищенный контент/эндпоинты.

katana -u https://tesla.com -H 'Cookie: usrsess=AmljNrESo'

Управление сканированием Возможность указать глубину для отслеживания URL-адресов при сканировании.

katana -u https://tesla.com -d 5

Возможность включить анализ файлов JavaScript и сканирование эндпоинтов, обнаруженных в файлах JavaScript, по умолчанию отключена.

katana -u https://tesla.com -jc

Возможность включить автоматическое заполнение формы для известных/неизвестных полей. Значения известных полей можно настроить по своему усмотрению, обновив файл конфигурации формы по адресу $HOME/.config/katana/form-config.yaml.

katana -u https://tesla.com -aff

Российская группа EncryptHub использует уязвимость MSC EvilTwin для развертывания вредоносного ПО Fickle Stealer 📌Злоумышленник, известный как EncryptHub, продолжает эксплуатировать уже исправленную уязвимость безопасности Microsoft Windows для доставки вредоносных программ. 1️⃣Trustwave SpiderLabs сообщила, что недавно обнаружила кампанию EncryptHub, сочетающую социальную инженерию и эксплуатацию уязвимости в фреймворке консоли управления Microsoft (MMC) (CVE-2025-26633, также известной как MSC EvilTwin) для запуска процедуры заражения через поддельный файл консоли Microsoft (MSC). 2️⃣EncryptHub, также известная как LARVA-208 и «Водяная Гамаюн», — российская хакерская группа, впервые получившая известность в середине 2024 года. Работая в высоком темпе, эта финансово мотивированная группа известна тем, что использует различные методы, включая поддельные предложения о работе, анализ портфолио и даже взлом игр Steam, для заражения целей вредоносным ПО для кражи данных. 3️⃣Использование злоумышленником уязвимости CVE-2025-26633 ранее было задокументировано компанией Trend Micro в марте 2025 года, когда были обнаружены атаки с использованием двух бэкдоров: SilentPrism и DarkWisp. В последней последовательности атак злоумышленник выдаёт себя за сотрудника ИТ-отдела и отправляет целевой объект запрос Microsoft Teams с целью инициировать удалённое подключение и развернуть вторичную полезную нагрузку с помощью команд PowerShell. Среди сброшенных файлов есть два файла MSC с одинаковым именем, один из которых безвреден, а другой — вредоносен, что используется для запуска уязвимости CVE-2025-26633, что в конечном итоге приводит к выполнению вредоносного файла MSC при запуске его безобидного аналога. Файл MSC, со своей стороны, извлекает и выполняет с внешнего сервера другой скрипт PowerShell, который собирает системную информацию, устанавливает персистентность на хосте и взаимодействует с сервером управления и контроля (C2) EncryptHub для получения и запуска вредоносных полезных нагрузок, включая похититель под названием Fickle Stealer. В ходе атаки злоумышленник также использовал загрузчик на основе Go под кодовым названием SilentCrystal, который использует Brave Support, легитимную платформу, связанную с веб-браузером Brave, для размещения вредоносного ПО следующего уровня — ZIP-архива, содержащего два MSC-файла для использования CVE-2025-26633 в качестве оружия.

Flipper Zero: универсальный гаджет для физического пентеста Карманный гаджет, который стал угрозой для корпоративной безопасности и незаменимым инструментом пентестеров. В новой статье разбираем ключевые возможности устройства: 🔵Тестирование RFID и NFC систем 🔵Проведение BadUSB-атак 🔵Перехват и анализ радиосигналов Sub-GHz 🔵Работу с инфракрасными интерфейсами А также исследуем топ-приложения из официального магазина ➡️ читайте подробнее. ❗️Важно: все методы — только для легального тестирования с разрешения владельца!

