REDtalk

Привет! 🖥 Хочу поделиться своим опытом в популярной ныне теме - 3D-печати. За 9 месяцев она эволюционировала от небольших рабочих задач до полноценного хобби. За это время я приобрел бесценный опыт на своих ошибках и завернул его в отдельный пост, в котором показаны несколько примеров моделей, в частности, применяющихся в работе пентестера. Читать: 🔗 Тык!

Привет! Всем хорошего летнего отпуска. ✈️ Мы на днях побывали в кибердоме, поиграли и посмотрели на стендофф. Это конечно не PHDays, но тоже неплохо. Было несколько интересных активностей с призами в виде мерча.

Привет! 🔥 Последний месяц был сильно загружен, плюс майские праздники, но сейчас мы все в сборе, и готовы пилить контент. Хочу рассказать про свой опыт работы с платформой для автоматизации написания отчетов по пентестам — Sysreptor. В жизни каждого пентестера наступает момент, когда он понимает, что больше не может писать драфты в Ворде, и начинает искать альтернативы. Таких альтернатив на самом не мало, есть и полностью опенсурсные, и коммерческие, и гибридные. Я таким образом познакомился с двумя из них — 🔗 Pentest Collaboration Framework (PCF) и 🔗 Sysreptor. Первая является полным опенсурсом с лицензией от MIT (код можно использовать в любых целях), а еще создана нашими слонярами, за что им почет и уважение. 🥺 Вторая - зарубежными коллегами из германской компании Syslifters, с кастомной лицензией и про-версией. Несмотря на свою любовь к открытому исходному коду, Sysreptor мне понравился больше. Про функционал рассказывать не буду, он и так описан на странице проекта. Напишу про отдельные фичи, которые особенно зашли и реально помогают в работе: * Я работаю с Pro-версией. Не будем винить людей за монетизацию их опенсурс-продукта. Большая часть этих фич есть и в бесплатной, но исходники содержат всё. *️⃣В первую очередь — это очень удобный интерфейс и текстовый редактор. Наверное именно из-за этого я и смотрю больше в сторону сисрептора, нежели PCF. Есть поддержка Markdown и вставка скриншотов. *️⃣Большое комьюнити, 2.5к звезд на гитхабе и отдельная документация. *️⃣Много отдельных небольших фич, помогающий в рутине. Например, спеллинг (проверка орфографии) текста (в частности и русского) и возможность одновременного редактирования. Все вместе они сильно бустят процесс написания отчетов *️⃣Я еще не трогал, но есть возможность подключения API для open-webui. Можно прямо не отходя от кассы редактировать отчет через LLM. *️⃣Мощный гибкий редактор шаблонов отчета на VueJS. Через несколько дней курения мануалов я стал джуном фронтендером в смог вставить в шаблон отчета очень нестандартные хотелки. В целом инструмент отличный. Я с его помощью сделал отчет по HTB CTPS и несколько полноценных пентестов полностью без использования MS Word. Конечно, в отличие от PCF, Sysreptor не является прям платформой для коллаборации и единого управления пентестами, но необходимый минимум имеется. Также, как и для любых других бесплатных проектов, необходимо выделить время на изучение инструмента и его развертывание.

Мы учли вашу обратную связь в виде реакций к первоапрельскому посту и приняли решение не удалять канал, спасибо за фидбек. 🔥 А теперь главная новость. Мы долго ждали и (не без участия канала, админ которого часто комментирует наши посты) пробили отметку в ⚡1.000⚡ хацкеров. Благодарим всех новых подписчиков за проявление интереса к нашему творчеству, а старых — за длительное присутствие и создания комьюнити, мы и дальше будем пилить новости, посты, статьи и гайды по темам из мира ИБ, с уклоном в технику. С уважением, Команда канала RedTalk

Привет, друзья! 🤡 Спешим сообщить, что ввиду замедления мессенджера Telegram наш канал полностью переезжает на российские площадки. Текущий канал будет удален через 2 недели Ссылка на канал в Max: 🔗Тык

