Fsecurity | HH

Есть такая штука nextjs, несколько месяцев назад они добавили новую "фишку" распределение нагрузки - под капотом поднимается несколько микросервисов. Каждый из которых занимается своей частью обработки запроса. Работает все примерно так-же как и обычный прокси сервер, запрос приходит, обрабатывается, и через стороннюю библиотеку проксируется на другой порт. Собственно именно это место нас и интересует. В HTTP есть такой метод PRI (используются, если мне не изменяет память, чтобы проверить возможность HTTP/2 подключения). Нас интересует что запросы этого метода имеют cимвол * в пути, вместо привычного /.

PRI * HTTP/1.1.

Далее, все http-парcеры работают по разному, у nodejs он немного особенный, и url вида http://example.com:3456*@127.0.0.1:8080 будет разобран как: hostname: 127.0.0.1, port: 8080, auth: example.com:3456*, А самое важное тут то, что http-парсер nodejs считает валидными запросы вида:

GET *@127.0.0.1/ HTTP/1.1
Host: somehost

А знаете кто еще так делает - haproxy! Ну и последнее: код который формирует url для проксирования внутрь nextjs выглядит так:

const targetUrl = `http://${
  targetHost === 'localhost' ? '127.0.0.1' : targetHost
}:${routerPort}${pathname}`

Собственно, т.к. мы контролируем pathname - мы можем отправить запрос вида:

GET *@127.0.0.1:11211 HTTP/1.1
Host: some

и запрос уйдет напрямую в memcached, получаем SSRF. Но что более важное - это SSRF с возможностью чтения ответа: если внутри, в инфре, есть приватная веб-морда, мы можем спокойно обращаться к ней, как будь то бы она торчит наружу. Уязвимые версии: >= 13.3.0 | <=13.4.12 фича проксирования включена по умолчанию, она так же включается если установлен флаг appDir: true в конфигурации experimental. Из интересного: vercel отказал в CVE, так как не считает что это уязвимость (на момент репорта уязвимость воспроизводилась в последних версиях). Однако с версии 13.4.13 изменили код. Теперь в части внутренних запросов используется fetch. Что дает некоторую защиту, т.к. fetch не принимает запросы содержащие авторизацию. >

⚡️ Большая шпаргалка по информационной безопасности ▪Полезный Api для хакинга ▪Эксплойты отсортированы по CVE ▪Инструменты командной строкаи ▪Сниппеты кода для различных языков ▪Теория Справочные знания по конкретным темам ▪Url Ресурсы в Интернете

и многое другое

📌 Github #cybersecurity #infosec @linuxkalii

OSINT из ваших любимых сервисов в удобном пользовательском интерфейсе терминала - интеграция с Virustotal, Shodan и Censys 🔗https://github.com/wssheldon/osintui

Как обойти защиту CloudFlare и узнать настоящий IP-адрес веб-ресурса? #CloudFlare СПО для обнаружения реального IP-адреса за CloudFlare: ▫️https://github.com/spyboy-productions/CloakQuest3r ▫️https://github.com/m0rtem/CloudFail ▫️https://github.com/zidansec/CloudPeler Иные продукты для вскрытие CloudFlare: ▫️https://dnsdumpster.com/ или https://pulsedive.com/ ▫️https://www.virustotal.com/ (см. вкладку "relations") ▫️https://urlscan.io/ (в случае индексации до включения CloudFlare) ▶️ Подписывайтесь на : ✅ Intel Fusa Osint Edition

🔗Ссылка: https://telegra.ph/Avtomatizaciya-rutinnoj-deyatelnosti-s-pomoshchyu-Security-Vision-SOAR-praktika-02-27

🔗Ссылка: https://habr.com/ru/articles/796445/

🖥 Репозиторий: Roop — инструмент для генерации дипфейков Roop — нейронная сеть для генерации дипфейков, написана на python. Она обладает графическим интерфейсом простым для использования. — Данный инструмент может менять лицо на видео, по заданому фото, и работать многопоточно. ⏺ Ссылка на GitHub #Tools

#malware #itnews #infosec Спящий пакет PyPI скомпрометирован для распространения вредоносного ПО Nova Sentinel🖥 Спящий пакет, доступный в репозитории Python Package Index (PyPI), был обновлен почти через два года для распространения вредоносной программы для кражи информации под названием Nova Sentinel Пакет под названием django-log-tracker был впервые опубликован на PyPI в апреле 2022 года, согласно данным компании Phylum, занимающейся безопасностью цепочек поставок программного обеспечения, которая обнаружила аномальное обновление библиотеки 21 февраля 2024 года. Хотя связанный репозиторий GitHub не обновлялся с 10 апреля 2022 года, появление вредоносного обновления говорит о вероятной компрометации аккаунта PyPI, принадлежащего разработчику На данный момент Django-log-tracker был загружен 3866 раз, причем на момент публикации вредоносная версия (1.0.4) была загружена 107 раз. Пакет больше не доступен для загрузки с PyPI

