Fsecurity | HH

✉ SSRF через вложения в электронной почте Приложение позволяло администраторам отправлять массовые письма пользователям в организации. Оно также разрешало прикреплять файлы к письмам. Вложения кодировались в base64 и добавлялись в качестве параметра запроса (см. на скрин) Не было особой причины думать, что изменение параметра email_attachments на URL сработает, но я решил попробовать. И действительно, после изменения его на Burp Collaborator я получил отстук:

GET / HTTP/1.1  
accept-encoding: gzip,deflate  
user-agent: nodemailer/4.7.0  
Host: 716cq...ht5i.burpcollaborator.net  
Connection: close

Оказалось, что приложение использует старую версию nodemailer. Быстро стало понятно, что приложение просто принимает строку email_attachments, введённую пользователем, и передаёт её как параметр пути в API вложений nodemailer. Приложение ожидало data:URI, но если вместо этого передать URL, nodemailer попытается найти файл по этому URL и прикрепить его. Забавно, что nodemailer очень хотел видеть расширение файла в URL. Поэтому для получения файлов надо было указывать что-то типа http://10.10.1.3:3000/api/v1/apps/list%23test.txt. Позже выяснилось, что nodemailer прикреплял и локальные файлы. Отправка запроса на конечную точку send_email с перечнем известных путей к файлам привела к интересным находкам: конфигурационные файлы, дампы пользователей и т.д. #web #ssrf #lfr

🔗Ссылка: https://xakep.ru/2024/10/16/fastcash-linux/

🔗Ссылка: https://habr.com/ru/companies/ruvds/articles/851106/

😈 Кастомные правила Logger++ #logger #burpsuite #portswigger Все знакомы с Logger++ в Burp Suite, но мало кто его использует. Хотя в Logger из коробки есть недостатки некоторые, с которыми лично я не встречался, но в разных чатах порой вижу жалобы. Для таких ценителей высокого было разработано расширение Logger++. Преимуществ у него много, можете прочитать на сайте. Но естественно я пишу этот пост не ради напоминания об этом расширении, а о расширении этого расширения. Как бы странно это не звучало) Logger++ Custom Filters - очередной индус написал годноту для нас) Собственно это список фильтров для Logger++, который позволит в real time подсвечивать вам какие-нибудь "точки интереса" или ключи, которые пролетают в запросах и ответах. В посте собрал самые интересные на мой взгляд: ➡️REST API

(Request.Path CONTAINS "api" OR Request.Host CONTAINS "api") AND !(Request.Method == "OPTIONS

➡️GraphQL

(Request.Path CONTAINS "graphql" OR Request.Host CONTAINS "graphql") AND !(Request.Method == "OPTIONS")

➡️Google_API_Key

Response.Body == /AIza[0-9A-Za-z\\-_]{35}/

➡️GCP_OAUTH_KEY

Response.Body == /[0-9]+-[0-9A-Za-z_]{32}\\.apps\\.googleusercontent\\.com/

➡️GCP_Service_KEY

Response.Body == /\"type\": \"service_account\"/

➡️GOOGLE_OAUTH_KEY

Response.Body == /ya29\\.[0-9A-Za-z\\-_]+/

➡️Firebase_URL

Response.Body == /.*firebaseio\.com/

➡️GitHub_KEY

Response.Body == /[g|G][i|I][t|T][h|H][u|U][b|B].*['|\"][0-9a-zA-Z]{35,40}['|\"]/

➡️CSRF & SSRF

Request.Method == "POST" AND !(Request.Headers CONTAINS "Content-Type: application/json" OR Response.Headers CONTAINS "application/json")

Request.Method == "POST" OR (Request.Headers CONTAINS "Content-Type: application/json" AND Request.Headers CONTAINS "Content-Length: 0")

(Request.Query MATCHES ".*(http%3A%2F%2F|https%3A%2F%2F)?(www.)?[a-z0-9]+([\-\.]{1}[a-z0-9]+)*\.[a-z]{2,5}.*" OR Request.Body MATCHES ".*(http%3A%2F%2F|https%3A%2F%2F)?(www.)?[a-z0-9]+([\-\.]{1}[a-z0-9]+)*\.[a-z]{2,5}.*")

➡️CORS Misconfiguration

!(Request.Headers CONTAINS "Authorization:") AND (Response.Headers CONTAINS "Access-Control-Allow-Credentials" OR Response.Headers CONTAINS "Access-Control-Allow-Origin")

📱 Github 🌚 @poxek | 📺 RuTube | 🌚 Мерч Похек

💻 F.A.C.C.T. выпустила подробное исследование группировки «двойного назначения» Shadow/Twelve, которая активно атакует 🇷🇺 российские организации. Обнаруженный преступный синдикат продемонстрировал тенденцию — группы «двойного назначения»: 💠Shadow заинтересована в 🔒вымогательстве денег. 💠Twelve стремилась к полному ⚠️ разрушению ИТ-инфраструктуры своих жертв. Одним из фирменных приемов группы стала кража учетных записей в 🛡Telegram на устройствах жертв, что после проведения атак позволяло им шпионить за сотрудниками атакованной компании и оказывать дополнительное давление. Исследование может быть полезно руководителям групп кибербезопасности, аналитикам SOC, CERT, специалистам по реагированию на инциденты, Threat Intelligence и Threat Hunting, а также компаниям из различных секторов для подготовки проактивной защиты. https://www.facct.ru/resources/research-hub/shadow-twelve-2024 ✋ @Russian_OSINT

🔗Ссылка: https://www.anti-malware.ru/news/2024-10-16-111332/44404

#pentest CVE-2024-43582 - Remote Desktop Protocol Server Remote Code Execution Vulnerability Модуль Metasploit для CVE-2024-43582 RPC Remote Desktop Service crititcal RCE

🔗Ссылка: https://www.securitylab.ru/news/553005.php

Наш Discord сервер 👆🏻Тут можно пообщаться и найти много полезной информации 🦈

Так, новая техника инъекции в процессы - Early Cascade Injection. Ну и ресерч достаточно подробный) https://www.outflank.nl/blog/2024/10/15/introducing-early-cascade-injection-from-windows-process-creation-to-stealthy-injection/ #redteam #maldev #bypass

🔗Ссылка: https://habr.com/ru/companies/pt/articles/849918/

🔗Ссылка: https://jetpack.com/blog/jetpack-13-9-1-critical-security-update/

🔗Ссылка: https://xakep.ru/2024/10/15/cve-2024-9680/

🔗Ссылка: https://www.anti-malware.ru/news/2024-10-15-121598/44395

Наш Discord сервер 👆🏻Тут можно пообщаться и найти много полезной информации 🦈

Exploit for Windows Kernel-Mode Driver Elevation of Privilege Flaw (CVE-2024-35250) The vulnerability lies within the handling of property requests in the ks.sys driver. Specifically, when the KSPROPERTY_TYPE_UNSERIALIZESET flag is provided, a series of operations can be initiated that ultimately lead to arbitrary IOCTL calls. During this process, the user-supplied buffer is copied into a newly allocated space and executed without proper validation.

🔗Ссылка: https://www.securitylab.ru/news/552955.php

👉🏻