Napisał: Patryk Krawaczyński
09/09/2020 w Pen Test
W
raz z pojawieniem się płatnych treści wiele serwisów nie mogło pozwolić sobie na zablokowanie ruchu do nich z poziomu wyszukiwarki Google. Dlatego przepuszczało Googleboty na “specjalnych warunkach”. Przez jakiś czas do tego typu treści można było dostać się poprzez udawanie, że jesteśmy Googlebotem – ręcznie edytując ustawienia przeglądarki lub używając specjalnych wtyczek. Jak bardzo serwisy lubią się z Google mogliśmy przekonać się na przykładzie LinkedIn, który w poprzedniej wersji interfejsu pozwalał na pobieranie nawet zastrzeżonych profili z poziomu testów optymalizacji mobilnej Google.
[ czytaj całość… ]
Napisał: Patryk Krawaczyński
21/06/2020 w Techblog
S
erwis instagram jakiś czas temu wprowadził wymóg logowania po przeglądnięciu kilku zdjęć. Znajomy poprosił mnie o zbadanie, czy istnieją istnieją alternatywne metody, aby ominąć tą restrykcję. Najszybszym i najprostszym sposobem jest wykorzystanie serwisu ImgInn, który wykorzystuje API serwisu instagram. Wystarczy adres w postaci: https://instagram/mike.wazowski zamienić na: https://imginn.com/mike.wazowski, co daje nam pełen dostęp do obrazów z danego profilu z możliwością ich ściągnięcia. Serwis ten umożliwia również usuwanie danych wybranych kont – dlatego jeśli nie możemy wykonać podglądu z tej pozycji pozostaje nam dodanie własnego filtru do dodatku uBlock Origin:
instagram.com##._Yhr4.RnEpo
instagram.com##body:style(overflow:visible !important;)
lub ręcznie za pomocą “Narzędzi programistycznych” (F12 w przeglądarce) zmieniamy kod HTML z:
<body class style="overflow: hidden;">
na:
<body class style="overflow: visible;">
oraz wyszukujemy element HTML div z frazą "_Yhr4" w nazwie klasy i go cały usuwamy. Od tej chwili możemy swobodnie przewijać stronę, ale niestety nie możemy powiększać obrazów poprzez klikanie na nie. Dla rozwiązania tego problemu użyjemy stałego skrótu URL. Wystarczy skopiować adres dowolnego obrazka np.:
https://www.instagram.com/p/wWwNfseCwPl/
i dodać do niego frazę: /media/?size=l, czyli:
https://www.instagram.com/p/wWwNfseCwPl/media/?size=l
Więcej informacji: Wątek na Twitterze
Napisał: Patryk Krawaczyński
01/03/2020 w Bezpieczeństwo
T
surugi Linux jest dystrybucją typu DFIR (ang. Digital Forensic in Incident Response), czyli coś dla specjalistów informatyki śledczej zajmujących się wsparciem reakcji na incydenty. Został stworzony przez weteranów takich dystrybucji, jak Deft oraz Blacktrack jako w pełni darmowy, niezależny od komercyjnych marek projekt. Jego głównym celem jest dzielenie się wiedzą i “oddawanie jej społeczności”. Jego nazwa – Tsurugi (剣) – oznacza legendarny japoński miecz z podwójnym ostrzem używany przez starożytnych japońskich mnichów. Został podzielony na trzy typy:
[ czytaj całość… ]
Napisał: Patryk Krawaczyński
12/02/2020 w Pen Test
O
prócz masowego ściągania profili istnieje również możliwość anonimowego przeglądania profili na portalu LinkedIn. Jak wyświetlić anonimowo profil LinkedIn bez konieczności logowania się lub posiadania profilu LinkedIn?
- 1. Wyszukujemy osobę powiązaną z profilem LinkedIn za pomocą wyszukiwarki internetowej (np. Google, Bing, DuckDuckGo itd.) – zazwyczaj jest to fraza “Imię Nazwisko LinkedIn”,
- 2. Po znalezieniu adresu URL preferowanego profilu LinkedIn, na który chcemy rzucić anonimowym okiem – kopiujemy jego adres URL,
- 3. Otwieramy nową kartę w przeglądarce i przechodzimy w niej na stronę do testu optymalizacji mobilnej,
- 4. Wklejamy skopiowany adres URL LinkedIn z wyszukiwarki (pkt. 1) i klikamy
TESTOWY URL,
- 5. Po zakończeniu procesu analizy klikamy na
HTML,
- 6. Zaznaczamy cały kod HTML i kopiujemy go do schowka,
- 7. Otwieramy nową kartę w przeglądarce i przechodzimy w niej na stronę z edytorem renderującym kod HTML,
- 8. Wklejamy HTML ze schowka i klikamy
RUN,
- 9. Po wyrenderowaniu strony będziemy mogli zobaczyć profil LinkedIn.
