29.07.2020
YesWeHack
Pwning-Machine für die Bug-Bounty-Jagd
Autor: Bernhard Lauer
Adil Graphics / shutterstock.com
Die europäische Bug-Bounty-Plattform YesWeHack, startet mit "Pwning Machine" eine Docker-basierte Umgebung, die ethischen Hackern eine selbst gehostete Bug-Bounty-Lösung bietet.
Mit dem Aufkommen von Technologien wie Containern und Mikrodiensten in der Softwareentwicklung ist das Erkennen von Sicherheitslücken komplexer geworden. Daher verwenden ethische Hacker häufig Dienste von Drittanbietern wie XSSHunter oder BurpCollaborator, um IT-Schwachstellen zu identifizieren. Die Pwning-Machine vereinfacht und beschleunigt diesen Prozess. Die selbst gehostete Lösung liefert eine feste Palette an Diensten, die vom Benutzer nach Bedarf erweitert werden können.
Die Pwning-Machine enthält folgende Dienste:
- DNS: Eine PowerDNS mit einfachem API ermöglicht die Verwaltung von Regeln über eine Befehlszeilenschnittstelle.
- Web-Server: Ein Nginx-Server wird zusammen mit der Zuweisung des Hostnamens gestartet.
- HTTP-Router: Traefik, ein Open-Source-Reverse Proxy und Load Balancer, verarbeitet SSL-Zertifikate und leitet den eingehenden HTTP(s)-Verkehr an den entsprechenden Container weiter.
- Pipeline-Runner (aktuell in Entwicklung): Damit kann die Planung eines Vorgangs mit vordefinierten Task-Sequenzen direkt auf dem Server ausgeführt werden. Auf diese Weise werden komplexe Sequenzen mit kleinen Bausteinen erstellt, wodurch die mühsame Ausgabe großer und sich wiederholender Befehlssequenzen reduziert wird. Man kann ihn sich als die CI-Pipeline von gitlab vorstellen.
"Die Pwning-Machine bietet das gesamte Rückgrat für eine selbst gehostete Bug-Bounty-Umgebung. Hacker können individuell Dienste hinzufügen, die sie für die Schwachstellenjagd bevorzugen", sagt Philippe Lucas, der Technologie-Botschafter von YesWeHack. Lucas, der selbst unter dem Pseudonym BitK als ethischer Hacker in der YesWeHack-Community aktiv ist, entwickelte die Pwning-Machine und stellte sie erstmals vergangenen Juni auf der NahamCon2020 vor.
YesWeHack will die Pwning-Machine kontinuierlich um neue Services erweitern. Geplant ist zum Beispiel eine Funktion, die es ermöglichen soll, alle wiederkehrenden Teile des Bug-Bounty-Prozesses zu automatisieren. Mit einer weiteren Funktion können Dienste, die von anderen Hackern erstellt wurden, direkt von GitHub hinzugefügt werden.
Die Anweisungen zur Installation der YesWeHack Pwning-Machine sind auf GitHub verfügbar unter github.com/yeswehack/pwn-machine.
Test-Framework
Testautomatisierung mit C# und Atata
Atata ist ein umfassendes C#-Framework für die Web-Testautomatisierung, das auf Selenium WebDriver basiert. Es verwendet das Fluent Page Object Pattern und verfügt über ein einzigartiges Protokollierungssystem sowie Trigger-Funktionalitäten.
>>
Programmiersprache
Primärkonstruktoren in C# erleichtern den Code-Refactoring-Prozess
Zusammenfassen, was zusammen gehört: Dabei helfen die in C# 12 neu eingeführten Primärkonstruktoren, indem sie Code kürzer und klarer machen.
>>
Tools
GitLab Duo Chat mit KI-Chat-Unterstützung
Der DevSecOps-Plattform-Anbieter GitLab führt den GitLab Duo Chat ein. Dieses Tool integriert Künstliche Intelligenz in die DevSecOps-Workflows.
>>
Cyberbedrohungen überall
IT-Sicherheit unter der Lupe
Cybersecurity ist essentiell in der IT-Planung, doch Prioritätenkonflikte und die Vielfalt der Aufgaben limitieren oft die Umsetzung. Das größte Sicherheitsrisiko bleibt der Mensch.
>>