Мне сегодня 30 лет.

Быстро и дешево брутим хэши

Короч, есть чуваки такие, immers.cloud

По сути это хостинг с арендой видеокарт. А так как я занимался проектом passleak.ru, иногда нужно было разгадывать хэшики, решил не покупать под это оборудование. Вышло круто.

Тут есть два варианта развития событий.

Арендуем видеокарту (какую - по желанию, они там выкатили какие-то ультра-модные H100, но мне и 2080 часто хватает), грузим туда наши хэши, делаем что-то типа:


sudo apt-get update
sudo apt-get install gcc make tmux git mesa-common-dev cmake nvidia-cuda-toolkit build-essential unzip -y
https://ru.download.nvidia.com/XFree86/Linux-x86_64/470.63.01/NVIDIA-Linux-x86_64-470.63.01.run
chmod +x NVIDIA-Linux-x86_64-470.63.01.run
sudo ./NVIDIA-Linux-x86_64-470.63.01.run


Устанавливаем hashcat и играемся с этим всем.

Но если нам нужно побрутить пароли по словарям, способ еще круче. Берем готовый образ Ubuntu + Hashcat + Weakpass 3, на диске будет лежать архив с Weakpass V3. Запускаем и прогоняем хэши, забираем то что сбрутилось, вырубаем машину.

Например, чтоб раскукожить пароли из дампа Linkedin - мне потребовалось рублей... 20?
В общем, круто держать под рукой чтобы быстро сбрутить какой-то хэшик.

>

Обязательно изучить всем веберочкам.

PortSwigger's Top 10 web hacking techniques of 2023!

Welcome to the Top 10 Web Hacking Techniques of 2023, community-powered effort to identify the most important and innovative web security research published in the last year.

🥇 Smashing the state machine: the true potential of web race conditions
🥈 Exploiting Hardened .NET Deserialization
🥉 SMTP Smuggling - Spoofing E-Mails Worldwide
4️⃣ PHP filter chains: file read from error-based oracle
5️⃣ Exploiting HTTP Parsers Inconsistencies
6️⃣ HTTP Request Splitting vulnerabilities exploitation
7️⃣ How I Hacked Microsoft Teams and got $150,000 in Pwn2Own
8️⃣ From Akamai to F5 to NTLM... with love
9️⃣ Cookie Crumbles: Breaking and Fixing Web Session Integrity
🔟 can I speak to your manager? hacking root EPP servers to take control of zones

The entire nomination list you can find here: https://portswigger.net/research/top-10-web-hacking-techniques-of-2023-nominations-open

Новая годнота.

Всем привет! Как и обещал многим из вас, задающим вопрос: «Хочу у вас работать, как к вам попасть?» мы открыли набор младших специалистов! Уточню, что это специалисты уже имеющие некоторый опыт в прокачивании хакерских скиллов.
P.S. Чуть позднее также объявим стажировки для помощи в росте совсем начинающим хакерочкам.

Вакансия

Команда Singleton в поисках начинающих специалистов!

ООО “Синглтон Секьюрити” (singleton-security.ru)

Контакт: @I_rina_shirshova

ЗП 80-120 т.р. на руки + квартальная премия ~100-250 т.р.

Младший специалист по тестированию на проникновение ИТ инфраструктуры

Задачи, которые необходимо решать:

- Участие в пентестах в группе со старшими и ведущими специалистами
- Организация социотехнических тестирований с применением методов соц. инженерии
- Формирование отчетности по уязвимостям в системе трекинга багов
- Активное участие в мероприятиях компании и турнирах PHDays Standoff/пр. CTF

Требования:

- Понимание основ проведения социальной инженерии, подготовка инфраструктуры для фишинга (Подготвка доменов, зеркал, нагрузок, настройка GoPhish);
- Знание методов повышения привилегий для Windows и Linux;
- Понимание основных атак на AD (kerberoast,asreproast,sysvol и gpp,password spraying)
- Умение пользоваться MSF DB, responder, mimikatz, impacket, crackmapexec,bloodhound;
- Уверенное владение bash, powershell, cmd, навыки автоматизации атак;
- Знание типовых веб-уязвимостей
- Гражданство РФ

Будет плюсом:

- Опыт работы на аналогичных позициях
- Опыт работы в ИТ/ИБ (разработка, администрирование, blue-team)
- Знание английского языка (B1+)
- Высшее техническое образование

Плюшки:

- Гибридный или полностью удаленный формат работы (важно проживание в РФ) - можно смешивать удаленную работу и работу в офисе. (Офис: БЦ Суперметалл, м. Бауманская)
* Совмещение с учебой возможно, если вы готовы к загрузке 40 часов в неделю, не важно в какое время.
- Молодой коллектив и титулованная компания, принимающая активное участие в рынке ИБ в России
- Активное участие в жизни сообщества экспертов по кибербезопасности в России
- Бесплатный доступ к любым курсам компании CyberEd (cyber-ed.ru)
- Корпоративный ноутбук (MacBook / Dell XPS)
- Офис: Метро Бауманская (БЦ Суперметалл)

