NoSQLMap Tool - Alat exploit otomatis suatu database

NoSQLMap adalah open source Python berbasis otomatis alat eksploitasi NoSQL MongoDB yang dirancang untuk mengaudit serta mengotomatisasi serangan injeksi dan mengeksploitasi konfigurasi default kelemahan dalam database NoSQL. Ini juga dimaksudkan untuk menyerang aplikasi web menggunakan NoSQL untuk mengungkap data dari database.

Apa itu NoSQLMap?

Saat ini eksploitasi alat terfokus di sekitar MongoDB, tetapi dukungan tambahan untuk platform berbasis NoSQL lainnya seperti CouchDB, Redis, dan Cassandra direncanakan dalam rilis mendatang.

A NoSQL (awalnya mengacu pada "non SQL", "non-relasional" atau "tidak hanya SQL") database menyediakan mekanisme untuk penyimpanan dan pengambilan data yang dimodelkan dengan cara selain hubungan tabular yang digunakan dalam database relasional. Database semacam itu sudah ada sejak akhir 1960-an, tetapi tidak mendapatkan moniker "NoSQL" sampai lonjakan popularitas pada awal abad ke dua puluh satu, dipicu oleh kebutuhan perusahaan Web 2.0 seperti Facebook, Google, dan Amazon.com.

Database NoSQL semakin banyak digunakan dalam big data dan aplikasi web real-time. Sistem NoSQL juga kadang-kadang disebut "Tidak hanya SQL" untuk menekankan bahwa mereka dapat mendukung bahasa query seperti SQL.

Dan jika Anda memperhatikan, Anda akan tahu bahwa Anda memerlukan bantuan dengan Keamanan MongoDB.

Persyaratan untuk Eksploitasi NoSQL MongoDB

Pada sistem berbasis Debian atau Red Hat, skrip setup.sh dapat dijalankan sebagai root untuk mengotomatiskan instalasi dependensi NoSQLMap.

Bervariasi berdasarkan fitur yang digunakan:

• Kerangka Metasploit,

• Python dengan PyMongo,

• httplib2,

• dan urllib 

• Contoh MongoDB default lokal untuk kloning basis data

Ada beberapa kontrol lain yang diperlukan bahwa instalasi Python normal seharusnya sudah tersedia. Jarak tempuh Anda mungkin bervariasi, periksa skripnya.


NoSQLMap Opsi Pengaturan Peretasan MongoDB

• Tetapkan host target / IP-Server web target (yaitu www.google.com) atau server MongoDB yang ingin Anda serang.

• Setel port port-TCP aplikasi web untuk aplikasi web jika aplikasi web adalah target.

• Setel Jalur URI - Bagian dari URI yang berisi nama halaman dan parameter apa pun, tetapi BUKAN nama host (mis. /app/acct.php?acctid=102).

• Set Metode Permintaan HTTP (GET / POST) -Mengatur metode permintaan ke GET atau POST; Saat ini hanya GET yang diterapkan tetapi bekerja untuk menerapkan permintaan POST yang diekspor dari Burp.

• Atur Mongo / Shell IP-Set lokal opsi ini jika menyerang instance MongoDB langsung ke IP dari instalasi Mongo target untuk mengkloning database korban ke atau membuka shell Meterpreter ke.

• Setel port pendengar shell-Jika membuka shell Meterpreter, tentukan port.

• Muat opsi file-Muat satu set pengaturan yang disimpan sebelumnya untuk 1-6.

Opsi pemuatan dari permintaan Burp yang tersimpan-Mengurai permintaan yang disimpan dari Burp Suite dan mengisi opsi aplikasi web.

Simpan opsi file  pengaturan 1-6 untuk penggunaan di masa nantinya.


Anda dapat mengunduh NoSQLMap di sini:

NoSQLMap-0.5.zip

Share:

Read More

MongoDB tools - tool yang telah menghack 30.000 database

MongoDB Ransack, sejumlah besar orang telah mengubah konfigurasi default MongoDB yang tidak aman menjadi peluang tebusan. Mereka menghapus / mencuri database dan meminta pembayaran bitcoin untuk mengembalikan datanya.

Dengan beberapa aktor melakukan hal yang sama meskipun sulit untuk mengetahui siapa, dan tampaknya ada beberapa yang hanya menghapus basis data dan meminta pembayaran tanpa memiliki datanya.

"Database MongoDB sedang hancur dalam serangan ransomware yang melonjak yang telah melihat jumlah sistem yang dikompromikan lebih dari dua kali lipat menjadi 27.000 dalam sehari.

