HTB - Unicode (medium) walkthrough (ITA)

Guarda su YouTube → 1:52:40 27 luglio 2022

CybersecurityCTF

Descrizione

In questo video mostro un walkthrough completo della macchina Unicode offerta dalla piattaforma Hack The Box. ------------------------------------ MATERIALE ORIGINALE: https://archive.leonardotamiano.xyz/yt/htb/22/ https://www.youtube.com/watch?v=J2z9jMagQc0 ------------------------------------ RIFERIMENTI ESTERNI: https://jwt.io/ https://irrte.ch/jwt-js-decode/pem2jwk.html https://book.hacktricks.xyz/pentesting-web/unicode-normalization-vulnerability https://github.com/extremecoders-re/pyinstxtractor https://github.com/zrax/pycdc ------------------------------------ TIMESTAMPS: 00:00:00 introduzione 00:01:55 nmap 00:04:00 enumerazione web server 00:07:35 analisi endpoint /redirect 00:10:25 gobuster 00:14:40 continuo enumerazione web server 00:19:40 introduzione al JWT (JSON-Web-Token) 00:24:45 funzione del JKU nel JWT 00:29:50 attacco tramite il JKU (in teoria) 00:32:00 generazione jwt tramite python 00:39:00 attacco tramite il JKU (in pratica) 00:49:54 conversione chiavi RSA nel formato JWKS (JSON-Web-Key-Set) 00:52:50 continuo attacco tramite il JKU (in pratica) 00:55:13 la codifica unicode 00:57:57 unicode normalization per LFI 01:04:20 utilizzo LFI per enumerare i files di nginx 01:07:00 user flag 01:07:50 analisi vulnerabilità gestione JWT-JKU 01:10:00 analisi vulnerabilità unicode-normalization 01:14:00 sudo l 01:15:50 analisi black-box binario treports 01:20:00 utilizzo pspy per monitorare i processi 01:23:55 python compilato e introduzione al reverse engineering 01:27:45 come passare dal compilato python al codice sorgente 01:36:45 differenza tra ELF, byte-code e codice sorgente decompilato 01:38:50 analisi codice sorgente decompilato 01:41:32 curl e il protocollo file:// 01:46:04 brace expansion in bash 01:48:30 root flag ---------------------------------- PER CONTATTI: - Website: https://leonardotamiano.xyz - Academy: https://academy.leonardotamiano.xyz - Email: leonardotamiano95@gmail.com - LinkedIn: https://www.linkedin.com/in/leonardo-tamiano-707591236

Commenti 14

I commenti vengono da YouTube e sono aggiornati periodicamente.

@zerocool12451 29 luglio 2022 1

Bellissimo questo video. Super formativo. Grazie Leonardo
@costamvp3373 27 luglio 2022 1

Nonostante ho fatto l'esame di VDSI eccomi qui a commentare il tuo video! Molto chiaro e soprattutto utile per aver visto delle nuove vulnerabilità. Mi chiedo solo come le persone "skillate" riescono a capire certi passaggi, che senza "aiuti" cadrei subito nel rabbit hole. La parte di UNICODE mi ha fuso il cervello, bellissimo! Continua cosi king, grazie <3
2 risposte
1. @esadecimale Autore 27 luglio 2022 3
  
  Se ci pensi la tua domanda si riduce a: “come si fa ad imparare?” Domanda assolutamente legittima e su cui è importante saper riflettere. Allo stesso tempo però è anche una domanda che lascia poco di concreto, perché in ultima analisi le persone capiscono ciò che capiscono tramite la loro intuizione. Poi, certo, posso “allenare” la mia intuizione ascoltando e vedendo come le altre persone risolvono le varie sfide che incontrano nel loro percorso. Ma alla fine, quando ci si ritrova davanti all’ignoto e non si sa che strada prendere, a chi bisogna affidarsi? A nessuno, oltre che alla propria intuizione. E sia chiaro che nessuno è in grado sempre di riuscire da solo a fare le cose. L'importante è tenere traccia di ciò che si è fatto in modo da essere preparati per il divenire, senza avere la pretesa di capire cosa fare, ma lasciando spazio alla nostra intuizione in modo che lei ci possa guidare alla soluzione.
2. @costamvp3373 28 luglio 2022 1
  