Więcej informacji: 10 Minute Tip: Viewing LinkedIn Profiles Anonymously
Napisał: Patryk Krawaczyński
02/01/2020 w Pen Test
W
ayback Machine to archiwum internetowe, znajdujące się pod adresem archive.org/web/. Jest to zbiór ponad 401 (i rośnie) miliardów migawek (ang. snapshots) stron internetowych zapisanych na osi czasu. Dla łowców błędów oraz pentesterów może stanowić narzędzie do pasywnego rekonesansu. Dzięki temu serwisowi jesteśmy w stanie uzyskać dostęp do starych wersji stron internetowych. Czasami obecna wersja strony jest względnie bezpieczna, ale migawki starszych wersji mogą ujawniać ciekawe informacje lub błędy. Czyli Wayback Machine można traktować jak wehikuł czasu, który pozwala cofnąć się w czasie i zobaczyć, jak kiedyś wyglądała strona / jakie pliki i ścieżki serwer serwował, aby uzyskać więcej informacji niż to, co jest dostępne w bieżącej wersji. Na przykład:
[ czytaj całość… ]
Napisał: Patryk Krawaczyński
12/12/2019 w Pen Test
J
eśli interesuje nas wyszukiwanie filmów Youtube na podstawie lokalizacji lub sprawdzanie w jakich lokalizacjach były kręcone konkretne filmy lub filmy danych kanałów to narzędzie internetowe o nazwie YouTube Geofind powinno nam w tym pomóc. Jest niezwykle łatwe w użyciu i chociaż niewiele osób faktycznie taguje swoją lokalizację, zawsze dobrze sprawdzić swoje filmy lub czy coś innego się kręci w pobliżu – nigdy nie wiadomo.
Więcej informacji: youtube-geofind
Napisał: Patryk Krawaczyński
10/11/2019 w Pen Test
P
odczas wyszukiwania domen lub subdomen należących do tej samej firmy możemy wykorzystać fakt, że często współdzieloną one ten sam Google Analytics ID lub AdSense ID. Wystarczy pobrać ze źródła strony HTML kod identyfikujący danego klienta. Na przykład dla GA będzie to:
curl -L https://pentest.target | egrep 'UA-[0-9]+'
_gaq.push(['_setAccount', 'UA-12345678-22']);
Tak pozyskany kod możemy wykorzystać na stronie site-overview.com (zmieniając tylko ostatni człon URL) lub dnslyrics.com w celu uzyskania informacji mówiącej nam jakie jeszcze inne domeny / subdomeny są pod niego podpięte. To samo tyczy się AdSense ID. Korzystając z site-overview najlepiej jeszcze wyniki przeszukać pod kątem wprowadzonego ID, ponieważ wyniki mogą być nadmiarowe. Warto również zwrócić na wartość liczby po ostatnim myślniku: -22 – oznacza to, że jest to 22’ga usługa powiązana z kontem UA-12345678.
Więcej informacji: Hussein Daher
Napisał: Patryk Krawaczyński
12/01/2019 w Bezpieczeństwo, Pen Test
W
poprzedniej części zebraliśmy i przygotowaliśmy do wstępnej obróbki zbiór danych pochodzący z skracarek URL. W tej części zajmiemy się jego umieszczeniem w silniku wyszukiwania, który umożliwi nam bardzo szybkie pozyskiwanie interesujących nas informacji. Jak wcześniej wspomnieliśmy na naszej maszynie wirtualnej uruchomiony jest system Ubuntu 18.04 LTS. Sama maszyna ma 2 CPU / 4 GB RAM oraz 100 GB dysku z czego 57 GB jest już zajęte przez ściągnięte, skompresowane dane. W tej części artykułu interesuje nas stworzenie następnego przepływu danych:
[/data/archive/*/*/*.txt] --> [logstash] --> [elasticsearch] --> [kibana]
[ czytaj całość… ]
Napisał: Patryk Krawaczyński
18/02/2017 w Pen Test
B
ardzo wiele osób zawsze zadaje sobie pytanie: Jak mój adres e-mail znalazł się w bazie spam? Odpowiedź może być prosta: Sam(a) go przekazał(a)eś. Tak. Np. za pomocą portalu LinkedIn. Jak możemy przeczytać na stronie jest to “największa sieć specjalistów, licząca ponad 467 milionów użytkowników w 200 krajach i terytoriach na całym świecie“. Pytanie ilu z tych użytkowników jest pacynkami ze skarpetek do wyciągania danych?
[ czytaj całość… ]
Napisał: Patryk Krawaczyński
11/09/2016 w Pen Test
T
infoleak jest prostym skryptem napisanym w języku Python, który pozwala na uzyskanie takich informacji o użytkowniku Twittera, jak:
- podstawowe informacje: nazwę, zdjęcie, lokacje, śledzących itp.,
- urządzenia oraz systemy operacyjne,
- aplikacje oraz używane inne media społecznościowe,
- odwiedzane miejsca oraz dane geolokalizacyjne,
- analizę hashtagów, wspomnień i wiele innych…
Oczywiście informacje te uzależnione są od ustawień konta, jakie wybrał dany użytkownik Twitter’a. Przejdźmy do procesu instalacji i przykładowego użycia skryptu.
[ czytaj całość… ]
Ostatni komentarz :