Payloads Collection.

#bugbounty #payload #web #подборка #pentest

Подборка ресурсов 👩‍💻 с нагрузками под разные типы уязвимостей Part 2:

• https://github.com/sh377c0d3/Payloads
• https://github.com/BrodieInfoSec/BIG_XSS
• https://github.com/pgaijin66/XSS-Payloads
• https://github.com/emadshanab/LFI-Payload-List
• https://github.com/austinsonger/payloadsandlists
• https://github.com/secf00tprint/payloadtester_lfi_rfi
• https://github.com/omurugur/SQL_Injection_Payload
• https://github.com/akalankauk/XSS-SQL-Master-Payloads
• https://github.com/cujanovic/SSRF-Testing
• https://github.com/swisskyrepo/PayloadsAllTheThings

Первая часть.

LH | News | OSINT | AI

Топ вопросов и ответов на собеседовании по Kubernetes

#k8s #статья #собеседование #kubernetes #DevOps

В сегодняшних реалиях платформа контейнеризации Kubernetes широко используется в различных проектах. С ростом популярности и всеобщего использования платформы она стала часто фигурировать при прохождении собеседований на некоторые IT-вакансии, включая такие направления как DevOps, SRE, системное администрирование, разработка, эксплуатация. При этом стоит отметить, что вопросы могут быть как очень простыми, связанными с описанием компонентов кластера Kubernetes, так и более сложными, относящимися к работе с сетью внутри кластера и работе с сетевыми политиками. Сегодня мы разберем топ вопросов, которые задают на собеседованиях при трудоустройстве, а также подробно на них ответим.

🔗 Ссылка на статью

LH | News | OSINT | AI

Netspionage

#scanner #admin

Инструмент командной строки (CLI) созданный для проведения разведки и обнаружения атак в сети.

👩‍💻 Ссылка на инструмент

LH | News | OSINT | AI

Hawk-eye

#scanner #pentest #leak

Мощный сканер для сканирования вашей файловой системы, S3, MySQL, Redis, Google Cloud Storage, Firebase и поиска персональных данных и конфиденциальной информации.

👩‍💻 Ссылка на инструмент

LH | News | OSINT | AI

Захват учетной записи через отравление сброса пароля

#статья #bugbounty #web #ATO #перевод

Как охотники за ошибками, мы видим, как приложения снова и снова совершают одни и те же ошибки. Одна из них — позволить пользователям контролировать то, что они не должны. Сброс пароля являются перспективной мишенью. Если приложение позволяет данным, вводимым пользователем, влиять на электронное письмо для сброса пароля (например изменять URL-адреса перенаправления или внедрять параметры), им можно злоупотреблять для перехвата учетных данных. Злоумышленники могут настроить входные данные так, чтобы отправить пользователей на вредоносный сайт вместо законной страницы сброса, украсть токен и завладеть учетными данными. Это не теория — это происходит постоянно, особенно в плохо защищенных  приложениях.

🔗 Ссылка на статью

LH | News | OSINT | AI

⚡️ Топ популярных/полезных постов за прошедшую неделю (сохрани себе чтобы не потерять):

1. Предыдущий топ статей
2. OSINT и Dark Web: как находить информацию в теневом интернете
3. Терминал с открытым исходным кодом
4. Расширенный видеопоиск Google, для нахождения нужных видеороликов на конкретных платформах
5. Первая подборка ресурсов с нагрузками под разные типы уязвимостей
6. Захват аккаунта без единого щелчка мыши
7. Вторая подборка ресурсов с нагрузками под разные типы уязвимостей

#подборка #лучшиестатьи #информационнаябезопасность #ИБ #хакинг

LH | News | OSINT | AI

DefenderCheck

#evasion #av #RedTeam #payload #malware

Определяет байты в файле, на которые ругается Microsoft Defender. Пригодится для написания нагрузок, способных обойти стандартные средства защиты Windows.

👩‍💻 Ссылка на инструмент

LH | News | OSINT | AI

CPTS – как стать хакером с нуля

#статья #pentest #образование #полезное

Недавно я сдал экзамен на международную сертификацию HTB Certified Penetration Testing Specialist (CPTS) и перед этим прошёл связанный с сертификацией курс Penetration Tester на платформе Hack The Box Academy. Хочу поделиться своими впечатлениями о курсе и экзамене, дать несколько советов, связанных с подготовкой к экзамену, и немного (совсем немного) рассказать о своём опыте становления пентестером.

🔗 Ссылка на статью

LH | News | OSINT | AI

Gocheck

DefenderCheck

#evasion #av #RedTeam #payload #malware

Альтернатива DefenderCheck, которая тоже позволяет узнать, какие именно сигнатуры в вашей нагрузке не нравятся антивирусу.

