-
Обратная связь. Вопросы, предложения, пожелания, жалобы - @Social_Engineering_bot
📚 Social Engineering.
• Дата выхода: 2022 год.
• Рейтинг: ⭐⭐⭐⭐ (4 out of 5)
• VT.• The authors show how specific manipulative communication practices are a mixture of information gathering, deception, and truth-indifferent statements, all with the instrumental goal of getting people to take actions the social engineer wants them to. Yet the term “fake news,” they claim, reduces everything to a true/false binary that fails to encompass the complexity of manipulative communication or to map onto many of its practices. They pay special attention to concepts and terms used by hacker social engineers, including the hacker concept of “bullshitting,” which the authors describe as a truth-indifferent mix of deception, accuracy, and sociability. They conclude with recommendations for how society can undermine masspersonal social engineering and move toward healthier democratic deliberation.
🧩 Софт для чтения.
#SE #Eng
📚 Advanced Security Testing with Kali Linux.
• Дата выхода: 2022 год.
• Рейтинг: ⭐⭐⭐⭐⭐ (5 out of 5)
• VT.
• Advanced Security Testing with Kali Linux - the last book in my offensive security with Kali training books. This book picks up where my previous ones left off and dives deeper into more advanced security topics. You will learn about AV bypass, Command & Control (C2) frameworks, Web App pentesting, "Living off the Land" and using IoT devices in Security.
🧩 Софт для чтения.
#Kali #Linux #Security #Eng
🗺 Карта социальных сетей.
• В настоящее время, львиную долю грязной работы за хакера выполняют социальные сети. Просто зайди в instagram и узнаешь многое о компании и ее сотрудниках: откуда они пришли, где учились, как долго и кем работают. ВК или FaceBook расскажет всё про их интересы и поможет определить членов семьи, знакомых, друзей, коллег по работе или учебе. Twitter — о привычках и распорядке. Instagram даже предоставит геолокацию и завершит образ потенциальной жертвы. Основная часть «кражи личности» происходит еще до начала атаки.
• По ссылке ниже, ты можешь найти список всех социальных сетей: 25 различных категорий, 660 актуальный ссылок, удобный формат и полезные инструменты. Весьма полезный список для выполнения определенных задач:
• https://www.ovrdrv.com/Social-Media-Map.pdf
#OSINT
📚 Kiss Linux Commands.
• Дата выхода: 2022 год.
• Рейтинг: ⭐⭐⭐⭐⭐ (5 out of 5)
• VT.• History of the Linux commands;• Linux distributions;• Working of terminal, shell and Linux kernel;• Basic commands;• Help commands;• System commands;• Hardware commands;• File commands;• Network commands;• Process commands.
🔐nOAUTH | Захват аккаунта через Microsoft OAuth
На сайтах, где идентификация идет по Email и есть возможность войти через Microsoft OAuth есть риск захвата аккаунта.
Дело в том, что Azure не проверяет установленную в аккаунте почту, что позволяет вам указать почту жертвы и войти на уязвимый сайт через OAUTH от ее имени.
- Жертва регается на сайте через свою почту.
- Заходим в Azure AD и меняем свою почту на почту жертвы.
- Заходим на сайт через Microsoft OAuth и получаем доступ к аккаунту жертвы.
Видео PoC
#web #ato #oauth
Хостинг Aeza VPS/VDS, рад сообщить, что тариф SWE-PROMO с 1CPU оправдал свои ожидания, понравился всем клиентам, которые успели приобрести первую партию 😎
А это значит, что мы включаем его на постоянной основе.
Тариф SWE-PROMO уже доступен к покупке прямо сейчас!
Наш новостной канал
Поторопитесь: пока этого не сделал кто-то другой (кликайте на последнюю строку)
Black Hat Rust.
https://github.com/skerkour/black-hat-rust
#Eng #Book #Rust
📚 Penetration Testing Azure for Ethical Hackers.
• Дата выхода: 2021 год.
• Рейтинг: ⭐⭐⭐⭐⭐ (5 out of 5)
• VT.• Identify how administrators misconfigure Azure services, leaving them open to exploitation.• Understand how to detect cloud infrastructure, service, and application misconfigurations.• Explore processes and techniques for exploiting common #Azure security issues.• Use on-premises networks to pivot and escalate access within Azure.• Diagnose gaps and weaknesses in Azure security implementations.• Understand how attackers can escalate privileges in Azure #AD.
