22.04.2020 @ 16:16 Магия Unicode или как взломать пользователя Pentestit, social engineering, Unicode Unicode — стандарт кодирования символов, включающий знаки почти всех письменных языков мира. Его использование началось после того, как стало понятно, что для разных языков нужны различные кодировки и поэтому их необходимо собрать воедино. Кодировкой называют представление цифр, букв и всех остальных символов в памяти компьютера и на понятном ему языке. Кодировки бывают разные, такие как, например, cp1251 или ISO-8859-1, но с течением времени их использование стало неудобным т.к. во-первых, для корректного отображения символов разных языков необходимо использовать разные кодировки. А во-вторых, числовое представление того или иного символа может быть одинаковым для разных букв в разных языках. Например, двоичное представление 0b11011111 в кодировке cp1251 — это буква «Я», но в то же время в кодировке ISO-8859-1 это немецкая Eszett. С появлением Unicode ситуация улучшилась и теперь все буквы и символы всех языков мира находятся в одной огромной таблице. Unicode — это стандарт, по которому символы связаны с некоторым числовым значением, а уже для представления этих чисел разработанны Unicode-кодировки, самыми распространенными из которых стали UTF-8 и UTF-16. Читать далее Магия Unicode или как взломать пользователя → Hekpo 6125 Social engineering Читать дальше >>
15.04.2020 @ 8:38 Сайт взломают, а вы и ухом не моргнете Nemesida WAF Free, Nginx WAF, web application security Весна этого года стала тяжелым испытанием для бизнеса. Привычный многим оффлайн формат практически полностью был приостановлен, а высвобожденная нагрузка переместилась на онлайн-площадки (интернет-магазины, обучающие центры, интернет-сервисы и т.д.), добавив работы техническим специалистам, и так перегруженным решением проблем экстренного перевода сотрудников на удаленный режим работы. В такое время вопросы защищенности сетевого периметра и веб-ресурсов переходят на второй план, чем активно пользуются злоумышленники. Постоянный рост хакерской активности и отсутствие контроля за безопасностью веб-приложений сопровождается массовой компрометацией ресурсов. Как злоумышленник может атаковать сайт на примере интернет-магазина, к каким последствиям это приводит и как противодействовать таким атакам, особенно в период повышенной нагрузки, мы поделимся в этой статье. Читать далее Сайт взломают, а вы и ухом не моргнете → Romanov Roman 4559 Web security Читать дальше >>
07.04.2020 @ 12:20 ModSecurity vs Nemesida WAF Free ModSecurity, nginx, Nginx Free WAF, Pentestit, WAF, WAF Signature Analysis В предыдущем обзоре бесплатных WAF для Nginx мы сравнивали NAXSI и Nemesida WAF Free. Теперь настал черед провести еще один, с использованием наиболее популярного решения в своем сегменте — ModSecurity, или Modsec. В обзоре будут учитываться простота установки, качество предустановленных сигнатур (False Positive, False Negative), удобство использования и прочие критерии. Читать далее ModSecurity vs Nemesida WAF Free → Hekpo 8383 Web security Читать дальше >>
31.03.2020 @ 11:53 Корпоративные лаборатории: я твой web SHAтал Pentestit, Корпоративные лаборатории Pentestit Корпоративные лаборатории Pentestit — программа подготовки в области информационной безопасности для ИБ-специалистов, пентестеров, системных администраторов и разработчиков, желающих получить качественную практическую подготовку в области ИБ или подтянуть уже имеющиеся навыки за короткое время. Программа подготовки построена по принципу: 20% теоретическая подготовка, а остальные 80% — практическая подготовка в специализированных лабораториях, в которых присутствует десятки разнообразных уязвимых веб-приложений, сетевых сервисов и ошибок конфигураций. В конце обучения предусмотрена экзаменационная работа в виде тестирования на проникновение по принципу «Black Box». Начиная с середины 2019 года мы выдаем сертификат только при выполнении 70% практический заданий в лаборатории. Читать далее Корпоративные лаборатории: я твой web SHAтал → Hekpo 4142 Новости Читать дальше >>
