Пентестинг & Security QA & SDET

Кто хочет развивать мой телеграм канал?

У меня есть ТГ канал, который достался мне бесплатно.

В нем 800 подписчиков.

У меня нету времени им заниматься.

Но развивать можно, тематика - склад полезных материалов по кибербезопасности.

У кого есть время и желание -дайте знать.

Так как канал мне ничего пока не приносит, могу предложить какую-то чисто символическую сумму.

Если есть желание, дайте знать.

+ скидки на все мои курсы вам.

Сам канал
https://t.me/code_vault

Написать мне можно тут @faroeman

Рассказал как найти 3 опасные дыры за 10 минут и как повысить себе зарплату

С вас лайк на ютубе и подписка, с меня больше видео.

Если вы тестировщик или начинающий специалист по ИБ, обязательно проверьте эти моменты.

Если вы только учитесь, проверьте на лабораториях.

По обучению телеграм @faroeman

https://youtu.be/_2VgkBVI-qM?is=S6aQCaDXWvMf5xH9

🌐 IPv4 и IPv6 — версии IP-протокола

Я надеюсь никому не нужно напоминать, что такое IP-адрес. Но если что кликайте по ссылке выше😃

Теперь разберём, какие бывают версии IP и почему появился новый стандарт.
Сегодня существуют две основные версии:

IPv4
↓
IPv6

📌 Что такое IPv4?

IPv4 (Internet Protocol version 4) — это четвёртая версия IP-протокола, которая долгое время была основой всего Интернета

IPv4-адрес выглядит так: 192.168.1.25

Он состоит из 4 чисел, разделённых точками.
Каждое число может быть от: 0 до 255

Например:

10.0.0.5
172.16.1.100
192.168.1.25

🧠 Главная проблема IPv4 — ограниченное количество адресов.

IPv4 использует: 32 бита

Это даёт примерно: 4,3 миллиарда IP-адресов

Когда Интернет начал активно развиваться, этого стало недостаточно.
Количество устройств росло:
📱 смартфоны
💻 компьютеры
🖥 серверы
📺 телевизоры
🌐 IoT-устройства
И возникла необходимость в новом стандарте.

🌍 Что такое IPv6?

IPv6 (Internet Protocol version 6) — новая версия IP-протокола, созданная для решения проблемы нехватки адресов.

IPv6 использует: 128 бит

Поэтому количество возможных адресов огромно.
IPv6-адрес выглядит так: 2001:0db8:85a3:0000:0000:8a2e:0370:7334

В отличие от IPv4, здесь используются:
— цифры;
— буквы от A до F;
— разделение через двоеточие.

Но во многих системах IPv6 может быть включён по умолчанию.
Это может привести к неожиданным ситуациям при настройке:
— сетевых политик;
— firewall;
— контроля доступа.

📌 Главное
IPv4 и IPv6 — это две версии одного протокола. Разница в том что количество адресов IPv4 намного меньше.
Для специалиста по безопасности важно понимать оба варианта, потому что современная инфраструктура может использовать оба протокола одновременно.

#network

Ну-ка, старички ... ?id=123&id=456 - какой ID вернет ваш API?

Вектор о котором молчат на курсах по Postman.



Что делает 99% QA:
GET /api/invoices?id=123 - проверяют свою накладную. Работает.



Что делаю я:
GET /api/invoices?id=123&id=124



И знаете что? 30% API в 2025 возвращают накладную 124. Чужую.

Почему? Разные фреймворки по-разному парсят дублирующие параметры. Express берет последний, Java - первый, а nginx склеивает через запятую.

Разраб тестил с одним id, WAF пропустил потому что id=123 - ваш, а бэкенд взял id=124.

Как чекать: возьмите любой эндпоинт с ?id= и продублируйте параметр с чужим ID.

Это BOLA, которую не ловят сканеры, потому что она спрятана за HPP (Http Paremeter Pollution). Бэкенд взял последний параметр, а не первый.

Разбираю такие вектора на менторстве. Пиши в ЛС @faroeman.

#bugbounty #apitesting

Вы просили - получайте бесплатно ..

Недавно у меня вышло видео на тему Roadmap для Application Security Engineer и меня попросили выложить карту в открытый доступ …

Вот само видео, кто пропустил …
https://youtu.be/GPAFiLOPhb8?si=bg4Dco2Fse6bOCU8

А вот ссылка на Roadmap - пользуйтесь

https://miro.com/app/board/uXjVHv_d8fk=/?share_link_id=285328707592&focusWidget=3458764681446821120

Ну а по обучению телеграм @faroeman

Как я поднял чек QAшнику с 1500$ до 1730$ одной тулзой - Semgrep

Все учат Burp Suite, а я учу Semgrep. Почему? (Ну burp тоже конечно же))))

Потому что Burp - это для пентестера. А Semgrep - для AppSec инженера в команде разработки. И платят за второго в 2 раза больше.

