-
Главный архив с лучшими материалами со всего интернета по ИБ и этичному хакингу. Реклама/сотрудничество: @One_Daniil Владелец: @awenft Мы на бирже: https://telega.in/c/searchack
Как обнаружить SQL-уязвимость?
Освойте методы атаки и защиты на курсе SQL Injection Master! Аналогов по объему практики в СНГ и EN-cегменте нет.
На курсе подробно разберём эксплуатацию SQL-инъекций, одну из наиболее опасных и эксплуатируемых видов атак на веб-приложения. Вы освоите базовый синтаксис языка запросов SQL, внедрение SQL-кода в уязвимые приложения, раскрутку SQL-инъекций вручную и софтом, а также способы защиты своих веб-приложений.
Cтарт: 15 апреля
Продолжительность: 3 месяца
🏆 Выдаём УПК/сертификат
Получите промодоступ к обучению - 7 дней бесплатно!
@Codeby_Academy
84994441750
Бесплатный курс: старт в кибербезопасности
В прошлом году число кибератак в России взлетело на 80%. Поэтому информационная безопасность становится ключевым приоритетом для многих компаний — спрос на специалистов по кибербезопасности резко вырос.
На бесплатном курсе вы попробуете себя в качестве такого специалиста и решите его настоящие задачи — найдёте уязвимости в веб-сервисах и настроите компоненты операционной системы для обеспечения безопасности.
Узнайте, с чего начать карьеру в перспективном направлении
Реклама. ООО "Нетология". Erid LatgBak9w
🔎 20+ хакерских операционных систем для атаки и защиты
В статье речь о различных десктопных Linux-дистрибутивах, но найдется место и Android, и даже Windows
В статье будут рассмотрены:
1. Parrot Security Edition
2. BlackArch
3. Pentoo
4. Fedora Security Lab
5. BackBox
6. SamuraiWTF
7. SIFT Workstation
8. REMnux
9. CommandoVM
…20.
А также будут рассмотрены операционные системы для личной кибербезопасности
🗄 Читать статью – линк.
// Не хакинг, а ИБ
📷 Защищаем облако | Инструменты для обеспечения безопасности в контейнерах
Сегодня в статье расскажем об открытых проектах для защиты cloud-инфраструктуры и приложений.
🛡 В сегодняшнем списке — инструменты для управления политиками доступа и сканеры уязвимостей, позволяющие проверить конфигурацию контейнеров на соответствие лучшим ИБ-практикам.
Рассматриваемые инструменты:
1. KubeArmor: Управление политиками безопасности
2. K8TLS: Сканирование беспроводных сетей
3. ThreatMapper: Визуализация угроз
4. Kubescape: Защита k8s на нескольких уровнях
🗄 Читать статью – линк.
// Не хакинг, а ИБ
💻 Анализ сетевых уязвимостей
«Курс разработан чтобы научить Вас основам анализа уязвимостей! Это крайне важно, так как угрозы кибербезопасности продолжают развиваться. Умение определять уязвимости и их риски – это значимый и ценный профессиональный навык!» - Kevin Cardwell
☁️ OSINT: Утилиты для поиска по электронной почте и логинам
1. Infoga – инструмент, для сбора информации об учетных записях по электронной почте из общедоступных источников (поисковые системы, серверы ключей PGP, Shodan) и проверяющий, не произошла ли утечка электронной почты, с помощью API haveibeenpwned.com.
2. Holehe OSINT – проверяет, привязана ли электронная почта к учетным записям на таких сайтах, как twitter, instagram, imgur. Поддерживает более 100 порталов. Использует функцию восстановления пароля.
3. Mailcat – ищет адреса электронной почты по нику у 22 почтовых провайдеров.
4. WhatBreach – инструмент OSINT, упрощающий задачу обнаружения утечек, в которых участвовал конкретный адрес электронной почты. Умеет загружать общедоступные базы данных.
5. h8mail и pwnedOrNot — инструменты для поиска паролей от скомпрометированных адресов электронной почты в общедоступных базах данных.
// Не хакинг, а ИБ
🔎 Поиск данных об уязвимостях и индикаторов компрометации
1. MITRE CVE – поисковик, база данных и общепринятый классификатор уязвимостей.
2. NIST NVD – поиск по официальной американской правительственной базе данных об уязвимостях.
3. GitHub Advisory Database – база данных уязвимостей, включающая CVE и рекомендации по безопасности.
4. CVEDetails, osv.dev, VulDB, maltiverse – еще ряд источников данных об уязвимостях и индикаторах компрометации.
5. opencve.io – поисковик CVE со встроенными оповещениями о новых угрозах.
