⚡️ Хорошие новости: разыгрываем мерч 🌚 Похек вместе с 👨‍💻 Standoff
#конкурс

⭐️ Всего будет 5 призовых мест, а итоги подведем 18 декабря, в 12:30 по МСК с помощью бота, который рандомно выберет победителя.

➡️Уникальность. Эти футболки больше не купишь в магазине — только для своих!
➡️Качество. Крутой дизайн и удобная ткань — идеально для ношения на крутых конференциях.
➡️Атмосфера. Вы становитесь частью сообщества людей, которые двигают мир информационной безопасности вперед!

➡️Участие только для людей, которые живут в России, т.к. доставка будет только по России.

Для участия нужно:

➡️Быть подписаным на каналы Похек и Standoff
➡️Нажать на кнопку «Участвовать»
➡️Profit...

🔖Размер только XL/XXL

Бот может немного подвиснуть — не переживайте! В таком случае просто нажмите еще раз на кнопку «Участвовать».

А у вас есть новогоднее настроение? Лично у меня нет, но я вот накупил подарков близким и когда подарю, буду доволен как Дед Мороз)
До Нового Года кстати осталось всего 2 недели, заметили?) Мне вот только вчера про это напомнили 👩

Решил пока есть хорошее настроение, написать пару постов с итогами года для меня и канала. Посты будут поделены на части, так что можете прочитать только важное для себя)

👉 Спасибо! Первое что хотелось сказать, что Я с Вами сделал х2 рост по всем направлениям: личностно, канал, медиа, зп конечно не х2, но некий икс тоже пресутствует) Без Вас ничего бы этого не было, поэтому большущее вам спасибо! 😊

👉 Конференции. За этот год я даже не смог посчитать на скольки конференциях был, точно более 30, и это только то что я не забывал в календаре отмечать. Реальное число думаю переваливает за 40. Поэтому я считаю, что могу резюмировать свой опыт и назвать его достаточно объективным.
1. База — не все конференции интересны, полезны и стоят внимания. Но есть другая грань этой мысли — если вы только начинаете свой путь в какой-то ни было сфере, будь-то ИБ, маркетинг, предпринимательство или даже юриспруденция. Посещайте конференции в начале, как можно больше. Будьте губкой, которая впитывает все возможные знания в себя. Бесполезных знаний не бывает в начале пути. Но потом, когда вы уже стали отважной петрушкой и понимаете, что тут вы ничего нового не узнаете, знакомых нет — ходить конечно не стоит. А если допустим доклады вам не интересны, но есть шанс выбраться с коллегами из офиса - вай нот?
2. Все конференции можно четко разделить на категории, просто посмотря на доклады и участников конференции.
2.1. Бизнесовые конференции классно, если вы хотите развиваться не только как технический специалист, но и иметь подвешенный язык при общении с заказчиками. Из тех что мне понравились: КОД ИБ, ГАРДА Сохранить Всё
2.2. Комьюнити ивенты - я бы сюда отнёс OFFZONE, UnderConf, Yandex Yet Another Security Meetup, VK Security Confab и приватки: Assume Birch, Zakeq, Xakep Meetup и т.д.
2.3. Около гос конференции. Тут зачастую только для пиджаков, причем дорогих) Мне лично такие конференции не заходят, т.к. не мой профиль, но к примеру бумажным ИБ специалистам, они наверное будут полезны.
2.4. Общего назначение, т.е. b2c+b2b+b2g. Из таких, это мероприятия от PT: PHD Fest, Кибердом. Что-то среднее между всем.
3. Начало конференций с 8-10 утра. Можно конечно сказать, что я ленивая жепка и просыпаюсь поздно, но судя по невыспавшимся лицам остальных 99% людей, над этим стоить задуматься и начинать позже. Ничего страшного не будет, если компании будут делать более ёмкие программы докладов с расчётом на начало в 12 к примеру. Даже скоре это к лучшему, более концентрированные доклады улучшат имидж конференции.
4. Кейтеринг (еда). Я конференции посещаю последние лет 6 своей жизни и видел разный кейтеринг, даже пару раз его организовывал. Я понимаю специфику и проблемы этого направления, но когда крупнейшие компании не заботятся о базовой потребности своих гостей, это грустно. От меня пожелания - протестировать что-то кроме микромалекулярной кухни, которой во-первых не насытишься, во-вторых не все такое едят банально. Из очень крутого кейтеринга в Q4 отмечу Bugs Zone, ИБ Митап (были очень вкусные воки, которые готовили при гостях. Это дополнительный перформанс, сытно, не так дорого как кажется) и последний в этом году митап Яндекса, где было очень вкусное мясо и других разнообразные сытные закуски (но это уже явно дорого)). А вообще можете сказать, что я жирный и мне надо меньше есть и будете правы :D

