true_security

Всем доброго вторника! Помните, друзья, как круто было, когда вышел KrbRelay , a за ним KrbrelayUp? Казалось, что в тот день эксплуатация AD перевернулась с ног на голову. Или с головы на ноги.... :)) Не суть!) Недавно я выкладывал статью, в которой постарался максимально просто описать процесс ретрансляции керберос аутентификации. Но ещё раньше появились интересные атаки: CertifiedDCOM и SilverPotato . Была лишь одна проблема - нет POCов. А что делают студенты, когда нет POCов? Правильно! Их пишут :)) Поэтому хочу вам с радостью представить тулзу RemoteKrbRelay, которая не просто совмещает в себе и SilverPotato и CertifiedDCOM, а является полноценным фреймворком для обнаружения уязвимых DCOM-обьектов! Я добавил чекер, который выводит абсолютно всю информацию о DCOM-объектах системы в удобно читаемом виде (csv / xlsx). Помимо этого, присутствует встроенный функционал кросс-сессионной активации. Представляете? Есть два компьютера. На одном вы, а на втором ДА. И вы можете со своего компьютера триггерить керберос аутентификацию ДА, абсолютно удаленно!) 🙂 Что ж, отмечу, что это лишь minimal POC и ему ещё есть куда расти :) Например, я пока не допилил функционал по релею керберос аутентификации из OXID Initial Resolution Request (а там вообще-то RPC_C_IMP_LEVEL_IMPERSONATE🤫). Впрочем, я готов принимать PR :))

Veeam красавцы, один jwt secret на всех. И это они заботятся о сохранности наших данных:))) Техническое описание: https://summoning.team/blog/veeam-recovery-Orchestrator-auth-bypass-CVE-2024-29855/

Сидел вчера я значит вечером и почему то решил сдать crte. Как полагается, я не готовился, не открывал лабы и не читал книгу. Я уже как то раз так сдавал oscp, было весело. На экзамен ушло около 10 часов. Для тех кто перед выбором курса/экзамена: после сдачи osep кажется детской шалостью. Материал в osep,crto,crte примерно одного наполнения. Если выбирать из этих трех, советую osep. 1) Osep - web, Linux, Microsoft ad, bypass av, mssql + только бесплатные с2 2) Crto - Microsoft ad, mssql, bypass av + только кобальт 3) Crte - Microsoft ad, mssql, bypass av + только бесплатные с2 Печально что нет ничего по контейнерам и другим субд. Ну для контейнеров поиграть можно на стендах standoff365.

CVE-2024-26229 Windows LPE (PoC) Improper Address Validation in IOCTL with METHOD_NEITHER I/O Control Code in the csc.sys driver

⌨️ Обход WAF через большое количество символов Ранее я уже рассказывал о том, что для HTTP-запросов, содержащих тело запроса (например, POST, PUT, PATCH и т.д.), часто можно обойти WAF, просто добавив мусорные данные в начало запроса. Когда запрос дополняется этими ненужными данными, WAF обработает до X КБ запроса и проанализирует его, но все, что превышает пределы WAF, пройдет мимо. На недавнем NahamCon вышел целый доклад на эту тему с подробным разбором и необходимыми значениями X КБ для обхода различных популярных WAF. Видео доклада, описание и расширение для вставки мусорных данных в Burp представлено по ссылкам ниже. Ссылка на видео Ссылка на GitHub #web #waf #bypass

На этой неделе по некоторым телеграм каналам расходился инструмент EDRaser , судя по описанию: "EDRaser - это мощный инструмент для удаленного удаления журналов доступа, журналов событий Windows, баз данных и других файлов на удаленных компьютерах. Он предлагает два режима работы: автоматический и ручной." По факту это флудер http запросов со сменой useragent, сообщений по syslog (хотя там гордо написано "Deletes syslog from Linux machines running Kaspersky EDR without being.") не понятно что делает с виндовыми логами, особо улыбнула строка: INVOKE_MIMIKATZ_STR = base64.b64decode("QWRkLU1lbWJlciBOb3RlUHJvcGVydHkgLU5hbWUgVmlydHVhbFByb3RlY3QgLVZhbHVlICRWaXJ0dWFsUHJvdGVjdA==").decode() где в base64 засунули команду: "Add-Member NoteProperty -Name VirtualProtect -Value $VirtualProtect" (1 строка из скрипта байпаса amsi) и полное отсутствие аутентификации. ну и т.д. Короче, очередной fake tools ) не тратьте на него свое время.

CVE-2024-4956 - Unauthenticated Path Traversal in Nexus Repository Manager 3 https://github.com/gmh5225/CVE-2024-4956

Так сказать, свой standoff

У меня в подписчиках точно есть те кому нужен обновляемый список vpn exit nodes в soc, забирайте.

VPN Разбираем различные методы обнаружения IP-адресов VPN от таких провайдеров, как NordVPN или ExpressVPN. https://ipapi.is/blog/systematic-vpn-detection.html Большой список VPN exit NODE Private: @CrackCloudRobot Crypto Wares: @CryptoWares Other projects: @MalwareLinks