Библиотека хакера | Hacking, Infosec, ИБ, информационная безопасность

⚠️ ClawJacked: одна вкладка браузера — и полный захват OpenClaw

Исследователи из Oasis Security обнаружили критическую уязвимость в OpenClaw — self-hosted ИИ-ассистенте, который активно набирает популярность.

🔴 Что происходило

Вредоносный сайт мог:

— подключиться к локальному WebSocket-шлюзу (localhost)
— перебрать пароль без троттлинга
— зарегистрироваться как «доверенное устройство»
— получить полный админ-доступ

Причина — исключение loopback-адреса из ограничений брутфорса и отсутствие жёстких проверок WebSocket-подключений.

🔴 Что получал атакующий

— доступ к логам и токенам
— чтение истории сообщений
— извлечение файлов
— выполнение shell-команд через подключённые узлы

⏺ Патч выпущен в версии 2026.2.26 (26 февраля).

📍 Навигация: [Вакансии]

🐸 Библиотека хакера

#cve_bulletin

🕷 Шпаргалка по SpiderFoot

SpiderFoot — инструмент для автоматизированного OSINT-разведки. Собирает данные о доменах, IP, email, компаниях и инфраструктуре из десятков открытых источников и связывает их в единую картину.

Что внутри:

— Установка и быстрый старт
— Ключевые модули и сценарии сканирования
— Практические кейсы применения
— Работа с API и автоматизация
— Полезные команды и параметры запуска
— Разбор результатов и интерпретация данных

🔗 Ссылка

📍 Навигация: [Вакансии]

🐸 Библиотека хакера

#cheat_sheet

🎯 Mock-интервью с AI-разбором

Нашли сервис с AI-интервьюером, где можно прогнать mock-собеседование по кибербезопасности: от Junior до Senior.

Что полезного:

🟢 Технические вопросы по специализации

Web, AppSec, инфраструктура, cloud, bug bounty — выбор уровня и роли.

🟢 Оценка 1–10 + разбор ответа

Где поверхностно.
Где не раскрыли impact.
Где нет цепочки до privilege escalation.

🟢 Голосовой режим

Можно отвечать как на реальном собеседовании — тренируется уверенность и структура мысли.

🟢 Неограниченные попытки

Можно оттачивать формулировки до уровня Senior.

📍 Навигация: [Вакансии]

🐸 Библиотека хакера

#resource_drop

Устал искать уязвимости в чужих костылях? Построй продукт, за который не стыдно 🚀

Proglib App ищет технического кофаундера. Это не очередной корпоративный портал, а EdTech-платформа с ИИ-фишками, курсами и лидербордами. MVP готов, юзеры учатся, на очереди — масштабирование и усложнение логики.

Нужен человек с «хакерским» драйвом: способный видеть систему целиком, проектировать чистую архитектуру и быстро доставлять фичи.

🛠️ Технический ландшафт:

TypeScript, React 18, Express 5, PostgreSQL, Drizzle ORM. Работа в связке с Claude Code и Cursor.

Что предстоит:

• Проектировать архитектуру и пилить новый функционал.
• Рефакторить, писать тесты и проводить код-ревью.
• Развивать ИИ-агентов внутри платформы.

Ожидания:

• Уверенное знание TS, React, Node.js и SQL.
• Самостоятельность: взял задачу — довёл до результата.
• Интерес к современному EdTech и информационной безопасности.

Удалёнка, гибкий график, работа напрямую с фаундером без менеджеров-прослоек.

Хочешь создать сервис, которым будут пользоваться тысячи коллег? Пиши 👇

@proglibrary_feedback_bot

⚠️ Сайт Роскомнадзор остаётся нестабильным

Инфраструктура ведомства продолжает работать с перебоями после начавшейся 27 февраля масштабной DDoS-атаки. На утро 1 марта сайт частично доступен, но сохраняются ошибки подключения и медленная загрузка.

