#devoops

[sublimepizzastarfish]

Got a tape drive, and now I feel like I need to learn library science.

No good open source cataloging software seems to exist that I can find to help deal with offline and online backups (i.e. tapes, CDs, DVDs, and other such things not usually attached to a computer during their lifetime). Basically, I want a cataloging solution for metadata that:

Command line and (optionally, nice to have) graphical interfaces for appending and updating records

Ease of transfer between computers (easy to back up; the basically makes all database software that isn't sqlite out of the question)

Ease of human readability (this basically dismisses sqlite)

I've settled on just hacking my own stuff together via a perl script (since it's the language that's solved 38 years worth of the exact sort of problems I'm encountering: gluing shit together in a pragmatic way). We'll see how it goes. That's kind of why I desire the wisdom of library science: I am not the first human being in the world to ever want to catalog a collection of data.

Slight spoiler: I decided to utilize YAML, because I don't wanna roll it with XML or use JSON (or JSON5) (I'll use XML before JSON variants, though), but I'm putting a strict requirement that every record for a file (or collection of files) is just one YAML document each that is insanely flat (you can have multiple YAML documents in one file easily). I'm hoping that will make it flexible enough and human readable, and text editable in a pinch, because YAML is not normally human readable or easily editable after some number of lines (I work in devoops, and shit's fucked once you have to figure out how the syntactic indenting works after the text buffer is too large for your editor).

Alternatives considered: Hacking together a MediaWiki plugin, which will make it searchable and displayable, as well as easily editable (and bonus people can collaborate and browse) (this seems like a wild left turn, but I have a couple of scripts that can spin up MediaWiki database and web instances super quick, and I can at least run a VPS for the record keeping backend, and I know how database backups work well enough).

[opservations]

SREs                Marie Kondo                                                                                                🤝                                    

      Loving mess.

(via GIPHY)

[c-cracks]

HTB - DevOops

DevOops is allegedly more difficult than OSCP but good practice; i actually found it quite easy. Probably because the vulnerabilities to exploit are pointed out.

An nmap scan reveals Gunicorn to be listening on port 5000- this is already a hint at the second attack required for the user flag as this was the same type of server I had to target for root access to Symfonos 4. Basic directory brute force further reveals the presence of three files- upload, the root of the server (index.html) and feed.

Index hints that the server uses Python at the back-end: apparently the root is feed.py while feed simply loads a png image and upload reveals a simple upload file form with reference to XML elements.

With so little to explore, it was quickly obvious that the upload form is probably vulnerable to some form of attack. I started by uploading txt and png files to observe the results- the page is simply reloaded.

This is when I thought to try uploading an XML file to the server- particularly with the hint towards what XML elements to use. 10 minutes research later and I’d put together a simple test.xml file.

I didn’t immediately jump to trying the above file: I firstly confirmed this was a vulnerability by trying to view /etc/passwd which was returned in the content element upon upload of the file.

After this, I spent half an hour or so seeing if RCE was possible through external entity attack; while it could have been if PHP was in use, it isn’t obviously so in the case of Python. This is when I remembered feed.py.

Feed.py revealed the insecure use of pickle on user supplied POST data to /newpost. After facing similar with JSON pickles in the past, I was aware that RCE was possible through this vulnerability and began working towards a reverse shell.

I learned here that things should always be tested locally first before testing them remotely: I was fiddling around with the reverse shell for an hour or two and constantly receiving error 500s. When I tried ti loally and it worked, i knew it was likely that there was something else wrong with my payload.

After 10-20 minutes, I discovered that adding the Content-Type header and setting it to text/html resulted in successful delivery of the payload (I confirmed this with a simple ping at first.)

Now I just needed to get a working payload- netcat was on the victim but a nc reverse shell resulted in immediate disconnection meaning the process was being terminated for some reason on their end. After some trial and error, I uncovered the following working payload:

I created this script from a few I found on Google. The pickle vulnerability arises form the manner in which pickle deserializes data (translating a byte stream to an object in the case of Python, an object being a list or dictionary etc.)

Objects with pickle are serialized using dumps or dump while they are deserialized using load/loads.

