W pracy #od0dopentestera potrzebujemy narzędzia, które rejestruje i ponownie wykonuje żądania http.
Jednym z nich jest Repeater z pakietu Burp.
Teoretycznie to prosty mechanizm. Po lewej treść żądania a po prawej odpowiedź serwera.
Ale istnieje trochę opcji, których mogłeś nie znać.

1. Żądania przechowywane są w ponumerowanych zakładkach.
Można zmienić ich nazwę klikając na daną zakładkę dwa razy.
2. W rogu zakładki, znajduje się przycisk „X” zamykający naszą pracę.
W najnowszej wersji
Macie już "pamięć nieulotną" Snowdena? Warto ją przeczytać, niezależnie od tego jakie zdanie ma się o Edwardzie. Opis i fragment tu: https://niebezpiecznik.pl/post/pamiec-nieulotna-ksiazka-edwarda-snowdena-ktora-trzeba-przeczytac/

#security #bezpieczenstwo #niebezpiecznik #hacking #snowden #sluzbyspecjalne #usa
Pobierz
źródło: comment_jzGHEtFAbl7F6tiZMKQ1POOsuAhqYeXp.jpg
Pod tagiem #devopsiarz będę od czasu do czasu rzucał ciekawy soft z działki #devops, w tym #golang i #python

Dziś webserver i load balancer caddy. Dziecko #golang

Serwer, który wprowadza nową jakość do zastanej grupy serwerów www, gdzie obijają się apache, nginxy, iisy i lighttpd i plankton złożony z innych tworów. Dlaczego? Wskaż tylko w prostej konfiguracji, że Twoja strona ma adres [https://twojastrona.com](https://twojastrona.com) i Caddy sam zajmie się certyfikatami SSL
Odpaliłem antywirusa(ClamAv) na swoim Linuxie to ciekawe że coś i co mi wykrył.

/var/lib/flatpak/repo/objects/34/32b76db9f3df9ffb126a55624df56417c367c47d95e3f619585af51e448144.file: BC.Gif.Exploit.Agent-1425366.Agent FOUND

/var/lib/flatpak/runtime/org.gnome.Platform/x86_64/3.32/09eb4c452c16ce200f5daf404c2cf372e2add9bcd8e8c46ce30e2e070cf3fa8b/files/libexec/installed-tests/gdk-pixbuf/test-images/gif-test-suite/max-width.gif: BC.Gif.Exploit.Agent-1425366.Agent FOUND

Jakieś porady? jak sprawdzić które pakiety były trefne? zaraz zaktualizuje flatpaka i wywalę nie potrzebne programy

#linux #flatpak #security #wirus #debian #ubuntu
#security #szyfrowanie #bezpieczenstwo #kryptografia

Ogarnia ktos temat tęczowych tablic?
Męczy mnie jedna rzecz. Na jakiej podstawie robi sie redukcje w tęczowych tablicach?

Zakladajac ze robie tablice dla hasel skladajacych sie z 2 cyfr z zakresu od 0 do 9, ilosc mozliwych "hasel" to 100, ilosc obliczonych hashy to rowniez 100.

Jezeli taka tablica miala by mi pomoc, to musi byc ona mniejsza niz ilosc wszystkich mozliwych kombinacji. Jak ja zredukowac, tak zeby
@Pawliko: może to Ci coś pomoże (znalezione gdzieś w moich notatkach)
4.1.4 Tęczowe tablice

Zdefiniowanie funkcji redukucjącej
W przykładzie FR będzię tworzyć nowe hasło poprzez wzięcie 4-ech pierwszych cyfr z hasha.
Funckja ogranicza się do łamania haseł które:

składają się z 4 znaków
znaki hasła to tylko cyfry
będzie błąd , gdy hash nie będzie miał przynajmniej 4 cyfr
Wyliczenie wartości dla Tęczowej Tablicy

Bierzemy przykładowe hasło:
1729
Liczony jest hash.
Pod tagiem #devopsiarz będę od czasu do czasu rzucał ciekawy soft z działki #devops, w tym #golang i #python

Dziś httpie, a więc sprawka #python (a), czyli taki bardziej elegancki curl.

