GOOSE ATT&CK

Привет! Это подборка каналов участников сообщества ℭ𝔲𝔩𝔱 - самого крутого RedTeam в мире! 😎 Inside - канал незаменимого 😏 капитана команды Cult, RedTeam Lead'a - N3m351d'ы. asleep_book - личный блог маленькой пентестерки, которая растет вместе с Культом с момента его появления.🐾 Омский бахантер - канал одного из топовых багхантеров в России и почетного участника команды ℭ𝔲𝔩𝔱, победителя металлургического комбината!🏭 REDTalk — канал @closed_character. Cтоим на стыке синего и красного . Говорим об ИБ так, что поймет даже твоя бабушка, а потом еще и тебя научит 🗿 GOOSE ATT&CK – канал участника команды ℭ𝔲𝔩𝔱, корпората, IT/ИБ-инженера и просто хорошей птицы – Гуся.🐥 BackConnect - канал перспективного специалиста команды ℭ𝔲𝔩𝔱 - profileusername 💻. Придерживается правила 3-х «Р»: ресерчи, райтапы, развлекухи. HackITEasy - еще один авторский блог, в котором один из наших участников рассказывает просто о сложном.👀 May the Force be with you - канал нового члена команды ℭ𝔲𝔩𝔱. В своём блоге пишет об интересных исследованиях, новых уязвимостях и рассказывает об интересных кейсах в пентесте. Следуй за Культом! (@illuminatyparty) 🔤🔤🔤🔤

По слухам, в Омске продолжают работать ПВЗ СДЭКа. Знаете, почему? Потому что даже данные не могут покинуть Омск. Хакеры зашли в инфраструктуру, а выйти уже не сумели.

Один из наших участников подготовил крутой лонгрид о прошедших соревнованиях, вот он, в двух частях: Часть 1 Часть 2 Рекомендуем к прочтению 🧐

Второе место в финале Standoff 13!

Мы в финале 13 стендоффа)

Гусь не забыл про посты, которые обещал написать. Просто майские праздники несколько демотивируют этим заниматься. Поэтому вот вам краткая хронология того, чем я интересовался последние несколько дней. Началось всё вот здесь (канал тоже настоятельно рекомендую). От скуки, мозг апокалиптичное настроение подхватил и полез читать уведомления вот тут (актуальное) и смотреть на всякие графики. Конца света, к счастью, не наступило, зато многие жители центральной России получили возможность увидеть красивые северные сияния в пригородах своих городов (подробнее, где их искать и где смотреть — тут, по крайней мере для Питера). На сим, кратенькая заметка про жизнь Гуся закончена. Следующие посты, думаю, посвящу более релевантному для канала контенту — про ИБ/IT. Всем хороших выходных перед продолжением рабочих будней!

Вообще, я планировал написать еще несколько более-менее серьезных очерков, но пока принес вам только это. Хороших праздников!

Делюсь с вами своей старенькой заметкой/туториалом, как можно упростить себе исследование GraphQL-API, нарисовать красивенькую схемку, обойти отключенную интроспекцию и интерактивно потыкать запросы. (частично вдохновленно этой статейкой с PortSwigger'а) Генерация статичной схемы 1. Вытаскиваем схему интроспекцией / clairvoyance через суджесты (которые почти никогда никто не выключает) 2. graphql-introspection-json-to-sdl'ом превращаем json в SDL (.graphql) 3. Делаем из нашей схемы хайрез-картинку при помощи graphqlviz (с пайпом | dot -Tpng > schema.png) Пункт 2, кажется, опциональный. Документация Graphqlviz подсказывает, что он должен уметь работать и с .json, но по каким-то причинам у меня оно то ли не завелось, то ли мне для интерактивных схем нужен был именно .graphql. Интерактивное тыкание схемы Можно пойти двумя путями: 1. Поднять свой Voyager и свой GraphiQL (либо воспользоваться онлайновым, но сливать свои схемы неизвестно кому) 2. Использовать плагин для бурпа graphquail (ставится руками, в магазине его нет) Дружеское напоминание: очевидно, стоит проверять, что любой из инструментов, используемых вами для отрисовки схемы/работы с ней, не ходит никуда вовне и все происходит у вас локально, если вам важно (как мне) сохранять конфиденциальность рабочих артефактов. Работа с GraphQL в Burp Тут вариантов тьма, заходи в магазин, вводи GraphQL и выбирай. Мне, из всего, что я пробовал, больше всего зашел inQL — он, как будто бы, работает побыстрее-постабильнее и жрет поменьше ресурсов.