"Твоя private zone — мой public domain." CamXploit Это разведывательный инструмент, разработанный для того, чтобы помочь исследователям и специалистам по безопасности проверить, не размещена ли на IP-адресе незащищённая камера видеонаблюдения. Он сканирует распространённые порты камер, проверяет страницы входа, тестирует учётные данные по умолчанию и предоставляет полезные ссылки для дальнейшего исследования. 📕 Характиристика: 1️⃣Сканирует открытые порты (стандартные порты для систем видеонаблюдения) 2️⃣Проверяет наличие камеры 3️⃣Если камера обнаружена, то: Идёт поиск страниц входа, Проверка учётных данных по умолчанию, Определение производителя камеры и уязвимостей, Обнаружение прямых трансляций (RTSP, RTMP, HTTP, MMS), Предоставление информации о местоположении с картами, Показ сведений о сервере и типов аутентификации 4️⃣Предоставляет URL-адреса для ручного поиска для более глубокого анализа 💻 Установка: 1️⃣

git clone https://github.com/spyboy-productions/CamXploit.git

2️⃣

cd CamXploit

3️⃣

pip3 install -r requirements.txt --break-system-packages

📌Запуск: 1️⃣

python CamXploit.py

2️⃣

Вводим ip-адрес камеры

⚠️ Обнаружены вредоносные пакеты PyPI и npm, использующие зависимости при Supply Chain атаках 🧑‍💻 Исследователи по кибербезопасности из Zscaler ThreatLabz обнаружили вредоносный пакет в репозиториях Python Package Index (PyPI), который выполняет вредоносную активность через зависимость, позволяющий выполнять вредоносный код. 📦 Пакет "termncolor" реализовывает вредоносную активность через пакет зависимостей "colorinal". На сегодняшний момент обе библиотеки не доступны на PyPI, но пакет "termncolor" был скачан 355 раз, а "colorinal" - 529 раз. 🔗 Как утверждают исследователи из Zscaler ThreatLabz, при данной атаке используется сторонняя загрузка DLL для облегчения расшифровки и Command and Control (C2) с управляющем сервером. 📁 В частности, полезная нагрузка развёртывает легитимный двоичный файл "vcpktsvr.exe" и DLL-библиотеку "libcef.dll", которая запускается с помощью стороннего DLL-загрузчика. DLL, в свою очередь, способна собирать системную информацию и взаимодействовать с сервером командования (C2) с помощью Zulip , чат-приложения с открытым исходным кодом, чтобы скрыть свою активность. 🦠 Также в атаках фигурируют пакеты npm "redux-ace" (163 загрузок) и "rtk-logger" (394 загрузок) , предназначенные для загрузки и запуска скриптов Python, сбора системной информации, сканирования файловой системы на наличие конфиденциальных файлов и другой вредоносной активностью.

🔑 SessionGopher — Утилита для извлечения сохранённых сессий удалённого доступа

SessionGopher — это PowerShell-утилита, разработанная Brandon Arvanaghi (изначально для FireEye), которая помогает выявлять и расшифровывать сохранённую информацию о сессиях удалённого доступа, таких как WinSCP, PuTTY, SuperPuTTY, FileZilla и Microsoft Remote Desktop. Утилита умеет работать локально и удалённо через WMI.

1️⃣ Установка и подготовка ⏺️ Клонирование репозитория:

git clone https://github.com/Arvanaghi/SessionGopher.git
cd SessionGopher

⏺️ Убедитесь, что есть права администратора или аналогичные — доступ к HKEY_USERS необходим для извлечения данных о сессиях. 2️⃣ Запуск утилиты Локально:

. .\SessionGopher.ps1
Invoke-SessionGopher -Thorough

Удалённо:

Import-Module path\to\SessionGopher.ps1
Invoke-SessionGopher -Target HOSTNAME -Thorough

По списку хостов:

Invoke-SessionGopher -iL computerlist.txt -u domain.com\admin -p SecretPassword -o

Параметры: ⏺️ -Thorough — включает поиск по всему диску .ppk, .rdp, .sdtid файлов ⏺️ -iL — список хостов ⏺️ -AllDomain — опрос всех доменных машин ⏺️ -Target — конкретная цель ⏺️ -o — вывод результатов в папку с CSV 3️⃣ Пример вывода (Thorough)

[+] Digging on Win7-Arvanaghi ...
WinSCP Sessions
Session  : admin-anthony@198.273.212.334
Username : admin-anthony
Password : Super*p@ssw0rd

FileZilla Sessions
Password : imr34llytheFl@sh

PuTTY Private Key Files (.ppk)
Path : C:\Users\Brandon\mykey.ppk
Private Key: {...}

