Библиотека хакера | Hacking, Infosec, ИБ, информационная безопасность

💻 TUI-тренажёр для практики работы в терминале Около 70 заданий, которые помогут освоить основы CLI. Формат игровой: проходить интересно, а заодно и полезно для прокачки навыков. Отличный вариант для самообучения и набора опыта 👋 🔗 Ссылка на GitHub 🐸 Библиотека хакера #resource_drop

🔥 XXE в парсере отчетов Сервис принимает XML без отключения внешних сущностей. Какой основной риск? Голосуйте реакцией ✅ 🔥 — Только DoS через «Billion Laughs» 👾 — Утечка локальных файлов / SSRF ❤️ — Ошибка схемы и падение парсера 🐸 Библиотека хакера #ctf_challenge

🔗 OAuth2 — шпаргалка для пентестера Чеклист уязвимостей, быстрые признаки и инструменты — PKCE, JWT, redirect_uri, CORS, хранение токенов. 📍 Навигация: [Вакансии] 🐸 Библиотека хакера #cheat_sheet

📍 Навигация: [Вакансии] 🐸 Библиотека хакера #hack_humor

🇰🇷 Злоумышленники незаметно находились в сети Академии дипломатии Южной Кореи Правительство Южной Кореи сообщило, что неизвестные атакующие почти 10 месяцев имели доступ к онлайн-системе Национальной дипломатической академии и похитили персональные данные действующих и бывших сотрудников МИД, включая дипломатов за рубежом. 📌 Что известно — доступ сохранялся около 10 месяцев; — похищены персональные данные сотрудников и слушателей академии; — среди пострадавших — действующие дипломаты. 📌 Почему это важно Это не обычная корпоративная сеть, а инфраструктура, связанная с подготовкой дипломатов. Такие данные представляют особую ценность для разведывательных операций и целевых атак. 📊 Для сравнения: по данным Mandiant M-Trends 2026, средний dwell time составляет 21 день. Здесь злоумышленники оставались незамеченными около 300 дней — более чем в 14 раз дольше. 🔗 Ссылка на разбор 📍 Навигация: [Вакансии] 🐸 Библиотека хакера #breach_breakdown

🔥 Вопрос с собеседования Чем Pass-the-Hash отличается от Pass-the-Ticket? 👇Правильный ответ: Pass-the-Hash (PtH) — злоумышленник использует NTLM-хеш вместо пароля для аутентификации по NTLM. Pass-the-Ticket (PtT) — используется уже полученный Kerberos-билет (TGT или TGS), без необходимости знать пароль или хеш. ⚡️ Сильный ответ: «PtH работает через NTLM и использует NTLM-хеш, а PtT — через Kerberos и использует готовые билеты. Это разные механизмы аутентификации, поэтому защита от одной техники не всегда защищает от другой.» 👍 — хороший вопрос 🔥 — забрал в копилку 📍 Навигация: [Вакансии] 🐸 Библиотека хакера #ctf_challenge

📌 Обход WAF: 5 актуальных ресурсов для изучения Подборка для тех, кто хочет разобраться, как современные атакующие обходят защиту веб-приложений, несмотря на использование WAF. ➡️ Обзор техник обхода WAF Статья на Medium описывает методы обхода, включая обфускацию полезных нагрузок, использование альтернативных HTTP-методов и инъекцию заголовков. ➡️ WAFFLED: использование различий в парсинге для обхода WAF Исследование показывает, как различия в парсинге HTTP-запросов могут быть использованы для обхода популярных WAF, таких как AWS, Azure, Cloudflare и ModSecurity. ➡️ Обход Cloudflare Блог BrightData предоставляет пошаговые методы обхода защиты Cloudflare, включая использование Python-скриптов и автоматизацию браузера. ➡️ Использование JSON и XML для обхода WAF Статья на Claroty объясняет, как злоумышленники используют недостаточную поддержку синтаксиса JSON в WAF для обхода защиты. ➡️ Исследование обхода AWS WAF Блог Sysdig анализирует способы обхода AWS WAF с использованием специализированных DOM-событий, выявленных в ходе фуззинга. 📍 Навигация: [Вакансии] 🐸 Библиотека хакера #resource_drop

Какой он — базовый профессиональный минимум ИБ-инженера? В новом выпуске техно-дискуссий К2 Кибербезопасность разберем: ✅ должен ли инженер уметь программировать ✅ какие скиллы важнее — soft или hard ✅ почему мотивация может перевесить идеальное резюме ✅ и должен ли руководитель оставаться играющим тренером и работать руками Когда: 18 августа, 19:00 (мск) Где: онлайн Регистрируйтесь по ссылке и присоединяйтесь к трансляции

