Pentest с ИИ-агентами, эксперимент с CAI

Привет хабр! Про ИИ-агентов сейчас говорят везде, от статей до технических отчётов. Но одно дело теория, и совсем другое практика. Поэтому я решил провести небольшой эксперимент, взять новый инструмент CAI и проверить, справится ли он с популярными учебными задачами по пентесту. В этой статье расскажу о своём небольшом тесте open-source проекта

https://habr.com/ru/articles/943638/

#CAI #Cybersecurity_AI #pentest #CTF #TryHackMe #Juice_Shop #Basic_Pentesting #Mr_Robot_CTF #информационная_безопасность #ИИагенты

Начинаем в багбаунти: распродажа уязвимостей в Juice Shop, или Как искать простейшие баги в веб-приложениях

Привет, меня зовут Анна Куренова ( @SavAnna ), в IT я уже девять лет. Начинала как разработчик и тестировщик, потом начала искать уязвимости и перешла в ИБ. Сейчас работаю DevSecOps-инженером и веду телеграм-канал 8ug8eer . В этой статье поговорим о базовых вещах в вебе и некоторых простых уязвимостях, поиск которых под силу даже начинающим. Текст будет полезен новичкам в сфере безопасности и тестирования софта. Нашим подопытным станет магазин соков под незамысловатым названием Juice Shop. Это уже готовое приложение, которое работает на HTTP/1.1. Я развернула его на своем домене, который содержит множество уязвимостей и отлично подходит для обучения. Продолжим

https://habr.com/ru/companies/pt/articles/878360/

#cybersecurity #уязвимости_и_их_эксплуатация #багхантинг #багбаунти #juice_shop #burp_suite #stored_xss #idor #contenttype

Что делать, если WAF не позволяет создать кастомное правило для JSON: готовое решение

Сегодня расскажем вам о нестандартном подходе к защите веб-приложений с помощью PTAF PRO. Мы с коллегами столкнулись с интересной задачей: как защитить уязвимое приложение от вредоносных JSON-запросов, если WAF официально не поддерживает их обработку в пользовательских правилах? В этой статье пройдем путь от постановки проблемы до ее решения, используя регулярные выражения и нестандартные настройки PTAF PRO. Руслан Ануфренка, инженер в группе технической поддержки информационной безопасности в К2 Кибербезопасность расскажет, как: 1. Настроить систему для работы с внешним агентом PT AF PRO; 2. Закрыть уязвимость Zero Stars в Juice Shop; 3. Создать и применить пользовательское правило с помощью регулярных выражений; 4. Оценить эффективность и ограничения такого решения. Статья будет полезна специалистам по информационной безопасности, разработчикам и всем, кто интересуется тонкостями настройки WAF и защиты веб-приложений.

https://habr.com/ru/companies/k2tech/articles/860014/

#json #waf #веббезопасность #файрвол #juice_shop

Некоторые аспекты позитивной и негативной моделей платформы «Вебмониторэкс»

Каждый новый специалист нашей практики Защиты приложений проходит нечто среднее между посвящением и стажировкой. Обычно в рамках задачи нужно развернуть уязвимое приложение, WAF одного из наших фокусных партнеров, а потом найти конкретную уязвимость, проэксплуатировать ее, посмотреть что видно на WAF в режиме мониторинга, а затем настроить WAF, чтобы он начал обнаруживать и блокировать данную уязвимость. Конечно, уязвимости при этом выбираются не такие, чтобы сразу по сигнатуре можно было бы ее обнаружить. В этой статье младший системный инженер “К2 Кибербезопасность” Даниил Золотарев поделится задачей, которая выпала ему. В ходе работы Даниилу пришлось защищать Juice Shop средствами платформы «Вебмониторэкс» и столкнуться с некоторыми аспектами негативной и позитивной моделей данного WAF. Далее мы рассмотрим примеры создания пользовательских правил, для блокировки атак Improper Input Validation (Неправильная проверка ввода). Таким образом наглядно продемонстрируем одну из ключевых возможностей WAF – закрытие дыр приложения в проде до фикса.

https://habr.com/ru/companies/k2tech/articles/809503/

#вебмониторэкс #waf #защита_приложений #juice_shop #кибербезопасность #тестирование_вебсервисов #web_security #тестирование_ит_систем #owasp