Библиотека хакера | Hacking, Infosec, ИБ, информационная безопасность

👮‍♀ Железный вопрос для хакеров

Коллеги, давайте честно: на чём вы реально работаете?

Интересует всё:

— Какой ноутбук (модель, бренд)
Конфигурация (процессор, RAM, накопитель)

— Что для вас критично в железе для задач ИБ

➕ Особенно любопытно узнать:

— Хватает ли мощности для запуска виртуалок с тестовыми окружениями?

— Сколько RAM реально нужно, когда одновременно крутится Burp Suite, Wireshark и пара VM?

Пишите в комментариях своё железо и впечатления от него — интересно собрать реальную статистику, чем вооружена наша братия 👨‍💻

🐸 Библиотека хакера

👮‍♀ Хакер-челлендж

GraphQL API позволяет строить вложенные запросы. Разработчики отключили introspection в продакшене и установили лимит глубины запроса (max depth: 10). Но забыли ограничить количество алиасов и сложность запроса.

Пример запроса:

{ 
  user1: getUser(id:1){name} 
  user2: getUser(id:2){name} 
  ...
}

❓ Какая атака создаст максимальную нагрузку при минимальном размере запроса?

🐸 Библиотека хакера

#ctf_challenge

🔍 Где хранить секреты в браузере

localStorage — удобно, но небезопасно. Любой скрипт получает доступ к данным, а при XSS ваши токены утекут мгновенно.

🔤 Шпаргалка от Pragmatic Web Security — наглядные схемы всех паттернов с плюсами и минусами.

Сейчас на курсы Proglib действует −40%🥰

🐸 Библиотека хакера

#cheat_sheet

💿 Подмена контейнерных образов в CI/CD

Компрометация пайплайна позволяет злоумышленнику внедрить вредоносный образ и распространить его в production.

🔤 В карточках — сценарий атаки, последствия и конкретные шаги по защите цепочки поставок.

🐸 Библиотека хакера

#breach_breakdown

🔥 Когда понимаешь SOLID — жизнь становится проще

В октябре действует скидка 40% на все курсы от Proglib Academy, включая интенсив «Архитектуры и шаблоны проектирования»

📘 На интенсиве ты:

— разберёшься, как проектировать приложения, которые не ломаются при каждом изменении;
— освоишь SOLID-принципы, IoC, адаптеры и фабрики;
— научишься строить масштабируемые архитектуры;
— создашь собственную игру «Звёздные войны».

👨‍💻 Примеры кода на C#, Java, Python, PHP, C++ и JavaScript. Главное — понимать принципы, а не язык.

Преподаватель — Евгений Тюменцев, директор компании HWdTech, разрабатывал многопоточные кроссплатформенные приложения для IBM Watson.

📆 Формат: онлайн, 1 месяц.
📚 9 лекций + 2 бонусных занятия + практика.

Интенсив подойдёт джунам, которые хотят апнуться до мидла, и мидлам, мечтающим о роли архитектора.

👉 Переходи к курсам со скидкой 40%

🛎 Обновы в арсенале Red Team

🔳 Metasploit

Добавлены новые модули: SQLi для FreePBX (CVE-2025-57819) и модуль персистенции через systemd-override (требует прав root).

🔳 Burp Suite

Выпуск Professional/Community 2025.10: улучшения фильтрации HTTP-history, обновления Montoya API, улучшения UI sitemap и массовое копирование столбцов.

🐸 Библиотека хакера

#patch_notes

🦾 Инструмент недели: ChromeStealer

Тул для извлечения локально сохранённых данных из профиля Google Chrome — логины, пароли, cookies и история. Предназначен для легального тестирования безопасности и демонстрации рисков хранения данных в браузере.

🔴 Возможности:

— скан профиля,

— экспорт логинов/сессий,

— отчёт для офлайн-аналитики.

🔴 Внедрите менеджеры паролей, 2FA и корпоративные политики Chrome (GPO/MDM).

📎 Ссылка на GitHub

🐸 Библиотека хакера

#tool_of_the_week

☁️ Метаданные под прицелом

SSRF → 169.254.169.254 → временный IAM-токен → S3 с дампом. Казалось бы, учебник, но автор говорит: это случилось у них на staging и почти стоило компании утечки в проде.

💬 История от подписчика:

Мы нашли баг в одном вспомогательном эндпоинте — он принимал URL и делал fetch. На staging никто не думал, что это опасно. Во время теста security-команда пробросила SSRF и получила ответ от 169.254.169.254 с временным токеном роли инстанса. С этим токеном легко списали объекты из S3-бакета, где лежали конфиги и бэкапы DB. К счастью, это был staging, но в логах были следы запросов с IP внешнего сканера — ясно, что в проде сценарий бы сработал так же. Мы закрыли эндпоинт, обязали IMDSv2 и запретили роль инстанса для приложений, которые её не требуют — но урок горький.