// Не хакинг, а ИБ
IT-управленцы, не вздумайте начинать проекты, пока этого не узнаете!
Если хотите сохранить себе время и нервы, приходите на вебинар «Интеграции без пожаров. Искусство слабой связанности IT-контура».
Вы получите пошаговый план снижения связанности IT-контура, чтобы:
💻 Контролировать и управлять нагрузкой на IT-системы
💻 Легко менять/дорабатывать одни системы без доработки других
💻 Избавиться от единой точки отказа
💻 Внедрять изменения небольшими этапами, но с ощутимым результатом
Вебинар 4 апреля проведут наши друзья KT.Team.👇
Команда разрабатывает и интегрирует IT-решения для крупных клиентов уже 11 лет и входит в ТОП 100 IT-компаний России (по версии Tagline и RUWARD).
ЗАРЕГИСТРИРОВАТЬСЯ БЕСПЛАТНО
Академия CyberYozh откроет часть своих курсов бесплатно
В основном, это модули или части модулей их топовых продуктов. Материал стоящий, без воды. Вот, что точно стоит посмотреть 👀:
🙂 Hacker Point — самый масштабный практический курс в рунете, посвященный атаке на инфраструктуру компаний.
😎 Взлом антифрод систем — курс разоблачающий доходные схемы киберкриминала, различные методики обхода антифрод систем и как могут заработать честные пентестеры.
😂 Анонимность и безопасность 2.0 — чтобы вам не требовалось: пройти ли досмотр устройства на таможне (у жены), надежно защитить свои переписки, файлы или криптовалюту, проверить устройство на шпионаж — вам поможет этот курс.
🕘 Доступ обещают закрыть 14 апреля, так что торопитесь
🏴☠️ История 16-летнего подростка взломавшего ЦРУ
Подросток перехитривший правительство США. Эта история может показаться началом сюжета вымышленной истории о супергерое. Итак, как же у 16-летнего подростка получилось взломть ЦРУ.
🐎 DinodasRAT | Новый инструмент китайского шпионажа за правительствами
Специалисты Лаборатории Касперского обнаружили Linux-версию мультиплатформенного бэкдора DinodasRAT (XDealer), нацеленного на Китай, Тайвань, Турцию и Узбекистан.
Троян для удалённого доступа создан на языке C++ и способен извлекать широкий спектр конфиденциальных данных с заражённых систем.
После запуска вредонос устанавливает постоянное присутствие на хосте с использованием скриптов запуска SystemV или SystemD и периодически обращается к удалённому серверу через TCP или UDP для получения команд.
🗄 Источник – линк.
// Не хакинг, а ИБ
👺 OSINT: Подборка инструментов для браузерного расширения
1. Double Shot Search – расширение для Chrome, которое улучшает поиск в два раза. Поиск выполняется одновременно в двух поисковых системах — в Bing и Google.
2. Hunter.io – сервис, который найдёт адрес электронной почты, связанный с определённым доменом. Также с помощью инструмента можно найти электронный адрес по имени за пару секунд.
3. RevEye - расширение для Chrome с открытым исходным кодом, которое пробивает фотографию с помощью Google, Bing, Yandex и TinEye.
4. Namechk - сайт, который найдёт все аккаунты человека во всех соцсетях и мессенджерах. Достаточно ввести его ник в одной соцсети и найдётся тот же ник в другой соцсети.
// Не хакинг, а ИБ
📖 «Искусство тестирования на проникновение в сеть»
Как взломать любую компанию в мире
☁️ Выдать себя за другого человека
Кража личности – преступление, при котором незаконно используются персональные данные человека для получения материальной выгоды.
Злоумышленники используют собранные данные для:
⏺ проведения атак;
⏺ мошенничества;
⏺ рассылки спама;
⏺ создания двойников известных личностей и других людей для нанесения урона репутации жертвы.
Так сисадмин более 30 лет выдавал себя за другого человека, похитив личность знакомого
Издание
The Register
обратило внимание на жуткую историю, ярко иллюстрирующую худший вариант развития событий в случае кражи личности, о которой изначально
сообщил
Минюст США.
👺 Онлайн-сервисы для поиска данных по интернету вещей, IP, доменам и поддоменам
1. CIRT, Default Password Lookup, Router Password, Open Sez Me – поиск по базам данных паролей, установленных по умолчанию на различных устройствах.
2. sitereport.netcraft – выдает комплексную сводку по регистрационным данным и технологиям, используемым на веб-сайте.
