Форум информационной безопасности - Codeby.net
Статья Device Bound Session Credentials Chrome: как DBSC в Chrome 146 ломает kill chain кражи сессий
Инфостилеры — №1 среди малвари (32%, IBM X-Force 2025). Сценарий: стилер собирает сессионные куки за выходные, в понедельник атакующий импортирует их в браузер и заходит в корпоративный аккаунт — мимо MFA, мимо пароля, мимо всех контролей. В апреле 2026 года Google включил DBSC в Chrome 146: сессионная кука привязывается к TPM устройства.DBSC меняет фундаментальное свойство куки: из bearer-токена она становится proof-of-possession. TTL короткоживущей куки — 10 минут. Refresh без TPM-ключа невозможен — украденная кука протухнет до использования.
Но DBSC — не серебряная пуля: только Chrome на Windows, только приложения с серверной частью, не работает при RAT и insider threat. Sigma-правило на GeoIP-аномалию для приложений без DBSC. Чеклист из семи пунктов для SOC.
Если атакующий уже на вашем хосте — TPM ему не враг, а союзник.Статья Реверс-инжиниринг UEFI-прошивки: от дампа SPI-flash до анализа DXE-драйверов в Ghidra
На аппаратном пентесте серверной платформы снял дамп SPI-flash и обнаружил в DXE-томе модуль, которого не было в эталонной прошивке вендора. Два дня реверса через Ghidra — кастомный драйвер интегратора, не закладка. Но путь от подозрения до вердикта потребовал полного цикла анализа UEFI-прошивки.Workflow из четырёх этапов: flashrom/CHIPSEC (дамп SPI-flash) → binwalk (энтропия, границы регионов) → UEFITool (навигация по иерархии FV, извлечение модулей по GUID) → Ghidra с efiXplorer (автоматическая разметка Boot Services, Runtime Services, протоколов).
Паттерны для поиска: SMM callout через CommBuffer без проверки указателей, DXE-драйверы без UI Name секции, модули с обращениями к EFI_SIMPLE_FILE_SYSTEM_PROTOCOL из DXE-фазы. Сравнение дампа с эталоном — базовый метод обнаружения имплантов.
Ghidra с efiXplorer опустил порог входа до уровня: умеешь реверсить PE на Windows — разберёшься с DXE-драйвером за день.Статья NTLM Coercion атаки в 2026: от Responder до принудительной аутентификации через .lnk и WebDAV
PetitPotam через LSARPC — патч стоит на каждом контроллере. DFSCoerce с WebDAV-режимом: аутентификация контроллера упала на listener за 40 секунд, relay на AD CS выдал сертификат машинной учётной записи, DCSync вытащил ntds.dit. От первой команды до Domain Admin — десять минут. Никаких RCE, никаких уязвимостей в классическом понимании.HTTP-аутентификация при coercion через WebDAV не подпадает под SMB signing и EPA — два механизма, которые Microsoft рекомендует как основную защиту. CVE-2025-33073 (NTLM Reflection) позволяет cross-protocol relay с SMB на LDAP/AD CS, минуя SMB signing. CVE-2025-54918 обходит channel binding и LDAP signing — последний рубеж, на который все полагались.
Decision tree выбора вектора через nxc и Coercer. Relay машинной учётной записи через Shadow Credentials и RBCD. Где SOC слеп: редкие RPC-интерфейсы, WebDAV на порту 80, NTLM Reflection как штатная локальная аутентификация.
Среды с SMB signing + LDAP...Статья OAuth Abuse в Azure AD: анатомия ConsentFix-атак и обнаружение в SIEM
Понедельник, 9:17. Sign-in в Azure CLI от финансового контроллера. MFA пройдена штатно, Conditional Access не сработал, пароль цел. Через 40 минут тот же IP вытягивает переписку через Microsoft Graph API. Атакующий получил OAuth authorization code напрямую от жертвы — ConsentFix.Техника скрещивает ClickFix-стиль социальной инженерии с OAuth 2.0 authorization code flow. Жертва проходит реальную аутентификацию Microsoft на настоящем login.microsoftonline.com и отдаёт authorization code атакующему через localhost-redirect. Обнаружены 11 first-party приложений Microsoft (Azure CLI, Teams, Visual Studio Code) — pre-trusted во всех тенантах, не блокируются через Enterprise Apps.
KQL-запросы для Microsoft Sentinel: аномальный sign-in в CLI-приложения + расхождение IP между interactive и non-interactive sign-in. Token Protection ломает kill chain на уровне протокола.
Сброс пароля жертвой не отзывает OAuth-токены автоматически. SOC должен сделать это вручную.Статья Secrets scanning утечка токенов и API-ключей: находим утёкшие credentials в GitHub, GitLab, Bitbucket и Jira
AWS-ключ формата AKIA* в git-истории — удалён восемь месяцев назад, но aws sts get-caller-identity возвращает живой IAM-аккаунт с доступом к продакшн-данным клиентов. От находки в старом коммите до чтения данных — двадцать минут. По оценке soteri.io, более половины утёкших credentials — generic-секреты без структурированного формата, которые стандартные сканеры не ловят.Три инструмента — три архитектурных подхода: gitleaks (regex, скорость, Go), detect-secrets (baseline + интерактивный аудит), trufflehog (верификация через API провайдера — создаёт логи). Что пропустят все: base64-encoded ключи, кастомные форматы токенов, секреты в бинарных файлах и Jira-вложениях.
