Форум информационной безопасности - Codeby.net

Данная заметка не о том, как парсить социальные сети, а о том, что я обнаружил в социальной сети «Мой Мир Mail.ru». Эта сеть родом из 2007 года до сих пор находиться в перманентно активном состоянии. Более того, в 2019 она была обозначена владельцем как нишевый проект. Но, тем не менее, это не помогло данной сети. И количество пользователей уменьшается с каждым годом.


Тем не менее, там можно отыскать странички разных пользователей. Иногда пользователей блокируют, иногда доступ к странице для незарегистрированных пользователей закрыт. Но, именно это и вызывает много вопросов и удивление.


Обнаружено это было случайно и не бог весть какой баг. Так, небольшая недоработка программистов. Но, даже если на странице висит баннер о том, что страница заблокирована и из всей информации доступно лишь имя пользователя, тем не менее, зайдя в код страницы можно легко обнаружить скрытую на странице информацию.


Более того, если мы продвинемся немного дальше...

Вместо вступления​

Дорогой читатель, как автор данного опуса, я прошу простить мне слог изложения и некоторые фривольности в повествовании, ибо я не силен в стилистике, да и нужных университетов не оканчивал.

Данный документ появился в рамках решения проблемы обновления клиентов с множества версий и редакций на целевую. В процессе решения этой задачи, мы сталкивались с разными трудностями, находили новую информацию и совершали ошибки. Некоторые ошибки были допущены (и исправлены) даже при написании данного документа. Невозможно всё держать в голове постоянно =)

Зачем нужен данный документ? Экономия времени.

Убедительно настаиваю прочитать данный текст минимум три раза, перед тем как использовать:

• Для ознакомления, что вообще происходит и как. Особенно дополнительный раздел;
• Для формирования вопросов и поиска ответов на них;
• Для закрепления информации.

И нет, я не шучу. Если использовать данный текст как инструкцию, то будет ошибка. Это все же руководство, а не конечная инструкция.

Подготовка​

Первое что необходимо сделать...

Открыта запись на курс «Боевой OSINT»
Старт потока 7 ноября

Записаться

Для тех, кто ранее покупал наши курсы, скидка на курс составляет 10%.

Старт курса 7 ноября
Длительность - 3 месяцев
Общий чат с учащимися курса
Поддержка куратора на протяжении всего курса
Задания к каждому уроку
Итоговая практическая работа

Краткое содержание курса:

1. Введение в OSINT
2. Обеспечение своей безопасность при проведении OSINT
3. Управление информацией в рамках OSINT
4. Поиск информации о физическом лице из открытых источников
5. Как защититься самому. CounterOSINT для физического лица
6. Поиск информации о юридическом лице из открытых источников
7. Как защитить свою компанию. CounterOSINT для юридического лица
8. Меняем географию поиска из открытых источников
9. Поиск "серой" информации о человеке и компании
10. Как искать и находить информацию в СlearNet
11. Как искать и находить информацию в DarkNet
12. Метаданные и анализ файлов GEOINT
13. Аналитика на основе...

Академия Кодебай приглашает на постоянную работу

Разработчика(ов) учебных курсов в сфере информационной безопасности и IT

Оклад от 100.000 руб/мес + премии
Полный рабочий день, удалёнка

Требуемые навыки - работа с виртуальными машинами и докер-контейнерами, знание программирования (Python + Flask/Django, JavaScript) и основ веб-разработки (HTML+CSS, nginx). Также работа с базами данных (MySql/MariaDB) и знание основ ИБ (минимум owasp top-10).
В задачи входит написание методичек, запись видеоуроков с экрана, подготовка учебных заданий/лабораторий.

Примеры разрабатываемых курсов:

• Основы Linux
• Компьютерные сети
• Язык программирования Rust
• Язык программирования Go
• Язык программирования Java
• Язык программирования JavaScript
• Фреймворк Flask
• Фреймворк Django
• Веб-разработка (HTML+CSS, CMS)
• Android-разработчик
• Работа с виртуальными машинами и докер-контейнерами
• Искусственный интеллект
• Криптография
• Client Side Attacks - уязвимости клиентской части: XSS, CSRF, CSP
• Тестирование беспроводных сетей
• И тд ...

Если вас заинтересовало данное предложение, пишите Дмитрию...

В последнее время много сообщений о всяческих чекерах, сканерах и прочих программах, которые проверяют… ну, допустим доступность никнейма для регистрации на сервисе. Ведь если на сервисе никнейм не доступен, это значит, что нужно будет постараться и придумать другой. Я нашел три таких веб-сервиса, где можно в ручном режиме проверить доступность ника. Количество сервисов у них разное, сервисы опять же разные, а потому проверять лучше на всех трех.


Ну я и подумал, а почему бы мне не сделать скриптик, который сам бы запрашивал данные у сервисов и возвращал бы мне уже готовый результат. Чтобы не было необходимости открывать сервисы, ждать пока все прогрузиться. Автоматизировать данный процесс. То есть парсить сервисы, чтобы получить их данные парсинга сервисов. Такое вот масло масляное. )) В общем, подумал и начал посмотреть, как это можно сделать. Здесь у нас есть два путя, как в анекдоте, а точнее, для меня доступных – три.

