Сталкер (репозиторий GitHub)
Stalker — это инструмент управления поверхностью атаки (ASM), в котором большое внимание уделяется расширяемости. Он оптимизирует и автоматизирует разведывательные операции, предоставляя вам возможность расширения его функциональных возможностей. Его веб-интерфейс обеспечивает легкий доступ к данным и обмен ими со всеми заинтересованными сторонами. https://github.com/red-kite-solutions/stalker
Stalker — это инструмент управления поверхностью атаки (ASM), в котором большое внимание уделяется расширяемости. Он оптимизирует и автоматизирует разведывательные операции, предоставляя вам возможность расширения его функциональных возможностей. Его веб-интерфейс обеспечивает легкий доступ к данным и обмен ими со всеми заинтересованными сторонами. https://github.com/red-kite-solutions/stalker
GitHub
GitHub - red-kite-solutions/stalker: Stalker, the Extensible Attack Surface Management tool.
Stalker, the Extensible Attack Surface Management tool. - red-kite-solutions/stalker
Исследователь обнаружил одну из крупнейших свалок паролей в новейшей истории (3 минуты чтения)
Исследователь обнаружил дамп паролей, содержащий почти 71 миллион уникальных учетных данных для различных сайтов, циркулирующих в Интернете. Этот дамп паролей уникален среди многих других многосайтовых дампов, поскольку он содержит почти 25 миллионов учетных данных, которые никогда раньше не были раскрыты. Учетные данные были собраны вредоносным ПО-вором, работающим на взломанных машинах.
https://arstechnica.com/security/2024/01/71-million-passwords-for-facebook-coinbase-and-others-found-for-sale
Исследователь обнаружил дамп паролей, содержащий почти 71 миллион уникальных учетных данных для различных сайтов, циркулирующих в Интернете. Этот дамп паролей уникален среди многих других многосайтовых дампов, поскольку он содержит почти 25 миллионов учетных данных, которые никогда раньше не были раскрыты. Учетные данные были собраны вредоносным ПО-вором, работающим на взломанных машинах.
https://arstechnica.com/security/2024/01/71-million-passwords-for-facebook-coinbase-and-others-found-for-sale
Ars Technica
Researcher uncovers one of the biggest password dumps in recent history
Roughly 25 million of the passwords have never been seen before by widely used service.
7 наиболее распространенных атак на внешний интерфейс
https://blog.bitsrc.io/top-7-frontend-security-attacks-2e2b56dc2bcc
https://blog.bitsrc.io/top-7-frontend-security-attacks-2e2b56dc2bcc
Medium
Top 7 Common Frontend Security Attacks
Protect your application from these common security attacks.
Ладья на XSS: как я хакнул chess.com детским эксплойтом
Шахматы – это одно из многих моих хобби, за которыми я провожу свободное время, когда не ковыряюсь с какой-нибудь электроникой. При этом играю я так себе, и когда мне изрядно надоело проигрывать, я решил заняться тем, что у меня получается гораздо лучше… хакнуть систему!
В этой статье я расскажу о том, как использовал свои знания по кибербезопасности для обнаружения XSS-уязвимости (Cross-Site Scripting, межсайтовый скриптинг) на крупнейшем шахматном сайте интернета со 100 миллионами участников – Chess.com. Но для начала небольшое вступление (в котором будет затронута немного менее серьёзная, но достаточно занятная, уязвимость OSRF (On-site Request Forgery, подделка запросов на сайте). https://habr.com/ru/companies/ruvds/articles/790330/
Шахматы – это одно из многих моих хобби, за которыми я провожу свободное время, когда не ковыряюсь с какой-нибудь электроникой. При этом играю я так себе, и когда мне изрядно надоело проигрывать, я решил заняться тем, что у меня получается гораздо лучше… хакнуть систему!
В этой статье я расскажу о том, как использовал свои знания по кибербезопасности для обнаружения XSS-уязвимости (Cross-Site Scripting, межсайтовый скриптинг) на крупнейшем шахматном сайте интернета со 100 миллионами участников – Chess.com. Но для начала небольшое вступление (в котором будет затронута немного менее серьёзная, но достаточно занятная, уязвимость OSRF (On-site Request Forgery, подделка запросов на сайте). https://habr.com/ru/companies/ruvds/articles/790330/
Хабр
Ладья на XSS: как я хакнул chess.com детским эксплойтом
Шахматы – это одно из многих моих хобби, за которыми я провожу свободное время, когда не ковыряюсь с какой-нибудь электроникой. При этом играю я так себе, и когда мне изрядно надоело проигрывать, я...
