Библиотека хакера | Hacking, Infosec, ИБ, информационная безопасность

Prompt Injection, утечки и 152-ФЗ. Как безопасно деплоить ИИ?

Разработчики радостно пилят ИИ-агентов, дают им доступ к базам и пускают в прод. А потом агент сливает внутренние доки юзеру или грубо нарушает политику обработки персданных.

Мы полностью обновили курс по AI-агентам под стандарты 2026 года. Добавили хардкорный инжиниринг: изоляцию доменов, контроль действий, runbooks для отказов и мощный юридический блок по деплою.

Что внутри по безопасности и архитектуре:

— комплаенс и 152-ФЗ: как развернуть решение со всеми юридическими ограничениями и документами;
— контроль исполнения: лимиты на действия, защита от неконтролируемого роста нагрузки;
— продвинутый LangGraph: интеграция human-in-the-loop для аппрува критичных решений;
— изоляция агентов: безопасное управление браузером и legacy-интерфейсами;
— RAG без утечек: методы безопасного извлечения данных из сырых корпоративных источников.

Используйте промокод Agent, чтобы получить скидку 10 000 рублей (до 28 февраля).

Применив акцию «3 курса по цене 1», забирайте два курса сверху бесплатно.

Научиться строить безопасные ИИ-системы

🔥 Самое важное в мире инфобезопасности

🔴 CVE-2026-2441 — активно эксплуатируемый Zero-Day в Chrome

На этой неделе Google выпустил экстренное обновление для Google Chrome, закрывающее Use-After-Free уязвимость в движке Chromium.

— Угроза: удалённое выполнение кода через специально сформированные страницы.

— Статус: эксплуатируется в природе.

— Рекомендация: обновить Chrome до последней версии на всех рабочих машинах и серверах, где используется.

🔴 Активный SSRF против GitLab (CVE-2021-22175)

Хотя CVE датируется 2021 годом, в феврале 2026 он был включён в список активно эксплуатируемых уязвимостей (KEV).

— Уязвимость позволяет злоумышленнику отправлять SSRF-запросы от имени сервера GitLab.

— Возможны доступ к внутренним сервисам и обход внутренних политик.

— Рекомендация: проверить и обновить GitLab, ограничить исходящие запросы с CI/CD runner’ов.

🔴 Splunk Enterprise for Windows — локальная привилегия до SYSTEM

В опубликованном заявлении описана уязвимость, позволяющая:

— Неавторизованному локальному пользователю загрузить DLL и получить SYSTEM-привилегии.

— Статус: эксплуатация возможна, подтверждённых PoC на момент публикации уже публиковалось.

Рекомендации:

— проверить Windows-инсталляции Splunk на окружениях.
— внедрить ограничение использования локальных учётных записей с низкими правами.

🔴 BeyondTrust Remote Support — активно эксплуатируемая уязвимость

Ещё один свежий инцидент: BeyondTrust Remote Support содержит OS-командную инъекцию без аутентификации.

— Статус: уже используется в атаках по сети.

— Рекомендация: срочно обновить до фикс-версии, где это закрыто, и ограничить интернет-доступ к сервису.

📍 Навигация: [Вакансии]

🐸 Библиотека хакера

#cve_bulletin

🔥 Вопрос с собеседования на Middle

Что такое SSRF через DNS Rebinding?

👇 Правильный ответ (нажми, чтобы прочитать):

DNS Rebinding — техника, при которой домен сначала резолвится во внешний IP, проходит валидацию, а затем быстро меняет IP на внутренний (например, 127.0.0.1 или 169.254.169.254).

Если сервер не кэширует DNS или повторно не проверяет IP — можно достучаться до внутренних сервисов.

❇️ Частая цель:

— metadata cloud (AWS/GCP/Azure)
— Redis / Elasticsearch
— внутренние admin-панели

👍 — знал/а
🔥 — стало понятнее

📍 Навигация: [Вакансии]

🐸 Библиотека хакера

#ctf_challenge

📚 Wordlists для практического пентеста

Подборки от Trickest — это не случайные списки из интернета, а словари, собранные на основе реальных данных: исходные коды популярных CMS и серверных решений, robots.txt крупных сайтов, публичные программы bug bounty и данные из облачных сертификатов.