Microsoft Remote Desktop .rdp Files
Hostname : dc01.corp.hackerplaypen.com
Prompts for Credentials : No

Утилита позволяет извлечь пароли, приватные ключи и конфигурацию сессий. Возможности и особенности ⏺️ Извлечение сессий: WinSCP, FileZilla, SuperPuTTY, PuTTY, RDP (.rdp) и RSA-файлы (.sdtid) ⏺️ Расшифровка сохранённых паролей и приватных ключей ⏺️ Поддержка удалённого выполнения с использованием WMI ⏺️ CSV-вывод для удобной автоматизации и аудита

🪄 Pixiewps Утилита для подбора пароля к защищенной сети Wi-Fi оффлайн. Написана на языке C и используется для автоматического подбора PIN-кода WPS с использованием низкой или отсутствующей энтропии в некоторых программных реализациях (атака Pixie Dust, обнаруженная Домиником Бонгаром в 2014 году). В отличие от традиционной онлайн-атаки методом перебора, реализованной в таких инструментах, как Reaver или Bully, которые позволяют восстановить PIN-код за несколько часов, этот метод позволяет получить PIN-код всего за секунды или минуты, в зависимости от цели, если она уязвима.

Pixie Dust — офлайновая атака на WPS PIN. WPS — это функция, упрощающая подключение к Wi-Fi. Некоторые чипсеты (особенно от Broadcom и Ralink) используют недостаточно случайные числа (или вообще фиксированные) при генерации криптографических параметров в WPS, что позволяет рассчитать WPS PIN мгновенно, без перебора всех 10⁷ вариантов.

Как проходит атака 1️⃣Злоумышленник запускает WPS handshake с точкой доступа. Использует утилиту (например, Reaver) для захвата Public Key, Nonce и других параметров, отправленных точкой доступа. 2️⃣Если точка доступа уязвима: ⏺️Утилита офлайн высчитывает WPS PIN. ⏺️Получает WPA-PSK пароль Wi-Fi. 🍽 Установка

git clone https://github.com/wiire/pixiewps 
#OR
wget https://github.com/wiire/pixiewps/archive/master.zip && unzip master.zip
cd pixiewps/
make
sudo make install

✏️ Примеры использования Базовый вызов для проведения Pixie Dust-атаки.

pixiewps -e 1234567890ABCDEF1234567890ABCDEF1234567890ABCDEF1234567890ABCDEF -r ABCDEF1234567890ABCDEF1234567890ABCDEF1234567890ABCDEF1234567890 -s AABBCCDDEEFF11223344556677889900AABBCCDDEEFF11223344556677889900 -z 11223344556677889900AABBCCDDEEFF11223344556677889900AABBCCDDEEFF -a 99887766554433221100FFEEDDCCBBAA99887766554433221100FFEEDDCCBBAA -n 0102030405060708090A0B0C0D0E0F10

Все параметры передаваемые в флагах (-e, -r, -s, -z, -a, -n) являются значениями, полученными с помощью инструмента Reaver или Bully во время WPS-сессии. Вывод в файл и повышенная детализация.

pixiewps -e <PKE> -r <PKR> -s <E-Hash1> -z <E-Hash2> -a <AuthKey> -n <EnrolleeNonce> -v 3 -o pixie-output.txt

Атаки на некоторые уязвимые реализации (например, Ralink).

pixiewps -e <PKE> -r <PKR> -s <E-Hash1> -z <E-Hash2> -a <AuthKey> -n <EnrolleeNonce>  -m <RegistrarNonce>

Уязвимость MadeYouReset в протоколе HTTP/2 позволяет проводить масштабные DDoS-атаки. Исследователи из компаний Imperva и Deepness Lab обнаружили новую критическую уязвимость в протоколе HTTP/2 и присвоили ей идентификатор CVE-2025-8671. Обнаружена 13 августа 2025 года.

Уязвимость MadeYouReset представляет собой усовершенствованную версию разрушительной атаки Rapid Reset, которая была обнаружена в 2023 году и считалась крупнейшей DDoS-атакой на тот момент.