Służy do szturchania endpointów API, czyli najczęściej będą to serwery WWW. Dlaczego niby elegancki? Bo obsługuje się bardzo intuicyjnie i tak http GET to wiadomo, że używamy metody GET, http POST to wiadomo. Do tego prosto podajemy nagłówki, w
Pobierz
źródło: comment_o3xMR80JBWTpud4Sb4pe08WFtAxk4qnc.gif
jak jest weryfikowana autentyczność certyfikatu ssl? tworząc taki certyfikat proszę urząd certyfikacyjny o podpisanie go ich podpisem cyfrowym po przejściu jakieś procedury weryfikacyjnej. ale jak potem przeglądarka użytkownika weryfikuje autentyczność takiego certyfikatu? przeglądarki mają pobrane klucze publiczne urzędów certyfikacyjnych i w ten sposób sprawdzają czy podpis cyfrowy CA się zgadza czy jakoś inaczej jest to zrobione?
#informatyka #bezpieczenstwoit #tsl #ssl #webdev #security
@lukasz890123 Jak rozumiem (a słabo się znam) w uproszczeniu:
Podpisujesz swoim kluczem prywatnym prośbę o certyfikację zawierającą twój klucz publiczny i wysyłasz do urzędu certyfikacji.
urząd sprawdza czy jest ok i podpisuje swoim kluczem prywatnym tą prośbę oraz odsyła Ci jako certyfikat zawierający twój klucz publiczny podpisany kluczem prywatnym urzędu i informacje że ten klucz publiczny jest powiązany z ta domeną.
Ty umieszczasz na serwerze www ten certyfikat konfigurując sobie ssl.
Przeglądarka
Jak znaleźć dziurawy komputer w (swojej) sieci i przejąć nad nim kontrolę? Tak:
https://niebezpiecznik.pl/post/psst-adminie-devopsie-i-sieciowcu-zobacz-jak-testowac-swoja-siec-pod-katem-bezpieczenstwa/

Psst! Adminie , devopsie i sieciowcu -- mamy szkolenie z tych tematów 16-18 października w Warszawie, ⚠️tylko do czwartku ⚠️można je mieć po niższej cenie ;) A jak ktoś czyta do końca wpisy na Mirko, to z dla pierwszego Mirka mamy dodatkowy off jeśli poda kod N4WNET1610.

#security #bezpieczenstwo #niebezpiecznik #hacking #devops #sysadmin #systemyoperacyjne #siecikomputerowe
Pobierz
źródło: comment_V9jKNduaoc8jEjn3NMvKHJjZ32XEb6xf.jpg
Burp Suite to jedno z głównych narzędzi #od0dopentestera
Działa ono jak serwer proxy – czyli wszystko co wysyłamy i odbieramy w przeglądarce jest zapisywane również tam.
Takie dane można następnie filtrować i wybierać interesujące nas żądania.
One to mogą być przesłane do modułu repeater.
Tam można je dowolnie modyfikować – czyli dodawać lub usuwać parametry, nagłówki i ciasteczka.
Większość pracy pentestera to umiejętne manipulowanie wszystkimi parametrami i obserwowanie odpowiedzi serwera.
Sporo z
Masz pytanie na temat security?


@KacperSzurek: Jasne.
Security to very szeroki topic, w którym każdemu beginnersowi pojawia się dużo questionsów i zanswerowanie ich w social mediach jest bardzo well widziane przez community, bo może zaimpovementować knowledge i zgainować trochę nowych skillsów przydatnych w usual taskach albo większych czelenżach uzgadnianych na meetingach z coworkerami przy aprobacie managementu.
@MrFisherman:

w branży IT dominuje jezyk angielski czy tego chcesz czy nie i łatwiej powiedzieć security albo np spring security niż bezpieczeńtwo danych.


To prawda, dominuje.
Jednak specjaliści IT dzielą się na:
1) tych, którzy anglicyzmów używają umiejętnie i
2) tych, którzy anglicyzmów używają bezmyślnie kalecząc składnię języka polskiego.

Ja bardzo szanuję tych pierwszych. Ci drudzy często wykazują się ignorancją, bezmyślnością, lenistwem, a swoje inwalidztwo językowe próbują nieporadnie przykrywać poprzez głoszenie
Panika na Twitterze. Piszą o "atakach politycznych", ale w rzeczywistości... Przeczytajcie nasz opis wczorajszego ataku, jaki wymierzony został m.in. w polskich użytkowników Twittera. Zobaczcie co mogło Was spotkać -- kliknęliśmy w ten link i "zainfekowaliśmy się", abyście Wy nie musieli klikać :-)
https://niebezpiecznik.pl/post/twitter-atak-aplikacja/
W artykule także porady dla tych, którzy dali się nabrać, więc przekażcie to info znajomym użytkownikom Twittera!

#security #bezpieczenstwo #niebezpiecznik #hacking #twitter #polityka
Pobierz
źródło: comment_WMEzou3l3kbERRlXdDhYqFrx4HJD3UBi.jpg