16.01.2023 @ 18:55 Немезида ВАФ: итоги 2022 API Firewall, ddos, Nemesida WAF, Pentestit, WAF, Немезида ВАФ «Год был непростым» (c). Эта мысль наверняка первая, которая приходит в голову, проводя Time Recap уходящего года. Еще «вчера» зарубежные вендоры охотно предоставляли свои услуги, в том числе в области информационной безопасности, а сейчас приходится в спешке импортозамещать, выбирая из тех, кто остался. Читать далее Немезида ВАФ: итоги 2022 → Hekpo 8838 Web security Читать дальше >>
27.05.2022 @ 17:05 Атаки на Active Directory: часть 7 active directory, mimikatz, MSSQL, penetration testing, RDP, rpc, smb, SSH Заключительная седьмая часть перевода статьи zer1t0, посвященная аутентификации, групповым политикам и протоколам связи в Active Directory. Читать далее Атаки на Active Directory: часть 7 → Hekpo 14398 Penetration testing Читать дальше >>
05.05.2022 @ 10:52 Атаки на Active Directory: часть 6 active directory, kerberos, ldapsearch, S4U2proxy, Корпоративные лаборатории Pentestit Шестая часть перевода статьи zer1t0, посвященная атакам на сервисы S4U2proxy и S4U2self. Читать далее Атаки на Active Directory: часть 6 → Hekpo 8744 Penetration testing Читать дальше >>
21.03.2022 @ 11:31 Атаки на Active Directory: часть 5 active directory, kerberos, pentest, TGT, Корпоративные лаборатории Pentestit Пятая часть перевода статьи zer1t0, посвященная атакам на протокол аутентификации Kerberos. Читать далее Атаки на Active Directory: часть 5 → Hekpo 20160 Penetration testing Читать дальше >>
26.02.2022 @ 23:48 Атаки на Active Directory: часть 4 active directory, dns, dnscat, dnschef, ldapsearch, netbios, ntlm, penetration testing, responder, Корпоративные лаборатории Pentestit Четвертая часть перевода статьи zer1t0, посвященная атакам на DNS, NetBIOS и протоколам аутентификации. Читать далее Атаки на Active Directory: часть 4 → Hekpo 13541 Penetration testing Читать дальше >>
20.02.2022 @ 17:29 Атаки на Active Directory: часть 3 active directory, dhcp, kerberos, ldapsearch, netlogon, penetration testing, powershell, zerologon, Корпоративные лаборатории Pentestit Третья часть перевода статьи zer1t0, посвященная атакам на сервисы и базы данных Active Directory. Читать далее Атаки на Active Directory: часть 3 → Hekpo 10159 Penetration testing Читать дальше >>
09.02.2022 @ 18:44 Атаки на Active Directory: часть 2 active directory, kerberos, ldapsearch, mimikatz, penetration testing, powershell, Корпоративные лаборатории Pentestit Это перевод статьи zer1t0, посвященный атакам на Active Directory. Цель статьи — рассмотреть Active Directory с точки зрения злоумышленника. Чтобы понять, как атаковать Active Directory (и любую другую технологию), я думаю, важно знать не только инструменты, но и то, как они работают, какие протоколы/механизмы они используют и почему эти механизмы/протоколы существуют. Читать далее Атаки на Active Directory: часть 2 → Hekpo 18284 Penetration testing Читать дальше >>
08.02.2022 @ 17:34 Атаки на Active Directory: часть 1 active directory, kerberos, ldapsearch, penetration testing, powershell, Корпоративные лаборатории Pentestit Это перевод статьи zer1t0, посвященный атакам на Active Directory. Цель статьи — рассмотреть Active Directory с точки зрения злоумышленника. Чтобы понять, как атаковать Active Directory (и любую другую технологию), я думаю, важно знать не только инструменты, но и то, как они работают, какие протоколы/механизмы они используют и почему эти механизмы/протоколы существуют. На протяжении всей статьи будет использоваться Powershell, чтобы показать, как получить информацию из Active Directory. Для этого будет использоваться модуль ActiveDirectory Powershell, но вместо него можно использовать другие инструменты, такие как Powerview или ldapsearch. Читать далее Атаки на Active Directory: часть 1 → Hekpo 40649 Penetration testing Читать дальше >>
