Life-Hack - Хакер

03 декабря 2024 14:16

haccking/WwTM-T6LVSp">Полный захват аккаунта в одной из крупнейших компаний электронной коммерции

#статья@haccking #перевод@haccking #bugbounty

Сегодня я хочу поделиться своим опытом обнаружения уязвимости, позволяющей захватить учетную запись (ATO) с помощью отравления ссылки для сброса пароля. Во время участия в программе, охватывающей миллионы пользователей — крупной компании в сфере электронной коммерции, которую я буду называть redacted.com — я тестировал функции аутентификации и наткнулся на функцию «Запрос на сброс пароля». Эта функция предлагает пользователям ввести адрес электронной почты для получения ссылки для сброса пароля.

haccking/WwTM-T6LVSp">Ссылка на статью.

LH | Новости | Курсы | OSINT

Life-Hack - Хакер

03 декабря 2024 09:11

Firefly

#web #fuzz

Продвинутый fuzzer для тестирования веб-приложений по методу черного ящика.

Ссылка на инструмент

LH | Новости | OSINT | Курсы

Life-Hack - Хакер

02 декабря 2024 09:11

InstaCharts

#анализ #полезное@haccking

Сервис, который создаёт диаграммы из любых данных за клик. Работает, как с локальными файлами, так и с контентом из Google-таблиц.
Скачать результат можно во всех форматах: PNG, SVG, CSV, XLSX.

Ссылка на сервис

LH | Новости | OSINT | Курсы

Life-Hack - Хакер

01 декабря 2024 12:14

haccking/EMymbGc_f_4">Полное руководство по поиску уязвимостей с помощью Shodan и Censys

#recon #bugbounty #Shodan #Censys #перевод #статья

Вы, вероятно, видели, как многие охотники за уязвимостями или исследователи безопасности находят интересные баги, используя поисковые системы в интернете, такие как Shodan или Censys. Но когда вы пытались повторить их действия, это казалось невозможным. И напрашивался единственный вывод, что им просто повезло с уникальным случаем.

В этой статье мы рассмотрим почти все фильтры поиска, чтобы помочь вам находить интересные уязвимости, используя методы разведки с помощью инструментов, таких как Shodan и Censys!

Данная статья предназначена специально для начинающих, у которых нет базовых знаний о том, как использовать интернет-поисковики для поиска уязвимостей. Обратите внимание, что, хотя в статье рассматриваются только Shodan и Censys, вы можете применять аналогичные методы к другим инструментам, таким как Fofa, Netlas, ZoomEye и др.

haccking/EMymbGc_f_4">Ссылка на статью.

LH | Новости | Курсы | OSINT

Life-Hack - Хакер

30 ноября 2024 16:05

ЦБ Уганды взломан: хакеры похитили $16,8 млн из государственной казны

#взлом

В Уганде подтвердили взлом счетов центрального банка хакерами из группы «Waste». Масштаб ущерба оказался меньше ранее заявленных 62 млрд шиллингов (около $16,8 млн). Хакеры проникли в IT-систему банка и перевели деньги за границу, часть средств оказалась в Японии. Центральному банку удалось вернуть более половины суммы. Инцидент расследуют полиция и аудиторы, среди версии фигурирует возможный внутренний сговор, из-за чего были допрошены сотрудники банка и министерства финансов.

LH | Новости | Курсы | OSINT

Life-Hack - Хакер

30 ноября 2024 09:11

Awesome OSINT

#OSINT #CTI #подборка@haccking

Подборка потрясающих инструментов и ресурсов для разведки по открытым источникам. Этот список предназначен для помощи всем, кто занимается киберразведкой угроз (CTI) или OSINT. От начинающих до продвинутых.

Ссылка на GitHub.