Что внутри:

— директории и пути для WordPress, Joomla, Drupal, Magento, Tomcat и других технологий

— масштабные базы сабдоменов, включая находки из облачной инфраструктуры

— агрегированные данные из robots.txt топ-ресурсов

Подходит для:

🔴 брутфорса директорий
🔴 поиска скрытых эндпоинтов
🔴 расширения поверхности атаки при веб-пентесте

Это инструмент не для «галочки», а для реальной разведки и углублённого тестирования.

📎 Ссылка на GitHub

📍 Навигация: [Вакансии]

🐸 Библиотека хакера

#tool_of_the_week

🛡 Когда стандарт становится риском

Иногда уязвимость — это не баг в коде, а решение на уровне стандарта.

Dual_EC_DRBG — генератор, который выглядел корректно, но мог быть предсказуемым при знании скрытого параметра.

🔢 В карточках разберём, как это работало и почему этот кейс изменил доверие к криптографии.

📎 Если захотите углубиться:

— краткий, но показательный разбор Shumow & Ferguson (2007), где впервые публично указали на возможность закладки

— расследование Reuters о связях NSA и индустрии

— официальное заявление National Institute of Standards and Technology о пересмотре стандарта

📍 Навигация: [Вакансии]

🐸 Библиотека хакера

#zero_day_legends

🧱 Замедляли Telegram — лег git kernel org

Последнюю неделю разработчики жалуются:

• git clone https://git.kernel.org/... зависает
• HTTPS-соединение рвётся по таймауту
• ping до сервера проходит
• главная kernel.org иногда открывается, а git.kernel.org — нет

Картина типичная: не падение сервера, а фильтрация трафика. Параллельно под ограничения попали Yocto, Zephyr, Buildroot и другие ресурсы, от которых зависят сборки Linux и embedded-проектов.

⚠️ Что здесь важно:

Фильтрация трафика затронула upstream-репозитории. Доступ к исходникам и обновлениям у части разработчиков работает только через VPN.

🔤 Linux — фундамент большинства отечественных ОС и серверных решений. Если upstream нестабилен, это бьёт по всей экосистеме.

Что меняется для инженеров:

1. Компании поднимают собственные зеркала и кэш-репозитории
2. CI/CD переводят на внутренние источники зависимостей
3. Хранят офлайн-архивы пакетов и исходников
4. Закладывают автономность как требование архитектуры

Если внешний upstream недоступен или непредсказуем, инфраструктура перестаёт быть глобальной и становится изолированной по умолчанию.

Интересно ваше мнение:

❤️ — инфраструктура должна быть полностью автономной
🔥 — без глобального интернета разработка деградирует
🌚 — посмотрим, чем закончится

📍 Навигация: [Вакансии]

🐸 Библиотека хакера

#breach_breakdown

🪟 Naabu — быстрый порт-сканер

Лёгкий инструмент для поиска открытых портов на хостах. Подходит для быстрой разведки перед углублённым анализом.

🔢 Что умеет:

— SYN / CONNECT / UDP-сканирование
— Работа с одним хостом или списком целей
— Вывод только откликающихся портов
— Удобен для автоматизации и CI

Используется для первичного профилирования поверхности атаки: быстро понять, какие сервисы доступны извне.

Docker-образ:

registry.cybercodereview.ru/cybercodereview/security-images/naabu:2.1.9

Результаты можно импортировать в Security Center через API (POST + JSON-отчёт).

📎 Ссылка на GitHub

📍 Навигация: [Вакансии]

🐸 Библиотека хакера

#tool_of_the_week

🐸 Библиотека хакера

#hack_humor

AI-агент — это дыра в периметре?

Дать LLM доступ к браузеру и базе данных — звучит как начало взлома. В обновлённом курсе «Разработка AI-агентов» мы уделили особое внимание безопасности и юридическим аспектам.

Sec & Legal модули:

🔹 Изоляция. Контроль доменов и действий при управлении браузером/legacy-интерфейсами.

🔹 Data Privacy. Как развернуть решение с соблюдением 152-ФЗ. Юридическая обвязка и защита персональных данных.

