kliMaster

kliMaster

https://vk.com/voron_z https://vk.com/wall200623502_7349 https://twitter.com/voron_z?refsrc=email
Пикабушник
поставил 772 плюса и 162 минуса
отредактировал 1 пост
проголосовал за 1 редактирование
Награды:
5 лет на Пикабу
64К рейтинг 789 подписчиков 1914 комментариев 305 постов 106 в горячем
8

Украинский тестировщик украл $10 млн у Microsoft с помощью подарочных карт для Xbox

Украинский тестировщик украл $10 млн у Microsoft с помощью подарочных карт для Xbox Securitylab, Xbox, Кража, Microsoft, Повтор

Сотрудник Microsof получил девять лет тюрьмы.


Украинский разработчик Владимир Кващук был приговорён к девяти годам лишения свободы за кражу более $10 млн у Microsoft. Приговор был вынесен еще в 2020 году, но только сейчас стали известны подробности схемы, которой пользовался преступник.

Украинец работал в Microsoft с августа 2016 по июнь 2018 года. Ранее он был контрактным сотрудником, а потом устроился в штат и трудился в городе Рентон, штат Вашингтон. Кващук был QA-тестировщиком в команде Universal Store Team, отвечающей за деятельность в сфере e-commerce.


На этой должности у сотрудников есть возможность создавать аккаунты, пользуясь специально выделенными email-адресами и кредитными картами. Это позволяет совершать бесплатные покупки с помощью скидочных карт. Чтобы обезопасить себя от мошенничества, компания блокировала доставку физических товаров, заказанных таким образом.

Владимир обошел это ограничение. Украинец покупал через свой аккаунт подарочные карты, после чего их стоимость можно было начислить на свой счет и получить скидку в цифровом или офлайновом магазине Microsoft.


Но Кващук пошел еще дальше, использовав схему для личной выгоды — продажи цифровых карт третьим лицам. По данным обвинения, он нанес компании $10 млн убытка, торгуя промокодами по заниженным ценам.

По данным следствия, однажды программист начал сбывать так много кодов, что это обрушило цены на подарочные карты Xbox на всём рынке реселлеров.

Спустя два года Кващук украл уже более 152 000 карт на общую сумму $10 100 000. За это время он успел купить «Теслу» за $162 899 и дом у озера Вашингтон стоимостью более $1 600 000.


В какой-то момент схема начала давать трещины: покупатели стали жаловаться, что карты Кващука не работают. Его главные клиенты, Avsterbone и Makoo, обратились в службу поддержки Microsoft, чтобы выяснить причину неполадок. Там им сообщили, что компания занята расследованием украденных карт.


В 2018-м служба внутренней безопасности обнаружила «утечку» и заблокировала аккаунты тестировщиков, но определить личность взломщика не смогла. С помощью сыщиков Скотланд-Ярда Кващука все-таки поймали — он заказал три видеокарты Nvidia на несуществующий адрес, что навело подозрения. В ходе последующих обысков у него дома было обнаружено 4000 долларов наличными, флешки с «сотнями тысяч» этих подарочных кодов, а также ключи от автомобиля Tesla и собственноручно написанный Кващуком план на ближайшие годы, где он расписал, на что еще он потратит свое состояние.


Эти события происходили в 2018-2020 году, за время которых на рынке до сих пор осталось множество дешевых кодов на Game Pass и другие цифровые продукты Microsoft.

Всего было украдено 152 тыс. карт на общую сумму $10 млн. В собственности Кващука находился дом у озера Вашингтон за $1,6 млн, после обыска которого следствие получило еще больше доказательств вины разработчика. Согласно приговору, преступник должен заплатить штраф в $8,3 млн и провести девять лет под стражей в колонии.

Другие материалы

Показать полностью
15

Безопасность WhatsApp: 5 видов мошенничества, угрозы и риски безопасности, о которых следует знать

Безопасность WhatsApp: 5 видов мошенничества, угрозы и риски безопасности, о которых следует знать WhatsApp, Безопасность, Securitylab, Appstore, Длиннопост

Безопасность WhatsApp является серьезной проблемой. Мессенджер часто становится целью мошенников и хакеров. Давайте разберемся, насколько безопасен WhatsApp.