  @esadecimale sensei! Il piano infatti adesso è sia continuare le macchine su HTB che fare qualche corso specifico che vendono sulla piattaforma, per difendersi meglio dall'ignoto. :D
@demarcusdimplebottom4887 2 agosto 2022 1

sarebbe interessante una serie di attacchi a reti LAN/ Domain Active Directory
1 risposta
1. @esadecimale Autore 2 agosto 2022 1
  
  Concordo appieno! Sto ancora finendo altre cose, ma verso settembre/ottobre dovrei iniziare ad approfondire in modo sistematico tutta la parte windows, e ovviamente la porterò sul canale :D
@hshehereuisys9305 27 luglio 2022 1

ciao Leonardo, ho scoperto da poco il tuo canale e mi piacciono molto i tuoi video nonostante io non abbia le conoscenze per capire alcunché ad ottobre inizierò l'università (informatica - sapienza) e mi mi interessa l'ambito delle reti e della sicurezza provengo da un tecnico informatico e programmo in python e vorrei sapere cosa studiare ora per avvantaggiarmi in futuro (es imparare bene il linguaggio X che all'università non si farà che però mi servirà) o per anticiparmi qualcosa ci sono alcuni fonti (che non siano libri universitari) da cui posso attingere qualcosa? ci sono determinate cose sulle quali posso mettere le mani quest'estate prima di studiare all'università? e dove posso trovare delle fonti di studio? grazie mille in anticipo.
2 risposte
1. @esadecimale Autore 27 luglio 2022 1
  
  Hey ciao, mi fa un sacco piacere che ti interessa il mio contenuto, anche e specialmente se per adesso capisci poco di queste cose. Significa che il tuo interesse è motivato da qualcosa di profondo che ti sta spingendo a volerne sapere di più, e questo è importante. Per quanto riguarda la tua domanda, vedo nelle tue parole una fretta, una profonda voglia di imparare tutto ciò che serve nel minor tempo possibile, sfruttando ogni secondo del tempo a tua disposizione. Ovviamente mi potrei sbagliare, ma se fosse così ti dico: imparare come imparare è la prima vera sfida che noi tutti dobbiamo affrontare. Io ti consiglio per adesso di concentrarti sulle basi, sulle fondamenta, e queste sono tre principalmente: - programmazione - sistemi operativi - protocolli di rete Non concentrarti su libri specifici. Impara a scaricare materiale e capire se può essere interessante da solo. Impara a capire dove dare importanza e dove lasciar stare. Impara un po’ di linux. Scaricatelo, e scrivi qualche progetto con qualche linguaggio di programmazione su linux. Poi magari potresti fare qualche progetto con una parte di reti. Insomma, in questa prima fase del tuo percorso devi iniziare con l’imparare come imparare. Questa è forse la cosa più difficile ma anche la più necessaria, perché una volta che avrai capito un pochino cosa fare, avrai gli strumenti per fare il resto. Detto questo, non avere troppa troppa fretta, perché secondo me al lungo andare non aiuta così tanto.
2. @hshehereuisys9305 28 luglio 2022
  
  @esadecimale grazie mille!
@superiorrr4 28 luglio 2022

Yaga still the IT sorcerer? xdddd
4 risposte
1. @esadecimale Autore 28 luglio 2022 1
  
  AHAHAHAHA, you got me
2. @superiorrr4 28 luglio 2022
  
  @esadecimale legends never die xdd
3. @superiorrr4 28 luglio 2022
  
  @esadecimale did u have telegram or something?
4. @esadecimale Autore 28 luglio 2022
  
  Write me yours by email at leonardotamiano95@gmail.com