To achieve RCE through pickle, however, we must use the __reduce__function:  it requires a callable object and an optional tuple of arguments for the called object, thus providing this to the Pickle process will executable the mentioned callable object along with the provided arguments.

The above revere shell succeeded and I had a foothold on the system as Roosa. I could have probably read the user flag back in the external entity attack; I thought I’d save it for when I had achieved RCE.

The root flag is very easy- simple enumeration of Roosa’s home directory reveals a GitHub project called ‘blogfeed’ and the presence of an RSA private key used for the project’s integration. I had my suspicions this key may be relevant and thus saved it for further use later.

Further basic enumeraton (specifically of .bash_history) shows us that Roosa screwed up at one point and accidentally submitted a relevant private key to the GitHub project. Although not an expert, I use GitHub myself and thus am aware that previous commits can be viewed.

Some research showed that it is possible to view patches (I simply refer to it as changes but hey ho) to a GitHub repo via the git log -p command. Executing this reveals the original key submitted to the repo.

From here I discovered that an RSA private key can be used in place of a password for SSH access... Perhaps we have root’s private key here? I tried this with ssh -i old-key root@10.10.10.91 and sure enough we have root access.

I enjoyed this machine but I don’t feel it should be of medium difficulty- it actually took me longer on the user flag.

Also reminded myself of the importance of trying exploit payloads locally first if doable to discover the source of an error when delivering the exploit remotely.

[intellect-minds-pte-ltd]

Urgent Requirement For Dev Ops Engineer III in Singapore

Company Overview:

Intellect Minds is a Singapore-based company since 2008, specializing in talent acquisition, application development, and training. We are the Best Job Recruitment Agency and consultancy in Singapore serve BIG MNCs and well-known clients in talent acquisition, application development, and training needs for Singapore, Malaysia, Brunei, Vietnam, and Thailand.

Job Description:-

• Experienced in scripting languages like Bash, Python • Hands on experience with Build & Deploy technologies such as Maven, Gradle, Jenkins, Artifactory/Nexus, GIT, Puppet/Chef and exposure to UNIX based system administration experience, configuring and supporting Jenkins • Experience with application configuration tools: Ansible. • Experience with large-scale datacenter application deployments including monitoring and capacity planning. • Excellent written communication, problem solving, and process management skills. • Desire to work in a fast paced, evolving, growing, dynamic environment. • Experience with Cloud Computing platforms (e.g. Amazon AWS, VMware, Docker) will be a plus • Experience with build tools such as Ant, Maven, Gant, or Gradle. • Experience with Kafka, Cassandra, Spark, Docker, Container Orchestration Engine such as Kubernetes,

Education:

• BS in Computer Science or related field

All successful candidates can expect a very competitive remuneration package and a comprehensive range of benefits.

Interested Candidates, please submit your detailed resume online.

To your success!

The Recruitment Team

Intellect Minds Pte Ltd (Singapore)

[ineha123-blog]

Peopleclick is the leading corporate training institute in Bangalore provides job oriented training with real time projects. After the training we will help for the placements and resume preparation

[uwteam]

25 lutego 2022

◢ #unknownews ◣

Kolejna porcja przeglądu ciekawych znalezisk wyłowionych z czeluści netu w ciągu ostatniego tygodnia.

Wielka wyprzedaż gier od Sid Meier’s - za 60zł złowisz 12 gier z dodatkami.

1) Jak dobra jest Twoja wyobraźnia przestrzenna? (szybka gra) https://0xf00ff00f.github.io/rotator/ INFO: zabawa z tą aplikacją w teorii powinna zająć maksymalnie 2 minuty (bo na tyle pozwala timer), ale nie oszukujmy się... nikt nie podchodzi do zadania, tylko jeden raz ;)

2) Radio Garden - słuchaj na żywo stacji radiowych z całego świata https://radio.garden INFO: nawet nie wiedziałem, że na terenie naszego kraju jest tyle stacji radiowych. Gdy klikniesz konkretne miasto, warto rozwinąć panel po lewej, bo w jednym mieście może być nawet kilkanaście stacji.

