Wyszukuj/Fuzzuj szybciej z FFUF

ffuf fuzowanie

„Niektóre treści na stronach internetowych są pozornie ukryte – to znaczy, że nie posiadając ich adresu, nie jesteśmy w stanie się do nich dostać. Często są to jakieś pozostałości jeszcze z etapu tworzenia aplikacji – programista miał je później usunąć, ale zapomniał ¯\_(ツ)_/¯ .” – to ze wspominek o DIRB…. Continue reading

Automatyzacja testów przesyłania plików – Upload Scanner

Upload Scanner

„Unrestricted File Upload” czyli nieograniczone przesyłanie plików należy do mojej ulubionej grupy podatności aplikacji webowych. Spowodowane jest to tym, że jeżeli już uda mi się zlokalizować tego typu błąd bezpieczeństwa, prowadzi on najczęściej do zdalnego przejęcia kontroli nad serwerem. Skoro można przesyłać obrazki to dlaczego by nie spróbować przesłać na… Continue reading

Identyfikacja użytych technologii na stronach internetowych – Wappalyzer

Identyfikacja użytych technologii na stronach internetowych - Wappalyzer

Podczas testu penetracyjnego, faza rekonesansu stanowi najistotniejszy element całej „zabawy”. To ona niejako nadaje kierunek dalszych kroków. Dlatego też ważne jest, żeby podejść do niej z należytą starannością i zdobyć jak najwięcej informacji o naszym celu. Użyte technologie przy budowaniu web aplikacji niosą ze sobą określoną klasę zagrożeń i potencjalnych… Continue reading

Trochę statystyk z pracy pentestera 2018-2020

Top 12 Vulnerabilities pentesting

Od kilku ostatnich lat zbieram dane statystyczne z wyników swoich badań nad bezpieczeństwem komputerowym. Postanowiłem się nimi nieco podzielić. Tutaj możesz znaleźć przykładowy raport z testu penetracyjnego – raport. W dużej liczbie wywiadów z testerami penetracyjnymi słyszę pytanie – „Czy bezpieczeństwo aplikacji internetowych poprawiło się na przestrzeni lat?”. Moim zdaniem… Continue reading

Publicznie dostępne wyniki badań na koronawirusa – czyli jak nie zabezpieczać danych

wyniki badań koronawirus

TL;DR – data urodzenia czy numer pesel nie stanowi dobrego pomysłu na zabezpieczenie dostępu do danych. Zagadka – co różni dwa poniższe obrazki? Zacznijmy jednak od początku. Niestety jak to często w świecie IT bywa, wygoda nie idzie w parze z bezpieczeństwem. Myślę, że tym razem było podobnie. Istnieje jednak… Continue reading

Jak zwiększyć bezpieczeństwo tokenów JWT JSON Web Token?

JSON Web Token

Tokeny JWT ostatnimi czasy stały się bardzo popularną metodą uwierzytelniania w aplikacjach webowych. Choć jest to jeden z najbezpieczniejszych sposobów chronienia zasobów, a alternatyw na rynku brak – należy pamiętać, że każda róża ma kolce i także tutaj czyha wiele potencjalnych zagrożeń. Wynikają one głównie z błędów popełnianych przy implementacji…. Continue reading

Tplmap – zidentefikuj i wykorzystaj silnik szablonu

tplmap-confirmed-injection

Gdy przeprowadzasz test penetracyjny strony internetowej, która generuje dynamiczne treści przy użyciu szablonów z wartościami podanymi przez użytkownika możesz natrafić na podatność typu Server-Side Template Injection. Ręczna identyfikacja silnika szablonu, z jaką masz do czynienia i późniejsza exploitacja może zostać w łatwy sposób zautomatyzowana przy pomocy narzędzia Tplmap. Tplmap jest… Continue reading

ATOR – Authentication Token Obtain and Replace – wtyczka Burp Suite do obsługi złożonych mechanizmów sesyjnych

Schemat działania wtyczki ATOR

Chodź narzędzie Burp Suite posiada wbudowany mechanizm obsługi sesji, coraz częściej spotykam się z sytuacjami, gdzie po prostu sobie nie radzi z utrzymaniem jej aktywnej. Jest to najczęściej spowodowane jednym z poniższych czynników: dynamiczne tokeny CSRF ukryte w różnych miejscach requestu; aplikacje oparte na JavaScript (React, Angular) i interfejsy API… Continue reading

Ukryte treści – czy wiesz czego szukać? Gotowy dobry słownik.

słowniki

Narzędzia służące do enumeracji takie jak DIRB wymagają do swojego działania specjalnie przygotowanego słownika zawierającego czasami setki tysięcy najpopularniejszych nazw folderów i plików. Technologie wykorzystywane w IT ciągle się zmieniają, a wraz z nimi ścieżki do pozornie ukrytych treści. Aby skutecznie przeprowadzać ataki polegające na enumeracji, trzeba takowy słownik ciągle… Continue reading

PassiveTotal – znajdź ukryte poddomeny

passive total lista subdomen

Podczas brania udziału w bug bunty czy też testów penetracyjnych -niezwykle istotne jest pozyskanie jak największej ilości informacji o celu swojego ataku. Nazywamy to fazą rekonesansu. Czasami ciekawe efekty można uzyskać poprzez odwołanie się do starych, zapomnianych lub z pozoru ukrytych domen, poddomen czy też adresów IP. Ślepe strzelanie w… Continue reading