Форум информационной безопасности - Codeby.net
Статья (RCE) Flask + Werkzeug генерируем куку на основе PIN кода
Предисловие и карма
Впервые, с задачей генерации PIN кода я столкнулся во время прохождения лаборатории у Offensive, за день перед экзаменом OSCP. Мне было жутко лень решать машину Reconstruction, так как за спиной было много проделанной работы и я был почти уверен, что сдам экзамен, но на душе оставалось ощущение, что с данной задачей я еще встречусь. Так и произошло. В ходе противостояния The Standoff было не менее 5 машин, точкой входа для которых как раз была генерация PIN и удаленное выполнение Python кода через консоль Debug мода.
В процессе противостояния The Standoff данный вектор пыталось эксплуатировать множество команд, что привело к постоянной блокировке панели ввода PIN кода. Основная задача была – найти способ обойти ограничения на количество неудачных попыток ввода PIN кода, что удалось сделать моему коллеге.
Генерация PIN...
Статья Новостной дайджест по ИБ/IT за 7.06-14.06
Здравия всем, дамы и господа. Почти половина июня позади, а это, между прочим, составляет 1/6 часть всего лета. Я надеюсь, вы провели это время с пользой, я же, в свою очередь, подготовил для вас информацию о том, как эту неделю провёл мир IT и ИБ.
Отголоски трагедии в Казани слышны до сих пор и это один из них. Росгвардия объявила конкурс на создание автоматизированной системы контроля за оборотом огнестрельного оружия. Стартовая сумма, которую готово отдать ведомство за разработку этой системы составляет 305,5 млн рублей. Рассмотрение заявок состоится в конце июня сего года, а система должна заработать к концу сентября 2022 года, а точнее к 30 его числу. Выглядеть всё это счастье будет как место «встречи» всех участников оружейного рынка. Господа, занимающиеся лицензированием будут автоматически уведомляться о факте купли/продажи оружия. Также платформа должна...
IT контроль оружия
Отголоски трагедии в Казани слышны до сих пор и это один из них. Росгвардия объявила конкурс на создание автоматизированной системы контроля за оборотом огнестрельного оружия. Стартовая сумма, которую готово отдать ведомство за разработку этой системы составляет 305,5 млн рублей. Рассмотрение заявок состоится в конце июня сего года, а система должна заработать к концу сентября 2022 года, а точнее к 30 его числу. Выглядеть всё это счастье будет как место «встречи» всех участников оружейного рынка. Господа, занимающиеся лицензированием будут автоматически уведомляться о факте купли/продажи оружия. Также платформа должна...
Статья Интерфейс защиты данных dpapi и ассемблер: разработка программ
Защита данных в windows: освойте dpapi на ассемблере!Начинаете путь в системном программировании? Не знаете, с чего стартовать в работе с безопасностью данных? 85% успешных специалистов начинали с практики и понимания базовых механизмов защиты. Бесплатные ресурсы и сообщества — ваш ключ к быстрому входу в профессию и оттачиванию навыков.
Узнайте, как начать карьеру в разработке с платформой Codeby, погрузиться в мир asm и превратить теорию в реальные умения. Покажем, где брать задания, как развиваться и почему это лучший старт для новичка. Только проверенные методы и полезные инструменты для будущих экспертов!
Для всех, кто хочет перейти от интереса к системному программированию и безопасности к первым победам и профессиональному росту.Статья Новостной дайджест по ИБ/IT за 1.06-7.06
Здравия всем, дамы и господа. Вот и началось лето, мало того, уже прошла первая его неделя, которая ознаменовалась новым приобретением в моём «парке». Это ноутбук dell p69g, в июле, думаю, на моём сайте выйдет обзор на него, но вы здесь не за этим, так что приятного времяпрепровождения.
Или удалёнка или увольняюсь!
С этим ультиматумом, по данным нескольких исследований, были бы согласны от 35 до 50% сотрудников, переведённых ранее на работу из дома. В одном из опросов были выявлены основные преимущества работы из дома, по мнению опрошенных это отсутствие поездок и экономия денежных средств. Интересно, почему в эти «основные преимущества» не попала возможность находиться где угодно и выполнять свою работу? Некоторые крупные игроки рынка уже озаботились вопросом повышения гибкости в отношении удалённой работы, среди них Google и Ford...
Немного о Bug Bounty, SSRF, CRLF и XSS
Привет, Codeby!
Немного о том, как были найдены пара простых уязвимостей в ходе Bug Bounty.
Я решил не соваться на , а зарегистрировался на платформе попроще и поменьше, называется , которая ориентирована на европейские компании. Выбрал цель и в первом же домене, который начал исследовать, нашел уязвимость.
Нашел , на тот момент даже не зная, что это такое.
Как это получилось и почему это заслуживает интереса.
Я просто фаззил сначала директории, потом файлы, потом параметры в URL. Обычно при таком фаззинге выполняются GET-запросы. Если бы я при фаззинге выполнял только GET-запросы, то это ничего мне не дало бы. Не знаю, что меня сподвигло, но я решил пофаззить все тоже самое POST-запросами.
В том месте, где...
Немного о том, как были найдены пара простых уязвимостей в ходе Bug Bounty.
Я решил не соваться на , а зарегистрировался на платформе попроще и поменьше, называется , которая ориентирована на европейские компании. Выбрал цель и в первом же домене, который начал исследовать, нашел уязвимость.
Нашел , на тот момент даже не зная, что это такое.
Как это получилось и почему это заслуживает интереса.
Я просто фаззил сначала директории, потом файлы, потом параметры в URL. Обычно при таком фаззинге выполняются GET-запросы. Если бы я при фаззинге выполнял только GET-запросы, то это ничего мне не дало бы. Не знаю, что меня сподвигло, но я решил пофаззить все тоже самое POST-запросами.
В том месте, где...