СекьюриСТ

2021-12-13 12:46:57 Привет. Часто бывает такая ситуация, что любимые шеллы не работают. Перебирать все варианты руками довольно долго. На помощь приходит автоматическая генерация шеллов! Линк: https://www.revshells.com/ Открыть/Комментировать

2021-12-10 16:26:04 Merry Christmas!!!

В библиотеке log4j под Apache ночью вдруг нашлась 0-day уязвимость, приводящая к удаленному выполнению кода (RCE). К этому всему удовольствию прилагается рабочий PoC, опубликованный на GitHub.

На момент появления PoC у дырки не было даже CVE (сейчас уже есть - CVE-2021-44228). Известно, что уязвимость работает на куче сервисов, к примеру - Steam, iCloud и пр.

Эксплойту подвержены версии Apache log4j вплоть до 2.14.1. Сканирование сети на предмет уязвимых серверов уже идет (странно было бы ожидать другого при наличии рабочего PoC).

В качестве меры смягчения сначала предлагалось обновить log4j до версии 2.15.0-rc1, но буквально в течение нескольких часов был найден способ обхода исправления, поэтому теперь рекомендуют обновлять до 2.15.0-rc2. Кроме того, некоторые инфосек эксперты рекомендуют установить log4j2.formatMsgNoLookups в значение true.

Также LunaSec со ссылкой на китайцев говорят, что эксплойт не работает на версиях JDK выше 6u211, 7u201, 8u191 и 11.0.1.

Ну а вишенка на этом рождественском торте - эксплойт работает на всех версиях Minecraft начиная с 1.8.8.

Apache Foundation пьют валерьянку и молчат.

Merry Christmas, дорогие наши, Merry Christmas!!! Открыть/Комментировать

2021-12-06 08:39:56 Полный разбор кибербитвы The Standoff: приглашаем всех желающих на онлайн-митап

6 декабря аналитики центра предотвращения киберугроз CyberART ГК Innostage и Positive Technologies проведут совместную онлайн-встречу, на которой расскажут об устройстве киберполигона The Standoff, подходе к практической киберзащите, ходе киберучений, а также подробно разберут два примера реализованных атак: на транспортную компанию и предприятие нефтехимии.

Митап будет полезен специалистам и руководителям ИБ-служб, обеспечивающим практическую корпоративную и промышленную кибербезопасность.

Программа встречи:

• The Standoff: что это, для чего нужен и как проходил
• Чем этот The Standoff отличается от предыдущих
• Инфраструктура государства F: риски и отрасли
• Как проходила подготовка SOC CyberART к мероприятию
• Цепочка реализации риска в транспортной компании
• Цепочка реализации риска в нефтехимической компании
• Ответы на вопросы участников
https://zoom.us/webinar/register/1816385428683/WN_u7BubH9USoWAMyWgxEz-PA Открыть/Комментировать

2021-11-25 11:15:10 Что будет популярно сегодня и завтра?
В ИБ тоже есть своя "мода". Список уязвимостей, которые сейчас наиболее популярны: https://cvetrends.com/ Открыть/Комментировать

2021-11-14 10:20:48 Привет. Скоро начало standoff. Будет много боковых перемещений (Lateral movement). Хорошая карта в аттаче. Открыть/Комментировать

2021-11-01 09:50:21 Привет!
Скоро standoff и очень многие специалисты по ИБ принимают там участие. Сделал свой топ полезных ресурсов. Будет полезно и "синим" и "красным".
1. https://github.com/swisskyrepo/PayloadsAllTheThings - в избранное номер 1.
2. https://book.hacktricks.xyz/ - в избранное номер 2.
3. https://blog.g0tmi1k.com/2011/08/basic-linux-privilege-escalation весь блог достоин внимания, но эта страница особенно выручает
4. https://mil0.io/linux-privesc/#intro-to-file-permissions - тут замечательно расписано про linux PE
5. https://explainshell.com/
6. https://pentestmonkey.net/
7. https://gtfobins.github.io/
8. https://lolbas-project.github.io/
9. https://infinitelogins.com/2020/01/25/msfvenom-reverse-shell-payload-cheatsheet/
10. https://github.com/frizb/Hydra-Cheatsheet
11. https://github.com/carlospolop/PEASS-ng
Pivoting:
12. https://github.com/s0i37/lateral
13. https://xakep.ru/2020/09/08/windows-pivoting/
14. https://hackware.ru/?p=9016 Открыть/Комментировать

