Available now! Telegram Research 2025 — the year's key insights 
Fsecurity | HH
Open in Telegram
Канал про ИБ Наш Discord: https://discord.gg/Eg8aDS7Hn7 Пожертвовать: > https://www.donationalerts.com/r/xackapb
Show more2 011
Subscribers
+124 hours
-47 days
-1030 days
Posts Archive
2 011
Всем 👋
Был обновлен Obsidian Pentest
⚡Коммит
Спасибо за дополнительную информацию 👾
Приятного чтения 📖
2 011
Repost from N/a
Формы восстановления пароля❓☄️
Казалось бы, что может быть необычного в таком привычном функционале, как восстановление пароля?
Но за обычной кнопкой на фронте скрывается порой то , что может удивить.
О таких багах, связанных с логикой сброса пароля, которые были найдены при реальных пентестах, и пойдет речь в данном посте 🔽
‼️ В данном кейсе при нажатии на кнопку отправлялся следующий запрос
{"email":"user@test.com","url":"http://domain.com/password-reset"}'url, изменив который, мы сможем заставить пользователя перейти на контролируемый злоумышленником домен. Таким образом, пользователю пришло бы тоже самое письмо на почту, с той же самой кнопкой "Восстановить пароль", но нажав на нее, он перешел бы на контролируемый злоумышленником домен, куда мог бы ввести свой старый пароль.
‼️ Данный баг чем-то похож на предыдущий, но импакт от него посущественнее. Что ж опять перехватываем запрос после нажатия "Reset Password" и видим следующее
{"message":"To reset your password click https://domain.com/reset-password?hash=hash", "subject":"Password Recovery", "to_recipients":"user@test.com"}{"email":"user@test.com"}{"email":["evil@test.com","user@test.com"]}2 011
Repost from Hacking & InfoSec
Bypass Bot Detection — новое BurpSuite-расширение, которое позволяет обходить TLS-фингерпринтинг путем имитации фингерпринта браузера и перебора комбинаций протокола/шифрования.
👉 GitHub
#security | Hacking & InfoSec
2 011
Repost from Pentest HaT
😀 CATS v12.0.0 (Contract API Testing and Security)
Продвинутый REST API фаззер с высокой скоростью работы. Строит HTML отчеты по окончании. Очень подробная документация на официальном сайте. Написан на 💻 Java
Запуск в режиме black box:
cats --contract=openapi.yml -H "Authorization=$token" --server=https://api-url.com -b -kcats --contract=openapi.yaml --server=http://localhost:8080 --headers=headers.yml --refData=referenceData.ymlcats random --contract=openapi.yaml --server=http://localhost:8080 -H "API-KEY=$token" --mc 500 --path "/users/auth" -X POST --stopAfterTimeInSec 10