Eu realmente curto muito esse grupo por que usufruo das anotações que faço aqui quando quero ver algo interessante hahaha.
Alguns highlights desse vídeo que acabei de assistir e pra variar, foi MT valendo:
* Todo mundo sabe como os sistemas deveriam funcionar (especificados nas RFCs), mas eu gosto de ver como os sistemas realmente estão se comportando. James falou que vai apresentar na blackhat conference esse ano uma ferramenta que fez com outro pesquisador que busca encontrar comportamentos anômalos em diferentes servidores e CDNs / de forma massiva.
* “Teve algum momento que estava lendo sobre HTTP response splitting e todo artigo que voce olhava para o payload tudo o que voce via era uma injecao de um cabecalho na resposta.
E nisso tem algo engraçado: porque todo mundo chama de response splitting quando se esta claramente só adicionando uma header na resposta.
Na verdade o termo foi inventado quando se injetava uma resposta inteira causando uma dessincronizacao no servidor (http desynk), mas esse conhecimento foi esquecido e o nome permaneceu o mesmo.”
E nesse gap da comunidade não entender profundamente aquele topico e provavelmente nem mesmo desenvolvedores, ele diz entao que isso chamou a atencao dele para pesquisar mais sobre o tema.
Curtiu? Já sabia essa do http response splitting?
Alguns highlights desse vídeo que acabei de assistir e pra variar, foi MT valendo:
* Todo mundo sabe como os sistemas deveriam funcionar (especificados nas RFCs), mas eu gosto de ver como os sistemas realmente estão se comportando. James falou que vai apresentar na blackhat conference esse ano uma ferramenta que fez com outro pesquisador que busca encontrar comportamentos anômalos em diferentes servidores e CDNs / de forma massiva.
* “Teve algum momento que estava lendo sobre HTTP response splitting e todo artigo que voce olhava para o payload tudo o que voce via era uma injecao de um cabecalho na resposta.
E nisso tem algo engraçado: porque todo mundo chama de response splitting quando se esta claramente só adicionando uma header na resposta.
Na verdade o termo foi inventado quando se injetava uma resposta inteira causando uma dessincronizacao no servidor (http desynk), mas esse conhecimento foi esquecido e o nome permaneceu o mesmo.”
E nesse gap da comunidade não entender profundamente aquele topico e provavelmente nem mesmo desenvolvedores, ele diz entao que isso chamou a atencao dele para pesquisar mais sobre o tema.
Curtiu? Já sabia essa do http response splitting?
Videos from day 1, June 4:
- YouTube/ Security Fest: Hackers in Fiction / John Wilander
- YouTube/ Security Fest: Is there a before and an after, or a happily ever after? / Patricia Lindén
- YouTube/ Security Fest: Finding Vulnerabilities in Apple packages at Scale / Csaba Fitzl
- YouTube/ Security Fest: Hack in a box Local Language Models for automating Red Teaming and penetration testing / Skjortan
- YouTube/ Security Fest: Plundering and pillaging password and passphrase plains for profit / Will Hunt
- YouTube/ Security Fest: Closer to 0-day - Emil Trägårdh
Videos from day 2, June 5:
- YouTube/ Security Fest: Integrating AI with Retro Hardware / A Commodore 64 LLM Module / Marek Zmysłowski, Konrad Jędrzejczyk
- YouTube/ Security Fest: Privacy, Veilid, And You / Christien ‘DilDog’ Rioux
- YouTube/ Security Fest: SonicDoor / Cracking open SonicWall’s Secure Mobile Access / Alain Mowat
- YouTube/ Security Fest: Anti-Forensics / You are doing it wrong (Believe me, I’m an IR consultant) / Stephan Berger
- YouTube/ Security Fest: Modernizing Incident Response Using Techniques that Scale / Eric Capuano, Whitney Champion
- YouTube/ Security Fest: Hack the Gap Closing the CTI Divide Between Small Teams and Big Players / Chandler McClellanhttps://m.youtube.com/watch?v=pCuFGmblha4
Update: anunciou que por padrao vai ficar 20% off até dia 30
Lembram aquele post que fiz aqui sobre a criação de túneis do Cloudflare que facilitou pra gente expor um serviço local na internet rapidamente usando um domínio trycloudflare.com para testes, como em cenários de SSRF onde precisávamos de um endpoint público sem banners ou restrições de headers?
Pois é, os atacantes estão utilizando essa mesmíssima funcionalidade do Cloudflare para se camuflar na confiabilidade dessa organização para hospedar seus payloads maliciosos e infraestrutura de comando e controle, tornando a detecção e o bloqueio de suas atividades bem mais complicados para as equipes de defesa.
A campanha SERPENTINE#CLOUD exemplifica isso: e-mails de phishing com ZIPs contêm arquivos .LNK disfarçados. Estes, ao abertos, baixam um Windows Script File (WSF) de um WebDAV em subdomínio Cloudflare Tunnel. O WSF aciona um .BAT de outro domínio Cloudflare, que exibe um PDF chamariz, verifica AV, e baixa/executa loaders Python. Esses loaders usam o empacotador Donut para injetar RATs (como AsyncRAT, Revenge RAT) diretamente na memória, evadindo detecção.