WhatsApp, платформа для обмена сообщениями, принадлежащая Facebook, является одним из самых популярных в мире приложений для обмена сообщениями. Приложением пользуются более одного миллиарда человек, отправляя более 65 миллиардов сообщений в день.

Большая популярность приложения привлекает внимание киберпреступников, что способствовует появлению проблем безопасности, вредоносных программ и спама.


1. Вредоносное ПО для WhatsApp Web

Безопасность WhatsApp: 5 видов мошенничества, угрозы и риски безопасности, о которых следует знать WhatsApp, Безопасность, Securitylab, Appstore, Длиннопост

Огромная база пользователей WhatsApp делает приложение лакомой добычей для киберпреступников, многие из которых ориентированы на WhatsApp Web. Пользователи WhatsApp могут открывать веб-сайт или загрузить настольное приложение, отсканировать код с помощью приложения на телефоне и пользоваться WhatsApp на компьютере.

Магазины приложений на телефоне - App Store на iOS или Google Play Store на Android - регулируются более тщательно, чем сайты в Интернете. Пользователю, ищущему WhatsApp в данных магазинах, сразу понятно, какое приложение является официальным. Но в интернете, к сожалению, все не так.

Киберпреступники создают и распространяют поддельные настольные приложения WhatsApp, содержащие вредоносное ПО. Загрузив вредоносное приложение, пользователь ставит свой компьютер под угрозу.

В некоторых случаях хакерам удается установить шпионское ПО WhatsApp, воспользовавшись уязвимостью приложения.

Другой подход злоумышленников заключается в создании фишинговых веб-сайтов, чтобы обманом заставить пользователей передать личную информацию. Фишинговые сайты, маскирующиеся под WhatsApp Web, просят пользователей указать свой номер телефона для подключения к услуге. Однако, фактически злоумышленники будут использовать указанный номер, чтобы завалить вас спамом, или для сопоставления с другими утекшими или взломанными данными в Интернете.

Поэтому лучший способ обезопасить себя - использовать приложения и сервисы только из официальных источников. WhatsApp предлагает веб - клиент WhatsApp Web для использования на любом компьютере. Существуют также официальные приложения для устройств Android, iPhone, macOS и Windows.


2. Незашифрованные резервные копии

Безопасность WhatsApp: 5 видов мошенничества, угрозы и риски безопасности, о которых следует знать WhatsApp, Безопасность, Securitylab, Appstore, Длиннопост

Сообщения, которые пользователь отправляет в WhatsApp, зашифрованы сквозным шифрованием. Только устройство отправителя и устройство получателя могут их декодировать. Данная функция предотвращает перехват сообщений во время передачи даже самим Facebook. Тем не менее сообщения совсем не защищены после их расшифровки на устройстве.

WhatsApp позволяет создавать резервные копии сообщений и медиафайлов на Android и iOS. Такая функция очень важна, так как помогает восстанавливать случайно удаленные сообщения WhatsApp . В дополнение к облачной резервной копии на устройстве пользователя имеется локальная резервная копия. На Android можно сделать резервную копию данных WhatsApp на Google Диске. При использовании iPhone резервная копия хранится в iCloud. Такие резервные копии содержат расшифрованные сообщения с вашего устройства.

Файл резервной копии, хранящийся в iCloud или на Google Диске, никак не зашифрован. Поскольку файл содержит расшифрованные версии всех сообщений пользователя, он теоретически уязвим и подрывает сквозное шифрование WhatsApp.

Поскольку пользователь не может выбрать место хранения резервной копии и зависит от поставщиков облачных услуг, на обеспечение безопасности данных приходится только надеяться. Хотя на сегодняшний день ни один из крупномасштабных взломов не повлиял на iCloud или Google Диск, тем не менее такой сценарий возможен. Злоумышленники обладают инструментами для получения доступа к учетным записям пользователя облачного хранилища.

Одним из предполагаемых преимуществ шифрования называется возможность предотвращения доступа правительства и правоохранительных органов к данным пользователя. Поскольку незашифрованная резервная копия хранится у одного из двух поставщиков облачных хранилищ в США, при наличии ордера правоохранители легко получат неограниченный доступ к сообщениям пользователя.


