Что-то на пентестерском

⛈ Исследование | Bypass CAPTCHA 1C-Bitrix Всем привет! Решил переписать своё старое исследование в более читабельный формат. Еще давно, у меня был проект на пентест - сайт на 1с-битрикс В ходе поиска уязвимостей мне попалась капча в стандартной форме аутентификации 1с-битрикс, которая генерировалось вроде бы стандартно Но я решил её поисследовать и пойти нестандартным путем Вот что из этого вышло... 🟢Устройство капчи ⬜️ Captcha.php - данный файл отвечает за генерацию SID капчи, обращением к функции GetSID(); ⬜️ SID - это что-то наподобие secure id, который нужен для того, чтобы значение капчи в виде слова(fW0j) лежало в html форме не в открытом виде, а в виде SID(0f7e32b13881c476d4d1f7be9796ed42), это нужно чтобы не так легко ее можно было обойти ⬜️ Генерация - после того, как открываешь форму она генерируется, идет GET запрос на captcha.php и получаешь значение в виде картинки и sid значения 🟠Начало исследования Мне пришло в голову проверить генерацию sid, после того, как обнаружил что sid долгое время оставался живой и не удалялся Лежал он живой около 4 часов, и подумал я, что если в этот временной промежуток сделать проверку на генерацию одинаковых сидов Если сгенерируется тот же сид, что и живой, то его можно вставить в запрос и обойти капчу, тк и значение и sid значения мы знаем 🟠Мой коллега помог написать скрипт для GET запроса напрямую к captcha.php, за что спасибо, но такой метод не сработал Тогда и попробовал сделать POST запрос через форму аутентификации И это сработало... 🔴Обход капчи ⬜️ Отправляем POST запрос на регистрацию нового юзера через python ⬜️ Отправляем его до тех пор, пока не попадется старый sid ⬜️ Если попался старый сид, то зарегистрируется новый юзер и скрипт выведет "ok" ➡️Exploit - Click 📌 Импакт от этого - переполнение базы данных путем создания различных юзеров Также можно сгенерировать к примеру 10 сидов, что ускорит обход капчи ЧТНП | #исследования #web

⛈ Конкурс | Билет на OFFZONE за 0 рублей Привет друзья! Я думаю многие знают про конференцию OFFZONE, так вот... Тут метился конкурс бесплатной проходки на OFFZONE c поддержкой от платформы BI.ZONE Bug Bounty для вас, подписчиков этого канала Конференция пройдет 24-25 августа в Москве 🟢Если хочешь поучаствовать и испытать удачу - напиши в комментариях под этим постом свой интересный кейс с пентеста / багбаунти, если такого нет - то напиши что затянуло тебя в ИБ или что мотивирует тебя изучать вот это всё. Было бы интересно почитать 🟢Условия такие: если ты напишешь коммент первым - твой номер будет один, если вторым - то второй и т.д. Далее закину номера в рандомайзер и возможно билет достанется именно тебе, мой дорогой читатель 😉 🟢Увидимся на OFFZONE ЧТНП | #конкурс

⛈ Bug bounty | Android Insecure logging Всем привет! Не давно сходил на этот ваш баг баунти, получилось норм, нашёл уязвимость в одном мобильном приложении банка тинькофф(название к сожалению не могу раскрыть) Давай расскажу о том, как уязвимость нашел, в чём её суть и сколько получил деняк 🟢Insecure logging В андроид приложениях есть возможность логгировать определенные действия с помощью класса android.util.Log Для разработчика, это полезно, т.к. удобно отслеживать те или иные действия приложения в динамике. Иногда разработчики по ошибке забывают отключить логгирование для конфиденциальных данных пользователя, оттуда и появляется данная уязвимость. Пример: Log.i(Myapp, "Это моё сообщение для записи в журнале"); Log.d(Myapp, jwt.token, user.phone); 🟢How to find В логах я заметил что льётся моя конфиденциальная информация: Cookie, номер телефона, access token, refresh token. Если и ты заметишь что твои данные льются с логов, то это уязвимость. 🟢Exploitation Для того, чтобы отслеживать логи приложения сперва нужно узнать pid процесса нашего приложения: ➡️ adb shell ps | grep "MyCoolApp" Поскольку логов у нас будет море, поэтому запускам утилиту logcat с pid нашего процесса: ➡️adb logcat | grep "2222" Далее просто пробуем авторизироваться в приложении и глянуть течёт конфиденциальная информация или нет 📌 За всё про всё я получил 10.000 рублей, ибо выплаты были уменьшенные к этому приложению, также добавили 600 рублей, чтобы при оплате налога у меня равно 10.000 было, что очень приятно. 📌 Также помимо просто авторизации в приложении необходимо вписать конф. данные в поля ввода, к примеру в информацию о своем аккаунте и нажать кнопку сохранить Если твои номера банковских карт, номера телефонов, ФИО, СНИЛС и прочие конф. данные будут идти в лог, тогда смело заворачивай это в отчет и наслаждайся выплатой 😎 Хороших тебе находок 💪 ЧТНП | #bugbounty #mobile

Всем привет друзья!☺️ решили для вас делиться интересным и познавательным контентом! Это статья нацелена на новичков, которые хотят научиться анализировать приложения, малвари. И так поехали! (введение в RE) - тыкни!

