Ruby Of Security

CHINESES APRESENTAM PRIMEIRA REDE QUÂNTICA 'IMPOSSÍVEL DE HACKEAR' Uma equipe de cientistas chineses apresentou a primeira rede de comunicação quântica integrada ao longo de dois mil quilômetros entre Pequim e Xangai, com auxílio do satélite quântico Micius, lançado em órbita em 2016, conectando observatórios astronômicos que possuem 2.600 quilômetros entre si. A novidade foi publicada na revista Nature, uma das mais prestigiadas do mundo no campo científico. Segundo os autores do artigo, a rede quântica dispõe de 4.600 quilômetros de comprimento. 🌏@RubyOfSec Fonte: GLOBO

Instagram Bruteforce Tool

Este programa irá aplicar força bruta em qualquer conta do Instagram que você enviar. Basta fornecer um destino, uma lista de senhas e um modo e, em seguida, pressionar enter e esquecer. Não precisa se preocupar com o anonimato ao usar este programa, sua maior prioridade é o seu anonimato, ele só ataca quando sua identidade está oculta.

https://github.com/Bitwise-01/Instagram- 🌏@RubyOfSec

Pessoal, Gostaria de apresentar a história de um amigo muito importante, peço que tira um tempo para ler a história dele e se possível ajude.

An0nCyber – Hacktivismo – Caixa Um dos grupos hacktivista brasileiros mais fervorosos em suas bandeiras publicou em site de compartilhamento de texto um detalhado manifesto que apresenta denúncia sobre falhas em sistemas de pagamento de Auxílio Emergencial. “o governo usa dinheiro público e nossos websites que eram pra ser "confiáveis", são fraudados todos os dias ... acompanhe nossa didática junto ao vazamento, agradecimento aos fãs e parceiros envolvidos, liberdade a zambrius ontem, hoje e sempre !” No manifesto foi possível observar mais de 700 linhas que sugerem que dados pessoais de beneficiários dos programas de auxílio fossem potencialmente ou de fato fraudados: 🌏@RubyOfSec Fonte: DefCon-Lab

Quer aprender, sobre vulnerabilidades web e ainda ter a chance de fazer uma renda extra com isto? Então adquira já este ebook por um investimento de apenas R$19,99 https://bit.ly/3eJWG6l

Técnicas de Enumeração de Usuário em Ambientes WordPress Quando falamos em efetuar ataques em ambientes que contém um CMS WordPress geralmente lembramos da ferramenta WPScan, ferramenta voltada para analise do ambiente WordPress e trazendo as possíveis vulnerabilidades, efetuando enumerações de plug-ins, usuários e entre outros, tanto de maneira passiva quanto agressiva. Continue lendo: https://gabrieldkgh.medium.com/t%C3%A9cnicas-de-enumera%C3%A7%C3%A3o-de-usu%C3%A1rio-em-ambientes-wordpress-ef9cc10d5250 @hatsecurity

P.A.I.F

Postador Automático de Imagens no Facebook.

https://github.com/T635/P.A.I.F 🌍@RubyOfSec

Ferramenta NMAP e Suas Funcionalidades

Quando falamos sobre a fase de coleta de informações em um pentest ou até mesmo em um CTF, sempre lembramos dessa ferramenta chamada nmap, ferramenta que vem instalada por padrão no Kali Linux, tanto a sua versão gráfica o Zenmap e a versão de linha de comando.

🌍@RubyOfSec Fonte: HackerDepressivo

Ola, to preparando algo, vai ser interessante e vejo que pouca gente da comunidade comentou ou reportou spoiler:

Bug Hunters Brasil É uma comunidade brasileira totalmente focada em Bug Hunting, então se você quer ingressar em Bug Bounty Hunting, esta comunidade vai ajudar muito no seu desenvolvimento. Únicos canais de comunicação oficiais são os seguintes: - Servidor do Discord: https://discord.com/invite/GA7zFdEDWX - a página https://bughuntersbr.github.io/ e o perfil correspondente no GitHub (https://github.com/bughuntersbr); - o perfil @bughuntersbr no Twitter (https://twitter.com/bughuntersbr).

Um guia do Pentester para HTTP Request Smuggling

O contrabando de solicitações HTTP é uma técnica de ataque conduzida interferindo no processamento de solicitações entre os servidores front-end e back-end. O invasor explora a vulnerabilidade, modificando a solicitação para incluir outra solicitação no corpo da primeira solicitação. Isso é feito abusando dos cabeçalhos Content-Length e Transfer-Encoding. Depois que o ataque é bem-sucedido, a segunda solicitação no corpo da primeira é contrabandeada e processada. 