Первый путь – это делать простые запросы к странице сервисов. Но, этот путь уже изначально тупиковый. Так как сервисы динамические и потому данных...

Доброго времени суток, уважаемые форумчане! Скорее всего этот выпуск выйдет 8, а может и 9 мая. Вот уже 9 недель я пишу для вас новости. Если вы читаете это 9 числа, то поздравляю всех читателей с днём победы, а меня с днём рождения
Чтож, перейдём к новостям, коих сегодня много!



Версия в видеоформате: смотреть

Была обнаружена новая уязвимость связанная с Samsung Galaxy App Store (CVE-2022-28776).
Данная уязвимость позволяет приложению запустить установку абсолютно любого приложения из магазина Samsung(даже если это приложение является заражённым более серьезным вредоносом).
Принцип работы примерно такой:

1. Пользователь скачивает уже заражённое приложение из любого магазина приложений(Например, из Google Play, App Gallery или Samsung App Store)
2. Спустя некоторое время, вредоносное ПО анализирует систему и если находит в системе Samsung Galaxy App...

Начинающие программисты на питоне постоянно натыкаются на уроки о том, как создать бота. И да, боты – это довольно полезная штука, но лишь в том случае, если они еще и выполняют какие-либо полезные функции. С помощью телеграмм-бота можно даже управлять компьютером удаленно. И это не так уж и сложно реализовать. Но, в данной статье мы этого делать не будем. А займемся более прозаическими вещами и все-таки создадим бота, который получает новости. Но в отличии от других мы не будем без ума парсить новостные ленты, чтобы получить заголовки новостей и ссылку. Мы пойдем другим путем. А вот каким, давайте и узнаем в статье.


А начнем мы все же с создания бота, прежде чем будем двигаться дальше. Ведь бот будет каркасом нашего скрипта.

Что потребуется?

Для того, чтобы создать бота, нужно установить библиотеку aiogram. Делается это довольно просто, с помощью команды в терминале:

pip install aiogram

И после того, как она установлена, давайте импортируем сразу же все, что нам пригодиться в дальнейшем. А понадобятся нам из библиотеки Bot, Dispatcher, executor и types. Так...

Шутки любят все. И айтишники в особенности. Не знаю уж почему, но о программистах и сисадминах сложилось неверное в корне представление, в котором программист – это человек с вечно красными глазами от того, что пялиться в монитор на код, а сисадмин – угрюмый бородатый дядька, в свитере и с бутылкой пива. На самом деле все это далеко не так. И в настоящее время айтишники — это такие же люди, как и все остальные вокруг. И они, как и большинство из нас любят пошутить. Вот только шутки у них бывают специфические. Но, любая профессия накладывает свой отпечаток. Давайте попробуем сделать одну из программ-шуток, которая может доставить пару-тройку минут искреннего веселья…


А речь вот о чем. Давным-давно, в одной очень далекой Галактике… Ой, это не отсюда. Так вот, давным-давно, во времена бородатой хрюшки, то бишь в миру Windows XP, учили нас языку программирования Delphi, который в то время уже был на закате своего существования. Не, тут дело вкуса. Есть до сих пор люди, которые на нем программируют. И это очень хороший, тем более для того времени язык. Можно сказать, что сейчас таких не делают )) Но...

Прохождение лаборатории HackTheBox Academy с разбором происходящего.

Лаборатория будет содержать следующие атаки:
LLMNR/NBT-NS Poisoning - from Windows
Password Spraying for Windows
ACL Enumeration
ACL Abuse
DCsync
и многое другое...

Не пропусти и ставь себе напоминалку! 7 мая в 20:00 по московскому времени. Ждём каждого!

Смотрите стрим в нашем Youtube канале: https://www.youtube.com/c/TheCodeby

У многих есть Яндекс.Почта. Я, конечно, не настаиваю. Скорее всего есть люди, у которых почты на Яндексе никогда не было. Но, все же. Может быть самое время ее завести? Потому, что использовать Яндекс.Диск, который создается совместно с почтой можно с помощью Питона. Для чего может понадобиться доступ к Яндекс.Диску из скрипта? Предположим, можно отправлять туда бэкап файлов в автоматическом режиме. Но, давайте разберемся, с помощью чего и как использовать возможности Диска.


Получение токена

Для начала нужно получить токен. Именно с помощью токена приложение и будет осуществлять доступ к копированию, вставке и прочим функциям. А чтобы получить токен, нужно зарегистрировать приложение, которое будет работать в питоне.

Идем в поиск и вбиваем «Доступ внешних приложений Яндекс», ну или можно перейти вот по этой ссылке. Здесь нас интересует одна большая желтая кнопка «Зарегистрировать новое приложение». Жмем ее и переходим на страницу создания приложения.


На следующей...