KGM's notes

описание

Авторский контент на тему ИБ (web/mobile/social). Делюсь тем, что хотел бы получить сам когда-то. https://kgmnotes.ru/ - полезные статьи и заметки по ИБ https://0xmerch.ru - качественный ИБ-мерч Для связи: @Russian_OSlNT

← к каналу @kgmnotes

494

подписчиков

Охват к подписчикам

94,7%

ERR

Реакции к просмотрам

2,65%

292 на 24 постов

Пересылки к просмотрам

0,99%

109

Постов в день

0,6

всего 24

Где отзываются чаще

доля реакций к просмотрам

15 авг.В этом году удалось занять 2-е место в номинации Kill Chain, тем самым заработав своеобразную ачивку: за три года участия в Awillix Pentest Awards я успел занять каждое из трёх призовых мест, а также побывать фаворитом жюри. Думаю, что в следующем году формат моего участия в этом замечательном мероприятии может измениться, но об этом позже 😁 Каждый год Awillix становился для меня одной из тех площадок, где можно обрести порой очень неожиданные и приятные знакомства. При этом заметно, как с каждым годом растёт уровень мероприятия - в этот раз всё действительно было на высшем уровне. Если вы ещё не участвовали в Awillix Pentest Awards, то очень советую попробовать! Если сомневаетесь, стоит ли участвовать, или у вас есть какие-то вопросы - можете написать мне в личные сообщения или в чат канала. И отдельно хочется сказать: попасть в топ-10 в любой из номинаций - это уже отличный результат. Если в одном году не получилось занять призовое место, это совершенно не значит, что в следующем ничего не получится. Главное - продолжать пробовать и не опускать руки 🙏24,83%
30 июл.Если очень хочется, то можно: обходим ограничения современных SWG-шлюзов и ни в чем себе не отказываем https://offzone.moscow/program/where-there-s-a-will-there-s-a-way-bypassing-restrictions-imposed-by-modern-swgs/ Добавляйте в избранное, увидимся 21 августа! А с кем-то уже и 14-го7,48%
5 маяВсем привет! Не так давно у меня вышла статья на Хакере, посвященная бэкдорингу корпоративных wiki-серверов под управлением ПО Confluence. Описываемая там техника является актуальной для всех версий Confluence Server, начиная с 2.1.5 (!) и до сих пор отлично заходит на реальных проектах. Чтобы всем желающим ее было проще освоить, я выложил у себя на сайте отдельную заметку, в которой подробно расписал то, как: - поднять уязвимую к CVE-2022-26134 версию Confluence Server 7.3.2 как основу для дальнейших экспериментов из основной статьи; - решить возникшую с апреля 2026 года проблему с получением evaluation-лицензии; - собрать с нуля кастомный фишлет Evilginx2 под форму входа Confluence и протестировать его в поднятой лабе. Если по материалу будут вопросы, замечания или предложения по улучшению, пишите на почту iam@kgmnotes.ru или в чат канала. Буду благодарен за обратную связь5,95%
8 маяЧто делать, если хочется оперативно развернуть в сети Интернет свой веб-сервис, прикрутить к нему валидный TLS-сертификат, выпущенный с помощью Let's Encrypt, и при этом не регистрировать никаких доменов? Можно воспользоваться сервисом sslip.io (или его аналогом - nip.io). Как это работает: 1. Вы арендуете VPS с публичным IP - например, 203.0.113.42. 2. Запускаете certbot и просите выпустить сертификат на домен 203.0.113.42.sslip.io. 3. Серверы Let's Encrypt резолвят это имя через sslip.io, получают в ответе ваш IP, делают HTTP-запрос на /.well-known/acme-challenge/... (стучатся на 80 порт вашей VPS). 4. certbot отдаёт challenge - Let's Encrypt убеждается, что вы контролируете "домен", и выдаёт валидный TLS-сертификат. Также на моем сайте появилась отдельная заметка на эту тему с подробными примерами использования данных ресурсов4,59%
14 маяДобавил на сайт заметку про небольшой технический приём для тех, кто готовит отчёты и презентации. Если в Word или PowerPoint нужно массово обработать скриншоты, например, закрасить чувствительные данные перед публикацией, не обязательно вытаскивать каждую картинку через интерфейс Office. .docx и .pptx - это обычные ZIP-архивы. Открываем через 7-Zip и достаём все изображения напрямую: ➖Word: word/media ➖PowerPoint: ppt/media Редактируем нужные файлы, сохраняем под теми же именами, возвращаем в архив - готово. Что ещё в заметке: ➖пошаговый процесс со скриншотами для Word и PowerPoint ➖что делать со старыми .doc и .ppt ➖почему нужно редактировать сами изображения, а не накладывать прямоугольники поверх них в документе4,44%