🌍@RubyOfSec Fonte: Cobalt

Graphql Pentesting Writeups Labs And Resources. https://blog.usejournal.com/graphql-bug-to-steal-anyones-address-fc34f0374417 https://labs.detectify.com/2018/03/14/graphql-abuse/ https://medium.com/@the.bilal.rizwan/graphql-common-vulnerabilities-how-to-exploit-them-464f9fdce696 https://www.bugcrowd.com/resources/webinars/rest-in-peace-abusing-graphql-to-attack-underlying-infrastructure/ https://medium.com/@localh0t/discovering-graphql-endpoints-and-sqli-vulnerabilities-5d39f26cea2e https://medium.com/@ghostlulzhacks/api-hacking-graphql-7b2866ba1cf2 https://medium.com/bugbountywriteup/time-based-blind-sql-injection-in-graphql-39a25a1dfb3c https://medium.com/bugbountywriteup/graphql-introspection-leads-to-sensitive-data-disclosure-714f1d9d9d4a https://medium.com/bugbountywriteup/graphql-idor-leads-to-information-disclosure-175eb560170d https://lab.wallarm.com/graphql-batching-attack/?fbclid=IwAR0Wt4EbuE_wtTPEKqWSSdkgpjI-4p6xMHQczPOtJrSlP5Q1BShKLnx4yx4 https://www.howtographql.com/graphql-js/1-getting-started/ https://hasura.io/learn/graphql/intro-graphql/introduction/ https://graphql.org/learn/ labs: https://github.com/david3107/graphql-security-labs Awesome list of GraphQL & Relay: https://github.com/chentsulin/awesome-graphql GraphQL injection: https://github.com/swisskyrepo/PayloadsAllTheThings/tree/master/GraphQL Injection Graphql practicing: GraphiQL - https://metaphysics-production.artsy.net/ GraphQL Playground : https://api.graphql.jobs/ HackerOne GraphQL ctf (BugDB ctf): https://www.hackerone.com/blog/graphql-week-hacker101-capture-flag-challenges BugDB v1 - https://ctf.hacker101.com/ctf/launch/18 BugDB v2 - https://ctf.hacker101.com/ctf/launch/19 BugDB v3 - https://ctf.hacker101.com/ctf/launch/20 A collective list of public GraphQL APIs: https://github.com/APIs-guru/graphql-apis Youtube videos: https://www.youtube.com/watch?v=yCUQBc2rY9Y&t=1401s https://www.youtube.com/watch?v=OQCgmftU-Og&list=WL&index=6&t=64s https://youtu.be/JKdrzgeihqE https://youtu.be/NPDp7GHmMa0 https://youtu.be/Wao-ChTRMaM https://youtu.be/OQCgmftU-Og https://youtu.be/xzX0jtc5uM4

PF já identificou hacker que invadiu sistema do STJ, diz Bolsonaro Outros dois sistemas oficiais foram atingidos nesta quinta-feira: do Ministério da Saúde e da Secretaria de Economia do Distrito Federal Invasores criptografaram todo o acervo de processos do tribunal e tiraram do ar o sistema digital da Corte, que está com os trabalhos suspensos. O ataque cibernético ao Superior Tribunal de Justiça (STJ) pode ser o mais grave já dirigido contra uma instituição de Estado do Brasil. Na tarde desta quinta-feira (5/11), o site O Bastidor publicou que o hacker responsável por invadir o sistema do STJ criptografou todo o acervo de processos do tribunal, além de ter bloqueado o acesso às caixas de e-mail de ministros. Backups de dados da corte também foram criptografados.  🌍@RubyOfSec Fonte: CorreioBraziliense

"Clique aqui e ganhe um Iphone", "Parabéns, você ganhou R$ 5.000 por ser o milésimo visitante" e assim vai! Essas são as frases que você mais vê/via em anúncios pela internet a fora. Quer saber o que pode estar rolando por trás desse anúncio? Escrevi um artigo explicando um pouco sobre ClickJacking (Sequestro de Clique). Se não quiser ler, repassa pro/pra coleguinha ❤️ Link: https://medium.com/@0x53/ataques-web-clickjacking-solu%C3%A7%C3%A3o-fd0743e6a303

Como atacar o macOS com uma macro maliciosa Muitos usuários de computador macOS ainda estão confiantes de que suas máquinas não precisam de proteção. Pior ainda, os administradores de sistema em empresas onde os funcionários trabalham com hardware Apple costumam ter a mesma opinião. Na conferência Black Hat USA 2020, o pesquisador Patrick Wardle tentou desiludir o público desse equívoco apresentando sua análise de malware para macOS e construindo uma cadeia de exploit para assumir o controle de um computador Apple. Fonte: Kaspersky 🌎@RubyOfSec

ReconNote

Framework de automação em testes de segurança nos aplicativos web que reconsidera o alvo para vários ativos para maximizar a superfície de ataque para profissionais de segurança e bug hunters.

Leva a entrada do usuário como um nome de domínio e maximiza a área de superfície de ataque listando os ativos do domínio como:

- Subdomínios de - Amass, findomain, subfinder e subdomínios resolvíveis usando shuffledns
- Capturas de tela
- Port Scan
- Arquivos JS
- Códigos de status Httpx de subdomínios
- Caminhos de arquivo / dir do Dirsearch por difusão

https://github.com/0xdekster/ReconNote 🌎@RubyOfSec