3) KiKŚ - Katastrofy i Konflikty Światowe (aplikacja Android/iPhone) https://aplikacja-kiks.pl INFO: jeśli szukasz krótkich (niczym tweety) aktualizacji na żywo odnośnie do tego, co dzieje się teraz w związku z wojną na Ukrainie, to ta aplikacja dostarczy Ci ich. Przez większość roku powiadomień jest niewiele, ale w przypadku wystąpienia konfliktu można liczyć na suche fakty, bez emocji i interpretacji. Bardzo fajnie się to prezentuje.

4) Zdobywanie roota na maszynie, widziane oczami pentestera https://kaizoku.dev/htb-devoops INFO: to solucja do starej maszyny 'DevOops' dostępnej na HackTheBox. Bardzo fajne podejście do rekonesansu środowiska z jednoczesnym zaprezentowaniem garści użytecznych narzędzi i technik pentesterskich.

5) Średniowieczny Photoshop, czyli jak w dawnych wiekach 'pracowano z obrazami' https://leidenmedievalistsblog.nl/articles/medieval-photoshop INFO: ponowne wykorzystywanie innych grafik nie jest domeną naszych czasów. Okazuje się, że takie 'photoshopowe' podejście istniało już w średniowieczu.

6) Kaskadowe warstwy w CSS - czyli wydajniejszy sposób na ogarnięcie styli na stronie https://ishadeed.com/article/cascade-layers/ INFO: o tym, jaki styl otrzyma dany element, decydują dwie rzeczy: waga selektorów oraz kolejność definicji stylu w kodzie. Z użyciem 'Cascade Layers' możemy osiągnąć rozwiązanie znane np. z Photoshopa, gdzie elementy przypisane do jednego obiektu wrzucone są na jedną warstwę i nie dziedziczą się na pozostałe. Obecnie rozwiązanie jest wspierane przez najnowsze wersje Firefoxa, Chrome i Safari.

7) Darmowy Webinar: Terraform Associate - certyfikat w zasięgu Twojej ręki? [link sponsorowany] https://app.evenea.pl/event/exlabs-3-1/ INFO: Jak przejść certyfikację Terraform Associate w tydzień? Opanuj Terraform, który jest drugą najlepiej płatną technologią (po Spark) i zarabiaj nawet 30k miesięcznie

8) File System Access API w JavaScript - jak z tego korzystać? https://css-tricks.com/getting-started-with-the-file-system-access-api/ INFO: szybki i dość zwięzły wstęp do operacji na plikach na dysku użytkownika w JS. Odczyt plików, ich zapis, wczytywanie całych katalogów i inne. Technologia ta jest jeszcze słabo obsługiwana, ale na szczęście istnieje pollyfill implementujący tę funkcję w starszych przeglądarkach

9) A gdyby tak w 100% przenieść się na IPv6 już dziś? https://blog.brixit.nl/going-ipv6-only/ INFO: użytkownik wyłączył w swojej sieci wsparcie dla IPv4 i przeprowadził mini eksperyment, sprawdzając przy tym, jak użyteczny byłby współczesny Internet działający jedynie w oparciu o protokół IPv6. Okazuje się, że używanie internetu w taki sposób nie jest aż tak proste.

10) Wykorzystywanie wygaśniętych domen do przejmowania kont developerów w NPM https://thehackerblog.com/zero-days-without-incident-compromising-angular-via-expired-npm-publisher-email-domains-7kZplW4x/ INFO: publikujesz swoje paczki w repozytorium NPM, a jednocześnie posiadasz własną domenę mailową? Nie zapomnij jej opłacić, ponieważ ktoś może przejąć wszystkie Twoje biblioteki. Ciekawy opis ataku.

11) Nowy Google Tag Manager będzie odporniejszy na AdBlocki? https://chromium.woolyss.com/f/HTML-Google-Tag-Manager-the-new-anti-adblock-weapon.html INFO: unowocześniona wersja GTM będzie oparta się na rozwiązaniach server-side, dzięki czemu mechanizmy wykrywające np. komunikację z Google Analytics nie będą w stanie jej zauważyć. Sprytne posunięcie ze strony Google. Czekamy na odpowiedź ze strony Adblocków i wtyczek podnoszących poziom prywatności.

