🐸 Краткое руководство инъекций XML/XXE

В этом репозитории вы найдете:
— Что такое инъекция внешних сущностей XML, опишем некоторые общие примеры;
— Как найти и использовать различные виды инъекций XXE;
— Как предотвратить атаки инъекций XXE.

Внешняя инъекция XML (также известная как XXE) — это уязвимость веб-безопасности, которая позволяет злоумышленнику вмешиваться в обработку XML-данных приложения.

Промт Хакера

🤷‍♀️ Раскрыта секретная система глобального мониторинга АНБ

В следствии утечки секретных документов был пролит свет на сложную систему АНБ по глобальному мониторингу интернет-трафика, способной перехватывать трафик пользователей по всему миру и внедрять вредоносное ПО с помощью уязвимостей на уровне браузера.

Система включает в себя два ключевых компонента: Turmoil и Turbine.

Turmoil — система пассивного сбора данных, которая анализирует проходящий через неё трафик, выделяя из него ценную информацию, в том числе зашифрованные данные VPN и VoIP.

— Предположительно, главным звеном в системе отслеживания является одна из крупнейших шпионских баз АНБ США Menwith Hill в Великобритании, где сотни аналитиков АНБ работают бок о бок с сотрудниками Центра правительственной связи Великобритании.

Операторы Turmoil используют специальные фильтры для отбора интересующих их потоков данных, например, активности в сервисах Google, Yahoo, Meta и Skype.

Система отфильтровывает ценные пакеты сетевых данных и пересылает их в программу слежения XKEYSCORE для хранения и дальнейшего анализа.

При обнаружении значимых целей система активирует Turbine для дальнейших действий.

Промт Хакера

🤪Когда спрятать недостаточно: как устроены атаки на системы тайной передачи информации

В этой статье разберем основы стеганографии, проанализируем возможные атаки на стегосистемы и способы защиты от них.

Промт Хакера

😱 Twitch-стримеры заявили о взломе и подмене платежных данных

Пользователи сообщили, что привязанные к их аккаунтам банковские реквизиты и PayPal-ссылки были заменены на неизвестные данные без их участия.

Пострадавшие отмечают, что многие из них использовали двухфакторную аутентификацию, однако это не помешало злоумышленникам получить доступ к финансовым настройкам.

В основном атаки затронули небольшие каналы, которые ранее уже сталкивались с подозрительной активностью, включая бот-рейды с подписками.

Промт Хакера

🐱 Бесплатный OSINT-инструмент для комплексного анализа сайтов

Скармливаете URL и получаете разбор — IP-адреса, цепочку SSL, записи DNS, файлы cookie, информацию о домене, открытые порты, производительность, углеродный след и многое другое.

При этом сервис можно развернуть на собственном сервере.

Промт Хакера

🐸 Hacksplaining — полезный сайт где можно интерактивно изучить, как именно ломаются сайты.

Ты не просто читаешь про XSS — ты её выполняешь.

Промт Хакера

🦆 Вся правда о DNSSEC: почему подпись — это не всё

DNSSEC (Domain Name System Security Extensions) – это набор расширений протокола DNS, предназначенный для повышения безопасности системы доменных имён.

В статье разберём не только как работает DNSSEC, но и типичные «косяки» внедрения, посмотрим на реальные атаки и предложим практические методы усиления защиты DNS.

Промт Хакера

😂 Они взломали пылесос, принтер и даже зубную щетку: пять реальных кейсов

Как хакеры превращают обычную технику в цифровых шпионов? И почему даже ваш умный чайник может стать звеном в цепи глобальной кибератаки?

Добро пожаловать в эру бытового хакинга, где каждая розетка — потенциальная ловушка.

Промт Хакера

🥰 Android-ботнет Kimwolf заразил миллионы устройств через прокси

Исследователи зафиксировали масштабную активность Android-ботнета Kimwolf, который, по оценкам компании Synthient, уже заразил более 2 млн. устройств.

Делает он это через сети резидентских прокси, маскируя атаки под обычный пользовательский трафик.

Операторы Kimwolf активно монетизируют ботнет: продают установки приложений, сдают в аренду резидентский прокси-трафик и предлагают услуги DDoS-атак.

Промт Хакера

🚬 Китайские хакеры атаковали Тайвань на протяжении всего 2025 года

Тайвань в новом отчёте Национального бюро безопасности описал 2025 год как время, когда кибератаки со стороны Китая стали не просто фоном, а частью давления на критически важные отрасли.

Самый резкий всплеск пришёлся на энергетику: число инцидентов выросло в 10 раз по сравнению с 2024 годом

По данным бюро, в целом активность, связанная с Китаем, увеличилась на 6%, а атаки затронули 9 ключевых направлений инфраструктуры

В отчёте отдельно подчёркивается, что пики активности совпадали с военными манёврами и политическими событиями, включая крупные заявления властей и зарубежные поездки высокопоставленных чиновников
Самыми частыми методами бюро называет эксплуатацию уязвимостей в железе и софте, а также DDoS, социальную инженерию и инциденты в цепочках поставок.