🧩 Софт для чтения.
#AD #Azure #Eng
Телеграм-канал, куда стоит заглянуть: Security Vision — каждый день публикует интересные советы и новости из мира информационной безопасности.
Подписывайтесь и будьте в курсе ИБ вместе с @svplatform
👩💻 SSH Penetration Testing (Port 22).
Introduction to SSH;
SSH Installation;
SSH Port Scanning;
Methods to Connect SSH;• Terminal Command (Linux);• Putty (Windows);
Port Redirection;
Establish SSH connection using RSA key;
Exploit SSH with Metasploit;• SSH Key Persistence- Post Exploitation;• Stealing the SSH key;• SSH login using pubkey;
SSH Password cracking.
📎 https://www.hackingarticles.in/ssh-penetration-testing-port-22/
#ssh #пентест
📚 Mastering Windows Security and Hardening.
• Дата выхода: 2022 год.
• Рейтинг: ⭐⭐⭐⭐⭐ (5 out of 5)
• VT.
What you will learn:• Build a multi-layered security approach using zero-trust concepts;• Explore best practices to implement security baselines successfully;• Get to grips with virtualization and networking to harden your devices;• Discover the importance of identity and access management;• Explore Windows device administration and remote management;• Become an expert in hardening your Windows infrastructure;• Audit, assess, and test to ensure controls are successfully applied and enforced;• Monitor and report activities to stay on top of vulnerabilities.
🧩 Софт для чтения.
#Eng #Security #Windows #Hardening
📚 Криминалистический профайлинг: понятие и история становления.
• Дата выхода: 2022 год.
• Рейтинг: ⭐⭐⭐⭐⭐ (5 out of 5)
• VT.
• Отличная книга для социальных инженеров и профайлеров. Можно получить хороший опыт, который будет полезен в межличностной коммуникации.• В монографии дана характеристика современного метода расследования преступлений – криминалистического профайлинга. Описана захватывающая история его развития в различных странах, представлены уникальные материалы о деятельности легендарных профайлеров.
🧩 Софт для чтения.
#RU #Профайлинг
📚 Социальная инженерия и этичный хакинг на практике.
• Дата выхода: 2022 год.
• Рейтинг: ⭐⭐⭐⭐⭐ (5 out of 5)
• VT.• Даже самые продвинутые службы безопасности мало что могут сделать для защиты от вреда, причиняемого простым сотрудником, который перешел по вредоносной ссылке, открыл вложение электронной почты или раскрыл конфиденциальную информацию во время телефонного звонка. Эта книга поможет вам лучше понять методы, лежащие в основе атак социальной инженерии, и узнать, как помешать киберпреступникам и злоумышленникам, которые используют человеческие слабости в своих целях.
🧩 Софт для чтения.
#RU #СИ
В ответ на задержание одного из своих операторов LockBit опубликовали клип группы Лесоповал с песней «Был пацан и нет пацана».
Читать полностью…
Описание работы двух зиродеев от китайцев, позволяющих брутить и митмить отпечатки пальцев на смартфонах.
Читать полностью…
https://www.bugbountyhunting.com/
Поисковик по Bug Bounty райтапам. На сайте собрано почти 2.5к ссылок на отчеты.
⚡️ Тест на знание ИБ ⚡️
— Ответьте на 22 вопроса и проверьте, на сколько хорошо вы знаете информационную безопасность, а так же готовы к углубленному изучению ИБ и DevSecOps на онлайн-курсе «Внедрение и работа в DevSecOps» со скидкой в OTUS!
👉🏻 ПРОЙТИ ТЕСТ: https://otus.pw/Ykzf/
🎁 Пройдете успешно тест, бонусом получите подборку открытых видео уроков "Роль уязвимостей" курса «Внедрение и работа в DevSecOps».
Нативная интеграция. Информация о продукте www.otus.ru
📚 Безопасность сетей.
• Дата выхода: 2021 год.
• Рейтинг: ⭐⭐⭐⭐⭐ (5 out of 5)
• VT.• В учебном пособии содержатся пошаговые инструкции по установке и использованию межсетевых экранов, сведения о безопасности беспроводных соединений и настольных компьютеров, о биометрических методах аутентификации и других современных способах защиты. В издании рассказывается о видах компьютерных атак и о том, как они воздействуют на организацию; приводятся сведения о базовых службах безопасности, используемых для защиты информации и систем, а также о том, как разработать полноценную программу политики безопасности, о современном состоянии законодательных норм в области информационной безопасности, об управлении рисками и системой безопасности.
