Библиотека хакера | Hacking, Infosec, ИБ, информационная безопасность

⚠️ Глобальный сбой Cloudflare

У Cloudflare сегодня произошёл масштабный инцидент, затронувший множество популярных сервисов по всему миру. Компания сообщила, что знает о проблеме и работает над восстановлением.

📉 Что пострадало:

Spotify, «Яндекс Музыка», X, Amazon-сервисы, OpenAI/ChatGPT и другие ресурсы, использующие Cloudflare для DNS, CDN и защиты.

Сбой начался вскоре после плановых работ в дата-центре Сантьяго. Напомним: через Cloudflare проходит около 20% мирового веб-трафика.

🎥 Компания обещает обновления по мере устранения неполадок.

🐸 Библиотека хакера

#patch_notes

🔥 Свежие апдейты из мира ИБ

Подборка ключевых событий, которые стоит держать в поле зрения 👇

♾ Браузерный движок Servo получил поддержку нативных сборок и новых жестов

Новый цикл обновлений улучшает веб-совместимость и работу на мобильных платформах.

♾ Microsoft Patch Tuesday — 63 уязвимости

Microsoft выпустила обновления, закрывающие 63 уязвимости, включая нулевой день CVE-2025-62215.

🎥 Рекомендация: обновлять без промедления, проверить логи на предмет ранее начатой эксплуатации.

♾ $244000000 за шифрование

VPN-инфраструктура теперь — бесплатный банкомат для хакеров

♾ Нейросеть сдала все пароли: «Просто стань моим другом»

Фильтры безопасности рухнули после одного невинного предложения

♾ Как российский рынок кибербезопасности станет монополией за 6 лет

Рынок кибербезопасности вырос на 26,3%, обогнав даже IT-сектор.

♾ В российском TrueConf Server нашли цепочку 0-day уязвимостей, позволяющую удаленно выполнять команды

🐸 Библиотека хакера

#patch_notes

📎 Инструмент недели: Trivy

Один инструмент для поиска всего: уязвимостей в контейнерах, секретов в коде, misconfigurations в Kubernetes и IaC. Сканирует образы, файлы, репозитории и даже целые кластеры.

➡️ Что умеет:

— Находит CVE в OS-пакетах и зависимостях (Python, Node.js, Java, Go и ещё 20+ языков)

— Генерирует SBOM (CycloneDX, SPDX) для supply chain security

— Ловит секреты (API keys, tokens, credentials) в коде и образах

— Проверяет IaC на ошибки конфигурации (Terraform, K8s YAML, Dockerfiles)

— Сканирует Kubernetes кластеры и генерирует KBOM

— Работает локально, в CI/CD, интегрируется с GitHub Security, Harbor, GitLab

➡️ Пример запуска:

# Проверить Docker-образ
trivy image nginx:latest

# Сгенерировать SBOM
trivy image --format cyclonedx -o sbom.json myapp:latest

# Найти секреты в репозитории
trivy fs --scanners secret ./

# Проверить Kubernetes кластер
trivy k8s cluster

💡 Зачем нужно:

DevSecOps без боли. Вместо десятка разных инструментов — один Trivy. Быстрый (секунды), точный (низкий false-positive), бесплатный. Один скан → видишь все риски: от outdated библиотек до hardcoded паролей.

🔗 Ссылка на GitHub

🐸 Библиотека хакера

#tool_of_the_week

🙂 Когда вы узнали о последнем инциденте безопасности

A) Из своего SIEM в реальном времени
B) Пользователь написал «что-то тормозит»
C) Банк заблокировал карту компании
D) Хакеры сами написали в поддержку

💬 Пишите в комментах самую дикую историю, как узнали об инциденте

🐸 Библиотека хакера

#ask_the_community

🚨 Fortinet FortiWeb взломан

Zero-day уязвимость CVE-2025-64446 УЖЕ эксплуатируется хакерами в реальных атаках.

🎥 Что происходит:

Path Traversal → чтение любых файлов системы → удалённое выполнение кода

⚠️ Если у вас FortiWeb — вы под ударом ПРЯМО СЕЙЧАС

🎥 Что делать:

— Накатить патч немедленно
— Закрыть админку от внешнего доступа
— Проверить логи на следы взлома

📎 Источник

🐸 Библиотека хакера

#cve_bulletin

🚀 В IT ценится не перфекционизм, а движение вперёд, и если вы давно откладывали обучение — самое время начать.

❤️ Proglib Academy продлевает розыгрыш MacBook Pro 14 до 30 ноября!

Что нужно:

⚡️ выбрать курс;
⚡️ пройти минимум две недели обучения (можно за два вечера);
⚡️ написать куратору #розыгрыш;
⚡️ забрать макбук.

🎓 Курсы, которые участвуют

👉 Участвовать

📌 OSI-модель: шпаргалка для пентестера

Эта схема помогает быстро связать атаки, трафик и оборудование с конкретным слоем стека, не тратя время на документацию.

🎥 Держите под рукой при анализе сетей, CTF-соревнованиях и реальных пентестах — экономит время и не даёт пропустить уязвимые компоненты.

🐸 Библиотека хакера

#cheat_sheet

🧭 Сети для самых маленьких

Серия создана для тех, кто хочет быстро освоить основы сетей и разобраться в работе основных протоколов. Материалы подаются в нейтральной форме, а практические примеры на CLI Cisco помогают закрепить принципы конфигурации и диагностики.

