white2hack 📚

Evasion Techniques and Breaching Defenses by Offensive Security, 2020

Интервью с участником команды True0xA3! Павел Шлюндин - руководитель канала @redteambro и участник команды True0xA3. Павел имеет большое количество сертификатов по ИБ: OSCP, OSCE, OSWE, CRTE, LPT, eCPTXv2. Обсудим следующие темы: ✔️ Путь Павла в RedTeam ✔️ Основные отличия RedTeam от Pentest ✔️ Какими навыками должен обладать RedTeam-специалист ✔️ Интересные кейсы в RedTeam проектах YouTube https://www.youtube.com/watch?v=XeRa1iCox1w

Linux Endpoint Hardening to Protect Against Malware and Destructive Attacks PFD https://www.mandiant.com/sites/default/files/2022-03/wp-linux-endpoint-hardening.pdf #linux #hardening

Уязвимости и атаки на CMS Bitrix, Май 23, 2022 , Версия 1.0 by crlf #book #web

Сайт посвящен обзору бесплатного программного обеспечения с открытым кодом для администраторов и безопасников https://gittool.blogspot.com/

Сборник статей по атакам на Active Directory #windows

Пост-эксплуатация взломанного оборудования Cisco В этой небольшой статье ты узнаешь как происходит процесс пост-эксплуатации взломанного оборудования Cisco. Покажу несколько трюков, которые, возможно, подарят тебе импакт во время проведения пентеста. Источник https://habr.com/ru/post/676942/ #pentest #cisco

CodePath Web Security Guides Welcome to the open-source CodePath web security guides! Our goal is to become the central crowdsourced resource for complete and up-to-date web security content and tutorials. Wiki https://guides.codepath.com/websecurity GitHub https://github.com/codepath/web_security_guides/wiki/

Ethical Hacker's Penetration Testing Guide. Vulnerability Assessment and Attack Simulation on Web, Mobile, Network Services and Wireless Networks**, Samir Kumar Rakshit, 2022 The book is a hands-on guide that will take you from the fundamentals of pen testing to advanced security testing techniques. This book extensively uses popular pen testing tools such as Nmap, Burp Suite, Metasploit, SQLmap, OWASP ZAP, and Kali Linux. A detailed analysis of pentesting strategies for discovering OWASP top 10 vulnerabilities, such as cross-site scripting (XSS), SQL Injection, XXE, file upload vulnerabilities, etc., are explained. It provides a hands-on demonstration of pentest approaches for thick client applications, mobile applications (Android), network services, and wireless networks. Other techniques such as Fuzzing, Dynamic Scanning (DAST), and so on are also demonstrated. Security logging, harmful activity monitoring, and pentesting for sensitive data are also included in the book. #book

​ИБ-телега. Большая подборка русскоязычных и английских каналов посвященных теме Информационной Безопасности. Считаем что собрали лучшие каналы на момент публикации поста. ▫️ https://t.me/alexmakus ▫️ https://t.me/AlienHardware ▫️ https://t.me/api_0 * ▫️ https://t.me/api_00 ▫️ https://t.me/appsec_job ▫️ https://t.me/HackGit * ▫️ https://t.me/APT_Notes * ▫️ https://t.me/shadow_group_tg * ▫️ https://t.me/avdno ▫️ https://t.me/bureaucraticsecurity * ▫️ https://t.me/citsecurity ▫️ https://t.me/cryptooffensive * ▫️ https://t.me/cyb3r53cr3t5 * ▫️ https://t.me/cybersecs ▫️ https://t.me/CyberSecurityTechnologies * ▫️ https://t.me/cyberyozh_official ▫️ https://t.me/PentestingNews * ▫️ https://t.me/cloud_sec * ▫️ https://t.me/darkfox_info ▫️ https://t.me/irozysk ▫️ https://t.me/infobes ▫️ https://t.me/in6uz * ▫️ https://t.me/freedomf0x * ▫️ https://t.me/gebutcher * ▫️ https://t.me/hacker_frei ▫️ https://t.me/HackingForRamen ▫️ https://t.me/Leakinfo * ▫️ https://t.me/RalfHackerPublicChat * ▫️ https://t.me/helloSOC * ▫️ https://t.me/HNews * ▫️ https://t.me/hybgl * ▫️ https://t.me/hackerway ▫️ https://t.me/infosec1z ▫️ https://t.me/infosecmemes ▫️ https://t.me/InfoSecMemesProblemes * ▫️ https://t.me/justsecurity ▫️ https://t.me/k8security * ▫️ https://t.me/lamerZen ▫️ https://t.me/linkersec ▫️ https://t.me/m1swarr1or ▫️ https://t.me/mobile_appsec_world * ▫️ https://t.me/naryl_sec ▫️ https://t.me/P0x3k ▫️ https://t.me/pigPeter * ▫️ https://t.me/pathsecure * ▫️ https://t.me/podium_palace ▫️ https://t.me/ptswarm ▫️ https://t.me/r1v3ns_life ▫️ https://t.me/RalfHackerChannel * ▫️ https://t.me/RedTeambro * ▫️ https://t.me/redteamalerts ▫️ https://t.me/reworr_notes ▫️ https://t.me/road_oscp ▫️ https://t.me/router_os * ▫️ https://t.me/sanspie_notes ▫️ https://t.me/sec_devops * ▫️ https://t.me/secinfosec * ▫️ https://t.me/secinfosex ▫️ https://t.me/secharvester ▫️ https://t.me/ShizoPrivacy ▫️ https://t.me/someSecurityNotes ▫️ https://t.me/subchan ▫️ https://t.me/tomhunter ▫️ https://t.me/unidataline * ▫️ https://t.me/w2hack * ▫️ https://t.me/webpwn * ▫️ https://t.me/YouPentest * ▫️ https://t.me/yugoslavskiy_channel ▫️ https://t.me/chtivvvo ▫️ https://t.me/vxunderground * ▫️ https://t.me/dataleak * ▫️ https://t.me/data1eaks * ▫️ https://t.me/true_secator * ▫️ https://t.me/NetSurvivalist * ▫️ https://t.me/Social_engineering * ▫️ https://t.me/S_E_Book * ▫️ https://t.me/in4security ▫️ https://t.me/thebugbountyhunter ▫️ https://t.me/osint_club_channel ▫️ https://t.me/haccking ▫️ https://t.me/bizone_channel ▫️ https://t.me/cybdetective * ▫️ https://t.me/ctfchat ▫️ https://t.me/cyberoffru ▫️ https://t.me/cyberseckz ▫️ https://t.me/codeibcommunity ▫️ https://t.me/AntichatOfficial ▫️ https://t.me/RedTeambro ▫️ https://t.me/joinchat/Dx2taD7P58A1MGZi * ▫️ https://t.me/WebPwnChat * ▫️ https://t.me/shadow_chat_tg ▫️ https://t.me/ruCyberSecurity ▫️ https://t.me/CyberSecurity_ID @Gebutcher #telegram #infosec #cybersecurity #pentesting