👉 Мой взгляд на тимлидство в сфере пентеста. В целом руководство более двумя людьми за раз открыл для себя в этом году. Опыт очень интересный и захватывающий)
Почему начал развитие вертикально? Всю жизнь был чисто задротом интровертом технарём, даже социопатичным в какой-то степени, хотя сейчас в этом сложно поверить. Решил для себя открыть новое направление развития, т.к. моя деятельность с каналом качает мои soft скиллы, а тимлидство это одно из лучших применений этих навыков.
С какими сложностями столкнулся? Я сложный по характеру человек и частенько какие-то споры воспринимаю в штыки, что плохо, но что есть. Поэтому первой стеной было принятие странности других людей, стараться понять человека и найти с ним общий язык, что пока получается.
Чем дальше в лес — тем больше дров. Как правильно мне сказал Лёша Федулаев, а ему его тимлид. Если хочешь быть большим руководителем, то учись руководить любым человеком.
Надо ли оно конкретно тебе? Не знаю 🐇. Каждый решает для себя сам. Я за этот год увидел много людей, которые с точки зрения карьерной лестницы уже давно могли стать руководителями отдела, но они не хотят и в этом что-то есть. Если ты понимаешь, что тебе достаточно денег, ты не хочешь больше ответственности и времени уделять работы — то это твой осознанный выбор быть тем, кем ты хочешь)

👉 Развитие моего подхода к пентестам. Когда ещё был скрипткидди, конечно пользовался только сканерами и не мог вручную какие-то CVE раскрутить. Затем открыл для себя мир кучи cli фаззеров, сканеров, чекеров и т.д. 100500 раз пробовал это всё заворачивать в bash или python скрипты, но по итогу результат был слишком не разборчив, не удобен и по итогу бесполезен. На первом месте работы пентестором, очень часто с коллегой спорили что лучше, автоматизация или ручной поиск. Каждый правда со своим мнением оставался)) Потом перейдя в следующую компанию, снова встретился с Автоматика Vs Ручки. Но тогда коллега показывал какие-то запредельные результаты относительного моего метода поиска и я стал всё больше и больше погружаться в ручной поиск. И знаете что? Да это охренено)) Закапываться в бизнес логику приложений, понимать специфику компании в какой-то сфере и от этого рассчитывать риски — это то что меня драйвит последний год наверное. Я всё также люблю автоматизацию, сейчас преимущественно пишу на Go, из-за простоты, лаконичности и кросс-платформенности. Хотя также были и есть коллеги, кто не пользуется никакой автоматикой и это тоже нормально. Я это вижу как другой склад ума и если этот подход у человека показывает классные результаты — ну и замечательно)

👉 Отношение к написанию отчетов. Знаю, что это была и будет болезненной темой для пентестеров и багхантеров. Я тоже до этого года не любил их писать. Писал хорошо, но без души и удовольствия. А потом начал общаться 1to1 с клиентом в одной из предыдущих компаний. И оказалось, что им мои XSS, IDOR ничего не говорят)) Тогда я сделал выводы и начал формировать рекомендации, описания к уязвимостям и т.д. отталкиваясь от запросов и проблем бизнеса. Советую багхантерам тоже придерживаться такого подхода. Вам даже немного проще в контексте того, что если у вендора есть триаж команда, то она зачастую технически подкована, а на обычных пентестах такого обычно не бывает. Хотя меня очень порадовала в этом году скорость обработки критов из отчётов по пентесту, т.е. очень быстрые фиксы.

Редтим до того, как его стали так называть
#meme

🌚 @poxek @poxek_meme

Бывают случаи, когда вы получаете доступ к Gitlab'у в рамках пентест проекта. Но что делать кроме клона доступных репозиториев?

Если у нас есть права в рамках gitlab или репозитория, вы можете зарегистрировать gitlab runner и сделать hijack в репозиторий, куда запулят во время работы скрипта. Дальше вы получите в grabbed_data.json с токенами. Большим плюсом является то, что джоба не падает, что позволяет не привлекать не нужное внимание разработчика или тем более appsec/devsecops. Безуслоно техника не новая, но полезно о ней помнить)

⭐️ Github

💎 Cheatsheet от snovvcrash

⭐️ Ресерч от индуса

🌚 @poxek | 📺 YT | 📺 RT | 📺 VK | 🌚 Магазин мерча