Web Application Security Notes

История о том, как я решил пройти собеседование в двух компаниях ПТ и Грибы (facct), специализирующейся на информационной безопасности, приводит меня к размышлениям о процессе найма и работе в области пентестов веб приложений. Первые собеседования с представителями отдела кадров прошли гладко. Обсуждались общие темы, вопросы о типах уязвимостей, клиент сайд, сервер сайд, разновидности xss и другие общие вопросы. Эти этапы были стандартными и предсказуемыми. Затем настало время технических собеседований. Ожидания от технической части интервью были высоки, учитывая мой опыт работы в отрасли уже более пяти лет и должность на довольно высокой позиции... Начало технического интервью было обещающим, задавались типичные сценарии веб-приложений и обсуждались возможные векторы атак. Однако процесс внезапно стал затянутым и направлен на администрирование, что меня сильно удивило. Во время интервью меня начали расспрашивать о темах, не относящихся к пентестам, таких как настройка cross-domain policy и другие административные аспекты. Это вызвало у меня недоумение, потому что я считаю, что подобные моменты можно прогуглить, ну надо тебе настроить, ну напиши в гугле и настрой, нахера мне учить это? Вопросы о работе сериализации и десериализации на различных языках также отклонились от темы пентестов. Мне показалось что им гораздо важней, чтобы я смог написать им уязвимое приложение, нежели найти уязвимости в реальных приложениях. Итогом этого опыта стала потеря нервов и понимание того, что компания не сосредоточена на реальных пентестах, а больше на том, чтобы состряпать им очередной хакатончик, цтфочку, стэндофчик или митап. Работники больше ориентированы на тендеры в ASV сканировании похоже, чем на практическую работу с безопасностью. Видимо, они просто сидят, сканируют, потом переводят отчёт со сканера, получают деньги и всё, на эти деньги делают какие-то мероприятия. Это могло привести к недостаткам в области информационной безопасности, особенно с учетом уязвимости многих государственных приложений в последнее время. Мой совет для тех, кто ищет работу в области информационной безопасности, - выбирайте компании, где ценится реальное практическое понимание области, а не только теоретические знания. Ищите единомышленников, увлеченных информационной безопасностью на деле, а не только на бумаге.

Быстро работают, оказывается если ломануть правительственный сайт - то лочат сервера...

https://www.youtube.com/shorts/qn6OGt6GqHQ В прошлый раз, я показывал как собирать поддомены и выкладывал скрипт, но это было в 2021 году... Сейчас появились инструменты получше: Теперь мы можем увидеть не только зарегистрированные поддомены, но и те которые резолвятся, какой ответ получают, подключать куча сервисов по апишке и даже выстраивать графики. https://github.com/screetsec/Sudomy.git

./sudomy -d domain -dP -eP -rS -cF -pS -tO -gW --httpx  -aI webanalyze -sS

Знаю, что многие используют окунь немного неправильно, вот одна из причин (возможно кто-то не знал про это) 1. Первым делом мы должны с вами запустить Burp, залогинится в нашу цель, тыкнуть на таргеты и сохранить все запросы в xml. 2. Кормим этот файл в акунетикс Это довольно сильно повысит ваши шансы найти уязвимости в тех сайтах, где нужна авторизация.

Коменты открыл и привязал чатик 😆. Мой главный вопрос, откуда вы узнали про этот канал?) я его забросил в 2023 году, неужели нужно дальше выкладывать такие штуки?

Cobalt Strike 4.9 Download: https://ponies.cloud/c2/CobaltStrike%204.9%20Cracked%20uCare@Pwn3rzs.7z Password: 20231004_2218 Full Black client: https://ponies.cloud/c2/CobaltStrike%204.9%20Client%20Only%20Full%20Theme%20uCare@Pwn3rzs.7z Password: 20231005_2033