Привет!⚡ Вчера мне попалась копия Metasploit Pro, и я решил сделать подробное сравнение с Community Edition. Так как планировалось много скриншотов и текста, хотел как всегда сделать пост на своем сайте. ОДНАКО... Оказалось, что сравнивать там практически нечего. Все отличия можно вывести небольшим списком, а все скриншоты загрузить в шапку поста, что я сейчас и сделал. Итак, спидран по сравнению Metasploit Pro и Community Edition (CE для краткости). Поехали: *️⃣ Ожидаемо, в Pro версии добавлен и, самое главное, поддерживается, Web-GUI интерфейс. Он содержит весь функционал msfconsole и даже больше. Установка и поддержка Pro-версии менее геморная, ставится за несколько нажатий кнопки "Далее". Командная строка полностью отсутствует. *️⃣ Уклон Pro-версии сделан больше на удобное непрерывное использование. Есть вкладки с проектами, сканерами, автоэксплоитами, и так далее. Всё можно планировать по времени для проведения аудитов. *️⃣ Pro-версия имеет проприетарные Pro модули. Проприетарные потому, что, в отличие в CE, они скомпилированы, и посмотреть исходники не так просто (но и не так сложно, Ruby всё-таки — интерпретатор, значит тут скорее всего просто трансляция в байт-код) *️⃣ Добавлен фишинг, прямо как в как в Gophish. Можно планировать фишинговые компании с собственным письмом и поддельным веб-ресурсом. *️⃣ Есть встроенный сетевой сканер. Доступен на той же вкладке с остальным функционалом. На этом всё. И ценник приемлемый, 100500 тысяч денег за годовую подписку. Ладно, на самом деле всё очень плохо. Насколько? Сейчас расскажу: 1️⃣ Вы ГУИ видели на скриншотах? Там nmap флаги нужно ставить галочками. И еще эти 4 диаграммы в проектах... Ладно, возможно там не так всё плохо, но главную фичу Pro-версии можно и получше сделать. Например, добавить темную тему 2️⃣ Да, касательно сканера. Тот самый встроенный сетевой сканер — это буквально прекомпилированный nmap. И помимо него есть еще несколько внешних утилит — John The Ripper, VNCViewer и еще парочка. Ну хоть вывод парсится. И да, под автоэксплоитами поднимается запуск всех подряд модулей, которые хоть как-то подходит по сигнатуре целевых портов. Упомяну про лицензии, а именно, с GPL, которой подписан nmap, ведь данная лицензия не позволяет продавать ПО без согласия правообладателя. Ну тут, думаю, всё-таки договорились, а не втупую украли. 3️⃣ Когда я сказал про фишинг прямо как в Gophish, я ни капли не преувеличил. Это БУКВАЛЬНО Gophish. Весь функционал точь в точь совпадает. 4️⃣ До этого момента я ни слова не сказал про нашу любимую Advanced Payload, сердце метасплоита — Meterpreter. Знаете почему? Потому, что она не модифицирована абсолютно никак. Единственное отличие — чекбоксы вместо ключей командной строки при конфигурации нагрузки. Грустно 😢 Общее впечатление оставляет желать лучшего. Metasploit Pro позиционирует из себя решение как для Vulnerability Management, так и для проведения пентестов, а как мы знаем, попытка запихнуть несколько основных фич в один продукт редко приводит к хорошему результату. Единственный небольшой плюсик — это отсутствие командной строки, что делает доступность работы с Pro версией любому админу. В заключение скажу несколько слов в защиту Rapid7. На мой взгляд, они являются если не отцами-основателями, то мощнейшими контрибьютерами в современную мировую ИБ. Концепция эксплоитов в качестве модулей, открытый исходный код, да тот же meterpreter, от которого пошли все современные C2. И при этом Metasploit развивается по сей день, несмотря на постепенное устаревание языка Ruby. Всё это необходимо монетизировать, так как работа стоит немалых трудозатрат, а на одном энтузиазме, как известно, не уедешь. Спасибо за внимание!

Привет! 🤩 Хочу поделится своей историей проектировании свей первой печатной платы. Думаю, материал будет полезен просто для общего ознакомления, и тем, кто только начинает разбираться в проектировании плат, чтобы не наступать на те же грабли. Читать: 🔗 ТЫК Приятного чтения!

#meme

Шок, жесть блин вышел! Встречайте второй сезон! Потихоньку вкатываемся обратно в работу и другие дела. Вспомнили, что у нас есть подкаст, и решили не тянуть. Обещаем прокачать контент, приглашать крутых гостей и копать глубже в темы, которые реально интересны и вам, и нам. Позвали нашего знакомого пентестера и red teamer'а. Он рассказал, как на самом деле устроены атаки на компании. Есть ли универсальные способы взлома? Какие инструменты реально используют? И правда ли, что в большинстве случаев виноват просто человек и человеческий фактор? Без занудства, по делу. Если интересно, как думают те, кто ломает системы за деньги, заходите послушать. Обязательно подписывайтесь на нашего гостя! У него достаточно много интересного контекта! Наши подкасты можно послушать тут: 🟢Spotify 🟣Apple Music 🔵Web 🟡Index Подписывайтесь на канал, дальше больше!

Привет! ⌨️ Сегодня вышла небольшая коллаборация с нашими друзьями из RedBlue Notes — Записали подкаст про redteam, ответили на популярные вопросы. Хорошо подойдет для прослушивания во время поездок.

Ставь 💀, если тоже ставишь серверную в гардеробной комнате. И аппарат для его очистки в углу #meme