LH | Новости | OSINT | Курсы

Life-Hack - Хакер

29 ноября 2024 14:16

Как я статистику git парсил

#статья #git #анализ

Работаю я в бюрократизированной конторе с плохими процессами. Текучка тут достаточно большая. Люди приходят и уходят. Менеджмент на уровне дна. В какой-то момент в команду докинули нового разработчика (с неясными целями и задачами). Ну вроде парень умный, вроде что-то делает, вроде не просто так.

Спустя четыре месяца (испытательный закончился) у многих закрались подозрения, что на самом деле парень ничего не делает. Но как доказать это со стороны объективно? Решили посмотреть историю коммитов. Оказалось, он почти не коммитил (последний месяц вообще перестал), а на дейликах ссал в уши ездил по ушам. Парень продолжил работать на прошлой работе и был преподом на курсах. Такой вот overemployed, с двумя зарплатами по ставке синьора.

Ему предложили перевестись в другой отдел. Менеджеру все сошло с рук. Часть разрабов сидела с лицами «‎а что так можно было?»‎. А я понял, что нельзя так просто взять и посмотреть статистику коммитов.

Ссылка на статью

LH | Новости | Курсы | OSINT

Life-Hack - Хакер

29 ноября 2024 09:11

Red Teaming TTPs

#полезное@haccking #обучение@haccking #redteam

В этом репозитории содержатся cheatsheets, заметки и скрипты, связанные с обучением в области Red Teaming. Пригодится как атакующим, так и защитникам.

Ссылка на GitHub.

LH | Новости | OSINT | Курсы

Life-Hack - Хакер

28 ноября 2024 13:13

35+ бесплатных ресурсов для начинающих разработчиков С++

#code #подборка #статья #разработка #полезное

Уже более 7 лет, я работаю менеджером команды наставников в Практикуме на курсе «Разработчик С++», а с недавнего времени — разработчиком в Positive Technologies. В этой статье мы собрали леĸции, ĸниги, курсы и всяĸое таĸое, чтобы шансов выстрелить себе в ногу самостоятельно было меньше :)

Ссылка на статью

LH | Новости | Курсы | OSINT

Life-Hack - Хакер

27 ноября 2024 16:15

Бот OVERLOAD и поиск групп пользователя в Telegram

#osint #osintbot #telegramosint

Приветствуем дорогих читателей! Продолжаем тестировать ботов Telegram, которые эффективно помогут нам справиться с задачей поиска целевых данных в открытом доступе или же по-простому в OSINT. В этой статье мы разберём ещё достойных кандидатов стать инструментами поиска на постоянной основе не выходя из всеми известного мессенджера.

Ссылка на статью

LH | Новости | OSINT | Курсы

Life-Hack - Хакер

27 ноября 2024 09:11

DarkPulse

#shellcode #malware #loader

DarkPulse — это упаковщик шеллкода, написанный на Go. Он используется для генерации различных загрузчиков шеллкода и обхода средств защиты.

Ссылка на инструмент.

LH | Новости | OSINT | Курсы

Life-Hack - Хакер

26 ноября 2024 13:15

haccking/T2ts2H58Z4-">23 000 $ за обход аутентификации, загрузку файлов и произвольную перезапись файлов

#перевод #статья #bugbounty #web

Как мне удалось изменять содержимое файлов на исследуемом сайте и получить удалённое выполнение кода (RCE) на компьютерах пользователей, внедряя вредоносный код в существующие EXE или PDF файлы, CSS и т.д.

haccking/T2ts2H58Z4-">Ссылка на статью.

LH | Новости | Курсы | OSINT

Life-Hack - Хакер

25 ноября 2024 13:15

Шишинг с Rogue RDP. Используем встроенные средства Windows для проникновения в сеть

#статья@haccking #phishing #bypass #RedTeam #pentest

За последний год EDR и XDR значительно повысили уровень защиты от фишинга. Особые трудности доставляет эвристический анализ. Классическая рассылка документов теперь почти не работает. В качестве альтернативы я выбрал Rogue RDP как средство доставки и технику Living off the Land Binaries — для первичного доступа в сети заказчика.