Раскрытие возможностей Scapy для фаззинга сети (3 минуты чтения)
В этом сообщении блога представлены инструкции по установке Scapy и демонстрируется его полезность при использовании для фаззинга FTP-сервера. Scapy — мощный инструмент для тестирования безопасности сети и приложений. Он предлагает широкие возможности манипулирования пакетами и может использоваться для фаззинга сетевых протоколов и протоколов конкретных приложений, а также для имитации атак типа «отказ в обслуживании».
https://www.darkrelay.com/post/unleashing-the-power-of-scapy-for-network-fuzzing
В этом сообщении блога представлены инструкции по установке Scapy и демонстрируется его полезность при использовании для фаззинга FTP-сервера. Scapy — мощный инструмент для тестирования безопасности сети и приложений. Он предлагает широкие возможности манипулирования пакетами и может использоваться для фаззинга сетевых протоколов и протоколов конкретных приложений, а также для имитации атак типа «отказ в обслуживании».
https://www.darkrelay.com/post/unleashing-the-power-of-scapy-for-network-fuzzing
DARKRELAY
Unleashing the Power of Scapy for Protocol Fuzzing
Scapy's comprehensive set of features enables the creation of customized network traffic, making it an ideal tool for fuzzing.
6 сканеров уязвимостей API
Крайне важно обеспечить безопасность и актуальность ваших API с использованием новейших мер безопасности. Но как узнать, безопасны ли ваши API? Ответ прост — с помощью сканера уязвимостей API. Сканеры уязвимостей могут обнаружить потенциальные угрозы безопасности в ваших API и помочь вам принять необходимые меры для предотвращения любых вредоносных атак со стороны хакеров . https://nordicapis.com/api-vulnerability-scanners
Крайне важно обеспечить безопасность и актуальность ваших API с использованием новейших мер безопасности. Но как узнать, безопасны ли ваши API? Ответ прост — с помощью сканера уязвимостей API. Сканеры уязвимостей могут обнаружить потенциальные угрозы безопасности в ваших API и помочь вам принять необходимые меры для предотвращения любых вредоносных атак со стороны хакеров . https://nordicapis.com/api-vulnerability-scanners
Nordic APIs
6 API Vulnerability Scanners | Nordic APIs |
Up your API security game with these vulnerability scanners. Here are some free OpenAPI spec scanners and more comprehensive offerings.
Основы безопасности Kubernetes: аутентификация (8 минут чтения)
В этом посте рассматривается аутентификация кластера Kubernetes. Он начинается с изучения внутренних методов аутентификации кластера, таких как клиентские сертификаты и учетные записи служб, а затем рассматриваются внешние методы аутентификации, такие как OIDC, для аутентификации в kube-api. Публикация завершается обзором того, как аутентифицироваться в других компонентах Kubernetes.
https://securitylabs.datadoghq.com/articles/kubernetes-security-fundamentals-part-3
В этом посте рассматривается аутентификация кластера Kubernetes. Он начинается с изучения внутренних методов аутентификации кластера, таких как клиентские сертификаты и учетные записи служб, а затем рассматриваются внешние методы аутентификации, такие как OIDC, для аутентификации в kube-api. Публикация завершается обзором того, как аутентифицироваться в других компонентах Kubernetes.
https://securitylabs.datadoghq.com/articles/kubernetes-security-fundamentals-part-3
Datadoghq
Kubernetes security fundamentals: Authentication
A look at how authentication works in Kubernetes
Awesome GraphQL Security — это тщательно подобранный список платформ, программного обеспечения, библиотек и ресурсов GraphQL Security. Список разделен на наступательные, нейтральные и защитные инструменты.
https://github.com/Escape-Technologies/awesome-graphql-security
https://github.com/Escape-Technologies/awesome-graphql-security
GitHub
GitHub - Escape-Technologies/awesome-graphql-security: A curated list of awesome GraphQL Security frameworks, libraries, software…
A curated list of awesome GraphQL Security frameworks, libraries, software and resources - Escape-Technologies/awesome-graphql-security
Как использовать LLM в качестве оружия для автоматического взлома веб-сайтов
https://www.theregister.com/2024/02/17/ai_models_weaponized
https://www.theregister.com/2024/02/17/ai_models_weaponized
The Register
How to weaponize LLMs to auto-hijack websites
We speak to professor who with colleagues tooled up OpenAI's GPT-4 and other neural nets
Пароли в открытом доступе: ищем с помощью машинного обучения.
Я больше 10 лет работаю в IT и знаю, что сложнее всего предотвратить риски, связанные с человеческим фактором.
