Библиотека хакера | Hacking, Infosec, ИБ, информационная безопасность

🔥 Последняя неделя, чтобы забрать курс по AI-агентам по старой цене!

Пока вы тестируете Copilot, другие уже учатся строить AI-агентов, которые реально работают на бизнес. Хватит отставать!

Наш курс — это концентрат практики по LangChain и RAG. Улучшенная версия, доработанная по отзывам первого потока.

📆 Старт — 15 сентября.

💸 Цена 49 000 ₽ — только до 24 августа.

👉 Зафиксировать цену

🫣 Хотите в Data Science, но боитесь высшей математики?

Хорошая новость: вам не нужно становиться математиком. Вам нужно освоить конкретные разделы, которые реально используются в работе и на собеседованиях.

Именно этому учат преподаватели ВМК МГУ на нашем курсе «Математика для Data Science».

Без лишней воды — только то, что нужно для:

✅ успешного поступления в ШАД Яндекса;
✅ прохождения собеседований уровня FAANG;
✅ глубокого понимания ML-алгоритмов.

Это самый прямой путь к математическому фундаменту, на котором строится вся карьера в Data Science.

👉 Начните строить свою карьеру уже сегодня

🤑 Топ-вакансий для хакеров за неделю

Специалист по web-защите (WAF/AppSec) — от 350 000 ₽, удаленно (Москва)

Инженер ИБ — удаленно (Москва)

Пентестер \ Pentester в Offensive команду — до 550 000 ₽, удаленно (Москва)

Архитектор по кибербезопасности — от 300 000 ₽, офис/гибрид (Санкт-Петербург)


➡️ Еще больше топовых вакансий — в нашем канале InfoSec jobs

🐸 Библиотека хакера

#свежак

🫨 JavaScript в рекламной ссылке

При анализе подозрительного сайта вы находите фрагмент JavaScript (см. на картинке).

❓ Что делает этот код?

🐸Библиотека хакера

#междусобойчик

📌 Обход WAF: 5 актуальных ресурсов для изучения

Подборка для тех, кто хочет разобраться, как современные атакующие обходят защиту веб-приложений, несмотря на использование WAF.

➡️ Обзор техник обхода WAF

Статья на Medium описывает методы обхода, включая обфускацию полезных нагрузок, использование альтернативных HTTP-методов и инъекцию заголовков.

➡️ WAFFLED: использование различий в парсинге для обхода WAF

Исследование показывает, как различия в парсинге HTTP-запросов могут быть использованы для обхода популярных WAF, таких как AWS, Azure, Cloudflare и ModSecurity.

➡️ Обход Cloudflare

Блог BrightData предоставляет пошаговые методы обхода защиты Cloudflare, включая использование Python-скриптов и автоматизацию браузера.

➡️ Использование JSON и XML для обхода WAF

Статья на Claroty объясняет, как злоумышленники используют недостаточную поддержку синтаксиса JSON в WAF для обхода защиты.

➡️ Исследование обхода AWS WAF

Блог Sysdig анализирует способы обхода AWS WAF с использованием специализированных DOM-событий, выявленных в ходе фуззинга.

🐸Библиотека хакера

#свежак

😎 Вы просили — мы сделали. Самый долгожданный анонс этого лета!

Мы открываем набор на второй поток курса «AI-агенты для DS-специалистов»!

На курсе мы учим главному навыку 2025 года: не просто «болтать» с LLM, а строить из них рабочие системы с помощью Ollama, RAG, LangChain и crew.ai.

📆 Старт потока — 15 сентября.

💸 Цена 49 000 ₽ действует только в эти выходные — до 17 августа. С понедельника будет дороже.

👉 Занять место

💬 Чистка логов: безопасность или риск

Оба варианта имеют свои плюсы и минусы. Разбираемся.