Penjahat mengakses, menyalin, dan menghapus data dari basis data yang tidak terekam atau tidak dikonfigurasi dengan baik.

Administrator sedang dibebankan uang tebusan untuk mendapatkan data yang dikembalikan. Serangan awal melihat tebusan 0,2 bitcoin (US $ 184) kepada penyerang harak1r1, dimana 22 korban tampaknya telah membayar, pada 16 Rabu ketika serangan pertama kali dilaporkan.

Namun, beberapa pembayaran dapat berupa transfer jinak yang dirancang untuk membuatnya tampak korban membayar.

Peneliti keamanan yang berbasis di Norwegia dan pengembang Microsoft Niall Merrigan mengatakan serangan itu telah melonjak dari 12.000 hari sebelumnya menjadi 27.633, selama sekitar 12 jam.

Merrigan dan rekan-rekannya kini telah mencatat sekitar 15 penyerang yang berbeda. Salah satu aktor yang menggunakan email menangani kraken0 telah berkompromi 15.482 contoh MongoDB, menuntut 1 bitcoin (US $ 921) untuk mengembalikan file. Sepertinya tidak ada yang membayar. Merrigan mengatakan dia sedang menyelidiki "OSINT dan menemukan IOC yang berbeda serta para aktor yang terlibat".

Ini bukan pertama kalinya kami membicarakan hal ini juga, ketika BeautifulPeople.com diretas, itu karena MongoDB dan itu adalah default yang bagus (mendengarkan di semua antarmuka, termasuk alamat IP Internet publik) dan tidak memaksa jenis otentikasi apa pun secara default.

Yah, Anda dapat mengatakan itu adalah masalah pengguna, fitur ada di sana - tetapi seberapa sulitnya untuk memiliki default yang aman? Versi yang lebih baru telah memperbaikinya, dari apa yang saya ketahui - tetapi tetap saja, kekacauan yang disebabkan oleh keputusan meragukan mereka cukup luas.

"Semua diberitahu, instalasi 99.000 MongoDB kekalahan terkena, Gevers kata.

Keamanan MongoDB adalah masalah yang diketahui: hingga saat ini, konfigurasi default perangkat lunak tidak aman. Pendiri Shodan John Matherly memperingatkan pada tahun 2015 bahwa sekitar 30.000 orang MongoDB yang terpajan terbuka ke internet tanpa kontrol akses.

Di Antipodes, Otoritas Komunikasi dan Media Australia telah melaporkan pemasangan MongoDB yang terpapar sejak Juli 2015 menggunakan intelijen yang disediakan oleh lembaga nonprofit ShadowServer.

Bruce Matthews, manajer badan keamanan cyber dan bagian penegakan komunikasi yang tidak diminta, mengatakan kepada Vulture South bahwa ia memiliki wawasan tentang rentang IP yang mencakup 90 persen Australia.

Dia mengatakan jumlah database MongoDB yang terpapar di Australia tampaknya tetap stabil.

"Kami melaporkan layanan terbuka dan rentan kepada AISI yang dapat menyampaikan informasi kepada operator layanan," kata Matthews. "Adalah penting bahwa informasi diteruskan."

Tidak terlalu sulit untuk memperbaikinya, dengan asumsi itu dipasang di server yang sama dengan host web (jika tidak mengapa DB memiliki IP Publik?), Cukup ikat ke localhost dan aktifkan otentikasi untuk semua basis data.

Masalahnya sekarang adalah semua alat ʻincile 'ini, DevOps menerapkan gist pada Github dan pembuatan server otomatis berarti pengembang tanpa petunjuk tentang keamanan menggulung server basis data dan hanya menggunakannya. Saya menyalahkan tumpukan MEAN

Share:

Read More

6 Trik yang dapat anda lakukan di ponsel android

Ingin beberapa trik luar biasa untuk ponsel android Anda dan Anda tidak ingin membaca banyak artikel. Di sini kami mengumpulkan beberapa trik ponsel android terbaik untuk ponsel pintar ponsel android Anda yang bekerja dengan semua versi seluler android. Trik dan peretasan ponsel Android ini memberi Anda kemampuan untuk menggunakan ponsel Android Anda secara lebih efisien dan bekerja dengan cerdas.


1. Jalankan Kali Linux di Android Mobile Device

Kali adalah salah satu sistem operasi penetrasi terbaik yang berjalan di Linux. Sekarang Anda dapat menjalankan Kali Linux di ponsel android Anda dan mengubah perangkat seluler Android Anda menjadi mesin peretasan. Unduh saja Linux Deploy App dari Google Play Store dan Ikuti Panduan Di Bawah untuk menjalankan dan menginstal Kali Linux di ponsel Android.