18.01.2021 @ 15:53 Хранимые, отображаемые и DOM-based XSS Nemesida WAF, Pentestit, web security, XSS, XXSer, XXStrike XSS (Cross Site Scripting) — один из самых популярных видов веб-уязвимостей, позволяющий производить внедрение вредоносного кода в отдаваемую веб-приложением страницу. Атаки с использованием XSS-вектора позволяют внедрять на страницу произвольное содержимое, перехватывать cookie и сессии других пользователей, получать доступ в закрытые разделы сайта и даже привилегии администратора веб-ресурса. Существует несколько видов XSS: Хранимые. Вредоносный код сохраняется на сервере и загружается с него каждый раз, когда пользователи запрашивают отображение той или иной страницы. Чаще всего проявляются там, где пользовательский ввод не проходит фильтрацию и сохраняется на сервере: форумы, блоги, чаты, журналы сервера и т.д. Например, скрипт <img src="http://exmple.com/">, оставленный на странице сайта с очень высокой посещаемостью, может спровоцировать DDoS-атаку на указанный веб-ресурс. Отображаемые. Вредоносная строка является частью запроса жертвы к веб-сайту. Сайт принимает и вставляет эту вредоносную строку в отправляемый ответ обратно пользователю. Например, при переходе пользователем по ссылке: http://example.com/q=<href='a' style='font-size:500px'> на странице отобразится гиперссылка, при наведении на которую выполнится скрипт alert(‘XSS’). Но для этого необходимо каким-то образом (например, с использованием социальной инженерии) заставить пользователя ввести эту ссылку в адресной строке. XSS в DOM-модели. Представляет собой вариант как хранимой, так и отображаемой XSS-атаки. В данном случае вредоносная строка не обрабатывается браузером жертвы, пока настоящий JavaScript веб-сайта не выполнится. Читать далее Хранимые, отображаемые и DOM-based XSS → Hekpo 7707 Web security Читать дальше >>
28.10.2020 @ 10:13 Не теребите мой API: обзор OWASP API Security Top 10 API, Nemesida WAF, OWASP API Security Top 10, Pentestit API — это набор способов и правил, по которым различные программы общаются между собой и обмениваются данными. Технически API означает программный интерфейс приложения. Интерфейс — это граница между двумя функциональными системами, на которой происходит их взаимодействие и обмен информацией. Но при этом процессы внутри каждой из систем скрыты друг от друга. API даёт доступ к готовым инструментам, например, к функциям библиотеки для машинного обучения. API позволяет вынести в отдельное приложение функционал, который должен быть защищен. Снижается вероятность некорректного использования этих функций другими программами. С помощью API можно связывать разные системы, например, подключить к сайту платёжную систему или аутентификацию через социальные сети. OWASP API Security Top 10 API используется повсеместно, а вместе с этим растет количество инцидентов, связанных с атаками на его функционал. Авторитетный проект OWASP, сосредоточенный на безопасности веб-приложений, выпустил OWASP API Security Top 10 2019 (PDF-версия) — перечень наиболее опасных и распространенных ошибок при разработке и использовании API: API1:2019 — Недостатки контроля доступа к объектам; API2:2019 — Недостатки аутентификации; API3:2019 — Разглашение конфиденциальных данных; API4:2019 — Отсутствие ограничений на ресурсы и запросы; API5:2019 — Недостатки контроля доступа на функциональном уровне; API6:2019 — Переназначение параметров; API7:2019 — Ошибки настроек безопасности; API8:2019 — Инъекции; API9:2019 — Некорректное управление ресурсами; API10:2019 — Недостаточное журналирование и мониторинг. Читать далее Не теребите мой API: обзор OWASP API Security Top 10 → Hekpo 9300 Web security Читать дальше >>