ZeroDay | Кибербезопасность

3 лайфхака для пентестинга

👋 Приветствую в мире цифровой безопасности!

Расскажу ещё о трех полезных фишках при пентесте.

⏺HTTP Parameter Pollution (HPP) - разные компоненты могут по-разному обрабатывать одинаковые параметры в запросе:

GET /profile?role=user&role=admin HTTP/1.1
Host: example.com

Например, прокси проверяет первое значение role, а бэкенд использует последнее. Если проверки доступа устроены таким образом, появляется возможность обойти ограничения.

⏺Path Traversal через двойное декодирование - иногда URL декодируется дважды, например прокси и самим приложением:

/files/%252e%252e%252fdocument.txt

После первого декодирования получится %2e%2e%2f, а после второго уже ../. Если фильтр проверил путь до повторного декодирования, можно выйти за пределы разрешённого каталога.

⏺Host Header Injection - приложение может использовать заголовок Host для формирования ссылок и редиректов:

curl -i https://example.com/ \
-H 'Host: test.example'

Если в ответе появляются ссылки на test.example, стоит проверить, как формируются URL восстановления пароля и другие чувствительные ссылки. При неправильной реализации их можно подменить.

🤖Бесплатный ChatGPT

Почему переменная PATH может стать точкой атаки

👋 Приветствую в мире цифровой безопасности!

Когда вы вводите ls или python, Linux ищет нужную программу в каталогах из переменной PATH. Но что произойдёт, если в этом списке окажется каталог, куда может записывать другой пользователь?

⏺Посмотреть порядок поиска можно командой:

echo "$PATH"

Например:

/usr/local/bin:/usr/bin:/bin

Система проверяет каталоги слева направо и запускает первый подходящий исполняемый файл.

⏺Где появляется проблема: Допустим, скрипт администратора вызывает команду без полного пути:

#!/bin/bash
backup-tool /var/www

Если в начале PATH находится доступный для записи посторонним каталог, там можно разместить другую программу с именем backup-tool. Скрипт запустит её вместо ожидаемой утилиты.

⏺Особенно опасно, когда такой скрипт выполняется с повышенными привилегиями. Тогда подменённая программа может получить права процесса, который её запустил. Проверить, какой файл будет найден, можно через:

type -a backup-tool
command -v backup-tool

⏺Как защититься? Для привилегированных скриптов лучше задавать безопасный PATH и использовать абсолютные пути к важным утилитам:

PATH=/usr/sbin:/usr/bin:/sbin:/bin
export PATH

/usr/bin/id

Также стоит проверить, что каталоги из PATH не доступны на запись непривилегированным пользователям.

⏺Есть и менее очевидный случай: пустой элемент в PATH, например :/usr/bin, означает поиск программы в текущем каталоге. Если скрипт запускается из недоверенной директории, это создаёт дополнительный риск. Сам по себе PATH не уязвимость. Проблемы начинаются, когда привилегированная программа доверяет окружению и запускает команды, не контролируя, откуда они берутся.

🤖Бесплатный ChatGPT

StarScale AI — новая платформа для учета затрат и оценки эффективности внедрения корпоративного ИИ

Российский разработчик инфраструктурного ПО Orion soft на своей конфернции «Большая игра» представил новое решение в продуктовой ИИ-линейке.

Решение StarScale AI:
📍отслеживает потребление токенов и расходы на ИИ в разрезе компании, подразделений, отдельных инструментов, сценариев и пользователей;
📍сопоставляет затраты на конкретные сценарии с результатами их применения, в том числе с экономией рабочего времени и ее денежным эквивалентом.

«Компании уже инвестируют в ИИ, но оценить отдачу от этих вложений значительно сложнее, чем посчитать расходы на модели или инфраструктуру. StarScale AI позволяет собрать эти данные в единую картину и принимать обоснованные решения: какие проекты развивать, какие оптимизировать, а от каких стоит отказаться», — отметил Никита Векессер, руководитель продуктов Nova AI и StarGuard AI в Orion soft.

📌Узнать больше

Реклама. О рекламод__ателе

🤖Бесплатный ChatGPT

Trusted Types: как защитить сайт от DOM-based XSS

👋 Приветствую в мире цифровой безопасности!