Ссылка на статью

LH | Новости | Курсы | OSINT

Life-Hack - Хакер

24 ноября 2024 15:17

⚡️ Топ популярных/полезных постов за прошедшую неделю (сохрани себе чтобы не потерять):

1. Предыдущий топ статей
2. Репозиторий содержит большое количество обучающего материала для тестирования на проникновение облачной инфраструктуры Azure
3. Разведка по Telegram ботам
4. Power Remote Desktop для удалённого доступа к рабочему столу на чистом PowerShell!
5. Создание незаметного вредоносного ПО для Windows
6. Мощный полуавтоматический OSINT-фреймворк и менеджер пакетов
7. Спуфинг sAMAccountName: от LowPriv до домен админа за шесть команд. CVE-2021-42278
8. Ресурс с огромной коллекцией словарей для брутфорса
9. Как создать вредоносный исполняемый файл, который выглядит как PDF, документ Word или исполняемый файл веб-браузера

☄ Сделали отдельный канал по OSINT

#подборка #лучшиестатьи #информационнаябезопасность #ИБ #хакинг

LH | Новости | OSINT | Курсы

Life-Hack - Хакер

24 ноября 2024 09:11

RustiveDump

#LSASS #RedTeam

Думпер памяти LSASS, использующий только NTAPI, создающий минимальный дамп памяти (minidump), написанный на Rust. Поддерживает XOR-шифрование и удаленную передачу файлов.

Ссылка на инструмент.

LH | Новости | OSINT | Курсы

Life-Hack - Хакер

03 декабря 2024 13:15

Повлияйте на развитие нового решения для защиты данных — PT Data Security от Positive Technologies. Продукт позволяет в реальном времени отслеживать инфраструктуру данных и автоматически классифицирует информацию по уровню критичности.

Разработчик запускает программу «Ранние ПТашки» и предлагает три формата участия:

1️⃣Продуктовые исследования: изучите ранний прототип решения и посоветуйте команде R&D, что в нем можно улучшить.
2️⃣Глубинные интервью: поделитесь опытом использования инструментов для защиты данных, их плюсами и недостатками.
3️⃣Передача опыта: опишите, как организованы базы и системы хранения данных в вашей компании.

🎁Активным участникам программы будет предоставлена возможность получить доступ к ранним версиям решения, а также возможность приобрести лицензию на специальных условиях после выхода коммерческой версии*.

Оставляйте заявку, чтобы команда PT Data Security подобрала для вас удобное время и формат участия.

* Подробности уточняйте у специалистов PT Data Security

Life-Hack - Хакер

02 декабря 2024 13:15

Взламываем транспортные карты: чит на бесконечные деньги

#взлом #статья

Начну с простого вопроса: кто из вас пользуется общественным транспортом? А кому нравится за него платить? Если такие все же найдутся, то могут смело переставать читать статью. Для остальных у меня есть рассказ о том, как четверо старшеклассников из Массачусетса взломали местную транспортную систему.

Жителям Бостона статья поможет получить бесплатные поездки, а для всех остальных этот материал будет неплохим уроком по реверс-инжинирингу. Ну или, по крайней мере, вы узнаете любопытную историю.

Ссылка на статью

LH | Новости | Курсы | OSINT

Life-Hack - Хакер

01 декабря 2024 15:17

⚡️ Топ популярных/полезных постов за прошедшую неделю (сохрани себе чтобы не потерять):

1. Предыдущий топ статей
2. Репозиторий содержащий множество чек-листов по web и API-уязвимостям
3. DarkPulse — это упаковщик шеллкода, написанный на Go
4. Атака ближайшего соседа: как российская APT использовала соседние сети Wi-Fi для скрытого доступа
5. Бот OVERLOAD и поиск групп пользователя в Telegram
6. Репозитории содержащий cheatsheets, заметки и скрипты, связанные с обучением в области Red Teaming
7. Собрали для вас в один пост все наши статьи с Хабра на тему OSINT
8. Подборка потрясающих инструментов и ресурсов для разведки по открытым источникам

