[История одного пробива]

Всем привет! 👋

Админка на домене 5 уровня? Дефолтные креды? Пароли хранятся на фронте? SQL-injection с RCE? DNS-shell? Что это все такое? Нет - это не очередная тачка на Hack the Box и не подарок пентестеру на НГ от деда мороза. 🎁

Это тру стори от нашего коллеги @cucurucuq. ❤

Читается достаточно легко, всем рекомендую ознакомиться - каждый может найти что-то полезное для себя. 🙏

#magazine #GigaHackers

[SOC Tech - Коллаборация SOC и Pentest]

Всем привет! 👋

Выступил на SOC Tech совместно с коллегой из SOC @nikostin26.
Рассказывали про наш опыт взаимодействия между отделами.

Из ключевых тезисов:
🟣 раскрыли нашу концепцию взаимодействия
🟣 продемонстрировали совместную работу на примере ESC11
🟣 показали необходимость и эффективность такого подхода

Из интересного:
🔴 полный chain эксплуатации ESC11 от обнаружения до получения сертификата
🔘 способы защиты от уязвимости, в том числе компенсирующие меры
🔘 способы обнаружения атаки

Презентация во вложении! 📌
В скором времени выпустим статью на эту тему, следите за новостями, готовим много всего интересного! 💗

@GigaHack

#soc_tech #AD #conference

[Киберучения 2024]

Всем привет!

С 24 по 26 октября в Екатеринбурге в рамках ИТ-конгресса «Форум будущего» на базе Уральского федерального университета пройдут всероссийские студенческие Киберучения.

Помимо соревнований на форуме также будут интересные доклады и вот несколько из них:
🔔 @WILD_41 выступит с докладом "Fast recon — быстрая разведка при пентесте веб-приложения"🆒
🔔 Евгений Баклушин осветит "Важные вопросы о карьере в ИБ"😮
🔔 Также выступят наши коллеги с докладом про пентест CI/CD: "Пентест CI/CD GitLab на реальном примере"🔝


Если вы будете в Екб — обязательно рекомендуем к посещению, но можно и онлайн 👍
Регистрируйтесь и смотрите много крутых докладов!

#learn #conference

[Импортозамещенный взгляд на социальную инженерию: что, если не Word & Windows]

Всем привет!👋

Уже 8 ноября я выступлю на SOC-FORUM 2024 совместно с @Nam3User. Поговорим за социалку😂

Зачастую атаки методами социальной инженерии так или иначе задействуют Microsoft Office, однако в условиях импортозамещения компании начинают переходить на альтернативные офисные пакеты. Защищены ли пользователи альтернативных решений от атак методами социальной инженерии? Расскажем в нашем докладе.

Программу с другими докладами можно посмотреть тут. Онлайн также обещают подвезти ▶️

#conference #soc_forum2024

Выкладываю презентацию с нашего выступления на SOC форуме⚡

[Презентация с SOC FORUM]

Наконец-то выкладываю презентацию с SOC FORUM, на мой взгляд получился неплохой доклад, постарался на пальцах объяснить популярные техники повышения привилегий в домене AD через SCCM. 📎

Также ссылка на видосик 🚀

Если есть какие-то вопросы, пишите в комменты или в ЛС, с удовольствием отвечу! 🔥

@GigaHack

#AD #SCCM #MECM #soc_forum2024 #conference #learn

Всем привет👋

📱 VK тоже поддерживает тренд с конференциями в сфере КБ ✨

VK Security Confab Max - конференция по кибербезопасности, которая пройдёт 11 декабря в Москве.

Если у вас есть экспертиза в этой области, расскажите о ней! Заявку можно отправить до 29 ноября на сайте.

На конференции будут фигурировать пять основных тем:

✅SOC
✅AppSec
✅Безопасность пользователей
✅Безопасность облаков
✅Безопасность инфраструктуры

Сами особенно ждём доклады по безопасности инфры и облаков 🔝

Обещают активности на весь день: будут технические доклады, нетворкинг и афтепати

Для тех, кто не сможет приехать в офис, будет организована онлайн-трансляция.