Кейс:Пришел ко мне QA Automation. Зарплата 1500$. Задача - стать Security или хотя бы двинуться в ту стороны.

Во-первых я не стал его сразу грузить каким-то большим полугодичным курсом, это и не надо на первом этапе

Я ему говорю -, поставь SAST.

SAST - это анализ кода без запуска. Ищешь уязвимости прямо в исходниках.

Самая простая тулза - Semgrep. Бесплатная. Ставится за 2 минуты

Что она нашла у него в проекте за 30 секунд
2 критичные уязвимости, которые не найдет ни один ручной QA (да, мы немного дописали кастомных правил, без этого никак).

Он пошел к тимлиду и сказал: "Я настроил SAST в CI, теперь у нас каждый PR чекается на уязвимости автоматом".

Через месяц ему подняли до 1730$  (да, это не так много, но я вам говорю реалии, а не то что ему заплатили мильон баксов)

Почему? Потому что он закрыл бизнесу реальный риск, а не просто написал еще 20 автотестов.

Этому я и учу. Не просто кликать Burp, а встраивать SAST/DAST в процесс так чтобы тебе платили как инженеру, а не как тестировщику. (Да сразу скажу, делаю на примере Jenkins, он все еще хорош!)

Беру 5 человек на менторство по Application Security.
3 месяца - учишься находить и автоматизировать SAST/DAST (Semgrep, ZAP)
6 месяцев - до уровня  Junior / Middle+ AppSec Engineer с трудоустройством (да, ко мне часто пишут рекрутеры и своим лучших учеников я с ними свожу)

Форматы есть разные на любой график и кошелек

Телеграм @faroeman

Все думают UUID нельзя подобрать. Ага как бы не так 😄

/api/order/a1b2c3d4-e5f6-7890-abcd-ef1234567890 - ну как ты угадаешь?

Никак. Но тебе и не надо угадывать.

Вчера смотрю как QA на проекте у себя тестит (я его курирую). Открывает свой заказ. В ответе приходит:

{
"my_order"
"a1b2c3d4...",
"other_orders"
[
"b2c3d4e5...",
"c3d4e5f6..."
]
}

Бекендер для удобства отдал список всех последних заказов в том же ответе. С UUID.

QA увидел и прошел мимо. "Ну это же просто список, UUID же не угадаешь".

А это уже IDOR. Критический. Тебе отдали чужие UUID. Дальше просто подставляешь.

Тот же баг что и с 1024 -> 1025 или 10-11.

Только в 2026 так делают чаще, потому что думают UUID = защита.

QA бы завел как "лишние данные в ответе" - low.

AppSec заведет как "IDOR + Information Disclosure, утечка PII" - critical + премия.

Бекенд не защищает UUID. Защищает проверка "твой ли это заказ".

Сколько раз вы видели в ответе чужие id и не обращали внимания?

Вы можете верить можете нет я такие проблемы вижу постоянно, ок не постоянно вру, но оооочеь часто

Наверное не зря да IDOR на первом месте стоит??

Мораль поста!

Есть UUID? Не переберешь особенно v4, v7

Но что если получить UUID где-то в другом месте?

Вот и думайте

Новый CEO Apple. Иногда мне кажется, зачем сидеть на одном месте 25 лет, да и молодые любят менять работы ...

Но с другой стороны, можно и отсидеть 25 лет на 1 месте, чтобы потом стать СЕО.

Понятно, что это не показатель, но у этого человека этого получилось ...

Я своим ученикам кто учится кибербезу и как только они находят работу говорю так - держитесь максимально долго на работе, как обрастете опытом - можете менять работу ...

А вы что думаете? Надо сидеть по 20 лет на 1 месте или менять часто?

Жду дискуссию)

Залил на ютуб то что вы просили.

24 минуты. Без воды. Как из попасть в AppSec в 2026.

Смотрел бы сам если бы начинал с нуля.

Ссылка: https://youtu.be/GPAFiLOPhb8?si=3suBw-8EMWZzRQpj

Кто посмотрит - напишите в комменты что добавить в часть 2.