☄ Сделали отдельный канал по OSINT

#подборка #лучшиестатьи #информационнаябезопасность #ИБ #хакинг

LH | Новости | OSINT | Курсы

Life-Hack - Хакер

01 декабря 2024 09:11

ConvoC2

#C2 #RedTeam #Microsoft

Инфраструктура управления (C2), которая позволяет команде Red Team выполнять системные команды на скомпрометированных хостах через Microsoft Teams.

Ссылка на инструмент.

LH | Новости | OSINT | Курсы

Life-Hack - Хакер

30 ноября 2024 12:14

haccking/MnZo14_W7oT">Как я использовал уязвимость «file upload» для достижения высокого уровня риска в Bug Bounty

#bugbounty #web #перевод #статья

Здравствуйте, коллеги! Одной из самых интересных функций в веб-приложениях является загрузка файлов. Уязвимости в этой области часто приводят к серьёзным последствиям. Давайте разберём один из сценариев, с которым я столкнулся во время работы.

haccking/MnZo14_W7oT">Ссылка на статью

LH | Новости | Курсы | OSINT

Life-Hack - Хакер

29 ноября 2024 17:58

Собрали для вас в один пост все наши статьи с Хабра на тему OSINT.

Половину этих материалов заблокировал Роскомнадзор. Чтобы прочитать их, надо воспользоваться VPN.

Сохраняйте и изучайте.

- Бот OVERLOAD и поиск групп пользователя в Telegram
- Разведка по Telegram ботам — OSINT в телеграм
- Расширение смысла и инструментария OSINT в США
- OSINT: Разведка в ЕВРОПЕ
- Поиск по почте и никнейму
- Автоматизация поиска акаунта в телеграм через номер. Простой поиск людей через телеграм
- Анализ Telegram аккаунтов
- Боты и сервисы для разведки данных Вконтакте
- Обозреваем и практикуем популярные OSINT инструменты
- Охота на цифровых призраков: как OSINT и threat hunting защищают ваши данные
- Использование OSINT для выявления невидимых угроз нашим океанам

LH | Новости | OSINT | Курсы

Life-Hack - Хакер

29 ноября 2024 13:15

Главная аналитическая конференция по кибербезопасности Код ИБ ИТОГИ в Москве совсем скоро!

🗓 5 декабря
📍 Москва, отель Palmira Business Club (ул. Новоданиловская набережная 6, к.2)

Конец года — лучшее время, чтобы в кругу профессионалов изучить аналитику, узнать последние тренды ИБ и получить прогнозы для принятия верных решений. Поэтому ждем вас на конференции Код ИБ ИТОГИ.

В программе:
📌 3 дискуссии
— CISO говорят
— Стартапы говорят
— БОССЫ кибербеза говорят

📌 6 тематических сессий
— Защита инфраструктуры
— Анализ защищенности
— Защита данных
— Безопасная разработка
— Культура кибербезопасности
— Комплаенс

А также:
— Зона со стендами ИБ-компаний
— Новогодние угощения
— Розыгрыши подарков
— Дружественная атмосфера

🎁 И новогодний сюрприз каждому активному участнику

Глубокая аналитика, уникальный экспертный контент, жаркие дискуссии и непринужденная атмосфера: не пропустите главную аналитическую конференцию в сфере кибербеза!

Регистрируйтесь уже сейчас. Участие бесплатное, количество мест ограничено.

Life-Hack - Хакер

28 ноября 2024 17:56

Госдума усилила ответственность за утечки персданных

#Госдума #leak #штраф

Госдума приняла во втором и третьем чтениях поправки в законодательство, которые повышают ответственность за утечки и неправомерный оборот персональных данных. Они предусматривают многократное увеличение штрафов, вводят оборотные штрафы и уголовную ответственность.