Мы разрабатываем самые надежные способы защиты. Но всего один оставленный в открытом доступе пароль сведет все усилия к нулю. А чего только не отыщешь в тикетах Jira, правда?
Привет, меня зовут Александр Рахманный, я разработчик в команде информационной безопасности в Lamoda Tech. В этой статье поделюсь опытом, как мы ищем в корпоративных ресурсах чувствительные данные — пароли, токены и строки подключения — используя самописный ML-плагин. Рассказывать о реализации буду по шагам и с подробностями, чтобы вы могли создать такой инструмент у себя, даже если ML для вас — незнакомая технология.
Читать далееhttps://habr.com/ru/companies/lamoda/articles/793716/
Я больше 10 лет работаю в IT и знаю, что сложнее всего предотвратить риски, связанные с человеческим фактором.
Мы разрабатываем самые надежные способы защиты. Но всего один оставленный в открытом доступе пароль сведет все усилия к нулю. А чего только не отыщешь в тикетах Jira, правда?
Привет, меня зовут Александр Рахманный, я разработчик в команде информационной безопасности в Lamoda Tech. В этой статье поделюсь опытом, как мы ищем в корпоративных ресурсах чувствительные данные — пароли, токены и строки подключения — используя самописный ML-плагин. Рассказывать о реализации буду по шагам и с подробностями, чтобы вы могли создать такой инструмент у себя, даже если ML для вас — незнакомая технология.
Читать далееhttps://habr.com/ru/companies/lamoda/articles/793716/
Хабр
Пароли в открытом доступе: ищем с помощью машинного обучения
Я больше 10 лет работаю в сфере IT и информационной безопасности. И знаю, что сложнее всего предотвратить риски, связанные с человеческим фактором. Мы разрабатываем самые надежные способы...
Безопасность фронтенд-приложений: советы и подсказки
Комплексное руководство по безопасности приложений
https://blog.bitsrc.io/frontend-application-security-tips-practices-f9be12169e66
Комплексное руководство по безопасности приложений
https://blog.bitsrc.io/frontend-application-security-tips-practices-f9be12169e66
Medium
Frontend Application Security: Tips and Tricks
A Comprehensive Guide to Application Security
В чем разница между версиями TLS?
https://medium.com/asecuritysite-when-bob-met-alice/whats-the-difference-between-tls-versions-57b448afddf6
https://medium.com/asecuritysite-when-bob-met-alice/whats-the-difference-between-tls-versions-57b448afddf6
Medium
What’s the Difference Between TLS Versions?
TLS (Transport Layer Security) saved the world of cybersecurity. Without it, our communications could be open to being spied upon, and…
🔒 Составленный контрольный список из более чем 300 советов по защите цифровой безопасности и конфиденциальности в 2024 году.
https://github.com/Lissy93/personal-security-checklist
https://github.com/Lissy93/personal-security-checklist
GitHub
GitHub - Lissy93/personal-security-checklist: 🔒 A compiled checklist of 300+ tips for protecting digital security and privacy in…
🔒 A compiled checklist of 300+ tips for protecting digital security and privacy in 2024 - Lissy93/personal-security-checklist
Как система автоматизации обнаружила учетные данные администратора по умолчанию
Привет, хакеры, я вернулся с новым отчетом о вознаграждении за обнаружение ошибок. В этом блоге я собираюсь показать, как моя система автоматизации обнаружила учетные данные администратора по умолчанию на внутреннем ИТ-портале компании — Sapphire IMS . У компании есть программа вознаграждения за обнаружение ошибок на Hackerone .
https://vijetareigns.medium.com/how-automation-detected-default-admin-credential-worth-500-d6c09719d307
Привет, хакеры, я вернулся с новым отчетом о вознаграждении за обнаружение ошибок. В этом блоге я собираюсь показать, как моя система автоматизации обнаружила учетные данные администратора по умолчанию на внутреннем ИТ-портале компании — Sapphire IMS . У компании есть программа вознаграждения за обнаружение ошибок на Hackerone .
https://vijetareigns.medium.com/how-automation-detected-default-admin-credential-worth-500-d6c09719d307
Medium
How Automation Detected Default Admin Credential Worth $500
FREE ARTICLE LINK👈
Платформа управления секретами с открытым исходным кодом : синхронизируйте секреты/конфигурации внутри вашей команды/инфраструктуры и предотвращайте утечку секретов.
https://github.com/Infisical/infisical
https://github.com/Infisical/infisical
GitHub
GitHub - Infisical/infisical: Infisical is the open-source platform for secrets management, PKI, and SSH access.
