Библиотека хакера | Hacking, Infosec, ИБ, информационная безопасность

🌟 Шпаргалка по Wfuzz

Wfuzz — инструмент для fuzzing веб-приложений: поиска скрытых эндпоинтов, параметров и уязвимостей через подстановку словарей в URL, заголовки и запросы.

Внутри — основные флаги: wordlist, фильтрация ответов, прокси и настройки нагрузки.

📍 Навигация: [Вакансии]

🐸 Библиотека хакера

#cheat_sheet

🔐 Когда криптография есть, а защиты нет

Одна из самых частых находок на пентестах — JWT-токены без проверки подписи.

JWT используют для аутентификации: сервер выдаёт токен, клиент отправляет его в каждом запросе. Но если приложение не проверяет подпись, токен можно подделать.

Например, атакующий меняет payload:

{
  "user": "admin",
  "role": "administrator"
}

Если сервер доверяет содержимому токена, злоумышленник получает админ-доступ без пароля. Такие уязвимости регулярно находят в bug bounty и внутренних API.

📌 Главная проблема криптографии в реальных системах — не алгоритмы, а ошибки реализации.

🔗 Разбор атак на JWT

📍 Навигация: [Вакансии]

🐸 Библиотека хакера

#breach_breakdown

📊 2622 API для парсинга данных из интернета

Нашли каталог с готовыми scraping-API, которые можно подключать напрямую к своим приложениям и автоматизировать сбор данных.

🔜 С их помощью можно получать информацию из:

— соцсетей
— интернет-магазинов
— новостных сайтов
— вакансий и недвижимости
— e-commerce и SEO-данных

Подходит для OSINT, аналитики, автоматизации и AI-интеграций.

🔗 Ссылка

📍 Навигация: [Вакансии]

🐸 Библиотека нейросетей

#tool_of_the_week

💳 Криптография, которую ломают на пентестах

🔜 Cryptographic Failures (OWASP Top 10)
Почему неправильное использование криптографии приводит к утечкам данных.

🔜 Padding Oracle Attack Explained
Один из самых известных атакующих сценариев против шифрования.

🔜 JWT Security Best Practices
Типичные ошибки JWT, которые регулярно находят на пентестах.

🔜 How Attackers Break TLS Misconfigurations
Разбор ошибок TLS-конфигураций и как их эксплуатируют.

🔜 Practical Cryptography Attacks
Реальные кейсы атак на криптографические механизмы.

📍 Навигация: [Вакансии]

🐸 Библиотека нейросетей

#resource_drop

🐸 Библиотека хакера

#hack_humor

Самый востребованный навык в ИТ в 2026-м — навык создания ИИ-агентов

Мы полностью переработали курс «Разработка AI-агентов» под реалии 2026 года. Никакой долгой теории — с самого начала пишем код. Обучать и делиться набитыми шишками будут эксперты-практики из Газпромбанка, Альфа-Банка и других бигтехов.

В программе:

— архитектура автономных систем с тестированием, ReAct-циклами и контролем токенов;
— практическая работа с актуальными фреймворками LangGraph, AutoGen, MCP и CrewAI;
— настройка продвинутого RAG для парсинга документов и точного поиска;
— внедрение решений с учётом действующего законодательства (152-ФЗ);
— дипломная работа, за основу которой можно взять свой рабочий проект или задачу, которую предложим мы.

Эксперты поделятся инсайтами из реального продакшна — тем, о чём вам никогда не расскажет ни одна нейросеть.

Запись первого открытого вебинара, на котором мы вместе с руководителем AI-направления в Альфа-Банке Полиной Полуниной пилили агента в прямом эфире.

Ах да, чуть не забыли! Дарим промокод AGENTSWEB на скидку 10 000 рублей и два курса сверху при покупке до 15 марта 🎁

→ Освоить разработку AI-агентов

🎬 Когда пароль угадывают, а не взламывают

В кино часто показывают сцену: хакер запускает программу, на экране быстро меняются комбинации — и через пару секунд пароль найден. Так обычно изображают brute force атаку.

В реальности перебор выглядит иначе. Атакующие редко проверяют все варианты подряд — сначала используют словари и базы утёкших паролей.

Такой подход называется credential stuffing: пароли из одной утечки проверяют на других сервисах.

На пентестах такие проблемы часто находят на:

🔴 формах логина
🔴 VPN и админ-панелях
🔴 API-аутентификации

Для проверки обычно используют инструменты вроде Hydra, Burp Suite или Patator.

📌 Brute force редко ломает криптографию — чаще он ломает слабые пароли и отсутствие защиты от перебора.

🐸 Библиотека хакера

#hollywood_hack

⚡️ SafeLine — шлюз веб-безопасности

SafeLine — это open-source шлюз веб-безопасности, который работает как reverse proxy и защищает сайты от различных атак и попыток эксплуатации уязвимостей.

Он размещается перед веб-приложением и фильтрует входящий трафик, помогая обнаруживать и блокировать вредоносные запросы.

🔜 Основные возможности:

— Защита от распространённых веб-атак
— Обнаружение и блокировка вредоносных ботов
— Обфускация HTML и JavaScript
— Rate limiting по IP
— Управление доступом через ACL

🔗 Ссылка на GitHub

📍 Навигация: [Вакансии]

🐸 Библиотека хакера

#tool_vs_tool

🔓 Как атакующий закрепился во внутренней сети Uber

После успешного MFA-bypass злоумышленник вошёл во внутреннюю сеть Uber через корпоративный VPN и начал исследовать интранет.

