Форум информационной безопасности - yg140.servegame.com

Салют, иллюзионисты! Хочу представить вам авторский врайтап к заданию "Доступ запрещен" с площадки Codeby Games.

Начнем...

Ку, киберрекруты. Сегодня расскажу об основных типах переменных, с которыми вы можете столкнуться при реверсировании кода на языке Си (и в общих чертах), и мы рассмотрим, как выполняется приведение на низком уровне. Это будет относительно быстро.

Casting - это способ "преобразования" переменной одного вида в переменную другого вида. Кстати, tutorialspoint делает это очень простым для понимания:

"Преобразование одного типа данных в другой известно как приведение типов или преобразование типов. Например, если вы хотите сохранить значение 'long' в простое целое число, вы можете преобразовать тип 'long' в 'int'. Вы можете преобразовывать значения из одного типа в другой явно, используя оператор cast следующим образом - (имя_типа) выражение".

Ку, киберрекруты. Данная статья посвящена уязвимости CVE-2023-31554, которая найдена в xpdf v4.04 . Тоже неплохая практика в ПыВНе - реальные кейсы, а именно для прокачки скиллов в фаззинге. Данная уязвимость приводит к отказу работы. На протяжении всей работы опирался на эти данные в статьях:

1. A stack-overflow in pdfimages xpdf4.04 - forum.xpdfreader.com
2. NVD - CVE-2023-2663

Для ТОП 10 игроков нашей CTF платформы создали ВИП статус на форуме с доступом в Green и Grey разделы на 30 дней. Срез статистики будет в 20:00 в последний день каждого месяца. На следующий день раздаём статусы.

️ Для получения статуса необходимо добавить юзернейм вашего аккаунта на форуме yg140.servegame.com в профиль борды.

Нажмите, чтобы раскрыть...

Каждую субботу в 12:00 на CTF-платфоме Codeby Games будут появляться новые задания. За FirstBlood вы получаете Telegram Premium на свой аккаунт.

Призы за First Blood:

Cложные задания - Telegram Premium на 12 мес
Cредние задания - Telegram Premium на 6 мес
Легкие задания - Telegram Premium на 3 мес

Нажмите, чтобы раскрыть...

Старт марафона 24 июня. Акция действует до конца лета. У каждого есть шанс попробовать себя в роли хакера, присоединяйся!

Обязательное условие участия - в настройках профиля на платформе добавить username своего Telegram аккаунта.

Введение
Всем привет, сегодня я расскажу о достаточно простой, но интересной на мой взгляд уязвимости. Итак, давайте по порядку. Суть заключается во внедрении команд ОС в поле ввода. Важно отметить разницу между инъекцией кода и инъекцией команды. При инъекции кода хакер вставляет свой код, который в дальнейшем воспроизводится приложением или программой, тогда как командная инъекция может использовать преимущества среды приложения, в которой выполняются системные команды. Эти понятия схожи, но то, что командная инъекция основана на нормальном поведении приложения, часто облегчает ее использование.
Терминология
Внедрение команд ОС - это одна из разновидностей внедрения кода. Её особенностью является выполнение несанкционированных команд операционной системы на удалённом сервере через уязвимое приложение.

Если в отношении пользовательского ввода не осуществляется должная проверка, то приложение может быть уязвимы к данной атаке. Используя эту уязвимость, хакер...

Доброго времени суток, уважаемые форумчане. Прошло 10 дней с момента сдачи экзамена в рамках Suffer SQL injection master - можно выдохнуть и спокойно, без горячки, написать отзыв о курсе да и вообще вспомнить как это было.
Курс длился в общей сложности 3 месяца. С какими мыслями я пришел на курс? Начитавшись отзывов о том, что идти на WAPT без прохождения SQLim - формальное самоубийство, я решил не испытывать судьбу и не лезть вперед батьки в пекло. И не смотря на исключительно положительные отзывы на данный курс, мысли накануне старта были примерно следующие:

Наверное, будет пипец как сложно. Ну вот для меня-то точно сложно. Интересно, я хоть до экзамена доберусь? Ну ладно хоть теория не на английском. С первого раза точно не сдам. Скорее всего даже не со второго. Блин, интересно, а какой процент не сдавших? А если не сдать экзамен трижды, могут аннулировать диплом о ВО...?

Нажмите, чтобы раскрыть...

Два раза в неделю (понедельник\четверг) открывался новый блок заданий в лаборатории (от двух до пяти тасков в...

Приветствую, Кодебай! Сегодня пройдём Soccer - лёгкую линуксовую машину с площадки HackTheBox. Приятного чтения, друзья

Разведка

Начинаем, как всегда со сканирования портов, используем флаг -sC, чтобы использовать стандартные скрипты, -sV, чтобы определить сервисы открытых портов:

Всем привет! Рассмотрим задачу «Финский инсайдер» с площадки codeby.games из раздела OSINT.

Ку, киберрекруты. Данная статья посвящена CVE-2022-48422. Данная уязвимость была обнаружена в ONLYOFFICE-DocumentServer-7.3.0 и дает возможность получить привелегии через троянского коня libgcc_s.so.1 в текущем рабочем каталоге, которым может быть любой каталог, в котором находится документ ONLYOFFICE. Однако, в данном чтиве просто попробую получить краш. Думаю, это явялется хорошей практикой для пывна рил кейсов.