LH | Новости | Курсы | OSINT

Life-Hack - Хакер

28 ноября 2024 09:11

ADExplorerSnapshot.py

#AD #BloodHound #pentest #LDAP

AD Explorer позволяет подключаться к контроллеру домена (DC) и просматривать данные LDAP. Он также может создавать снимки сервера, к которому вы в данный момент подключены. ADExplorerSnapshot.py позволяет конвертировать эти снимки в файлы JSON, совместимые с BloodHound, или извлекать все доступные объекты в снимке в формате NDJSON для упрощенной обработки.

Ссылка на инструмент

LH | Новости | OSINT | Курсы

Life-Hack - Хакер

27 ноября 2024 12:37

Атака ближайшего соседа: как российская APT использовала соседние сети Wi-Fi для скрытого доступа

#статья #перевод #APT #WiFi

Расследование, длившееся полтора месяца, показало, что злоумышленникам удалось проникнуть в сеть Организации A через корпоративную Wi-Fi-сеть. Для этого они использовали цепочку компрометаций нескольких организаций, расположенных рядом с целью. При этом сами атакующие находились за тысячи километров от цели, по другую сторону океана.

Ссылка на статью

LH | Новости | Курсы | OSINT

Life-Hack - Хакер

26 ноября 2024 16:48

Взломано всё: США и Китай вступили в новую кибервойну

#взлом

Китайские хакеры получили доступ к IT-инфраструктуре критически важных объектов в США, создавая угрозу для потенциального конфликта.

Хакеры из Китая взломали IT-системы и готовят почву для возможных разрушительных атак. Среди целей — манипуляции системами управления, такими как отопление, вентиляция и кондиционирование серверных помещений, а также энергетические и водные объекты. Китай отрицает причастность.

LH | Новости | Курсы | OSINT

Life-Hack - Хакер

26 ноября 2024 09:11

Needle

#iOS #phone

Фреймворк для тестирования безопасности iOS от MWR, представленный на Black Hat USA в августе 2016 года. Это модульный фреймворк с открытым исходным кодом, который нацелен на упрощение всего процесса проведения оценки безопасности iOS-приложений. Needle предназначен быть полезным не только профессионалам в области безопасности, но и разработчикам, стремящимся защитить свой код. Некоторые примеры областей тестирования, охватываемых Needle, включают: хранение данных, межпроцессное взаимодействие, сетевые коммуникации, статический анализ кода, хуки и защита бинарных файлов. Единственное требование для эффективного использования Needle — это устройство с джейлбрейком.

Ссылка на инструмент.

LH | Новости | OSINT | Курсы

Life-Hack - Хакер

25 ноября 2024 09:11

Vulnerability-Checklist

#pentest #web #api #bugbounty

Этот репозиторий содержит множество чек-листов по web и API-уязвимостям, а также множество идей и советов по уязвимостям из Twitter.

Ссылка на GitHub.

LH | Новости | OSINT | Курсы

Life-Hack - Хакер

24 ноября 2024 12:14

Почту на прокачку: повышаем защиту MS Exchange

#Exchange #mail #BlueTeam #admin #статья@haccking

Сегодня мы поговорим об укреплении киберустойчивости программных средств на конкретном примере — параметрах почтовой системы Microsoft Exchange (MS Exchange).

Ссылка на статью.

LH | Новости | Курсы | OSINT

Life-Hack - Хакер

23 ноября 2024 16:41

Carseat

#pentest #AD

Python версия шарповой утилиты Seatbelt. Этот инструмент содержит практически все модули из Seatbelt. Поддерживает удалённое выполнение. Как и в случае с Seatbelt, вам, вероятно, потребуется привилегированный доступ к целевому хосту, для которого вы запускаете любые модули.

Ссылка на инструмент.

LH | Новости | Курсы | OSINT