⛈ Атака на цепочку поставок Dependency Confusion Привет! Году в 2019-2020 вышло исследование на тему данной атаки, она может применяется в вебе, тем самым можно получить RCE, данная атака принимается и в баг баунти Автор этой атаки получил таким образом RCE в 35 компаний, давай разберемся в чем ее суть и как работает 🟢 Суть данной атаки в том, что нужно найти пакет, которого нет в публичном репозитории и создать пакет с точно таким же названием, сделать его вредоносным и версию выше чем прошлая и залить в публичный репозиторий, это затриггерит авто установщики и на сервер попадется твой вредоносный пакет 🟢 Пример: на сайте ты нашел файл package.json и увидел какие есть пакеты, осталось узнать какого пакета нет в публичном репозитории. После того как выявил пакет, надо создать вредоносный, с таким же названием но версией повыше, залить в публичный репозиторий и просто ждать отклик 🟠Более подробный пример эксплуатации можно глянуть тут: https://telegra.ph/RCE-cherez-Dependency-Confusion-05-11 📌 Из нюансов это атаки - отклик можно ждать от нескольких часов до недель(у кого-то даже месяцев), твой файл может подхватить разработчик компании(некоторые платформы бб это все равно принимают), твой файл может подхватить другая компания ЧТНП | #web

Как оттачивать скилл в ИБ ⛈ Всем привет! Не часто стал статьи выпускать, т.к. решил отдохнуть от ИБ, надо будет справляться ⌨️ Сегодня решил написать статью для новичков, т.к. запутаться в этой сфере на раз-два из-за большого кол-во информации Давайте разберемся с тем, что такое скилл и как его качать. 🟢Скилл - навыки, другими словами это действия, которые доведены до автоматизма ➡️Пример: Ты изучил XSS, её виды и научился её находить, понял её суть, где ее находить, как идентифицировать, обходить WAF и защищаться от неё. Таким образом у тебя появилась алгоритмизация действий для достижения результата и пачка утилит, которая сможет помочь рутину автоматизировать - это и есть скилл. Соответственно, чем больше скиллов - тем больше ты хороший специалист, скиллы работают как фоновые процессы или демоны в линуксе, т.е. на заднем фоне и включаются когда надо 🟢Где совершенствовать скилл? 🖕 Когда у тебя сложились базовые скиллы к примеру в веб-пентесте, ты научился находить базовые уязвимости и что делать дальше Когда ты изучаешь уязвимость и практикуешь ее в лабе какой нибудь - чаще всего ты заранее знаешь что в этой лабе за уязвимость Следовательно лабы где заранее знаем что за уязвимость нужны как раз таки для приобретения скилла, но никак не для совершенствования ➡️В лабах где нужно обнаружить уязвимость не зная что там за уязвимость Благодаря этому у тебя прокачаются навыки разведки и способах идентификации уязвимости Это и есть самый настоящий пентест, чем больше ты таких лаб пройдешь - тем более совершенней будет твой скилл Также ещё лучше всего будет попрактиковаться в баг-баунти, т.к. там настоящая жизнь 🤑 Список лаб: 🔴Hacker101 🔴PortSwigger 🔴Hackthebox 🔴Tryhackme 📌 Проходя такие лабы ты сам поймешь где тебе следует подкачаться чуть больше и какие у тебя пробелы, может в алгоритмизации действий а может в недостаточном знании об уязвимости или механизме веб приложения Если у тебя есть похожие лабы - кинь в комментарии плз, будет полезно 😘 ЧТНП | #base #web

Awillix создали Pentest Awards - первую в России премию исключительно для пентестеров. ▫️6 номинаций для разных частей имитации хакерских атак; ▫️Топовые профессионалы в совете жюри; ▫️Заявка — это обезличенный рассказ про лучший проект в свободной форме; ▫️Награда — техника Apple для 1,2,3 места + билеты на Offzone, обучение в школе CyberED, много мерча, и самое главное — респект всего комьюнити :) Отправляйте заявки на сайте — https://award.awillix.ru/, время органиченно. #промо