2021-09-03 15:51:14 Всем привет!
На ZeroNights познакомился с интересным проектом: https://github.com/s0i37/lateral
Проект решает проблему "матрешки" коннектов при боковом перемещении в win-инфраструктуре. Почитать о различных вариантах пивотинга можно тут: https://xakep.ru/2020/09/08/windows-pivoting/ (статья огонь, все по полочкам и с примерами)
Подробнее про pivoting при помощи ssh: https://habr.com/ru/post/331348/ Открыть/Комментировать

2021-08-19 11:18:54 Привет.
Интересная подборка php шеллов. Будет полезно, если есть ограничения php на выполнение команд. https://sushant747.gitbooks.io/total-oscp-guide/content/webshell.html Открыть/Комментировать

2021-07-23 16:50:39 Всех с пятницей!
Написал статью про то, как работает Deception система и насколько она усложняет жизнь злоумышленникам: https://habr.com/ru/post/569116/ Открыть/Комментировать

2021-07-15 10:21:51 Заметки на полях: Пентестим Kubernetes

Лет 6 назад проект Kubernetes только начинал развиваться, а сегодня - его используют компании во всем мире. Kubernetes присутствует в сетях, наверное, всех крупных компании. Соответственно, возникает вопрос, а нужно ли проверять безопасность контейнеров приложения при пентесте или анализе этого приложения? И если надо, то, как это сделать?

Сегодня поделимся с вами информацией о том, на что нужно обратить внимание при анализе Kubernetes и получении первоначального доступа. По крайней мере тем, как видим это мы. И поделимся полезными (на наш взгляд) ссылками.

Итак, что нужно проверить в первую очередь:

1.Открытые порты. Если Kubernetes настроен правильно, то доступно извне очень ограниченное число портов. Но мы с вами знаем, что правильная настройка чего-либо встречается редко. К примеру, для удобства разработчиков, администраторов, очень часто оставляют доступный ssh порт с не очень надежным паролем. Поэтому всегда проверяем наличие открытых TCP портов для различных узлов: 22,443,2379,2380,4194,6443,6782-6784,6666,8080,8443,9099,10250-10252,30000-32767

2. Доступность API и немного профаззить каталоги. Цель - найти скрытые каталоги или файлы, а также точки в которых разрешен анонимный доступ. По умолчанию в Kubernetes API не разрешен анонимный доступ и очень сильная ролевая модель доступа, в которой по умолчанию запрещено все. Но опять же - проверить надо.

3. Доступ к etcd (обычно это порты 6666 и 2379). etcd - хранит информацию о конфигурации и секретах кластера. Доступ для записи в etcd - это, по сути, root-доступ к всему кластеру. На самом деле даже доступ на чтение - это риск повышения привилегий. Качественная настройка - доступ до etcd только с серверов API

4. Доступ к Kubelet. Kubelet - это такой посредник в общении каждого модуля кластера и API. И вот тут по умолчанию между API и Kubelet настроен анонимный доступ. Чтобы проверить доступна ли точка kubelet - нужно проверить доступ на порт 10250 и каталог pods. Если есть доступ к такой точке, то можно воспользоваться уже готовым инструментом для атаки - https://github.com/cyberark/kubeletctl

5. Доступ к панели управления Kubernetes. По сути, это веб-приложение, которое позволяет управлять кластером. До версии 1.8 в панели управления была учетная запись службы с полными привилегиями. В новых версиях открытая панель управления встречается редко, а кластеры с облачным управлением переводят все на централизованный интерфейс на своих порталах. Однако для старых версий проверка все еще актуальна

Эти пункты стоит проверить, чтобы понять - можете вы получить первоначальный доступ к Kubernetes или нет. Более глубокий анализ - это уже тема для более детальной статьи.

Если вам интересно что-то почитать на тему Kubernetes, его пентеста и безопасности - делимся несколькими ссылками:

https://cheatsheetseries.owasp.org/cheatsheets/Kubernetes_Security_Cheat_Sheet.html - подробный разбор того как безопасно развернуть, настроить и контролировать Kubernetes

https://www.microsoft.com/security/blog/2021/03/23/secure-containerized-environments-with-updated-threat-matrix-for-kubernetes/ - матрица угроз Kubernetes от Microsoft, в стиле ATT&CK

https://github.com/magnologan/awesome-k8s-security - отличный ресурс, где собрано огромное количество ссылок и информации по Kubernets и его безопасности Открыть/Комментировать