Библиотека хакера | Hacking, Infosec, ИБ, информационная безопасность

Недавно мы анонсировали старт нового курса «Математика для Data Science».

В ближайшие дни выйдет серия постов о том, что ждёт вас на курсе, а пока познакомим вас с его экспертами.

Спикеры курса:

👤 Ксения Кондаурова
Преподаватель и автор курсов для бакалавриата Центрального Университета (Т-Банк), спикер и методист для Edutoria (Сбербанк). Ксения расскажет, как линейная алгебра применяется для построения предсказательных моделей, и научит проверять гипотезы для бизнеса с помощью статистики.

👤 Диана Миронидис
Преподаватель НИУ ВШЭ, автор и методист Яндекс Практикума. Самый экстравагантный преподаватель из всех, с кем вы учились, — убедитесь, что математика может быть нескучной. Диана погрузит в математический анализ, научит исследовать функции и находить параметры, при которых ошибка модели минимальна.

👤 Маргарита Бурова
Академический руководитель образовательных программ по аналитике и анализу данных, Wildberries & Russ. Проведёт квиз с розыгрышем годовой подписки TG Premium. Маргарита — эксперт в дата-сайенс, ИИ и математических методах анализа данных, фанат развития ИТ-образования.

Вместе с экспертами за 8 недель вы не просто получите знания, а познакомитесь с математикой заново.

🎁 Только при оплате до 19 октября курс «Базовая математика» в подарок!

👉 Записаться на курс

📌 iOS-атаки и защита

Полезная карта приёмов и инструментов — быстрый чек-лист того, что искать и как классифицировать инциденты.

🐸 Библиотека хакера

#cheat_sheet

👨‍💻 Разбор — «Опасная десериализация»

Раннее мы выкладывали задачу 🦾

Сервис десериализует входной байтстрим (pickle/unsafe JSON) и сразу вызывает obj.process(). Если вход ненадёжный — можно выполнить произвольный код на сервере.

🅰️ Почему опасно: десериализация восстанавливает объекты и может запускать их конструкторы или методы без проверки. Это открывает путь к RCE, утечке данных или DoS.

🅰️ Хотфикс: запретить бинарную десериализацию из внешних источников.

❇️ Долгосрочно: перейти на безопасный формат (JSON со схемой) или изолировать выполнение.

❇️ Главная угроза — RCE.

🐸 Библиотека хакера

#ctf_challenge

🎲 Мы не только учим, но и играем!

На экспресс-курсе «Математика для Data Science» — викторина с призом TG-Premium 🎁
Проверь знания, прокачай математику и забери приз.

‼️ Оплатишь до 19 октября — получишь базовый курс в подарок.

👉 Записаться на курс

💿 1988: год, когда интернет узнал, что такое уязвимость

История, с которой началась эра кибербезопасности. Студент Роберт Моррис запустил экспериментальный червь, чтобы измерить «размер интернета». Но из-за ошибки код стал размножаться бесконечно.

🔫 10% тогдашнего интернета оказалось парализовано — университеты и военные сети легли. Моррис получил первый в истории приговор по закону о компьютерном мошенничестве.

🔤 Так появился первый урок: даже «безвредный» код может стать оружием. И началась новая профессия — защита от самих себя.

🐸 Библиотека хакера

#zero_day_legends

🛠️ Выбор языка для автоматизации атак

⏯ Python — все для пентестера:

— Богатая библиотека для тестирования уязвимостей (например, Scapy, Requests)

— Простой и быстрый язык для написания скриптов автоматизации

⏯ Go (Golang) — производительность на максимуме:

— Высокая скорость и надежность для написания более сложных атакующих скриптов

— Отлично подходит для многозадачности и автоматизации крупных проектов

❓ Какой язык предпочитаете для автоматизации в пентестах:

❤️ — Python
👍 — Go

🐸 Библиотека хакера

#tool_vs_tool

🐸 Библиотека хакера

#hack_humor

🧩 Хакер-челлендж

Сценарий: веб-сервис принимает бинарный объект (pickle/unsafe JSON), десериализует и сразу вызывает метод process() у полученного объекта. Пользователь может загрузить произвольный байтстрим.