Периодически в чате поднимаются вопросы, касающиеся влияние образование на трудоустройство ИБ'шников - как ИБ'шник с одной стороны и наниматель с другой попытаюсь изложить своё субъективное виденье (не является официальной позицией "Большой, белой и пушистой"): 1. При прочих равных магистр лучше специалиста, специалист лучше бакалавра, а бакалавр лучше выпускника колледжа/техникума. Это как мастер спорта международного класса лучше мастер спорта, а он лучше кандидата в мастера спорта. 2. Профильное образование лучше непрофильного, но и оно не даёт гарантии (см. пп. 3, 5) 3. Большинство ВУЗов, по финансовым причинам, не могут себе позволить нанять специалистов-практиков, находящихся на острие прогресса, поэтому там учат несколько устаревшим технологиям (часто преподаватели учат тому, чем они 5-10 лет назад занимались на своей прошлой работе). Поэтому наличие профильного высшего образование не гарантирует автоматического принятия на "нестартовые" позиции. 4. Из предыдущего пункта есть небольшое исключение: практики, засланные компаниями в ВУЗы для отбора/привлечения (в процессе преподавания) наиболее талантливых студентов старших курсов, и аспиранты-практики. 5. Даже в ТОП-ВУЗах есть целевики, платники и просто завбившие на учёбу, поэтому наличие корочки ТОП-ВУЗа также не даёт гарантий. 6. Профильные курсы от "инфоцыган" обычно проводятся специалистами-практиками без должного опыта преподавания и не предполагают подготовку по смежным направлениям (дискретная математика, теория алгоритмов, теория надёжности, теория игр, правоведение, криптография, криптология и т.п.), поэтому и они не дают гарантии. 7. Лицензированные образовательные учреждения учат более новым (по сравнению в ВУЗами) вещам, и более профессионально и закончено подают материал (по сравнению в "инфоцыганами"), но сам курс обычно не на острие прогресса и очень скомканный, поэтому там ещё меньше вопросов из смежных направлений освещается. 8. Весомость международного сертификата определяется как отсутствием дампов к нему, так и совпадением направления с требованиями вакансии (например, для специалиста по продуктовой безопасности сертификаты CCNP и CCDP не будут играть принципиальной роли, хотя в зачёт пойдут), а также его (сертификата, а не кандидата) возрастом (технологии постоянно меняются). 9. По мере развития технологий (инфраструктуры как кода, искусственного интеллекта и т.п.), новые вакансии постепенно переходят на всё более высокий уровень абстракции, поэтому hardening операционных систем всё сильнее уступает hardening'у контейнеров, а оно в свою очередь hardening'у приложений. Но наибольшим спросом будут пользоваться специалисты по ИБ микросервисов. Другие (более низкие направления) направления сразу и полностью не умрут, но их ждёт (пусть и не скоро) участь защиты технических каналов: предлагаемые оклады будут постепенно отставать от средних по ИБ-рынку (относительно специалистов эквивалентного уровня теоретической и практической подготовки). 10. Специализированные (не обзорные) книги являются самым доступным (с финансовой точки зрения) источником достаточно актуальных (относительно всех изложенных выше способов теоретической подготовки и за исключением свежих статей) и специализированных (глубоких, но однобоких) знаний. Книги на русском доступнее для усвоения, но несколько отстают от прогресса (я бы посоветовал "Istio: приступаем к работе", "Безопасность контейнеров. Фундаментальный подход к защите контейнеризированных приложений", "Безопасность разработки в Agile-проектах - Обеспечение безопасности в конвейере непрерывной поставки", "Безопасно by design" и "Безопасность веб-приложений - Разведка, защита, нападение"), а на английском сложнее для понимания, но их объективно гораздо больше и они современнее (тут я бы выделил "Microservices Security in Action"). Вывод: у каждого способа теоретической подготовки есть свои плюсы и есть свои минусы. Ни один из способов не даёт гарантии трудоустройства. Послесловие: изложенное является отражением субъективного отношения и не является истиной в последней инстанции, а уж тем более догмой.

KAK'и и различные руководства. Ответы на вопрос "Как сделать?". В основном про Windows, но не только. https://kak.kornev-online.net/index.asp?cn=0