HackTheBox. Прохождение Feline. RCE через сереализацию в Java и LPE через докер сокеты

Продолжаю публикацию решений отправленных на дорешивание машин с площадки HackTheBox. Надеюсь, что это поможет хоть кому-то развиваться в области ИБ. В данной статье мы получаем реверс шелл благодаря уязвимости в Apache Tomcat, проводим разведку внутри докер контейнера и повышаем привилегии,...

Все блоги / Про интернет

HackTheBox. Прохождение Jewel. RCE в Ruby on Rails, sudo и google authenticator, выполнение кода в gem

Продолжаю публикацию решений отправленных на дорешивание машин с площадки HackTheBox. Надеюсь, что это поможет хоть кому-то развиваться в области ИБ. Подключение к лаборатории осуществляется через VPN. Рекомендуется не подключаться с рабочего компьютера или с хоста, где имеются важные для вас...

Все блоги / Про интернет

Hack The Box. Прохождение Doctor. SSTI to RCE. LPE через Splunkd

Продолжаю публикацию решений отправленных на дорешивание машин с площадки HackTheBox. Надеюсь, что это поможет хоть кому-то развиваться в области ИБ. Подключение к лаборатории осуществляется через VPN. Рекомендуется не подключаться с рабочего компьютера или с хоста, где имеются важные для вас...

Все блоги / Про интернет

HackTheBox. Прохождение Worker. Работаем с SVN. Используем Azure DevOps для захвата хоста

Продолжаю публикацию решений отправленных на дорешивание машин с площадки HackTheBox. Надеюсь, что это поможет хоть кому-то развиваться в области ИБ. Подключение к лаборатории осуществляется через VPN. Рекомендуется не подключаться с рабочего компьютера или с хоста, где имеются важные для вас...

Все блоги / Про интернет

Как мы провели Hack and Learn Initiative CTF

В декабре 2020 года, за неделю до нового года, компании Semrush и Mail.ru Group решили провести совместное обучающее мероприятие по информационной безопасности в формате CTF. Причём тут разработчики, тестировщики и devops, зачем и почему – расскажем в этой статье. Читать далее...

Все блоги / Про интернет

Hack The Box. Прохождение Compromised. RCE LiteCart и бэкдор pam_unix

Продолжаю публикацию решений отправленных на дорешивание машин с площадки HackTheBox. Надеюсь, что это поможет хоть кому-то развиваться в области ИБ. В данной статье копаемся в бэкапах сайта, получаем RCE в CMS LiteCraft, обходим блокировку функций в PHP, получаем пользователя mysql и реверсим...

Все блоги / Про интернет

HackTheBox endgame. Прохождение лаборатории Hades. Пентест Active Directory

В данной статье разберем прохождение не просто машины, а целой мини-лаборатории с площадки HackTheBox. Как сказано в описании, Hades предназначен для проверки навыков на всех стадиях атак в небольшой среде Active Directory. Цель состоит в том, чтобы скомпрометировать доступный хост, повысить...

Все блоги / Про интернет

История одного «сломанного» тестового задания или осторожнее с версиями OpenSSL…

Disclaimer. Я не «настоящий сварщик», но, в связи с поиском интересной работы в сфере информационной безопасности, в последнее время регулярно решаю разные CTF и машинки на HackTheBox. Поэтому, когда мне прислали ссылку на одно из тестовых заданий в стиле CTF, я не смог пройти мимо… Смысл тестового...

Все блоги / Про интернет

HackTheBox. Прохождение Laser. Jetdirect, RPC и кража SSH

Продолжаю публикацию решений, отправленных на дорешивание машин с площадки HackTheBox. В данной статье мы работаем с принтером и получаем документ, который даст нам вектор захвата хоста, найдем в памяти ключ шифрования и расшифруем найденный документ. Далее работаем с gRPC и даже получаем RCE. Как...

Все блоги / Про интернет

Vulnhub. Прохождение Sunset: nightfall

Сегодня в нашем прохождении серии Sunset следующая коробочка – nightfall. Автор: whitecr0wz И как обычно мы начинаем с определения IP-адреса. netdiscover IP нашей машины будет 192.168.1.106. Сканирование Просканируем все порты nmap -p- 192.168.1.106 Просканировав все порты, мы видим, что у нас...

Все блоги / Про интернет

HackTheBox. Прохождение OpenKeys. Ломаем виртуалку OpenBSD

Продолжаю публикацию решений, отправленных на дорешивание машин с площадки HackTheBox. Организационная информация Чтобы вы могли узнавать о новых статьях, программном обеспечении и другой информации, я создал канал в Telegram и группу для обсуждения любых вопросов в области ИиКБ. Также ваши личные...

Все блоги / Про интернет

Кибербитва на полигоне The Standoff завершилась победой Codeby — Часть 1

Привет, наш дорогой читатель! Хочу представиться: меня зовут Станислав (@clevergod), я являюсь вице-капитаном команды Codeby.net, и этой статьей мы начинаем цикл из 3х-4х материалов, посвящённых нашему участию в киберполигоне The Standoff. По своей старой привычке, постараемся без эмоционально...

Все блоги / Про интернет

Vulnhub. Прохождение Sunset: dawn

Следующей машиной в нашей серии прохождений будет Sunset: dawn. Автор: whitecr0wz Так же как и в первом прохождении нам нужно определить IP-адрес нашей цели. Для этого используем команду netdiscover В моем случае IP-адресом будет 192.168.1.165. Сканирование Начнем наше сканирование с определения...

Все блоги / Про интернет

HackTheBox. Прохождение Unbalanced. Rsync, EncFS, Squid, XPath инъекция и RCE в Pi-hole

Продолжаю публикацию решений, отправленных на дорешивание машин с площадки HackTheBox. В данной статье разбираемся с резервной копией в rsync, подбираем пароль для EncFS, работаем со squid прокси-сервером, эксплуатируем XPath инъекцию и эксплуатируем RCE в Pi-hole. Организационная информация Чтобы...

Все блоги / Про интернет

Большая ретроспектива участия RBK.money в The Standoff 2020

…или как хакеры ломали наш опенсорс платежный процессинг в кибергороде. Привет! Мы тут недавно с процессингом RBK.money приняли активное участие в киберполигоне The Standoff — это когда делают виртуальную модель целого мегаполиса со всей его инфраструктурой, энергостанциями, магазинами и прочими...

Все блоги / Про интернет

CTF-соревнования 2020 для «белых хакеров». Старт регистрации участников

В декабре OTUS при поддержке VolgaCTF и СTF.Moscow приглашает всех, кому близко направление ИБ, на онлайн-соревнования по поиску уязвимостей. Узнать подробнее и зарегистрироваться можно здесь. А пока рассказываем подробнее про формат и участие, а также вспоминаем, как прошло мероприятие в 2019...

Все блоги / Про интернет

Vulnhub. Прохождение Sunset: 1

HackTheBox — популярная площадка среди специалистов информационной безопасности, проводящих тестирование на проникновение. Однако существуют не менее интересные CTF площадки для проверки и тренировки своих навыков, которые подойдут как начинающим, так и опытным пентестерам. Одной из таких площадок...

Все блоги / Про интернет

Hack The Box. Прохождение SneakyMailer. Фишинговая рассылка, LPE через PyPI и GTFOBins pip3

Продолжаю публикацию решений, отправленных на дорешивание машин с площадки HackTheBox. В данной статье мы получим список адресов электронной почты, выполним рассылку фишинговых писем, разместим PHP шелл через FTP, выполним произвольный код благодаря PyPI и повысим привилегии через GTFOBins pip3....

Все блоги / Про интернет

Назад