🔜 В одном из сетевых ресурсов он нашёл PowerShell-скрипт с жёстко прописанными учётными данными администратора для системы управления привилегиями Thycotic. Через неё атакующий смог получить доступ к другим сервисам компании — включая AWS, Google Workspace, Duo и OneLogin.

Получив контроль над внутренними инструментами, он опубликовал сообщение во внутреннем Slack, объявив сотрудникам о взломе 🤬

🔗 Подробный разбор атаки

📍 Навигация: [Вакансии]

🐸 Библиотека хакера

#zero_day_legends

🔥 Вопрос с собеседования на Junior

Что такое Clickjacking и как от него защищаются?

👇 Правильный ответ (нажми, чтобы прочитать):

Clickjacking — это атака, при которой пользователь нажимает на элемент страницы, не понимая, что на самом деле кликает по другому сайту.

Обычно это делается через прозрачный iframe, наложенный поверх интерфейса.

Например:

пользователь думает, что нажимает кнопку «Play», а на самом деле кликает «Подтвердить перевод» или «Разрешить доступ» на другом сайте.

🔤 Как работает атака

1. Атакующий размещает сайт внутри iframe
2. Делает iframe прозрачным (opacity: 0)
3. Накладывает его поверх кнопки

В итоге пользователь кликает по невидимой кнопке другого сайта.

🔤 Как защищаются

— Заголовок X-Frame-Options: DENY
— Заголовок X-Frame-Options: SAMEORIGIN
— Политика Content-Security-Policy: frame-ancestors

Они запрещают встраивать сайт в iframe на сторонних доменах.

👍 — знал/а
🔥 — стало понятнее

📍 Навигация: [Вакансии]

🐸 Библиотека хакера

#ctf_challenge

🚨 Подборка уязвимостей (10-12 марта)

В свежих CVE снова много уязвимостей в корпоративном ПО (GitLab) и OEM-утилитах производителей ноутбуков — классическая поверхность атаки, которую часто игнорируют при пентестах.

6️⃣ CVE-2026-1069 — DoS в GitLab

Уязвимость позволяет неаутентифицированному пользователю вызвать отказ в обслуживании через специально сформированные GraphQL-запросы.

Причина — неконтролируемая рекурсия в обработке запросов.

2️⃣ CVE-2026-1182 — утечка данных в GitLab

Ошибка логики доступа может позволить аутентифицированному пользователю получить доступ к конфиденциальным заголовкам issue, созданных в публичных проектах.

3️⃣ CVE-2026-2368 — RCE через MITM в Lenovo Filez

Из-за неправильной проверки сертификата атакующий, способный перехватить трафик, может выполнить произвольный код.

4️⃣ CVE-2026-1717 — привилегированное завершение процессов

Уязвимость в Lenovo Vantage / LenovoProductivitySystemAddin позволяет локальному пользователю завершать произвольные процессы с повышенными правами.

5️⃣ CVE-2026-0940 — выполнение кода через BIOS ThinkPad

Ошибка инициализации в BIOS некоторых ThinkPad может позволить привилегированному локальному пользователю выполнить произвольный код.

🔤 Полезно для пентестеров, ресерчеров и blue team.

📍 Навигация: [Вакансии]

🐸 Библиотека хакера

#cve_bulletin

🐸 Библиотека хакера

#hack_humor

🖍 Скрипт для аудита действий в Linux

Если на сервере что-то пошло не так, важно понимать: кто и что делал перед инцидентом.

🔗 В статье разбирается связка auditd + Python-скрипт, которая позволяет фиксировать действия пользователей и превращать системные логи в понятные события и алерты.

Показываем:

— как настроить правила аудита
— как анализировать логи ausearch и aureport
— как автоматически находить подозрительные действия
— как отправлять уведомления в Telegram

📍 Навигация: [Вакансии]

🐸 Библиотека хакера

#resource_drop

🔥 Топ-вакансий недели для хакеров

Эксперт по кибербезопасности — от 200 000 ₽, офис/гибрид (Москва)

Инженер по ИБ — удаленно (Москва)

Аудитор Информационная Безопасность — от 150 000 ₽, гибрид (Москва)

➡️ Больше офферов в канале: @hackdevjob

🐸 Библиотека хакера

🧰 WPScan: шпаргалка по основным флагам

WPScan помогает быстро определить версию CMS, найти уязвимые плагины и темы, перечислить пользователей и проверить сайт на типичные проблемы безопасности.

Собрали наглядную шпаргалку с ключевыми флагами WPScan — пригодится во время пентеста, bug bounty или быстрого аудита WordPress-сайтов.

📍 Навигация: [Вакансии]

🐸 Библиотека хакера

#cheat_sheet

🦠 Кейс: вредонос, собранный с помощью ИИ

Аналитики BI ZONE разобрали кампанию группы Forbidden Hyena и обнаружили новый троян BlackReaperRAT.

Часть PowerShell и Bash-скриптов выглядит как код, сгенерированный через LLM: много комментариев, читаемые переменные и почти нет обфускации. При этом сама атака довольно простая — RAT на VBS, установка AnyDesk и использование фреймворка Sliver.

Разобрали цепочку атаки и техники злоумышленников в карточках выше ⬆️


📍 Навигация: [Вакансии]

🐸 Библиотека нейросетей

#breach_breakdown