🔤 Проект формирует устойчивую базу для дальнейшей работы с реальными технологиями: маршрутизацией, коммутацией, VPN и протоколами операторского класса.

🔗 Ссылка на GitBook

🐸 Библиотека хакера

#resource_drop

🤔 Как Sony стала символом кибервойны

Атака #GOP привела к крупнейшему сливу в истории Голливуда: свыше 100 ТБ фильмов, переписки, зарплат и личных данных оказались в сети. Угрозы терактов вынудили кинотеатры отказаться от показа — Sony впервые отменила премьеру из-за хакеров.

🎥 ФБР обвинило КНДР, последовали санкции США. Пхеньян отрицал участие, называя случившееся «возмездием». Эксперты считали улики слишком прямыми и допускали инсценировку.

🤔 Sony стала примером того, что даже медиа-гигант может уступить организованной группе. Индустрия пересмотрела стандарты безопасности и подняла бюджеты на киберзащиту.

Фильм вышел онлайн и собрал $40 млн — парадоксальная реклама от попытки запрета.

🐸 Библиотека хакера

#zero_day_legends

😺

🐸 Библиотека хакера

#hack_humor

📘 Хочешь в Data Science, но есть пробелы в знаниях математики?

Мы сделали экспресс-курс «Математика для Data Science», который за 2 месяца даст тебе фундамент, без которого ни одна ML-модель не взлетит 🚀

Что тебя ждёт:
🔹 живые вебинары с экспертами (НИУ ВШЭ, SberAI, Wildberries&Russ);
🔹 практика в Python, квизы и проверка заданий экспертами;
🔹 матрицы, регрессии, вероятности и статистика: всё на примерах из реальных задач;
🔹 старт — 4 декабря.

🔥 Не упусти халяву: сейчас 40% до 30 ноября

👉 Записаться на курс

😯 Разбираем хакерские сцены из “Die Hard 4.0”

В фильме запускают «fire sale» — атаку, которая одновременно рушит транспорт, энергетику, финансы и связь.

🎥 От старых протоколов в инфраструктуре до сетевой сегментации и тактики APT — в фильме хватает точек, которые можно разложить через реальные ИБ-подходы.

🔤 В карточках — короткий разбор: что выглядит правдоподобно, что технически нереализуемо, и как эти сцены соотносятся с атаками на OT/ICS, транспорт и финансовые системы.

🐸 Библиотека хакера

#hollywood_hack

🔍 Разведка поддоменов

⚡ Subfinder:

— Пассивная разведка через 50+ источников

— Находит поддомены за секунды (API ключи решают)

— Не светит IP, не шумит в логах

— Идеален для bug bounty (быстро проверил scope)

— Но: находит только то, что уже известно публично

🎯 Amass:

— Активная + пассивная разведка (DNS brute-force)

— Граф связей между доменами и IP

— Находит скрытые поддомены через альтерацию

— Выкапывает то, что пропустили другие

— Но: медленный (часы работы), шумный, может спалить

❓ Ваш выбор при разведке:

❤️ — Subfinder (скорость и стелс)
🔥 — Amass (глубина и полнота)

🐸 Библиотека хакера

#tool_vs_tool

🤔 Разбор хакер-челленджа

У нас Linux-VM с пользователем ctfuser и набором типичных для CTF уязвимостей: SUID-бинарники, кривые cron’ы, локальный сервис и старые пакеты. Цель — стать root и прочитать /root/flag.txt.

🔍 Что важно при первичном осмотре:

— в /etc/cron.d/ есть задание от root, но сам вызываемый скрипт лежит в директории, куда может писать ctfuser

— среди SUID-файлов нет очевидных «подарков» типа старых версий find/vim

— локальный daemon слушает только 127.0.0.1, но эксплойт требует уже повышенных прав

— в $HOME/backup есть старый old_script.sh, но он не исполняется автоматически

— .bash_history намекает, что админ вручную запускал этот cron-скрипт во время тестов

🎯 Самый надёжный и быстрый путь — подмена root-скрипта, который запускается по cron. Это гарантированное исполнение с UID=0 и полный контроль над содержимым. Достаточно вписать туда shell-спавн или перепись /root/flag.txt в доступное место.

🔤 Ответ: 👾 Cron + writable script

🐸 Библиотека хакера

#ctf_challenge

😈 Что сделало LulzSec легендой

Если Anonymous были толпой, то LulzSec — компактной бандой с фирменным стилем. Их атаки сопровождались комедийными пресс-релизами, мемами и пиратской ASCII-заставкой. Но за шоу скрывалась куда более неприятная правда.

🔤 Почему это было важно:

• их выходки стали катализатором ужесточения кибербезопасности в США;
• показали, что маленькая организованная группа может нанести ущерб уровня APT;
• задали новый стиль хактивизма — дерзкий, публичный, театрализованный.

💡 Инсайт, который редко озвучивают

LulzSec брали не магией, а чужой небрежностью: слабые пароли, старые CMS, SQL-инъекции уровня учебника. Индустрия с ужасом поняла, что для громкого хаоса не нужны ресурсы государства — хватает шести людей в IRC и запущенной инфраструктуры.

Именно их троллинг ускорил взросление рынка: багбаунти, регулярные пентесты, внутренние red team. Мемы стали катализатором перемен 🤔

🐸 Библиотека хакера

#zero_day_legends