Атакующий подставил чужой идентификатор в запрос, сервер вернул данные. Без эксплойта, без обхода WAF - просто GET /api/orders/1254 с чужим ID. По данным...
13 августа 2024 года NIST опубликовал три финальных стандарта постквантовой криптографии - FIPS 203, 204 и 205. Восемь лет конкурса, десятки...
42 хоста украинских военных структур. Кампания APT28, которую Sekoia.io назвала Operation Phantom Net Voxel. Стандартные IOC-фиды молчали всё время - ни...
Утро. Grafana показывает 340 Gbps входящего UDP-трафика на пограничных маршрутизаторах финтех-компании, где полгода назад настраивали эшелонированную...
В современном мире цифровая подпись играет важную роль. В первую очередь это банковские операции, электронная валюта типа Bitcoin, явно отождествляющий...
На CTF в прошлом году попался дамп базы частного сервера Dragonica - около 40 тысяч аккаунтов, bcrypt-хэши с cost factor 10. Организаторы закладывали на...
В трёх из пяти проектов по микросегментации, которые я аудировал за последние полтора года, внутри созданных сегментов стояло правило «permit any any»...
99% облачных инцидентов безопасности - вина клиента, а не провайдера. Это прогноз Gartner (Through 2025, оригинальная публикация 2019 г.), который цитирует...
В двух из трёх IoT-устройств, которые попадают ко мне на стол, UART-консоль отдаёт root shell без единого запроса пароля. Третье хотя бы спрашивает логин -...
По данным Gartner (Q4 2023, 303 руководителя ИБ), 63% организаций в мире уже частично или полностью внедрили стратегию Zero Trust. При этом у большинства...
Заголовок: Теоретический концепт DAVP-атаки: Обход MFA через AitM с использованием DoS-компонента и динамической VPN-ротации Введение На сегодняшний день...
CloudTrail присылает алерт: 340 вызовов GetSecretValue к продакшн-секрету базы данных за 12 минут - при baseline в 8-10 обращений в час. Сервисный аккаунт...
В очереди SIEM - 2 847 алертов за выходные. Из них ~2 300 - false positives от трёх правил корреляции, которые стабильно срабатывают на каждом плановом...
На прошлогоднем incident response в финтех-компании вся цепочка атаки уместилась в три строки CloudTrail: SSRF в микросервисе дёрнул IMDS на...
Персональный токен доступа (PAT), случайно слитый в историю чата ChatGPT, оставался валидным несколько месяцев и давал admin-доступ к...
Прежде чем разбирать механику атаки, стоит отметить: большинство материалов о Fake CAPTCHA сходятся в одном — сама технология проверки «Я не робот» не...
На последнем пентесте API финтех-сервиса каждый запрос требовал HMAC-подпись в заголовке X-Signature - вычислялась из тела, текущего timestamp и сессионного...
На пентесте IoT-шлюза для промышленного вендора я убил двое суток на попытки вытащить прошивку через UART и JTAG - оба интерфейса залочены, OTP-биты...
На последних трёх проектах по тестированию безопасности IoT я вскрывал корпуса устройств, подключался к UART - и в двух случаях из трёх получал root-шелл...
В июне 2023 года Microsoft закрыла CVE-2023-29361 - use-after-free (CWE-416) в драйвере Cloud Files Mini Filter (cldflt.sys), CVSS 7.0 (HIGH), вектор...
На аудите IP-камеры с чипом Anyka и Tuya Cloud на борту binwalk выдал ноль распознанных сигнатур на весь 8-мегабайтный дамп SPI-флеша. График энтропии -...
На одном из недавних пентестов - организация с Okta, включённый passwordless через FIDO2, всё по best practices - я получил session token администратора за...
Telegram остаётся одним из самых популярных мессенджеров, несмотря на блокировки, ограничения и высокий уровень мошеннической активности. Платформа активно...
Три месяца назад получил прошивку промышленного роутера на MIPS - заказчик хотел проверить веб-интерфейс управления, но само устройство стояло на закрытом...
В ноябре 2023 года APT29 (Midnight Blizzard) залезли в корпоративную среду Microsoft через password spraying единственного тестового облачного tenant без...
Понедельник, 10:40 - на red team-проекте для финтех-компании я зарегистрировал OAuth-приложение «HR Document Portal» в стороннем тенанте Azure AD. 10:55 -...
На red team проекте для финтех-компании с P2-лицензиями Entra ID, настроенным Sentinel и FIDO2-ключами для C-level - мы получили persistent-доступ к почте...
Постановка задачи и архитектура приложения Всего один некорректно настроенный параметр URL может позволить злоумышленнику использовать запросы на стороне...
На пентесте SaaS-платформы с SSO через Keycloak я обнаружил, что авторизационный сервер принимает redirect_uri с path traversal...
На аудите сетевого оборудования промышленного объекта четыре UART-пада нашлись за двадцать минут после вскрытия корпуса - два из них давали root shell без...