Я 2 года в свое время думал что мне не хватает знаний чтобы уйти в кибербез …

Читал про SSRF, учил Burp, смотрел видосики…

А потом понял - мне не знаний не хватало. Мне не хватало одной закрытой задачи…

Вот в чем прикол новичков в кибербезе:

Ты учишь 10 тем на 10%. И кажется что ты ничего не знаешь. И страшно идти на собес. Это все понятно и даже нормально …

А надо наоборот - взять 1 тему и закрыть ее на 100% до результата…

Не "выучить OWASP Top 10" (это и так все знают), а "найти 1 Security Misconfiguration на своем проекте и написать про это кейс".
Увидите, как вы окрылитесь )))

Один закрытый кейс дает больше уверенности чем 10 прочитанных статей, инфа 100%

Я это увидел на своих 20+ учениках, которые до меня учились на скиллбоксах. Те кто пытался учить все - сливались через месяц-два(кроме шуток), потому что результат ваще не видно, ворде ты учишь и все в стол.

Вам надо взять одну дыру и довести ее до конца

Короче народ на этой неделе предлагаю челлендж: не учим ничего нового. Берем одну тему - Security Misconfiguration. И ищем ее (PS: ищите либо на своем проекте либо же локально, чужие сайты не трогаем, это золотое правило!!!

Кто найдет - кидайте в комменты что нашли, разберем.

🌐 Что такое IP?

Когда мы начинаем разбираться в компьютерных сетях, одно из первых понятий, которое необходимо понять, — IP-адрес.

📌 IP-адрес — это логический адрес устройства в сети, который используется для его идентификации и доставки сетевых пакетов.

Можно провести простую аналогию:

🏠 Если компьютер — это дом, то IP-адрес — его адрес в сети.

Например:

192.168.1.25

Когда одно устройство хочет обменяться данными с другим, ему необходимо знать, куда именно отправлять эти данные.

Например:

Компьютер A
192.168.1.10
       ↓
       ↓ запрос
       ↓
192.168.1.25
       ↓
Компьютер B

Именно IP помогает определить, откуда и куда должны доставляться сетевые пакеты.

🧠 IP-адрес не обязательно означает Интернет

Очень часто, когда слышат IP, сразу думают о публичном адресе сайта.
Но IP используется и внутри локальных сетей.

Например:

192.168.1.10
192.168.1.20
192.168.1.30

Это могут быть:
💻 рабочие станции
🖥 серверы
🖨 принтеры
📡 сетевое оборудование
Поэтому во время внутреннего пентеста IP-адреса встречаются буквально на каждом этапе.

🔎 Почему IP важен пентестеру?
Представим, что во время разведки мы обнаружили:

192.168.1.25

Теперь мы знаем адрес хоста.
Следующий этап — выяснить:

Что находится по этому адресу?

И уже здесь появляются другие инструменты и технологии:

IP
 ↓
Хост
 ↓
Порты
 ↓
Сервисы
 ↓
ОС
 ↓
Дальнейшая разведка

📌 Главное
IP — это логический адрес устройства в сети.

Без понимания IP будет сложно разобраться в :
— сетевой разведке;
— Nmap;
— ARP;
— DNS;
— TCP/UDP;
— работе локальных сетей.

#network #ip #recon #pentest #base

Вот вы все спите, а я для вас пишу описание атаки, чтобы вы проснулись, а тут как на блюдечке обзора SSRF Server Side Request Forgery ...

Данный тип атаки находится на 7 месте в списке OWASP 2025 ...
Если по-простому SSRF это подделка запроса со стороны сервера ...

По сути атакающий заставляет сервер сделать запрос туда куда у него нет прямого доступа ....например во внутреннюю сеть компании ...

Пример!

Нормальнрое поведение: пользователь вводит example.com/cat.jpg

Сервер скачивает картинку кота и показывает её ...

Атака SSRF: Злоумышленник вместо ссылки на картинку подставляет адрес внутреннего сервера компании - например, 192.168.0.0/passwords.txt

Рез-тат: Сервер сам отправляет запрос к своей же внутренней сети, получает секретные данные и возвращает их злоумышленнику ...

-Всегда проверяйте ввод данных ... (не важно веб это или api)

-Например можно сделать белый список доменов, который разрешен

-Блокировка внутренних IP - запретить серверу обращаться к локальным адресам

С тебя лайк и подписка !

Многоуважаемые участники группы, у меня появилось 3 места на индивидуальное обучение профессии "Application Security Engineer" - направление кибербезопасности.

Для вас это очень хорошая возможность начать свой путь в самой перспективной ИТ сфере.

Программа очень насыщенная. Обучение занимает от полугода и выше. На секунду в универе я учился 5 лет, поэтому не сравнить.