Промт Хакера

🕺 Пробивной фишинг с помощью фейковой CAPTCHA

Этот метод был использован в фишинговых кампаниях различных хакерских группировок и получил название ClickFix или Emmenthal.

В этой статье рассмотрим процесс создания и развертывания фишинговой атаки ClickFix с использованием фейковой страницы с капчей и реверс-шелла PowerShell.

Промт Хакера

😠 От обнаружения до уничтожения: как охотятся на ботнеты

Рассмотрим, как защититься от бот-атак, а также какие методы обнаружения и стратегии разрушения сетей зараженных устройств существуют.

Поскольку ботнеты трудно обнаружить, организации должны уделить сильное внимание предотвращению появления ботнетов.

Промт Хакера

🙅‍♂️ Взлом камер видеонаблюдения

Cameradar — инструмент и библиотека доступа к потоку RTSP, который используется для проверки безопасности камер видеонаблюдения. 

Возможности:
— Обнаруживать открытые порты RTSP на любом доступном целевом хосте; 
— Определять, какая модель устройства ведёт трансляцию; 
— Запускать автоматические атаки по словарю, чтобы найти маршрут потока; 
— Запускать автоматические атаки по словарю, чтобы подобрать имя пользователя и пароль камеры; 
— Получать полный и удобный отчёт о результатах.

Промт Хакера

🥔 Топ-10 сертификатов по кибербезопасности в 2026: какой сдавать первым?

В этом видео разобрали 10 самых популярных сертификатов: OSCP, CEH, CompTIA PenTest+, Security+, eJPT, PNPT, CRTP, CISSP и др.

Автор рассказал, какие реально помогают пройти HR, какие дают практику, а какие — просто бумажка.

Промт Хакера

🚬 Microsoft Defender посчитал MAS вредоносом и заблокировал активацию Windows

Microsoft, похоже, решила всерьёз взяться за Microsoft Activation Scripts (MAS) — популярный инструмент с открытым исходным кодом для активации Windows.

Компания знает, что под именем MAS в Сети давно распространяются фейковые сайты и зловредные скрипты, и начала автоматически блокировать их с помощью Microsoft Defender.

Проблема в том, что под раздачу внезапно попал и настоящий MAS.

Промт Хакера

🚙 Статический анализ исходного кода веб-сайта в браузере

В этом руководстве автор покажет вам как использовать встроенные в веб-браузер инструменты для изучения исходного кода клиентской части веб приложения.

Статья предназначена преимущественно для начинающих охотников участвующих в bug bounty без или с небольшим опытом в анализе HTML и JavaScript кода.

Промт Хакера

🥳 Тулза, которая защищает ПК от всех майнеров, вирусов и подобных

Что умеет:
— Мониторит весь трафик и моментально палит любую активность;
— Мгновенно детектит опасные домены, URL и грязные IP из глобальных баз;
— Распознает вредительские заголовки и скрытые запросы хакеров;
— Знает все актуальные методы атак — от сканеров портов до эксплойтов;
— Дает топовый уровень безопасности без сложного развертывания: запуск всего в пару команд;

Всё это бесплатно и с открытым кодом.

Промт Хакера

🐱 Пока вы спите, хакеры жгут ваш бюджет на GPT-4 через забытые настройки прокси

Злоумышленники начали массово прочёсывать интернет в поисках неправильно настроенных прокси-серверов, через которые можно получить доступ к коммерческим сервисам на базе больших языковых моделей.

По данным платформы мониторинга угроз GreyNoise, атакующие уже проверили более 73 конечных точек, связанных с LLM, и сгенерировали свыше 80 тыс. сессий.

Кампания идёт как минимум с конца декабря.

Промт Хакера

🐶 Passive DNS — инструмент, который собирает и анализирует данные запросов системы доменных имён без активного участия в процессе разрешения DNS.

Особенность Passive DNS заключается в отсутствии необходимости регистрировать IP-адрес клиента, что позволяет защитить конфиденциальность пользователей.

Промт Хакера

😎 Instagram взломали — под удар попали 17,5 млн. аккаунтов

Хакеры украли конфиденциальную информацию, включая имена юзеров, физические адреса, номера телефонов, адреса эл. почты и другое. Но пароли не слили.

По данным источника, утечка могла произойти ещё в 2024 году, но известно о ней стало только сейчас.

Сейчас некоторым юзерам приходят сообщения с просьбой сменить пароль — это фишинговая рассылка.

Промт Хакера

😎 Шпаргалка по структурированию этапов разведки

Эта шпаргалка поможет вам организовать этапы разведки и сбора данных, систематизируя ваши действия при пентесте.

Кратко и по шагам 🎹

Промт Хакера