Pentestit
@pentestit-team
Практическая информационная безопасность
Information
- Rating
- Does not participate
- Location
- Москва, Москва и Московская обл., Россия
- Registered
- Activity
Практическая информационная безопасность
Information
что-то одноглазых среди ваc не видно)
Перезвоните позже, я на математике (с)
Напишите, пожалуйста, на info@nemesida-waf.ru с той почты, которую указывали в форме заявки, будем разбираться
Спасибо, что обратили внимание, проводились тех. работы
Потому, что уязвимость в Spring Framework, но для эксплуатации требуется, чтобы приложение работало на Tomcat. При этом они не исключают, что можно выполнить эксплуатацию и без запуска под Tomcat:
The vulnerability impacts Spring MVC and Spring WebFlux applications running on JDK 9+. The specific exploit requires the application to run on Tomcat as a WAR deployment. If the application is deployed as a Spring Boot executable jar, i.e. the default, it is not vulnerable to the exploit. However, the nature of the vulnerability is more general, and there may be other ways to exploit it.
И пылесос с ИИ, который лучше сосет. Как и написали, готовы показывать эти цифры на боевом трафике.
Nemesida WAF / Nemesida WAF Free - отечественный WAF, за который не стыдно!
Спасибо, free-версия постоянной связи не требует
Используем ML в Nemesida WAF для выявления атак - по сравнению с сигнатурным анализом снизили до 0.01% ложные срабатывания, повысили до 99.99% точность выявления. Технические подробности можно почитать здесь:
Я твой WAF payload шатал (https://habr.com/ru/company/pentestit/blog/540188/)
Машинное обучение vs сигнатурный анализ при обнаружении атак на веб-приложение (https://habr.com/ru/company/pentestit/blog/427577/)
Принцип применения ML для анализа HTTP-запросов (https://waf.pentestit.ru/about/4578)
В общем, почта в данном примере — один из каналов, а суть статьи — в тех. разборе техники фишинга и веб-сервере, с которым будет взаимодействовать жертва. Ну и, конечно, еще раз напомнить потенциальным жертвам, что не нужно поддаваться панике и кликать на первое любезно предложенное атакующим решение (на второе тоже не нужно), а сомнительные письма лучше показать админам или безопасникам. Про настройку stmpd все по делу написали.
Что касается типов данных, то вы также правы, но отчасти. Даже если в каком-то поле используется определенный тип данных, то ничто не мешает использовать во всех полях значение NULL, суть которого кроется в его названии. Более подробно про это значение можете ознакомиться в статье на Википедии
И да, верно подсказали, что зачастую поиск и эксплуатация SQL-инъекций — это как унылый перебор таблиц, если union based используется, так и не менее унылый посимвольный перебор для дампа информации из бд в случае blind SQLi.
и в ответе веб-приложения мы увидим список всех таблиц, в том числе и системных. Чтобы не отображать системные таблицы, которые редко будут представлять интерес, можно видоизменить запрос:
В таком случае будут показаны только те таблицы, которые присутствуют в текущей базе данных. Стоит также отметить, что для разных СУБД синтаксис будет отличаться, но так или иначе везде можно встретить information_schema или его аналог для просмотра структуры всех БД.
В конце концов можно воспользоваться специализированными инструментами типа SQLmap
В 2017 мы только приступили к разработке Nemesida WAF, на тот момент действительно, были «детские болячки». Если на самом деле интересна точность его работы в 2021 году, можете почитать в статье Я твой WAF payload шатал.
Перехватите хендшейк с RPi и брутите его на здоровье где угодно. Raspberry Pi рассматривается в контексте мобильного перехватчика.