❓ Что наиболее правдоподобно может произойти, если загрузить специально-сформированный объект? Голосуйте эмодзи:

🔥 — RCE: выполнить произвольный код на сервере (pickle позволяет инвокировать конструкторы/функции).

👾 — Эскалация привилегий: объект вызовет внутренний метод, открывающий админ-функции.

❤️ — DoS: CV-памяти/CPU через рекурсивные/тяжёлые объекты.

👍 — Утечка данных: объект инициирует исходящие запросы (exfiltration) и вернёт конфиденциальные данные.

🐸 Библиотека хакера

#ctf_challenge

🧐 Хочешь в Data Science, но не знаешь, с чего начать?

Пройди короткий тест по математике — бот покажет, насколько ты готов к переходу и что стоит подтянуть.

Всего пару минут — и ты поймёшь, куда двигаться дальше.

👉 Пройти тест

👍 Шпаргалка по Google Search Operators

Если умеете искать — половина OSINT уже сделана. Сохраните себе этот лист: операторы, которые помогут точечно находить уязвимости, документы, домены и следы утечек.

🔴 Работает в Google, Gmail, Drive и даже Maps.

➕ А закрепить навыки поиска и автоматизации на практике можно на курсе «Python», сейчас со скидкой –40%

🐸 Библиотека хакера

#cheat_sheet

❗️ CVE-2025-32463: эскалация через sudo --chroot

Клиент: приватный CI-сервер с несколькими dev-учётками.

Исследователь: получил доступ к обычной учётке и нашёл, что sudo старой версии позволяет --chroot без защиты. Через контролируемое окружение он подменил NSS/библиотеки внутри chroot и добыл root.

🔤 Ход атаки:

1. Локальный user запускает `sudo --chroot` с контролируемым деревом.

2. Подмена NSS/libc-файлов в chroot.

3. Выполнение кода с правами root → full compromise CI, кража токенов и подпись/публикация артефактов.

🅰️ Полный контроль над сервером, утечка CI-секретов, вредоносные сборки в продакшне.

🛡️ Что сделали мгновенно:

— Обновили sudo до патченной версии.

— Временно запретили --chroot в sudoers для не-админов.

— Удалили/ограничили компиляторы и инструменты сборки на рабочих машинах.

— Провели аудит sudoers/LDAP и убрали shared-правила.

📎 Источник

🐸 Библиотека хакера

#breach_breakdown

🤓 Пока Python стал π-thon, ты можешь стать Data Scientist'ом

В Proglib.academy стартует экспресс-курс «Математика для Data Science»: 10 живых вебинаров, практика на Python и спикеры из ВШЭ, Яндекс Практикума и Wildberries, которые всё разложат по полочкам.

В программе:
🔹 матан, линал, теория вероятностей;
🔹 3 практических проекта + викторина с розыгрышем TG Premium;
🔹 поддержка преподавателей и чат с единомышленниками;

🎁 Оплати курс до 19 октября — получи курс по базовой математике в подарок.
🗓️ Старт — 6 ноября

👉 Записаться на курс

🦈 Wireshark 4.6.0 — новый релиз

Добавлены новые декодеры, улучшен парсинг протоколов и повышена стабильность.

💡 Почему важно: обновлённые декодеры помогают не пропустить «аномальный» трафик при анализе инцидентов.

🔛 Рекомендуем обновить Wireshark, особенно если используете кастомные плагины или работаете с новыми протоколами.

🔗 Ссылка

🐸 Библиотека хакера

#patch_notes

📎 Инструмент недели: synacktiv/appledb_rs

Утилита для работы с базой уязвимостей Apple DB. Позволяет скачивать, индексировать и искать CVE, эксплойты и уязвимости в продуктах Apple — без ручного парсинга сайтов или JSON-фидов.

🔤 Что умеет:

— Загружает и агрегирует данные Apple DB
— Индексирует для быстрого поиска
— Ищет по CVE, описаниям, эксплойтам
— Подходит для CI и локальной аналитики

🔤 Пример запуска:

git clone https://github.com/synacktiv/appledb_rs.git
cd appledb_rs && cargo build --release
./target/release/appledb_rs sync
./target/release/appledb_rs search CVE-2023-XXXX

🗳 Советы:

— Храните локальную копию базы — поиск будет мгновенным
— Обновляйте данные по cron или в CI
— Экспортируйте результаты в JSON/CSV для аналитики

🔗 Ссылка на GitHub

🐸 Библиотека хакера

#tool_of_the_week

🪪 Когда безопасность становится спамом

Двухфакторка спасает — пока пользователь не превращается в «кнопкодава». Злоумышленник шлёт десятки push-запросов, пока жертва не нажмёт Approve, чтобы от них избавиться.