27.02.2020 @ 22:39 Не PCI мой DSS: насколько страшны требования регуляторов GDPR, PCI DSS, Pentestit, Законодательство РФ Вопросы безопасности и защищенности персональных данных сегодня наиболее обострены. И далеко не последнюю роль в этом сыграли такие документы, как GDPR, PCI DSS, Федеральный закон № 152-ФЗ «О персональных данных». Рассмотрим более подробно каждый из перечисленных документов, выделим круг субъектов, попадающих под их действие, а также общие требования к защите данных. Читать далее Не PCI мой DSS: насколько страшны требования регуляторов → pentestit-team 5361 Законодательство Читать дальше >>
14.02.2020 @ 16:23 Пентест веб-приложения с использованием Kali Linux: разведка и сбор информации OSINT, penetration testing, Pentestit, reconnaissance Любой поиск уязвимостей начинается с разведки и сбора информации. Разведка может быть активной: перебор файлов и директорий сайта, использование сканеров уязвимостей, ручной анализ приложения; или пассивной: с использованием различных поисковых систем и интернет-сервисов. В этой статье мы рассмотрим инструменты Kali Linux, а также онлайн-ресурсы, которые можно использовать для анализа защищенности веб-приложений. Читать далее Пентест веб-приложения с использованием Kali Linux: разведка и сбор информации → pentestit-team 20032 Penetration testing Читать дальше >>
09.01.2020 @ 22:16 История о том, как сисадмин пентестера похекал Pentestit, Корпоративные лаборатории Pentestit Эта история — художественный вымысел. Все совпадения с реальностью случайны. Не нарушайте законодательство. Процветает в городе Н-ске одна компания, которая занимается аудитом в финансовой сфере и попутно оказывает юридические услуги. Работает в этой компании сисадмин Василий, большую часть времени проводя в своём маленьком подвальчике с почётным названием «Серверная». Это и вправду был подвал, или, как модно говорить, цокольный этаж, но помимо двенадцати серверов там ещё располагались стеллажи с архивными документами и всяким хламом вроде новогодних украшений, одноразовой посуды, старых офисных принадлежностей и неработающей техники. Читать далее История о том, как сисадмин пентестера похекал → pentestit-team 6280 Истории Читать дальше >>
20.12.2019 @ 23:01 How to c[RU].sh или как была взломана Test lab 14 Pentestit, Test lab 14, Write-up 10-го декабря 2019 г. мы запустили четырнадцатую по счёту лабораторию. На девятый день в режиме нон-строп трем участникам удалось скомпрометировать узлы лаборатории, определив победителей этого сезона. Для всех остальных, кто пытался, пытается и будет пытаться пропентестить Test lab 14 мы решили опубликовать ее прохождение. Лаборатория Test lab — бесплатная площадка для проверки и закрепления навыков тестирования на проникновение, представляющая собой корпоративную сеть виртуальной компании из уязвимых и неуязвимых компонентов (серверов, сетевого оборудования и рабочих станций). Итак, пришло время разобрать все задания Test lab 14, чтобы дать возможность тем, у кого не получается, глубже погрузиться в мир информационной безопасности и узнать для себя что-то новое. Содержание получилось довольно объёмным, описание — лаконичным, но, надеемся, что интересным. Читать далее How to c[RU].sh или как была взломана Test lab 14 → pentestit-team 12776 Новости Читать дальше >>
05.12.2019 @ 18:16 Just crush it: лаборатория тестирования на проникновение Test lab 14 Pentestit, Test lab 14 Запуск 14-й лаборатории состоится 10 декабря 2019 года. Специалисты в области ИБ смогут легально оценить силы в поиске и эксплуатации уязвимостей, закрепить навыки и определить лидеров этого сезона. Читать далее Just crush it: лаборатория тестирования на проникновение Test lab 14 → pentestit-team 5645 Новости Читать дальше >>
30.10.2019 @ 22:01 История о том, как гуманитарий «Zero Security: A» проходил Pentestit, Zero Security: A Скриншот вебинар-площадки Работая в Pentestit и не являясь при этом техническим специалистом, я часто сталкиваюсь с «пограничными» ситуациями, когда необходимо разбираться в тонкостях информационной безопасности. Например, чтобы раскрыть с юридической точки зрения вопросы проведения пентеста или использования специализированных инструментов. Нужно было наложить стройные юридические формулировки на неоднозначную реальность. Сложности возникали порой даже с простыми понятиями и терминами. Чтобы восполнить эти пробелы, я решила пройти курс «Zero Security: A», так как он разработан специально для начинающих и включает в себя базовую подготовку. Читать далее История о том, как гуманитарий «Zero Security: A» проходил → pentestit-team 6511 Истории Читать дальше >>