3. Обмен данными Facebook

Безопасность WhatsApp: 5 видов мошенничества, угрозы и риски безопасности, о которых следует знать WhatsApp, Безопасность, Securitylab, Appstore, Длиннопост

В последние годы Facebook часто критиковали за монополизм и антиконкурентные действия. Регулирующие органы пытаются минимизировать антиконкурентное поведение IT-гиганта, тщательно отслеживая поглощения .

Поэтому в 2014 году, когда Facebook решил принять WhatsApp в «семью Facebook», Европейский союз (ЕС) одобрил сделку только после заверений Facebook, что данные двух компаний будут храниться отдельно.

Facebook не понадобилось много времени, чтобы вернуться к прежней линии поведения. В 2016 году WhatsApp обновил Политику конфиденциальности и разрешил обмен данными из WhatsApp в Facebook. Передавался номер телефона, а также данные о времени последнего использования сервиса. Из-за передачи данных Facebook сообщения в WhatsApp могут оказаться под угрозой .

Техногигант заверил пользователей, что их данные не будут общедоступными на Facebook. Компания будет хранить их в недоступном и скрытом профиле Facebook. За прошедшие годы Facebook внесла изменения, чтобы упростить обмен данными, и предложила новую Политику конфиденциальности. Однако, пользователи и регулирующие органы активно сопротивлялись.

После обновления 2016 года пользователи могли отказаться от межплатформенного обмена данными в WhatsApp, но через некоторое время данная опция была тихо удалена. Затем, в 2019 году, Facebook объявила о планах по объединению своих платформ обмена сообщениями . В конце 2020 года были реализованы первые этапы данного проекта - компания связала Messenger с Instagram Direct.

В январе 2021 года Facebook выпустила новую политику обмена данными для WhatsApp , согласно которой пользовательская информация будет передаваться между приложением для обмена сообщениями и социальной сетью. После многочисленных жалоб пользователей компания отметила, что ограничит возможности WhatsApp для всех несогласных .

По состоянию на июнь 2021 года компания Facebook смягчила наказание, хотя по-прежнему продолжает поощрять пользователей согласиться с новыми правилами.


4. Обман и фейковые новости

Безопасность WhatsApp: 5 видов мошенничества, угрозы и риски безопасности, о которых следует знать WhatsApp, Безопасность, Securitylab, Appstore, Длиннопост

В последние годы компании, занимающиеся социальными сетями, подвергаются критике за распространение на своих платформах фальшивых новостей и дезинформации. Facebook, в частности, обвинялся в распространение дезинформации в ходе президентской кампании 2020 года в США. WhatsApp также подвергался подобным нападкам.

Два наиболее заметных случая произошли в Индии и Бразилии. WhatsApp оказался замешан в массовом насилии, произошедшем в Индии в 2017 и 2018 годах. Сообщения, содержащие сфабрикованные подробности похищений детей, активно пересылались пользователями и широко распространялись по платформе. Фейковые сообщения спровоцировали волну ненависти и привели к линчеванию обвиняемых выдуманных преступлениях.

В Бразилии WhatsApp был основным источником фейковых новостей во время выборов 2018 года. Поскольку дезинформация очень легко распространялась, бразильские бизнесмены создали компании для ведения незаконной дезинформации в WhatsApp против кандидатов. Бизнесмены приобрели списки телефонных номеров и устроили таргетированную рассылку.

Обе проблемы произошли в 2018 году, печально известном для Facebook. Цифровая дезинформация - сложная проблема. Однако, многие считают реакцию WhatsApp неправильной и слишком безразличной.

После инцидентов компания внесла несколько изменений. WhatsApp установил ограничения на переадресацию. Теперь пользователь может пересылать сообщения только пяти группам вместо прежнего ограничения в 250. Компания также удалила кнопку быстрого доступа для пересылки в ряде регионов.

Несмотря на данные исправления, на раннем этапе пандемии COVID-19 WhatsApp использовался для распространения дезинформации о вирусе. В апреле 2020 года во всем мире были введены карантинные меры. Напуганные люди пытались найти информацию в Интернете.