➕ Так компрометировали аккаунты даже в Okta и Microsoft.

💬 История от подписчика:

Сотруднику прилетело 30 MFA-запросов за минуту. Он устал, нажал «да». Логин в 03:17 ночи — заметили только утром.

Как вы боретесь с этим паттерном? Ограничиваете частоту запросов ❓

🐸 Библиотека хакера

#ask_the_community

В proglib.academy — Глобальная распродажа знаний ‼️

💥 Весь октябрь –40% на те курсы, которые выбирают чаще всего.

Курсы с практикой, без воды и пафоса.
Просто берёшь и делаешь апгрейд.

👉 Успей забрать свой курс на proglib.academy

⚠️ Свежие 0-day — срочно проверить

🟡 Oracle E-Business Suite — CVE-2025-61882 (Pre-auth RCE, CVSS 9.8)

Активная эксплуатация, Oracle выпустил экстренный патч — изолируйте интернет-доступ к EBS, примените фиксы и соберите логи/форензику при подозрениях.

🟡 Cisco ASA / FTD — CVE-2025-20333 (RCE) & CVE-2025-20362 (auth bypass)

CISA выпустила Emergency Directive и добавила CVE в KEV — есть атаки в природе. Срочно обновить ASA/FTD, закрыть management/SSL-VPN извне и усилить мониторинг.

🔎 Быстрый чек-лист:

🔜 Инвентаризация — найдите EBS и ASA/FTD в сети.

🔜 Патчи — примените официальные обновления Oracle/Cisco.

🔜 Сегментация — отключите управление из интернета, ограничьте доступ по IP/VPN.

🔜 Hunt — ищите нетипичные RCE-команды, массовые выгрузки и следы компрометации.

🐸 Библиотека хакера

#cve_bulletin

📌 Команда для быстрого аудита локалки

Иногда простой SUID/SGID — вход для эскалации. Быстрая однострочка:

find / -xdev \( -perm -4000 -o -perm -2000 \) -type f 2>/dev/null

➕ Что важно: -xdev — не уходим на другие FS; 2>/dev/null — прячем ошибки.

⭐️ Быстрый лайфхак:

# только root-файлы
find / -xdev \( -perm -4000 -o -perm -2000 \) -type f -user root 2>/dev/null
# сразу ls -l
find / -xdev \( -perm -4000 -o -perm -2000 \) -type f -exec ls -ld {} \; 2>/dev/null

🐸 Библиотека хакера

#cheat_sheet

👀 Быстрый чек дипфейков и визуала

Нашли сайт, который распознаёт генерации, подделки и другие обманы в картинках/видео/страницах: грузишь контент — через секунду получаешь вероятность подделки + ссылки на методологию и отчёты. Разрабы говорят, что база и алгоритмы постоянно обновляются, и пользоваться можно бесплатно.

❗️ Важно:

— Не полагаться на результат как на «вердикт» — бывают ложные срабатывания.

— Нельзя загружать приватные файлы без права — проверь политику конфиденциальности.

— Лучше комбинировать с другими источниками и здравым смыслом.

🔗 Ссылка на DeepFake-o-meter

🐸 Библиотека хакера

🔒 Как один бакет открыл всю инфраструктуру

Нашли публичный бакет с бэкапами/логами → в файлах DB_HOST, API_KEY, redis_password → доступ к staging API → эскалация до prod и утечка PII за <48ч.

Почему сработало:

— публичный ACL + plaintext секреты
— имена файлов с env/сервисами
— нет алертов на массовые скачивания

Быстрый финиш:

🔴 закрыть бакеты и включить объектное шифрование

🔴 секреты в Secret Manager, не в бэкапах

🔴 алерты на массовые GET + least-privilege IAM

🐸 Библиотека хакера

#breach_breakdown