Разработчик случайно передал пользовательский ввод в innerHTML, и браузер выполнил чужой JavaScript. Trusted Types помогает закрыть такие ошибки на уровне браузера, даже если опасный код уже оказался в приложении.

⏺Где проблема? Например, сайт берёт параметр из URL и вставляет его на страницу:

const name = new URLSearchParams(location.search).get("name");
document.getElementById("user").innerHTML = name;

Если в name попадёт вредоносный HTML, можно получить DOM-based XSS. Причём всё произойдёт прямо в браузере, без участия сервера.

⏺Включаем Trusted Types через CSP. Сначала лучше проверить приложение в режиме отчётов:

Content-Security-Policy-Report-Only: require-trusted-types-for 'script'; report-uri /csp-report

А после исправления проблем включить блокировку:

Content-Security-Policy: require-trusted-types-for 'script'

Теперь передача обычной строки в защищённый innerHTML вызовет TypeError.

⏺Как безопасно вставлять HTML? Создаём политику с очисткой через DOMPurify:

const policy = trustedTypes.createPolicy("safe-html", {
createHTML: input => DOMPurify.sanitize(input)
});

element.innerHTML = policy.createHTML(userInput);

Trusted Types сам ничего не очищает. За безопасность содержимого отвечает функция внутри политики.

⏺Если HTML не нужен, лучше вообще обойтись без него:

element.textContent = userInput;

А чтобы сторонние скрипты не создавали собственные политики, можно ограничить их через CSP:

Content-Security-Policy: require-trusted-types-for 'script'; trusted-types safe-html

Trusted Types полезен в больших frontend-приложениях, где много динамического HTML. Но поддержку браузеров нужно учитывать, а сам механизм использовать вместе с CSP и безопасной обработкой данных.

🤖Бесплатный ChatGPT

dnsx: ищем забытые поддомены и разбираемся с DNS

👋 Приветствую в мире цифровой безопасности!

Собрали пару сотен поддоменов через subfinder. А дальше что? Половина может уже не работать, часть ведёт на сторонние сервисы, а wildcard DNS вообще подсовывает несуществующие хосты. Тут пригодится dnsx от ProjectDiscovery.

⏺dnsx - open-source инструмент для массовой работы с DNS. Проверяет A, AAAA, CNAME, MX, TXT, NS и другие записи, поддерживает собственные резолверы и умеет отсеивать мусор из результатов разведки.

⏺Ставится одной командой, если установлен Go:

go install -v github.com/projectdiscovery/dnsx/cmd/dnsx@latest

Теперь можно связать его с subfinder и сразу получить IP найденных поддоменов:

subfinder -silent -d example.com |
dnsx -silent -a -resp

⏺А что насчёт поддоменов, которых нет в списках? Попробуем поискать их по словарю. Например, dev, staging, grafana или jenkins:

dnsx -silent -d example.com \
-w dev,staging,grafana,jenkins

Иногда так всплывают тестовые окружения, старые панели и другие сервисы, о которых давно забыли. Конечно, если они доступны через публичный DNS.

⏺Теперь посмотрим CNAME. Бывает, компания перестала пользоваться сторонним сервисом, а DNS-запись на него так и осталась:

dnsx -l subdomains.txt -cname -resp

Такие записи стоит проверить на потенциальный subdomain takeover. Но сам по себе CNAME на стороннюю платформу ещё ничего не доказывает.

⏺И отдельная головная боль - wildcard DNS. Запрашиваете random123.example.com, а сервер спокойно возвращает IP. Потом ещё сотня выдуманных поддоменов тоже оказывается «живой».
dnsx умеет автоматически обнаруживать такие случаи:

dnsx -l subdomains.txt \
-auto-wildcard -o valid.txt

Это помогает убрать ложные находки, прежде чем отправлять список на дальнейшую проверку.

⏺Если нужно прогнать большой список и сохранить результаты для автоматизации, есть JSONL и ограничение скорости:

dnsx -l subdomains.txt \
-recon -j -rl 50 -o dns-results.jsonl

Кстати, dnsx можно встроить в цепочку с subfinder и httpx: сначала собираем имена, затем проверяем DNS, после чего смотрим, какие веб-сервисы действительно отвечают. Для разовой проверки хватит dig. А когда перед вами тысячи хостов и нужно быстро привести результаты разведки в порядок, dnsx заметно удобнее.

🤖Бесплатный ChatGPT