12) Mapa przedstawiająca na żywo wszelkie działania wojenne na terenie Ukrainy https://liveuamap.com/ INFO: serwis jest skrajnie przeciążony (z wiadomych przyczyn), więc niekiedy dostanie się na niego wymaga kilku prób.

13) Narzędzie online do zabawy kolorami https://hue.tools/ INFO: szczególnie spodobała mi się opcja generowania palety kolorów przechodząca od koloru A do B.

14) Zbiór gotowych skryptów do manipulacji obrazami, bazujących na ImageMagick http://www.fmwconcepts.com/imagemagick/index.php INFO: jeśli potrzebujesz przetwarzać obrazy w command line, to te skrypty mogą okazać się bardzo pomocne

15) Melody - alternatywny język do zapisu wyrażeń regularnych (RegEx) https://github.com/yoav-lavi/melody INFO: projekt stara się przekształcić opis słowny wyrażenia w klasycznego RegExa. To jest kompilator wyrażeń, więc nie używasz go w projekcie, a jedynie osadzasz w aplikacji już skompilowaną wersję wyrażenia.

16) Redukcja rozmiarów aplikacji na iOS o niemal 200MB - case study https://telkins.dev/posts/how-i-shaved-187mb-off-uniteds-airlines-439mb-ios-app/ INFO: ciekawa lektura przedstawiająca jak zbudowane są iPhonowe aplikacje 'od środka', jak i prezentująca metodę ich analizy (przy okazji poznasz, czym jest 'ipatool')

17) Dlaczego Windows 8 zawierał w sobie ASCII Art z kotami siedzącymi na płocie i dlaczego już go nie zawiera? https://devblogs.microsoft.com/oldnewthing/20220208-00/?p=106232 INFO: ciekawe wyjaśnienie użycia kotów do debugowania aplikacji oraz wyjaśnienie, dlaczego jednak zdecydowano się ich nie używać

18) Lista 10 najczęstszych błędów w konfiguracji serwera NGINX https://www.nginx.com/blog/avoiding-top-10-nginx-configuration-mistakes/ INFO: najbardziej spodobał mi się bug z "error_log off". Warto jednak czasami czytać dokumentację ;)

19) Próba stworzenia najszybszego GIFa na świecie - czy to jest możliwe? https://www.biphelps.com/blog/The-Fastest-GIF-Does-Not-Exist INFO: w specyfikacji formatu GIF istnieje pole odpowiedzialne za opóźnienie między kolejnymi klatkami animacji. Minimalna wartość tego pola to teoretycznie 10ms. Autor stara się jednak zrobić znacznie szybszego GIFa, próbując wrzucić tam wartość '0'. Jak na to reagują przeglądarki i dlaczego opóźnienie 20ms tworzy GIFa szybszego od opóźnienia 10ms? :o

20) Tunelowanie połączeń za NATem na NGROKu się nie kończy https://github.com/anderspitman/awesome-tunneling INFO: chcesz wystawić swoją lokalną aplikację działającą w LANie na świat, ale bez jej deployu na dedyka/VPSa? Oto lista alternatyw dla ngroka, które mogą Ci się przydać.

21) Czy język Clojure jest trudny? Sprawdź sam - interaktywny tutorial https://tryclojure.org INFO: czytając kody napisane w tym języku, można się zniechęcić, ale po przejściu tego tutoriala, składnia Clojure stanie się dla Ciebie bardziej zrozumiała

22) Wyczerpanie puli adresów IPv4 - jak do tego doszło? https://en.m.wikipedia.org/wiki/IPv4_address_exhaustion INFO: pula zaprojektowana była na zaadresowanie ponad 4 miliardów IP. Co wpłynęło na to, że została tak szybko wyczerpana? Ciekawa analiza.

23) Microsoft opublikował na GitHubie swoje wysokowydajne reverse-proxy https://github.com/microsoft/reverse-proxy INFO: jeśli pracujesz z Windowsowymi projektami i bardzo zależy Ci na posiadaniu proxy napisanego w .NET i zarządzanego przez skrypty PowerShella, to może być rozwiązanie dla Ciebie. YARP (bo tak nazywa się ten projekt) można także odpalić na Linuksie i Macu.

