Перевод энтузиаста | Информационная безопасность

#Статья

Как создать собственный набор инструментов для хакинга в Docker

👉 В статье рассказывается, как создать переносимую и изолированную среду для тестирования безопасности в Docker — с установкой популярных инструментов, настройкой алиасов и возможностью запуска на любом устройстве за пару команд.

🕗 Время чтения: 4 минуты

#Статья

PDF-файл, который крадёт данные — эксплойт DocDrop

👉 В статье рассказывается о том, как с помощью PDF-документа с внедрённым отслеживающим пикселем можно собрать IP-адрес, User-Agent и другие данные пользователя при открытии файла — и как это работает в разных браузерах, включая Chrome, Firefox и Edge.

🕗 Время чтения: 4 минуты

Привет, друзья! 👋

⏳ До дедлайна подачи заявок на Pentest Award 2025 остаётся совсем немного — приём заканчивается 30 июня!

🏆 Это отраслевая премия для специалистов по тестированию на проникновение. Участие бесплатное, а в числе призов — именные статуэтки, техника Apple, билеты на OFFZONE, подарки от партнеров и признание сообщества.

📝 Заявка — это рассказ о кейсе в свободной форме. Раскрывать эксплоиты не нужно, главное — показать идею и подход (вот пример, как это может выглядеть).

📆 Церемония награждения — 1 августа в Москве.

🔗 Подать заявку и узнать подробности можно здесь: https://award.awillix.ru/

Если у вас есть интересный кейс — самое время рассказать о нём. Честно, сам тянул до последнего — но теперь точно пора подавать. Не тяните тоже!)🤞💪

#Статья

Как я нашёл уязвимость SMTP-инъекции и заработал $800 всего за полчаса

👉 В статье показано, как с помощью нестандартного подхода к полю email в контактной форме удалось выявить SMTP-инъекцию, провести успешную эксплуатацию с вложением и заработать $800 менее чем за час.

🕗 Время чтения: 3 минуты

#Статья

Как найти исходный IP-адрес любого веб-сайта за WAF

👉 В статье подробно описаны практические способы выявления исходного IP-адреса сайта, скрытого за WAF или CDN, включая использование Shodan, Censys, VirusTotal, анализ favicon, SPF-записей и автоматизированный сбор данных с помощью bash-скрипта.

📹По этой статье также доступен ролик

🕗 Время чтения: 9 минут

Привет, друзья! 👋

🧠 В конкурсе IDS Bypass появился новый таск — теперь их всего 6! Задачи всё ещё доступны, и вы успеваете ворваться. 💥

⏰ Финиш сегодня в 17:00, после чего состоится награждение победителей. 🏆

💰 Напомню: за каждую решённую задачу начисляются позитокены — их можно обменять на разные полезные и приятные штуки в зоне мерча.

📍 Локация: Cyberhub — комната Positive Labs

Ещё есть время — успейте обойти IDS! 💪

Привет, друзья! 👋

На PHDays идёт конкурс IDS Bypass — если вам близки нестандартные решения, загляните обязательно 🔥

💡 Суть простая: нужно выполнять задания так, чтобы обойти правила IDS. Подойдёт и креативный, и классический способ — главное, чтобы трафик прошёл, а IDS не сработала.

🧠 Сейчас уже открыты 2 задачи, и в скором времени появится ещё пара. Так что не откладывайте участие.

💰 За выполнение задач начисляются позитокены — их можно обменять на разные полезные и приятные штуки в зоне мерча.

📍 Локация: Cyberhub — комната Positive Labs
🕒 Конкурс уже в процессе!

Заходите, ломайте, обходите, зарабатывайте! 💪

#Статья

Автоматизация разведки как у профессионала: моя система из 5 этапов для нахождения большего числа уязвимостей

👉 В статье представлен практический гайд по автоматизации разведки для поиска уязвимостей, включающий 5 этапов: от сбора поддоменов и анализа JavaScript до мониторинга и визуализации.

⏱️ Время чтения: 4 минуты

Привет, друзья!👋

Открыт приём заявок на Pentest Award 2025 — это ежегодная премия для специалистов по тестированию на проникновение от команды «Авилликс». Мероприятие состоится уже в третий раз.

📌 Участие бесплатное. Можно подать одну или несколько работ — главное, успеть до 30 июня.

Заявка — это краткий рассказ о проекте в свободной форме. Не обязательно раскрывать технические детали — достаточно описать идею, подход и результат.

Из призов вы можете получить именную статуэтку, макбук, айфон, смарт-часы, подарки от партнёров, билеты на конференцию OFFZONE — и, конечно, признание сообщества.

Церемония награждения — 1 августа в Москве.

🔗 Узнать подробнее и подать заявку можно тут: https://award.awillix.ru/

Если есть интересный кейс — не упускайте возможность.