Что известно на текущий момент:

— атака носит многовекторный характер
— используется распределённый ботнет с зарубежной инфраструктурой
— фильтрация трафика продолжается
— полное восстановление стабильности не достигнуто

🏮 Атака продолжается уже несколько дней — это либо очень мощный трафик, либо постоянная смена источников нагрузки.

Ситуация показывает: даже государственные сервисы с защитой могут долго «ложиться» под устойчивым DDoS 😳

📍 Навигация: [Вакансии]

🐸 Библиотека хакера

#cve_bulletin

🔥 Реальный кейс из багбаунти

Узнайте правильный ответ здесь 🔗

📍 Навигация: [Вакансии]

🐸 Библиотека хакера

#ctf_challenge

Уничтожили 🤓

🐸 Библиотека хакера

#hack_humor

Последний шанс: 3 курса по цене 1 и запуск AI-агентов в продакшн

Скормить данные нейронке — полдела, а вот защитить пайплайн от промпт-инъекций — задача для сеньора. Как контролировать доступ автономных мультиагентных систем и не нарушить 152-ФЗ при работе с данными?

В обновлённой программе фокус смещён на безопасность и вывод ИИ в прод. Вы научитесь строить защищённые ReAct-циклы, работать с LangGraph и AutoGen, безопасно внедрять RAG и протоколы MCP. Все ключевые навыки в одном месте: изоляция выполнения, secure prompting, подтверждение рискованных действий (human-in-the-loop) и развёртывание в закрытых Enterprise-контурах.

Почему нельзя откладывать:

— масштабная акция «3 курса по цене 1» сгорит уже завтра;
— промокод Agent на скидку 10 000 рублей действует последние часы;
— сразу после оформления открываются материалы для подготовки — начать учиться можно прямо сейчас.

Забронировать место на курсе и забрать бонусы до 28 февраля

🔎 IP-разведка из терминала

В логах всплыл незнакомый IP? Необязательно идти в браузер и пользоваться онлайн-сервисами.

Есть простой CLI-инструмент, который покажет страну, провайдера, ASN и координаты прямо в консоли — смотрите в карточках ⚡️

🔗 Ссылка на статью

📍 Навигация: [Вакансии]

🐸 Библиотека хакера

#tool_of_the_week

🔥 5 bypass-сценариев, которые дают реальный account takeover

🔘 Login CSRF → тихий захват аккаунта

Если state не проверяется или хранится криво — можно:

1. Авторизоваться через OAuth у себя

2. Подсунуть жертве ссылку на callback

3. Жертва «логинится» в ваш аккаунт

Дальше — phishing, data exfiltration, business-logic abuse.

🔘 Substitution attack через ID Token

Классика SPA:

Backend не проверяет:

• aud
• iss
• nonce
• подпись через JWK

Берём валидный id_token от другого клиента → отправляем в API → логинимся. Если нет строгой валидации claims — это ATO.

🔘 OAuth + Open Redirect = перехват кода

Сценарий:

1. redirect_uri проходит слабую проверку

2. Внутри него есть open redirect

3. Authorization code уходит на атакующий домен

4. Обмен кода → access_token

Это уже не просто баг — это полный доступ к аккаунту.

🔘 SSRF через OAuth metadata

Некоторые реализации динамически подтягивают:

/.well-known/openid-configuration

Если можно подменить issuer → сервер сам сделает SSRF.

Дальше:

• Внутренние сервисы

• Cloud metadata

• Credential leak

OAuth превращается в pivot.

🔘 Email collision → маппинг на чужой аккаунт

Приложение доверяет: email = уникальный идентификатор

Но:

• email_verified не проверяется

• Разные провайдеры могут вернуть одинаковый email

• Нет жесткой привязки к provider ID

Результат — silent account takeover.

📍 Навигация: [Вакансии]

🐸 Библиотека хакера

#breach_breakdown

📌 Шпаргалка по настройке VPS за 13 шагов

Покупаешь новый сервер — и каждый раз заново вспоминаешь нужные команды.

