d3k4z

hmm, you know what you did there....

@Avatara тр да напишеш книга, отдава ти се Всичкото от този 'web-sniffer' си присъства в следните модерни browser engines - gecko, chromium-driver, phantomjs. Също може да се намери пълен достъп до това какво се случва под капака в developer tools-а например на Firefox Може би с единствената разлика че не напълно агрегира и кешира обектите, но с кликове тук и там можем лесно да получим достъп до целия дом, примерно JS конзолата. А относно това с regex търсенето може лесно да се постигне и със Selenium framework, където всеки може УЛТРАААА лесно да постигне всякаква автоматизация, и преди да ми препоръчаш някои туул отпреди 20г който е универсален и още работи идеално, ще ти кажа че е въпрос на вкус и потребност. Такива браузъри, ама не точно браузъри, смятам че не трябва да бъдат примери за добри практики. Ето го твоя пример с 5 реда JS в конзолата: А за тези които харесват python ето как се работи със selenium: bpython version 0.16 on top of Python 2.7.14 /home/d3k4/.virtualenvs/test/bin/python2.7 >>> from selenium import webdriver >>> service_args = ['--ignore-ssl-errors=yes', '--ssl-protocol=any'] >>> driver = webdriver.PhantomJS('./bin/phantomjs', service_args=service_args) >>> driver.get("https://xakep.bg") >>> all_elem_links = driver.find_elements_by_xpath("//a[@href]") >>> for elem in all_elem_links: ... print elem.get_attribute("href") ... ... https://www.xakep.bg/forum/#elContent https://www.xakep.bg/forum/discover/ https://www.xakep.bg/forum/search/ https://www.xakep.bg/forum/# https://www.xakep.bg/forum/ https://www.xakep.bg/forum/login/ https://www.xakep.bg/forum/lostpassword/ https://www.xakep.bg/forum/register/ https://www.xakep.bg/forum/ https://www.xakep.bg/forum/calendar/ https://www.xakep.bg/forum/staff/ https://www.xakep.bg/forum/leaderboard/ https://www.xakep.bg/forum/# https://www.xakep.bg/forum/discover/ https://www.xakep.bg/forum/discover/ https://www.xakep.bg/forum/search/ https://www.xakep.bg/forum/# https://www.xakep.bg/forum/chatbox/ https://www.xakep.bg/forum/clubs/ Както предполагаш същото може да снане с regex, а от тук нататък можеш да правиш каквато искаш процесинг на информацията.

Така, наскоро ми се случи да тествам някакви странни Microsoft Outlook plugins, които разменяха огромни SOAP XML съобщения със бекенд сървисите. Трябваше ми туул който да ми позволява да манипулирам в реално време заявките и реплейсвам много `values` в процеса на обработка и фъзинг. Мързелив съм и нямах намерение да минавам ръчно през всичките, така че ми трябваше удобно решение което позволява скриптинг, много от параметрите трябваше да се взаймно свътзани, това прави fuzzing-а още по-бавен. Решението ми беше mitmproxy (mitmproxy.org) `pip3 install mitmproxy` mitm% tree . ├── mitmproxy-ca-cert.pem └── fuzz.py 0 directories, 2 files където mitmproxy-ca-cert.pem трябва да бъде инсталиран в client-а, т.е. да се добави към trusted issuer authorities. Ако стартирате mitmproxy и пренасочите броузера си да преносочва трафика към 127.0.0.1:8080 и отидете на mitm.it, ще ви бъде предоставена възможност директно да си го инстлаирате. Намирам Burp също за много функционално tool-лище, затова винаги го слагам като upstream server, и нагласям неговия sock прокси в invisible mode. След това си отварям VS Code и започвам работа. Ето един примерен скрипт: from mitmproxy import http from mitmproxy import ctx import re class FastFrag: def __init__(self): self.num = 0 def request(self, flow): # Examples # flow.request.replace('hitit', flow.request.raw_content) # flow.request.replace('fuzzhere', str(dir(flow.request))) # flow.request.set_content(b"I am Groot beware!") #b is important # a = flow.request.get_content() # a = a + b'this makes me awesome' # flow.request.set_content(b'drop it') # flow.request.replace('300000007019377', "300000007019377; SELECT global_name FROM global_name;") # flow.request.replace('300000006661021', "300000006661021; SELECT global_name FROM global_name;") # # if flow.request.is_replay:a # return # flow = flow.copy() # # Only interactive tools have a view. If we have one, add a duplicate entry # # for our flow. # if "view" in ctx.master.addons: # ctx.master.commands.call("view.add", [flow]) # flow.request.path = "/changed" # ctx.master.commands.call("replay.client", [flow]) self.num = self.num + 1 ctx.log.info(str('Awesome')) return addons = [ FastFrag() ] Стартираме сървъра: mitm% mitmweb --mode upstream:127.0.0.1:8083 -k -s fuzz.py -v Web server listening at http://127.0.0.1:8081/ Loading script fuzz.py Можете и да не използвате web interface-a ами да си го стартирате стандартно с `mitmproxy` и след това същите параметри. Докато mitmproxy се изпълнява, всеки път щом save/Ctrl-S върху fuzz.py ще доведе до автоматичен reload на mitmproxy, което спестява време за скриктинга и увеличава гъвкавостта за фъзинг. И в крайна сметка логове се и в mitmproxy и в Burp. Така за 3 дни успях да намеря няколко параметъра уязвими към инжекции и xxe.

