День прошел максимально продуктивно: разобрал важную тему для баг-баунти, продвинулся в репозитории и провел первый OSINT-челлендж.
✏️ Основные:
Разобрал API testing, отработал теорию на практике. Тема критически важная для баг-баунти, планирую понемногу вливаться в реальные кейсы на Standoff 365.
Уже зарегался там, немного потыкал. Программы интересные, можно даже потестить всеми любимый мессенджер MAX.
Мой профиль:
https://standoff365.com/profile/BoCoder/
Мини-справка
(буду напоминать на всякий случай):
Я создаю репозиторий на GitHub с подробными объяснениями и решениями лаб из курса:
«Профессия Белый Хакер на Stepik»
Основная цель — помочь начинающим в сфере кибербезопасности пройти этот курс и получить сертификат, делясь своими авторскими решениями.🔗 Ссылка на репозиторий:
https://github.com/BoCoder17/Profession-White-Hacker-CourseStepik
Добавил подробное решение к 5-му уровню —
«Выход за рамки ДМЗ» (тык)
📒 Дополнительные:
Все кликабельно!
Полезный контент: (@BoCoder_EDU)
1. Игра Natas от OverTheWire для изучения веб-технологий
Книги: (@BoCoder_Lib)
1. «Креативный программист»
2. «Машинное обучение. Погружение в технологию»
3. «DeepSeek на практике»
Подкасты:
(@BoCoder_podcast)
1. Лямбда исчисление
2. Слово за словом
Архив: (@BoCoder_archive)
1. Всякое разное
Отчёт за 160-й день:
https://vt.tiktok.com/ZSxB28Sa8/
Прохожу курс по CTF:
https://stepik.org/course/132488/syllabus
Закрыл блок по OSINT.
В этом курсе практических задачек не оказалось, были просто примеры.
Оказалось, что OSINT — это очень широкая тема. Есть задачки по поиску песни, аниме, места, по веб архиву и много чего интересного.
Бонусом запустил свой первый мини-OSINT-кейс в канале.
Победитель уже получил приз в 100 звезд Telegram
Фото с результатами прикреплено.
Ответ был:
301 Edgewater St, Staten Island, NY 10305, США
Скрытая надпись:
BUONO BEACH
Please open Telegram to view this post
VIEW IN TELEGRAM
Please open Telegram to view this post
VIEW IN TELEGRAM
✏️ Основные:
Разбираю уязвимость:
Web cache deception
Суть в несовпадении того, как сервер кэша и исходный сервер интерпретируют запросы. Злоумышленник хитростью заставляет жертву открыть URL, из-за чего конфиденциальные динамические данные сохраняются в кэше. После этого атакующий просто забирает их оттуда.
Разобрать Web cache deception и закрепить всё на практических лабах.
Мини-справка
(буду напоминать на всякий случай):
Я создаю репозиторий на GitHub с подробными объяснениями и решениями лаб из курса:
«Профессия Белый Хакер на Stepik»
Основная цель — помочь начинающим в сфере кибербезопасности пройти этот курс и получить сертификат, делясь своими авторскими решениями.🔗 Ссылка на репозиторий:
https://github.com/BoCoder17/Profession-White-Hacker-CourseStepik
Сегодня полностью заполняю решение и разборы по
6-му уровню —
«Проброс сетевого трафика».
1 час повторения. Решаю задачи из тех блоков, которые уже проходил.
📒 Дополнительные:
Прохожу курс по CTF:
https://stepik.org/course/132488/syllabus
Приступаю к блоку Forensic
(компьютерная криминалистика.)
Считается одним из самых сложных разделов, потому что как в работе компьютерного криминалиста, так и в задачах CTF человек должен иметь хорошую базу.
Идея:
Планирую провести мини активность в канале, дать вам несколько интересных задачек на Forensic.
А что, если получится —
и ты станешь примером для других?
#Day161 #Days
Please open Telegram to view this post
VIEW IN TELEGRAM
👍4
Проверка на внимательность
Правила простые:
Перед вами 2 файла.