🔵 Собрали всё в одну шпаргалку: от первого SSH-подключения до настройки firewall, SSH-ключей, Fail2Ban и автообновлений.

🔗 Оригинал статьи на Хабре

📍 Навигация: [Вакансии]

🐸 Библиотека хакера

#cheat_sheet

🔥 Вопрос с собеседования на Middle+ / Senior

Почему SSRF в AWS при использовании IMDSv1 может привести к компрометации инфраструктуры?

👇 Правильный ответ (нажми, чтобы прочитать):

Если через SSRF доступен 169.254.169.254 и на инстансе включён IMDSv1:

1️⃣ Можно получить временные credentials IAM-роли (instance profile)
2️⃣ Эти ключи дают права, назначенные роли
3️⃣ При избыточных IAM-политиках возможна privilege escalation
4️⃣ В худшем случае — полный контроль над AWS-аккаунтом

Важно понимать: «полный захват» происходит не из-за самого SSRF, а из-за небезопасных IAM-настроек.

IMDSv2 требует предварительный session token и проверяет hop-limit, что значительно усложняет эксплуатацию SSRF и закрывает большинство примитивных атак.

🏮 Что отличит сильного кандидата:

— упоминание STS и временного характера ключей
— проверка через aws sts get-caller-identity
— перечисление IAM и попытка AssumeRole / PassRole
— понимание влияния SCP и ограничений на уровне организации

👍 — знал/а
🔥 — стало понятнее

📍 Навигация: [Вакансии]

🐸 Библиотека хакера

#ctf_challenge

📌 Обновления инструментов за февраль

🟢 Burp Suite

Релизы 2026.1.x и 2026.2.x выходили весь февраль: исправления багов сканера, оптимизации запросов, улучшения расширяемости и поддержки расширений.

🟢 OWASP ZAP — релиз 2.17.0

✔ уменьшение шума в отчетах через alert de-duplication;

✔ Insights — новая вкладка аналитики;

✔ улучшение обработки памяти и диск-space ошибок;

✔ оптимизацию headless/CI-сканирования;

✔ структурированные отчеты с ISO 8601-датой.

🟢 Metasploit — свежие модули и фиксы

✔ новый набор exploit-модулей, включая RCE-эксплоиты для Xerte Online Toolkits;

✔ модуль для SolarWinds Web Help Desk с получением SYSTEM-сессии;

✔ улучшена поддержка MITRE ATT&CK-метаданных и LDAP-кэширования.

📍 Навигация: [Вакансии]

🐸 Библиотека хакера

#patch_notes

Ну филя 🕷

🐸 Библиотека хакера

#hack_humor

За год мы провели три потока курса по ИИ-агентам, а теперь запускаем масштабное обновление!

В новом, четвёртом потоке мы учли все пожелания студентов, добавили большой блок про AgentOps и сместили фокус с базовых концепций на суровый инжиниринг. Собрать бота из готовых API легко, а вот защитить его от промпт-инъекций, изоляции рискованных действий и утечек данных в проде — задача со звёздочкой.

В программе:

— secure prompting и изоляция выполнения рискованных действий;
— оркестрация в LangGraph: human-in-the-loop для подтверждения критичных шагов;
— продвинутый RAG с обработкой разнородных документов и защитой данных;
— контроль экономики: защита от неконтролируемого роста нагрузки;
— развёртывание опенсорс-моделей в закрытых контурах (152-ФЗ).

В честь старта продаж действует спецпредложение: 3 курса по цене 1 (два дополнительных курса в подарок).

Доступ к материалам для предварительной подготовки откроется сразу после оплаты.

По промокоду Agent забирайте скидку 10 000 ₽ (89 000 ₽ вместо 99 000 ₽). Успейте занять место до 28 февраля!

👉 Присоединиться к четвёртому потоку и защитить своих агентов