После происшествия Facebook снова ввел ограничения на пересылку для предотвращения распространения неверной или ложной информации. Также Facebook совместно с властями и организациями здравоохранения по всему миру занимался разработкой чат-ботов WhatsApp, предоставляя людям надежную информацию о пандемии.

Оба сценария - политические события 2018 года и пандемия COVID-19 – реализовались из-за одних и тех же проблем; ложная информация передается сразу нескольким людям. Учитывая, что компания Facebook якобы решила эту проблему в 2018 году, остается непонятным, почему дезинформация о пандемии вообще стала возможной. Может быть, незаметно были сняты лимиты пересылки или исправления 2018 года оказались неэффективными.


5. Статус WhatsApp

В течение многих лет функция статуса WhatsApp, короткая строка текста, была для пользователей единственным способом рассказать о том, что вы сейчас делаете. Затем данная функция превратилась в WhatsApp Status, клон популярной функции Instagram Stories.

Instagram - платформа, предназначенная для публичного использования, конечно вы можете сделать свой профиль приватным, если захотите. WhatsApp, в свою очередь, более личный сервис, используемый для общения с друзьями и семьей. Логично предположить, что делиться статусом в WhatsApp тоже конфиденциально.

Однако, на самом деле это не так. Любой из контактов пользователя WhatsApp может просматривать его статус. К счастью, пользователь может легко контролировать, с кем делится своим Статусом.

Перейдя в «Настройки»>«Учетная запись»> «Конфиденциальность»> «Статус», увидите три варианта конфиденциальности для обновлений статуса:

Мои контакты

Мои контакты, кроме ...

Делитесь только с ...

Стоит отметить, что заблокированные контакты не могут просматривать статус пользователя независимо от настроек конфиденциальности. Как и в случае с Instagram Stories, любые видео и фотографии, добавленные в статус, исчезнут через 24 часа.

WhatsApp безопасен?

Итак, безопасно ли использовать WhatsApp? WhatsApp – очень запутанная платформа. С одной стороны, компания внедрила сквозное шифрование в одно из самых популярных приложений в мире, что несомненно является потенциалом роста безопасности.

Однако в WhatsApp существует много других проблем с безопасностью. После вхождения в «семью Facebook» WhatsApp страдает от тех же угроз конфиденциальности и кампаний дезинформации, как и материнская компания.

securitylab

Вопросы сюда

Показать полностью 4
35

Основатели криптобиржи Africrypt украли биткойнов на 3,6 миллиарда долларов

Основатели криптобиржи Africrypt украли биткойнов на 3,6 миллиарда долларов Bloomberg, Биткоины, Взлом, Афера

Два родных брата из Южной Африки, создавшие в 2019 году инвестиционную платформу Africrypt, провернули одну из самых крупных афер с цифровой валютой за последнее время.

Двое основателей южноафриканской платформы Africrypt для криптовалютных инвестиций, братья 17-летний Амир и 20-летний Раис Кейджи, пропали вместе с крупной суммой в биткоинах, сообщает Bloomberg.

Двумя братьями из Южной Африки были украдены биткоины на сумму $3,6 миллиарда, которые инвесторы вложили в их платформу Africrypt. В юридической фирме Кейптауна заявили, что они не могут определить местонахождение мошенников. Элитное подразделение «Ястребы» уже присоединились к поиску преступников. Есть мнение, что мошенники попробуют обменять похищенную криптовалюту.

Компания Africrypt работала с состоятельными клиентами и знаменитостями, обещая прибыль до 10% в сутки. Раис Кейджи называл себя «гуру криптовалюты»: он говорил инвесторам, что узнал о биткоине в 2009 году в возрасте восьми лет, когда с отцом смотрел новости; еще в школе он начал майнить криптовалюту эфириум, а затем создал торговую платформу на основе искусственного интеллекта, которая «способствовала астрономическому росту Africrypt». Многие клиенты инвестировали больше 100 тысяч долларов, а вложения некоторых достигали $1,4 млн.