От себя рекомендуем, ждём, что будет актуально и интересно

Из первых уст о конференции можно узнать тут

[Как некорректная разработка API может привести к удалению пользователей]

Всем привет!👋
Пора снова делиться интересным профильным контентом⚡

Летом @WILD_41 стал номинантом премии Pentest Award. Его кейс решили подробно разобрать и осветить на habr-е. ⚙️

При анализе веб-приложения была обнаружена связка уязвимостей, позволявшая удалить любого зарегистрированного пользователя из системы. Основано на реальных событиях😒

#web

[ Процесс импортозамещения вносит определенные коррективы в проведение фишинговых атак, но техники остаются прежними ]

Всем привет! 👋

Недавно рассказал порталу Cyber Media о специфике фишинговых атак в рамках пентестов и редтим-проектов🗣️

Полное интервью можно прочесть тут

Спасибо порталу Cyber Media за вопросы, получилось интересно!⚡

#social #interview

[Пробив через IP-камеру]

Всем привет! 👋
Недавно наконец был опубликован мой кейс с Pentest Awards. В кейсе показал, как IP-камеры могут привести к пробитию периметра организаций, занял 2️⃣ место, организаторам еще раз спасибо!

Из интересного:
💬 Подключение к камере по Wi-Fi
💬 RCE на камере
💬 Проброс через SSH

Если будут вопросы, пишите в комментариях ❔

@GigaHack

#pentestaward #gigahack

[ Новогодний CTF ]

Всем привет! 🤙🏼
У нас много ребят студентов, которые только начинают путь в кибербезе. Предлагаем к новому году поиграть в CTF с возможностью выиграть крутые призы от нашего товарища (P/S не в ущерб сессии и 4-му кварталу в целом 🎩)

https://yangx.top/writeup_ctf/433

Всем удачи и с наступающим 🧦
#CTF #HappyNewYear

[Итоги года]

Всем привет! 👋
Выдался насыщенный год для нас всех, для канала вообще определяющий. Несколько ключевых моментов, которые можно подчеркнуть как достижения:

🧦 Мы создали канал
🧦 Канал сильно вырос, более 2000 подписчиков меньше чем за год, это очень круто!
🧦 Выиграли премию "Киберпросвет". Это большое достижение для авторов канала!
🧦 Приняли участие и заняли места в Pentest Awards
🧦 Записали несколько подкастов
🧦 Написали и опубликовали несколько статей и комментариев в СМИ
🧦 Создали уникальный контент только для канала!

Большое спасибо всем за доверие🥛 Желаем вам всех благ, счастья в новом году и успехов во всех начинаниях! 👍 Оставайтесь с нами, мы планируем еще больше движа в следующем году, скучно точно не будет! 🔥🥂🎁

@GigaHack

#gigahack

[Сдача OSWE]

Всем привет! 👋

Совсем недавно совершил для себя важный шаг в своей карьере — получил сертификат OSWE. Стоит отметить, что для меня это оказалось не совсем простой историей.

Моя первая попытка не увенчалась успехом. Уже сейчас я понимаю, что причинами моего поражения были волнение и излишняя торопливость, так как тренировочные лаборатории я решал буквально за 2-3 часа на машину вместе с автоматизацией. Это дало мне ложное представление, что экзамен будет таким же.
В результате первой попытки сдачи я пару раз провалился в rabbit hole и потратил кучу времени в попытках раскрутить уязвимости, которые ни к чему не вели. Как итог — потеря настроения, сил и концентрации.
После того как доступ к машинам протух, я написал отчет из того, что смог сделать, и изложил там свои мысли, которые у меня были касаемо двух нераскрученных уязвимостей. После этого отправил отчет и стал отсыпаться. Сил и настроения не было от слова совсем.

Вторая моя попытка была уже в 2025 году. Я ворвался на пересдачу сразу после начала рабочих будней. В результате мне удалось набрать необходимое количество флагов и написать отчет. Я бы не сказал, что мне было просто, но предыдущий опыт поставил мозги "на место". Я уже не закапывался в дебри, а старался смотреть на уязвимости более шаблонно и внимательнее читать различные cheet sheet и статьи. Как итог — все получилось... Ответ я получил очень быстро, буквально через пару дней. Когда увидел, что сдал, у меня было только одно чувство — облегчение.


P.S В следующих статьях я рассмотрю ресурсы и методологию, которую использовал при подготовке

@GigaHack

#OSWE #WEB