2. mirror Layar Ponsel Android Anda ke PC

Anda ingin melihat layar ponsel android Anda ke pc windows Anda, Unduh Airdroid, Teamviewer Quicksupport dan aplikasi android All Cast dari Google Play Store. Sekarang Anda dapat melihat layar ponsel android Anda ke desktop atau laptop apa pun.



3. Lihat Sinyal WiFi Tersembunyi di Ponsel Android Anda

Unduh aplikasi inSSIDer dari Google Play di ponsel Anda dan Anda dapat melihat sinyal wifi tersembunyi atau nama ssid tersembunyi di perangkat seluler Android Anda. inSSIDer menunjukkan kepada Anda semua laporan detail wifi dengan begitu banyak informasi.




4. Kontrol PC dari Ponsel Android Smartphone

Splashtop 2 adalah salah satu aplikasi favorit dan terbaik saya untuk mengontrol pc windows dari ponsel android. Anda juga dapat melihat layar windows pc Anda di layar ponsel android Anda. Coba aplikasi ini di ponsel Anda dan percayalah kepada saya, ini adalah salah satu aplikasi Android paling menakjubkan di Google Play Store. Anda juga dapat memainkan Game PC di ponsel android dari aplikasi Splashtop Games.



5. Transfer Android Mobile ke PC dari WiFi secara Nirkabel

Semua orang ingin modern dan pintar dalam hidup. Sekarang Anda dapat berbagi file seluler android, foto dan video ke pc jendela Anda secara nirkabel dari menggunakan WiFi. Unduh Airdroid App dari google play store dan Anda dapat berbagi semua file mobile android Anda ke pc Anda secara nirkabel.



6. Ketahui Berapa Banyak Orang di Jaringan WiFi Anda

Ingin tahu berapa banyak orang yang terhubung di jaringan wifi Anda. Unduh Fing Android App dari google play store. Anda dapat melihat setiap alamat mac pengguna dan alamat ip dari aplikasi ini dan tahu banyak orang yang tepat menggunakan jaringan wifi Anda secara real time.


        Oke sekian informasi dari saya .. sampai ketemu di artikel tutorial berikutnya

Share:

Read More

simulasi serangan phishing dunia nyata - Gophish tools

Gophish adalah kerangka kerja phishing yang membuat simulasi serangan phishing dunia nyata sangat lurus ke depan. Ide di balik jalur sederhana itu - membuat pelatihan phishing tingkat industri tersedia bagi semua orang.

Ada berbagai alat serupa lainnya yang tersedia seperti Simple Phishing Toolkit dan sptoolkit  Kembali.

Saya ingin tahu apakah ini adalah awal dari kemunculan alat keamanan berbasis Golang yang dikompilasi portabel.

fitur -

• Instalasi satu klik
• Standalone, biner portabel dengan aset statis
• Phishing Point-and-click
• UI Web yang Indah
• Kampanye Phishing Otomatis
• RESTful API (JSON)
• Pelatihan Otomatis
• Open-Source

Apa yang baru ?

Gopshish cukup baru dan baru mencapai tonggak rilis beta publik pertama, jadi ada fitur utama terbaru:

• Menambahkan fitur timeline untuk hasil kampanye

• Menambahkan pelacakan default ke template email
• Menambahkan acara tambahan (seperti ketika kesalahan terjadi)

• Menambahkan kemampuan untuk mengakses server admin / server phishing melalui TLSBeberapa perbaikan UI / tweak (data, dll.)

• bahkan kemampuan untuk mengekspor hasil sebagai CSV

Anda dapat mengunduh Panduan Pengguna di sini: Gopshish User Guide [PDF]

Dan Anda dapat mengunduh Gophish di sini:

Windows 64-Bit - gophish_windows_64bit.zip
Linux 64-Bit - gophish_linux_64bit.tar.gz
OSX 64-Bit - gophish_osx_64bit.zip

(Jika Anda masih menggunakan OS 32-Bit, Anda dapat membuka halaman rilis untuk menemukan unduhan yang sesuai)

Share:

Read More

Alat Memcached Eksploitasi DDoS - Memcrashed tools

Memcrashed adalah alat eksploitasi Memcached DDoS yang ditulis dengan Python yang memungkinkan Anda mengirim paket UDP ke daftar server Memcache yang diperoleh dari Shodan.