👩‍💻 Ссылка на инструмент

LH | News | OSINT | AI

Один выгоревший сеньор или два джуна с горящими глазами?

#статья #полезное

Резюме статьи:
• Ошибки в бекенде дороже, чем во фронтенде или мобильной разработке.
• Джуниоры создают шум и хаос: ошибки в коде, утечки памяти, race condition и data race, несоблюдение конвенций, стиля, push force в мастер, нарушение правил безопасности, плохие абстракции, много вопросов и т.п.
• Инструменты и процесс помогут решить часть из вышеперечисленного, но не всё и не всегда.
• В случае с джуном нужно решать гору проблем, с выгоревшим сеньором — одну: потерю мотивации.

🔗 Ссылка на статью

LH | News | OSINT | AI

Kraken

#bruteforce #pentest

Инструмент, предназначенный для централизации и оптимизации различных задач по перебору учетных данных. Способен работать с большим количеством протоколов и сервисов.

1. Сетевые инструменты:
- FTP Brute Force
- Kubernetes Brute Force
- LDAP Brute Force
- VOIP Brute Force
- SSH Brute Force
- Telnet Brute Force
- WiFi Brute Force
- WPA3 Brute Force

2. Инструменты веб-приложений:
- CPanel Brute Force
- Drupal Brute Force
- Joomla Brute Force
- Magento Brute Force
- Office365 Brute Force
- Prestashop Brute Force
- OpenCart Brute Force
- WooCommerce Brute Force
- WordPress Brute Force

👩‍💻 Ссылка на Github

LH | News | OSINT | AI

Поиск доступных конфиденциальных API ключей в JS-файлах

#перевод #web #bugbounty #статья

Сегодня мы узнаем, как найти открытые API токены в JS файлах. Они представляют риск, поскольку могут предоставить возможность несанкционированного доступа к базе данных компании или платным услугам. Это также распространенная уязвимость в системе безопасности, возникающая из-за неопытности и невнимательности команды разработчиков.

🔗 Ссылка на статью

LH | News | OSINT | AI

Gaze-LLE

#llm #полезное

Модель позволяющая определить, куда направлен взгляд человека на видео. Метод поддерживает многопользовательскую инференцию, обрабатывая пакеты изображений с указанием ограничивающих рамок на головы людей.

👩‍💻 Ссылка на GitHub

LH | News | OSINT | AI

Как мы взломали цепочку поставок и получили 50 тысяч долларов

#статья #bugbounty #web #docker #npm

Статья про то, как мы при помощи атаки на цепочку поставок, позволявшей обеспечить RCE у разработчиков в конвейерах и на продакшен-серверах, заработали 50500 долларов. С большой долей вероятности никакой внутренний логгинг или мониторинг не отследит проникновения на уровне npm, потому что он происходит вне инфраструктуры цели, именно это и стало ключевым моментом в оценке уязвимости. Давайте разберемся более подробно.

🔗 Ссылка на статью

LH | News | OSINT | AI

GoSearch

#OSINT

Простой и эффективный способ проверки присутствия человека в интернете, выявления его цифрового следа и, в некоторых случаях, даже получения информации о скомпрометированных данных, связанных с его профилем.

👩‍💻 Ссылка на Github

LH | News | OSINT | AI

От iDRAC, до администратора домена

#AD #pentest #статья #перевод

На днях я участвовал в интересном тестировании на проникновение и реализовал интересный способ повышения привилегий до администратора домена. Поэтому я решил повторить сценарий на своем собственном стенде, чтобы поделиться этим интересным способом с коллегами-пентестерами, которые смогут повторить этот путь.

🔗 Ссылка на статью

LH | News | OSINT | AI

NAMINT

#OSINT

Инструмент, который с помощью ФИО или никнейма находит фотографии, статьи, публикации, PDF, DOC, XLSX файлы, e-mail, социальные сети, даже места на картах Google. Инструмент формирует наиболее вероятные комбинации ФИО, возможные варианты никнеймов и электронных адресов на основе введенных данных.

👩‍💻 Ссылка на инструмент

LH | News | OSINT | AI

Мошенники любят QR-коды: разбираем кейсы, изучаем устройство подделок и делаем выводы

#phishing #qr #статья #pentest

К 2025 году мошенники превратили QR-коды в инструмент массового обмана. Один неверный клик — и ваши деньги исчезают со счета, смартфон заражается вредоносным ПО, а персональные данные оказываются в руках злоумышленников. Давайте разберемся, как QR-коды из удобного инструмента превратились в актуальную угрозу, как устроено такое мошенничество с технической точки зрения и что говорит статистика. А в конце немного потренируемся отличать поддельные коды от оригинальных.

🔗 Ссылка на статью

LH | News | OSINT | AI