➡️ Чистка логов:

— Убирает следы ваших действий

— Снижает шансы на идентификацию атакующего

— Уменьшает объём данных, с которым нужно работать

— Устраняет возможность анализа истории событий

📎 Потеря доказательств, возможно, упущение уязвимостей, скрытие следов может сыграть против

➡️ Оставление логов:

— Прозрачность действий, возможность восстановить картину событий

— Логи помогают обнаружить и анализировать атаки

— Возможность восстановления из журнала данных после инцидента

📎 Логи могут стать источником информации для атакующего, увеличивая риски компрометации

А вы что думаете: стоит ли очищать логи или оставить их на случай расследования? ❓

🐸 Библиотека хакера

#междусобойчик

🤡🤡

🐸Библиотека хакера

#развлекалово

😅 Как одна «быстрая оптимизация» едва не обернулась утечкой

В инфраструктуре нередко жертвуют безопасностью ради скорости — так и здесь: пароль к серверу передавали прямо в командной строке SSH, где его мог увидеть любой или перехватить лог.

История о том, как это нашли, что пошло не так и какие меры предприняли 🔜

🔗 Читать подробнее

🐸 Библиотека хакера

📌 Команда дня: тест на open redirect через curl

Open redirect — уязвимость, позволяющая перенаправить пользователя на внешний сайт (часто для фишинга).

Пример проверки:

curl -L "http://<target>/redirect?url=http://evil.com" --max-redirs 10

🔵 -L — следовать за редиректами

🔵 --max-redirs 10 — ограничить переходы, чтобы избежать бесконечного цикла

Если приложение не фильтрует URL, произойдёт перенаправление на evil.com, что подтверждает уязвимость.

Что тестируем:

➡️ Перенаправление на внешние сайты

➡️ Обработку параметров с URL (next, target, redirect и др.)

➡️ Корректность валидации ссылок

⚡ Советы:

— Проверяй разные параметры (next, goto, return, redirect)
— Для автоматизации используй Burp Suite, OWASP ZAP или собственные скрипты

🐸 Библиотека хакера

#буст

🚀 Главная ошибка новичка в ML — строить звездолёт вместо велосипеда

Многие сразу хотят свою Midjourney, но в итоге получают только выгорание.

Успех начинается с «велосипеда»: научитесь предсказывать цены или классифицировать отзывы. Освойте базу, а уже потом стройте «звездолёты».

Наш курс «ML для старта в Data Science» — это и есть тот самый правильный старт от простого к сложному.

👉 Начните правильно

Берёте курс «ML для старта» до конца недели — Python в подарок.

❗А 21 августа пройдет бесплатный вебинар с Марией Жаровой: узнаете, какие проекты качают скилл, а какие качают ваши нервы.

А какой самый сложный проект вы брались делать в самом начале? 🫢

😶 Пентест в условиях нестабильной сети

Бывает, что работать мешает сама инфраструктура: доступ только через цепочку jump host’ов и капризный прокси, SSH рвётся каждые пару минут, нестандартные порты режутся, трафик жёстко фильтруется.

Вопрос от подписчика:

«Недавно был проект: три туннеля подряд, прокси с постоянными обрывами, и при этом нужно было лезть в несколько внутренних сервисов. Любая команда — и сессия мертва. Какие есть реально рабочие подходы, чтобы не терять доступ и не поднимать всё заново каждые 5 минут?»

❓ Как вы решаете такие задачи? Используете autossh, mosh, screen/tmux или что-то более хитрое?

Делитесь своим боевым опытом в комментах 👇

P.S. Если хотите задать вопрос, заполните нашу гугл-форму. Это займет 5 минут.

🐸 Библиотека хакера

#междусобойчик

🚨 Pentest-R1: автономный фреймворк для пентеста

Представлен Pentest-R1 — фреймворк для поиска уязвимостей, обученный по двухэтапной схеме укреплённого обучения.

Результаты впечатляют:

— 24,2 % успеха на AutoPenBench
— 15 % успеха на Cybench

Для открытых исходников это почти топовый показатель, открывающий новые возможности в автономной разведке уязвимостей.

🔗 Читать подробнее

🐸 Библиотека хакера

#свежак

📌 Инструмент недели: EyeWitness

Забываем про ручной перебор админок. EyeWitness сам делает скриншоты, определяет тип панели и собирает метаданные — всё в одном удобном отчёте.