🔹 Контроль. Внедрение Human-in-the-loop для утверждения критичных операций агента.

🔹 Log & Trace. Полная прозрачность действий системы для аудита.

Стартуй сейчас! Материалы пре-подготовки доступны сразу.

🎟 Промокод Agent — скидка 10 000 ₽ (до 28 февраля).

👉 Безопасная разработка агентов

🔥 Вопрос с собеседования на Middle

Что такое Second-Order SQL Injection?

👇 Правильный ответ (нажми, чтобы прочитать):

Second-Order SQLi — это уязвимость, при которой вредоносная строка сначала безопасно сохраняется в базе, а затем становится опасной при повторном использовании в другом запросе.

инъекция «срабатывает» не сразу, а позже — когда сохранённые данные попадают в динамический SQL.

Как это выглядит на практике:

1. Пользователь сохраняет имя: test'--
2. Приложение кладёт это в БД.
3. Позже это значение вставляется в SQL без параметризации → инъекция.

👍 — знал/а
🔥 — не знал/а

💼 Щелкаешь такие задачи как орешки? Найди проект с достойной зарплатой тут

🐸 Библиотека хакера

#ctf_challenge

🗂 Российские СУБД — краткий ориентир

В шпаргалке десятки систем: реляционные, NoSQL, аналитические платформы и специализированные решения.

🅱️ Полезно при аудите, выборе стека и проектировании инфраструктуры — чтобы быстро понять, какие варианты вообще есть на рынке.

📍 Навигация: [Вакансии]

🐸 Библиотека хакера

#cheat_sheet

🛠 20+ утилит для шифрования файлов

Системный интегратор ИБ «Бастион» разобрал более 20 инструментов.

🈶 Встроенные решения (база)

 • FileVault (macOS) — XTS-AES-128, шифрует весь диск, интеграция с T2.
 • BitLocker (Windows) — AES-128/256 + TPM, можно шифровать диск целиком или разделы.
 • LUKS (Linux) — стандарт де-факто, AES-256, гибкое управление ключами.

🔤 Подходит для full-disk encryption и защиты при физическом доступе.

🈶 Быстро зашифровать файл
• Hat.sh / Cloaker — браузерное шифрование (XChaCha20-Poly1305, Argon2id).

 • Picocrypt — XChaCha20 + Serpent, HMAC-SHA3, кроссплатформа.
 • Dexios (Rust) — AES-256-GCM / ChaCha20-Poly1305, аудит NCC.
 • Kryptor — CLI, XChaCha20-Poly1305 + Ed25519.

🔤 Удобно для точечной защиты и передачи файлов.

🈶 Перед облаком — шифруйте

• Cryptomator — AES-256, шифрует каталог перед синком в Dropbox/Drive.
 • Duplicati — бэкапы + AES-256 + дедупликация.
 • RClone — NaCl SecretBox (XSalsa20-Poly1305), шифрованная синхронизация.

🔤 Никогда не доверяйте облаку plaintext.

🈶 Контейнеры и скрытые тома

 • VeraCrypt — AES, Serpent, Twofish, скрытые тома, каскады.
 • Tomb — оболочка для LUKS + стеганография.
 • zuluCrypt — GUI для cryptsetup.
 • SiriKali — комбайн для CryFS, EncFS, gocryptfs и др.

🔤 Для параноидального уровня и OPSEC.

🈶 В корпоративке

 • HSM — безопасное хранение ключей.
 • SIEM — мониторинг аномалий.
 • DLP — контроль утечек.

Шифрование без контроля доступа и мониторинга — половина защиты.

🔗 Источник

🐸 Библиотека хакера

#tool_vs_tool

🤟 Старый ноутбук как новый сервер

Оказалось, что даже 12-летний ASUS может стать полноценным Linux-сервером: хранить файлы, крутить Docker-контейнеры и разгружать основной ноут.

В карточках — зачем поднимать отдельный сервер, как его настроить и что на нём запустить (от JupyterLab до Home Assistant) ✔️

🔗 Полный текст статьи — по ссылке

🐸 Библиотека хакера

#resource_drop