Infisical is the open-source platform for secrets management, PKI, and SSH access. - Infisical/infisical
Странный и очень прибыльный мир конкурсов писателей-киберпреступников
Соревнования на форумах киберпреступников в Рунете обещают призовые до 80 тысяч долларов. Всё это происходит почти в открытую, а победителей потом хантят к себе хакерские сообщества. Слышали ли вы об этом секрете Полишинеля?
На всякий случай ссылки давать не буду. И заходить на эти сайты не рекомендую, если у вас нет хороших антивирусов. Но если кто-то об этой истории не знал, велком. https://habr.com/ru/companies/ruvds/articles/795469/
Соревнования на форумах киберпреступников в Рунете обещают призовые до 80 тысяч долларов. Всё это происходит почти в открытую, а победителей потом хантят к себе хакерские сообщества. Слышали ли вы об этом секрете Полишинеля?
На всякий случай ссылки давать не буду. И заходить на эти сайты не рекомендую, если у вас нет хороших антивирусов. Но если кто-то об этой истории не знал, велком. https://habr.com/ru/companies/ruvds/articles/795469/
Хабр
Странный и очень прибыльный мир конкурсов писателей-киберпреступников
Соревнования на форумах киберпреступников в Рунете обещают призовые до 80 тысяч долларов. Всё это происходит почти в открытую, а победителей потом хантят к себе хакерские сообщества. Слышали ли вы об...
Аутентификация для WebSocket и SSE: до сих пор нет стандарта?
WebSocket и SSE появились более десяти лет назад, однако до сих пор в стандартах отсутствуют рекомендации по решению задачи аутентификации для подобных соединений.
В статье разберем особенности аутентификации применительно к протоколу WebSocket и технологии Server-Sent Events, обсудим, какие нюансы могут быть, когда клиентская часть находится в браузере, и на что еще стоит обратить внимание, чтобы избежать неочевидных проблем.
А еще заодно поговорим про уязвимость Cross-Site WebSocket Hijacking (CSWSH) и в целом посмотрим на многие вопросы через призму информационной безопасности. https://habr.com/ru/articles/790272/
WebSocket и SSE появились более десяти лет назад, однако до сих пор в стандартах отсутствуют рекомендации по решению задачи аутентификации для подобных соединений.
В статье разберем особенности аутентификации применительно к протоколу WebSocket и технологии Server-Sent Events, обсудим, какие нюансы могут быть, когда клиентская часть находится в браузере, и на что еще стоит обратить внимание, чтобы избежать неочевидных проблем.
А еще заодно поговорим про уязвимость Cross-Site WebSocket Hijacking (CSWSH) и в целом посмотрим на многие вопросы через призму информационной безопасности. https://habr.com/ru/articles/790272/
Хабр
Аутентификация для WebSocket и SSE: до сих пор нет стандарта?
WebSocket и SSE появились более десяти лет назад, однако до сих пор в стандартах отсутствуют рекомендации по решению задачи аутентификации для подобных соединений. В статье разберем особенности...
JWT-аутентификация в NodeJS
Полное руководство для начинающих по аутентификации JWT
https://arindam1729.hashnode.dev/jwt-authentication-in-nodejs
Полное руководство для начинающих по аутентификации JWT
https://arindam1729.hashnode.dev/jwt-authentication-in-nodejs
Arindam Majumder
JWT Authentication in NodeJS
A Complete Beginner's Guide to JWT Authentication
Фишинг «фичи» Телеграма
Телеграмм старается быть безопасным, но как написано в их BugBounty программе, социальная инженерия - вне скоупа. В этом я с ними абсолютно согласен. Но они считают, что под это попадают и все небезопасно реализованные функции, которые могут использоваться только для социальной инженерии. В этом уже я с ними не согласен.
В этой статье я расскажу вам про две "фичи", которые исправлять мессенджер не намерен, но которые могут быть легко использоваться для социальной инженерии, особенно в связке. https://habr.com/ru/articles/794688/
Телеграмм старается быть безопасным, но как написано в их BugBounty программе, социальная инженерия - вне скоупа. В этом я с ними абсолютно согласен. Но они считают, что под это попадают и все небезопасно реализованные функции, которые могут использоваться только для социальной инженерии. В этом уже я с ними не согласен.
В этой статье я расскажу вам про две "фичи", которые исправлять мессенджер не намерен, но которые могут быть легко использоваться для социальной инженерии, особенно в связке. https://habr.com/ru/articles/794688/
Хабр
Фишинг «фичи» Телеграма
Телеграм старается быть безопасным, но как написано в их BugBounty программе, социальная инженерия - вне скоупа. В этом я с ними абсолютно согласен. Но они считают, что под это попадают и все...