Когда в апреле цена биткойна достигла пика, главный операционный директор отправил клиентам Africrypt заявление по электронной почте. В нем говорилось, что компания была взломана, и онлайн-кошельки оказались под угрозой.

Выяснилось, что братья-похитители уехали из Южной Африки в Великобританию вскоре после взлома.

securitylab

Показать полностью
46

Андрей Масалович расскажет о том почему, Думать - это прикольно

Думать — это прикольно. 20 практических приемов OSINT в цифровом мире

В докладе рассматриваются приемы OSINT, которые позволяют эффективно добывать приватную и даже секретную информацию, не прибегая к взлому. Исследуются методы поиска открытых разделов в облачных хранилищах, сканирование незащищенных баз на основе PostgreSQL, MongoDB и Elastic Search, восстановление секретных данных по глобальным логистическим базам, сбор данных по закрытым профилям в социальных сетях, деанонимизация пользователей мессенджеров и др. Все приемы будут продемонстрированы «вживую», на реальных примерах.

P.S. советую к просмотру, особенно тем кто увлекается форензикой, и будет крайне заинтересован в освещенных докладчиком методах и инструментах, позволяющих добывать развед данные из открытых источников.

Вопросы можете направлять сюда

23

PHDays 10 в прямом эфире

PHDays 10 в прямом эфире Phdays, Конференция, Информационная безопасность

Масса годных и интересных докладов


Positive Hack Days — ежегодная конференция, посвященная вопросам информационной безопасности, проводимая компанией Positive Technologies с 2011 года. PHDays — форум для профессиональной аудитории, сравнимый по составу и контенту с такими мероприятиями, как IT&Security Forum, Black Hat, Defcon, Source и т.д.

363

Атака на веб-приложения при помощи Burp Suite и SQL инъекции

Как вы думаете, что самое популярное в киберпространстве? Верно, это веб-приложения.

В этой статье будут приведены примеры, того как и с помощью каких инструментов можно вмешаться в работу практически любого веб-приложения.


Атака на веб-приложения при помощи Burp Suite и SQL инъекции Web, Kali Linux, Уязвимость, Длиннопост

Пока не наступит день, когда безопасность станет высшим приоритетом, мы будем продолжать обнаруживать SQL инъекции в веб-приложениях, и не останемся без работы.


Веб-приложения становятся все более популярны и заменяют традиционные компьютерные программы ускоренными темпами, в связи с чем возникают новые проблемы, связанные с безопасностью, когда любой желающий в интернете, даже не будучи технически подкованными, может реализовать эксплуатацию простейших уязвимостей. Один из наиболее распространенных и в то же время легко эксплуатируемых типов брешей в современных веб-приложениях – SQL инъекции.

Обычно веб-приложение хранит информацию не внутри себя, а в базе данных бэкэнда, когда запросы передаются в виде SQL кода, а затем запрашиваемые данные передаются обратно в приложение.


Что такое SQL инъекция?

SQL инъекция представляет собой технику для атаки на приложения, использующие базы данных, посредством отсылки вредоносного кода с целью доступа или модификации конфиденциальной информации в базе. Есть множество причин, почему эта уязвимость существует и так популярна, включая некорректную фильтрацию и обработку входных данных.

Подобный тип атаки позволяет получить конфиденциальную информацию, модифицировать существующие данные или даже полностью вывести из строя базу данных. Наиболее распространенный вектор – через входные данные (формы авторизации, текстовые поля, загрузку файлов и так далее).

Нашей целью будет Mutillidae, намеренно уязвимое веб-приложение, являющееся частью проекта Metasploitable 2 (уязвимая виртуальная линуксовая машина, используемая для тестирования и других практических целей). Мы будем подключаться к Metasploitable 2 из изолированной сети. В качестве рабочей системы будет использоваться Kali Linux.


Шаг 1. Установка виртуальной машины Metasploitable 2

Burp Suit – популярный инструмент, который можно использовать для автоматизации тестирования веб-приложений на предмет наличия разного рода уязвимостей. В Kali Linux присутствует по умолчанию. Но сначала нужно настроить целевую систему.