🧩 Софт для чтения.
#RU #Сети #ИБ
📚 Волоконно-оптические сети и системы связи.
• Дата выхода: 2016 год.
• Рейтинг: ⭐⭐⭐⭐⭐ (5 out of 5)
• VT.
• Книга содержит материал по основным протоколам, используемым в оптических сетях, по вопросам тестирования систем, по методам передачи информационных потоков. Большое внимание уделено аппаратуре цифровой иерархии, вопросам уплотнения, оптическим сетям доступа. Особый интерес представляют главы, посвященные новым пассивным и активным элементам сетей, новым отечественным и зарубежным кабелям.
🧩 Софт для чтения.
#RU #Сети
📚 Удаленный сервер своими руками. От азов создания до практической работы.
• Дата выхода: 2021 год.
• Рейтинг: ⭐⭐⭐⭐⭐ (5 out of 5)
• VT.
• Эта книга поможет вам самостоятельно освоить полный цикл создания своего собственного выделенного сервера: от установки операционной системы (для удобства это будет Linux) на сервер до настройки и администрирования. Будет подробно рассказано: как выполнить первоначальную настройку сервера; как использовать командную строку; вы узнаете как настраивать сетевые интерфейсы сервера; поговорим о маршрутизации и настройке брандмауэра; как пользоваться удаленным входом в систему по ssh; как настаивать файловый сервер FTP; что такое DHCP-сервер и как подключаться к Windows-инфраструктуре; как повысить производительность сервера и многое другое.
🧩 Софт для чтения.
#RU #Linux
Cypher: Введение
На данный момент у меня закончились идеи с постами по тестированию инфраструктуры на базе Active Directory. Поэтому решил переключиться на BloodHound и Cypher.
Инструмент BloodHound состоит из трех частей:
• Sharphound – сборщик данных;
• BloodHound – веб приложение для работы и визуализации данных;
• Neo4j – база данных для хранения информации.
Обычно результаты запросов представляются в виде графов, что удобно для обнаружения связей между объектами. В BloodHound объекты домена являются вершинами графа, а ребра – отношениями между этими объектами. Так же в Neo4j вершины графа маркируются (label) по общему принципу это позволяет делать выборку только из необходимой группы объектов. Связи определяются по типу (type).
Для запросов информации из базы данных используется язык Cypher. Ниже представлен список некоторых операторов:
• CREATE и MERGE – создание нового элемента;
• MATCH - выполнение выборки;
• SET и REMOVE – добавление или удаление свойств;
• WHERE – условие;
• RETURN – возврат результата;
• DELETE – удаление элементов;
Принцип запросов выборки будет следующим:
MATCH (var1)-[:Тип связи]->(var2) WHERE … RETURN var1, var2
MATCH (u:User)-[r:CanRDP]->(c:Computer) RETURN u,r,c
u,r,c будут передаваться результаты выборки, это необязательно если не нужно выделять какие-то особые условия, но для возврата данных нужно все равно определить переменную:MATCH p=(:User)-[CanRDP]->(:Computer) RETURN p
label будет влиять на скорость выполнения запроса, но и результат может быть другим. Например, в запросе выше упускается тот факт, что группы тоже могут иметь связь CanRDP. Таким образом в запросе можно опустить указание User, и он будет выглядеть следующим образом:MATCH p=(u)-[r:CanRDP]->(c:Computer) RETURN p
ShortestPath и AllShortestPaths как можно догадаться разница между ними в том, что первый находит один короткий путь, а второй все (при наличии такой возможности). Формирование коротких путей будет занимать большое количество времени поэтому нужно добавлять условия для снижения нагрузки на базу данных. Пример запроса всех путей от пользователей до группы доменных администраторов будет выглядеть следующим образом:MATCH p=allshortestpaths((u:User)-[*1..]->(g:Group)) where g.name = "DOMAIN ADMINS@DOMAIN.LOCAL" RETURN p
— CloudFoxable
— FLAWS
— FLAWS2
— AWS Well Architected Security Labs
— CloudGoat
— OWASP ServerlessGoat
— OWASP WrongSecrets
— AWS S3 CTF Challenges
— CTF 101 worklab
— Breaking and Pwning Apps and Servers on AWS and Azure
— Thunder CTF
— Sadcloud
— Damn Vulnerable Cloud Application
— AWS Detonation Lab
— Cfngoat - Vulnerable Cloudformation Template
— CdkGoat - Vulnerable AWS CDK Infrastructure
— IAM Vulnerable
— PenTesting.Cloud
— AWSGoat - A Damn Vulnerable AWS Infrastructure
— AzureGoat - A Damn Vulnerable Azure Infrastructure
— caponeme
— TerraGoat - Vulnerable Terraform Infrastructure
— The Big IAM Challenge by Wiz
— CONVEX
— GCP Goat
— Lambhack
Уязвимые лаборатории, на которых можно поучиться находить уязвимости в облачных приложениях, развернутых в средах AWS, Azure или Google Cloud.