@Avatara , гледам туловете и все не разбирам ... защо все по трудния начин. Цалата функционалност нужна за да се тестват странички, както и да се виждат всички динамични, статични елементи и лог от http requests и responses + всчкакви нови ws щуротии, може да бъде намерени в Kali дистрибуцията. Пусни си burp от Portswigger, това е стандарта за индустрията. А ако искате динамично инструментиране на заявките аз ползвам mitmproxy пред burp защото има мн добри python bindings, и е лесно за reloading и debugging на промените които правите. И web sniffer ми звучи също мн фенси, нека пробваме със локално socks proxy

От моя страна мога да препоръчам https://beginners.re/ много добра книжка. Всичко в нея работи.

Ами качи поне един да го видим.

С помоща не интернет вече всичко е възможно, преди 10г когато нямаше толкова мн туториали беше мн голям филм. Вече имат графични инсталации всички дистрибуции. Но определено ще се придобият нови знания от инсталацията на Arch.

Ако искаш user oriented - Ubuntu Ако искаш лек - ArchLinux Ако искаш микс от 2те - Debian Jessie

И нека и още едно некомпетентно мнение от мен. CSRF се използва за да се предпазят форми със критични функции - например(примрите са до някаква степен фиктивни, a критични са в частен случай за уеб апликацията): - CSRF за логин забавя брутфорцинга и енумерацията на потребители на уеб сайта - но това не е добър пример; - ако например имаш уеб сайт с административен панел и ТИ си админ, ако функцията и форма 'Добави Администратор' не е предпазена и рекуеста се изпраща към ctf.bg/admin/adduser.php?u=d3k4z&pass=12345 някой може да те social engineer-не да кликнеш на линк и автоматично да добавиш новия администратор. Как става това - ако все още имаш кукито от последния ти login при посещение на ctf.bg ще бъдеш автоматично логнат, и следва изпълнение на функцията. Потобни критични функции са тези за: - Транзакции на пари; - Добавяне на потребители или изтриване на данни от базата; Fun Fact: Преди няколко години тествах една вътрешна система за HR и функцията за добраволно напускане не беше предпазена с CSRF т.е. ако накараш някой да кликне на линка и може да напусне компанията 'доброволно'.

Прегледах видеото, и да това е само за брутфорсинг атаки. Отдавна се пропагандира да бъдат използвани passphrases където можете, но и за тях си има лек. Ако се използва hashcat там имаш право да избереш няколко типа атаки: 1) bruteforce 2) dictionary 3) hybrid - това беше и комбинирано dictionary + masks Ако паролата ви е над 10-11 символа bruteforcing става безсилен. Препоръчва се и 3те гореспоменати видове атаки да се рънват срещу паролите който сте откраднали. Ако и след това не сте я открили паролата, се започва с Markov Chains и Rainbow tables. Password manager ще предпазят паролите ви на сигурно - но това е за лична употреба, трябва да съществува и лична хигиена за да не разчитате на service provider-a ви който 'може би' сторва всичко в plaintext

Ще разгледам дали мога да събера от някъде чалинджите за CTF-a че беше on-side. 3ма човека отбор завършихме в топ10.

https://conference.hitb.org/hitbsecconf2018ams/materials/ Ето ги материалите от миналата седмица - Hack in the Box @ Amsterdam

Естествено че може да бъде засечена. Вече всеки браузър и повечето мобилни апликации проверяват сертификатите и ревът ако нещо не съответства - Common name, Signature verification, SNI, etc. Ако разцъкаш да провериш как работи SSLStrip ще видиш че той поставя собствен сертификат и мимикира както ssl клиент така и сървър за да направи връзката с например www.google.com и Иван. Ако този сертификат не е trusted или има някакво друго съответствие, browser-a ти ще започне да се оплаква. Някой уеб сайтове могът да бъдат достъпени с такъв сертификат, но например ако уеб сървъра използва Strict-Transport-Security (HSTS) няка да можеш да се свържеш с уеб сайта. Има и други частни случай за които не мога да се сетя сега.

Ебем ти университетите, започнете с war games и CTF. Разцъйахте там, наберете малко скоророст.