В качестве примера в этом руководстве будет использоваться виртуальная машина Metasploitable 2, которую можно скачать с сайта компании Rapid7. Также подойдет и любая другая уязвимая виртуальная машина. Установка ничем не отличается от установки обычных виртуальных машин в вашей системе.

При использовании уязвимых систем следует учитывать риски со стороны внешних сетей. Соответственно, если вы полностью не отключены от интернета, следует использовать трансляцию сетевых адресов (NAT) или режим host-only.

После того как всё настроено, авторизуйтесь в Metasploitable 2 (имя пользователя и пароль одинаковые msfadmin) и выясните IP адрес при помощи утилиты ifconfig (параметр inet addr у интерфейса eth0), который будет использоваться во время тестирования.


Шаг 2. Настройка приложения Mutillidae

После выяснения IP адреса виртуальной подключитесь к веб-серверу при помощи браузера. Я использую Firefox в Kali Linux.

Атака на веб-приложения при помощи Burp Suite и SQL инъекции Web, Kali Linux, Уязвимость, Длиннопост

Кликните на ссылку Mutillidae для входа в веб-приложение и зайдите в раздел OWASP Top 10. Выберите Injection (SQL), затем Extract Data, затем User Info. Появится форма авторизации.

Атака на веб-приложения при помощи Burp Suite и SQL инъекции Web, Kali Linux, Уязвимость, Длиннопост

Шаг 3: Настройка браузера для работы с Burp Suite

Теперь нужно настроить браузер для работы с Burp Suite, функционирующего в качестве прокси-сервера для перехвата и модификации запросов. Опять же я буду использовать Firefox, но для других браузеров весь процесс будет аналогичным.

В браузере зайдите в раздел Preferences, кликните на Advanced и зайдите во вкладку Network. Убедитесь, что в настройках соединения стоит «Manual proxy configuration» и введите адрес 127.0.0.1 в параметре HTTP Proxy и 8080 в параметре Port. Затем отметьте флажок Use this proxy server for all protocols и убедитесь, что ничего не указано в поле No Proxy for. Кликните на OK. Переходим к настройке Burp Suite.


Атака на веб-приложения при помощи Burp Suite и SQL инъекции Web, Kali Linux, Уязвимость, Длиннопост

Шаг 4. Перехват запросов при помощи Burp Suite

Откройте Burp Suite в Kali Linux, начните новый проект, а затем зайдите во вкладку Proxy и убедитесь, что нажата кнопка Intercept is on, чтобы мы могли изменять запросы, исходящие от веб-страницы и вставлять различные значения для тестирования SQL инъекции. На странице авторизации я ввел произвольное имя пользователя. Вы можете наблюдать чистый запрос, параметры, заголовки и даже информацию в шестнадцатеричной форме.

Атака на веб-приложения при помощи Burp Suite и SQL инъекции Web, Kali Linux, Уязвимость, Длиннопост

Нас интересует поле имени пользователя, которое мы будем изменять для тестирования SQL инъекции. Нажмите на кнопку Action, а затем на Send to Intruder. Альтернативный вариант: кликнуть правой кнопкой мыши в области запроса и выполнить те же самые операции.


Шаг 5. Настройка позиций и полезных нагрузок в Burp Suite

Далее зайдите во вкладку Intruder и кликните на Positions. Burp Suite автоматически конфигурирует позиции, куда вставляются полезные нагрузки во время отсылки запроса, однако поскольку нас интересует только поле username, нужно очистить все позиции, нажав кнопку Clear справа. Выделите значение, введенное в качестве имени пользователя, и нажмите на кнопку Add. Мы будем реализовывать атаку Sniper, когда в полезной нагрузке используется список значений (каждое – однократно).

Атака на веб-приложения при помощи Burp Suite и SQL инъекции Web, Kali Linux, Уязвимость, Длиннопост

После настройки позиции переходим к конфигурированию полезной нагрузки. Для работы с базой данных в SQL запросах могут использоваться различные операторы. Например, оператор SELECT предназначен для извлечения информации, и наш запрос, отсылаемый во время авторизации, выглядел бы примерно так:

SELECT username, password FROM users WHERE username='myname' AND password='mypassword';

Рассмотрим классическую команду в SQL инъекции 1=1--. Ниже показан запрос, формируемый после заполнения поля login.