Я тоже отправлю — вдруг повезёт и что-нибудь выиграю!🤞

#Статья

Автоматизация управления сетевыми устройствами в Linux с использованием Ansible и Netmiko

👉 В статье показано, как с помощью Ansible и Netmiko автоматизировать управление сетевыми устройствами в Linux — включая написание playbook-ов, выполнение команд и создание Python-скриптов для резервного копирования конфигураций.

⏱️ Время чтения: 5 минут

#Статья

10 редких, но полезных сайтов и сервисов для специалистов по безопасности

👉 В статье описаны редкие, но мощные сервисы для специалистов по кибербезопасности, помогающие в OSINT-исследованиях, анализе вредоносного ПО, отслеживании утечек и сборе данных о потенциальных угрозах.

⏱️ Время чтения: 5 минут

#Статья

Мастер-класс по обходу WAF: использование SQLMap с Proxychains и tamper-скриптами против Cloudflare и других систем защиты

👉 В статье представлен мастер-класс по обходу WAF с использованием SQLMap, ProxyChains и tamper-скриптов, включая настройку окружения, обход фильтров Cloudflare и ModSecurity, а также применение инструментов Ghauri и HackBar для тестирования защищённости веб-приложений.

⏱️ Время чтения: 9 минут

Привет, друзья!👋

На сайте Positive Hack Days уже доступна программа докладов! В этом году — 26 треков, более 500 спикеров и 270 тем. Выбирайте любое направление, которое вам интересно — слушайте, впитывайте знания и заводите полезные знакомства.

Для тех кто не сможет быть лично - будет онлайн-трансляция, но некоторые доклады пройдут только офлайн, имейте это в виду.

🤔А если хотите не только слушать, но и порешать задачи, заглядывайте на IDS Bypass — мы с коллегами готовим для вас интересную активность. Будет и весело, и полезно!

И напомню: чтобы попасть на закрытую часть и послушать экспертные доклады, нужно оформить билет через пожертвование от 1500 рублей в один из благотворительных фондов.

До встречи на PHDays!🫶

#Статья

От нуля до героя: Охота на высокооплачиваемые уязвимости Open Redirect в веб-приложениях

👉 В статье представлен подробный гайд по поиску и эксплуатации уязвимостей типа Open Redirect в веб-приложениях — с разбором ручного и автоматизированного тестирования, обхода фильтров, а также подборкой полезных команд и приёмов для фильтрации и ускорения поиска.

⏱️ Время чтения: 14 минут

Привет, друзья!)

Узнал, что стартовала продажа билетов на закрытую часть Positive Hack Days, который пройдет 22–24 мая в «Лужниках»! Это хорошая возможность послушать экспертные доклады и дискуссии, пообщаться с топовыми специалистами и завести полезные знакомства.

Билет можно приобрести, сделав пожертвование от 1500 рублей в один из благотворительных фондов — «Подари жизнь», «Улица Мира» или «Старость в радость». Все средства от продажи билетов пойдут на благотворительность.

Подробности тут: https://phdays.com/ru/

Помимо закрытой части, будет и бесплатная зона с научно-популярной программой, интерактивными инсталляциями, квестами и другими активностями!

До встречи на PHDays! Сам там буду и вам советую!🫶

#Статья

Уязвимость в GraphQL: как ошибка конфигурации привела к утечке данных и награде в $25 000

👉 В этой статье разобран случай, когда ошибка в конфигурации GraphQL позволила неавторизованным пользователям получить доступ к конфиденциальным данным частных баг-баунти программ. Это привело к утечке информации и принесло исследователю вознаграждение в $25 000.

⏱️ Время чтения: 6 минут

#Статья

Простые методы обхода 2FA для начинающих

👉 В статье рассматриваются распространенные методы обхода двухфакторной аутентификации (2FA), такие как фишинг, атаки «человек посередине», подмена SIM-карты, захват сеанса и социальная инженерия, а также предлагаются меры защиты от этих угроз.

⏱️ Время чтения: 5 минут

#Статья

Как логическая ошибка позволила злоумышленникам захватить учетные записи

👉 В статье описывается, как логическая ошибка в системе аутентификации веб-сайта позволила злоумышленникам обходить двухфакторную аутентификацию и захватывать учетные записи пользователей, используя уязвимость в механизме изменения адреса электронной почты и управления сессиями.

⏱️ Время чтения: 3 минуты

#Статья

Обзор SafeLine WAF: Необходимый инструмент для веб-безопасности?

👉 В статье разобран SafeLine WAF – простой в установке веб-фаервол, защищающий сайты от SQL-инъекций, XSS, ботов и DDoS-атак, с бесплатной версией для личных проектов и премиум-функциями для бизнеса.

⏱️ Время чтения: 6 минут

#Статья

Как найти свой первый легкий баг в Bug Bounty (Пошаговое руководство) на реальных сайтах

👉 В статье разобраны простые шаги для новичков в Bug Bounty, включая выбор правильной цели, поиск уязвимостей на React-сайтах, тестирование OTP Rate-limiting и утечек приватных ключей, чтобы быстро найти свой первый баг.

⏱️ Время чтения: 5 минут