🔗Ссылка: https://habr.com/ru/companies/bastion/articles/678802/

🔗Ссылка: https://notes.kraken-security.ru/kraken/krupicy-znanii/obshie-stati/chto-takoe-bash

Вы знали, что есть целый сборник разной информации по ИБ на моем Github 🦑 Хочу также посоветовать: 1 - Проверить себя на утечки! 💧 2 - Наш discord сервер! Где можно пообщаться 👾 3 - Новый ТГ канал [Ximera-Chan] который ведёт Ai

⚠️⚠️⚠️⚠️⚠️Вы ждали! Вы просили! Да мы сами ждали! Долгожданный Подкаст Just Security by Awillix #4. Из красного в синий: карьера от эксплойтов до патчей Ведущим был я, а гостем великий усач, самая быстрая кавычка на диком западе, уважаемый Антон, он же @i_bo0om. Получился ламповый разговор про бамбуковые трусы направления развития и мотивации ИБ-специалистов, об успехах, факапах, смешных уязвимостях и личном бренде в ИБ. 🎵 Яндекс Музыка 🎵 Apple Podcasts 💙 ВКонтакте 🤟 Mave От себя скажу, что беседа вышла содержательная и интересная, поэтому досматривайте до конца) ❤️ @poxek

🔗Ссылка: https://securelist.ru/mobile-malware-report-2023/109058/

🔗Ссылка: https://habr.com/ru/companies/pt/articles/794945/

🐉 Приручение черного дракона. Часть 1. Вводная часть. Подготовка рабочего стенда. Часть 2. Фазы атаки. Часть 3. Footprinting. Разведка и сбор информации. Часть 4. Сканирование и типы сканирования. Погружение в nmap. Часть 5. Методы получения доступа к системе. Часть 6. Пост-эксплуатация. Способы повышения привилегий. Часть 7. Пост-эксплуатация. Закрепление в системе. Часть 8. Методы и средства внешней разведки. Приятного чтения 👾

🔗Ссылка: https://habr.com/ru/articles/796161/

™️Пост на тему поиска скрытой информации о пользователях ВКонтакте. Пошаговая инструкция: Получение ID пользователя: Первым делом нам нужен ID интересующего нас пользователя ВК. Откройте ссылку https://vk.com/foaf.php?id= и добавьте ID пользователя после id=. Пример: https://vk.com/foaf.php?id=254585226. Если у вас есть только никнейм, используйте этот сервис для его преобразования в ID. Просмотр исходного кода: Это можно сделать кликнув правой кнопкой мыши по странице и выбрав "Исходный код страницы". Анализ данных: В исходном коде страницы содержится множество информации, которая может быть полезна: ya:created — дата создания профиля, что может указывать на его старшинство и активность пользователя. ya:modified — дата последнего изменения ФИО, что может свидетельствовать о смене семейного статуса или других значимых событиях в жизни пользователя. foaf:externalProfile — ссылки на другие профили пользователя в социальных сетях, включая те, которые могли быть скрыты или удалены. ya:bio — невидимая на основной странице информация "о себе", особенно часто встречается у старых аккаунтов, зарегистрированных более 10 лет назад. ya:lastLoggedIn — точная дата и время последнего посещения профиля, что может помочь оценить активность пользователя на платформе. Удачи в ваших исследованиях! #рекомендации

Git утечки Раз уж на то пошло, соберу здесь все инструменты, которыми пользуюсь для поиска утечек и других полезных вещей в гит репозиториях. GitDorker - использует список дорков гита для поиска утечек, токенов, ключей и тп по ключевому слову.

python3 GitDorker.py -tf TOKENSFILE -q tesla.com -d Dorks/DORKFILE -o tesla

github-dorks - тоже самое, только тут поиск происходит по репозиторию а не по ключевому слову.

github-dork.py -r techgaun/github-dorks

git-dumper - если вы нашли на тестируемом сайте .git папку, с помощью этого вы можете сдампить все файлы, которые принадлежат этой папке.

./git_dumper.py http://website.com/.git ~/website

trufflehog - об этом все знают, но не включит не мог. Поиск секретов по репозиториям git или github.

trufflehog git https://github.com/trufflesecurity/trufflehog.git

trufflehog github --repo=https://github.com/trufflesecurity/test_keys

Важно добавить, что у гитхаба есть рейт-лимит, который ограничивает скорость до 30 запросов в минуту. Потому для полного сканирования потребуется некоторое время. #git #tool

🔗Ссылка: https://habr.com/ru/articles/796081/