Available now! Telegram Research 2025 — the year's key insights 
Fsecurity | HH
Open in Telegram
Канал про ИБ Наш Discord: https://discord.gg/Eg8aDS7Hn7 Пожертвовать: > https://www.donationalerts.com/r/xackapb
Show more2 008
Subscribers
-224 hours
No data7 days
-1230 days
Posts Archive
2 008
Repost from SHADOW:Group
💥 Как мы превратили DOM XSS в изощренный захват аккаунта в один клик, оцененный в $8000
Увлекательное кейс-исследование, где авторам удалось превратить простой, на первый взгляд, DOM XSS в изощренный захват аккаунта в один клик. В статье рассказано о мыслительном процессе, преградах, с которыми пришлось столкнуться, и о том, как их преодолеть, чтобы получить полностью рабочий эксплойт.
Читать статью
#web #xss #ato
2 008
Возможно пропустили:
Ролик на канале 🥳
Хочу также посоветовать:
1 - Наш discord сервер! Где можно пообщаться 👾
2 - Мой Github 🦑
Наш второй канал [Ximera-Chan]
2 008
Repost from Похек
Крадем чужой телеграм аккаунт за 10 секунд 😎
#telegram #red_team
Ресерч совсем свежий, ему всего 6 дней)
Так что радуйтесь, харкорный контент по вебу возвращается, для тех кто его ждал и дождался.
Давайте попробуем вместе разобраться, как эта атака сработала. Энтрипоинт здесь это авто аутентификации в веб версии телеги при переходе их клиента телеграма (desktop & smart).
При открытии этой ссылки у вас в URL подставляется токен аутентификации в аккаунт.
Далее автор собрала свою версию tdesktop и анализировала код в поисках захаркорженных доменов телеги. И нашли их.
Далее она начала разбирать как формируется ссылку на авто аутентификацию
http://web.telegram.org/ becomes https://web.telegram.org/#tgWebAuthToken=... https://z.t.me/pony becomes https://z.t.me/pony?tgWebAuth=1#tgWebAuthToken=... https://k.t.me/#po=ny becomes https://k.t.me/?tgWebAuth=1#po=ny&tgWebAuthToken=...И ещё кучу примеров Все домены, кроме web.telegram.org, как бы созданы для глубоких ссылок t.me. Переход по любому из них без пути приведет вас на домашнюю страницу telegram.org. При переходе по одной из них с совместимым путем, например z.t.me/share?url=lyra.horse, откроется соответствующий клиент с фрагментом хэша, например: https://web.telegram.org/a/#?tgaddr=tg%3A%2F%2Fmsg_url%3Furl%3Dlyra.horse Обычно это делается с помощью HTTP 301 редиректа, но если параметр
tgWebAuth установлен и deep link действительна, то вместо этого вы сможете запустить этот забавный javascript:
<html>
<head>
<meta name="robots" content="noindex, nofollow">
<noscript><meta http-equiv="refresh" content="0;url='https://web.telegram.org/a/#?tgaddr=tg%3A%2F%2Fmsg_url%3Furl%3Dlyra.horse'"></noscript>
<script>
try {
var url = "https:\/\/web.telegram.org\/a\/#?tgaddr=tg%3A%2F%2Fmsg_url%3Furl%3Dlyra.horse";
var hash = location.hash.toString();
if (hash.substr(0, 1) == '#') {
hash = hash.substr(1);
}
location.replace(hash ? urlAppendHashParams(url, hash) : url);
} catch (e) { location.href=url; }
function urlAppendHashParams(url, addHash) {
var ind = url.indexOf('#');
if (ind < 0) {
return url + '#' + addHash;
}
var curHash = url.substr(ind + 1);
if (curHash.indexOf('=') >= 0 || curHash.indexOf('?') >= 0) {
return url + '&' + addHash;
}
if (curHash.length > 0) {
return url + '?' + addHash;
}
return url + addHash;
}
</script>
</head>
</html>web.telegram.org/?legacy=1. Более того, сессия разделяется между веб-клиентами, поэтому эксплойт в старом веб-клиенте может быть полезен, даже если цель использует современный веб-клиент.
Как итог автор найти ничего интересного в WebK, но и WebZ, и старый клиент дали несколько многообещающих зацепок в работе с tgaddr в URL. Однако это оказалось тупиком для моего исследования, поскольку я не смог найти способ избавиться от амперсанда в части URL &tgWebAuthToken=... или обойти его. Я даже возился с юникодом, чтобы посмотреть, не позволит ли он мне каким-то образом "стереть" амперсанд, но, похоже, UTF-8 был разработан так, чтобы противостоять этому.
Аналогичный ресерч был проведен и для iOS & Android, но те или иные техники уже не сработают на актуальных версиях приложения и/или ОСи.
Так и что? Нет эксплойта?
По сути да, эксплойта нет. Но автор смогла упростить атаку при физическом воздействии до возможного минимума затрат времени - менее 10 секунд.
➡️Для начала отправьте "z.t.me" в приложении Telegram и нажмите на ссылку.
➡️Это перенаправит их браузер на telegram.org/#tgWebAuthToken=....
➡️Отсюда мы изменим домен в браузере на telegramz.org - домен, которым владеет автор, - и нажимаете Enter.
➡️JS на моем домене будет работать дальше, регистрируя одно из устройств автора с помощью токена.
Да, это атака реализуется только при физическом доступе к устройству, к сожалению, но всё равно это впечатляющий результат и я думаю эта атака будет полезна тем ребятам, кто занимается физическим пентестом.
➡️ Если вы что-то не поняли из моего вольного перевода, то здесь сможете найти оригинал статьи
🌚 @poxek2 008
Repost from Пакет Безопасности
Думаю, тут обойдемся без лишних комментариев.
#КиберМем
Твой Пакет Безопасности
2 008
Repost from MavisGPT
У Nmap есть специальная страничка где постят пользование их инструментом в фильмах.
https://nmap.org/movies/
2 008
💡 Active Directory Cheat Sheet — репозиторий, в котором вы найдете общую методологию работы в Active Directory. Внутри — набор быстрых команд из наиболее эффективных инструментов на базе Powershell, C, .Net 3.5 и .Net 4.5.
🥷 Репозиторий не самый актуальный, но для начинающих подойдет отлично, чтобы понять фундаментальные основы.
• Recon
• Domain Enum
• Local Privilege Escalation
• Local Account Stealing
• Monitor Potential Incoming Account
• Local Account Stealing
• Admin Recon
• Lateral Movement
• Remote Administration
• Domain Admin Privileges
• Cross Trust Attacks
• Persistance and Exfiltrate
👉 GitHub
#redteam #pentest #cheatsheet