Иногда нужно найти сайты/просканировать поддомены для определенного домена. Очень сильно помогает puredns.
1. Cначала запускаем dnsvalidator. Он соберёт список отвечающих NS серверов (остановить минут через 5 работы, 3-4к серверов хватит).
dnsvalidator -tL https://public-dns.info/nameservers.txt -threads 100 -o resolvers.txt2. Затем запускаем puredns. Указываем словарь с поддоменами, домен для сканирования и файл, полученный на предыдущем шаге.
puredns bruteforce dns.lst domain.com -r resolvers.txtНа сканирование словарика 9.5 млн записей уйдет примерно 4 минуты))
🗂 FTP Penetration Testing on Ubuntu (Port 21).
Introduction to FTP• Uses of FTP;• Working of FTP;
Penetration Testing on FTP• Installation of FTP;• Anonymous Login;• Disable FTP_banner;• Switch Port for FTP Service;• Sniffing FTP Login credential;• Use SSL Certificate against Sniffing;• Stop FTP Brute_Force Attack with Fail2ban;• Restrict IP to Connect FTP.
📎 https://www.hackingarticles.in/ftp-penetration-testing-on-ubuntu-port-21/
#ftp #пентест
• DFIR Artifact Museum.
• The DFIR Artifact Museum is a community-driven archive of DFIR-related artifacts. It was created to provide a centralized location for examples of artifacts from various operating systems.
• https://github.com/AndrewRathbun/DFIRArtifactMuseum
#DFIR
⚡️Пройдите тест на знание K8s⚡️
Ответите успешно на 15 вопросов и сможете поступить на онлайн-курс — «Инфраструктурная платформа на основе Kubernetes» от Отус. Курс можно приобрести в рассрочку!
👉 ПРОЙТИ ТЕСТ - https://otus.pw/YuaC/
❗️На курсе вы пройдете весь путь разработки инфраструктурной платформы на основе Kubernetes и получите все необходимые навыки, которые позволят вам вырасти до платформенного инженера.
🎁 Бонусом за успешное прохождение теста - получите доступ к 2 открытым урокам курса + записи прошедших открытых уроков!
Нативная интеграция. Информация о продукте www.otus.ru
📚 The Nmap cookbook: Beat the Beast.
• Дата выхода: 2021 год.
• Рейтинг: ⭐⭐⭐⭐⭐ (5 out of 5)
• VT.• This book is based on real experiences using Nmap in network security tests on a huge variety of networks. In the end, you will have the information you need to safely and effectively scan networks for vulnerabilities, services, and hosts. You will start out at the very basics and work your way up to writing your own basic Nmap Scripting Engine (NSE) scripts, and you will become an expert to using the most powerful and flexible network scanner available.
🧩 Софт для чтения.
#Nmap #Eng
Бесплатный курс: старт в кибербезопасности
В прошлом году число кибератак в России взлетело на 80%. Поэтому информационная безопасность становится ключевым приоритетом для многих компаний — спрос на специалистов по кибербезопасности резко вырос.
На бесплатном курсе вы попробуете себя в качестве такого специалиста и решите его настоящие задачи — найдёте уязвимости в веб-сервисах и настроите компоненты операционной системы для обеспечения безопасности.
Узнайте, с чего начать карьеру в перспективном направлении: https://netolo.gy/bKN7
Реклама. ООО «Нетология» LatgBg1D9
🧠 Социальная инженерия: тенденции red team, технические аспекты kill chain и проектный опыт.
• https://youtu.be/P-_1cdJewAw
#СИ #Видео