Standoff 11. Этичные хакеры против металлургов: разбираем атаку на сталелитейный завод.

В мае этого года наша команда судила 11-й Standoff, на котором этичные хакеры продемонстрировали свои навыки и буквально не давали выдохнуть командам защитников и организаторам кибербитвы. На этой битве красные, наконец-то, пробили промышленную инфраструктуру, а также реализовали несколько атак в банковском сегменте. Противостояние выдалось очень насыщенным и интересным.

В этой статье на примере одной из атак на сталелитейный завод «МеталлиКО» я поделюсь некоторыми инструментами команд атакующих и защитников. Статья будет полезна для начинающих специалистов по обе стороны баррикад.

Читать далееhttps://habr.com/ru/companies/innostage/articles/759384/?

Защищай, но проверяй. Как самостоятельно защитить СУБД от взлома.

Всем привет! На связи Александр Матвиенко, руководитель группы защиты от утечек информации в компании «Инфосистемы Джет». То, что с безопасностью даже очень популярных сервисов и продуктов не все в порядке, писать нет смысла — все и так читают новости. Несмотря на то, что внешних предпосылок для изменения ситуации нет, мы сами можем повлиять на нее. Для этого сегодня я расскажу об азах безопасности баз данных, находящихся в общем доступе. Мы рассмотрим реальный кейс, познакомимся с харденингом и обсудим, как каждый из вас (будучи разработчиком, создателем Pet-project или DevOps-инженером) может повлиять на защищенность баз в контейнерах в своих проектах.

Статья подготовлена по выступлению на VK Databases Meetup,  организованном VK Cloud, так что, кроме текста, есть и видеозапись выступления. Читать дальше →https://habr.com/ru/companies/vk/articles/760268

Парольные менеджеры 2023 года: что нового?

С каждым годом хакеры становятся всё изощреннее в методах отъёма честно нажитого у пользователей интернета. Поэтому нужно всегда быть начеку и заботиться о защите своих персональных данных. Инструменты для этого известны: надёжное шифрование и защищённый парольный менеджер, внутри которого хранятся секреты, а пароль доступа знаете только вы (плюс дополнительная аппаратная защита через 2FA).

Посмотрим, что нового появилось в этой области за последнее время. А посмотреть есть на что. https://habr.com/ru/companies/ruvds/articles/760464/

Как мобильные приложения незаконно передают ваши личные данные

Приложения компаний незаконно получают доступ к личным данным пользователей и передают их третьим лицам для сложной аналитики сразу после открытия приложений. У пользователей даже нет выбора: дать согласие или запретить передачу своих данных. https://noyb.eu/en/how-mobile-apps-illegally-share-your-personal-data

[Перевод] Когда парсеры URL-адресов расходятся (CVE-2023-38633).

Обнаружение и разбор уязвимости CVE-2023-38633 в librsvg, заключающейся в ситуации, когда две реализации URL-парсера (Rust и Glib) расходятся в парсинге схемы файла, создавая уязвимость к атаке обхода каталога. Читать дальше →https://habr.com/ru/companies/ruvds/articles/760766

Как стать гуру или WiFi Cheat Sheet

А что мы знаем про пентест Wi-Fi?
Кажется, что уже всё, но вот на offzone 2023 была представлена атака WPA‑E (Надеюсь, в скором времени выложат запись и pdf) и я задумался, а так ли всё хорошо с моими знаниями... Нет, я всё с концами оставил на старых ЖД и где‑то далеко в памяти, пришлось восстанавливать по крупицам всю информацию. Заметки, время и старания — главное составляющее статьи.

Этот документ больше похож на чек‑лист для самопроверки и может содержать полезные советы и хитрости, за основу я взял структуру «WiFi Penetration Testing Cheat Sheet«. Я очень благодарен автору, но он забросил вести данную шпаргалку и многие вещи устарели. https://habr.com/ru/articles/761450/

Особенности проксирования через CDN/Websocket/gRPC для обхода блокировок.

Эта статья - заключительная (наконец-то!) из моего огромного цикла про недетектируемые инструменты для обхода блокировок. В предыдущих публикациях я упоминал, что клиенты и серверы XRay (форк V2Ray) и Sing-box при использовании протоколов VLESS/VMess/Trojan могут работать через веб-сокеты и gRPC, что позволяет подключаться к даже заблокированным Роскомнадзором прокси-серверам через CDN (content delivery или content distribution network) и дает дополнительные преимущества. Сегодня мы поговорим об этом поподробнее.