Ваша задача — достать из этих файлов флаг.
Ответы в виде флагов по типу:
CtepCTF{Найденный_Флаг}
ABCTF{Найденный_Флаг}
🔍 Ваша цель:
Задание №1:
Ох, как жаль, что не все в наше время поймут такого намека, действительно очень тонко, мало осталось образованных людей.
https://drive.google.com/file/d/1Gax9Hxe0eE9InepVirV7gkDHaRnms53O/view?usp=sharing
Задание №2:
Найти скрытый смысл тут
https://drive.google.com/file/d/1fLfSEBcoqq7LL_I_Wt_JHMmD1ecjLUdq/view?usp=sharing
❓ Что делать:
1. Изучаешь файлы.
2. Проводишь анализ и находишь скрытые флаги.
3. Пишешь разгадку в комментарии.
🥇 Награда:
За верное решение одного из заданий — подарок за 25 звёзд
(итого 50 на кону).
Самый быстрый и точный забирает приз.
⬇️ Как участвовать:
Пишите свои ответы и решения в комментариях к этому посту.
Важно:
Ответы принимаются до вечернего поста с итогами.
Примерно до 17-18:00 по МСК.
Please open Telegram to view this post
VIEW IN TELEGRAM
🔥5
День прошел продуктивно: закрыл важные этапы, провел Forensic-челлендж и разобрал задачку от туда.
✏️ Основные:
Разобрал API testing, и поставил финальную точку в блоке: Server-side topics.
Итого: 14 блоков с разными уязвимостями изучены и отработаны.
Впереди Client-side topics
(6 блоков).
Параллельно начинаю присматриваться к баг-баунти для реальной практики.
Мини-справка
(буду напоминать на всякий случай):
Я создаю репозиторий на GitHub с подробными объяснениями и решениями лаб из курса:
«Профессия Белый Хакер на Stepik»
Основная цель — помочь начинающим в сфере кибербезопасности пройти этот курс и получить сертификат, делясь своими авторскими решениями.🔗 Ссылка на репозиторий:
https://github.com/BoCoder17/Profession-White-Hacker-CourseStepik
Добавил подробное решение к 6-му уровню —
Практика «Проброс трафика» (тык)
Успешный час продуктивной практики.
📒 Дополнительные:
Отчёт за 161-й день:
https://vt.tiktok.com/ZSxD2RRTX/
Прохожу курс по CTF:
https://stepik.org/course/132488/syllabus
Закрыл блок по Forensic.
Блок по компьютерной криминалистике закрыт.
2 Самых интересных таска я выложил в тгк в виде челленджа.
1 Задание было решено, победитель получил приз!
А 2 Задание не решили в комментариях, так что разберу краткое решение:
1. Переходим по ссылке и скачиваем изображение
2. Используем утилиту binwalk для анализа:
binwalk --dd='.*' ~/Загрузки/PurpleThing.png
Вывод:
153493 0x25795 PNG image, 802 x 118, 8-bit/color RGBA, non-interlaced
Инструмент нашел внутри скрытое изображение.
3. Извлечение:
dd if=PurpleThing.png bs=1 skip=153493 of=second_image.png
Пояснение:
dd — утилита для копирования данных.
Мы пропустили (skip) 153493 байта (первую картинку) и сохранили остаток в новый файл.
4. Просмотр флага:
xdg-open second_image.png
Пояснение:
Команда открывает файл в стандартном просмотрщике ОС.
Флаг:
ABCTF{b1nw4lk_is_us3ful}
Жаль, что сейчас активность в канале и в TikTok упала.
На самом деле, даже не знаю, почему в TikTok такой спад, видео не набирают больше 50 просмотров, хотя я выкладываю их так же, как и раньше, в том же формате.
Буду пробовать менять подход.