Кастомный .gitleaks.toml под внутренние форматы. Валидация по типу: AWS, GitHub PAT, Slack Webhook, GCP Service Account. OPSEC: какие следы создаёт каждый шаг аудита.
Слабое звено — не детекция, а ротация. Сканер нашёл — ответственный не отозвал.Статья CVE-2026-0300: buffer overflow в PAN-OS — от анализа уязвимости до root RCE на файрволе Palo Alto
6 мая 2026 года CISA добавила CVE-2026-0300 в KEV. Дедлайн три дня, SSVC Act. Buffer overflow в User-ID Authentication Portal: один сетевой пакет без аутентификации — root-шелл на PA-Series и VM-Series. Captive Portal по дизайну принимает трафик до аутентификации — именно это превращает CWE-787 в fleet-wide pre-auth path to root.Три условия эксплуатируемости: уязвимая ветка PAN-OS + портал включён + Response Pages из untrusted-зоны. «Нет» по любому — цепочка разорвана. Decision tree для приоритизации реагирования.
Root на файрволе — перехват TLS, credentials из GlobalProtect и User-ID, модификация policy rules, пивот через trust relationships с AD и SIEM. Обновить PAN-OS недостаточно: аудит конфигурации, ротация credentials и проверка admin-аккаунтов — обязательная часть response.
Вопрос не в скорости патча. Вопрос — почему memory-safety баги в enterprise-оборудовании всё ещё дают pre-auth root в 2026 году.Статья Белый хакер: как легально монетизировать навыки — Bug Bounty, пентест и сертификации
Первый принятый репорт на HackerOne — $150 за IDOR, декабрь 2021. До него три месяца без единого accepted: 11 отклонённых репортов, 4 дубликата, один N/A вне scope. 200+ потраченных часов — меньше доллара в час. Через полтора года: $2,000–3,000/мес Bug Bounty плюс пентест-контракт на $4,000.Три канала монетизации с разной экономикой: Bug Bounty (сдельно — за уязвимость), пентест-контракты (за время и экспертизу), сертификации (мультипликатор ставки). Почему стандартный пентестерский подход не приносит денег в BB — и что реально работает: мониторинг изменений, blind-атаки, фокус на свежих фичах и российских программах с меньшей конкуренцией.
Таблица сертификаций OSCP/BSCP/eWPTX с ценами и рыночной ценностью. Стратегия на 12 месяцев от нуля до комбинированного дохода с бюджетом по месяцам.
BB как единственный источник дохода — путь для верхних 2–3% хантеров. Остальные выгорают за первый год.Статья CVE-2026-0300: уязвимость Palo Alto PAN-OS — buffer overflow в Captive Portal до root shell
Десятки тысяч инстансов PAN-OS в открытом доступе. CVE-2026-0300 — out-of-bounds write (CWE-787) в Captive Portal: один пакет без аутентификации, без учётных данных, без взаимодействия пользователя — и root на файрволе. CISA KEV в день раскрытия, дедлайн три дня, SSVC Act.Captive Portal по дизайну принимает трафик без prior auth state — и именно это превращает memory-safety баг в internet-reachable unauthenticated path to root. Три условия эксплуатируемости: уязвимая ветка PAN-OS + портал включён + Response Pages доступны из untrusted-зоны. «Нет» по любому из трёх — цепочка разорвана.
Root на PA-Series — перехват транзитного трафика, credentials из GlobalProtect и User-ID, модификация policy rules, lateral movement через trust relationships с AD и SIEM.
Обновить PAN-OS недостаточно. Обязательны ротация credentials и аудит конфигурации против known-good baseline.Статья CVE-2026-0300: от buffer overflow в Captive Portal до root на межсетевом экране Palo Alto
225 тысяч интернет-доступных инстансов PAN-OS. К любому с включённым Captive Portal — один неаутентифицированный HTTP-запрос до root-шелла. CVE-2026-0300 (CVSS 9.3 Critical), CISA KEV с дедлайном три дня. Группировка CL-STA-1132, предположительно state-sponsored, — активная эксплуатация in the wild.Out-of-bounds write в обработчике запросов Captive Portal: контролируемые байты за границами буфера → control transfer → root на файрволе. Root на PA-Series — это перехват TLS-трафика, credentials из GlobalProtect и User-ID, модификация policy rules и пивотирование через trust relationships с AD и SIEM.
Три условия эксплуатируемости устройства. IOC группировки: C2 IP-адреса, пути EarthWorm/ReverseSocks5, нестандартный User-Agent (Mozilla/5.5). Парадоксальный IOC: отсутствие crash-артефактов.
Полагаться на логи самого файрвола после компрометации — ошибка. Детект строится на внешних источниках.Статья Пентест периметра сети: атаки на файрволы Palo Alto, Ivanti и cPanel
40 минут разведки через Shodan — 14 экспонированных management-интерфейсов финтех-компании. Три Palo Alto GlobalProtect без патчей, два Ivanti Connect Secure с открытым admin-порталом. За полтора дня — pre-auth RCE на двух устройствах и полный доступ к management plane файрвола без единой учётной записи.Пентест периметровых устройств — не «сканер + default credentials». Это полноценный web application pentest для каждого management-интерфейса: GlobalProtect portal как веб-приложение с API, Ivanti с цепочкой auth bypass + command injection, cPanel на нестандартных портах.
Decision tree выбора вектора по условиям на цели. Sigma-правило для детекции brute force, D3FEND-контрмеры. Десятишаговый чеклист от OSINT до ретеста.
Management-интерфейс открыли для подрядчика «временно» — и забыли закрыть. В этой пропасти между документом и конфигурацией работает пентестер.