Очень много работы в последнее время стало.
Зарплаты топовые.

Мои студенты ходят по собесам и некоторые уже работают.

Мне часто прилетают запросы от рекрутеров, которые я пересылаю своим ученикам, например вчера был запрос от компании из Латвии на позицию Penetration tester, мой ученик и компания уже общаются.

Очень много отзывов от ребят.

Обучаю простыми языком- есть варианты менторства и самостоятельного обучения под моим присмотром (дешевле)

На любой график и кошелек как говорится.

Пишите мне в телеграмм @faroeman - дам больше информации

Разбор задачки!

Спасибо всем за активность! Все ответы правильные😄

Конечно же Responder мы используем для проверки сценариев, связанных с:

LLMNR
NBNS
mDNS

Запоминаем!

LLMNR / NBNS / mDNS
        ↓
     Responder
        ↓
NTLM-аутентификация
        ↓
  Дальнейший анализ

📌 Главное: Responder здесь интересен не просто потому, что «умеет слушать сеть», а потому что позволяет проверить, можно ли злоупотребить механизмами разрешения имён и получить NTLM-аутентификацию.

🧪 Мини-задача

Представим, что вы проводите внутренний пентест и обнаружили, что в сети используются:

LLMNR
NBNS
mDNS

❓ Вопрос:

Какой инструмент из изученных нами можно использовать, чтобы проверить, можно ли перехватить такие запросы и спровоцировать NTLM-аутентификацию?

Разбор вечером!

#практика

🧩 Что такое mDNS и почему он интересен пентестерам?

Мы уже разобрали:
LLMNR → NBNS

Понимаю, сложно, но это еще не все 😃

Теперь третий механизм — mDNS (Multicast DNS).

📌 mDNS позволяет устройствам находить друг друга в локальной сети без обычного DNS-сервера.
Вместо обращения к DNS-серверу устройство отправляет multicast-запрос в локальный сегмент:

«Кто знает, где находится этот хост?»

И другие устройства могут ответить.

🧠 Где здесь проблема?

Как и в случае с LLMNR/NBNS, использование локальных механизмов разрешения имён может создавать дополнительные возможности для атакующего, уже находящегося в сети.
Упрощённо:

Устройство
    ↓
mDNS-запрос
    ↓
Локальная сеть
    ↓
Ответ другого устройства

Если инфраструктура позволяет подменить ожидаемый ответ, можно добиться того, что клиент обратится не к тому хосту.
А дальше в некоторых сценариях может возникнуть NTLM-аутентификация.

mDNS
 ↓
Подмена ответа
 ↓
Подключение клиента
 ↓
NTLM

🔥 Чем mDNS отличается от LLMNR и NBNS?

Главное различие — это используемый механизм и область применения.
LLMNR — локальное разрешение имён в Windows-среде.
NBNS — старый механизм NetBIOS.
mDNS — multicast DNS, который широко используется различными устройствами и ОС для обнаружения сервисов и устройств в локальной сети.

Например, mDNS часто встречается в сценариях обнаружения:
— сетевых устройств;
— принтеров;
— медиасервисов;
— других локальных сервисов.

📌 Главная мысль
LLMNR, NBNS и mDNS — это не одно и то же и не являются автоматически уязвимостью.
Но для пентестера они интересны потому, что показывают:

какие механизмы разрешения имён используются внутри сети и можно ли заставить клиента обратиться к неправильному узлу.

#mdns #llmnr #nbns #responder #ntlm #windows #ad #pentest #infra

🧠 Что такое NBNS?

NBNS (NetBIOS Name Service) — это протокол разрешения имён, который является частью старого механизма NetBIOS.

Его задача:

определить IP-адрес компьютера по его имени внутри локальной сети.

Например:
Пользователь хочет открыть:

\\SERVER01\share

Компьютеру нужно понять:

Где находится SERVER01?

Если DNS не отвечает, Windows может использовать NBNS.

⚙️ Как работает NBNS?

Компьютер отправляет широковещательный запрос:

Кто такой SERVER01?

Запрос получают устройства в локальном сегменте.
Любая машина может попытаться ответить:

SERVER01 = 192.168.1.50

И если ответ принят — Windows попробует подключиться.

💀 Где появляется проблема?
Проблема в том, что в старых конфигурациях Windows слишком сильно доверяет таким ответам.

Представим:
Пользователь ошибся в имени:

\\FILESRV01\docs

Но настоящего сервера нет.
Windows отправляет NBNS-запрос:

Кто такой FILESRV01?

Атакующий отвечает:

Это я.