Usar *.trycloudflare.com é estratégico: o tráfego pela infraestrutura legítima do Cloudflare dificulta a distinção entre atividades benignas e maliciosas, permitindo contornar bloqueios de URL/domínio e operar sem C2 tradicional. A campanha (EUA, UK, DE, etc.) evoluiu de arquivos .URL para .LNK e já foi associada à distribuição de GuLoader, PureLogs Stealer, Remcos RAT e XWorm.
Pois é, os atacantes estão utilizando essa mesmíssima funcionalidade do Cloudflare para se camuflar na confiabilidade dessa organização para hospedar seus payloads maliciosos e infraestrutura de comando e controle, tornando a detecção e o bloqueio de suas atividades bem mais complicados para as equipes de defesa.
A campanha SERPENTINE#CLOUD exemplifica isso: e-mails de phishing com ZIPs contêm arquivos .LNK disfarçados. Estes, ao abertos, baixam um Windows Script File (WSF) de um WebDAV em subdomínio Cloudflare Tunnel. O WSF aciona um .BAT de outro domínio Cloudflare, que exibe um PDF chamariz, verifica AV, e baixa/executa loaders Python. Esses loaders usam o empacotador Donut para injetar RATs (como AsyncRAT, Revenge RAT) diretamente na memória, evadindo detecção.
Usar *.trycloudflare.com é estratégico: o tráfego pela infraestrutura legítima do Cloudflare dificulta a distinção entre atividades benignas e maliciosas, permitindo contornar bloqueios de URL/domínio e operar sem C2 tradicional. A campanha (EUA, UK, DE, etc.) evoluiu de arquivos .URL para .LNK e já foi associada à distribuição de GuLoader, PureLogs Stealer, Remcos RAT e XWorm.
https://thehackernews.com/2025/06/new-malware-campaign-uses-cloudflare.html
E não tinha como eu adicionar nenhum bot no grupo. Também, o grupo tinha muitos arquivos pesados e eu não queria baixar todos eles para só depois coletar as linhas que me interessavam.
Então criei uma ferramenta para atender essa minha necessidade e tô compartilhando o código para caso alguém precise:
https://github.com/zeroc00I/ztelegramDownloader
Salve galera,
Abrimos a funcionalidade de comentários para gerar mais engajamento entre vocês nos posts aqui =)
Para inicio, quem quiser deixar seu Linkedin para se conectar com os outros, pode deixar no comentário aqui
Abrimos a funcionalidade de comentários para gerar mais engajamento entre vocês nos posts aqui =)
Para inicio, quem quiser deixar seu Linkedin para se conectar com os outros, pode deixar no comentário aqui
Dahora, legal.
Pois saiba que o subfinder recebeu a poucas horas mais uma fonte para coleta (passiva) de subdomínios, o pugrecon (https://pugrecon.com/), do Celesian https://github.com/c3l3si4n
E o que isso quer dizer, zeroc00i?
Quer dizer que aquele seu alvo, se você rodar um subfinder novamente pode ser que tenham novos subdomínios que nem você nem outras pessoas já encontraram :), o que aumenta suas chances de encontrar novas vulnerabilidades.
Link do repositório do subfinder: https://github.com/projectdiscovery/subfinder
tmj
Kali lançou nova versão
Link para o post original no linkedin: https://www.linkedin.com/posts/bir4_kali-linux-hacking-activity-7340405912244752384-mwwW
Assista no youtube: https://www.youtube.com/watch?v=hTABFFFoKJc&feature=youtu.be
Link para o post original no linkedin: https://www.linkedin.com/posts/amrelsagaei_secmeet-amrsec-bugbounty-activity-7340392720814804992-11f-
Ah, e acalmem o coração: aquele seu XSS refletido ou armazenado clássico, que não depende dessa mutação doida no DOM durante a sanitização, é outra história e continua valendo do mesmo jeito. !=mXss
<noscript><a alt="</noscript><img src onerror=alert(1)>">Hello</a></noscript>A malandragem era que, quando o sanitizador (tipo DOMPurify) processava isso e depois serializava de volta pra string, os caracteres < e > no atributo não eram escapados. Aí, na hora que o navegador ia renderizar esse HTML "limpo", ele interpretava esses caracteres como início de novas tags, e boom, XSS!
Pois é, essa brincadeira específica acabou, ou pelo menos ficou bem mais difícil no Chrome a partir da versão M138 (que vai virar estável agora 24 de junho de 2025). O Google anunciou que a especificação do HTML mudou: agora, ao serializar um DOM para string, os caracteres < e > dentro de atributos serão automaticamente convertidos para < e >. Com isso, aquele </noscript> ou <img ...> dentro do atributo não vai mais ter força pra quebrar a estrutura e criar uma nova tag do nada durante a re-parse do navegador.
Isso quer dizer que o mXSS morreu? Não completamente. Ainda existem outros vetores, como os que abusam da forma como o conteúdo de certas tags (tipo <style> ou <textarea>) é serializado sem escape. Mas aquela técnica específica, que dependia da falta de escape em atributos pra injetar tags, tomou um golpe duro.
Pra evitar mXSS de vez, o ideal continua sendo usar sanitizadores que manipulam e retornam o DOM diretamente, sem essa etapa de serializar para string e depois dar innerHTML.
