Archive

tldr: For now, don't open .webarchive files, and check the Metasploit module, Apple Safari .webarchive File Format UXSS Safari's webarchive format saves all the resources in a web page - images, scripts, stylesheets - into a single file. A flaw exists in the security model behind webarchives that allows us

[Josh] has a series called Ham Radio Crash Course and a recent installment covers how you can grab satellite images directly from weather satellites. This used to be more of a production than it is…

Evasion techniques

Lack of origin authentication (CWE-346) at IPN callback processing function allow (even unauthorized) attacker to remotely replace critical plugin settings (merchant id, secret key etc) with known to him and therefore bypass payment process (eg. spoof order status by manually sending IPN callback request with a valid signature but without real payment) and/or receive all subsequent payments (on behalf of the store).

TL;DR Встроенные средства macOS позволяют выполнить некоторые атаки на Wi-Fi-сети. В статье описывается, как с помощью встроенного в Macbook Wi-Fi адаптера Air...

Using WinDBG to tap into JavaScript and help with deobfuscation and browser exploit detection - szimeus/evalyzer

The Mobile Security Testing Guide (MSTG) is a comprehensive manual for mobile app security development, testing and reverse engineering. - OWASP/owasp-mstg

This post is a write up of an XSS in AMP4Email (obviously already fixed) I reported via Google Vulnerability Reward Program in August 2019. The XSS is an example of a real-world exploitation of well-known browser issue called DOM Clobbering.

Landing page или лендинг – это оригинальная посадочная страница, которая рекламирует услугу или товар, предлагает купить или заказать обратный звонок в вашу компанию. Интернет-магазины, витрины — это конечно хорошо. Но когда нужно сделать акцент на одном препарате, лендинг идеально справляется с данной задачей. Содержание 1. Почему лучше одностраничник? 1.1. Структура лендинга для nutra офферов 1.2. Правила...

Javascript rants and findings, by kangax

Как работать со множеством аккаунтов и избежать бана? Использовать антидетект браузер. Мы собрали подборку из самых лучших антидект браузеров, которые помогут вам зарабатывать больше денег.

Сегодня решил-таки описать последний проект, т.к. это прикольное и в то же время не стандартное решение. Начало Есть большой сегмент магазинов, услуг и вообще...

Приятно, когда профит оправдывает затраченные силы. Например, в своём докладе с MAC Kyiv 2019 Alex Ca$h рассказал про то, как сливать на увеличители и заработать за месяц $8100. Важные нюансы при сливе,...

Stealing local files and changing flags by chaining several bugs

Как превратить потенциальных клиентов в фактических, сыграв на психологии человека, в статье для журнала Inc рассказывает Питер Янг. Подготовили перевод материала.

We analyze a new modular fileless botnet malware we named “Novter” that the KovCoreG malvertising campaign has been distributing.

In 2017, Mandiant responded to multiple incidents we attribute to FIN7, and a unique aspect of the incidents was how the group leveraged an application shim database to achieve persistence on systems in multiple environments.

Whenever I have a chance I use my time diving into Windows internal binaries to uncover hidden functionality. This blogpost is dedicated to things I have discovered with the CMSTP.exe binary file. …

Разбираем 4 подхода (медицинский, новостной, народный блог, хайповые темы),которые обеспечат высокий апрув и помогут избежать блокировки аккаунтов. Своим опытом и знаниями делится спикер MAC Kyiv 2019...

Многие SEO-шники до сих пор ведут дискуссии по поводу оценки качества ссылочных доноров. Допускать ошибку при выборе нельзя, ведь это приведет к потере трафика и позиций. Как не облажаться и выбрать тот...

Encrypted exploit delivery for the masses. Contribute to MRGEffitas/Ironsquirrel development by creating an account on GitHub.

This is the first documented case of one-click mobile exploits used to target Tibetan groups, and reflects an escalation in the sophistication of digital espionage threats targeting the community.

Click to view Frederik's blog post

We have written about the threat actor eGobbler extensively on our blog over the last year as they’ve continued to emerge as a prolific…

This XSS cheat sheet contains many vectors that can help you bypass WAFs and filters. You can select vectors by the event, tag or browser and a proof of ...