Woordenlijst

Veelgebruikte termen in penetratietesten en offensieve beveiliging.

BOLA/IDOR

Broken Object Level Authorization / Insecure Direct Object Reference — toegang tot objecten van andere gebruikers via voorspelbare ID's.

C2

Command and Control — infrastructuur waarmee een aanvaller gecompromitteerde systemen aanstuurt.

CSRF

Cross-Site Request Forgery — aanval waarbij het slachtoffer onbedoeld acties uitvoert op een site waar het is ingelogd.

CVE

Common Vulnerabilities and Exposures — uniek identificatienummer voor bekende kwetsbaarheden.

CVSS

Common Vulnerability Scoring System — standaard voor het scoren van de ernst van kwetsbaarheden (0-10).

Domain Admin

Hoogste privilegeniveau in een Active Directory domein.

Enumeration

Het systematisch verzamelen van informatie over een doelsysteem.

Exploit

Code of techniek die een kwetsbaarheid misbruikt.

Golden Ticket

Kerberos TGT vervalst met het krbtgt wachtwoord — geeft onbeperkte toegang tot het domein.

JWT

JSON Web Token — compact token-formaat voor authenticatie en autorisatie.

Kerberoasting

Aanval waarbij Kerberos service tickets worden aangevraagd en offline gekraakt om service account wachtwoorden te achterhalen.

Lateral Movement

Het verplaatsen tussen systemen in een netwerk na initiële compromittering.

LLMNR

Link-Local Multicast Name Resolution — Windows protocol dat kwetsbaar is voor poisoning-aanvallen.

MITM

Man-in-the-Middle — aanval waarbij de aanvaller communicatie tussen twee partijen onderschept.

OSINT

Open Source Intelligence — informatie verzamelen uit openbare bronnen.

OWASP

Open Web Application Security Project — organisatie die standaarden en tools publiceert voor webbeveiliging.

Pass-the-Hash

Authenticatie met een NTLM hash zonder het wachtwoord te kennen.

Payload

De kwaadaardige code die wordt uitgevoerd na succesvolle exploitatie.

Pentest

Penetratietest — geautoriseerde aanval op een systeem om kwetsbaarheden te vinden.

Persistence

Mechanismen om toegang te behouden na herstart of detectie.

Pivot

Een gecompromitteerd systeem gebruiken als springplank naar andere netwerksegmenten.

RCE

Remote Code Execution — de mogelijkheid om willekeurige code uit te voeren op een doelsysteem.

Red Team

Een team dat realistische aanvallen simuleert om de detectie- en responscapaciteiten te testen.

Reverse Shell

Een verbinding waarbij het doelsysteem verbinding maakt met de aanvaller.

SSTI

Server-Side Template Injection — code-injectie via template engines (Jinja2, Twig, etc.).

SQLi

SQL Injection — het injecteren van SQL-code in database-query's.

SSRF

Server-Side Request Forgery — de server verzoeken laten maken naar interne of externe systemen.

TGT

Ticket Granting Ticket — Kerberos ticket dat wordt gebruikt om service tickets aan te vragen.

XSS

Cross-Site Scripting — het injecteren van JavaScript in webpagina's die andere gebruikers bezoeken.

XXE

XML External Entity — aanval via XML-parsers die externe bronnen laden.

Zero-day

Kwetsbaarheid waarvoor nog geen patch beschikbaar is.