SELECT username, password FROM users WHERE username='' or 1=1-- AND password='';

Фактически одиночные кавычки превращают первую часть в пустую строку, а выражение 1=1 всегда равно истине. Таким образом, условие для имени пользователя должно быть «пустым» или «истинным». Двойной дефис комментирует остальную часть запроса, и поле password игнорируется. Поскольку выражение «пустота» или «истина» всегда равно истине, а поле password игнорируется, база данных вернет информацию об учетной записи.

Кликните на вкладку Payloads и зайдите в раздел Payload Options. Пока будем использовать стандартные настройки. Здесь мы можем указать полезные нагрузки в виде простого списка, добавляя по одной или загрузив уже существующий список. В Kali есть несколько словарей, включая специально для тестирования SQL инъекций. Нажмите на кнопку Load и загрузите файл /usr/share/wordlists/wfuzz/injection/SQL.txt. Теперь всё готово для реализации нашего сценария.

Атака на веб-приложения при помощи Burp Suite и SQL инъекции Web, Kali Linux, Уязвимость, Длиннопост

Реализация атаки при помощи Burp Suite

Кликните на кнопку Start attack, после чего появится новое окно с отображением всего процесса. Здесь вы можете видеть состояние запросов, полезные нагрузки и статус. Будьте терпеливы, поскольку на отработку большого списка может потребоваться много времени.

Атака на веб-приложения при помощи Burp Suite и SQL инъекции Web, Kali Linux, Уязвимость, Длиннопост

После того как intruder завершит работу, можно посмотреть более подробную информацию, кликнув на нужный запрос.

Атака на веб-приложения при помощи Burp Suite и SQL инъекции Web, Kali Linux, Уязвимость, Длиннопост

Шаг 7. Анализ результатов работы Burp Suite

Нас интересуют ответы, полученные на определенные запросы. Каждый сделанный запрос возвращает код статуса 200, но зачастую, когда полезная нагрузка сработала успешно, вы увидите другой код. Обычно у успешного запроса длина ответа очень отличается от других ответов. Я выбрал запрос, содержащий SQL с выражение ' or 1=1 or "=', поскольку ранее уже тестировал эту инъекцию в ручном режиме и знаю, что эта уязвимость сработает.


Burp Suite полезен в том числе и потому, что вы можете отобразить веб-страницу, возвращаемую ответом, если зайдете во вкладку Response и кликните на Render. На рисунке ниже видно, что наша SQL инъекция выполнилась успешно, и теперь у нас есть перечень имен пользователей и паролей. Если бы мы работали с административной панелью, то получили бы учетную запись администратора со всеми вытекающими последствиями.

Атака на веб-приложения при помощи Burp Suite и SQL инъекции Web, Kali Linux, Уязвимость, Длиннопост

SQL инъекция в дикой природе

Хотя SQL инъекция уже давно известна как серьезная угроза, но продолжает оставаться как один из наиболее распространенных методов эксплуатации уязвимостей. Отчасти подобная ситуация происходит потому, что любой может собрать полуфункциональное веб-приложение и разместить в интернете. Даже профессиональные разработчики часто не придерживаются практик по написанию безопасного кода. В итоге мы и наблюдаем подобную ситуацию, когда Джимми собрал на коленке и выложил на всеобщее обозрение небезопасное приложение.

Чтобы лучше понимать SQL инъекции, вероятно, нужно выучить сам язык SQL. В конце концов, наилучший способ сломать что-либо – знать, как оно работает, и использовать эти знания в своих целях. При проведении тестов, как только вы найдете уязвимость и подберете рабочую полезную нагрузку, то можете настроить SQL для запуска собственных команд. Эта возможность позволяет выяснить структуру таблиц, модифицировать данные и даже обнаружить другие таблицы в базе данных. Как только вы действительно разберетесь с SQL, фактически, ваши возможности становятся безграничными.

