Fsecurity | HH

💻 Wifiphisher — мощный инструмент Kali Wifiphisher — это инструмент для создания ложной точки доступа; предназначен для RedTeam или тестирования безопасности Wi-Fi. С помощью Wifiphisher пентестеры могут легко устроить MITM против беспроводных клиентов, выполняя направленные атаки Wi-Fi. Wifiphisher также может использоваться для организации фишинговых атак, настраиваемых для жертвы, для захвата учетных данных подключенных клиентов (например, со страниц входа сторонних сервисов или предустановленных ключей WPA/WPA2) или для инфицирования жертвы вредоносным программным обеспечением. Фичи Wifiphisher 🗄мощный. Wifiphisher может работать в течение часов внутри устройства Raspberry Pi, выполняя все современные техники (включая "Evil Twin", "KARMA" и "Known Beacons") 🗄гибкий. Имеет десятки параметров и поставляется с набором шаблонов фишинга, для различных сценариев использования. 🗄модульный. Пользователи могут писать скрипты на Python для расширения функциональности инструмента или создания настраиваемых сценариев для проведения конкретных целевых атак. 🗄легкий в использовании. Продвинутые пользователи могут воспользоваться богатым набором функций, предлагаемых Wifiphisher, но начинающие могут начать, просто запустив команду ./bin/wifiphisher. Интерактивный текстовый пользовательский интерфейс помогает удобно настраивать атаку. 🗄основан на результатах обширных исследований. Атаки, такие как "Known Beacons" и "Lure10", а также современные техники фишинга были раскрыты разработчиками Wifiphisher, которые и добавили в него эти новые возможности 🗄поддерживается отличным сообществом разработчиков и пользователей и бесплатный — что всегда приятно Пользуйтесь на здоровье) 🖥 GitHub 📁 Доки

🔗Ссылка: https://habr.com/ru/companies/otus/articles/797789/

🔗Ссылка: https://www.securitylab.ru/news/546624.php

🔐Fluxzy — кросс-платформенное приложение для отладки HTTP Оно способно просматривать, записывать, изменять и отлаживать HTTP-потоки Инструмент также может похвастаться возможностью глубокого анализа веб-трафика, обеспечивая быстрое устранение неполадок и оптимизацию веб-производительности Стоимость - бесплатно (но есть платные тарифы) #HTTP P. S Полезное - сохраняем Белый хакер

🔗Ссылка: https://securelist.ru/network-tunneling-with-qemu/108838/

🔗Ссылка: https://www.securitylab.ru/news/546599.php

🔗Ссылка: https://telegra.ph/HackTheBox--prohozhdenie-mashiny-SkyFall-03-07

🔗Ссылка: https://www.securitylab.ru/news/546599.php

🔗Ссылка: https://habr.com/ru/companies/tomhunter/articles/798895/

🔗Ссылка: https://habr.com/ru/companies/first/articles/794672/

🔗Ссылка: https://notes.kraken-security.ru/kraken/krupicy-znanii/instrumenty/aircrack-ng

🔗Ссылка: https://sherlockeye.io/

🔗Ссылка: https://research.nplus1.ru/

Всех девушек с 8 мартом🌷 Желаю счастья и здоровья! P.s. парни.. не забудьте поздравить ;) P.s. извиняюсь, что 23 забыл поздравить вас парни... 🫠 Всем всего наилучшего! 👾

🎁 Dev(Sec)Ops RoadMap как найти работу #карьера #devsecops В чате канала вчера спрашивали про roadmap для DevSecOps. Что нужно учить? Пункт 1. Я считаю правильным ответом на данный вопрос всегда являлся и будет являться ответ: зайди на сайт с вакансиями, найди выбранную должность и прочитай 20-30 вакансий, выпиши повторяющиеся термины и изучи что это. Это применимо к любой стране и к любой должности, если вы конечно не выбираете учить то, чего ещё нет на рынке. В таком случае откуда вы об этом узнали, оттуда начинайте поиск информации о необходимых навыках. Но мы же люди ленивые? Лично я, да. Все всегда хочется искать что-то самостоятельно, а найти готовый roadmap или mindmap, где за вас умные люди составили график, что вам нужно учить. В таком случае нашёл для Вас несколько интересных материалов:

А Вы точно уверены, что перед тем как стать DevSecOps, вы изучили инструменты DevOps и научились применять эти практики?