Может, проблема в ИИ-фото на превью или не знаю, но просто равно печально
Please open Telegram to view this post
VIEW IN TELEGRAM
Please open Telegram to view this post
VIEW IN TELEGRAM
✏️ Основные:
Начинаю блок Client-side topics посвященный уязвимостям на стороне клиента
Разбираю уязвимость:
Cross-site scripting (XSS)
XSS — это легендарная уязвимость, позволяющая злоумышленнику внедрять скрипты в страницы, которые видят другие пользователи.
По сути, это обход политики Same-Origin (SOP).
Результат — кража сессий, выполнение действий от лица жертвы или полный захват контроля над функционалом приложения, если жертва — админ.
Мини-справка
(буду напоминать на всякий случай):
Я создаю репозиторий на GitHub с подробными объяснениями и решениями лаб из курса:
«Профессия Белый Хакер на Stepik»
Основная цель — помочь начинающим в сфере кибербезопасности пройти этот курс и получить сертификат, делясь своими авторскими решениями.🔗 Ссылка на репозиторий:
https://github.com/BoCoder17/Profession-White-Hacker-CourseStepik
Сегодня полностью заполняю решение и разборы по
7-му уровню —
«Разведка в сети и компрометация Windows-машин».
📒 Дополнительные:
Прохожу курс по CTF:
https://stepik.org/course/132488/syllabus
Сегодня заканчиваю курс и получаю сертификат=)
Закрыть последний блок — Reverse Engineering и получить сертификат!
Reverse Engineering
(«обратная разработка») — это процесс разбора программы, чтобы понять, как она работает. В контексте CTF нам нужно «расковырять» скомпилированный бинарный файл, чтобы найти спрятанный флаг.
Интересный блок, я вообще никогда не решал задачки по реверсу, так что будет интересно.
Перестань ждать идеального момента.
Его не существует.
#Day162 #Days
Please open Telegram to view this post
VIEW IN TELEGRAM
Закрыл сложную тему курса и выложил решение на GitHub, погрузился в теорию XSS и начал осваивать реверс-инжиниринг.
✏️ Основные:
Начал погружение в —
Cross-site scripting (XSS) и начал новый топик.
Попрактиковался на лабах, но я бы еще по больше разобрал эту тему тк правда важно, да и интересно
Мини-справка
(буду напоминать на всякий случай):
Я создаю репозиторий на GitHub с подробными объяснениями и решениями лаб из курса:
«Профессия Белый Хакер на Stepik»
Основная цель — помочь начинающим в сфере кибербезопасности пройти этот курс и получить сертификат, делясь своими авторскими решениями.🔗 Ссылка на репозиторий:
https://github.com/BoCoder17/Profession-White-Hacker-CourseStepik
Добавил подробное решение к 7-му уровню —
Практика «Разведка в сети и компрометация Windows-машин» (тык)
📒 Дополнительные:
Все кликабельно!
Полезный контент: (@BoCoder_EDU)
1. Игра Leviathan от OverTheWire для улучшения навыков поиска уязвимостей
2. Игра Krypton от OverTheWire про криптографию
Книги: (@BoCoder_Lib)
1. «40 алгоритмов, которые должен знать каждый программист на Python»
2. «Python для сетевых инженеров. Автоматизация сети, программирование и DevOps»
3. «Алгоритмы на практике»
Подкасты:
(@BoCoder_podcast)
1. Как создавали Яндекс Станцию Миди
2. Разработка баз данных
Отчёт за 162-й день:
https://vt.tiktok.com/ZSxfdHmY4/
Прохожу курс по CTF:
https://stepik.org/course/132488/syllabus
Начал блок по Reverse, но не закрыл до конца.
В блоке теории много - по Ассемблеру инструментам итд, да и задачки не простые.
Я поковырялся в простых и решил все, что смог и успел.
На скрине приложил одну простую таску по реверсу на языке Brain Fuck
Очень интересная тема, завтра продолжу разбор и поищу дополнительную информацию.
И стоит ли проводит мини-челлендж для вас по реверсу как я делал с
OSINT и Forensic?