6 дек.без подписи3,44%
7 дек.Канал RedBlue Notes, который на днях вошел в топ главных ИБ-каналов 2025 г., ведется двумя моими бывшими студентами! Я очень горжусь ими: ребята не только активно развиваются по своим направлениям (SOC/pentest), но и ведут совместно авторский ИБ-канал и даже выпускают свой подкаст! Мне приятно слышать и осознавать то, что моя работа в ВУЗе, мои публичные выступления помогают многим ребятам найти себя в ИБ-отрасли (17:34 - 🥺). P.S. На своем канале я планирую публиковать не только свои какие-то ресерчи по ИБ-тематике, но и выработанные лично мной практические советы по тому как приступить менее болезненно к анализу защищенности веб и мобильных приложений (это не замена Hack The Box Academy или Web Security Academy от PortSwigger, но точно отличная альтернатива перепечатываемым из поста в пост, из wiki в wiki примерам использования различных инструментов).3,33%
20 февр.Всем привет! Если вы еще не определились с подарком себе, другу или коллеге на 23 февраля, то можете заглянуть в https://0xmerch.ru, сейчас на сайте доступно 6 шевронов с авторским дизайном и 1 стикерпак3,09%
23 маяНе читал Дэвид канал kgmnotes, поэтому теперь канал kgmnotes пишет про Дэвида... Не будьте как Дэвид: в час Х вы не возвыситесь до уровня своих ожиданий, а упадёте до уровня своей подготовки. Так что разворачиваем свою лабу и спокойно отрабатываем технику бэкдоринга Confluence, прежде чем применять ее на реальном проекте. P.S. Кадры из фильма "Черный ящик"2,71%
9 дек.🛠 PDTM - менеджер инструментов от ProjectDiscovery После установки корректного времени на системе и актуальной версии Go я всегда ставлю pdtm со всеми доступными инструментами от ProjectDiscovery. Крайне советую устанавливать его всем, кто занимается анализом защищенности веб и мобильных приложений. PDTM (ProjectDiscovery Tool Manager) упрощает установку, обновление и удаление таких инструментов как nuclei, httpx, subfinder, naabu, dnsx, katana и многих других. 📥 Установка pdtm: 1. Через Go (рекомендуется): go install -v github.com/projectdiscovery/pdtm/cmd/pdtm@latest 💡 Если Go не установлен - см. заметку «Установка актуальной версии Go на Ubuntu/Debian/Kali Linux», там же описана настройка PATH для корректной работы утилит ProjectDiscovery. 2. Готовые бинарники: Доступны в разделе Releases: https://github.com/projectdiscovery/pdtm/releases 🚀 Использование pdtm: 1. Установка всех инструментов от ProjectDiscovery: pdtm -ia # или pdtm -install-all 💡 По возможности лучше сразу устанавливать все инструменты. Перед установкой всех инструментов, рекомендуется предварительно доставить необходимые для корректной работы некоторых инструментов зависимости: # Удовлетворение зависимостей для naabu и shuffledns соответственно sudo apt install -y libpcap-dev massdns 2. Установка конкретных инструментов: pdtm -i nuclei # или несколько сразу pdtm -i nuclei,httpx,subfinder 🔄 Обновление: 1. Обновить все установленные инструменты: pdtm -ua # или pdtm -update-all 2. Обновить конкретные инструменты: pdtm -u nuclei,httpx 3. Обновить сам pdtm: pdtm -up # или pdtm -self-update 🗑 Удаление: 1. Удалить конкретный инструмент: pdtm -r nuclei 2. Удалить несколько инструментов: pdtm -r nuclei,httpx,subfinder 3. Удалить все инструменты: pdtm -ra # или pdtm -remove-all 🔗 Полезные ссылки: - GitHub репозиторий - Официальная документация - Доп. руководство по началу работы с pdtm #linux #tools #projectdiscovery #pdtm — KGM's notes | KGM's notes (EN)2,51%
14 маяНекоторое время назад я отмечал, что в формате Telegram-постов не всегда получается уместить всю полезную информацию, которой хочется поделиться. При этом зависеть от сторонних платформ вроде telegra.ph тоже не хотелось, поэтому теперь часть материалов будет жить на сайте. Сейчас по прямым ссылкам доступны три заметки - их содержимое открывается сразу, в один-два клика: ➖ JS-бэкдоринг Confluence: подготовка ➖ Выпуск TLS-сертификата без домена ➖ Как быстро обработать медиа из Word и PowerPoint Если у вас есть остались вопросы, замечания или прочие предложения, то пишите на почту iam@kgmnotes.ru или в чат канала. Буду благодарен за обратную связь2,39%
1 дек.без подписи2,27%