Пока не наступит день, когда безопасность станет высшим приоритетом, мы будем продолжать обнаруживать SQL инъекции в веб-приложениях, и не останемся без работы.

securitylab

P.S. Данная статья не является прямым руководством к действиям носящим вредоносный характер, все материалы предоставлены исключительно в ознакомительных целях. Любой взлом не принадлежащего вам веб-приложения и без прямых договоренностей с владельцем веб-приложения, является преступлением и преследуется по закону.

Атака на веб-приложения при помощи Burp Suite и SQL инъекции Web, Kali Linux, Уязвимость, Длиннопост
Показать полностью 10

Скарлетт Йоханссон сообщила о премьере фильма "Чёрная Вдова"

В новом блокбастере MARVEL «Чёрная Вдова» Наташе Романофф предстоит лицом к лицу встретиться со своим прошлым. Чёрной Вдове придется вспомнить о том, что было в её жизни задолго до присоединения к команде Мстителей, и узнать об опасном заговоре, в который оказываются втянуты её старые знакомые - Елена (в исполнении Флоренс Пью), Алексей, также известный как Красный Страж (в исполнении Дэвида Харбора), и Мелина (в исполнении Рэйчел Вайс).

Показать полностью
17

Очень советую к просмотру сериал "Обломки" Debris

Очень советую к просмотру сериал "Обломки" Debris Сериалы, ЦРУ, Ми-6, Космическая фантастика, Научная фантастика, Длиннопост

Для ЛЛ: Фанатам Секретных материалов придется по вкусу, инфа сотка.


Подробнее

«Обломки» (англ. Debris) — американский научно-фантастический телесериал. Его премьера состоялась 1 марта 2021 года.


Сюжет

Герои фильма исследуют разрушенный космический корабль. Выясняется, что этот объект способен загадочным образом влиять на людей.

В ролях

Рианна Стил — Финола Джонс

Джонатан Такер — Брайан Беневенти.



Офицер ЦРУ Брайан Беневенти и специальный агент Ми-6 Финола Джонс возглавляют особую рабочую группу, которой поручено определить местонахождение и идентифицировать загадочные обломки, недавно упавшие на Землю из космоса, прежде чем они попадут в чужие руки. Каждый из фрагментов оказывает непредсказуемое, мощное, а иногда и опасное воздействие на обычных людей, из-за чего агенты вынуждены действовать максимально осторожно, но при этом им приходится торопиться, ведь за инопланетными телами уже развернулась настоящая охота...



Проект был анонсирован в январе 2020 года. Начать показ планировалось в конце 2020 года, но из-за пандемии коронавируса все сроки были перенесены. Премьера первого эпизода состоялась 1 марта 2021 года.

Показать полностью 1

Мне нужен враг...

С Праздником Великой Победы всех! Но прежде чем радоваться весь день, подпевать гордо звучащие песни и отдать дань уважения истории, нося различную символику задумайся над следующим: Ни один нормальный и уравновешенный гражданин советского союза - НЕ ХОТЕЛ ВОЙНЫ, этот день должен быть днем великой скорби и памяти о тех, кто не вернулся с фронта, о тех кто был замучен и сожжен в концлагерях. А ни вот эти вот все попойки, колонны клоунских расписанных машин и бравады типа если надо повторим.


Война это самое омерзительное из лиц человечества, хоть и самое правдивое обличающее истинную натуру человека. Настоящая победа наступит, тогда и только тогда, когда сознание человечества достигнет, такого уровня при котором, нет и не будет больше произнесено никогда это проклятое слово ВОЙНА. Хотелось бы, чтобы осталось слово Победа, но чтобы Победа была, только над самим собой, на пути самосовершенствования себя, общества и мира...

Отчет спецслужб о противодействии "русским" хакерам (Английская версия)

США и Великобритания опубликовали совместный отчет о методах работы нескольких хакерских групп, которые они связывают с российской разведкой. Западные спецслужбы также составили рекомендации для противодействия взлому


Уж простите господа, но иностранные спецслужбы отчеты на русском языке не создают (ну в основном)

Просто оставлю это здесь

https://www.ncsc.gov.uk/files/Advisory Further TTPs associated with SVR cyber actors.pdf

Отличная работа, все прочитано!