Условия для соискателей:

- Либо предоставить резюме с хорошим треком, отражающим ваш опыт: соревновательные площадки, образование, опыт работы, исследования, статьи и пр.
- Либо написать отчеты по компрометации следующих виртуальных машин (тщательность и аккуратность отчета идет в зачет): https://disk.yandex.ru/d/EKhZsntxnUtbsQ, https://disk.yandex.ru/d/83NdLd3Vjp_VNA, https://disk.yandex.ru/d/8XT1oaMmqpCGjQ (Пароль от архивов: xpdK$LP1?&)

Постарался для вас, дорожайшие!

Запускаем прикольную историю с Кибердомом!

Надеюсь мы оживим наш старый и по-своему любимый формат оффлайн обучения, где всегда была 🔥 огненная 🔥 атмосфера 20-ки хакеров в одной аудитории решающей задачи под присмотром наставника. Надеюсь, что кому-либо из вас будет интересно.

Стажировка в команду Singleton Security

Кого мы ищем?

- Начинающих или имеющих опыт специалистов по тестированию на проникновение и анализу защищенности веб-приложений!
- Заинтересованных и уже прошедших заметный путь в этой дисциплине, изучающих направление, участвующих в CTF, практикующих новичков.

Как будет проходить отбор?

- Вы решаете предложенные задачи и пишете по ним отчет (шаблон отчета см. в прикрепленных файлах)
- После того, как Вы отправили нам отчет и свое резюме, мы его изучаем и выносим решение по отбору
- Кандидаты, отправившие самые качественные отчеты и решившие наибольшее число задач, будут приглашены на знакомство и мини-собеседование с тим лидами
- По результатам знакомств будет вынесено итоговое решение по приглашению кандидатов на стажировку

Отбор будет проходить для двух категорий участников:

- Стажеры
- Мл. Специалисты *

* Если кандидат, может показать достаточно глубокие знания предметной области, продемонстрировать опыт, который позволит ему выполнять рабочие задачи, мы готовы будем предложить ему сразу попасть в команду.

Что ждет стажеров?

- Знакомство с командой Singleton и ее подходами и практиками.
- 1.5 месяца обучения с еженедельными лекциями от участников команды.
- Доступ к рабочим задачам по поиску уязвимостей.
- Работа с наставниками.
- Минимальная оплата труда с занятостью 20 часов в неделю.

По окончании 3-х месяцев, основываясь на том, как специалист показал себя в этот период, будет принято решение о приглашении его в команду в качестве мл. специалиста.

Контакты для вопросов и отправки заявок: [email protected]
Ссылка на испытания: https://ctf.singleton-security.ru/register

* На сдачу заданий и отчетов 2 недели до 16.04

Формат отчёта.

А мы продолжаем.

Яндекс открыл сезон охоты на Едадил 🐊

Яндекс запускает новый конкурс в рамках программы «Охота за ошибками». Багхантерам предлагают поохотиться на уязвимости в Едадиле — сервисе, который помогает находить продукты со скидкой, покупать их с кешбэком, копить и выводить его, а магазинам заводить карточки товаров. В продукте с таким широким функционалом багхантер наверняка найдёт чем заняться 💰

До 20 апреля Яндекс будет выплачивать баунти в двойном объёме, подробности можно найти здесь.

P. S. Напоминаем, что реальных пользователей атаковать нельзя — используйте только тестовые учётные записи.

Подписывайтесь: 💬 @yandex_bugbounty

https://freelance.ru/projects/reshit-zadachu-1565074.html

Люди так, хотят к нам на стажировку, что нанимают фрилансеров. А ты даже не зарегался...

Тем временем, до окончания отбора осталась последняя неделя.

Результаты соберем в след. вторник.

Подкаст

Ура! Вышла видео версия подкаста YAH, где новыми моими собеседниками стали молодые предприниматели из ИБ среды.

Я очень верю, что рассказ об их пути, сможет помочь и подбодрить десятки и сотни, таких же молодых специалистов и инженеров. Надеюсь он поможет вам найти веру в себя и в свои начинания, а также даст больше полезной информации о вашей индустрии и познакомит вас с классными людьми.

С любовью, Jack. <3

P.S.

Подкасты были записаны в июле-августе 2023 года.

Спустя почти год, я смог наконец-то найти возможность выпустить его.

Спасибо кибердом, за саппорт. Теперь там выйдут ещё 2 уже записанные серии и потом мы начнём записывать "новый сезон".