▶️ Если нет, то возвращаемся к пункту 1, за красной таблеткой. Если же вы выбурили синюю таблетку, то вот мой ответ на вопрос: "Что нужно знать DevOps инженеру?" Управления версиями: Gitlab Инструменты CI/CD: Jenkins, Gitlab, (набирает популярность Agro CD) Оркестрация контейнеров: kubernetes, docker-compose (более редко необходим Docker Swarm, OpenShift) Автоматизация развертывания: Ansible, Terraform Языки программирования: Python, Bash, Go Хранение секретов: Vault Мониторинг: Prometheus, Grafana [ Zabbix пора отправить на покой ] Логгирование: ELK Если слова выше для вас не показались чем-то незнакомым или как говорит мой друг, "на эльфийском языке", то поздравляю, Вы DevOps инженер :) ▶️ Возвращаясь к теме поста, что нужно учить DevSecOps? Всё то, что знает DevOps и: Поиск секретов: GitGuardian, Gitleaks, truffleHog, DeepSecrets (последнее от моего знакомого Михаила из Avito Tech, у его инструмента не стандартный подход к поиску секретов) SCA: Snyk, Syft, Cdxgen, Trivy, Dependency Track SAST: Semgrep (много фолзит, использовать только вкупе с чем-то), Bearer, CodeQL, Spotbug, Terrascan DAST: OWASP ZAP, nuclei, Dastardly Container Security: Grype, Open Policy Agent, kube-hunter (активно не поддерживается), kube-bench , Falco, Tracee, Anchore (активно не поддерживается), Clair ⭐️ Как-то так. На самом деле список тулз у DevSecOps постоянно пополняются. И тем более приходится писать что-то под свои задачи. Надеюсь было полезно. Но DevSecOps

Также отдельное спасибо @belka_e

Отмечу, что сейчас сам занимаюсь разработкой и по сути у меня нет коммерческого опыта ни в разработке, ни в DevSecOps. Так что узнаю всё по ходу выкладывания постов. Но большое спасибо коллегам, кто готов помогать мне! Выводы: 1. У нас очень мало DAST'ов опенсоурсных, да и коммерческих качественных рабочих решений тоже мало. 2. Простор для разработки коммерческих решений огромен, как и потенциал этой области. 3. DevOps не очень сложно обучиться, а вот DevSecOps уже даёт прикурить знатно, проверено на себе. 4. Методологии и инструменты DevSecOps мало где применяются, так что рынок ждёт новых решений и подходов. 5. Когда я слышал про заоблачные ЗП devsecops инженеров, думал что ситуация как с MLщиками и Data Science в своё время, но нет. Тут реально огромный пул знаний, который включает в себя ещё по меньшей мере appsec и даже пентест. ❤️ @poxek

🔄😉 BloodHound CE v5.7.1 Инструмент для выявления связей и построения графов в active directory. Достаточно одной учетной записи доменного пользователя. Необходимая вещь при пентесте 🏠 Windows среды. Для сбора информации используется скрипт bloodhound.py Установка: curl -L https://ghst.ly/getbhce | docker compose -f - up http://localhost:8080/ui/login Логин admin и сгенерированный пароль Сбор информации: python3 bloodhound -u domain_user -p 'P@ss' -ns 10.0.0.1 -d contoso.com -c all --dns-tcp В 💻 Kali устанавливается одной командой: sudo apt install bloodhound.py 💻 Download 🔠 Docs #bloodhound #pentest #active_directory #soft ✈️ // Pentest HaT 🎩

🔗Ссылка: https://habr.com/ru/companies/flant/articles/798599/

🔗Ссылка: https://www.anti-malware.ru/news/2024-03-07-111332/42928