Форум информационной безопасности - Codeby.net

Доброго времени суток! Сегодня я хочу презентовать непопулярную инъекцию как ESII (Edge Side Include Injection)

Данную атаку можно реализовать тегом в HTML <esi> (Edge Side Includes). Так же, это новый вид атаки на некоторые кэш-серверы.


ТЕОРИЯ
Что же такое ESI, и как его используют?

Взгляните на простенькую веб-страницу:



На данной странице, есть 2 типа элементов:



То есть, теги ESI используются для указания обратного прокси (или кэш-сервера) для получения дополнительной информации о веб-странице, для которой шаблон уже кэширован.

Эта информация может поступать с другого сервера...

Большинство провайдеров облачных хранилищ и , таких как Google Диск, Dropbox, Box и Microsoft OneDrive, предлагают некоторый уровень шифрования - по сути, скремблируют содержимое загруженных вами файлов. Для их раскодирования требуется ключ шифрования. Большинство провайдеров облачных хранилищ сами хранят ключ шифрования, вместо того, чтобы предоставить его пользователю и, таким образом, требуют от него или нее слепого доверия к тому, что компания не будет злоупотреблять доступом к вашим файлам, не допустит утечки данных ключа для хакеров или не передаст его отслеживающим органам государственной власти. Кроме того, любой, у кого есть физический доступ к вашему телефону или ноутбуку, может легко попасть в файлы в облаке, потому что большинство этих служб по умолчанию оставляют вас залогиниными в системе.

Несколько компаний облачного резервного копирования, таких как iDrive, позволяют пользователю...

Благодаря взрывному развитию информационных технологий и в частности интернета, объем данных создаваемый каждым человеком стал действительно колоссальным, и большинство этой информации разбросанно по всему миру, хранится в виде нулей и единиц, в огромных ангарах калифорнийской пустыни и на жестком диске в компьютере пекинской домохозяйки. Понимая ценность данных, правительства разных стран приняли законы о хранение личной информации граждан в пределах страны, что говорит о ценности этой информации, но казалось бы какое кому дело до ваших геотегов, поисковых запросов или объявлениях о продаже котят? Но сегодня рассмотрим все что можно выжать из чекина в старбаксе на улице Ленина 15, вашего мейла на...

Часть 1 - [Истории за кодом] Притча о тривиальности. Брутфорс атака.

Доброго времени суток, codeby, продолжаем разговор, начнём сразу с практики, с того на чём остановились в прошлый раз.

Presentation Layer. Честно сказать, всё-таки я не определился с вопросом о том, что у нас будет в итоге: консольное приложение, web spa application или вообще оконный интерфейс. Но этот факт, лишь подтверждает, что у нас уже получилась хорошая архитектура. Так как хорошая архитектура позволяет откладывать решения как можно дольше! Действительно, как бы то не было, пользовательский интерфейс мы можем делать каким угодно, в итоге мы просто будем обрабатывать информацию от пользователя и передавать её...

Самый главный хакер в мире
И кто же это такой крутой хакер? Кто же этот легендарный неуловимый Джо?
Скажите как его зовут???

БУ -РА -ТИ-НО! Почти угадали )



Это GOOGLE !!!

Да-да друзья, всем известный поисковик, и есть самый главный и крутой хакер )
Большинство из вас уже давно знают про такую вещь как гугл хакинг.

Гугл может, Гугл может все, что угодно,
Плавать брассом, спорить басом, дрова рубить!
Гугл может, Гугл может все, что угодно,
Ломать сайты, сливать базы - не может...

Недавно столкнулся с проблемой, необходимо было достать и логов довольно большое кол.во айпишек и прогнать отфильтровать их по стране.
Так как лень и автоматизация это порой рядом стоящие слова, то я сразу вспомнил, что существует Python и решил делать авто.

Код хоть и на костылях но прекрастно работает, если кто допилит более быстрый вариант буду очень благодарен, ибо в отсеве падает скорость из за хранения в переменной большого кол.ва данных, но привилегия в том, что нет ограничение на кол.во ип.

В общем как то так.

Регулярочка для поиска ип в файле:
И сам...

Вот я и вернулся, [надеюсь время будет еще)]

ПС.. этот пост я хотел написать почти год назад и опять пропал)))))))
Давно меня тут не было, было много личных дел, проблем и много работы, но я вернулся,
Возврашатся конечно же было "трудно" надо было прочитать или хотябы ознакомится с названием тем, корорые были не тронуты с моего прошлого визита, а это было в прошлом году то)

Во время этого процеса нашлось пару интересных тем
Заливка WEB-Shell WSO на уязвимые сайты. Для новичков )) вспомнилась одна очень хорошая програмка )))))
Уроки по Burp Suite Pro Часть 1.1. Лаборатория судя по названию можно уыидеть чтото интересно, но увы просто туториал как настроить пару виртуалок (ИМХО для отдельной темы на мой взгляд не годно, тольео при условии что будет дальше разжовывать burpsuite и пополнять...