Fsecurity | HH

🔗Ссылка: https://habr.com/ru/companies/cloud_ru/articles/778632/

Наткнулся на реп с джейлбрейком лламы 3. Как понял идея в добавлении harmful префикс, который ллама3 продолжит https://github.com/haizelabs/llama3-jailbreak

🔗Ссылка: https://www.securitylab.ru/news/547740.php

SilverPotato... https://decoder.cloud/2024/04/24/hello-im-your-domain-admin-and-i-want-to-authenticate-against-you/ #potato #pentest #redteam

Хочу также посоветовать: 1 - Наш discord сервер! Где можно пообщаться 👾 2 - Мой Github 🦑 Наш второй канал [Ximera-Chan]

💬 Ищем XSS с помощью автоматизации и пропущенного мной инструмента "Инструменты не способны охватить все точки входа, но мы можем попробовать уменьшить количество уязвимостей или увеличить False positive, кто уж теперь разберётся" — Я 🥺 ❔ Немного предыстории Я разрабатываю инструмент для DAST буквально с 0️⃣. И у меня возникает огромное желание сделать свою версию оркестратора инструментов с корреляцией и фаззерами. Вот и наступил момент, когда могу сказать - "Ну и залез же я в ...пу". И почему же? Сейчас есть огромное количество SCA, SAST-а, а вот с DAST-ом возникают проблемы. У нас есть ZAP, nuclei, и подобные продукты от owasp и project discovery. Но что есть ещё? И вот, я забрел на то, как искать параметры для динамической генерации nuclei темплейтов (считаю это своим достижением). 💻 Dalfox — ТЫК

Да, можете считать, что я "открыл Америку", но мне никто не скидывал его или я где-то его встречал в обиходе (пару постов видел, но в них не было того, как лично мне использовать этот инструмент)

⚙️ Возможности Искать 🥸😋😋. на этом можно было бы и закончить, но мы такого не допустим. Инструмент написан на 💻, так что пришло время нам покопаться в коде и его способе применения. ТЫК — вот мы и нашли что можно ему давать на вход 🖥. Интересующие меня:

go 
type Options struct {
  Data              string  `json:"data"` //rawdata из Burp/ZAP
  UseHeadless       bool    `json:"use-headless"`
  UseDeepDXSS       bool    `json:"use-deepdxss"`
  RemotePayloads    string
  RemoteWordlists   string
  PoCType           string   `json:"poc-type"`
  WAFEvasion        bool     `json:"waf-evasion"`
  HarWriter         *[har]   `json:"har-file-path"`
}             

Эти параметры мы можем использовать для тонкой настройки его движка. Очень заинтересовал модуль WAFEvasion, через какое-то время вернусь к Вам с результатами 🤗 Не реклама, но как пример простого использования подойдет: shadow_group_tg — ТЫК shadow_group_tg — ТЫК 🔅Использование в CI/CD Странно, но даже в их wiki отсутствует запуск в Gitlab CI/CD, исправим, но для начала разберёмся в его режимах работы. "А что тут говорить? Просто пишем `dalfox url https://test.test/` и всё он за нас сделает." — скажет мне любой, кто краем уха слышал про этот инструмент. Но нет, мы используем API и развернем его как сервер dalfox server.🧑‍💻 А вот теперь можно и делайть пайплайн для CI/CD:

image: curlimages/curl:latest

stages:
  - for_test

test_run_dalfox:
  stage: for_test
  script:
    - |
      curl -X POST "$URL_TO_DALFOX" \
      -H "accept: application/json" \
      -H "Content-Type: application/json" \
      -d "{\"url\": \"$URL_TO_SCAN\", \"options\":{\"cookie\": \"$COOKIE_TO_USE\", \"worker\":1}}"
  
 variables:
  URL_TO_DALFOX: "http://localhost:6664/scan" # Замените на нужный URL нашего раннера с dalfox
    URL_TO_SCAN: "https://example.com"  # Замените на нужный URL для скана
    COOKIE_TO_USE: "session=your_session_cookie"  # Замените на нужную cookie

🤨 А что ещё можно искать Вполне вероятно, что можно и больше, но вот основные пункты:

Storage xss
Reflected xss
Blind xss
DOM xss

В режиме BAV (Basic Another Vulnerability):

SQL Injection
SSTI
Open Redirect
CRLF Injection

✏️ Заключение Инструмент не нов, но он поддерживается. Написан на Go, кастомизируется и имеет возможность удобно использовать в CI/CD. От себя, однозначно, рекомендую. #devsecops #redteam

OWASP OFFAT #owasp #API #fuzzing OFFensive Api Tester - это инструмент для автоматического тестирования API на основе OpenAPI. Он предоставляет возможность автоматически фаззить входные данные и использовать пользовательские данные во время тестов, заданных через конфигурационный файл YAML. Что тестирует инструмент: ➡️Restricted HTTP Methods ➡️SQLi ➡️BOLA ➡️Data Exposure ➡️BOPLA / Mass Assignment ➡️Broken Access Control ➡️Basic Command Injection ➡️Basic XSS/HTML Injection test Установка:

python -m pip install offat

Использование банальное:

offat -f swagger_file.json

Давно слежу за инструментом, он активно обновляется , но пока ещё в бете. У инструмента лицензия MIT, так что компании могут свободно его использовать. А ещё есть готовые докеры) 🧩 Github 🌚 @poxek

Выход моей статьи о безопасности Cisco IOS. В этой работе я провел анализ множества проблем сетевой безопасности оборудования Cisco и продемонстрировал методы защиты от сетевых атак. Caster - Disciple Genre: Defensive Label: exploit.org Release Date: 24 April 2024 Performed by: Caster Written by: Magama Bazarov https://blog.exploit.org/caster-disciple

🔗Ссылка: https://habr.com/ru/companies/solarsecurity/articles/809895/

🔗Ссылка: https://xakep.ru/2024/04/23/cryptvpn/

Записка °|2 Всегда читайте код который хотите запустить 🥷

✈️ В версии Telegram Desktop 4.16.6 добавили поддержку ссылок вида t.me/username?text=Hello для вставки заготовленного текста в поле ввода сообщения. Нашел этому очень интересное применение, можно деанонить людей которые кликнули на ссылку. Вот пример ссылки. Если вы просто нажмете на него, мне придет уведомление что вы перешли Так же сделал телеграм бота для создания таких ссылок: @inlinequery_bot 🐙 https://github.com/marwq/telegram-deanon

🔗Ссылка: https://habr.com/ru/companies/selectel/articles/809669/

🔗Ссылка: https://habr.com/ru/companies/bastion/articles/809655/

🔗Ссылка: https://habr.com/ru/companies/tomhunter/articles/809725/

🔗Ссылка: https://xakep.ru/2024/04/23/fake-telegram-support/

🔗Ссылка: https://habr.com/ru/articles/809485/

🔗Ссылка: https://www.securitylab.ru/news/547669.php

Выход моей статьи о безопасности Cisco IOS. В этой работе я провел анализ множества проблем сетевой безопасности оборудования Cisco и продемонстрировал методы защиты от сетевых атак. Caster - Disciple Genre: Defensive Label: exploit.org Release Date: 24 April 2024 Performed by: Caster Written by: Magama Bazarov https://blog.exploit.org/caster-disciple