🚩 Gobuster DNS Mode — полезные флаги для поиска поддоменов Если используете Gobuster для DNS-брутфорса, эти параметры стоит держать под рукой: 🈶 -d, --domain Указать целевой домен: -d target.com 🈶 -i, --show-ips Показывать IP-адреса найденных поддоменов. 🈶 -c, --show-cname Отображать CNAME-записи. 🈶 --wildcard Продолжить работу даже при обнаружении wildcard DNS. 🈶 --resolver Использовать свой DNS-резолвер: --resolver 8.8.8.8 Полезно при разведке внешней поверхности атаки и перечислении поддоменов. 📍 Навигация: [Вакансии] 🐸 Библиотека хакера #cheat_sheet #recon #gobuster

🛠 msaRAT: новый способ спрятать C2 внутри Chrome Cisco Talos разобрал msaRAT — вредонос, который использует headless Chrome или Edge как канал управления. Вместо собственного сетевого трафика он заставляет браузер подключаться через WebRTC, используя Cloudflare Workers и Twilio TURN. На что обратить внимание: 🔴 запуск браузера с --headless и --remote-debugging-port; 🔴 нестандартный user-data-dir; 🔴 неожиданные WebRTC-соединения от Chrome или Edge. 💡 Хороший пример техники Living off the Browser — когда злоумышленник использует уже установленный браузер вместо собственного клиента. 🔗 Отчёт Cisco Talos: 📍 Навигация: [Вакансии] 🐸 Библиотека хакера #tool_of_the_week

без подписи

без подписи

От AI-сомелье до собственного деплоя с разбором логов — хороший пример того, как пет-проект может вырасти в полезный инструмент 💡

Кажется, у онлайн-обучения появился формат, которого давно не хватало 👇

🔑 Топ-4 механизма аутентификации Эти архитектуры уберегут вас от фатальных дыр в безопасности при настройке серверов, интеграции сторонних сервисов или проектировании баз данных. 🛡 Главные инструменты проверки: 1. Ключи SSH: Криптографическая пара из публичного и приватного ключей. Публичный лежит на сервере, приватный — у вас. Идеально подходит для безопасного беспарольного доступа к серверам и Git-репозиториям. 2. Токены OAuth: Временные цифровые пропуска, которые выдает сервер авторизации. Нужны для того, чтобы сторонние приложения могли получить ограниченный доступ к вашим данным (например, «войти через Google»), вообще не зная вашего реального пароля. 3. Сертификаты SSL: Цифровые паспорта для сайтов. Они подтверждают, что сервер принадлежит именно тому домену, на который вы зашли, и обеспечивают безопасное зашифрованное HTTPS-соединение. 4. Учетные данные: Классическая связка «логин + пароль». Данные пользователя отправляются по защищенному каналу на сервер, где пароль хэшируется и сверяется с базой данных. Самый старый, понятный, но и самый уязвимый из-за человеческого фактора метод. 🔹 Практический интенсив «Архитектуры и шаблоны проектирования» 🔹 Получить консультацию менеджера 🔹 Сайт Академии 🔹 Сайт Proglib 🏃‍♀️ Азбука айтишника #ликбез

без подписи

😎 Продолжаем рубрику про проекты студентов Сегодняшний герой — backend-разработчик, который начал с AI-сомелье для пива: говоришь ему настроение и что на столе — он подбирает подходящий сорт. Забавная штука для пятничного вечера 🍻🍻 Но по пути к этому сомелье он собрал кое-что посерьёзнее — свою систему деплоя с AI-ассистентом, который сам читает логи и разбирается, что сломалось. Как из пивного пет-проекта выросло что-то реально полезное — читай в карточках 🔥 Уже открыта предзапись на осень ⚡️ 🏃‍♀️ Proglib Academy

🤔 У большинства разработчиков уже есть подписки на IDE, GitHub Copilot, Claude, ChatGPT или облачные сервисы. Логично, что обучение тоже постепенно приходит к той же модели: не покупать отдельный курс под каждую новую тему, а иметь доступ ко всей библиотеке и выбирать, что актуально именно сейчас. Такой формат недавно появился и в Proglib Academy. Вместо одного курса — доступ сразу ко всей библиотеке и новым материалам, которые появляются в подписке 😎 🔗 Подробнее 🏃‍♀️ Proglib Academy

Самая дорогая часть агентной разработки — не всегда код 🤗

🎹 Хорошая документация сегодня экономит время не только коллегам, но и AI. Почему она стала важнее, чем кажется, — в посте ниже 👇