Please open Telegram to view this post
VIEW IN TELEGRAM
Please open Telegram to view this post
VIEW IN TELEGRAM
Тем не менее заниматься буду, но выберу минимум нагрузки и откажусь от сложного материала, так как в таком состоянии анрил что-то усвоить.
✏️ Основные:
Пришло время практики. Сегодня попробую применить свои знания на этой платформе.
Багбаунти кажется лучшим вариантом для сегодняшнего дня, это позволит практиковаться без лишней перегрузки.
Выбрать программу и начать искать уязвимости по пройденному материалу, делаю упор на веб и API.
Вечером кратко расскажу о результатах, не нарушая правил о неразглашении
📒 Дополнительные:
Прохожу курс по CTF:
https://stepik.org/course/132488/syllabus
Просто поддержать огонек, тк тема Reverse очень трудная для освоения в таком состоянии
Твое «я не могу» — это самая большая ложь, которую ты себе говоришь.
#Day163 #Days
Please open Telegram to view this post
VIEW IN TELEGRAM
🔥6👍2🐳2
К вечеру соовcем немного стало лучше, но все ужасно ломит и болит, температура 38+
Капец короче
✏️ Основные:
Изучил большинство программ и подобрал несколько подходящих под мой текущий уровень знаний.
Нашел уязвимость, позволившую получить доступ к конфигурации фронтенда и JS-бандлу API без авторизации. По сути критически важно, так как открывает пути для дальнейших атак (например, IDOR, SQL/NoSQL), которые обычно требуют авторизованного доступа.
Отправил отчет и запросил тестовые данные для входа, чтобы продолжить исследование.
Пока что полностью раскрыл конфигурацию и структуру API.
📒 Дополнительные:
Все кликабельно!
Полезный контент: (@BoCoder_EDU)
1. Игра Narina от OverTheWire для погружения в основы эксплуатации уязвимостей в программах, написанных на языке C.
Прохожу курс по CTF:
https://stepik.org/course/132488/syllabus
Просто поддержал огонек, сил вообще нет.
Please open Telegram to view this post
VIEW IN TELEGRAM
✏️ Основные:
Разбираю уязвимость:
Cross-site scripting (XSS)
XSS — это легендарная уязвимость, позволяющая злоумышленнику внедрять скрипты в страницы, которые видят другие пользователи.
По сути, это обход политики Same-Origin (SOP).
Результат — кража сессий, выполнение действий от лица жертвы или полный захват контроля над функционалом приложения, если жертва — админ.
Да, я ее уже разбирал, но мало. В самом блоке содержится 30 лаб, а значит, что я мало прошел по XSS, нужно больше практики.
Добить блок по Cross-site scripting (XSS) и прорешать лабы.
Мини-справка
(буду напоминать на всякий случай):
Я создаю репозиторий на GitHub с подробными объяснениями и решениями лаб из курса:
«Профессия Белый Хакер на Stepik»
Основная цель — помочь начинающим в сфере кибербезопасности пройти этот курс и получить сертификат, делясь своими авторскими решениями.🔗 Ссылка на репозиторий:
https://github.com/BoCoder17/Profession-White-Hacker-CourseStepik
Сегодня полностью заполняю решение и разборы по
8-му уровню —
«Повышение привилегий на узлах локальной сети Windows»
📒 Дополнительные:
Теперь буду пробовать выкладывать итоги дня утром или днем, вечером просто актива 0 и тик ток не пропускает даже близко в рекомендации, буду пробовать так.
Прохожу курс по CTF:
https://stepik.org/course/132488/syllabus
Закончить курс и получить сертификат!
Добиваю последнюю тему — Reverse и заканчиваю курс=)
Легкий путь ведет в никуда. Выбирай самый трудный.
#Day164 #Days
Please open Telegram to view this post
VIEW IN TELEGRAM
День прошел продуктивно — закрыл важную базу по XSS, закончил курс по CTF и добавил новые разборы в репозиторий.
✏️ Основные:
Разобрал уязвимость:
Cross-site scripting (XSS)
Основные типы:
1. Reflected XSS
2. Stored XSS
3. DOM-based XSS
Кому интересно узнать про них подробнее — жмите на название, я прикрепил ссылки.