Читать далее https://habr.com/ru/articles/761798

Скрытые методы SQL-инъекций, о которых Google не хочет, чтобы вы знали 💻😱😈

Покоряйте веб-приложения с помощью SQLMap — полное руководство пользователя https://medium.com/@qaafqasim/the-hidden-sql-injection-techniques-that-google-doesnt-want-you-to-know-e366a0d8f444

Анализируем домен компании с помощью OSINT.

В начале сентября мы перенесли облако NGcloud на новый домен. Перед миграцией проанализировали домен с помощью инструментов OSINT. Зачем? Потому что из сведений о домене хакеры могут добыть массу информации: начиная от данных владельца и заканчивая внутренними документами компании. В этой статье собрали все шаги и бесплатные OSINT-инструменты, которые помогут определить: какая информация о вашей компании есть в открытом доступе, как ее могут использовать злоумышленники и что можете сделать вы, чтобы предотвратить потенциальную атаку. 

Читать далееhttps://habr.com/ru/companies/nubes/articles/762444

Развертывание резервного копирования AWS (6 минут чтения)
Заметка в блоге, которая начинается с обзора того, как выглядят атаки "облачного" вымогательства, а затем рассказывает об AWS Backup. Далее в статье даются советы по развертыванию AWS Backup в масштабе с использованием AWS Organizations. Включает код terraform для помощи в развертывании. подробнее→ https://www.primeharbor.com/blog/awsbackup/

Большой взгляд на безопасность в OpenAPI (9 минут чтения)
В этом блоге обсуждаются возможности защиты в OpenAPI и действия компаний по обеспечению безопасности API. Крупные компании, такие как Facebook и Github, используют OAuth2 для обеспечения безопасности API. В статье рекомендуется использовать OAuth2 для аутентификации, но признается, что она может быть сложной. Ключи API по-прежнему широко используются для обеспечения безопасности в небольших API. Базовая аутентификация не рекомендуется из-за ее недостаточной защищенности. подробнее→ https://liblab.com/blog/a-big-look-at-security-in-openapi

Великий переход к кибербезопасности начался: встречайте PQXDH

В настоящее время происходит одно из величайших изменений в сфере кибербезопасности. Некоторые компании переедут сразу, некоторые подождут, а третьи могут вообще не переключиться. Что изменилось? https://medium.com/asecuritysite-when-bob-met-alice/the-great-cybersecurity-switch-over-has-begun-meet-pqxdh-ad50e488f24a

Более 158 квинтиллионов комбинаций «Энигмы», но гениальность Тьюринга в сочетании с машиной «Бомба» взломала ее за 20 минут. Свидетельство человеческой изобретательности, превращающей астрономические вероятности в расшифрованные закономерности за считанные секунды. Также хорошая демонстрация того, что в каждой системе есть какое-то слабое место.

Руководство хакера по языковым моделям

Отличный подход, ориентированный на код, для понимания того, как использовать языковые модели на практике. Охватывает фундаментальные концепции, ограничения и возможности, практическое использование языковых моделей при написании кода и анализе данных, тонкую настройку, тестирование и многое другое.

📝https://github.com/fastai/lm-hackers

🎞https://www.youtube.com/watch?v=jkrNMKz9pWU

Шпаргалка OSCP

https://github.com/saisathvik1/OSCP-Cheatsheet

Operation Zero, российская компания, специализирующаяся на покупке и продаже программных эксплойтов "нулевого дня", увеличила размер выплат за уязвимости "нулевого дня" в iPhone и Android с 200 тыс. долл. до 20 млн долл. подробнее→ https://techcrunch.com/2023/09/27/russian-zero-day-seller-offers-20m-for-hacking-android-and-iphones/

LDAPWordlistHarvester (Github Repo)
LDAPWordlistHarvester - это инструмент для генерации списков слов из информации, содержащейся в LDAP, для взлома неслучайных паролей доменных учетных записей. Получив список слов, можно использовать hashcat с правилами для взлома паролей. подробнее→ https://github.com/p0dalirius/LDAPWordlistHarvester

LibWebP, новый Log4j

Google признал новый и серьезный недостаток безопасности в библиотеке изображений libwebp, которая обрабатывает рендеринг изображений в формате WebP. Эта уязвимость, обозначенная как CVE-2023–5129, получила максимальный балл серьезности 10,0 по рейтинговой шкале CVSS. Ошибка возникает из-за проблемы в алгоритме кодирования Хаффмана, которая при использовании специально созданного файла без потерь WebP может привести к записи данных за пределами допустимого диапазона в кучу. Особенно этому недостатку подвержена функция ReadHuffmanCodes() https://medium.com/@penquestr/libwebp-the-new-log4j-3e932b35bdcb