Hal ini terkait dengan pemecah rekor serangan DDoS baru-baru ini yang kemungkinan akan menjangkiti 2018 dengan lebih dari 100.000 server memcache rentan muncul di Shodan

Apa itu Memcached?
Memcached adalah penyimpanan nilai kunci di memori untuk potongan kecil data arbitrer (string, objek) dari hasil panggilan basis data, panggilan API, atau perenderan halaman.

Gratis & open source, kinerja tinggi, sistem cache objek memori terdistribusi, generik di alam, tetapi dimaksudkan untuk digunakan dalam mempercepat aplikasi web dinamis dengan mengurangi beban basis data.

Persyaratan untuk  Alat Memcached Eksploitasi DDoS
Anda harus menginstal Python 3.x:

apt-get install python3

lalu

pip install scapy

pip install shodan

Alat ini juga mengharuskan Anda memiliki kunci API Shodan yang ditingkatkan.

Anda dapat mengunduh Memcrashed di sini:

Memcrashed-DDoS-Exploit-master.zip

Share:

Read More

Ini alasan mengapa mode penyamaran pada setiap browser " TIDAK AMAN "

Ini adalah fakta bahwa mode Penyamaran tidak menyimpan riwayat tetapi itu adalah satu-satunya perlindungan yang diberikannya kepada Anda. 99 dari 100 pengguna Google Chrome berpikir bahwa berselancar porno di pengguna Penyamaran aman! Akui saja, Anda menggunakan jendela Penyamaran browser Anda untuk menjelajahi porno sendiri !!!

Mengapa berselancar di Incognito tidak bersifat pribadi?

Membuka browser pribadi atau penyamaran baik di Google Chrome, Mozilla Firefox, Apple Safari atau Microsoft Edge dan Internet Explorer hanya memastikan komputer Anda tidak mengingat aktivitas online Anda. Seperti yang dikatakan di atas, setiap browser web akan memastikan pencarian web dan sejarah online Anda tidak terlihat saat Anda masuk. Dan hanya itu yang terjadi.

Namun, itu tidak berarti bahwa berselancar Incognito bersifat pribadi atau anonim. Penjelajahan Incognito disimpan oleh ISP Anda dan akhirnya perusahaan peramban. Penyedia layanan internet Anda - atau ISP - dapat memantau setiap halaman web dan penelusuran web yang Anda kunjungi dari rumah Anda.

Coba buka rekening bank atau email halaman web Anda dalam mode Penyamaran. Anda akan menemukan bahwa data seperti nama pengguna dan kata sandi Anda terisi meskipun mode Penyamaran tidak menyimpan data Anda. Faktanya sebagian besar browser menarik data dari memori lokal untuk mengisi detail seperti itu baik dalam mode normal maupun mode Penyamaran.

Google telah sangat terbuka tentang kebijakan privasi untuk berselancar di browser Chrome mode Penyamaran. "Menggunakan penyamaran tidak menyembunyikan penjelajahan dari penyedia layanan internet Anda, atau situs web yang Anda kunjungi." Google telah memperingatkan.

Sebenarnya masuk ke akun Gmail Anda dalam mode Penyamaran membuat pekerjaan Google melacak kebiasaan berselancar porno Anda yang jauh lebih mudah.

Jika Anda belum menonaktifkan atau menghentikan Google Riwayat Web akun Anda - Anda dapat masuk dan melacak aktivitas berselancar di sana, juga.

Bagaimana dengan peramban lain? Sebagian besar browser melakukan hal yang sama seperti yang dilakukan Google. Seperti Google, Mozilla Firefox menggunakan disclaimer hampir identik pada mode penjelajahan pribadinya. Tetapi sekali lagi, “sementara komputer ini tidak akan memiliki catatan riwayat penelusuran Anda, perusahaan atau penyedia layanan internet Anda masih dapat melacak halaman yang Anda kunjungi.”

Lalu ada sesuatu yang disebut Super Cookies. Banyak situs web porno menggunakan sesuatu yang disebut Super Cookies yang dapat melacak pergerakan Anda di seluruh web bahkan saat Anda menjelajah dalam mode pribadi. Super Cookies seperti biasa, perangkat lunak ringan dan di pasang pada situs web dan pengguna yang mengunjungi halaman. Saat Anda kembali ke laman tertentu itu lagi di kemudian hari, situs web dapat melacak keseluruhan aktivitas pengguna di antara dua kunjungan tersebut.

Penting: Ingat bahwa menjelajahi film porno atau melakukan hal-hal 'lain' masih tidak aman dengan tab penyamaran. Metode yang paling aman adalah menggunakan VPN yang dapat membuat Anda tetap anonim di web. Perhatikan bahwa penjelajahan mode penyamaran tidak sepenuhnya bersifat pribadi.

Share:

Read More