📢 Уважаемые подписчики! 🦈 Хочу поделиться с вами своим собственным Open Source решением для генерации CSRF PoC под названием CSRFShark! ✨ Изначально я задумывал его для своих личных нужд, но понял, что он может быть полезен и другим исследователям в области информационной безопасности. Поэтому было принято решение опубликовать код инструмента на GitHub. CSRFShark полностью бесплатный, распространяется по лицензии MIT. 💡 Что делает этот инструмент особенным? Его отличительной особенностью является возможность генерации постоянной ссылки на результат. Это означает, что вы можете просто указать ссылку в своем отчете, а команда безопасности сможет легко и быстро проверить работоспособность PoC. Удобство в действии! 👌 🔒 Ах да, чуть не забыл. Все необходимые данные передаются в хэше URL, а следовательно, сервер не знает никаких подробностей о вашем запросе. 💪 Надеюсь, CSRFShark сможет стать незаменимым помощником для ваших исследований в сфере веб безопасности! ✉️ Если у вас есть какие-либо вопросы или предложения, не стесняйтесь обращаться ко мне. Актуальный контакт для связи всегда можно найти в GitHub репозитории. 🔗 Ссылки: 👉 https://csrfshark.github.io/ 👉 https://github.com/csrfshark/app/

Эффект Данинга Крюгера ⛈ ➡️Думаю многие сталкивались с подобным, когда вначале изучения ИБ создаётся впечатление будто мы все знаем, особенно при нашем первом взломе. 🥷 Кстати, если не лень, напиши в комментариях каков был твой первый взлом, что это был за объект(сайт, инфра, ПО) и что за уязвимость, будет интересно почитать. 🟢У меня вот обход активации с написанием кейгена, я делал это по ролику с youtube, но сколько радостных эмоций получил, тот самый момент когда ничего не понятно но очень интересно. 🟠Когда уже растёшь и переходишь к примеру на hackthebox и попадаешь в ту самую яму страданий, как мне кажется, возникает она как раз за счёт того, что происходит перелом представления о себе и понимании что скиллов мало, тем самым разрушается старая зона комфорта и уже идет переход на новую. 🔴Уже в новой, ни раз поломанной зоне комфорта становишься экспертом где сбалансированное состояние уверенности и ямы страданий, но цикл при это может повторятся. ЧТНП | #блабла

Спасибо за 1000 подпищикщ Развиваемся и поднимаем скилл вместе 💪

Подгон от братвы 💝

У меня для вас подгон 🪑 Все модули по веб-пентесту с академии hackthebox для сертификации Certified Bug Bounty Hunter ЧТНП | #web #блабла

Bug Bounty | Обход аутентификации 🤓 Решив однажды пойти и испытать себя в баунти, мне приглянулся один сервис от VK, к сожалению его название не могу раскрывать. Потыкав сайт, спустя часа 2 я обнаружил обход аутентификации, причем случайно. 🟢Где была уязвимость? Уязвимость была обнаружена в традиционном механизме входа на платформу по e-mail, но срабатывала только при условии, что учетная запись была создана пользователем самостоятельно. Ввел свой e-mail и, как обычно, мне пришел авторизационный код. 🟢Эксплуатация Пока ожидал код, я решил удалить пару строк из URL адреса, в результате меня перенаправило на страницу с аккаунтом. Поначалу я думал, мне показалось, оказалось нет. Я попросил друга зарегистрировать аккаунт, проделал за него те же самые действия, и что вы думаете? Я зашел на его аккаунт без авторизационного кода, удалив всего лишь пару строк из URL. ➡️Изначальный адрес: /auth/user/mail/ ➡️Обратился к: /auth/ в момент когда код был отправлен ➡️Получил перенаправление в профиль пользователя, профит. 📌 Завершение Написал отчет об уязвимости, и ребята из VK достаточно быстро отреагировали, за что им уважение, а еще даже помогли написать статью. Выплата составила 9к рублей. Да, небольшая за такую уязвимость, но сами цены на этой платформе были не высокими. За тот же RCE в Dev инфраструктуре можно получить 15 тыс. рублей Но опыт был веселым и познавательным. Всем хороших находок и больше улыбок 🐶 ЧТНП | #web #блабла

Атаки на механизм E-mail ⛈ Сегодня помог друзьям их сайт пентестить и нашел blind ssrf, xss, обычный ssrf в одной email форме И хочу поделится как находить такое, т.к. часто в вебе есть форма email ➡️Мыло имеет свою валидацию Примеры как можно писать: 🟢 keklol@"payload"test.com 🟢 keklol@test.com(payload) 🟢 keklol(payload)@test.com 🟢 keklol@[payload] 🟢 keklol@(payload)test.com 🟢 "payload"@test.com ➡️ Валидность можно проверить тута 🟢Blind SSRF: keklol@сюда ссылку барп коллабратора 🟢SSRF: keklol@[127.0.0.1] 🟢XSS: keklol@test(<script>alert(0)</script>).com ➡️ Нет Burp Collabrator'a 🤬 Аналоги: 🟢https://canarytokens.org 🟢https://webhook.site 🟢https://app.interactsh.com 🟢https://hookdeck.com 📌 Больше техник и уязвимостей с механизмом мыла можно глянуть в этой презентации от баунти-хантера ссылка И в видосе ссылка ЧТНП | #web