Дальше может произойти попытка NTLM-аутентификации.
Схема:

Пользователь
      |
      | NBNS запрос
      |
      ↓
Атакующий
      |
      | Ответ:
      | "Я FILESRV01"
      |
      ↓
NTLM Authentication

🛠 Почему это интересно при пентесте?

NBNS позволяет проверить:
— используется ли устаревший NetBIOS;
— включены ли небезопасные механизмы поиска имён;
— можно ли получить NTLM-аутентификацию пользователей;
— есть ли условия для дальнейших атак.

Именно поэтому инструменты вроде Responder умеют работать не только с LLMNR, но и с NBNS.

🤖 GPT-6 Astra впервые превзошла человека?

Друзья, тут появилась довольно интересная новость из мира AI.
OpenAI представила GPT-6 Astra и заявила о серьёзном скачке возможностей модели. Особенно интересно для нас то, что среди ключевых направлений теперь отдельно выделяется кибербезопасность.

Самое громкое — результаты ARC-AGI-3.

Astra превзошла человеческий ориентир по эффективности действий на 96% уровней. На специальном тесте с адаптером модель достигла 99,9%, хотя на стандартном окружении результат был значительно ниже — около 62,7%. Поэтому фразу «превзошла человека» всё-таки стоит воспринимать с оговорками.

Но лично меня больше заинтересовало другое.🤔

В ExploitBench Astra получила 100%, а в тестах, связанных с использованием терминала и разработкой, показала заметный рост относительно предыдущего поколения. OpenAI также заявляет, что Astra способна находить ранее неизвестные уязвимости и разрабатывать способы их эксплуатации при наличии необходимых инструментов и доступа.

И вот здесь начинается самое интересное для нашей сферы.

Раньше мы говорили:

🤖 «AI поможет пентестеру».

Теперь всё больше похоже на:

🤖 «AI становится полноценным участником security workflow».

Модель уже может работать с кодом, терминалом, браузером, инструментами и выполнять длинные цепочки действий.
При этом есть и обратная сторона.

Чем автономнее становятся такие системы, тем сложнее понять, почему именно модель приняла конкретное решение. OpenAI сама усилила мониторинг Astra из-за рисков неправильного поведения и выхода агентов за пределы поставленной задачи.

Получается интересная ситуация:

Больше возможностей
        ↓
Больше автономности
        ↓
Больше пользы для специалистов
        ↓
Но одновременно
        ↓
Больше требований к контролю

И вот это, на мой взгляд, будет одной из главных тем ближайших лет в кибербезопасности.
AI не обязательно заменит пентестера.

Но пентестер, который умеет правильно использовать AI, вполне может получить очень серьёзное преимущество перед тем, кто продолжает делать всё вручную.

🔥 Как думаете, через 2–3 года AI уже сможет самостоятельно провести полноценный пентест от разведки до отчёта?

#ai #gpt6 #cybersecurity #pentest #redteam #infosec #llm

🟦 Что такое LLMNR и почему он опасен?

Когда мы открываем ресурс в Windows, например:

\\fileserver\documents

компьютеру нужно понять:

"Какой IP-адрес у этого имени?"

Обычно этим занимается DNS.

Но что происходит, если DNS не знает ответ?

Windows может использовать дополнительные механизмы поиска:
— LLMNR
— NBNS
— mDNS

И именно здесь появляется интерес для пентестера.

🧠 Что такое LLMNR?

LLMNR (Link-Local Multicast Name Resolution) — это протокол разрешения имён внутри локальной сети.

Его задача:

помочь компьютерам найти друг друга без участия DNS-сервера.

Например:
Пользователь вводит:

\\fileserwer\share

Но такого имени нет в DNS.
Тогда Windows отправляет запрос:

Кто такой fileserwer?

Этот запрос получает вся локальная сеть.

💀 Где проблема?

Windows доверяет ответу внутри сети.

Например:
Настоящего сервера нет.

Атакующий отвечает:

Я fileserwer.

Windows думает:

Отлично, подключаюсь.

И может попытаться выполнить NTLM-аутентификацию.

Схема:

Пользователь
      |
      | "Где fileserwer?"
      |
      ↓
    LLMNR
      |
      ↓
Атакующий отвечает:
"Это я"
      |
      ↓
NTLM Authentication

🛠 Почему это интересно пентестеру?

Потому что позволяет проверить:
— используется ли LLMNR;
— можно ли получить NTLM-аутентификацию;
— есть ли условия для NTLM Relay;
— насколько правильно настроена внутренняя сеть.

#llmnr #ntlm #responder #windows #ad #pentest #infra