3. IPVoid – набор инструментов для исследования IP-адресов: проверка по черным спискам, Whois, поиск по DNS, пинг.
4. who.is, DomainDossier, whois.domaintools – поиск по регистрационным данным и Whois.
5. DNSDumpster – инструмент для исследования доменов, который может обнаруживать хосты, связанные с доменом.
❤️ – если хотите пост про угон личности
👏 – лучше подборки инструментов
// Не хакинг, а ИБ
🦠 Критическая уязвимость в WordPress-плагине LayerSlider затрагивает миллион сайтов
Критическая уязвимость (SQL-инъекция) в популярном плагине LayerSlider для WordPress могла использоваться для извлечения конфиденциальной информации из баз данных, например, хешей паролей.
🛡 LayerSlider представляет собой инструмент для создания слайдеров, галерей изображений и анимации на сайтах под управлением WordPress. Плагин используется примерно на миллионе сайтов.
Проблема, получившая идентификатор CVE-2024-2879 и оценку 9,8 балла по шкале CVSS, описывается SQL-инъекция, затрагивающая все версии плагина с 7.9.11 по 7.10.0.
Уязвимость была обнаружена ИБ-исследователем AmrAwad и устранена в версии 7.10.1, выпущенной 27 марта 2024 года.
За ответственное раскрытие и обнаружение уязвимости специалист получил вознаграждение в размере 5500 долларов.
Разбанили крупнейшую в телеграмме библиотеку книг по информационной безопасности. Новый формат постов вас заинтересует. Ничего лишнего.
ИБ Книга | Библиотека ИБ
В ИБ-сообществе набирают популярность 2 канала по кибербезу:
Записки безопасника — авторский канал от специалиста по ИБ. Новости даркнета, сетевая разведка, обзоры инструментов с github, полезные подборки.
Белый Хакер - реальные кейсы, OSINT, уроки по соц. инженерии и анонимности, курсы.
🇺🇸 Хакер заявляет, что взломал Государственный департамент, Министерство обороны и АНБ США
Государственный департамент США сообщил, что расследует сообщения о возможной кибератаке.
Дело в том, что хакер под ником IntelBroker опубликовал документы, предположительно украденные у государственного подрядчика, компании Acuity.
Эти данные якобы принадлежат сразу нескольким государственным органам, включая Государственный департамент, Министерство обороны и Агентство национальной безопасности США.
Якобы взломанная Acuity – это консалтинговая компания со штатом около 400 сотрудников и годовым доходом более 100 млн долларов.
Она предоставляет услуги в областях DevSecOps, ИТ-операций и модернизации, кибербезопасности, анализа данных и операционной поддержки, и активно работает с государственными органами.
IntelBroker заявляет, что опубликованные им документы содержат секретную информацию, принадлежащую разведывательному альянсу Five Eyes, который объединяет спецслужбы Австралии, Канады, Новой Зеландии, США и Великобритании
В ИБ-сообществе набирают популярность 2 канала по кибербезу:
Записки безопасника — авторский канал от специалиста по ИБ. Новости даркнета, сетевая разведка, обзоры инструментов с github, полезные подборки.
Белый Хакер - реальные кейсы, OSINT, уроки по соц. инженерии и анонимности, курсы.
😂 Лучшие дистрибутивы для проведения тестирования на проникновение
Существует несколько популярных securty дистрибутивов, содержащих большинство популярных утилит и приложений для проведения тестирования на проникновение.
Обычно они основаны на существующих Linux-дистрибутивах и представляют из себя их переработанные версии.
В этой статье будут представлены наиболее известные из них.
🗄 Читать статью – линк.
// Не хакинг, а ИБ
🪰 Руководство по тестированию веб-безопасности OWASP
Проект Web Security Testing Guide (WSTG) создает ведущий ресурс по тестированию кибербезопасности для разработчиков веб-приложений и специалистов по безопасности.
WSTG - это комплексное руководство по тестированию безопасности веб-приложений и веб-сервисов.
Созданный совместными усилиями специалистов по кибербезопасности и преданных своему делу добровольцев, WSTG обеспечивает основу лучших практик, используемых тестировщиками и организациями по всему миру.
🗄 Руководство – линк.
// Не хакинг, а ИБ
❗️ Поиск цели по IP и MAC-адресу
1. HostHunter – ищет доменные имена для набора IP-адресов.
2. Metrics.torproject.org – проверяет использовался ли IP-адрес в качестве узла для передачи трафика в Tor.
3. Whatsmydns – Проверка DNS записей сайта (включая скрытые).
4. Dnsdumpster.com – Данные по сайту включая местоположение хостинга и местоположение владельца, а так же другие данные.
5. Xinit.ru – проверка домена или IP-адреса по whois; получение снимков из Google-кеша и данных из веб‑архива; email-адреса домена; проверка сайта на virustotal.com; показ реального IP-адреса за Cloudflare; DNS-инфраструктура сайта.