Что умеет:

👉 Автосъемка скриншотов веб-страниц для анализа интерфейсов

👉 Определение популярных панелей (cPanel, Plesk, DirectAdmin и др.)

👉 Сбор метаданных: сервер, HTTP-заголовки, коды ответов

👉 Параллельное сканирование десятков URL

👉 Работа через прокси для анонимности или обхода блокировок

Как запустить:

1. Установка

git clone https://github.com/FortyNorthSecurity/EyeWitness.git
cd EyeWitness
pip install -r requirements.txt

2. Сканирование

python EyeWitness.py --web --threads 10 --timeout 15 --url-list urls.txt

3. Отчёт

После завершения откройте в браузере:

open report.html

💡 Идеально работает в связке с gau, waybackurls или любым другим инструментом для массового сбора URL

🔗 Ссылка на GitHub

🐸 Библиотека хакера

#буст

🐸 Библиотека хакера

#развлекалово

🔥 Успей поднять квалификацию по выгодной цене!

Только до 17 августа у вас есть последняя возможность купить наши курсы по старым ценам.

🔹 Математика для Data Science:

— Базовый: (сейчас) 26 399₽ → (будет) 33 900₽
— Ультра: 35 199₽ → 44 900₽
— VIP: 59 829₽ → 75 900₽ (выгода больше 16 000₽!)

🔹 Программирование на Python: 24 990₽ → 32 900₽
🔹 Алгоритмы и структуры данных: 31 669₽ → 39 900₽
🔹 Архитектуры и шаблоны проектирования: 24 890₽ → 32 900₽
🔹 AI-агенты для DS специалистов: 54 000₽ → 59 000₽
🔹 Основы IT для непрограммистов: 14 994₽ → 19 900₽
🔹 Базовые модели ML: 6 990₽ → 9 900₽

❗ Важно: Курсы из линейки Frontend Basic полностью снимаются с продажи. 17 августа — буквально последний день, когда их можно будет приобрести.

Успей купить до повышения — осталось 4 дня!

👉 Зафиксировать цену и начать учиться

🎙 LLM в кибербезопасности

Свежий выпуск подкаста «Смени пароль!» — взгляд с конференции КиберКэмп на то, как большие языковые модели меняют ИБ.

В подкасте:

➖ Почему LLM могут дать хакерам больше, чем защитникам

➖ Реальна ли «вторая зима» искусственного интеллекта

➖ Инсайды и прогнозы от Security Vision, G-HACK, Positive Technologies и Лаборатории Касперского

Четко, по делу и с примерами из реальных кейсов.

🔗 Слушать подкаст

🐸 Библиотека хакера

#буст

🌐 P2P-мессенджеры: связь без интернета

Что делать, когда интернет недоступен? В статье — о BitChat, новом P2P-мессенджере, который работает без инфраструктуры, использует технологии шифрования и обеспечивает безопасную связь в экстренных ситуациях.

🔗 Читать статью

🐸 Библиотека хакера

😈 Как обойти CSP для теста XSS

При тестировании XSS часто упираешься в CSP, который «должен» блокировать вредный JS. Но на практике политики пишут с дырками.

1️⃣ Изучите заголовки

В DevTools → Network → Response Headers найди Content-Security-Policy.

2️⃣ Определите разрешённые источники

Смотрите на script-src и default-src. Особое внимание — на:

➖ *.example.com (wildcard может дать доступ к тестовым или уязвимым поддоменам)

➖ unsafe-inline (позволяет вставлять inline-скрипты)

3️⃣ Ищите подходящую точку внедрения

Используйте разрешённые домены для подгрузки своих payload’ов через:

➖ JSONP endpoints

➖ JS-файлы с уязвимостями

4️⃣ Пример

Если CSP разрешает scripts.example.com, а у вас есть контроль над тестовым поддоменом test.scripts.example.com, можно разместить там свой payload.js и загрузить его.

Такой подход помогает найти обходы, которые пропускают автоматические сканеры.

🐸 Библиотека хакера

#буст