Ну да чего это я. Вот еще одна милая разноцветная схемка про ИБ от ByteByteGo. Больше тут. (На этот раз найдено в Линкеде)

Довольно занимательное исследование от агентства NEWHR по зарплатам в IT. Каких-то особо удивительных инсайтов и выводов я в нем не увидел, но несколько пунктов хочется отметить. Во первых, почти не растут зарплаты у Junior-позиций. С одной стороны, понятно — джуны для работодателя в условиях кризиса невыгодны. Первые год-полтора-два они работают в минус для компании — их нужно обучать, присматривать за ними и при этом почти не получать никакого профита, и совершенно не факт, что они не уйдут в другую компанию когда освоятся в индустрии. С другой стороны, "войти в айти" сейчас и так непросто, а отсутствие роста вилок/зарплат стартовых позиций ставит людей в довольно суровые условия старта карьеры. Условные 40-60 тысяч рублей (среднее для джуна в Москве) два года назад и сейчас — совершенно разные деньги. Готов аккуратно предположить, что рост историй с накручиванием опыта и обманом работодателя связан, в том числе, и с этим. Во вторых, активнее всего сейчас растут Middle-специалисты, aka рабочие лошадки, оно и понятно — компании хотят много и быстро деливерить (необязательно качественно). Почему-то мне кажется (лениво искать соответствующие исследования), что миддлы — костяк нашего IT и составляют большую часть российских айтишников. Да, сам факт роста — круто. Но инфляцию он, по субъективному ощущению, не покрывает, и, кроме того, опять же по личному мировосприятию, зарплаты у Sr. и Middle специалистов скоро перестанут отличаться, в отличии от их зоны ответственности. То есть, в среднем, если предположить, что у человека цель работы в IT — заработок денег, то непонятно, как его смотивировать тянуться к грейду повыше. А отсутствие старших инженеров в командах в долгой перспективе может очень болезненно ударить, в первую очередь, по продуктовым командам (рост TTM, сложностями с масштабированием и прочее). Ну и в третьих, есть субъективное ощущение, что рынок зарплат уперся в потолок 300-500к рублей (Senior, Lead) и остановился. На графиках роста видно, что основная причина повышения ЗП — повышение оклада на 11-20%, и то, скорее всего, в пределах выше упомянутой вилки. Да, для Junior+, Middle, Middle+ ситуация на рынке хорошая. К сожалению, для всех остальных — кажется, что получать надбавки стало/станет/становится сложнее. Disclaimer: я, разумеется, не HR-специалист и высказываю исключительно субъективную и, вполне возможно, некорректную аналитику. Но то, что я вижу на инфографике примерно бьется с моим личным опытом или опытом моих знакомых, друзей.

Как вы уже могли понять, я очень люблю всякие красочные схемки. Вот, например, если у вас лаба на HTB не решается, можно посмотреть шпаргалку по Active Directory. SVG source: https://raw.githubusercontent.com/esidate/pentesting-active-directory/a8e37705542720cb1f9b65ec9039f67b70b61ca6/v2/pentesting_active_directory.svg (Нашел @bughunter_omsk)

Автор неизвестен (мне)

Тут Бастион, внезапно, решил собрать 90+ дашбордов для OSINT'а и около. Плюшкин во мне не смог пройти мимо. Держите и вы.

Клёвый доклад с HighLoad'а про то, как можно украсть горутины у шедуллера. В презентации, начиная со 175 слайда. Зачем? Да хрен его знает. Можно переписать кусочек рантайма Go внутри рантайма Go, например...

Вы не ждали, а я наткнулся на милый роадмап от Alex Xu / ByteByteGo и принес вам. Эти роадмапы тоже люблю, но за качество не ручаюсь — не валидировал. (Не) благодарите.

А, ну и вот вам еще на ночь глядя корпоративный мем.

Вы не ждали, а я наткнулся на милый роадмап от Alex Xu / ByteByteGo и принес вам. Эти роадмапы тоже люблю, но за качество не ручаюсь — не валидировал. (Не) благодарите.