// Не хакинг, а ИБ
⚡️Project Omega|ИБ, Osint — новейший канал по информационной безопасности в рунете. Сканеры, пентестинг, криптография, анализаторы сетевого трафика и книги.
Весь материал на канале в общем доступе!
Друзья,
если вам интересна карьера в сфере информационной безопасности, то вы еще успеваете записаться на курс
"Специалист SOC (Центра мониторинга инцидентов информационной безопасности)".
“Ландшафт угроз стремительно меняется. В большинстве случаев необходим комплексный подход к обучению, включающий решения разных классов и затрагивающий все основные процессы Security Operation Center (SOC). Присоединяйтесь к нам, и превратите ваши страхи в уверенность, сомнения — в силу.” — Автор курса, хранящий свою анонимность
Курс подготовлен командой Codeby, топ-1 по этичному хакингу и 5-кратными победителями the Standoff
Курс начинается 1 апреля. Переходите по ссылке и получите промодоступ - 7 дней бесплатно.
Что вы получите?
✏️Рекомендации и помощь в трудоустройстве успешным ученикам
📑 Сертификат/удостоверение о повышении квалификации
Defensively Yours,
Академия Кодебай
образовательный центр по ИБ для профессионалов
Пишите в тг @Codeby_Academy
Или звоните 84994441750
#blueteam #codeby #SOC #безопасность #IT
Друзья, приходите 4 апреля на онлайн-воркшоп для специалистов SOC «Расширенный анализ событий в Active Directory»!
🛡 На воркшопе проанализируем, какие события предшествуют наиболее популярным атакам на Windows-системы.
Проведем атаки DCsync, RBCD и ADCS Domain Privilege Escalation, и для каждого типа атак выполним:
→ фиксацию событий в журналах ОС
→ анализ алгоритмов атаки и улучшение логирования для обнаружения на ранних стадиях
→ повтор атаки и фиксацию обновленных событий в журналах ОС
→ построение правила обнаружения атаки на ранних этапах в SIEM (ELK).
🕵️♂️ Вы узнаете о тонкостях раннего обнаружения атак на Windows-cистемы от Петра Зузанова – эксперта в построении эффективного SOC с более чем 15-летним опытом в ИБ.
Когда: 4 апреля в 19.00 по МСК. 🕓 3-3,5 часа.
👉 Узнать подробности и записаться
Реклама. ОАНО ДПО «ВЫШТЕХ». ИНН: 7703434727. erid: 2VtzquZbHoj
Все надоело и пропал интерес, чувствуешь себя амебой и хочется только залипать в телефоне. Бывает?
Психолог взрослого человека - канал для айтишников, у которых периодически опускаются руки и отключается мозг, ибо переработки и постоянная тревожность не приводят к другим исходам.
✔️ Как научиться отвлекаться от работы и отдыхать?
✔️ Как совместить кучу рабочих задач и время с семьей?
✔️ Как справиться с прокрастинацией?
✔️ Как не растерять запал, даже если начальник и коллеги 💩 и кажется, что ничего не выходит?
Подписывайтесь на канал @vadimpetrov_psy и научитесь работать без упахивания, выгорания и ущерба для личной жизни!
👨🏻💻 Псс. Заходите в закреп канала - там много полезного, и даже бесплатный мини-курс.
🔎 Обозреваем и практикуем популярные OSINT инструменты
Сегодня на практике попробуем некоторые инструменты OSINT и попробуем узнать больше о человеке исходя из его никнейма.
Рассматриваемые инструменты:
1. Maigret - это инновационный инструмент, специально разработанный для анализа данных из различных социальных платформ.
2. Mr.Holmes - это проект, направленный на сбор информации из открытых источников о социальных сетях, телефонных номерах, доменах и IP-адресах с использованием Google Dorks.
3. Holehe - это мощный инструмент для обнаружения зарегистрированных аккаунтов по электронной почте.
4. Ghunt - это мощный и универсальный инструмент OSINT, предназначенный для сбора информации о пользователях по их gmail-адресам.
5. H8Mail - инструмент, который сканирует указанный почтовый ящик в своих базах данных и предоставляет набор возможных паролей.
🗄 Читать статью – линк.
// Не хакинг, а ИБ