🖍 Пишите, что реально внедрили в проде и какие trade-offs получили: чего оказалось слишком много для девопсов, а что спасало в реальных атаках. Примеры правил, сигнатур и автоматизации приветствуются.

🐸 Библиотека хакера

#ask_the_community

🚨 Новая дыра в Adobe Experience Manager

CISA добавила свежую уязвимость — CVE-2025-54253 — в каталог активно эксплуатируемых. Под угрозой: AEM 6.5.23 и старше.

⚙️ Почему это важно:

— AEM используют крупные компании, часто даже не зная о риске.

— Попадание в KEV каталог = эксплуатируется уже сейчас.

— RCE в AEM → доступ к файлам, данным и учёткам.

🔜 Что делать:

1. Проверить версию AEM (всё до 6.5.23 — под угрозой)

2. Установить патч или обновиться

3. Проверить логи на подозрительную активность

🔗 Источник

🐸 Библиотека хакера

#cve_bulletin

🔗 OAuth2 — шпаргалка для пентестера

Чеклист уязвимостей, быстрые признаки и инструменты — PKCE, JWT, redirect_uri, CORS, хранение токенов.

Сейчас на курсы Proglib действует −40%🥰

🐸 Библиотека хакера

#cheat_sheet

⏰ Сегодня последний день!

🎁 Только при оплате до 19 октября — курс «Базовая математика» в подарок!

Успей попасть на экспресс-курс «Математика для Data Science» — 10 живых вебинаров, практика на Python, поддержка менторов и преподаватели из ВШЭ, Яндекс Практикума и Wildberries.

За 2 месяца разберёшься с тем, на чём держится Data Science:

• векторы, матрицы и регрессия;
• градиенты, оптимизация, вероятности и статистика;
• реальные задачи анализа данных;

🎓 Построишь математический фундамент и поймёшь, как работают алгоритмы ML под капотом.

👉 Записаться на курс

Старт — 6 ноября, не упусти бонус!🎁

🔍 Log4Shell: как один логгер открыл дверь в прод

Клиент: публичное веб‑приложение с микросервисами.

Исследователь: заметил, что Log4j парсит все строки и выполняет JNDI‑lookup. Через специально сформированную строку он получил удалённое исполнение кода в JVM.

🔤 Ход атаки:

1. Пользовательский ввод попадает в лог.

2. JNDI‑lookup загружает контролируемый класс.

3. RCE → кража секретов, боковое движение, вредоносные сборки.

🔴 Последствия: полный контроль над сервисом, утечка данных, компрометация интеграций.

🔴 Меры: обновили Log4j, заблокировали исходящие соединения, санитизировали логируемые поля, проверили IOC.

🐸 Библиотека хакера

#breach_breakdown

♾️ 17 формул, которые изменили мир

Математика в действии — как уравнения, придуманные века назад, сегодня управляют интернетом, медициной, космосом и вашими финансами.

📎 Читать статью

А если после статьи захотите разобраться, как эта математика работает в Data Science — вот экспресс-курс, который всё расставит по полочкам:

«Математика для Data Science»

— практика и живые уроки
— разбор кода и проверка домашних
— поддержка в Telegram-чате

🎓 За 2 месяца поймёте, как работают алгоритмы ML под капотом.
🗓️ Старт — 6 ноября

👉 Записаться на курс

🔥 Немецкий backdoor в сети Пентагона

До появления фаерволов и VPN группа немецких энтузиастов во главе с Маркусом Гессом взламывала сети через dial-up и терминалы DEC. Пароли — по словарю, доступ — через уязвимые VAX/VMS-сервера NASA, Пентагона и Лос-Аламоса.

🇷🇺 Потом они продавали данные КГБ — логины, схемы, отчёты по спутниковым системам. Первый documented case, где хакеры действовали как подрядчики разведки.

🔤 Расследование ЦРУ и BND показало: граница между curiosity и espionage — тоньше, чем одна строка в логах.

🐸 Библиотека хакера

#zero_day_legends

🐸 Библиотека хакера

#hack_humor

🎯 Как Ричард «ломает» свой алгоритм

Ричард из Silicon Valley декомпилирует и тестирует собственный бинарник, чтобы понять, как конкуренты могли скопировать или обойти алгоритм сжатия.

🈁 В карточках — что реально, что упрощено для драматизма, и практичные меры. Сохраните — пригодится при оценке рисков и защите сборок.

🐸 Библиотека хакера

#hollywood_hack