📕 Предыстория Уязвимость Rapid Reset связана с тем, как HTTP/2 управляет жизненным циклом потоков. Клиент быстро открывает и закрывает потоки с помощью кадров RST_STREAM. Особенность заключается в том, что сервер интерпретирует эти сбросы как завершение работы потока и освобождения ресурсов, включая счётчик активных потоков, который ограничивает количество одновременных запросов от клиента. Фактически же поток остается задействованным, то есть сервер продолжает обрабатывать данные и очищать память, хотя логически он считался завершённым. Это создаёт лазейку: сервер считает, что у него достаточно ресурсов для обработки большего количества потоков, и продолжает принимать новые, увеличивая нагрузку на ресурсы. Массовое повторение этого цикла может привести к перегрузке даже самой отказоустойчивой инфраструктуры. ✍️ Принцип работы новой атаки Атака использует встроенные в HTTP/2 механизмы параллельной обработки данных, позволяя злоумышленникам создавать практически неограниченную параллельную работу на серверах, обходя встроенное ограничение параллельной обработки данных в HTTP/2. 1️⃣Злоумышленник начинает со стандартного установления соединения по HTTP/2 и открытия нескольких потоков. Вместо использования RST_STREAM злоумышленник отправляет корректные по структуре, но логически некорректные последовательности кадров, которые нарушают правила протокола. 2️⃣Каждый из таких примитивов по-разному нарушает спецификацию HTTP/2, и в соответствии с RFC 9113 сервер должен отвечать кадром RST_STREAM при обнаружении ошибки PROTOCOL_ERROR. При этом количество потоков может формально оставаться меньше лимита, хотя на самом деле сервер продолжает обрабатывать значительное число активных потоков. Это приводит к чрезмерной нагрузке на процессор и память, что в конечном счёте вызывает полный отказ в обслуживании. В отличие от традиционных атак типа отказа в обслуживании, требующих значительных ресурсов, MadeYouReset позволяет злоумышленникам добиться максимального сбоя в работе системы с минимальными усилиями со стороны атакующего. ❗️Выявлено, что уязвимость MadeYouReset затрагивает несколько широко используемых реализаций HTTP/2 серверов, в том числе Netty, Jetty, Apache Tomcat, IBM WebSphere и BIG-IP. 🛡 Рекомендации по защите ⏺️более строгая проверка протокола; ⏺️применение жёсткого отслеживания состояний потоков для ⏺️блокировки некорректных переходов; ⏺️внедрение ограничений скорости на уровне соединений; ⏺️использование систем обнаружения аномалий и поведенческого мониторинга.

TInjA: современный инструмент для тестирования веб-безопасности

TInjA — это инструмент, включённый в дистрибутив Kali Linux, который претерпел значительные изменения. В версии v1.2.0+ он переориентирован на веб-тестирование и более не поддерживает прямой анализ IoT-устройств и прошивок, как это было ранее.

🤩 Новые возможности инструмента - Обнаружение уязвимостей в веб-приложениях (XSS, инъекции) - Проверка на клиентские шаблонные инъекции (CSTI) - Сканирование с кастомными HTTP-заголовками - Поддержка работы через прокси - Генерация отчётов в JSON-формате 🔹Установка Поскольку TInjA входит в состав Kali Linux, его можно установить командой:

sudo apt update && sudo apt install tinja

Проверяем:

tinja --help

🔹Сканирование веб-интерфейса устройства

tinja url -u http://192.168.1.100

Проверяет веб-интерфейс на наличие уязвимостей 🔹Пакетное сканирование URL

tinja raw -R targets.txt

Где targets.txt содержит список URL (по одному на строку) 🔹Проверка с кастомными заголовками

tinja url -u http://example.com -H "Authorization: Basic YWRtaW46YWRtaW4="

⬇️Полезные флаги --useragentchrome - использование Chrome User-Agent --csti - проверка шаблонных инъекций --timeout - установка таймаута (сек) --reportpath - сохранение отчёта ‼️Важные предупреждения

- Используйте TInjA только для тестирования систем, на которые имеете право тестировать - Некоторые проверки могут вызывать отказ в обслуживании - Для IoT-тестирования используйте специализированные инструменты