YAH

2022-08-30 14:16:37 Собери команду и прокачай знания в сфере кибербезопасности

С 9 по 11 сентября пройдут соревнования по кибербезопасности BANK SECURITY CHALLENGE. Побывав в роли хакера, вы оцените уровень собственной подготовки и улучшите навыки по защите банковской инфраструктуры и эксплуатации уязвимостей.

Соревнование пройдёт в двух форматах:
CTF – практические испытания в инфраструктуре уже взломанного банка;
LAB – задания в разных сетях банка для получения доступа из внешнего периметра к зоне обработки транзакций.

Призёров и победителя ждут подарки от организаторов — «BSS-Безопасность» и Yandex Cloud.

Приглашаем поучаствовать команды до 5 человек. Опыт не важен — ждём как сотрудников служб информационной безопасности банков, пентестеров и аудиторов, так и студентов, энтузиастов, изучающих кибербезопасность.

Регистрация уже открыта на сайте Открыть/Комментировать

2022-08-24 13:37:06 #api #wordlist

Раньше мы выполняли брутфорс только для статических файлов и папок. Но в современных реалиях, мы всё больше встречаем приложения, которые работают посредством конечных точек API. Это означает, что подход должен меняться, давайте рассмотрим специфику.

Возьмём, в качестве примера, запрос на удаление аккаунта пользователя:

DELETE /api/v1/users/ HTTP/2
Host: example.com
Content-Type: application/xml

HTTP/2 200 OK
Connection: close

1. Для того чтобы обнаружить эту конечную точку, в словаре должны быть сущности : api, v1, users
2. Вам нужно в запросе использовать метод DELETE
3. Поставить верный Content-Type
4. В последнем пути — нужно добавить число.

В противном случае ответ будет: 404 Not Found

Из этого следует, что нужен хороший словарь, специфичный для API, а также ротация методов GET, POST, DELETE, etc.

При брутфорсе нас интересуют следующие поля (%s):

%s /api/v1/%s/ HTTP/2
Host: example.com
Content-Type: %s


Поскольку обычные словари не нацелены на API спецификацию, я собрал свой. Для этого использовал замечательный массив данных от Assetnote из 67 500 файлов Swagger, собранных с помощью Google BigQuery.

Нарезал сущности и отфильтровал их по популярности — файл прикреплён к посту.

1.0K viewsEgor Bogomolov, 10:37

Открыть/Комментировать

2022-08-23 13:19:58 Онлайн митап!

Сегодня стартовал первый митап The Standoff Talks, на котором собрались энтузиасты и профессионалы offensive и defensive security.

Программа на сегодня такая:

12:10 Артём Кадушко — Страх и ненависть в Bulba Hackers: как мы готовимся и участвуем в The Standoff

13:20 Роман Максимов — Абузим Zabbix заказчика, или Как бедолаге стать хозяином подконтрольных узлов
14:15 Константин Полишин — RedTeam страдания SOC'а

16:10 Денис Рыбин — О том как Privacy Sandbox веб сломал, но обещал починить
16:55 Вадим Шелест и Михаил Дрягунов — Breaking Red
18:20 Илья Шапошников — MSSQL: dump linked passwords
19:10 Магама́ Базаров — Cisco Nightmare. Дьявольский пентест сетей Cisco

Смотреть прямую трансляцию Открыть/Комментировать

2022-08-19 11:54:27 Кстати, помимо интересных воркшопов могу пригласить присоединиться послшуать мой рассказ о проблемах соверменных веберочков и боли в заднице от того, что приходится тестить всякую шляпу ;D

https://offzone.moscow/ru/report/the-specifics-of-modern-web-application-security-analysis-goodbye-injection/ Открыть/Комментировать

2022-08-18 12:21:31 Поиск уязвимостей в парсерах изображений на практике

Все знают, что в ImageMagick или librsvg есть уязвимости. Проверяют их — единицы. 

Дело не в лени: предсказать поведение уязвимой библиотеки для каждой ситуации не всегда легко, а на подробный разбор обычно не хватает времени проекта.

На воркшопе Егора Богомолова ты научишься быстро находить уязвимости и атаковать парсеры медиаконтента.

Потребуются:
— ноутбук;
— голова.

Тренер: Егор Богомолов — управляющий директор образовательного центра CyberEd, основатель компании Singleton Security. Больше 7 лет занимается тестированием на проникновение, специализация — веб- и Android-приложения. 

Дата: 26 августа, 15:30–18:30.

Как участвовать: воркшоп бесплатный, нужно только пройти регистрацию. Число мест ограниченно!

Организатор — образовательный центр CyberEd. Открыть/Комментировать

2022-08-18 12:21:31 Присоединяйтесь, если вам по душе ;) Открыть/Комментировать

2022-08-11 13:44:20  Представим платформу bug bounty на OFFZONE 2022

Мы долго к этому готовились и наконец-то сообщаем: презентация платформы пройдет 25 августа в 13:00 на конференции OFFZONE!

Приходите, чтобы:
— посмотреть интерфейс платформы;
— узнать, как устроен процесс выплаты для багхантеров;
— разобраться, для каких компаний подойдет продукт.

Подробнее Открыть/Комментировать

2022-08-11 13:44:20 Да здравствует Конкуренция!

P.S. Надеюсь скоро порадовать вас новым подкастом на смежную тему. Открыть/Комментировать

2022-08-08 16:23:21 Bug Bounty от VK уже на The Standoff 365

VK — крупнейшая технологическая компания, создающая проекты и сервисы для российского потребителя. Вы или ваши родственники на регулярной основе пользуетесь десятками из них: от почты и социальных сетей до каршеринга, доставки продуктов и обучения.

Компания не первый год даёт хакерам поле для охоты на уязвимости за вознаграждение. В вашем распоряжении будет 40+ проектов. Сегодня запустили первую партию:

социальные сети ВКонтакте и Одноклассники;
образовательные платформы GeekBrains, Skillbox, Алгоритмика, Тетрика и Учи.ру;
почтовый сервис Mail.ru;
облачная платформа VK Cloud Solutions;
набор коммуникационных сервисов TAPM (Типовое Автоматизированное Рабочее Место).

Максимальная награда за уязвимости — до 1,8 млн рублей (в зависимости от уровня угрозы).

Искать уязвимости bugbounty.standoff365.com/vendors/vk Открыть/Комментировать

2022-08-08 16:23:21 Поздравляю команду с тем что привлекли такого громадного игрока!

А всем кто только знакомится с баг баунти, предлагаю послушать нашу серию подкаста о нем: https://podcast.ru/e/6E.UlMdm5l./ Открыть/Комментировать