24) LXC vs Docker - czym to się różni? https://earthly.dev/blog/lxc-vs-docker/ INFO: artykuł wyjaśnia, kiedy warto wybrać daną technologię i jakie są jej plusy i minusy. Bardzo przystępnie wyjaśnione różnice.

25) Samafor 2021 - nagrania z ubiegłorocznej konferencji na temat cybersecurity https://www.youtube.com/playlist?list=PLpsB0eEHFCpYj1EMxxoItfbN1NnKvcniu INFO: łącznie 44 filmy. Część po angielsku, część po polsku. Niestety, przy niektórych nagraniach brakuje tytułu, a prezentowany jest jedynie autor

26) Bezpieczeństwo DNSa - 7 częściowa seria dogłębnie opisująca problem https://twitter.com/binitamshah/status/1495633011538542594?s=12 INFO: mocno techniczna lektura, ale może zaciekawić każdego, kto chce poznać działanie DNS/DoH/DNSSEC w sposób bardzo dogłębny

27) Dyski SSD NVMe od Apple są super szybkie, ale... tylko wtedy, gdy nie zależy Ci na spójności danych (wątek na Twitterze) https://twitter.com/marcan42/status/1494213855387734019 INFO: okazuje się, że system operacyjny MacOS nieco oszukuje na testach. Wątek wyjaśnia, skąd pochodzą wyniki rzędu 40000 IOPS. Dla przeciętnego usera nie powinno to być wielkim problemem i może on się cieszyć super osiągami, ale przy profesjonalnej pracy dyski Apple mogą wypadać kiepsko.

== LINKI TYLKO DLA PATRONÓW ==

28) Lista darmowych narzędzi i serwisów użytecznych w branży cybersecurity https://uw7.org/un_832ac3c9ee9f2 INFO: strona jest dość nieczytelna. Na dole masz cztery kategorie (to te z plusikami). Rozwiń je, aby zobaczyć serwisy/soft

29) Praktyczna kryptografia dla developerów - wszystko, co musisz wiedzieć (ebook) https://uw7.org/un_741ee2615f0b1 INFO: szyfrowanie, hashowanie, generowanie liczb losowych, kryptografia symetryczna i asymetryczna i wiele innych

30) Nauka CSS - skrupulatne wyjaśnienie podstaw (ebook do czytania online) https://uw7.org/un_1e2a2da816f89 INFO: autor przeprowadza czytelnika od absolutnych podstaw (elementy blokowe, inline itp.), poprzez z-index, pozycjonowanie elementów, kończąc na bardziej zaawansowanych przykładach. Podział książki na rozdziały jest dość niewygodny, ale da się ją czytać.

Dołącz do grona patronów, dzięki którym powstaje to zestawienie: https://patronite.pl/unknow

[hackernewsrobot]

A Pentester Gets Root - Step by Step Example

https://kaizoku.dev/htb-devoops Comments

[releaseteam]

via Twitter https://twitter.com/releaseteam

[phungthaihy]

Евгений Дехтярёв — Счастливая жизнь с Kubernetes в продакшне http://ehelpdesk.tk/wp-content/uploads/2020/02/logo-header.png [ad_1] Ближайшая конференция — DevOops ... #awscertification #awscertifiedcloudpractitioner #awscertifieddeveloper #awscertifiedsolutionsarchitect #awscertifiedsysopsadministrator #casestudy #ciscoccna #comptiaa #comptianetwork #comptiasecurity #cybersecurity #devops #ethicalhacking #it #kubernetes #linux #microsoftaz-900 #microsoftazure #networksecurity #software #windowsserver

[opservations]

When you leave your Friday afternoon "standup" (that always turned into a full-on meeting and PagerDuty goes off 5 seconds later... There are probably more than a few things you wish you knew but most of all you want to know who you to go to for solution-critical information. If only you had... OpenContext.

[cyberkid1987]

Hack the Box (HTB) machine walkthrough series — DevOops

[dungeonmastersdiary]

DevOops! Culture [Comic]

[datamattsson]

Got DevOops?

[hackernewsrobot]

DevOops, some common anti-patterns

https://hackernoon.com/devoops-some-common-anti-patterns-1850ac2f5074 Comments

[releaseteam]

via Twitter https://twitter.com/releaseteam