Co w pentestach piszczy – przykłady, narzędzia, porady. The Hack Summit 2021

Co w pentestach piszczy - przykłady, narzędzia, porady. The Hack Summit 2021

„Co w pentestach piszczy – przykłady, narzędzia, porady” – prezentacja, którą miałem przyjemność przedstawić w ramach konferencji The Hack Summit 2021. Znajduje się w niej trochę statystyk z testów penetracyjnych, narzędzi, przykładów znalezionych podatności oraz porad jak sobie z nimi radzić.

Turbo Intruder w testowaniu Race Condition

Race condition wielowątkowość

Czy wiesz, że będąc wystarczająco szybkim, możesz wykorzystać lukę, której przy zachowaniu „standardowej” prędkości wysyłania żądań http do serwera nie udałoby się zidentyfikować? Czasami przy szukaniu błędów bezpieczeństwa trzeba zmierzyć się w wyścigu z kodem programisty i serwerem. Race Condition jest typem błędu wynikającym między innymi ze starego podejścia do… Continue reading

HopLa – autouzupełnianie dla Burp Suite

HopLa autouzupełnianie BURP

Wystarczy jedna literówka i payload, który miał zadziałać, nie zadziała. Dobrze jeżeli zostanie to zauważone i poprawione. Nierzadko jednak pewnie w ten sposób dochodzi do sytuacji gdy jakaś podatność nie została wykryta. Kilka dni temu mój kolega Dawid podesłał mi wtyczkę do Burpa, która pomaga przeciwdziałać tego typu wpadkom. HopLa… Continue reading

SAML Raider czyli polowanie na błędy w SSO na sterydach

saml raider

Spoglądając na request poniżej może wydawać się, że jest on mało interesujący (pod kątem możliwych przy jego pomocy przeprowadzenia scenariuszy ataków). W rzeczywistości jest zupełnie odwrotnie. Jest to request zawierający security assertion markup language. Inaczej mówiąc jest to – ustandyryzowany xml, podpisany i ubrany w base64. Otwierając taki request przy… Continue reading

Automatyczne wykrywanie dowolnego ciągu znaków (klucze api, hasła, komunikaty o błędach) – RegexFinder

RegexFinder error message

BurpSuite mimo bycia najlepszym narzędziem do testów penetracyjnych web aplikacji, z jakim dane mi było pracować, posiada nadal obszary, do rozwoju. Niedawno został on uzupełniony w moduł „Logger”, który de facto działa tak samo co wtyczka „Flow” z której korzystam na codzie. Mianowicie archiwizuje cały ruch przechodzący przez proxy Burpa…. Continue reading

FFUF i EyeWitness – przyśpieszenie procesu wyszukiwania

FFUF AWK

Sytuacja wygląda następująco — FFUF znalazł kilkadziesiąt/kilkaset „ukrytych” zasobów. Możesz ręcznie kopiować adresy do przeglądarki, żeby sprawdzić każdy z nich pod kątem ciekawych wyników albo nieco zautomatyzować cały proces. Polecam to drugie podejście i podsyłam gotowy skrypt, który część pracy wykona za nas. Pierwszym krokiem do stworzenia użytecznego jedno liniowca… Continue reading

Wyszukuj/Fuzzuj szybciej z FFUF

ffuf fuzowanie

„Niektóre treści na stronach internetowych są pozornie ukryte – to znaczy, że nie posiadając ich adresu, nie jesteśmy w stanie się do nich dostać. Często są to jakieś pozostałości jeszcze z etapu tworzenia aplikacji – programista miał je później usunąć, ale zapomniał ¯\_(ツ)_/¯ .” – to ze wspominek o DIRB…. Continue reading

Automatyzacja testów przesyłania plików – Upload Scanner

Upload Scanner

„Unrestricted File Upload” czyli nieograniczone przesyłanie plików należy do mojej ulubionej grupy podatności aplikacji webowych. Spowodowane jest to tym, że jeżeli już uda mi się zlokalizować tego typu błąd bezpieczeństwa, prowadzi on najczęściej do zdalnego przejęcia kontroli nad serwerem. Skoro można przesyłać obrazki to dlaczego by nie spróbować przesłać na… Continue reading

Identyfikacja użytych technologii na stronach internetowych – Wappalyzer

Identyfikacja użytych technologii na stronach internetowych - Wappalyzer

Podczas testu penetracyjnego, faza rekonesansu stanowi najistotniejszy element całej „zabawy”. To ona niejako nadaje kierunek dalszych kroków. Dlatego też ważne jest, żeby podejść do niej z należytą starannością i zdobyć jak najwięcej informacji o naszym celu. Użyte technologie przy budowaniu web aplikacji niosą ze sobą określoną klasę zagrożeń i potencjalnych… Continue reading