Разобрал типы, дополнительно посмотрел видео в котором автор отлично объяснил всю суть XSS.
После теории попрактиковался на лабах от
Web Security Academy и закрепил материал.
Мини-справка
(буду напоминать на всякий случай):
Я создаю репозиторий на GitHub с подробными объяснениями и решениями лаб из курса:
«Профессия Белый Хакер на Stepik»
Основная цель — помочь начинающим в сфере кибербезопасности пройти этот курс и получить сертификат, делясь своими авторскими решениями.🔗 Ссылка на репозиторий:
https://github.com/BoCoder17/Profession-White-Hacker-CourseStepik
Буду рад звездочке на репозитории!
Добавил подробные решения к 8-му уровню —
«Повышение привилегий на узлах локальной сети Windows»
Практика 1 (тык)
Практика 2 (тык)
Заполнил восьмой уровень практическими решениями, это один из самых интересных этапов по повышению привилегий на примере Windows 10.
📒 Дополнительные:
Полезный контент:
(@BoCoder_EDU)
1. Лучший VPN для обхода блокировок
2. Игра Behemoth от OverTheWire для углубленного изучения уязвиомстей
Книги:
(@BoCoder_Lib)
1. «Защита сетей. Подход на основе анализа данных»
2. «Профессиональный TypeScript. Разработка масштабируемых JavaScript-приложений»
Подкасты:
(@BoCoder_podcast)
1. Сергей Паращенко (руководитель развития портфеля продуктов в МТС Банке) о том, зачем продакту когнитивная психология и как оцифровать софт скиллы.
2. Григорий Вахмистров - Java и C#, GraphQL и менторинг
Прошел курс по CTF:
https://stepik.org/course/132488/syllabus
Завершил курс по CTF и получил сертификат!
Закончил тему Reverse. Да, курс не раскрывает эту сложную тему до конца, но заложил отличную базу.
Теперь присматриваюсь к другим курсам.
Please open Telegram to view this post
VIEW IN TELEGRAM
Please open Telegram to view this post
VIEW IN TELEGRAM
мой отчет по уязвимости на
Standoff 365 приняли и назначили выплату в размере 2000 рублей! Уязвимость оценили как низкую по уровню критичности, но для меня это все равно победа.
Жаль, что не удалось продолжить тестирование из-за отсутствия доступа к дополнительным данным, но результат уже отличный, первые деньги за хантинг=)
Мой профиль Standoff 365:
https://standoff365.com/profile/BoCoder/
✏️ Основные:
Разбираю уязвимость:
Cross-site request forgery (CSRF)
Это тип атаки, при которой злоумышленник заставляет пользователя выполнить нежелательные действия в приложении, где тот авторизован. Это позволяет частично обойти Same-Origin Policy (SOP).
Изучить теорию, найти дополнительные материалы и отработать всё на лабораторных стендах.
Мини-справка
(буду напоминать на всякий случай):
Я создаю репозиторий на GitHub с подробными объяснениями и решениями лаб из курса:
«Профессия Белый Хакер на Stepik»
Основная цель — помочь начинающим в сфере кибербезопасности пройти этот курс и получить сертификат, делясь своими авторскими решениями.🔗 Ссылка на репозиторий:
https://github.com/BoCoder17/Profession-White-Hacker-CourseStepik
Сегодня полностью заполняю решение и разборы по
9-му уровню —
«Захват управления инфраструктурой сети»
📒 Дополнительные:
Нашел интересный курс —
Математика в кибербезопасности
Он состоит из 6 блоков, планирую проходить по одному блоку в день, чтобы завершить его как раз к началу лета.
Пройти блок «Арифметика».
Смотрю лекции и решаю практические задачи.
Стань тем, кем ты сам хотел бы восхищаться.
#Day165 #Days
Please open Telegram to view this post
VIEW IN TELEGRAM
🔥3🐳1